Depuis quelques jours, Tails 3.0 est disponible. L'occasion de faire le point sur le fonctionnement de cet OS un peu spécial, qui veut vous permettre de disposer simplement d'un environnement sécurisé, préservant au mieux votre vie privée et votre anonymat.

Dans la galaxie des outils que l'on peut utiliser lorsque l'on souhaite protéger ses données ou sa vie privée, il n'y a pas que des dispositifs de chiffrement et autres messageries sécurisées. Il existe aussi des systèmes d'exploitation dédiés, tels que Tails (aka The Amnesic Incognito Live System).

Créé il y a près d'une dizaine d'années, il est basé sur la distribution Debian et soutenu par le Tor Project, la fondation Mozilla ou même des rédactions comme celle de Mediapart. Comme son nom l'indique, il ne s'installe pas sur une machine en particulier, mais plutôt sur un périphérique amovible tel qu'une clef USB.

Il s'inscrit dans une démarche plus globale de proposer des systèmes alternatifs à Windows, mais aussi bien plus sécurisés sur de nombreux aspects, comme le font Qubes OS, Heads ou encore Whonix. 

Anonymat, sécurité et vie privée depuis n'importe quelle machine

L'équipe de Tails annonce que son but est « de préserver votre vie privée et votre anonymat. Il vous permet d'utiliser Internet de manière anonyme et de contourner la censure quasiment partout où vous allez et sur n'importe quel ordinateur. Tails ne laisse aucune trace de ce que vous avez fait, sauf si vous le demandez explicitement ».

De nombreuses applications visent déjà cet objectif. Le Tor Project vous permet par exemple d'utiliser son célèbre réseau en oignon assurant l'anonymat assez simplement, son navigateur intègre de nombreuses extensions afin de préserver votre vie privée, que vous pouvez utiliser avec des versions classiques de Chrome ou Firefox.

Vous pouvez aussi chiffrer vos emails avec Thunderbird et GPG, votre espace de stockage avec Veracrypt, utiliser un gestionnaire de mot de passe... mais tout cela n'est que peu de chose si la machine ou le système que vous utilisez sont compromis. Car il n'est pas toujours simple de maintenir un environnement utilisé au quotidien parfaitement sécurisé avec le temps. Vous pouvez aussi ne pas vouloir afficher votre usage de certains outils sur votre machine habituelle.

C'est là qu'une solution ponctuelle et indépendante de la machine comme Tails peut s'avérer utile. Il s'agit d'un logiciel libre, open source, qui regroupe en un seul lieu de nombreuses applications dédiées à la préservation de votre vie privée et de votre anonymat. Mais attention, il ne protège pas de tout et son intérêt dépend de votre modèle de menace.

Il vous permet néanmoins de disposer assez simplement d'un environnement sécurisé depuis n'importe quel ordinateur, ce qui peut s'avèrer vital pour effectuer certaines actions comme consulter des documents sensibles hors-ligne, assurer la confidentialité de certains échanges ou lors de la création de vos clefs GPG par exemple.

Une solution bien documentée, financée par les dons

À l'occasion de la sortie de sa version 3.0 basée sur Debian 9, annoncée il y a quelques jours, nous avons décidé de rédiger un petit guide vous permettant d'installer et de découvrir Tails. Pour aller plus loin, vous pouvez lire la documentation du projet, assez complète, mais aussi quelques autres documents sur le sujet : 

• Tails : le guide de survie
• Tails : les packs théoriques et pratiques

• Documentation officielle de Tails
• Design de Tails : caractéristiques et implémentation

Si vous utilisez Tails de manière courante, nous ne pouvons que vous encourager à contribuer de l'une des différentes manières proposées ou à soutenir le projet qui est financé par des dons. Il en va de même pour GPG ou encore Tor. L'équipe détaille ses finances chaque année sur une page dédiée.

Ce qu'il faut (s)avoir avant de commencer

Passons maintenant à la pratique. Pour cela, il faut tout d'abord vous assurer que vous disposez du matériel nécessaire : une machine connectée à internet disposant d'un processeur 64 bits (x86-64) AMD ou Intel, d'au moins 2 Go de mémoire et d'une ou deux clefs USB selon les cas.

Une capacité de 2 Go est le minimum nécessaire mais vous pouvez aller au-delà si vous souhaitez pouvoir stocker des données de manière persistante comme nous le verrons un peu plus loin. Attention, certains modèles peuvent poser souci. Il est aussi possible d'utiliser des DVD ou des cartes mémoire si vous le préférez, ainsi qu'une solution virtualisée.

L'installation est possible depuis trois systèmes : Linux, macOS et Windows. Cette phase est parfois perçue comme complexe, mais ce n'est pas vraiment le cas. Elle sera par contre très dépendante du choix de l'OS de départ. Si celui-ci n'aura pas d'influence sur la sécurité de la procédure, ce sera le cas sur le temps et le matériel nécessaires à sa bonne execution.

Comptez de 30 minutes à une heure devant vous. L'équipe de Tails conseille également d'avoir un appareil secondaire où afficher les instructions d'installation. Vous pouvez aussi simplement décider de les imprimer.

Attention, dans le cas de macOS la procédure est plus complexe puisque tout se fait en lignes de commande. Préférez aussi l'utilisation de Firefox (ou Tor Browser) qui vous facilitera grandement la vie lors de la phase de téléchargement et de vérification de Tails, grâce à une extension dédiée. Une fois que vous êtes parés pour commencer, vous pouvez vous rendre sur l'assistant d'installation proposé par l'équipe de Tails.

Notre guide se focalisera sur les différentes étapes et l'implication de l'utilisation de tel ou tel OS et tel ou tel navigateur.

• Installation depuis Debian, Mint ou Ubuntu
• Installation depuis une clef USB intermédiaire (Windows et autres versions de Linux)
• J'ai ma clef Tails, et maintenant, je fais quoi ?

Télécharger et vérifier l'image ISO

Comme n'importe quel OS, Tails est distribué sous la forme d'une image au format ISO (de 1,2 Go) qui sera à copier sur votre clef USB. Afin de vous assurer que le fichier récupéré est bien conforme à celui distribué, deux procédures vous sont proposées. La première consiste à vous rendre sur une page dédiée avec Firefox ou Tor brower :

• Télécharger Tails

Vous vous verrez proposer d'installer une extension. Une fois celle-ci en place, tout sera automatique : le fichier ISO sera téléchargé à l'emplacement de votre choix, puis vérifié. Une fois que tout sera terminé vous serez prévenu.

Si vous préférez ou devez utiliser un autre navigateur, il faudra récupérer manuellement le fichier ISO soit via BitTorrent, soit à travers un serveur classique dont le lien se trouve sur cette page. Dans les deux cas, vous trouverez le détail de la procédure de vérification via GPG par ici. Vous trouverez notre guide d'installation et d'utilisation par là.

Créer la clef USB d'installation

Ici, il y a deux façons de faire. La plus simple est réservée aux utilisateurs des distributions Debian, Mint ou Ubuntu qui pourront installer l'application tails-installer depuis un dépôt spécifique. La procédure à suivre est précisée par ici. Ceux qui sont sous Windows ou utilisent une autre distribution Linux devront passer par la création d'une clef intermédiaire, qui leur donnera ensuite accès à cette application. 

Tails-installer permet de mettre à jour une clef Tails existante ou d'en créer une nouvelle. C'est ce dernier choix qui nous intéresse aujourd'hui. Voyons maintenant la procédure à suivre selon les cas.

• Installation depuis Debian, Mint ou Ubuntu

• Ajout du dépôt depuis Debian

Ici, il faudra lancer l'application Software & Updates et se rendre dans l'onglet Other software. Vous pourrez alors ajouter le dépôt Backports en cliquant sur Add. La ligne à ajouter dépendra de la version de Debian installée :

deb http://http.debian.net/debian/ jessie-backports main
ou 
deb http://http.debian.net/debian/ stretch-backports main

• Ajout du dépôt depuis Mint ou Ubuntu

Mint et Ubuntu permettent d'utiliser un dispositif simplifié, les PPA (Personal Package Archives). Cela passe par une commande spécifique permettant l'ajout du dépôt et la récupération de sa clef publique :

sudo add-apt-repository ppa:tails-team/tails-installer

• Installation de tails-installer depuis Debian, Mint ou Ubuntu

Ensuite, lancez une mise à jour et récupérez l'installeur Tails avec la commande suivante dans un terminal en mode administrateur ou via sudo :

apt update && apt install tails-installer

Une fois la procédure terminée, une application « Programme d'installation de Tails » (tails-installer) sera disponible via le menu principal ou le terminal. Vous n'avez plus qu'à la lancer pour passer à la suite. 

• Installation de Tails sur la clef USB

Lancez l'application tails-installer puis finalisez la procédure. Vous devrez pour cela sélectionner le fichier ISO de Tails, connecter la clef USB où vous souhaitez l'installer et la sélectionner. Cliquer sur Install Tails puis confirmez. La procédure commence alors, les différentes étapes seront détaillées dans la partie basse de la fenêtre. 

Une fois l'installation terminée, vous êtes parés pour la première utilisation de Tails.

• Installation depuis une clef USB intermédiaire (Windows et autres versions de Linux)

Une fois l'image ISO téléchargée, il faut la copier sur l'une de vos deux clef USB et la rendre bootable. Ici, choisissez la clef la moins performante des deux, puisqu'elle ne servira qu'à créer une version intermédiaire de Tails qui nous permettra ensuite de mettre en place une version définitive sur la seconde clef.

• Copiez l'image ISO sur la clef et redémarrez

Pour ce faire, nous vous recommandons d'utiliser Etcher, une application open source (licence Apache 2.0) et multi-plateformes qui est assez efficace et simple à utiliser : vous sélectionnez le fichier ISO, la lettre de votre clef USB et vous n'avez plus qu'à attendre. Une fois la procédure terminée, redémarrez votre machine et bootez sur votre clef USB.

Si cela n'est pas automatique, vous devrez peut-être presser la touche F8, F10 ou encore F12 de votre clavier pour faire apparaître un menu. Cela dépendra du constructeur ou du modèle de votre machine, vous pouvez donc vous référer à son manuel ou à celui de sa carte mère.

• Lancez la version intermédiaire de Tails
  

Vous arriverez alors dans la version intermédiaire de Tails. Celle-ci est fonctionnelle, mais la documentation officielle précise qu'elle « manquera de fonctionnalités importantes comme les mises à jour de sécurité automatiques ou la possibilité de stocker des documents et des réglages dans un espace de stockage chiffré ».

Une première fenêtre vous proposera de choisir la langue de fonctionnement du système, mais aussi des options complémentaires comme la mise en place d'un mot de passe administrateur, le masquage d'adresse MAC ou les paramètres de connexion au réseau. Pour cette première étape, vous n'aurez rien de particulier à configurer, l'objectif étant seulement de créer une clef Tails définitive.

• Installation de Tails sur la clef USB définitive

Cliquez sur le menu principal Applications, puis Tails et Programme d'installation de Tails.Inserez la seconde clef USB dans votre machine puis sélectionnez l'installation par clonage. Vous devrez pour cela sélectionner la clef USB où vous souhaitez l'installer et la sélectionner. Cliquer sur Installer Tails puis confirmez. La procédure commence alors, les différentes étapes seront détaillées dans la partie basse de la fenêtre. 

Une fois l'installation terminée, vous êtes parés pour la première utilisation de Tails.

J'ai ma clef Tails, et maintenant, je fais quoi ?

Maintenant vous disposez d'une version parfaitement utilisable de Tails, que vous pouvez démarrer depuis n'importe quelle machine. Une fois votre système démarré, vous retrouverez l'interface de démarrage que vous avez déjà rencontré si vous avez dû passer par la clef intermédiaire.

Elle vous proposera de choisir la langue de fonctionnement du système, mais aussi des options complémentaires comme la mise en place d'un mot de passe administrateur, le masquage d'adresse MAC ou les paramètres de connexion au réseau. Une fois ces quelques paramètres validés, vous arrivez sur un bureau GNOME classique :

Par défaut, aucune connexion internet ne sera active, vous pouvez donc effectuer un travail hors-ligne si bon vous semble. Vous pouvez par exemple utiliser tails-installer pour créer d'autres clefs simplement pour des proches, ou effectuer une mise à jour de la vôtre lorsqu'une nouvelle version est disponible.

Comme nous l'avons évoqué précédemment, Tails dispose nativement de nombreuses applications qui visent à protégrer votre anonymat, votre vie privée ou qui sont dédiées à la sécurité. GPG sera ainsi présent, tout comme Thunderbird pour le chiffrement des emails, Tor Browser assurera votre navigation, etc.

Notez au passage que ce dernier pourra être remplacé par un navigateur « non sécurisé » si vous le jugez nécessaire. Il sera néanmoins un peu isolé du reste du système et n'aura par exemple pas accès à tous vos fichiers.

Vous retrouverez des noms connus comme Pidgin (IM), KeePassX (Gestion des mots de passe) ou Electrum (portefeuille bitcoin), mais d'autres applications sont de la partie. OnionShare vous permettra par exemple de partager simplement des fichiers depuis votre machine via le réseau Tor. Vous les sélectionnez, vous lancez le serveur et une adresse vous sera fournie. N'importe quel utilisateur qui la tapera accèdera à ces documents. 

Autre solution : Gobby. Ici, l'idée est de vous permettre de travailler à plusieurs sur un même document via une interface complète et un dispositif de discussion. Aircrack-ng vous permettra d'assurer un audit de vos réseaux sans-fil, alors que MAT (Metadata Anonymisation Toolkit) assurera le nettoyage des métadonnées de vos fichiers. 

Et puisque vous pouvez aussi avoir simplement envie de travailler ou de consulter des contenus multimédia vous trouverez LibreOffice, GIMP, Audacity, Brasero, Pitivi, etc. Bien entendu vous pouvez installer des logiciels supplémentaires dans Tails et tous les logiciels empaquetés pour Debian sont installables.

Persistance or not persistance ?

Par défaut, votre système Tails oubliera tous ses paramètres à chaque démarrage. Il nettoiera aussi la mémoire du système afin de ne pas laisser de traces. Mais vous pouvez avoir la volonté de retrouver certains éléments d'une session à une autre : une clef GPG, des comptes email ou IM, des favoris, un portefeuille bitcoin, etc. 

Pour cela, le principe de persistance existe dans Tails, avec une application qui vous permet d'utiliser l'espace libre de votre clef USB afin de créer un conteneur chiffré où seront stockées vos données. Cela vous apportera un confort supplémentaire, mais aussi un risque à travers la récurrence d'accès et le fait que ces données se retrouvent sur un élément qui peut facilement être perdu, vous être volé, etc. Comme souvent, tout dépendra de votre modèle de menace.

Quoi qu'il en soit, la mise en place est assez simple : vous choisissez une phrase de passe, ainsi que les différentes données qui peuvent être stockées dans cet espace (tous les détails sont par ici)... et c'est tout. La suite de procédure est automatique. Vous pouvez bien entendu accéder à ces données depuis un système tiers, le chiffrement étant assuré par LUKS, mais ceci est fortement déconseillé pour des questions de sécurité. 

Vous pouvez désormais librement utiliser votre clef Tails et ses éventuelles donnés complémentaires.  Et si jamais vous ne savez pas quoi faire le week-end prochain, sachez qu'il est possible de construire un Tails personnalisé. Selon l'équipe, cela nécessite « environ une heure sur un ordinateur de bureau récent » (mais aussi un peu de savoir-faire). N'hésitez pas à nous faire part de vos propres expériences au sein de nos commentaires.