26 KiB
Introduction
Ce tutoriel est un résumé de mes réflexions personnelles tout au long de ma démarche de ré-appropriation de mes moyens de production individuels, à savoir mon ordinateur et mon téléphone portable. Cette démarche est issue d'une frustration vis-à-vis des outils proposés par Google et Microsoft, qui sont tout sauf conviviaux, et surtout totalement opaques dans leur fonctionnement du point de vue de l'usager. Je suis persuadé que de nombreux chemins mènent à cette même frustration, que ce soit par une volonté de maîtriser ses outils (sur les aspects de réparabilité, convivialité, etc...), de sécuriser ses données personnelles, de se libérer des réseaux et outils hégémoniques des GAFAM, de diminuer ses dépenses en moyens technologiques ou dans l'obsolescence des outils numériques, de soutenir les initiatives du monde du libre et de l'open source, etc...
L'idée ici est donc de proposer les moyens que j'ai sélectionné pour me libérer des GAFAM autant que possible. J'y discute les avantages ainsi que les limites de cette transition. J'y expose aussi quelques unes des méthodes (perfectibles) que j'ai mis en place, la démarche intellectuelle (personnelle) que j'ai suivi et des pistes destinées à passer le pas (ce qui peut être rapidement vertigineux). Je n'aime pas proposer une "checklist" à suivre, cela n'est pas un guide pas-à-pas, mais plutôt le moyen de suivre un certain cheminement de pensée et comprendre les choix que j'ai fait.
Je ne prétend pas être un fin connaisseur des architectures numériques (disons que je me débrouille assez pour mes besoins), à vous de vérifier mes dires (et éventuellement me faire des retours). Cela représente deux années de travail et de réflexion (et pas mal de galères :p). C'est un travail continu, qui évolue constamment à l'usage (et qui est donc très personnel). J'espère donner des pistes pour que chacun.e puisse plus facilement s'émanciper.
Dégoogliser son téléphone
Quitter Google (et Microsoft, etc...)
Il y a plusieurs raisons de quitter Google. Si d'abord j'avais entamé ma transition vers Linux par frustration vis-à-vis de Microsoft Windows, j'ai passé le pas pour Google pour d'autres raisons. Non pas que je trouvais l'interface conviviale (au contraire), mais car cela impliquait des changements dans mon usage plus profonds et plus risqués par rapport à mes accès à différents réseaux. L'élément déclencheur a plutôt été lié à la protection de mes données personnelles, dans une période où j'avais particulièrement besoin d'avoir confiance en ce que je partage ou non à des services tiers.
L'adage "si c'est gratuit c'est que c'est toi le produit" s'applique sans aucun souci à Google (et aux GAFAM en général). Proposer des services gratuits, et se rémunérer en fournissant les données des utilisateurices récoltées à l'intention d'agences publicitaires et/ou d'opinion. C'est un moyen central de renouvellement de l'hégémonie de la société de consommation, qui permet de modeler de manière adaptative les besoins des potentiels consommateurices. Cette méthode de surveillance et de profilage généralisée est un danger pour la démocratie, notamment à l'ère ou les multinationales qui détiennent nos données détiennent un monopole et militent activement pour le maintien et le développement des oppressions de classe, coloniales, patriarcales, etc... Les patrons de la tech américaine (qui sont les fournisseurs principaux des services dans le monde entier), ne se cachent même plus dans leur eugénisme, leur racisme décomplexé et leurs haine du peuple et des travailleureuses. Les données récoltées servent directement l'appareil d'État, OpenAI ayant montré en France que des requêtes ChatGPT pouvaient mener à une interpellation musclée par la police française. De même, les milices ICE aux États Unis se servent abondamment dans les données leurs permettant de cibler et emprisonner arbitrairement des personnes sur le sol américain. À tout cela, j'ai beaucoup entendu "je n'ai rien à cacher, je ne vois pas le problème personnellement"... demain, cela deviendra peut-être un besoin vital de ne pas être traqué par nos appareils. Cf source.
Mais au delà de ces préoccupations politiques, c'est aussi une émancipation. J'étais personnellement frustré de voir mon espace disponible lentement se remplir, jusqu'à saturer la mémoire de mon appareil, et voir les applications impossibles à désinstaller venant avec les services de Google. J'avais une 15aine d'applications sur mon écran d'accueil que je n'utilisais pas, qui récupéraient pourtant mes données, et que je ne pouvais pas supprimer ou bloquer. Je ne maîtrisais pas la sécurité de mon appareil, tout étant délégué à des services en lesquels je n'avais pas confiance (dois-je vraiment me protéger de potentiels virus me volant mes données, quand les services censés me protéger transmettent déjà mes données à Google ?). En quittant Google, je peux sécuriser mon téléphone en connaissant les informations qui rentrent et sortent de mon appareil, et en ayant une idée (même vague) d'où elles sont envoyées. Je peux aussi décider d'empêcher certains services d'agir (même si cela implique un fonctionnement moins performant).
Enfin, un dernier point porte sur les politiques récentes de Google vis-à-vis des applications libres et open source. D'ici septembre 2026, installer des applications libres et open source dont l'identité des développeureuses ne serait pas validée par Google deviendra impossible sur les appareils utilisant Google. Un moyen pour le géant de la tech d'écraser toute concurrence à son modèle économique. J'utilisais déjà des applications provenant du dépôt FossDroid, principal concerné par les restrictions, et c'est l'événement qui a déclenché le passage à l'acte de dégooglisation. Cf source.
Définir ses besoins
Le processus de dégooglisation est plus qu'un simple changement de système d'exploitation. Il s'agit plutôt de changer de paradigme, hors du cadre imposé par Google sur l'ensemble des appareils. Et donc, il faut aussi réflechir aussi à quel cadre nous impose Google.
Ce cadre, c'est celui de la création de besoin par la disponibilité du produit. D'abord, à l'aide d'applications imposées (la suite Google, comme Youtube, Google Drive, etc...): le produit existe sur mon appareil, c'est bien qu'il doit répondre à un besoin que j'ai. Ensuite, par la construction des applications (notamment l'App Store), qui nous proposent des fonctionnalités à "explorer", pour se rendre compte que nous avions terriblement besoin de cet outil que nous n'avions jamais demandé auparavant. Ce cadre constitue la structure, basée sur l'addiction à la nouveauté permanente et à la mise sous dépendance d'usage de chaque nouvelle application. Cela crée une décorrelation entre le besoin réel et le produit de consommation, qui est néfaste autant pour le consommateur que pour les développeureuses, qui ne créent plus pour répondre à des besoins d'usagers mais pour les rendre addict, et par là accroître le capital des actionnaires. Sortir de ce paradigme, c'est faire la démarche inverse: définir ses besoins, puis évaluer les produits existants pouvant y répondre (et créer son outil s'il n'existe pas). C'est aussi s'interroger sur le coût (humain, écologique, financier, sociétal) des outils et les risques que j'encours (sur ma vie privée, sur les conséquences possibles sur ma santé...), à mettre sur la balance face à notre sentiment de besoin (est-ce que cela vaut le coût de subvenir à ce besoin, est-il essentiel ?).
Pour changer de manière d'aborder les choses, suivre la philosophie UNIX peut-être intéressante. Elle se formule généralement avec la phrase "do one thing and do it well", c'est-à-dire qu'une bonne application est une application mono-tâche qui accomplit ce qu'on lui demande de la manière dont on lui demande. C'est une philosophie largement répandue dans le monde de l'open source et du libre, qui permet souvent des applications très efficaces dans leur domaine (pas forcément mais la spécialisation aide souvent).
Ainsi, en réfléchissant à tous ces axes (risques, coût, besoins, nécessité), j'ai pu définir mes besoins. Évidemment, ils sont amenés à évoluer, et surtout sont modelés par mes usages passés dans le cadre du paradigme précédent et de la société qui agit sur moi: ais-je vraiment besoin d'Instagram ? Je sais que mon besoin de réseaux sociaux comme Instagram est plus une addiction, et tendra peut-être à diminuer (jusqu'à être compensée par le risque de profilage que l'application représente) si j'arrive à trouver l'énergie de me sevrer... et dans ce cas se transformera, peut-être vers des applications semblables, libres et plus saines dans leur construction. Ces besoins sont donc:
- pouvoir communiquer à travers mes réseaux (téléphone, messageries, réseaux sociaux, mails, gestionnaire de contacts)
- avoir accès à des services essentiels pour moi (streaming musical et vidéo, accès à mes comptes bancaires, aux applications de transports, appareil photo...)
- avoir un accès sécurisé à internet (sans traqueurs, sans pubs)
- avoir un appareil sécurisé me permettant la double authentification (2FA)
- pouvoir couper les services quand je ne les utilise pas (autant au niveau software que hardware, en particulier micro, caméra, localisation, internet)
- minimiser les données que je transmet si elles ne sont pas utiles ou sécurisées suffisamment pour que j'accorde ma confiance au service qui les détient
- limiter mon exposition aux publicités ciblées
- minimiser le risque de fuites de données personnelles
Pour subvenir à ces besoins, j'ai identifié plusieurs pistes:
- adopter un comportement en ligne responsable et éclairé
- continuer à suivre les bases, à savoir éviter le phishing, les sites internet non sécurisés et inconnus, éviter de télécharger des fichiers sur internet les yeux fermés, refuser les cookies sur les sites, ...
- utiliser des mots de passe forts (et un gestionnaire de mot de passe en lequel j'ai confiance)
- utiliser au maximum un VPN au quotidien
- m'informer sur les risques liés aux fuites de données (par exemple grâce à la Quadrature du Net mais aussi d'autres ressources en ligne aussi diverses que variées
- changer mon téléphone pour une marque qui me permet de quitter google (FairPhone en l'occurence)
- changer de système d'exploitation pour une version sans Google
- quitter un à un les services de Google, et passer tous mes comptes essentiels sur une nouvelle adresse mail, ou demander la suppression des données si le service est non-essentiel
- adopter la philosophie UNIX pour les applications alternatives que j'adopte ("do one thing and do it well")
Un sacré travail en perspective !
Le plus difficile : lister ses comptes associés à Google
S'il y a une chose à faire en premier (car c'est LONG), c'est bien de préparer la suppression de son compte google (et donc la fermeture de son adresse Gmail). Le plus simple (pour commencer par le commencement), c'est de récupérer ses données. Une part de données (qui ne seront probablement jamais utiles) peut être récupérée via Google Takeout. Cela peut notamment être intéressant pour transférer ses abonnements youtubes sous un nouveau service en local (par exemple PipePipe ou NewPipe), ou encore exporter et archiver ses mails au format Mbox en local, pour plus tard pouvoir y accéder via Thunderbird par exemple. Dès lors que l'ensemble des mails sont sauvegardés, ils peuvent être supprimés sur gmail (intéressant quand on sait que Google et Microsoft se préparent à l'accès total de tous nos mails pour leurs services d'IA à des fins d'entraînement) et enfin enregistrer les contacts sauvegardés sur notre compte google. Il s'agit ensuite de vider les différents cloud (Google Drive, ou autres cloud détenus par les GAFAM), pour stocker tout en local.
Cette phase est relativement longue, car Google détient beaucoup de données, et il serait malvenu de supprimer son compte avant de découvrir que nos contacts sont enregistrés chez eux et les perdre intégralement.
Ensuite, l'étape la plus longue est celle consistant à retrouver toutes les occurences de mon adresse gmail sur les comptes que j'ai pu créer. C'est mon problème principal encore aujourd'hui, car j'ai une adresse gmail depuis 2013, à laquelle sont liés 100% des comptes que j'ai créé en 13 ans. Je n'ai évidemment jamais noté les comptes que je créais. J'attend, pour supprimer mon compte google, de ne plus avoir peur de perdre des services essentiels qui seraient dépendants de mon accès à mon adresse gmail. J'ai trouvé quelques techniques pour aider à retrouver ses différents comptes:
- un premier moyen est de vérifier les services connectés à notre compte google (via internet, gérer mon compte google - Applis et services tiers).
- ensuite, on peut aussi regarder les mails automatiques de création de compte reçus sur notre adresse gmail (sauf si on les a, comme moi, supprimés au fur et à mesure).
- enfin, on peut définir une période (6 mois par exemple) où on conservera l'adresse, et où à chaque utilisation d'un compte lié à gmail, on changera l'adresse liée. Au bout de 6 mois, on peut imaginer que les services oubliés ne sont pas à ce point essentiels.
Une attention particulière peut être portée sur le changement d'adresse mail pour les services de l'État, qui peuvent devenir très embêtants si on perd l'adresse mail en question, surtout sachant que l'Identité numérique (qui permet de se connecter à tous les services de l'État) ne fonctionne pas sans les services de Google. Aussi, pour réduire la masse de comptes à modifier, un moyen peut aussi être de réfléchir encore une fois aux services dont j'ai réellement besoin (ce qui réduit drastiquement la liste, et surtout permet de trouver rapidement les services concernés). Ce qui ne veut pas dire que je vais oublier simplement les comptes restants, car mon objectif est aussi de supprimer ces comptes, ou si cela n'est pas possible facilement demander la suppression de mes données personnelles (merci les RGPD !).
Un problème majeur peut subsister, notamment si l'usage de services de google est nécessaire dans le cadre des études, du travail, de la famille... Pour les deux premiers, il est toujours possible de créer un nouveau compte Google, sans données permettant notre identification, et strictement utilisé dans le cadre du travail. Pour la famille... à vous de les convaincre de quitter aussi les GAFAM (l'occasion aussi de montrer à quel point l'accessibilité peut-être simplifié sans les innombrables services inutiles de Google).
Remplacer son adresse gmail
Pour pouvoir changer ses différents comptes liés à gmail, il faut évidemment trouver un service d'hébergement d'adresse mail alternatif. Dans ce cas, j'utilise ProtonMail (j'y paye l'abonnement de base), un service Suisse sécurisé. Il existe de nombreux fournisseurs similaires, comme TutaMail, FastMail... Reste aussi la possibilité d'auto-héberger son service de mail, ou de passer par un Chaton, ou en achetant de l'espace sur des serveurs de son choix. Je ne donne pas vraiment de raison à mon choix de Proton (je l'ai fait sans vraiment réflechir, c'était une décision que j'ai prise au tout début de mon parcours). Un désavantage certain est que la version gratuite ne permet pas de recevoir des mails sous Thunderbird (mais la version payante de base est abordable, et le service est de qualité). L'entreprise n'est aussi peut-être pas la plus éthique, j'ai pu voir des critiques ici et là sur sa politique. Aussi, Proton est peut-être un des seuls services que j'utilise qui dérogent à la règle "do one thing but do it well" (ils proposent un agenda, un mail, et un drive, ainsi qu'un gestionnaire de mot de passe et un VPN que je n'utilise pas), mais c'est une solution de facilité que j'ai trouvé en attendant de faire mieux. Un avantage (et je crois que Tuta le permet aussi) est que l'on peut régler une redirection des mails Gmail vers Proton, ce qui aide à se détacher de Google pendant les 6 mois de prospection des comptes associés à gmail. Il est aussi possible d'avoir plusieurs alias, menant à la même adresse, ce qui est assez pratique pour se prémunir du spam.
Sur le point de l'auto-hébergement, ou de l'usage d'un serveur personnel distant, je ne m'y suis pas encore attelé, mais c'est en projet car cela ouvre beaucoup de possibilités, notamment d'héberger un cloud par exemple.
En profiter pour changer ses mots de passe
Modifier son adresse mail sur ses comptes, c'est aussi l'occasion rêvée de changer ses mots de passe ! Le mauvais usage est généralement d'utiliser des mots de passe identiques, ou des "patterns" faciles à retenir pour se souvenir de tous ses mots de passe. C'est un moyen très facile pour les hackers de récupérer nos accès quand nos identifiants fuitent sur un site ou un autre, aussi un mot de passe fort et différent pour chaque compte est essentiel. Mais c'est embêtant, et la solution du calepin de mots de passe est une fausse bonne idée (il peut-être perdu, volé, etc...).
J'utilise un gestionnaire de mot de passe sécurisé par un mot de passe dit "maître", c'est-à-dire un mot de passe long mais unique, qui permet de débloquer tous les autres. Ma préférence s'est portée sur BitWarden, car il permet de stocker en local et de manière chiffrée tous ses mots de passe, et propose le remplissage automatique sur internet (sous réserve de s'être connecté à l'aide de son mot de passe maître précédemment). Il suffit alors de laisser bitwarden générer de nouveaux mot de passe forts (environ 14-16 caractères, avec majuscules, chiffres et caractères spéciaux), avoir un mot de passe maître unique en tête (25 caractères environ), et tout enregistrer sur le gestionnaire de mot de passes. Il existe évidemment des alternatives qui fournissent le même service, comme Proton qui propose son propre gestionnaire par exemple, ou encore des outils fonctionnant en local comme Keypass (connu pour être plus sécurisé que Bitwarden).
Changer de système d'exploitation
La plupart des téléphones sont aujourd'hui vendus nativement avec une version d'Android fonctionnant avec les services de Google (sans possibilité de les enlever). Certains d'entre eux sont même quasi-impossibles à "root" (c'est-à-dire prendre le contrôle pour installer un noyau de notre choix). Il s'agit donc de trouver les systèmes d'exploitation disponibles pour son téléphone.
Les différentes versions existantes sur le marché sont généralement basées sur Android (les autres versions de Linux n'étant pas à la hauteur aujourd'hui):
- postMarketOS (beaucoup de compatibilités, sert notamment au reconditionnement de vieux appareils)
- /e/OS (version très proche des android de google, mais sans la présence obligatoire des services google, beaucoup de compatibilités)
- LineageOS (version d'android complètement dégooglisée, servie avec une configuration minimale, assez compatible avec les appareils)
- GrapheneOS (uniquement compatible avec les Google Pixel, très sécurisé et performant)
De manière générale, les téléphones les plus faciles à dégoogliser sont (étonnament) les Google Pixel. Les constructeurs alternatifs peuvent aussi être intéressants, par exemple FairPhone qui propose même des téléphones directement sous /e/OS à l'achat (ce qui évite des manipulations sensibles).
Si le téléphone n'est pas directement livré avec le système d'exploitation, il faut chercher sur Internet, pour son téléphone en particulier, la compatibilité et la procédure à suivre pour le rooter. LineageOS par exemple propose un tutoriel pour chaque appareil supporté, à suivre du début à la fin pour installer un nouvel OS. De manière générale, il faudra utiliser un ordinateur, et suivre les procédures, qui impliqueront l'utilisation de "fastboot" et "adb", des outils dédiés pour la gestion d'Android par ligne de commande depuis un ordinateur. Comme souvent, "suivre le tutoriel" est la solution (le plus difficile est de trouver le tutoriel, puis de régler les problèmes à l'aide de reddit et stackoverflow).
J'utilise personnellement LineageOS, avec Trébuchet comme gestionnaire d'affichage (servi nativement), et en suis très heureux pour le moment. Au niveau du noyau, les services de Google ne sont pas actifs, et la sécurité est gérée par un outil linux intégré à Lineage. Mon téléphone est aussi chiffré (ses données ne sont pas déchiffrables sans accès autorisé au téléphone).
Sécuriser son accès à Internet
Pour sécuriser mes accès au réseau (et notamment éviter de donner mon adresse IP librement), j'utilise un VPN. Je le couple à un bloqueur de DNS qui permet d'empêcher les publicités intempestives. Ces services sont généralement payants, avec des fournisseurs assez variés. Au long de mes recherches, les meilleures possibilités que j'ai trouvées sont probablement Proton VPN, et Mullvad VPN. Personnellement, j'utilise Mullvad car c'est un des services les plus avancés et sûrs (création de compte sans identifiants tels que mail et téléphone, plusieurs méthodes de blocage des traqueurs de données, prix bloqué et assuré à 5€ par mois, garanties avérées de protections des données, bloqueurs de DNS intégrés).
De plus, j'évite d'utiliser au maximum des navigateurs internet privés (Google Chrome et Microsoft Edge pour ne pas les citer). À la place il y a l'embarras du choix: Brave, Firefox (et ses nombreuses branches), Tor... Personnellement, après plusieurs essais j'utilise Firefox, avec AdBlock en extension.
Enfin, j'évite aussi le moteur de recherche de Google (qui propose en abondance du contenu sponsorisé et des AIslop articles en boucle). Deux solutions ici, DuckDuckGo (qui a le mérite de fonctionner assez bien, et sur lequel il est possible de supprimer l'utilisation de l'IA pour la recherche) ou Searxng, qui propose différents fournisseurs d'agrégateurs de moteurs de recherche, avec des variations selon les instances (voir instances).
Au delà, la sécurité est toujours un compromis. Les bonnes pratiques (ne pas installer depuis des dépôts inconnus, faire régulièrement ses mises à jour, n'autoriser que le strict nécessaire à notre usage de l'application) suffisent généralement à minimiser le risque. Cela ne fera jamais de risque zéro, l'essentiel est d'être un minimum au courant des risques encourus quand on installe quelque chose.
Trouver des alternatives
Maintenant que l'usage du téléphone est sécurisé (autant que possible, la sécurité parfaite n'existe pas), il s'agit de subvenir aux besoins restants, et donc d'installer les applications associées. Pour l'usage classique du téléphone, des services sont déjà présents sur Lineage (appels, sms, agenda, calculatrice, ...) avec des applications open source. Pour le reste, l'idée pour éviter Google est de ne pas passer par le Google Play Store. Il y a peu d'alternatives, mais elles existent: d'abord, le téléchargement direct des fichiers d'applications via apkmirror sur internet... ce qui n'est pas vraiment recommandé, notamment pour la gestion des mises à jour. Ensuite, l'utilisation de gestionnaires de dépôts, comme F-droid qui fournit des applications libre et open source (FOSS en anglais). Ensuite, pour ce qui n'existe pas sur F-droid, j'utilise Aurora Store, qui est une "copie" du play store sans nécessité de se connecter à un compte Google (mode "anonyme").
Quand j'installe des applications, je me pose les questions suivantes:
- est-ce que l'application répond à un besoin essentiel pour moi ?
- est-ce qu'elle respecte la philosophie Unix (do one thing but do it well) ?
- est-elle libre et open source, ou existe-t-il une alternative libre et open source ?
- quel est le risque que je prend avec cette application ?
- ai-je un moyen de diminuer ce risque ?
En considérant la réponse à chaque question, j'estime si le compromis entre les avantages et inconvénients apportés me convient. Cela m'évite d'installer "compulsivement" des applications qui ne vont faire qu'aspirer mon attention sans que je l'accepte vraiment (ou pas, mais on se sépare difficilement des addictions implantées par des années d'usage des services des GAFAM).
Sur l'évaluation des risques, je pars généralement du principe que F-droid me donne les informations sur les risques (c'est en général écrit dans la description), et je compte ensuite sur Aurora pour détecter les différents traqueurs présents dans mes applications.
Sur la diminution des risques, j'utilise un 3ème outil (après F-droid et Aurora Store): ReVanced. C'est un outil de "patch" sur les applications, qui va venir changer le code source pour éviter certains services, traqueurs, gestionnaires de pubs... C'est en même temps un bénéfice (j'évite des traqueurs des GAFAM dans les applications supportées) et en même temps un risque (toucher au code source via des apk en ligne peut toujours comporter des risques de virus).
Une note importante: toutes les applications ne fonctionnent pas sans les services de Google. Pour ne pas la citer, "l'identité numérique" (je la cite quand même), service de l'état français, ne fonctionne pas sans services de Google. Il me semble qu'il existe des alternatives libres, comme microG, mais je ne me suis pas encore penché sur ça.
Prendre conscience des risques restants
Il n'y a pas d'usage sans risque, l'essentiel est ici d'être conscient des failles (et d'agir en conséquences). Je sais par exemple que Facebook Messenger, Instagram, mes applications de banque, ... possèdent des traqueurs connus (Google advertisment par exemple). J'essaie donc au maximum de diminuer progressivement mon empreinte numérique sur ces applications, et si pas possible au moins à sécuriser au maximum mon usage de ces dernières.
Un point sur lequel je me pose aussi des questions (avec peu de réponses) est sur la sécurité des applications. Je ne sais pas vraiment quand je peux me fier ou non à telle ou telle application. Je n'ai toujours pas de réponse sur ça.
Liste de mes alternatives
