Не само VPN. Cheat sheet за това как да защитите себе си и вашите данни

Хей Хабр.

Това сме ние, VPN услуга Скрий ми името. В момента работим временно върху огледалото HideMyna.me. Защо? На 20 юли 2018 г. Roskomnadzor ни добави в списъка на забранените ресурси поради решението на Медведевския районен съд в Йошкар-Ола. Съдът постанови, че посетителите на нашия сайт имат неограничен достъп до екстремистки материали #withoutregistrationisms и по някакъв начин откри книгата „Mein Kampf“ на Адолф Хитлер в него. Очевидно за надеждност.

Това решение ни изненада много, но ние продължаваме да работим върху hidemyna.me, hidemyname.org, .one, .biz и др. Продължителен спор с Roskomnadzor не доведе до никакъв резултат. Докато моите адвокати и аз оспорваме блокирането и магическото съдебно решение, споделяме с вас основни съвети за запазване на поверителността в интернет и новини по тази тема.

Едуард Сноудън обича Агенцията за национална сигурност (вероятно)

Не е тайна, че популярните руски услуги не са безопасни. Вашата кореспонденция може по всяко време да попадне на вниманието на националните служители на правоприлагащите органи. Ние ви казваме какво трябва да запомните, когато общувате чрез различни комуникационни канали.

SORM и ORI

Има много различни начини за докосване на телефона ви. Официално-правни - СОРМ, система от технически средства за осигуряване на функциите на оперативно-издирвателната дейност. По закон в Руската федерация всички клетъчни оператори са длъжни да инсталират такава система на своите телефонни централи, ако не искат да загубят лиценза си. Има три вида SORM: първият е изобретен през 80-те години, вторият започва да се прилага през 2014-те, а третият се опитват да наложат на операторите от XNUMX г. Според RBC, повечето оператори използват втория тип, но в 70% от случаите системата не работи коректно или изобщо не работи. Все пак е по-добре да не обсъждате чувствителни теми по стационарен телефон или чрез обикновено обаждане от мобилен телефон.

Схема на работа на СОРМ-2 (Източник: mfisoft.ru)

Според 97-FZ всички месинджъри, услуги и сайтове, които работят в Русия, трябва да бъдат включени в регистъра Организатори на разпространение на информация. от "Законът на Яровая„От тях се изисква да съхраняват всички потребителски данни, включително записи на гласови разговори и кореспонденция, в продължение на шест месеца. Между другото, ARI също има Habrahabr.

Работата на регистъра е описана подробно тук използвайки Threema като пример, но основното заключение е следното: сега, по искане на руските власти, всяка информация за вас може да попадне в правоприлагащите органи. Следователно, първото нещо, което трябва да направите, за да запазите поверителността, е да прехвърлите обажданията и съобщенията към месинджъри, които не са в регистъра на ARI. Или такива, които са там, но отказват да прехвърлят данни на властите - като Threema и Telegram.

Сертификат: Самото присъствие в регистъра на ARI не гарантира, че данните ще бъдат прехвърлени на властите. Трябва постоянно да следите новините и да гледате реакцията на пратеника, когато „идват“ за него.

Гласови повиквания и съобщения

Нашите разговори и съобщения могат да бъдат защитени от намеса на трети страни чрез криптиране от край до край, поради което месинджърите с E2E се считат за най-сигурните. Но това не е съвсем вярно: нека да разгледаме популярните опции.

Telegram поддържа криптиране от край до край в техните тайни чатове и съхранява криптирани данни за вашата кореспонденция в облака, който е разпръснат в различни държави с „сигурна“ юрисдикция. Но след статии на Habré можете да започнете да се съмнявате в илюзията за сигурност на Telegram Passport в E2E от Дуров.

Разбира се, тайните чатове все още са добър вариант за параноиците. Сървърът изобщо не участва в тяхното криптиране: съобщенията се предават peer-to-peer, тоест директно между участниците в кореспонденцията. За допълнително спокойствие можете да използвате функцията за самоунищожаване на съобщението на таймера. Но не бива да разчитате сляпо на Telegram. За да го направите малко по-сигурен, вие и вашият получател трябва да отидете в настройките на месинджъра и да направите поне две неща:

• Задайте парола, когато влизате в приложението (Поверителност и сигурност -> Passcode);
• Активирайте проверката в две стъпки (Поверителност и сигурност -> Потвърждаването в две стъпки).

След това, освен кода от SMS-а, при влизане от ново устройство, приложението ще иска парола, която само вие знаете.

В момента потвърждението за влизане само чрез SMS не защитава по никакъв начин човек, който използва руска SIM карта. Вече са известни случаи на хакване на акаунти в Telegram чрез прихванато SMS съобщение - през 2016 г. нападателите получи достъп до кореспонденцията на няколко опозиционери, а през 2017г беше хакнат разказ на журналиста от "Дожд" Михаил Рубин.

WhatsApp засега избягва ORI регистъра и също използва криптиране от край до край, но всичко не е толкова розово с него. Наскоро публикувахме новините за жителите на Магадан, които са били обект на наказателно дело за критика на кмета на града. Тази история, за щастие, завърши с обичайната глоба. Но това потвърди страховете на потребителите: не е безопасно да общувате в групови чатове в WhatsApp.

Какво ще се случи?

• Веднага щом напишете съобщение, вашият телефонен номер веднага ще стане достъпен за всички членове на групата. И самоличността ви може лесно да се определи по номера.

Какво да правя?

• Решението може да бъде „лява“ SIM карта или чужд номер – за предпочитане европейски.

Ако използвате руска карта, регистрирана на ваше име, избягвайте саркастични коментари в групи с имена като „Оставка за кмета“: по-добре е да оставите само лична кореспонденция и обаждания за WhatsApp.

Viber също не е вписан в регистъра на ORI, но поддържа комуникация с руските власти (в свободното си време от изпращане на спам). Този месинджър беше един от първите, които се съобразиха с новите правителствени изисквания: той съхранява данни за вход и телефонни номера на руски потребители на територията на Руската федерация, но предоставя данни за съобщения отказва — се отнася до механиката на криптирането от край до край и корпоративната политика.

ябълка също използва от край до край, но при регистрация в iMessage създава две двойки ключове: частни и публични. Съобщението, което получавате от същия собственик на устройство на Apple, се предава до вас с криптиране, което използва публичен ключ. Може да бъде дешифриран само с помощта на частния ключ на получателя, който се съхранява на неговото устройство. Можете да прочетете как Apple гледа на поверителността на потребителите и какво ще направи, ако получи искане от правителството тук. Не са регистрирани случаи компанията да прехвърля данни от руски потребители към руските власти.

Източник: https://www.apple.com/business/docs/iOS_Security_Guide.pdf

Но iMessage има два недостатъка:

• Можете да пишете или да се обаждате през тези канали само на същия собственик на Apple;
• Ако имате проблеми с вашата интернет връзка, съобщението ще премине през обикновен клетъчен канал и ще се превърне в обикновен SMS, който лесно може да бъде прихванат.

За да избегнете превръщането на iMessage в SMS, можете да деактивирате тази функция в Настройки.

Изследователи от Electronic Frontier Foundation иск че няма сто процента безопасен вариант за разговори и съобщения. Ако някои месинджъри пречат на властите да получат вашите лични данни, това не означава, че хакерите (или държавата, която може да използва техните услуги) не могат да направят това, като заобикалят законите. За да даде на потребителя увереност, че няма човек по средата, Telegram има хубава функция: когато се обаждат, и двамата получатели могат да се уверят, че виждат едно и също емоджи в горния десен ъгъл на екрана - това ще потвърди липса на „намеса“ във връзката.

Ако търсите по-сигурен начин за комуникация, препоръчваме да погледнете отвъд тайни чатове, пароли и удостоверяване в две стъпки/дву фактора към по-малко популярни нишови приложения като доверете или Сигнал.

Използвам Signal всеки ден. #бележки за ФБР (Спойлер: те вече знаят)

Электронная почта

Популярни компании, които правят възможно използването на своите имейл клиенти (в Русия това са Yandex, Mail.Ru и Rambler), вече са включени в регистъра на ARI, което означава, че не са много безопасни. Да, Mail.Ru Group призиви за спиране наказателни дела за мемове и амнистия за осъдените, но може да даде информация за вашите данни на властите при поискване.

Дори ако използвате западни имейл клиенти като Gmail или Outlook, имате активирана двуфакторна автентификация и знаете, че вашият имейл е криптиран с помощта на защитен SSL/TLS протокол, не можете да сте сигурни, че имейлът на вашия получател е еднакво защитен.

Опции за защита:

• Когато изпращате чувствителна информация, шифровайте имейли с помощта на Pretty Good Privacy (PGP). Тази програма помага да се превърнат данните от писмо в безсмислен набор от знаци за всички, с изключение на подателя и получателя;
• Когато изпращате важна информация, винаги обръщайте внимание на домейна на получателя и не пишете на подозрителен адрес;
• Проверете предварително с получателя дали той или тя е настроил препращане или събиране на поща чрез руската пощенска служба.

В случай на местни компании от регистъра ORI, никакво криптиране от страна на потребителя по принцип няма да помогне. Информацията не се прихваща, а се съхранява и предава от крайни точки - подобни услуги. Единственото решение може да бъде да ги замените с по-сигурни аналози като ProtonMail, Tutanota или Hushmail. Повече такива имейл услуги можете да намерите на това страница.

Социални мрежи

Като начало минимизирайте присъствието си в популярните руски социални мрежи - „Моят свят“, „Одноклассники“ и „ВКонтакте“. Facebook поне не предава вашите данни на руските разузнавателни агенции. Поне не са регистрирани такива случаи.

Но интересно е, че през 2017 г. компанията все още е удовлетворила 85% от исканията на правителството на САЩ:

Екранни снимки от Доклад за прозрачност на Facebook

Ако сте твърде свикнали с VK, но не искате да се окажете в дока, обърнете внимание на няколко неща:

• вашите запазени снимки;
• публикации, коментари и съобщения, които пишете;
• публикации, които харесвате;
• публикации, които споделяте;
• потребители, с които сте приятели.

Във всичко по-горе е най-добре да избягвате всичко, което може да се счита за обидно или екстремистко. Винаги помнете, че „споделянето“ означава съобщаване на „незаконна“ информация на поне един човек. Адвокатът на международната правозащитна група "Агора" Дамир Гайнутдинов твърди, че според закона О.Р.И. длъжен да съхранява и предава дори чернови на неизпратени съобщения до правоприлагащите органи. Прочетете повече за това как да не ви хванат за повторно публикуване тук.

Между другото, от известно време всеки, който има вашия телефонен номер, може да ви намери във VKontakte по подразбиране, дори ако самата страница не разкрива истинската ви самоличност.

Можете да попречите на хората да ви намират по номер в настройките на вашия профил (Настройки -> Поверителност -> Свържете се с мен). Но това, разбира се, няма да ви спаси от специалните служби. Не използвайте разговори и видеокомуникации във VKontakte: не е известно дали мрежата действително ги криптира от край до край, както твърди администрацията.

Сигурност на уебсайта

Единствената добра новина е, че повече от половината Всички популярни сайтове в Интернет вече имат https версия или напълно са преминали към използване само на https версии. Информацията, получена и предадена на такива сайтове, е криптирана и не може да бъде прочетена от трети страни. Такива ресурси са маркирани в зелено и думата „защитени“.

С това добрите новини свършват. Въпреки https протокола, фактът на посещение на такъв сайт и DNS заявките (информация за това кои домейни сте имали достъп) все още остават видими за интернет доставчика.

Но друга новина е още по-лоша: останалата половина от сайтовете работят с помощта на обикновен http протокол, тоест без криптиране на данни. Решението може да бъде VPN, който криптира абсолютно всички получени и предадени данни, така че да няма читава информация от страна на интернет доставчика и всеки, който се опита да проникне между вас и крайния сайт. Единственото нещо, което ще се вижда, е фактът на свързване към определен IP адрес в Интернет (т.е. към VPN сървър). И нищо повече.

Ще се радваме, ако животът наистина изведнъж стане толкова прост: включете VPN и забравете за изтичането на чувствителна информация. Но това не е вярно. Редовно проверявайте дали любимият ви ресурс е включен в регистъра на ARI, наблюдавайте как взаимодейства с властите, проверявайте активните връзки в настройките на месинджърите и социалните мрежи и нулирайте подозрителните (и след това не забравяйте да промените паролите).

глобално

Когато работите с комуникационни канали и пренос на данни, има смисъл само от цялостен подход към сигурността и поверителността. Следете събитията за сигурност в интернет в нашия канал в Telegram @hidemyname_ru, На линия Роскомсвобода и на други ресурси, посветени на събития в Интернет и RuNet по-специално.

Какви мерки за безопасност предприемате?

Източник: www.habr.com