Haai Habr.
Dit is ons, VPN-diens . Ons werk tans tydelik aan die HideMyna.me-spieël. Hoekom? Op 20 Julie 2018 het Roskomnadzor ons bygevoeg weens die beslissing van die Medvedevsky-distrikshof in Yoshkar-Ola. Die hof het beslis dat besoekers aan ons webwerf onbeperkte toegang het tot ekstremistiese materiaal #withoutregistrationisms, en het op een of ander manier die boek "Mein Kampf" deur Adolf Hitler daarop gevind. Blykbaar, vir betroubaarheid.
Hierdie besluit het ons baie verras, maar ons gaan voort om aan hidemyna.me, hidemyname.org, .one, .biz, ens. te werk. 'n Langdurige argument met Roskomnadzor het nie tot enige resultaat gelei nie. Terwyl ek en my prokureurs die blokkering en die magiese hofbeslissing uitdaag, deel ons basiese wenke met jou om privaatheid op die internet en nuus oor hierdie onderwerp te handhaaf.
Edward Snowden is lief vir die National Security Agency (waarskynlik)
Dit is geen geheim dat gewilde Russiese dienste onveilig is nie. Jou korrespondensie kan te eniger tyd onder die aandag van binnelandse wetstoepassers kom. Ons vertel jou wat jy moet onthou wanneer jy deur verskillende kommunikasiekanale kommunikeer.
SORM en ORI
Daar is maniere om jou foon te tik. Amptelike en wettige - SORM, 'n stelsel van tegniese middele om die funksies van operasionele ondersoekaktiwiteite te verseker. Volgens wet in die Russiese Federasie word alle sellulêre operateurs verplig om so 'n stelsel op hul PBX's te installeer as hulle nie hul lisensie wil verloor nie. Daar is drie tipes SORM: die eerste is in die 80's uitgevind, die tweede het in die 2014's begin geïmplementeer word, en hulle probeer sedert XNUMX om die derde op operateurs af te dwing. , gebruik die meeste operateurs die tweede tipe, maar in 70% van gevalle werk die stelsel nie reg nie of werk glad nie. Dit is egter steeds beter om nie sensitiewe onderwerpe oor 'n landlynfoon of deur 'n gereelde oproep vanaf 'n selfoon te bespreek nie.
Skema van werking van SORM-2 (Bron: mfisoft.ru)
Volgens 97-FZ moet enige boodskappers, dienste en webwerwe wat in Rusland werk, in die register ingesluit word . Deur "“Daar word van hulle verwag om alle gebruikersdata, insluitend stemoproepopnames en korrespondensie, vir ses maande te stoor. Terloops, ARI het ook Habrahabr.
Die werking van die register word in detail beskryf deur Threema as voorbeeld te gebruik, maar die hoofgevolgtrekking is dit: nou, op versoek van die Russiese owerhede, kan enige inligting oor jou in wetstoepassingsagentskappe beland. Daarom is die eerste ding om te doen om vertroulikheid te handhaaf, om oproepe en boodskappe na kitsboodskappers oor te dra, wat nie in die ARI-register is nie. Of dié wat daar is, maar weier om data aan die owerhede oor te dra – soos Threema en Telegram.
Sertifikaat: Om bloot in die ARI-register te wees, waarborg nie dat die data na die owerhede oorgedra sal word nie. Jy moet voortdurend die nuus dophou en kyk na die boodskapper se reaksie wanneer hulle vir hom "kom".
Stemoproepe en boodskappe
Ons gesprekke en boodskappe kan beskerm word teen derdeparty-inmenging deur end-tot-end-enkripsie, en daarom word boodskappers met E2E as die veiligste beskou. Maar dit is nie heeltemal waar nie: kom ons kyk na gewilde opsies.
telegram end-tot-end enkripsie in hul geheime geselsies en stoor geënkripteerde data oor jou korrespondensie in die wolk, wat oor verskillende lande met 'veilige' jurisdiksie versprei is. Maar daarna op Habré kan jy begin om die illusie van sekuriteit van Telegram Paspoort in E2E van Durov te twyfel.
Geheime geselsies is natuurlik steeds 'n goeie opsie vir paranoïes. Die bediener is glad nie betrokke by hul enkripsie nie: boodskappe word eweknie oorgedra, dit wil sê direk tussen die deelnemers aan die korrespondensie. Vir ekstra gemoedsrus kan jy die timerboodskap selfvernietigingsfunksie gebruik. Maar jy moet nie blindelings op Telegram staatmaak nie. Om dit 'n bietjie veiliger te maak, moet jy en jou ontvanger na die boodskapper-instellings gaan en ten minste twee dinge doen:
- Stel 'n wagwoord in wanneer u by die toepassing aanmeld (Privaatheid en sekuriteit -> Code);
- Aktiveer tweestap-verifikasie (Privaatheid en sekuriteit -> Tweestap-verifikasie).
Hierna sal die toepassing, benewens die kode van die SMS, wanneer u vanaf 'n nuwe toestel aanmeld, 'n wagwoord vra wat net u ken.
Tans beskerm aanmeldbevestiging slegs per SMS op geen manier 'n persoon wat 'n Russiese SIM-kaart gebruik nie. Gevalle van inbraak van Telegram-rekeninge deur 'n onderskepte SMS-boodskap is reeds bekend - in 2016, aanvallers na die korrespondensie van verskeie opposisiepartye, en in 2017 rekening van Dozhd-joernalis Mikhail Rubin.
WhatsApp vir nou vermy dit die ORI-register en gebruik ook end-tot-end enkripsie, maar alles is nie so rooskleurig daarmee nie. Ons het onlangs gepubliseer oor inwoners van Magadan wat onderhewig was aan 'n strafsaak omdat hulle die stadsburgemeester gekritiseer het. Hierdie storie het gelukkig met die gewone boete geëindig. Maar dit het die vrese van gebruikers bevestig: dit is nie veilig om in WhatsApp-groepkletse te kommunikeer nie.
Wat sal gebeur?
- Sodra jy 'n boodskap skryf, sal jou foonnommer onmiddellik vir alle groeplede beskikbaar wees. En jou identiteit kan maklik deur die nommer bepaal word.
Wat om te doen?
- Die oplossing kan 'n "linker" SIM-kaart of 'n buitelandse nommer wees - verkieslik 'n Europese een.
As jy 'n Russiese kaart gebruik wat in jou naam geregistreer is, vermy sarkastiese opmerkings in groepe met name soos "Bedank vir die burgemeester": dit is beter om net persoonlike korrespondensie en oproepe vir WhatsApp te los.
Viber is ook nie in die ORI-register gelys nie, maar handhaaf kommunikasie met die Russiese owerhede (in sy vrye tyd van die stuur van strooipos). Hierdie boodskapper was een van die eerstes wat aan die nuwe regeringsvereistes voldoen het: dit stoor aanmeldings en telefoonnommers van Russiese gebruikers op die grondgebied van die Russiese Federasie, maar verskaf boodskapdata — verwys na die meganika van end-tot-end-enkripsie en korporatiewe beleid.
appel gebruik ook end-to-end, maar wanneer jy by iMessage registreer, skep dit twee sleutelpare: privaat en publiek. Die boodskap wat jy van dieselfde eienaar van 'n Apple-toestel ontvang, word met enkripsie aan jou oorgedra, wat 'n publieke sleutel gebruik. Dit kan slegs gedekripteer word met die ontvanger se private sleutel, wat op sy toestel gestoor word. Jy kan lees oor hoe Apple gebruikers se privaatheid beskou en wat dit sal doen as dit 'n versoek van die regering ontvang Daar was geen aangetekende gevalle van die maatskappy wat data van Russiese gebruikers na die Russiese owerhede oorgedra het nie.
Bron:
Maar iMessage het twee nadele:
- Jy kan deur hierdie kanale net na dieselfde Apple-eienaar skryf of bel;
- As jy probleme met jou internetverbinding het, sal die boodskap oor 'n gewone sellulêre kanaal gaan en 'n eenvoudige SMS word wat maklik onderskep kan word.
Om te verhoed dat iMessage in SMS verander, kan jy hierdie kenmerk in Instellings deaktiveer.
Navorsers van die Electronic Frontier Foundation dat daar geen honderd persent veilige opsie vir oproepe en boodskappe is nie. As sommige boodskappers die owerhede verhoed om jou private data te bekom, beteken dit nie dat kuberkrakers (of die staat, wat hul dienste kan gebruik) dit nie kan doen deur die wette te omseil nie. Om die gebruiker vertroue te gee dat daar geen man-in-die-middel is nie, het Telegram 'n lekker funksie: wanneer hulle bel, kan beide ontvangers seker maak dat hulle dieselfde emoji in die regter boonste hoek van die skerm sien - dit sal die afwesigheid van "inbraak" in die verbinding.
As jy op soek is na 'n veiliger manier om te kommunikeer, beveel ons aan om verder te kyk as geheime kletse, wagwoorde en tweestap-/tweefaktor-verifikasie na minder gewilde nisprogramme soos of .
Ek gebruik elke dag Signal. #notesforFBI (bederf: hulle weet reeds)
E-pos
Gewilde maatskappye wat dit moontlik maak om hul e-poskliënte te gebruik (in Rusland is dit Yandex, Mail.Ru en Rambler) is reeds by die ARI-register ingesluit, wat beteken dat hulle nie baie veilig is nie. Ja, Mail.Ru Group kriminele sake vir memes en amnestie vir diegene wat skuldig bevind is, maar kan op versoek inligting oor jou data aan die owerhede gee.
Selfs as jy Westerse e-poskliënte soos Gmail of Outlook gebruik, twee-faktor-verifikasie geaktiveer het en weet dat jou e-pos geënkripteer is met 'n veilige SSL/TLS-protokol, kan jy nie seker wees dat jou ontvanger se e-pos ewe beskerm is nie.
Beskermingsopsies:
- Wanneer jy sensitiewe inligting stuur, enkripteer e-posse met Pretty Good Privacy (). Hierdie program help om die data van 'n brief te omskep in 'n betekenislose stel karakters vir almal behalwe die sender en ontvanger;
- Wanneer u belangrike inligting stuur, let altyd op die ontvanger se domein en moenie na 'n verdagte adres skryf nie;
- Kontroleer vooraf met die ontvanger of hy of sy aanstuur of afhaal van pos deur die Russiese posdiens opgestel het.
In die geval van binnelandse maatskappye uit die ORI-register, sal geen enkripsie aan die gebruikerskant in beginsel help nie. Inligting word nie onderskep nie, maar deur eindpunte gestoor en versend - soortgelyke dienste. Die enigste oplossing kan wees om hulle te vervang met veiliger analoë soos ProtonMail, Tutanota of Hushmail. Meer sulke e-posdienste kan gevind word by bladsy.
Sosiale Netwerke
Om mee te begin, verminder u teenwoordigheid op gewilde Russiese sosiale netwerke - "My World", "Odnoklassniki" en "VKontakte". Facebook gee ten minste nie jou data aan Russiese intelligensie-agentskappe oor nie. Ten minste, geen sulke gevalle is aangeteken nie.
Maar dit is interessant dat die maatskappy in 2017 steeds aan 85% van die versoeke van die Amerikaanse regering voldoen het:
Skermskote van
As jy te gewoond is aan VK, maar nie in die beskuldigdebank wil beland nie, let op 'n paar dinge:
- jou gestoorde prente;
- plasings, opmerkings en boodskappe wat jy skryf;
- plasings waarvan jy hou;
- plasings wat jy deel;
- gebruikers met wie jy vriende is.
In al die bogenoemde is dit die beste om enigiets te vermy wat as aanstootlik of ekstremisties beskou kan word. Onthou altyd dat "deel" beteken om "onwettige" inligting aan ten minste een persoon te kommunikeer. Prokureur van die internasionale menseregtegroep "Agora" Damir Gainutdinov beweer dat volgens die wet, ORI selfs konsepte van ongestuurde boodskappe aan wetstoepassingsagentskappe. Lees meer oor hoe om nie gevang te word vir herplasing nie
Terloops, vir 'n geruime tyd kan enigiemand wat u telefoonnommer het, u by verstek op VKontakte vind, selfs al openbaar die bladsy self nie u regte identiteit nie.
Jy kan verhoed dat mense jou volgens nommer in jou profielinstellings kry (Instellings -> Privaatheid -> Kontak my). Maar dit sal jou natuurlik nie van die spesiale dienste red nie. Moenie oproepe en videokommunikasie op VKontakte gebruik nie: dit is onbekend of die netwerk hulle eintlik end-tot-end enkripteer, soos die administrasie beweer.
Webwerf sekuriteit
Die enigste goeie nuus is dit Alle gewilde werwe op die internet het reeds 'n https-weergawe of het heeltemal oorgeskakel na die gebruik van slegs https-weergawes. Inligting wat op sulke webwerwe ontvang en versend word, is geïnkripteer en kan nie deur derde partye gelees word nie. Sulke hulpbronne is in groen en die woord "beskerm" gemerk.
Dit is waar die goeie nuus eindig. Ten spyte van die https-protokol, bly die feit van die besoek van so 'n webwerf en DNS-versoeke (inligting oor watter domeine jy toegang verkry het) steeds sigbaar vir die internetverskaffer.
Maar nog 'n stukkie nuus is selfs erger: die oorblywende helfte van die werwe werk met die gewone http-protokol, dit wil sê sonder data-enkripsie. Die oplossing kan 'n VPN wees, wat absoluut alle ontvang en versend data enkripteer sodat daar geen leesbare inligting aan die kant van die internetverskaffer en enigiemand is wat tussen jou en die eindwerf probeer infiltreer nie. Die enigste ding wat sigbaar sal wees, is die feit om aan 'n sekere IP-adres op die internet te koppel (dit wil sê aan 'n VPN-bediener). En niks meer nie.
Ons sal bly wees as die lewe regtig skielik so eenvoudig word: skakel die VPN aan en vergeet van die lek van sensitiewe inligting. Maar dis nie waar nie. Kontroleer gereeld of u gunsteling hulpbron by die ARI-register ingesluit is, monitor hoe dit met die owerhede in wisselwerking tree, kontroleer aktiewe verbindings in die instellings van kitsboodskappers en sosiale netwerke en stel verdagtes terug (en maak dan seker dat u wagwoorde verander).
wêreldwyd
Wanneer daar met kommunikasiekanale en data-oordrag gewerk word, maak slegs 'n omvattende benadering tot sekuriteit en privaatheid sin. Volg internetsekuriteitsgebeure in ons Telegram-kanaal , Aanlyn en oor ander hulpbronne wat aan geleenthede op die internet en veral RuNet gewy is.
Watter veiligheidsmaatreëls tref jy?
Bron: will.com