Čau Habr.
To jsme my, služba VPN . Momentálně dočasně pracujeme na zrcadle HideMyna.me. Proč? 20. července 2018 nás přidal Roskomnadzor kvůli rozhodnutí okresního soudu Medveděvského v Yoshkar-Ola. Soud rozhodl, že návštěvníci našich stránek mají neomezený přístup k extremistickým materiálům #bez registrace, a nějakým způsobem na nich našel knihu „Mein Kampf“ od Adolfa Hitlera. Zřejmě kvůli spolehlivosti.
Toto rozhodnutí nás velmi překvapilo, ale nadále pracujeme na hidemyna.me, hidemyname.org, .one, .biz atd. Vleklý spor s Roskomnadzor nevedl k žádnému výsledku. Zatímco já a moji právníci napadáme blokaci a magické soudní rozhodnutí, sdílíme s vámi základní tipy pro zachování soukromí na internetu a novinky na toto téma.
Edward Snowden miluje Národní bezpečnostní agenturu (pravděpodobně)
Není žádným tajemstvím, že oblíbené ruské služby nejsou bezpečné. Vaše korespondence se může kdykoli dostat do pozornosti vnitrostátních orgánů činných v trestním řízení. Řekneme vám, na co je třeba pamatovat při komunikaci prostřednictvím různých komunikačních kanálů.
SORM a ORI
K dispozici je způsoby, jak klepnout na telefon. Úřední a právní - SORM, systém technických prostředků k zajištění funkcí operativní pátrací činnosti. Podle zákona v Ruské federaci jsou všichni mobilní operátoři povinni nainstalovat takový systém na své PBX, pokud nechtějí přijít o licenci. Existují tři typy SORM: první byl vynalezen v 80. letech, druhý se začal implementovat v roce 2014 a třetí se snaží operátorům vnutit od roku XNUMX. , většina operátorů používá druhý typ, ale v 70 % případů systém nefunguje správně nebo nefunguje vůbec. Stále je však lepší nediskutovat o citlivých tématech po pevné lince nebo prostřednictvím běžného hovoru z mobilního telefonu.
Schéma fungování SORM-2 (Zdroj: mfisoft.ru)
Podle 97-FZ musí být do registru zahrnuti všichni poslové, služby a stránky, které působí v Rusku . podle "„Jsou povinni uchovávat všechna uživatelská data, včetně nahrávek hlasových hovorů a korespondence, po dobu šesti měsíců. Mimochodem, ARI má také Habrahabr.
Podrobně je popsána činnost registru za použití Threema jako příkladu, ale hlavní závěr je tento: nyní, na žádost ruských úřadů, mohou jakékoli informace o vás skončit v orgánech činných v trestním řízení. Proto první věcí, kterou je třeba pro zachování důvěrnosti udělat, je přesměrovat hovory a zprávy do instant messengerů, které nejsou v registru ARI. Nebo ty, které tam jsou, ale odmítají předávat data úřadům – jako Threema a Telegram.
Osvědčení: Pouhá přítomnost v registru ARI nezaručuje, že data budou předána úřadům. Musíte neustále sledovat zprávy a dívat se na reakci posla, když si pro něj „přijdou“.
Hlasové hovory a zprávy
Naše konverzace a zprávy mohou být chráněny před zásahy třetích stran šifrováním typu end-to-end, a proto jsou posly s E2E považovány za nejbezpečnější. Ale to není tak úplně pravda: podívejme se na oblíbené možnosti.
Telegram end-to-end šifrování v jejich tajných chatech a ukládá zašifrovaná data o vaší korespondenci v cloudu, který je rozptýlen v různých zemích s „bezpečnou“ jurisdikcí. Ale poté na Habré můžete začít pochybovat o iluzi bezpečnosti Telegram Passport v E2E od Durova.
Tajné chaty jsou samozřejmě stále dobrou volbou pro paranoiky. Server se na jejich šifrování vůbec nepodílí: zprávy jsou přenášeny peer-to-peer, tedy přímo mezi účastníky korespondence. Pro větší klid můžete použít funkci samodestrukce zprávy časovače. Ale neměli byste slepě spoléhat na Telegram. Aby to bylo trochu bezpečnější, musíte vy a váš příjemce přejít do nastavení messengeru a udělat alespoň dvě věci:
- Při přihlašování do aplikace nastavte heslo (Ochrana soukromí a zabezpečení -> Přístupový kód);
- Povolit dvoufázové ověření (Ochrana soukromí a zabezpečení -> Ověření ve dvou krocích).
Poté vás aplikace kromě kódu z SMS při přihlašování z nového zařízení požádá o heslo, které znáte jen vy.
Potvrzení přihlášení pouze přes SMS v současné době nijak nechrání člověka, který používá ruskou SIM kartu. Případy hacknutí účtů Telegram prostřednictvím zachycené SMS zprávy jsou již známy - v roce 2016 útočníci na korespondenci několika opozičních a v roce 2017 popis dozhdského novináře Michaila Rubina.
WhatsApp zatím se vyhýbá registru ORI a používá i end-to-end šifrování, ale vše s ním není tak růžové. Nedávno jsme zveřejnili o obyvatelích Magadanu, kteří byli předmětem trestního řízení za kritiku starosty města. Tento příběh naštěstí skončil obvyklou pokutou. Potvrdilo to ale obavy uživatelů: není bezpečné komunikovat ve skupinových chatech WhatsApp.
Co se bude dít?
- Jakmile napíšete zprávu, vaše telefonní číslo bude okamžitě dostupné všem členům skupiny. A vaši identitu lze snadno určit podle čísla.
Co dělat?
- Řešením může být „levá“ SIM karta nebo zahraniční číslo – nejlépe evropské.
Pokud používáte ruskou kartu registrovanou na vaše jméno, vyhněte se sarkastickým komentářům ve skupinách se jmény jako „Rezignujte na starostu“: je lepší nechat pouze osobní korespondenci a volání na WhatsApp.
Viber také není uveden v registru ORI, ale udržuje komunikaci s ruskými úřady (ve svém volném čase od rozesílání spamu). Tento messenger byl jedním z prvních, který splnil nové požadavky vlády: ukládá přihlašovací údaje a telefonní čísla ruských uživatelů na území Ruské federace, ale poskytuje data zpráv — odkazuje na mechaniku end-to-end šifrování a firemní politiku.
jablko také používá end-to-end, ale při registraci do iMessage vytvoří dva páry klíčů: soukromý a veřejný. Zpráva, kterou obdržíte od stejného vlastníka zařízení Apple, je vám předána šifrováním, které používá veřejný klíč. Lze jej dešifrovat pouze pomocí soukromého klíče příjemce, který je uložen v jeho zařízení. Můžete si přečíst, jak Apple nahlíží na soukromí uživatelů a co udělá, pokud obdrží žádost od vlády Nebyly zaznamenány žádné případy, kdy by společnost předávala data od ruských uživatelů ruským úřadům.
Zdroj:
- Prostřednictvím těchto kanálů můžete psát nebo volat pouze stejnému vlastníkovi Apple;
- Pokud máte problémy s připojením k internetu, zpráva přejde přes běžný mobilní kanál a stane se z ní jednoduchá SMS, kterou lze snadno zachytit.
Chcete-li zabránit tomu, aby se iMessage změnily na SMS, můžete tuto funkci deaktivovat v Nastavení.
Výzkumníci z Electronic Frontier Foundation že pro hovory a zprávy neexistuje stoprocentně bezpečná možnost. Pokud někteří poslíčci brání úřadům získat vaše soukromá data, neznamená to, že to hackeři (nebo stát, který může využívat jejich služeb) nemohou dělat obcházením zákonů. Aby měl uživatel jistotu, že v něm není žádný muž uprostřed, má Telegram příjemnou funkci: při volání se oba příjemci mohou ujistit, že vidí stejné emotikony v pravém horním rohu obrazovky – to potvrdí nepřítomnost „vniknutí“ do spojení.
Pokud hledáte bezpečnější způsob komunikace, doporučujeme podívat se od tajných chatů, hesel a dvoufázového/dvoufaktorového ověřování k méně oblíbeným specializovaným aplikacím, jako je nebo .
Signal používám každý den. #notesforFBI (Spoiler: už vědí)
Oblíbené společnosti, které umožňují používat své e-mailové klienty (v Rusku jsou to Yandex, Mail.Ru a Rambler), jsou již zahrnuty v registru ARI, což znamená, že nejsou příliš bezpečné. Ano, skupina Mail.Ru trestní případy pro memy a amnestii pro odsouzené, ale na požádání může úřadům poskytnout informace o vašich údajích.
I když používáte západní e-mailové klienty, jako je Gmail nebo Outlook, máte zapnuté dvoufaktorové ověřování a víte, že váš e-mail je šifrován pomocí zabezpečeného protokolu SSL/TLS, nemůžete si být jisti, že e-mail vašeho příjemce je chráněn stejně.
Možnosti ochrany:
- Při odesílání citlivých informací šifrujte e-maily pomocí funkce Pretty Good Privacy (). Tento program pomáhá přeměnit data z dopisu na nesmyslnou sadu znaků pro každého kromě odesílatele a příjemce;
- Při zasílání důležitých informací vždy věnujte pozornost doméně příjemce a nepište na podezřelou adresu;
- Předem si u příjemce ověřte, zda má nastaveno přeposílání nebo vyzvedávání pošty prostřednictvím ruské pošty.
V případě tuzemských firem z registru ORI žádné šifrování na straně uživatele v zásadě nepomůže. Informace nejsou zachycovány, ale ukládány a přenášeny koncovými body – podobnými službami. Jediným řešením může být jejich nahrazení bezpečnějšími analogy, jako je ProtonMail, Tutanota nebo Hushmail. Více takových e-mailových služeb lze nalézt na stránky.
Sociální sítě
Nejprve minimalizujte svou přítomnost na populárních ruských sociálních sítích - „Můj svět“, „Odnoklassniki“ a „VKontakte“. Facebook alespoň nepředá vaše data ruským zpravodajským agenturám. Alespoň takové případy nebyly zaznamenány.
Je ale zajímavé, že v roce 2017 společnost stále uspokojila 85 % žádostí od americké vlády:
Snímky obrazovky z
Pokud jste příliš zvyklí na VK, ale nechcete skončit v doku, věnujte pozornost několika věcem:
- vaše uložené obrázky;
- příspěvky, komentáře a zprávy, které píšete;
- příspěvky, které se vám líbí;
- příspěvky, které sdílíte;
- uživatelé, se kterými jste přátelé.
Ve všem výše uvedeném je nejlepší vyhnout se všemu, co by mohlo být považováno za urážlivé nebo extremistické. Vždy pamatujte, že „sdílení“ znamená sdělování „nezákonných“ informací alespoň jedné osobě. Právník mezinárodní skupiny pro lidská práva „Agora“ Damir Gainutdinov tvrdí, že podle zákona ORI i koncepty neodeslaných zpráv orgánům činným v trestním řízení. Přečtěte si více o tom, jak se nenechat přistihnout při opětovném zveřejnění
Mimochodem, už nějakou dobu vás může na VKontakte standardně najít každý, kdo má vaše telefonní číslo, i když samotná stránka neodhalí vaši skutečnou identitu.
Můžete zabránit tomu, aby vás lidé našli podle čísla v nastavení vašeho profilu (Nastavení -> Soukromí -> Kontaktujte mě). Ale to vás samozřejmě nezachrání před speciálními službami. Nepoužívejte hovory a video komunikaci na VKontakte: není známo, zda je síť skutečně šifruje end-to-end, jak tvrdí administrace.
Zabezpečení webových stránek
Jediná dobrá zpráva je, že Všechny oblíbené stránky na internetu již mají verzi https nebo zcela přešly na používání pouze verzí https. Informace přijímané a přenášené na takových stránkách jsou šifrované a nemohou být čteny třetími stranami. Tyto zdroje jsou označeny zeleně a slovem „chráněné“.
Tím dobré zprávy končí. Navzdory protokolu https zůstává návštěva takové stránky a dotazy DNS (informace o tom, ke kterým doménám jste přistupovali) stále viditelné pro poskytovatele internetu.
Další novinka je ale ještě horší: zbylá polovina webů funguje pomocí běžného protokolu http, tedy bez šifrování dat. Řešením by mohla být VPN, která zašifruje naprosto všechna přijímaná a přenášená data tak, aby nebyly čitelné informace na straně poskytovatele internetu a nikoho, kdo by se pokusil proniknout mezi vás a koncový web. Jediné, co bude vidět, je fakt připojení k určité IP adrese na internetu (tedy k VPN serveru). A nic víc.
Budeme rádi, když se život opravdu najednou stane tak jednoduchým: zapněte VPN a zapomeňte na únik citlivých informací. Ale to není pravda. Pravidelně kontrolujte, zda je váš oblíbený zdroj zahrnut v registru ARI, sledujte, jak komunikuje s úřady, kontrolujte aktivní připojení v nastavení instant messengerů a sociálních sítí a podezřelá resetujte (a pak nezapomeňte změnit hesla).
globálně
Při práci s komunikačními kanály a přenosem dat má smysl pouze komplexní přístup k bezpečnosti a soukromí. Sledujte události zabezpečení internetu na našem kanálu Telegram , na místě a na dalších zdrojích věnovaných událostem na internetu a zejména RuNet.
Jaká bezpečnostní opatření přijímáte?
Zdroj: www.habr.com