Le même pseudo partout : relier des comptes à une identité réelle
Le défi
Un compte anonyme utilise le pseudo 'm_bianchi' mais ne publie jamais de vrai nom. Ouvrez les sources et corrélez-les : le même pseudo apparaît sur un dépôt de code, un compte social et un forum, et l'un de ces profils se trahit. Trouvez le vrai nom de la personne et soumettez-le.
Ce que tu vas apprendre
- Pivoter à partir d'un pseudo réutilisé sur plusieurs plateformes
- Confirmer que des comptes appartiennent à une même personne via des avatars partagés et des liens croisés
- Lire le champ nom d'auteur d'un commit git comme fuite d'identité réelle
- Utiliser un Gravatar lié à un e-mail divulgué pour confirmer le lien
- Comprendre pourquoi la réutilisation d'un pseudo compromet l'anonymat
Compétences testées
Prérequis
- Connaissance des profils sociaux, de dépôts et de forums
- Compréhension de base de l'auteur d'un commit git
Comment ça marche
Les personnes qui veulent rester anonymes réutilisent souvent un seul pseudo mémorable sur tous les sites qu'elles fréquentent. C'est exactement cette commodité qu'exploite un enquêteur : un nom d'utilisateur est une clé de recherche, et le retrouver sur une deuxième plateforme relie les deux comptes. Une fois que plusieurs comptes sont liés - par un avatar partagé, un projet publié sur plusieurs sites, ou une signature de profil pointant vers un autre site - la question devient de savoir lequel des profils liés révèle accidentellement un vrai nom.
Dans ce cas, le pseudo m_bianchi apparaît sur un hébergeur de code, un compte social et un forum, et les trois sont reliés par le même dépôt home-lab-scripts et un avatar partagé. Aucune des bios publiques n'affiche de vrai nom. La fuite se trouve dans git lui-même : un commit enregistre le nom d'auteur à partir de la git config locale du committer, et ici on lit Marco Bianchi. L'e-mail présent dans ce champ auteur, [email protected], possède un Gravatar qui liste les mêmes comptes et une ville d'origine, ce qui referme la boucle.
Le tableau OSINT affiche chaque profil sous forme de carte. Aucune carte n'a de champ 'vrai nom' rempli : les champs nom du profil social, du forum et de Gravatar sont vides. La réponse vient de la corrélation entre l'identité liée et le seul artefact que l'utilisateur ne pouvait pas facilement effacer : l'auteur du commit git. Tout mène à Marco Bianchi.
Erreurs fréquentes
- Soumettre le pseudo.
m_bianchiest le nom d'utilisateur, pas le vrai nom demandé par la question. - S'arrêter au profil social ou au forum. Leurs champs de nom d'affichage sont volontairement vides ; seul le champ auteur du commit git révèle le nom.
- Ne pas relier les comptes d'abord. L'avatar partagé et le dépôt sont nécessaires pour être sûr que l'auteur GitHub est la même personne.
- Ignorer les métadonnées du commit. Le nom d'utilisateur et le nom d'auteur du commit sont deux champs différents - lisez les deux.
Comment s'en protéger
Si vous voulez séparer un pseudonyme en ligne de votre identité réelle, la discipline commence par ne jamais réutiliser le même pseudo et ne jamais laisser un outil inscrire votre vrai nom dans des artefacts. Git est le coupable classique car il enregistre silencieusement le nom présent dans votre configuration.
- Utilisez un nom d'utilisateur distinct, impossible à relier à vos autres comptes, pour chaque pseudonyme, avec un avatar différent à chaque fois.
- Définissez un
git config user.namepseudonyme et une adresse e-mail dédiée pour vos commits publics. - Ne reliez pas vos comptes entre eux dans vos signatures, publications épinglées ou sur Gravatar.
- Auditez votre propre empreinte avec des outils de recherche de pseudo, comme le ferait un enquêteur.