Hallo, Habr.
Wir sind der VPN-Service . Derzeit arbeiten wir vorübergehend auf dem Mirror HideMyna.me. Warum? Am 20. Juli 2018 hat die Roskomnadzor uns aufgrund eines Beschlusses des Gerichts des Medwedewsky Bezirks in Yoshkar-Ola. Das Gericht entschied, dass unsere Besucher unbegrenzten Zugang zu extremistischen Materialien #ohnezweiSchritte haben, und fand zudem auf unserer Seite angeblich das Buch „Mein Kampf“ von Adolf Hitler. Zumindest für die Sicherheit.
Diese Entscheidung hat uns sehr überrascht, aber wir arbeiten weiterhin auf hidemyna.me, hidemyname.org, .one, .biz und anderen. Der langwierige Konflikt mit der Roskomnadzor hat zu keinem Ergebnis geführt. Während wir mit unseren Anwälten die Sperrung und das wunderbare Gerichtsentscheid anfechten, teilen wir grundlegende Tipps zum Schutz der Privatsphäre im Internet und Neuigkeiten zu diesem Thema.
Edward Snowden liebt die National Security Agency (vermutlich)
Es ist kein Geheimnis, dass beliebte russische Dienste unsicher sind. Ihre Korrespondenz könnte jederzeit in den Fokus der heimischen Gesetzeshüter geraten. Hier erläutern wir, worauf Sie achten sollten, wenn Sie über verschiedene Kommunikationskanäle kommunizieren.
SORM und ORI
Es gibt Weisen, Ihr Telefon abzuhören. Die offizielle und legale Methode ist SORM, ein System technischer Mittel zur Gewährleistung der Funktionen operativer Ermittlungen. Gesetzlich sind in der RF alle Mobilfunkanbieter verpflichtet, ein solches System in ihren Telefonanlagen zu installieren, wenn sie ihre Lizenz nicht verlieren wollen. Es gibt drei Arten von SORM: Die erste wurde in den 80er Jahren entwickelt, die zweite wurde in den 2000er Jahren eingeführt, und die dritte versucht man den Anbietern seit 2014 aufzuzwingen. , nutzen die meisten Anbieter den zweiten Typ, aber in 70% der Fälle arbeitet das System fehlerhaft oder funktioniert überhaupt nicht. Dennoch sollten sensible Themen über Festnetz- und reguläre Mobilfunkanrufe besser nicht besprochen werden.
Funktionsweise von SORM-2 (Quelle: mfisoft.ru)
Laut 97-FZ müssen alle Messengerdienste, Services und Websites, die auf dem Territorium Russlands tätig sind, in ein Register eingetragen werden. . Nach dem „“ sind sie verpflichtet, alle Nutzerdaten, einschließlich Sprachaufzeichnungen und Nachrichtenverläufe, für ein halbes Jahr zu speichern. Übrigens gibt es im Informationsregister auch Habrahabr.
Die Funktionsweise des Registers wird ausführlich beschrieben am Beispiel von Threema, aber die Hauptaussage ist: Auf Anfrage der russischen Behörden kann jede Information über Sie bei den Strafverfolgungsbehörden landen. Daher ist das Erste, was man tun sollte, um die Privatsphäre zu wahren – Gespräche und Nachrichten in Messenger zu verlagern, die nicht im Informationsregister aufgeführt sind. Oder in solche, die dort aufgeführt sind, jedoch die Herausgabe von Daten an die Behörden verweigern – wie Threema und Telegram.
Hinweis: Allein die Präsenz im Informationsregister garantiert nicht, dass die Daten an die Behörden weitergegeben werden. Es ist notwendig, ständig die Nachrichten zu verfolgen und zu beobachten, wie der Messenger reagiert, wenn die Behörden ihn „einholen“.
Sprach- und Nachrichtenübertragungen
Unsere Gespräche und Nachrichten können durch End-to-End-Verschlüsselung vor dem Eingreifen Dritter geschützt werden, weshalb Messenger mit E2E als die sichersten gelten. Aber so einfach ist das nicht: Betrachten wir die gängigen Optionen.
Telegram End-to-End-Verschlüsselung in den Secret Chats und speichert verschlüsselte Daten über Ihre Kommunikation in der Cloud, die über verschiedene Länder mit „sicherer“ Jurisdiktion verteilt ist. Doch nach auf Habr über die Illusion der Sicherheit von Telegram Passport in E2E von Durov könnte man ins Zweifeln geraten.
Natürlich bleibt die Kommunikation in Secret Chats nach wie vor eine gute Option für Paranoiker. Bei deren Verschlüsselung ist der Server überhaupt nicht beteiligt: Nachrichten werden peer-to-peer, also direkt zwischen den Teilnehmern der Konversation, übertragen. Für zusätzliches beruhigendes Gefühl kann die Funktion zur Selbstzerstörung von Nachrichten durch einen Timer genutzt werden. Doch man sollte nicht blind auf Telegram vertrauen. Damit es etwas sicherer wird, sollten Sie und Ihr Gesprächspartner die Einstellungen des Messengers aufrufen und mindestens zwei Dinge tun:
- Ein Passwort für den Zugriff auf die App festlegen (Datenschutz und Sicherheit —> Passwort);
- Die Zwei-Faktor-Authentifizierung aktivieren (Datenschutz und Sicherheit —> Zwei-Schritt-Verifizierung).
Nach dem Aktivieren wird die App zusätzlich zum Code aus der SMS bei der Anmeldung von einem neuen Gerät nach einem Passwort fragen, das nur Sie kennen.
Derzeit schützt die Bestätigung des Zugangs über SMS niemanden, der eine russische SIM-Karte nutzt. Es gibt bereits Berichte über Hacks von Telegram-Konten durch abgefangene SMS-Nachrichten – 2016 erhielten Kriminelle auf die Korrespondenz mehrerer Oppositioneller, und 2017 das Konto des Journalisten Mikhail Rubin von «Dozhd».
WhatsApp vermeidet bislang das ORI-Register und verwendet ebenfalls End-to-End-Verschlüsselung, doch die Situation ist nicht so rosig. Kürzlich haben wir über Einwohner von Magadan veröffentlicht, die wegen der Kritik am Bürgermeister Strafverfahren hatten. Glücklicherweise endete diese Geschichte mit einer gewöhnlichen Geldstrafe. Doch sie bestätigte die Sorgen der Nutzer: In Gruppenchats von WhatsApp zu kommunizieren, ist nicht sicher.
Was wird passieren?
- Sobald Sie eine Nachricht senden, wird Ihre Telefonnummer sofort für alle Gruppenmitglieder sichtbar. Anhand der Nummer ist es einfach, Ihre Identität zu ermitteln.
Was tun?
- Eine mögliche Lösung könnte eine „falsche“ SIM-Karte oder eine ausländische Nummer sein – idealerweise aus Europa.
Wenn Sie eine russische Karte verwenden, die auf Ihren Namen registriert ist, vermeiden Sie beleidigende Kommentare in Gruppen mit Namen wie „Bürgermeister – Rücktritt“: Für WhatsApp ist es besser, nur persönliche Chats und Anrufe zu führen.
Viber steht ebenfalls nicht im ORI-Register, unterstützt jedoch die Kommunikation mit den russischen Behörden (außerhalb der Spam-Verteilungszeiten). Dieser Messenger hat als einer der ersten die neuen Anforderungen der Regierung erfüllt: Er speichert Benutzernamen und Telefonnummern russischer Nutzer auf dem Gebiet der RF, aber die Daten von Nachrichten – beruft sich auf die Mechanik der End-to-End-Verschlüsselung und die Unternehmenspolitik.
Apple verwendet ebenfalls End-to-End, erstellt jedoch bei der Registrierung in iMessage zwei Schlüsselpaare: einen privaten und einen öffentlichen. Die Nachricht, die Sie von einem ähnlichen Besitzer eines Apple-Geräts erhalten, wird Ihnen mit einer Verschlüsselung übermittelt, bei der der öffentliche Schlüssel verwendet wird. Nur mit dem privaten Schlüssel des Empfängers, der auf dessen Gerät gespeichert ist, kann er entschlüsselt werden. Was Apple über den Schutz der Privatsphäre seiner Nutzer denkt und was unternommen wird, wenn eine Anfrage von der Regierung eingeht, können Sie nachlesen. Es wurden keine Fälle gemeldet, in denen das Unternehmen Daten russischer Nutzer an die Behörden der RF übermittelt hat.
Quelle:
Aber iMessage hat zwei Nachteile:
- Sie können über diese Kanäle nur zu einem anderen Apple-Nutzer schreiben oder anrufen;
- Wenn Sie Probleme mit der Internetverbindung haben, wird die Nachricht über das normale Mobilfunknetz gesendet und wird zu einer einfachen SMS, die leicht abgefangen werden kann.
Um zu verhindern, dass iMessage in eine SMS umgewandelt wird, können Sie diese Funktion in den Einstellungen deaktivieren.
Forscher der Electronic Frontier Foundation dass es keine hundertprozentig sichere Option für Anrufe und Nachrichten gibt. Nur weil einige Messenger den Behörden nicht ermöglichen, Ihre persönlichen Daten zu erhalten, bedeutet das nicht, dass Hacker (oder der Staat, der ihre Dienste in Anspruch nehmen kann) dies nicht auf andere Weise tun können. Um den Nutzern das Vertrauen zu geben, dass es kein Man-in-the-Middle-Problem gibt, hat Telegram eine praktische Funktion: Bei einem Anruf können beide Gesprächspartner sicherstellen, dass sie dieselben Emojis in der oberen rechten Ecke des Bildschirms sehen – das ist der Beweis für das Fehlen eines "Eingriffs" in die Verbindung.
Wenn Sie eine zuverlässigere Kommunikationsmethode benötigen, empfehlen wir, nicht nur geheime Chats, Passwörter und Zwei-Schritt-/Zwei-Faktor-Authentifizierung zu verwenden, sondern auch weniger bekannte Nischen-Apps wie или .
Ich benutze Signal jeden Tag. #HinweiseFürDasFBI (Spoiler: Sie wissen es bereits)
Beliebte Unternehmen, die es ermöglichen, ihre E-Mail-Clients zu nutzen (in Russland sind das Yandex, Mail.Ru und Rambler), sind bereits im ORI-Register aufgeführt, was bedeutet, dass sie nicht besonders sicher sind. Ja, die Mail.Ru Group strafrechtliche Verfahren wegen Memes einzustellen und verurteilte Personen zu begnadigen, kann aber Informationen über Ihre Daten auf Anfrage an die Behörden weitergeben.
Selbst wenn Sie westliche E-Mail-Clients wie Gmail oder Outlook verwenden, die Zwei-Faktor-Authentifizierung aktiviert haben und wissen, dass Ihre E-Mail mit einem sicheren SSL/TLS-Protokoll verschlüsselt wird, können Sie sich nicht sicher sein, dass die E-Mail Ihres Empfängers ebenfalls geschützt ist.
Schutzmöglichkeiten:
- Beim Versenden sensibler Informationen E-Mails mit Pretty Good Privacy (). Dieses Programm hilft dabei, Daten aus einer Nachricht in eine bedeutungslose Zeichenfolge für alle außer dem Absender und dem Empfänger zu verwandeln;
- Achten Sie beim Versenden wichtiger Informationen immer auf die Domain des Empfängers und vermeiden Sie die Kommunikation mit verdächtigen Adressen;
- Erkundigen Sie sich im Voraus beim Empfänger, ob er eine Telefonnummer umgeleitet hat oder ob er seine E-Mails über einen russischen E-Mail-Dienst abruft.
Im Falle von inländischen Unternehmen aus dem ORI-Register hilft grundsätzlich keine Verschlüsselung auf der Benutzerseite. Informationen werden nicht abgefangen, sondern an den Endpunkten gespeichert und übertragen – durch solche Dienste. Eine Lösung könnte der Wechsel zu sichereren Alternativen wie ProtonMail, Tutanota oder Hushmail sein. Weitere solcher E-Mail-Dienste finden Sie auf Seite.
Soziale Netzwerke
Minimieren Sie zunächst Ihren Aufenthalt in beliebten russischen sozialen Netzwerken – „Mein Welt“, „Klassenkameraden“ und „VKontakte“. Facebook überträgt Ihre Daten zumindest nicht an die russischen Geheimdienste. Soweit bekannt, wurden solche Fälle nicht dokumentiert.
Aber interessant ist, dass das Unternehmen im Jahr 2017 dennoch 85 % der Anfragen der US-Regierung nachgekommen ist:
Screenshots aus
Wenn Sie zu sehr an VK gewöhnt sind, aber nicht vor Gericht landen wollen, sollten Sie auf einige Dinge achten:
- Ihre gespeicherten Bilder;
- Beiträge, Kommentare und Nachrichten, die Sie schreiben;
- Beiträge, die Sie liken;
- Beiträge, die Sie teilen;
- Benutzer, mit denen Sie befreundet sind.
In all dem oben Genannten sollten Sie besser vermeiden, was als beleidigend oder extremistisch angesehen werden kann. Denken Sie immer daran, dass das „Verbreiten“ bedeutet, „rechtswidrige“ Informationen an mindestens eine Person zu senden. Der Anwalt der international anerkannten Menschenrechtsgruppe „Agora“, Damir Gainutdinov, erklärt, dass gemäß dem Gesetz ORE sogar Entwürfe ungesendeter Nachrichten an die Strafverfolgungsbehörden. Mehr darüber, wie Sie nicht für einen Repost ins Gefängnis kommen, erfahren Sie hier.
Übrigens kann seit einiger Zeit jeder, der Ihre Telefonnummer hat, Sie standardmäßig bei VK finden, auch wenn Ihre Seite Ihre wahre Identität nicht preisgibt.
Das Auffinden nach Ihrer Nummer kann in den Profileinstellungen (Einstellungen —> Datenschutz —> Kontaktaufnahme) deaktiviert werden.. Allerdings schützt dies natürlich nicht vor Behörden. Verwenden Sie keine Anrufe und Videoanrufe über VKontakte: Es ist unklar, ob das Netzwerk sie wirklich end-to-end verschlüsselt, wie von der Verwaltung behauptet.
Sicherheit von Websites
Die einzige gute Nachricht ist, dass aller beliebten Websites im Internet bereits eine HTTPS-Version haben oder vollständig auf die Verwendung von HTTPS-Versionen umgestiegen sind. Die Informationen, die auf solchen Seiten empfangen und übertragen werden, werden verschlüsselt und können von Dritten nicht gelesen werden. Solche Ressourcen werden grün markiert und mit dem Wort „geschützt“ versehen.
Damit enden die guten Nachrichten. Trotz des HTTPS-Protokolls bleiben der Besuch solcher Websites und die DNS-Anfragen (Informationen darüber, auf welche Domains Sie zugegriffen haben) weiterhin für den Internetanbieter sichtbar.
Aber noch schlimmer ist die andere Nachricht: Die verbleibende Hälfte der Webseiten nutzt das herkömmliche HTTP-Protokoll, das heißt, ohne Datenverschlüsselung. Eine Lösung könnte ein VPN sein, das alle empfangenen und gesendeten Daten verschlüsselt, sodass auf der Seite des Internetanbieters und bei jedem, der versucht, sich zwischen Ihnen und der Zielseite einzuschalten, keine lesbaren Informationen erkennbar sind. Das Einzige, was sichtbar sein wird, ist die Verbindung zu einer bestimmten IP-Adresse im Internet (nämlich zum VPN-Server). Und sonst nichts.
Wir wären glücklich, wenn das Leben tatsächlich so einfach wäre: VPN aktivieren und keine Sorgen mehr über das Auslaufen sensibler Informationen. Aber so ist es nicht. Überprüfen Sie regelmäßig, ob Ihre Lieblingsressource im Register ORI eingetragen ist, beobachten Sie, wie sie mit den Behörden interagiert, überprüfen Sie aktive Verbindungen in den Einstellungen Ihrer Messenger und sozialen Netzwerke und setzen Sie verdächtige zurück (und ändern Sie dann unbedingt die Passwörter).
Global
Bei der Arbeit mit Kommunikationskanälen und der Datenübertragung ist ein ganzheitlicher Ansatz für Sicherheit und Datenschutz sinnvoll. Verfolgen Sie die Entwicklungen zur Internetsicherheit in unserem Telegram-Kanal , auf der Website und auf anderen Plattformen, die sich mit den Ereignissen im Internet und insbesondere im Runet befassen.
Welche Sicherheitsmaßnahmen treffen Sie?
Quelle: habr.com
