Aller au contenu

Chiffrer son poste de travail

Un ordinateur portable, un disque dur externe ou une clé USB se perdent et se volent. Chiffrés, ils ne livrent rien : sans le mot de passe ou la clé de déchiffrement, les données restent illisibles, même disque démonté.

Nos postes contiennent des données personnelles, des données de recherche, des documents administratifs : le chiffrement est la mesure qui les protège quand le matériel nous échappe. Les ordinateurs fournis par l'université sont désormais chiffrés dès leur livraison.

  • Windows

    BitLocker, pour le disque de l'ordinateur comme pour un disque externe ou une clé.

  • macOS

    FileVault pour le disque de l'ordinateur, le chiffrement du Finder pour un disque externe ou une clé.

  • Linux

    LUKS, choisi à l'installation pour le disque système, ou à la mise en forme d'un support externe.

Vérifier que son poste est chiffré

Un poste récent de l'université l'est. Un poste plus ancien ne l'est peut-être pas. Pour le vérifier :

  • Windows : Panneau de configuration › Chiffrement de lecteur BitLocker ; le lecteur C: doit indiquer « BitLocker activé » ;
  • macOS : Réglages Système › Confidentialité et sécurité › FileVault ; FileVault doit être activé ;
  • Linux : la commande lsblk -f doit afficher crypto_LUKS sous le disque système.

Pas chiffré ? Demandez-le

Contactez votre informaticien de proximité : il vérifie la configuration de votre poste et active le chiffrement. Passer par lui garantit que la clé de récupération est conservée par l'établissement.

La clé de récupération

Elle rouvre les données quand le mot de passe ne suffit plus : mot de passe oublié, panne, changement de matériel. Quand le chiffrement est déployé par la DSI, l'établissement la conserve de façon sécurisée. Ne la notez pas sur un papier rangé avec l'ordinateur.

Chiffrer un disque dur externe ou une clé USB

Un support amovible se chiffre aussi, et c'est lui qui se perd le plus facilement :

  • Windows : dans l'Explorateur, clic droit sur le lecteur › « Activer BitLocker » ;
  • macOS : dans le Finder, clic droit sur le volume › « Chiffrer », ou dans l'Utilitaire de disque, en l'effaçant au format chiffré (ce qui efface son contenu) ;
  • Linux : dans l'utilitaire Disques, en formatant le volume avec l'option de chiffrement LUKS.

Le mot de passe, ou la phrase secrète, est ensuite demandé à chaque branchement. Un support chiffré par BitLocker ne se lit pas nativement sur un Mac, ni un support chiffré sur Mac sous Windows : choisissez selon l'ordinateur qui le lira.

Sans le mot de passe, les données sont perdues

Pour un support que vous avez chiffré vous-même, personne ne pourra le rouvrir à votre place. Conservez son mot de passe dans Lockpass, le coffre-fort de secrets de l'établissement, pour l'instant en phase de test.

Les bonnes pratiques qui vont avec

  • ne gardez pas de données sensibles sur un support non chiffré : où stocker quoi ;
  • protégez le poste par une phrase secrète longue ;
  • si vous confiez un support chiffré, transmettez son mot de passe par un autre canal que le support lui-même ;
  • le chiffrement ne remplace pas la sauvegarde ;
  • verrouillez votre session dès que vous vous éloignez : Windows + L, ou Ctrl + Cmd + Q sur Mac ;
  • pour un trajet, éteignez l'ordinateur plutôt que de le mettre en veille : c'est éteint qu'il est pleinement protégé.
Le chiffrement ralentit-il mon ordinateur ?

Non, pas de façon perceptible sur un poste récent : le processeur s'en charge.

Puis-je partir à l'étranger avec un poste chiffré ?

Dans l'Union européenne, oui. Hors de l'UE, certains pays encadrent l'entrée de matériel chiffré : pour une mission hors de l'UE, on part avec un poste de prêt, livré non chiffré, qui ne contient que ce que la mission exige. Voir partir en mission en dehors de l'UE.

Je rends ou je change d'ordinateur : que deviennent les données ?

Avant qu'un matériel soit réaffecté, cédé, rendu au loueur ou mis au rebut, son support est effacé : reformaté puis chiffré à nouveau s'il était chiffré ; sinon, effacé selon une procédure sécurisée validée par le RSSI. Confiez-le à votre informaticien de proximité plutôt que de le donner ou de le jeter vous-même.