Ei ainult VPN. Kuidas end ja oma andmeid kaitsta

Tere, Habr.

See, me, VPN-teenus HideMy.name. Töötab ajutiselt peeglis HideMyna.me. Miks? 20. juulil 2018 lisas Roskomnadzor meid keelatud ressursside nimekirja Mediсhevsky rajoonikohtu otsuse tõttu Yoshkar-Olas. Kohus leidis, et meie saidile pääsejad saavad piiramatu juurdepääsu ekstremistlikule materjalile #ilmaregistreerimistssis, ja kuidagi leidis seal Adolf Hitleri "Mein Kampf" raamatu. Tundub, et oleme usaldusväärsed.

Selline otsus üllatas meid väga, aga me jätkame töötamist hidemyna.me, hidemyname.org, .one, .biz jne. Pikk vaidlus Roskomnadzoriga ei ole kaasa toonud mingeid tulemusi. Seni, kuni me oma juristidega blokeerimist vaidlustame ja maagilist kohtulahendit, jagame teiega põhifunktsioone veebi konfidentsiaalsuse säilitamiseks ja sellealaseid uudiseid.

Edward Snowden meeldib Rahvuslikule Julgeolekuteenistusele (tõenäoliselt)

Kellelegi ei ole saladus, et populaarsed Venemaa teenused ei ole turvalised. Teie suhtlus võib igal hetkel sattuda kodumaiste seaduse valvuri silma alla. Räägime, mida tuleb meeles pidada, suheldes erinevate kanalite kaudu.

SORM ja ORI

Jah palju erinevaid viise, kuidas teie telefoni pealt kuulata. Ametlik ja seaduslik – SORM, tehniliste vahendite süsteem, et tagada otsinguoperatsioonide ülesannete täitmine. Venemaal on seadustest tingitud kõik mobiilsideoperaatorid kohustatud sellise süsteemi oma telefonivõrkudesse installeerima, kui nad ei soovi litsentsist ilma jääda. SORM-i on kolm tüüpi: esimest hakati välja mõtlema 80-ndatel, teist hakati rakendama nullindatel, ja kolmandat püütakse operaatoritele peale sundida alates 2014. aastast. RBC andmetel, enamik operaatoritest kasutavad teist tüüpi, aga 70% juhtudest ei tööta süsteem õigesti või ei tööta üldse. Siiski, maapealses telefonikus ja tavakõnes mobiilsest telefonist ei tasu tundlikest teemadest veel paremini rääkida.

SORM-2 töö skeem (Allikas: mfisoft.ru)

Kohaselt 97-FZ, kõik sõnumiedastusteenused, teenused ja saidid, mis tegutsevad Venemaa territooriumil, peavad olema kantud registrisse Teabe levitamisteenuste korraldajad. "Yarovaya seadus" kohaselt peavad nad säilitama kõik kasutajate andmed, sealhulgas häälte kõnede ja suhtluse salvestused, kuue kuu jooksul. ORI-s on ka Habrahabr.

Registri töö on üksikasjalikult kirjeldatud siin näiteks Threemast, kuid peamine järeldus on järgmine: nüüd võivad venemere asutuste nõudmisel kõik teie kohta olevad andmed minna õiguskaitseorganitesse. Seepärast on esimene asi, mida tuleb teha isikuandmete kaitsmiseks, viia kõned ja sõnumid sõnumirakendustesse, mida ORI registris pole. Või sellistesse, mis seal on, kuid andmete edastamisest riigile keeldusid – nagu Threema ja Telegram.

Abi: ORI registris olemine ei garanteeri, et andmed edastatakse ametivõimudele. Tuleb pidevalt jälgida uudiseid ja vaadata, kuidas reageerib sõnumirakendus, kui see on

Häälkõned ja sõnumid

Meie vestlusi ja sõnumeid kaitseb kolmandate osapoolte sekkumise eest end-to-end krüptimine, mistõttu E2E-ga sõnumirakendusi peetakse kõige turvalisemaks. Kuid see ei ole päris tõsi: vaatame populaarseid variante.

Telegram toetab end-to-end krüptimine oma Salajastes Vestlustes ja salvestab krüpteeritud andmed teie vestluste kohta pilve, mis on jaotatud erinevatesse riikidesse 'turvalise' jurisdiktsiooni alla. Kuid pärast artikleid Habrast võib hakata kahtlema Telegrami Passposti turvalisuse illusioonides E2E-st Durovil.

Muidugi jääb suhtlemine Salajastes Vestlustes endiselt heaks valikuks paranoia jaoks. Nende krüptimises ei osale server üldse: sõnumid edastatakse peer-to-peer, st otse vestluses osalejate vahel. Rohkem rahu saavutamiseks võite kasutada sõnumite enesehävitamise funktsiooni ajastuse järgi. Kuid ei tasu pimesi loota Telegramile. Selleks, et see oleks veidi turvalisem, peab teie ja teie adressaat minema sõnumirakenduse seadetesse ja tegema vähemalt kaks asja:

• Seada rakendusse sisselogimiseks parool (Privaatsus ja turvalisus —> Sisselogimisparool);
• Käivitada kaheastmeline autentimine (Privaatsus ja turvalisus —> Kaheastmeline kontroll).

Pärast seda küsib rakendus sisselogimise korral uuel seadmel lisaks SMS-koodile parooli, mida te üksnes tunnete.

Praegu ei kaitse sisenemine ainult SMS-i kaudu isikut, kes kasutab Venemaa SIM-kaarti. Telegrami kontode häkkimise juhtudest on juba teada – 2016. aastal said kurjategijad juurde pääseda mitmete opositsioonide kirjutiste juurde ning 2017. aastal häkkisid ajakirjaniku 'Dojd' Mihhail Rubini konto.

WhatsApp toimib praegu ORI registri välistades ja kasutab samuti lõpust lõpuni krüpteerimist, kuid olukord ei ole sugugi muretu. Hiljuti avaldasime uudis Magadani elanikest, kelle suhtes algatati kriminaalasi linnapea kriitiseerimise eest. See lugu lõppes, õnneks, tavalise rahatrahvi määramisega. Kuid see kinnitas kasutajate hirme: WhatsAppi grupivestlustes ei ole suhtlemine ohutu.

Mis juhtub?

• Niipea, kui saadate sõnumi, muutub teie telefoninumber kohe kõigile grupi liikmetele nähtavaks. Ja numbri põhjal on teie isiku kindlakstegemine lihtne.

Mida teha?

• Lahendusena võib kaaluda 'vasakut' SIM-kaarti või välismaist numbrit — eelistatavalt Euroopa omad.

Kui kasutate Venemaal registreeritud kaarti, vältige teravaid kommentaare gruppides, mille nimi on nt 'Linnapea — tagasi!' WhatsAppis on parem jätta alles ainult isiklikud vestlused ja kõned.

Viber ei ole samuti ORI registris, kuid toetab suhtlust Venemaa ametivõimudega (vabas ajas reklaamispämmist). See sõnumirakendus oli üks esimesi, kes täitis valitsuse uusi nõudeid: see salvestab Venemaa kasutajate logid ja telefoninumbrid Venemaa territooriumil, kuid sõnumite andmeid ei saa anda keeldub — viidates lõpust lõpuni krüpteerimise mehhanismile ja ettevõtte poliitikale.

Apple kasutab samuti lõpust lõpuni, kuid iMessage'is registreerimisel loob see kaks võtmepaari: privaatne ja avalik. Sõnum, mille te selliselt Apple'i seadme omanikult saate, saadetakse teile krüpteerituna, kasutades avalikku võtit. Selle dekrüpteerimiseks on vajalik adressaadi privaatne võtme, mis on tal oma seadmes. Kuidas Apple käsitleb kasutajate privaatsust ja mida ta ette võtab, kui saab valitsuse nõude, saate lugeda siit. Kasuandmete edastamise juhtumeid Venemaa ametivõimudele ei ole registreeritud.

Allikas: https://www.apple.com/business/docs/iOS_Security_Guide.pdf

Kuid iMessage'il on kaks miinust:

• Need kanalid (kirjutamine või helistamine) on võimalikud vaid sarnaste Apple'i omanike vahel;
• Kui teil on internetiühendusega probleeme, siis sõnum saadetakse tavalisel mobiilside kanalil ja muutub tavaliseks SMS-iks, mida on lihtne püüdmiseks.

iMessage'i muutmise vältimiseks SMS-iks on võimalik see funktsioon seadetes välja lülitada.

Electronic Frontier Foundationi teadlased väidavad, ei ole olemas 100% turvalist varianti kõnede ja sõnumite jaoks. Kui mõned sõnumirakendused ei luba ametivõimudel teie privaatsed andmed saada, siis see ei tähenda, et seadusi eiravate häkkerite (või riigi, mis võib kasutada nende teenuseid) tegevust ei saaks juhtuda. Et tagada kasutajale kindlustunne, et man-in-the-middle rünnakut ei toimu, on Telegramil armas omadus: kõne ajal saavad mõlemad osalised veenduda, et nad näevad ekraani paremas ülanurgas samu emotikone — see tõestab, et ühendusse ei ole toimunud

Kui vajate usaldusväärsemat suhtlusviisi, soovitame mitte lihtsalt kasutada salajasi jututubasid, paroole ja kahefaktorilist autentimist, vaid vaadata ka vähem populaarseid niširakendusi nagu Confide või Signal.

Kasutame Signalit iga päev. #märkmedFBIle (Spoiler: nad juba teavad)

E-post

Populaarsed ettevõtted, mis pakuvad oma e-posti kliente (Venemaal Yandex, Mail.Ru ja Rambler), on juba kantud ORI registrisse, mis tähendab, et nad pole väga turvalised. Jah, Mail.Ru Group kutsub üles lõpetama kriminaalasjad meemide pärast ja andma amnestia süüdimõistetutele, kuid võib ametivõimudele teie andmete kohta teavet anda esimesel nõudmisel.

Isegi kui kasutate lääne e-posti kliente nagu Gmail või Outlook, olete lülitanud sisse kahefaktorilise autentimise ja teadsite, et teie kiri on krüpteeritud usaldusväärse SSL/TLS protokolliga, ei saa te olla kindel, et teie adresseeritud kirja kaitse on sama.

Kaitsevalikud:

• Tundliku teabe saatmisel krüpteerige kirjad kasutades Pretty Good Privacy (PGP). See programm aitab muuta kirja andmed mõttetuks sümbolite kogumiks kõigile peale saatja ja saaja;
• Oluline teave saatmisel pöörake alati tähelepanu adressaadi domeenile ja ärge kirjutage kahtlasele aadressile;
• Küsi eelnevalt adressaadilt, kas tal on seadistatud edastamine või postikogumine Venemaa postiteenuse kaudu.

Kohalike ORI registrisse kuuluvate ettevõtete puhul ei aita klientide poolelt krüpteerimine üldiselt. Teave ei ole peidetud, vaid salvestatakse ja edastatakse lõpp-punktide kaudu, nagu need teenused. Lahendusena sobivad ainult turvalisemad alternatiivid, nagu ProtonMail, Tutanota või Hushmail. Selliseid postiteenuseid leidub rohkem selle lehelt.

Sotsiaalvõrgustikud

Alustuseks vähendage oma viibimist populaarsetes Venemaa sotsiaalvõrgustikes - „Minu maailm“, „Odnoklassniki“ ja „VKontakte“. Facebook ei edasta teie andmeid Venemaa eriteenistustele. Vähemalt ei ole selliseid juhtumeid registreeritud.

Kuid huvitav on, et 2017. aastal rahuldas ettevõte 85% USA valitsuse taotlustest:

Kuvatised Facebooki läbipaistvuse aruandest

Kui olete VK-ga liiga harjunud, kuid ei soovi jätta end süüdistuskohustuse alla, pidage meeles mitmeid asju:

• teie salvestatud pildid;
• postitused, kommentaarid ja sõnumid, mida kirjutate;
• postitused, mida meeldib;
• postitused, millega jagate;
• kasutajad, kellega olete sõbrad.

Kõigis ülaltoodud tuleks vältida seda, mida võiks pidada solvavaks või äärmuslikuks. Alati pidage meeles, et „levitamine“ on teabeteade „ebaseaduslikust“ teabest vähemalt ühele inimesele. Rahvusvahelise inimõiguste organisatsiooni „Agora“ jurist Damir Gainutdinov väidab, et ORI seaduse kohaselt peavad nad säilitama ja edastama õiguskaitseorganitele isegi saatmata sõnumite mustandid.Veel rohkem selle kohta, kuidas mitte sattuda süüdistuste alla, lugege siit.

Muide, alates mõnest ajast võib igaüks, kellel on teie telefoninumber, vaikimisi leida teid VK-s, isegi kui teie leht ei näita teie tõelist identiteeti.

Saate keelata teid numbri järgi leidmast profiili sätetes (Seaded -> Privaatsus -> Suhtlus minuga). Kuid see ei päästa teid muidugi eriteenistuste eest. Ärge kasutage VK-s telefonikõnesid ja videokõnesid: ei ole teada, kas võrk krüpteerib neid tõeliselt otsast otsani, nagu administratsioon väidab.

Veebisaidi turvalisus

Ainuke hea uudis on see, et üle poole Kõik populaarsed veebilehed internetis on juba omandanud https-versiooni või on täielikult üle läinud ainult https-versioonide kasutamisele. Sellistel saitidel edastatav ja vastuvõetav teave krüpteeritakse ja seda ei saa kolmandad osalised lugeda. Need ressursid on märgitud rohelise värvi ja sõnaga „kaitstud”.

Kahjuks lõppevad head uudised siin. Hoolimata https-protokollist jääb sellise saidi külastamise fakt ja DNS-päringud (teave selle kohta, milliste domeenidega te suhtlesite) ikkagi internetiteenuse pakkuja silmade ette.

Aga veel hullem on teine uudis: ülejäänud pool veebilehti töötab tavalise http-protokolliga, see tähendab, et andmed ei ole krüpteeritud. Lahenduseks võib olla VPN, mis krüpteerib täielikult kõik saadud ja edastatud andmed, nii et interneti pakkuja ja kõik, kes üritavad teie ja lõpp- veebilehe vahel sekkuda, ei näe mingit loetavat teavet. Ainsad asjad, mis on nähtavad, on ühenduse loomise fakt teatud IP-aadressiga internetis (st VPN-serveriga). Rohkem mitte midagi.

Me oleksime õnnelikud, kui elu äkitselt muutuks nii lihtsaks: lülitada VPN sisse ja unustada tundlike andmete leke. Kuid nii ei ole. Kontrollige regulaarselt, kas teie lemmikkohad ei ole sattunud ORI registrisse, jälgige, kuidas nad suhtlevad ametivõimudega, kontrollige aktiivseid ühendusi sõnumerakenduste ja sotsiaalmeedia seadetes ning lähtestage kahtlased (järelikult vahetage paroolid).

Globaalne

Suhtluskanalite ja andmete edastamise puhul on mõistlik ainult kompleksne lähenemine ohutusele ja konfidentsiaalsusele. Jälgige interneti turvalisuse sündmusi meie Telegrami kanalil @hidemyname_ru, lehelt Roskomsvobodast ja teistel ressurssidel, mis on pühendatud interneti ja eriti ru-neti sündmustele.

Milliseid turvameetmeid teete teie?

Allikas: habr.com