Fevral ayında “Tək VPN deyil. Özünüzü və məlumatlarınızı necə qorumaq barədə fırıldaqçı vərəq." yazının davamını yazmağa sövq etdi. Bu hissə tamamilə müstəqil məlumat mənbəyidir, lakin yenə də hər iki yazını oxumağınızı tövsiyə edirik.
Yeni yazı ani messencerlərdə və proqramlarla işləmək üçün istifadə olunan cihazların özündə məlumatların təhlükəsizliyi məsələsinə (yazışmalar, fotolar, videolar, hamısı) həsr olunub.
Dərhal elçilər
Teleqram
Hələ 2018-ci ilin oktyabr ayında Wake Texniki Kollecinin birinci kurs tələbəsi Nathaniel Sachi Telegram messencerinin mesajları və media fayllarını yerli kompüter sürücüsündə aydın mətnlə yadda saxladığını aşkar etdi.
Tələbə öz yazışmalarına, o cümlədən mətn və şəkillərə daxil ola bildi. Bunun üçün o, HDD-də saxlanılan proqram verilənlər bazalarını öyrənib. Məlum olub ki, verilənləri oxumaq çətindir, lakin şifrələnməyib. İstifadəçi proqram üçün parol təyin etsə belə, onlara daxil olmaq olar.
Alınan məlumatlarda həmsöhbətlərin adları və telefon nömrələri tapıldı, istəsə, müqayisə edilə bilər. Qapalı söhbətlərdən gələn məlumatlar da aydın formatda saxlanılır.
Durov daha sonra bildirdi ki, bu, problem deyil, çünki təcavüzkar istifadəçinin fərdi kompüterinə daxil olarsa, o, heç bir problem olmadan şifrələmə açarlarını əldə edə və bütün yazışmaların şifrəsini aça biləcək. Lakin bir çox informasiya təhlükəsizliyi ekspertləri bunun hələ də ciddi olduğunu iddia edirlər.
Bundan əlavə, Telegram əsas oğurluq hücumuna qarşı həssas olduğu ortaya çıxdı Habr istifadəçisi. İstənilən uzunluqda və mürəkkəblikdə yerli kod parollarını sındıra bilərsiniz.
Bildiyimizə görə, bu messencer məlumatları şifrələnməmiş formada kompüter diskində də saxlayır. Müvafiq olaraq, təcavüzkarın istifadəçinin cihazına girişi varsa, bütün məlumatlar da açıqdır.
Ancaq daha qlobal bir problem var. Google və Facebook-un keçən il razılaşdığı kimi, hazırda Android ƏS-li cihazlarda quraşdırılmış WhatsApp-dan bütün ehtiyat nüsxələr Google Diskdə saxlanılır. Lakin yazışmaların ehtiyat nüsxələri, media faylları və s . Mühakimə etmək mümkün olduğu qədər, eyni ABŞ-ın hüquq-mühafizə orqanlarının əməkdaşları , beləliklə, təhlükəsizlik qüvvələrinin hər hansı saxlanılan məlumatı görə bilməsi ehtimalı var.
Məlumatları şifrələmək mümkündür, lakin hər iki şirkət bunu etmir. Bəlkə sadəcə ona görə ki, şifrələnməmiş ehtiyat nüsxələri istifadəçilərin özləri tərəfindən asanlıqla ötürülə və istifadə oluna bilər. Çox güman ki, şifrələmə yoxdur, çünki onu həyata keçirmək texniki cəhətdən çətindir: əksinə, ehtiyat nüsxələrini heç bir çətinlik çəkmədən qoruya bilərsiniz. Problem ondadır ki, Google-un WhatsApp ilə işləmək üçün öz səbəbləri var - ehtimal ki, şirkət və fərdiləşdirilmiş reklamları göstərmək üçün onlardan istifadə edir. Əgər Facebook qəfildən WhatsApp ehtiyat nüsxələri üçün şifrələmə tətbiq etsəydi, Google WhatsApp istifadəçilərinin seçimləri ilə bağlı qiymətli məlumat mənbəyini itirərək belə bir əməkdaşlığa marağını dərhal itirərdi. Bu, əlbəttə ki, sadəcə bir fərziyyədir, lakin yüksək texnologiyalı marketinq dünyasında çox güman ki.
iOS üçün WhatsApp-a gəldikdə, ehtiyat nüsxələr iCloud buludunda saxlanılır. Ancaq burada da məlumat şifrələnməmiş formada saxlanılır, bu, hətta proqram parametrlərində də qeyd olunur. Apple-ın bu məlumatları təhlil edib-etməməsi yalnız korporasiyanın özünə məlumdur. Düzdür, Kupertinonun Google kimi reklam şəbəkəsi yoxdur, ona görə də onların WhatsApp istifadəçilərinin şəxsi məlumatlarını təhlil etmə ehtimalının xeyli aşağı olduğunu güman etmək olar.
Bütün deyilənləri aşağıdakı kimi tərtib etmək olar - bəli, təkcə sizin WhatsApp yazışmalarınıza girişiniz yoxdur.
TikTok və digər messencerlər
Bu qısa video paylaşma xidməti çox tez populyarlaşa bilər. Tərtibatçılar istifadəçilərinin məlumatlarının tam təhlükəsizliyini təmin edəcəklərinə söz veriblər. Məlum olub ki, xidmətin özü bu məlumatlardan istifadəçiləri xəbərdar etmədən istifadə edib. Daha da pisi: xidmət valideynlərin razılığı olmadan 13 yaşdan kiçik uşaqlardan şəxsi məlumatları toplayırdı. Yetkinlik yaşına çatmayanların şəxsi məlumatları - adlar, e-poçtlar, telefon nömrələri, foto və videolar ictimaiyyətə açıqlanıb.
Xidmət bir neçə milyon dollar müqabilində tənzimləyicilər 13 yaşından kiçik uşaqların çəkdiyi bütün videoların silinməsini də tələb ediblər. TikTok buna əməl etdi. Bununla belə, digər messencerlər və xidmətlər istifadəçilərin şəxsi məlumatlarından öz məqsədləri üçün istifadə edir, buna görə də onların təhlükəsizliyinə əmin ola bilməzsiniz.
Bu siyahını sonsuza qədər davam etdirmək olar - əksər ani mesajlaşmalarda təcavüzkarların istifadəçiləri dinləməsinə imkan verən bu və ya digər zəiflik var ( — Viber, hər şey orada düzəldilmiş kimi görünsə də) və ya məlumatlarını oğurlayın. Bundan əlavə, ilk 5-dən olan demək olar ki, bütün proqramlar istifadəçi məlumatlarını qorunmayan formada kompüterin sabit diskində və ya telefonun yaddaşında saxlayır. Və bu, qanunvericilik sayəsində istifadəçi məlumatlarına çıxış əldə edə bilən müxtəlif ölkələrin kəşfiyyat xidmətlərini xatırlamadan. Eyni Skype, VKontakte, TamTam və başqaları səlahiyyətlilərin (məsələn, Rusiya Federasiyası) tələbi ilə hər hansı bir istifadəçi haqqında hər hansı bir məlumat verir.
Protokol səviyyəsində yaxşı təhlükəsizlik? Problemi yoxdu aparatı sındırırıq
Bir neçə il əvvəl Apple və ABŞ hökuməti arasında. Korporasiya San Bernardino şəhərində terror aktlarında iştirak edən şifrələnmiş smartfonun kilidini açmaqdan imtina edib. O zaman bu, əsl problem kimi görünürdü: məlumatlar yaxşı qorunurdu və smartfonu sındırmaq ya qeyri-mümkün, ya da çox çətin idi.
İndi işlər fərqlidir. Məsələn, İsrailin Cellebrite şirkəti Rusiya və digər ölkələrdəki hüquqi şəxslərə bütün iPhone və Android modellərini sındırmağa imkan verən proqram və aparat sistemi satır. Keçən il var idi bu mövzuda nisbətən ətraflı məlumatla.
Maqadan məhkəmə-tibbi müstəntiqi Popov ABŞ Federal Təhqiqatlar Bürosunun istifadə etdiyi eyni texnologiyadan istifadə edərək smartfonu sındırır. Mənbə: BBC
Cihaz dövlət standartlarına görə ucuzdur. UFED Touch2 üçün İstintaq Komitəsinin Volqoqrad şöbəsi 800 min rubl, Xabarovsk şöbəsi 1,2 milyon rubl ödəyib. 2017-ci ildə Rusiya Federasiyası İstintaq Komitəsinin rəhbəri Aleksandr Bastrıkin onun idarəsinin israil şirkəti.
Sberbank da bu cür cihazları alır - bununla belə, araşdırma aparmaq üçün deyil, Android OS-li cihazlarda viruslarla mübarizə aparmaq üçün. “Mobil cihazların naməlum zərərli proqram kodu ilə yoluxması şübhəsi yaranarsa və yoluxmuş telefonların sahiblərinin məcburi razılığı alındıqdan sonra müxtəlif vasitələrdən istifadə etməklə daim yaranan və dəyişən yeni virusların axtarışı üçün təhlil aparılacaq. UFED Touch2,” - şirkətdə.
Amerikalıların da istənilən smartfonu sındırmağa imkan verən texnologiyaları var. Grayshift 300 smartfonu 15 50 dollara sındırmağı vəd edir (bir vahid üçün 1500 dollar, Cellbrite üçün XNUMX dollar).
Çox güman ki, kibercinayətkarların da oxşar cihazları var. Bu cihazlar daim təkmilləşdirilir - ölçüləri azalır və performansları artır.
İndi biz istifadəçilərinin məlumatlarını qorumaqdan narahat olan böyük istehsalçıların az və ya çox tanınmış telefonlarından danışırıq. Daha kiçik şirkətlərdən və ya adı olmayan təşkilatlardan danışırıqsa, bu halda məlumatlar problemsiz silinir. HS-USB rejimi hətta yükləyici kilidli olduqda belə işləyir. Xidmət rejimləri adətən məlumatların götürülə biləcəyi “arxa qapı”dır. Əgər belə deyilsə, siz JTAG portuna qoşula və ya eMMC çipini tamamilə çıxara və sonra onu ucuz adapterə daxil edə bilərsiniz. Məlumat şifrələnməyibsə, telefondan bulud yaddaşına və digər xidmətlərə çıxışı təmin edən autentifikasiya nişanları da daxil olmaqla ümumilikdə hər şey.
Əgər kiminsə vacib məlumatı olan smartfona şəxsi girişi varsa, o zaman istehsalçıların nə deməsindən asılı olmayaraq, istəsələr, onu sındıra bilərlər.
Aydındır ki, deyilənlərin hamısı təkcə smartfonlara deyil, həm də müxtəlif əməliyyat sistemləri ilə işləyən kompüterlərə və noutbuklara aiddir. Qabaqcıl qoruyucu tədbirlərə müraciət etmirsinizsə, lakin parol və giriş kimi ənənəvi üsullarla kifayətlənirsinizsə, məlumat təhlükə altında qalacaq. Cihaza fiziki girişi olan təcrübəli haker, demək olar ki, istənilən məlumatı əldə edə biləcək - bu, yalnız vaxt məsələsidir.
Bəs nə etməli?
Habré-də fərdi cihazlarda məlumatların təhlükəsizliyi məsələsi bir dəfədən çox qaldırılıb, ona görə də biz təkəri yenidən ixtira etməyəcəyik. Biz yalnız üçüncü tərəflərin məlumatlarınızı əldə etmə ehtimalını azaldan əsas üsulları göstərəcəyik:
- Həm smartfonunuzda, həm də kompüterinizdə məlumat şifrələməsindən istifadə etmək məcburidir. Müxtəlif əməliyyat sistemləri tez-tez yaxşı standart xüsusiyyətləri təmin edir. Misal - standart alətlərdən istifadə edərək Mac OS-də kripto konteyneri.
- Telegram və digər ani messencerlərdə yazışmalar tarixi də daxil olmaqla, hər yerdə və hər yerdə parol təyin edin. Təbii ki, parollar mürəkkəb olmalıdır.
- İki faktorlu autentifikasiya - bəli, bu, əlverişsiz ola bilər, lakin təhlükəsizlik birinci yerdədirsə, buna dözmək lazımdır.
- Cihazlarınızın fiziki təhlükəsizliyinə nəzarət edin. Korporativ kompüteri kafeyə aparıb orada unudursunuz? Klassik. Təhlükəsizlik standartları, o cümlədən korporativlər, öz ehtiyatsızlıqlarının qurbanlarının göz yaşları ilə yazılmışdır.
Üçüncü tərəf fiziki cihaza giriş əldə etdikdə məlumatların sındırılması ehtimalını azaltmaq üçün üsullarınıza şərhlərdə baxaq. Daha sonra təklif olunan üsulları məqaləyə əlavə edəcəyik və ya onları öz səhifəmizdə dərc edəcəyik , burada müntəzəm olaraq təhlükəsizlik, istifadə üçün həyat hiylələri haqqında yazırıq və internet senzurası.
Mənbə: www.habr.com