Chiffrer des fichiers sur une clé USB, Détecter les liens malveillants derrière les URLs raccourcies : procédure étape par étape pour RSSI

Chiffrer des fichiers sur une clé USB, Détecter les liens malveillants derrière les URLs raccourcies : procédure étape par étape pour RSSI

Sommaire

1. Introduction — objectifs et public visé

Ce tutoriel pratique et exhaustif décrit comment chiffrer des éléments sur une clé USB pour protéger des données sensibles et comment vérifier une URL raccourcie sans ouvrir la cible potentiellement dangereuse. Le contenu est destiné aux RSSI, administrateurs, équipes SOC, aux consultants sécurité et aux utilisateurs avancés souhaitant une mise en œuvre opérationnelle, reproduisible et documentée. Toutes les procédures sont fournies pas à pas (GUI) et avec commandes/scripts prêt à l’emploi (PowerShell, Bash, Python) pour l’automatisation.

2. Concepts clés : chiffrement portable et risques des URLs raccourcies

  • Chiffrement portable : protéger les données stockées sur des médias amovibles (USB) via chiffrement de volume (ex : VeraCrypt, LUKS) ou chiffrement natif (BitLocker To Go). Avantage : confidentialité en cas de perte/vol.
  • URLs raccourcies : elles masquent la destination réelle. Si le lien est malveillant, clic direct peut mener à phishing, drive-by download ou redirection vers des pages compromettantes. Vérifier l’URL avant d’accéder est une règle de base de l’hygiène numérique.

3. Pré-requis et recommandations de sécurité avant intervention

  1. Droits administrateur sur les machines où sera créé le conteneur (Windows/Mac/Linux).
  2. Support USB : utiliser une clé USB de bonne qualité ; pour environnements sensibles préférer clé hardware encrypted (ex : YubiKey/ Kingston IronKey).
  3. Sauvegarde préalable : copier les données sources dans un dossier sûr avant chiffrement.
  4. Gestionnaire de mots de passe pour stocker phrases de passe (ex : Bitwarden, 1Password).
  5. Environnement de test : réaliser d’abord la procédure sur une clé de test.
  6. Politique d’entreprise : documenter et valider toute mise en place de chiffrement avec le DSI/RSSI et le DPO si données personnelles.

PARTIE A — Chiffrer des éléments sur une clé USB

4.1 Choix de la méthode (résumé rapide)

  • BitLocker To Go (Windows) : intégré, simple, bonne interopérabilité Windows, nécessite Pro/Enterprise pour certaines options.
  • VeraCrypt : conteneur chiffré multi-plateforme (Windows/macOS/Linux), fort niveau cryptographique (AES, Serpent, Twofish).
  • Cryptomator : chiffrement fichier-par-fichier, idéal si synchronisation cloud + USB, open source, simple.
  • LUKS : standard Linux pour chiffrement de disque/partition, adapté pour postes Linux/serveurs.

4.2 Méthode 1 : BitLocker To Go (Windows) — procédure pas à pas complète

Contexte : machine Windows 10/11 Pro/Enterprise.

Étape 0 — Préparation

  1. Insérer la clé USB dans un port USB disponible.
  2. Faire une copie locale des fichiers sensibles : ouvrir Explorateur de fichiers → naviguer vers la clé USB (ex : E:\) → copier les fichiers dans E:\BackupBeforeEncrypt\.

Étape 1 — Activer BitLocker To Go (pas à pas)

  1. Ouvrir le Panneau de configuration (taper Panneau de configuration dans le menu Démarrer).
  2. Cliquer sur Système et sécurité → BitLocker Drive Encryption.
  3. Repérer la clé amovible (ex : Lecteur amovible (E:)) → cliquer sur Activer BitLocker.
  4. Dans la fenêtre Choisir comment déverrouiller le lecteur, sélectionner Utiliser un mot de passe pour déverrouiller le lecteur → entrer une phrase de passe robuste (min. 16 caractères, mélange lettres-chiffres-symboles) → Suivant.
  5. Sauvegardez la clé de récupération : choisir Enregistrer sur un fichier (ne pas l’enregistrer sur la même clé!) ou Imprimer → Suivant.
  6. Choisir Chiffrer l’espace utilisé uniquement (rapide) ou Chiffrer tout le lecteur (recommandé) → Suivant.
  7. Sélectionner le mode de chiffrement compatible (si usage multi-plateforme, préférer mode compatible). → Démarrer le chiffrement.
  8. Patienter jusqu’à la fin ; boîte de dialogue indique que le chiffrement est terminé.

Étape 2 — Test d’accès

  1. Éjecter la clé USB (clic droit sur l’icône USB → Éjection), puis la réinsérer.
  2. À l’insertion, Windows demande le mot de passe pour déverrouiller ; entrer la phrase de passe choisie → vérifier que tous les fichiers sont lisibles.
  3. Supprimer la copie E:\BackupBeforeEncrypt\ si tout est OK.

Remarques opérationnelles

  • Ne pas stocker la clé de récupération avec la clé elle-même.
  • Documenter l’utilisateur autorisé et la procédure de récupération.
  • Pour postes non-Windows : BitLocker To Go nécessite un lecteur compatible (ex : lecteur libre dislocker sous Linux).

4.3 Méthode 2 : VeraCrypt (conteneur chiffré multi-OS) — installation et procédures détaillées

Pourquoi VeraCrypt ? Conteneur unique chiffré montable comme lecteur virtuel. Bonne portabilité.

Prérequis

Installation (pas à pas Windows)

  1. Ouvrir le navigateur et aller sur https://www.veracrypt.fr/en/Home.html.
  2. Cliquer sur Downloads → choisir la version Windows → télécharger l’exécutable.
  3. Double-cliquer sur le fichier téléchargé → dans l’assistant d’installation → Next → accepter la licence → Install.
  4. Clic Finish.

Créer un conteneur chiffré (pas à pas)

  1. Lancer VeraCrypt (menu Démarrer → VeraCrypt).
  2. Cliquer sur Create Volume → choisir Create an encrypted file container → Next.
  3. Sélectionner Standard VeraCrypt volume → Next.
  4. Volume Location : Select File → naviguer vers la clé USB (ex : E:\) → entrer un nom SensitiveVault.hc → Save → Next.
  5. Encryption Options : laisser AES par défaut ou sélectionner une combinaison (AES + Serpent) → Next.
  6. Volume Size : définir taille (ex : 5 GB) → Next.
  7. Volume Password : entrer une passphrase longue (>20 caractères) → Next.
  8. Filesystem : choisir NTFS si fichiers >4GB requis → Format.
  9. Après format, le conteneur est créé.

Monter et utiliser le conteneur

  1. Dans l’interface principale VeraCrypt, sélectionner une lettre libre (ex : X:).
  2. Cliquer Select File → sélectionner E:\SensitiveVault.hc → Mount → saisir la passphrase → OK.
  3. Le conteneur apparaît comme lecteur X: dans l’Explorateur ; copier/collez les fichiers sensibles ici.
  4. Démonter après usage : sélectionner le volume dans VeraCrypt → Dismount.

Utilisation multi-OS

Bonnes pratiques

  • Sauvegarder la passphrase dans un gestionnaire sécurisé.
  • Avoir au moins une copie chiffrée sur stockage hors site.

4.4 Méthode 3 : Cryptomator (fichier-par-fichier) — idéal pour sync cloud + USB

Cas d’usage : si besoin d’accéder aux fichiers chiffrés sur mobiles/PC et synchroniser avec cloud, Cryptomator chiffre fichier-par-fichier.

Téléchargement : Cryptomator — https://cryptomator.org/

Procédure (pas à pas Windows / macOS)

  1. Télécharger et installer Cryptomator depuis https://cryptomator.org/.
  2. Ouvrir Cryptomator → Create Vault → choisir emplacement sur la clé USB (ex : E:\Cryptos\Clients) → Create.
  3. Définir une passphrase forte → Create.
  4. Unlock Vault → monte comme lecteur virtuel → copier fichiers → Lock puis ejecter la clé.

4.5 Méthode 4 : LUKS (Linux) — commandes détaillées (pas à pas)

Attention : LUKS opère au niveau bloc ; sauvegardez avant toute manipulation.

Préparation

  1. Insérer la clé USB → identifier le périphérique :
lsblk
# exemple de sortie : sdb 8:16 1 7.5G 0 disk
  1. Supposons que la clé est /dev/sdb1. Vérifier avec sudo fdisk -l /dev/sdb.

    Formater et chiffrer (commandes)

    1. Créer header LUKS et chiffrer :
    sudo cryptsetup luksFormat /dev/sdb1
    • Répondre YES et saisir la passphrase robuste.
    1. Ouvrir le volume :
    sudo cryptsetup open /dev/sdb1 secureusb
    1. Formater avec ext4 (ou autre) :
    sudo mkfs.ext4 /dev/mapper/secureusb
    1. Monter :
    sudo mkdir -p /mnt/secureusb
sudo mount /dev/mapper/secureusb /mnt/secureusb
    1. Copier les fichiers sensibles :
    cp -r ~/Documents/Important /mnt/secureusb/
    1. Démonter et fermer :
    sudo umount /mnt/secureusb
sudo cryptsetup close secureusb

    Restauration

    • Pour monter à nouveau : sudo cryptsetup open /dev/sdb1 secureusb puis sudo mount /dev/mapper/secureusb /mnt/secureusb.

    4.6 Bonnes pratiques de gestion des clés et récupération

    • Gestionnaire de mots de passe : stocker passphrases dans un coffre chiffré (Bitwarden, 1Password).
    • Redondance : imprimer « recovery cards » et les stocker en coffre physique si données très sensibles.
    • Rotation : changer les passphrases annuellement ou après incident.
    • Audit : consigner qui a accès à quelle clé (journal d’accès).

    4.7 Vérifications post-mise en place et tests de restauration

    1. Test d’ouverture : monter le volume sur une machine de test.
    2. Test cross-platform : vérifier que le conteneur est accessible sur Windows/macOS/Linux si nécessaire.
    3. Test de corruption : simuler récupération depuis sauvegarde pour s’assurer de la procédure.

    PARTIE B — Vérifier une URL raccourcie en toute sécurité

    5.1 Risques liés aux URLs raccourcies

    • Masquage de la destination malveillante (phishing, téléchargement automatique).
    • Masquage de domaines légitimes usurpés par typosquatting.
    • Redirections chainées vers l’open web / pages d’exploit.

    Principe : ne jamais cliquer sur une URL raccourcie depuis un contexte non-fiable sans analyse préalable.

    5.2 Méthode 1 : aperçu via service d’unshorten (pas à pas)

    Service recommandé (en ligne) : Unshorten.It (exemple) — https://unshorten.it/

    Procédure (pas à pas)

    1. Ouvrir le navigateur → aller sur https://unshorten.it/.
    2. Coller l’URL raccourcie dans le champ (ex : https://bit.ly/xyz) → cliquer Unshorten.
    3. Le site affiche la destination finale, des informations d’aperçu et parfois un screenshot.
    4. Exporter : copier la destination et la coller dans VirusTotal (section suivante) pour analyse.

    Alternative : CheckShortURL — https://checkshorturl.com/

    5.3 Méthode 2 : utilisation d’API et outils en ligne (VirusTotal, URLScan) — pas à pas

    A. VirusTotal (analyse URL)

    Site : VirusTotal — https://www.virustotal.com/

    Pas à pas :

    1. Ouvrir https://www.virustotal.com/ → cliquer sur URL dans l’interface.
    2. Coller l’URL raccourcie → Enter → VirusTotal effectue des tests (réputation, historique).
    3. Regarder l’onglet Relations pour connaitre redirections et domaines associés.
    4. Si l’URL est déjà classée malveillante, VirusTotal affichera les moteurs l’ayant détectée.

    API : pour intégration SIEM, utiliser l’API VirusTotal (clé API nécessaire). Documentation : https://developers.virustotal.com/reference

    B. URLScan.io (sandbox d’URL)

    Site : https://urlscan.io/
    Procédure : coller l’URL → lancer un scan → URLScan capture screenshot et comportement (scripts, redirect). Très utile pour SOC.

    5.4 Méthode 3 : vérification locale (curl, wget, HEAD requests) — commandes et scripts

    But : suivre les redirections sans exécuter de JavaScript ni charger la page dans le navigateur.

    A. Linux / macOS / WSL — curl (commande)

    # Afficher la chaîne de redirection sans télécharger la page
curl -IL --max-redirs 10 "https://bit.ly/example"
    • -I : en-têtes only (HEAD).
    • -L : suivre les redirections.
    • --max-redirs : limiter le nombre de redirections.

    Interprétation : regarder les en-têtes Location: pour connaître la destination finale. Ne télécharger jamais le corps en production.

    B. Windows PowerShell (Invoke-WebRequest)

    # PowerShell (sans exécuter JS)
$response = Invoke-WebRequest -Uri "https://bit.ly/example" -MaximumRedirection 10 -Method Head -UseBasicParsing
$response.Headers.Location

    C. wget (Linux)

    wget --max-redirect=10 --spider -S "https://bit.ly/example"
    • –spider : vérifier sans sauvegarder.

    5.5 Méthode 4 : automatisation (PowerShell / Python) pour SOC / RSSI

    A. PowerShell (script) — UnshortenAndScan.ps1

    # UnshortenAndScan.ps1
param(
  [Parameter(Mandatory=$true)][string]$ShortUrl,
  [string]$VirusTotalApiKey = ""
)
# 1) Unshorten using Invoke-WebRequest HEAD
try {
  $resp = Invoke-WebRequest -Uri $ShortUrl -Method Head -MaximumRedirection 10 -ErrorAction Stop
  $final = $resp.Headers.Location
  if (-not $final) {
    # if Location absent, try GET but safe
    $resp = Invoke-WebRequest -Uri $ShortUrl -MaximumRedirection 10 -ErrorAction Stop
    $final = $resp.BaseResponse.ResponseUri.AbsoluteUri
  }
  Write-Output "Final URL: $final"
} catch {
  Write-Error "Error resolving: $_"
  exit 1
}
# 2) Optional: query VirusTotal (if key provided)
if ($VirusTotalApiKey -ne "") {
  $vturl = "https://www.virustotal.com/api/v3/urls"
  # Must POST encoded URL per VT API (not detailed here — refer to docs)
  Write-Output "VirusTotal integration: see https://developers.virustotal.com/reference"
}

    Déploiement : placer dans C:\Tools\ et exécuter en tâche planifiée ou via SIEM runbook.

    B. Python (script simple)

    # unshorten_check.py
import requests
import sys

def unshorten(url, max_redirects=10):
    try:
        s = requests.Session()
        s.max_redirects = max_redirects
        r = s.head(url, allow_redirects=True, timeout=10)
        return r.url, r.history
    except requests.exceptions.RequestException as e:
        return None, e

if __name__ == "__main__":
    if len(sys.argv) < 2:
        print("Usage: python unshorten_check.py <short_url>")
        sys.exit(1)
    short = sys.argv[1]
    final, history = unshorten(short)
    print("Final URL:", final)
    print("History:")
    for h in history:
        print(h.status_code, h.headers.get('Location'))

    Remarque : exécuter dans environnement isolé sans navigateur. Pour SOC, enrichir avec VirusTotal / URLScan API.

    5.6 Passerelles pratiques : navigateur sécurisé, sandbox et règles d’alerte SIEM

    • Pour analyser une page suspecte : utiliser une VM dédiée, navigateur non connecté au réseau d’entreprise, ou sandbox (ex : Cuckoo).
    • Créer règle SIEM : si un utilisateur reçoit URL raccourcie externe et clique → créer alerte pour SOC.
    • Éduquer utilisateurs : utiliser preview services plutôt que cliquer.

    6. Études de cas opérationnelles (2 cas traités de bout en bout)

    Cas 1 — Chiffrement d’une clé USB pour transport de données clients

    Contexte : déplacement d’un dossier clients sensibles sur clé USB pour réunion hors site.
    Actions :

    • Choix : VeraCrypt conteneur 10 GB sur clé 16 GB.
    • Procédure : création conteneur (voir 4.3), copie fichiers, démontage.
    • Test : montage sur laptop de présentation (Windows) → mot de passe demandé → accès vérifié.
    • Résultat : données en transit protégées ; clé perdue → pas d’accès sans passphrase.

    Cas 2 — Vérification d’un lien raccourci reçu par email (phishing potentiel)

    Contexte : employé reçoit lien https://tinyurl.com/xyz dans un mail inattendu.
    Actions :

    1. Ne pas cliquer.
    2. Copie du lien → https://unshorten.it/ → destination révélée http://malicious.example.com/login.
    3. Passer par https://urlscan.io/ pour capture → page redirige vers domaine d’hébergement suspect et présence d’iframe.
    4. Rapport SOC : ajout IOC (URL) dans SIEM, blocage domaine au niveau proxy/firewall.
    5. Rotation des comptes potentiellement compromis.
      Résultat : attaque contenue, domaine bloqué, utilisateur sensibilisé.

    7. Checklist opérationnelle imprimable

    • Sauvegarde des données avant chiffrement
    • Choix méthode adapté (BitLocker/VeraCrypt/LUKS/Cryptomator)
    • Passphrase forte stockée en gestionnaire (au moins 20+ caractères ou phrase)
    • Copie de récupération (clé de récupération ou print) stockée en coffre
    • Test de montée sur poste cible (Windows/macOS/Linux)
    • Pour URLs raccourcies : utiliser unshorten, VirusTotal et URLScan avant tout clic
    • Automatisation : scripts PowerShell/Python déployés au SOC pour vérification automatique
    • Documentation (qui, quand, comment) et procédure de récupération enregistrée

    8. Limitations, conformité et aspects juridiques

    • Interopérabilité : BitLocker n’est pas nativement lisible sur macOS sans outils tiers. VeraCrypt ou Cryptomator conviennent mieux si multi-plateforme est requis.
    • Conformité : pour données personnelles (RGPD), documenter chiffrement, coffre de récupération et procédure d’accès.
    • Responsabilité : la sécurité dépend de la robustesse de la passphrase ; si la passphrase est perdue, récupération peut être impossible.

    Conclusion

    La protection des données en mobilité (clé USB) et la vérification systématique des URLs raccourcies sont des éléments essentiels d’une stratégie de cybersécurité moderne. En suivant les procédures détaillées ci-dessous, il est possible de mettre en place une défense pragmatique, reproductible et auditable : chiffrement robuste des supports amovibles, gestion sécurisée des clés, tests de restauration réguliers, et mise en place d’une surveillance automatique et d’un workflow d’analyse des URLs raccourcies.

    Pour sécuriser l’ensemble du parc, déployer des politiques de chiffrement centralisées (GPO, Intune), automatiser le monitoring des URLs entrantes et intégrer les contrôles à votre SIEM, nous proposons un audit gratuit et un POC technique.

    Contactez nos experts

    Liens externes recommandés

    Lectures recommandées

    Sommaire

    → Index