Hallo, Habr.
Das sind wir, der VPN-Dienst . Zurzeit arbeiten wir vorübergehend unter dem Spiegel HideMyna.me. Warum? Am 20. Juli 2018 hat Roskomnadsor uns wegen einer Entscheidung des Bezirksgerichts Medvedevsky in Joschkar-Ola. Das Gericht entschied, dass Besucher unserer Webseite unbeschränkten Zugang zu extremistischen Materialien #ohneRegistrierungundSMS haben und auf mysteriöse Weise auch das Buch „Mein Kampf“ von Adolf Hitler auf unserer Seite fand. Offenbar zur Sicherheit.
Solch eine Entscheidung hat uns sehr überrascht, aber wir arbeiten weiterhin auf hidemyna.me, hidemyname.org, .one, .biz und anderen. Ein langwieriges Gerichtsverfahren gegen Roskomnadsor brachte kein Ergebnis. Während wir mit unseren Juristen gegen die Sperrung und das magische Urteil kämpfen, teilen wir grundlegende Tipps zum Schutz der Privatsphäre im Internet und Neuigkeiten zu diesem Thema mit Ihnen.
Edward Snowden liebt die National Security Agency (wahrscheinlich)
Es ist kein Geheimnis, dass beliebte russische Dienste unsicher sind. Ihre Korrespondenz kann jederzeit ins Blickfeld der heimischen Gesetzeshüter geraten. Wir erklären, worauf man achten sollte, wenn man über verschiedene Kommunikationskanäle kommuniziert.
SORM und ORI
Ja Möglichkeiten, Ihr Telefon abzuhören. Die offizielle und legale ist SORM, ein technisches System zur Durchführung von operativen Ermittlungen. Laut Gesetz sind alle Mobilfunkanbieter in der RF verpflichtet, ein solches System in ihren Vermittlungsstellen zu installieren, wenn sie ihre Lizenz nicht verlieren wollen. Es gibt drei Arten von SORM: Die erste wurde in den 80er Jahren entwickelt, die zweite begann man in den Nuller Jahren einzuführen, und die dritte versucht man seit 2014 den Anbietern aufzudrängen. , nutzen die meisten Anbieter den zweiten Typ, aber in 70% der Fälle funktioniert das System fehlerhaft oder gar nicht. Dennoch sollten sensible Themen lieber nicht über das Festnetz oder bei einem normalen Anruf vom Handy besprochen werden.
Funktionsweise von SORM-2 (Quelle: mfisoft.ru)
Laut dem 97-FZ müssen alle Messenger, Dienste und Webseiten, die auf dem Territorium Russlands tätig sind, in das Register eingetragen werden. Laut dem „“ sind sie verpflichtet, alle Daten der Benutzer, einschließlich Sprachaufzeichnungen und Korrespondenzen, für sechs Monate aufzubewahren. In ORI gibt es übrigens auch Habrahabr.
Die Funktionsweise des Registers wird ausführlich beschrieben Beispielsweise bei Threema, aber die wichtigste Erkenntnis ist: Auf Anfrage der russischen Behörden kann jede Information über Sie bei den Strafverfolgungsbehörden landen. Daher ist das erste, was Sie für den Schutz Ihrer Privatsphäre tun sollten, Anrufe und Nachrichten in Messenger zu verlagern, die nicht im ORI-Register aufgeführt sind. Oder in solche, die dort aufgeführt sind, aber sich weigern, Daten an die Behörden zu übermitteln – wie Threema und Telegram.
Hilfe: Die bloße Aufnahme in das ORI-Register garantiert nicht, dass Daten an die Behörden übermittelt werden. Es ist wichtig, die Nachrichten zu verfolgen und auf die Reaktion des Messengers zu achten, wenn „sie“ kommen.
Sprachanrufe und Nachrichten
End-to-End-Verschlüsselung kann unsere Gespräche und Nachrichten vor dem Eingreifen Dritter schützen, daher gelten Messenger mit E2E als die sichersten. Aber das ist nicht ganz richtig: Schauen wir uns populäre Optionen an.
Telegram End-to-End-Verschlüsselung in seinen Secret Chats und speichert verschlüsselte Daten über Ihre Korrespondenz in der Cloud, die auf verschiedene Länder mit „sicheren“ Rechtsordnungen verteilt ist. Doch nachdem über die Illusion der Sicherheit von Telegram Passport in E2E von Durov auf Habré Zweifel aufgeworfen werden können.
Natürlich bleibt die Kommunikation in Secret Chats nach wie vor eine gute Option für Paranoide. Bei ihrer Verschlüsselung ist der Server überhaupt nicht beteiligt: Nachrichten werden peer-to-peer, das heißt direkt zwischen den Teilnehmern der Korrespondenz übertragen. Um noch mehr Sicherheit zu bieten, können Sie die Selbstzerstörungsfunktion für Nachrichten mit einem Timer nutzen. Aber man sollte nicht blind auf Telegram vertrauen. Damit es etwas sicherer wird, müssen Sie und Ihr Adressat in die Einstellungen des Messengers gehen und mindestens zwei Dinge tun:
- Ein Passwort beim Anmelden in der App festlegen (Datenschutz und Sicherheit —> Passcode);
- Die Zwei-Faktor-Authentifizierung aktivieren (Datenschutz und Sicherheit —> Zwei-Schritt-Verifizierung).
Danach wird die App zusätzlich zum Code aus der SMS bei der Anmeldung auf einem neuen Gerät nach dem Passwort fragen, das nur Sie kennen.
Derzeit bietet die Bestätigung des Zugriffs nur über SMS keinerlei Schutz für Personen, die eine russische SIM-Karte verwenden. Fälle von gehackten Telegram-Konten durch abgefangene SMS-Nachrichten sind bereits bekannt – im Jahr 2016 erlangten Angreifer zu den Nachrichten mehrerer Oppositioneller, und im Jahr 2017 das Konto des Journalisten „Dojd“ Michail Rubin.
WhatsApp zunächst vermeidet das ORI-Register und verwendet ebenfalls End-to-End-Verschlüsselung, aber es ist nicht alles so rosig. Kürzlich haben wir publiziert über die Einwohner von Magadan, die strafrechtlich verfolgt wurden, weil sie den Bürgermeister der Stadt kritisierten. Diese Geschichte endete zum Glück mit einer gewöhnlichen Geldstrafe. Doch sie bestätigte die Befürchtungen der Nutzer: In Gruppenchats von WhatsApp ist es unsicher zu kommunizieren.
Was wird passieren?
- Sobald Sie eine Nachricht schreiben, wird Ihre Telefonnummer sofort für alle Mitglieder der Gruppe sichtbar. Anhand der Nummer ist es leicht, Ihre Identität zu ermitteln.
Was tun?
- Eine Lösung könnte eine „falsche“ SIM-Karte oder eine ausländische Nummer sein – vorzugsweise eine europäische.
Wenn Sie mit einer russischen Karte unterwegs sind, die auf Ihren Namen registriert ist, vermeiden Sie sarkastische Kommentare in Gruppen mit Namen wie "Bürgermeister - Rücktritt": Für WhatsApp ist es besser, nur persönliche Nachrichten und Anrufe zu belassen.
Viber steht ebenfalls nicht im ORI-Register, unterstützt aber die Kommunikation mit den russischen Behörden (in der Zeit, in der kein Spam verteilt wird). Dieser Messenger hat als einer der ersten die neuen Anforderungen der Regierung erfüllt: Er speichert die Login-Daten und Telefonnummern von russischen Nutzern auf dem Gebiet der RF, aber die Nachrichteninhalte zur Verfügung zu stellen – beruft sich auf die Funktionsweise der End-to-End-Verschlüsselung und die Unternehmenspolitik.
Apple verwendet ebenfalls End-to-End, erstellt aber bei der Registrierung in iMessage zwei Schlüsselpaare: einen privaten und einen öffentlichen. Die Nachricht, die Sie von einem anderen Besitzer eines Apple-Geräts erhalten, wird Ihnen mit der Verschlüsselung übermittelt, bei der der öffentliche Schlüssel verwendet wird. Sie kann nur mit dem privaten Schlüssel des Empfängers entschlüsselt werden, der auf seinem Gerät gespeichert ist. Wie Apple die Privatsphäre der Nutzer betrachtet und was es unternehmen wird, wenn es eine Anfrage von der Regierung erhält, kann man nachlesen. Es wurden keine Fälle dokumentiert, in denen das Unternehmen die Daten russischer Nutzer an die Behörden der RF weitergegeben hat.
Quelle:
Aber iMessage hat zwei Nachteile:
- Sie können nur so einem anderen Apple-Besitzer schreiben oder anrufen;
- Wenn Sie Probleme mit der Internetverbindung haben, wird die Nachricht über den regulären Mobilfunkkanal gesendet und wird zu einer einfachen SMS, die leicht abgefangen werden kann.
Um zu verhindern, dass iMessage in SMS umgewandelt wird, können Sie diese Funktion in den Einstellungen deaktivieren.
Forscher der Electronic Frontier Foundation Es gibt keinen hundertprozentig sicheren Weg für Anrufe und Nachrichten. Wenn bestimmte Messenger es den Behörden nicht ermöglichen, auf Ihre privaten Daten zuzugreifen, bedeutet das nicht, dass Hacker (oder der Staat, der ihre Dienste in Anspruch nehmen kann) dies nicht auf illegalem Wege tun können. Um den Nutzern das Vertrauen zu geben, dass es keine Man-in-the-Middle-Angriffe gibt, hat Telegram eine charmante Funktion: Bei einem Anruf können beide Teilnehmer sicherstellen, dass sie dieselben Emojis in der oberen rechten Ecke des Bildschirms sehen – das wird die Bestätigung für das Fehlen eines „Eingriffs“ in die Verbindung sein.
Wenn Sie einen zuverlässigeren Kommunikationsweg benötigen, empfehlen wir Ihnen, nicht nur geheime Chats, Passwörter und die Zwei-Faktor-/Zwei-Schritt-Authentifizierung zu nutzen, sondern sich auch weniger populären Nischenanwendungen wie oder .
Ich benutze Signal jeden Tag. #NotizenFürDasFBI (Spoiler: Sie wissen es bereits)
Beliebte Unternehmen, die ihre E-Mail-Clients anbieten (in Russland sind das Yandex, Mail.Ru und Rambler), sind bereits im Register der OIII aufgeführt, was bedeutet, dass sie nicht allzu sicher sind. Ja, die Mail.Ru Group strafrechtliche Verfahren wegen Memes einzustellen und verurteilte Personen zu begnadigen, könnte jedoch auf erstes Verlangen Informationen über Ihre Daten an die Behörden weitergeben.
Selbst wenn Sie westliche E-Mail-Clients wie Gmail oder Outlook verwenden, die Zwei-Faktor-Authentifizierung aktiviert haben und wissen, dass Ihre E-Mail mit einem sicheren SSL/TLS-Protokoll verschlüsselt wird, können Sie sich nicht sicher sein, dass die E-Mail Ihres Empfängers ebenfalls geschützt ist.
Möglichkeiten zum Schutz:
- Beim Versenden sensibler Informationen E-Mails mit Pretty Good Privacy zu verschlüsseln (). Dieses Programm hilft dabei, die Daten aus der E-Mail in eine sinnlose Zeichensequenz für alle zu verwandeln, außer für den Absender und den Empfänger;
- Beim Versenden wichtiger Informationen stets auf die Domain des Empfängers achten und nicht an eine verdächtige Adresse schreiben;
- Im Voraus beim Empfänger sicherstellen, dass bei ihm keine Weiterleitung oder Mail-Sammlung über einen russischen E-Mail-Dienst eingerichtet ist.
Im Fall von inländischen Unternehmen aus dem OIR-Register hilft keine Verschlüsselung auf der Nutzerseite grundsätzlich. Informationen werden nicht abgefangen, sondern gespeichert und über solche Dienste an Endpunkten übermittelt. Die einzige Lösung könnte der Austausch gegen sicherere Alternativen wie ProtonMail, Tutanota oder Hushmail sein. Mehr solcher E-Mail-Dienste finden Sie auf Seite.
Soziale Netzwerke
Reduzieren Sie zunächst Ihren Aufenthalt in beliebten russischen sozialen Netzwerken – „Mein Welt“, „Klassenkameraden“ und „VKontakte“. Facebook überträgt zumindest Ihre Daten nicht an die russischen Geheimdienste. Zumindest wurden solche Fälle nicht dokumentiert.
Aber interessant ist, dass das Unternehmen im Jahr 2017 85% der Anfragen der US-Regierung dennoch erfüllt hat:
Screenshots aus
Wenn Sie sich zu sehr an VK gewöhnt haben, aber nicht auf der Anklagebank landen wollen, beachten Sie einige Dinge:
- Ihre gespeicherten Bilder;
- Beiträge, Kommentare und Nachrichten, die Sie schreiben;
- Beiträge, die Sie liken;
- Beiträge, die Sie teilen;
- Benutzer, mit denen Sie befreundet sind.
In all dem oben Genannten sollten Sie vermeiden, was als beleidigend oder extremistisch angesehen werden kann. Denken Sie immer daran, dass die „Verbreitung“ die Mitteilung „rechtswidriger“ Informationen an auch nur eine Person bedeutet. Der Anwalt der internationalen Menschenrechtsgruppe „Agora“, Damir Gainutdinov, behauptet, dass die OIR sogar Entwürfe nicht gesendeter Nachrichten. Weitere Informationen darüber, wie Sie nicht für einen Repost bestraft werden, lesen Sie
Übrigens kann seit einiger Zeit jeder, der Ihre Telefonnummer hat, standardmäßig Sie in VK finden, selbst wenn die Seite Ihre wahre Identität nicht preisgibt.
Die Suche nach Ihnen über Ihre Telefonnummer kann in den Profileinstellungen (Einstellungen → Datenschutz → Kontaktieren Sie mich) deaktiviert werden. Aber das schützt natürlich nicht vor den Geheimdiensten. Verwenden Sie keine Anrufe und Videokonferenzen in VK: Es ist unklar, ob das Netzwerk sie tatsächlich end-to-end verschlüsselt, wie die Verwaltung behauptet.
Sicherheit von Websites
Die einzige gute Nachricht ist, dass Fast alle beliebten Websites im Internet haben bereits eine HTTPS-Version oder sind vollständig auf die Nutzung von HTTPS-Versionen umgestiegen. Die empfangenen und gesendeten Informationen auf solchen Websites werden verschlüsselt und können nicht von Dritten gelesen werden. Solche Ressourcen werden grün markiert und mit dem Wort "geschützt" versehen.
Damit enden die guten Nachrichten. Trotz des HTTPS-Protokolls bleibt der Besuch einer solchen Website und die DNS-Abfragen (Informationen darüber, auf welche Domains Sie zugegriffen haben) weiterhin für den Internetanbieter sichtbar.
Noch schlimmer ist die andere Nachricht: Die verbleibende Hälfte der Websites arbeitet mit dem normalen HTTP-Protokoll, also ohne Datenverschlüsselung. Eine Lösung könnte ein VPN sein, das alle empfangenen und gesendeten Daten so verschlüsselt, dass auf der Seite des Internetanbieters und von jedem, der versucht, sich zwischen Ihnen und der Ziel-Website einzuschalten, keine lesbaren Informationen vorhanden sind. Das Einzige, was sichtbar sein wird, ist der Anschluss an eine bestimmte IP-Adresse im Internet (also an den VPN-Server). Und nichts weiter.
Wir wären glücklich, wenn das Leben tatsächlich so einfach wäre: VPN einschalten und keine Sorgen mehr über das Auslaufen sensibler Informationen. Aber das ist nicht der Fall. Überprüfen Sie regelmäßig, ob Ihre Lieblingsressource im ORI-Register eingetragen ist, verfolgen Sie, wie sie mit den Behörden interagiert, überprüfen Sie aktive Verbindungen in den Einstellungen von Messengern und sozialen Netzwerken und setzen Sie verdächtige Verbindungen zurück (und ändern Sie dann unbedingt die Passwörter).
Global
Bei der Arbeit mit Kommunikationskanälen und der Datenübertragung ist nur ein ganzheitlicher Ansatz zur Sicherheit und Datenschutz sinnvoll. Verfolgen Sie die Ereignisse der Internetsicherheit in unserem Telegram-Kanal , auf der Website und auf anderen Ressourcen, die sich mit Ereignissen im Internet und insbesondere im Runet beschäftigen.
Welche Sicherheitsmaßnahmen ergreifen Sie?
Quelle: habr.com
