Mitte ainult VPN. Petuleht selle kohta, kuidas ennast ja oma andmeid kaitsta

Tere Habr.

See oleme meie, VPN-teenus HideMy.name. Praegu töötame ajutiselt HideMyna.me peegli kallal. Miks? 20. juulil 2018 lisas Roskomnadzor meid keelatud ressursside nimekirja Joškar-Ola Medvedevski ringkonnakohtu otsuse tõttu. Kohus otsustas, et meie saidi külastajatel on piiramatu juurdepääs äärmuslikele materjalidele #ilma registreerimisvõimeta ja millegipärast leidis see sealt Adolf Hitleri raamatu “Mein Kampf”. Ilmselt usaldusväärsuse pärast.

See otsus üllatas meid väga, kuid jätkame tööd hidemyna.me, hidemyname.org, .one, .biz jne. Pikaleveninud vaidlus Roskomnadzoriga ei viinud tulemuseni. Samal ajal kui minu advokaadid vaidlustame blokeerimise ja maagilise kohtuotsuse, jagame teiega põhilisi näpunäiteid privaatsuse säilitamiseks Internetis ja selleteemalisi uudiseid.

Edward Snowden armastab riiklikku julgeolekuagentuuri (ilmselt)

Pole saladus, et populaarsed Venemaa teenused on ohtlikud. Teie kirjavahetus võib igal ajal sattuda siseriiklike õiguskaitseametnike tähelepanu alla. Räägime teile, mida peate meeles pidama erinevate suhtluskanalite kaudu suheldes.

SORM ja ORI

On palju erinevaid telefoni puudutamise viisid. Ametlik ja juriidiline - SORM, tehniliste vahendite süsteem operatiivjuurdlustegevuse funktsioonide tagamiseks. Vene Föderatsiooni seaduse järgi peavad kõik mobiilsideoperaatorid oma PBX-i installima sellise süsteemi, kui nad ei soovi oma litsentsi kaotada. SORM-i on kolme tüüpi: esimene leiutati 80ndatel, teist hakati rakendama 2014ndatel ja kolmandat on nad üritanud operaatoritele peale suruda alates XNUMX. aastast. RBC andmetel, enamik operaatoreid kasutab teist tüüpi, kuid 70% juhtudest süsteem ei tööta korralikult või ei tööta üldse. Siiski on parem mitte arutada tundlikke teemasid lauatelefoni või tavakõne kaudu mobiiltelefonilt.

SORM-2 tööskeem (Allikas: mfisoft.ru)

Vastavalt 97-FZ-le tuleb registrisse lisada kõik Venemaal tegutsevad sõnumitoojad, teenused ja saidid. Infolevi korraldajad. Kõrval "Yarovaya seadus«Nad on kohustatud säilitama kuus kuud kõiki kasutajaandmeid, sealhulgas kõnesalvestisi ja kirjavahetust. Muide, ARI-s on ka Habrahabr.

Registri toimimist kirjeldatakse üksikasjalikult siin näitena Threema, kuid peamine järeldus on järgmine: nüüd võib Venemaa võimude palvel igasugune teave teie kohta jõuda õiguskaitseorganitesse. Seetõttu on konfidentsiaalsuse säilitamiseks esimene asi kõnede ja sõnumite edastamine kiirsõnumitele, mida ARI registris ei ole. Või need, kes on seal, kuid keelduvad võimudele andmeid edastamast – nagu Threema ja Telegram.

Sertifikaat: Ainuüksi ARI registris olemine ei taga andmete edastamist ametiasutustele. Peate pidevalt uudiseid jälgima ja vaatama sõnumitooja reaktsiooni, kui nad talle "tulevad".

Häälkõned ja sõnumid

Meie vestlusi ja sõnumeid saab kaitsta kolmandate osapoolte sekkumise eest täieliku krüptimisega, mistõttu peetakse E2E-ga sõnumitoojaid kõige turvalisemaks. Kuid see pole täiesti tõsi: vaatame populaarseid valikuid.

Telegramm toetab täieliku krüptimise oma salajastes vestlustes ja salvestab krüpteeritud andmed teie kirjavahetuse kohta pilves, mis on hajutatud erinevatesse "turvalise" jurisdiktsiooniga riikidesse. Aga pärast artiklid Habré lehel võite hakata kahtlema Durovi E2E Telegram Passi turvalisuse illusioonis.

Muidugi on salavestlused paranoia jaoks endiselt hea valik. Server ei osale nende krüptimises üldse: sõnumeid edastatakse peer-to-peer teel, see tähendab otse kirjavahetuses osalejate vahel. Meelerahu suurendamiseks võite kasutada taimersõnumi enesehävitamise funktsiooni. Kuid te ei tohiks pimesi Telegramile loota. Selle pisut turvalisemaks muutmiseks peate teie ja teie adressaat avama Messengeri seaded ja tegema vähemalt kahte asja.

• Seadistage rakendusse sisselogimisel parool (Privaatsus ja turvalisus -> Pääsukood);
• Luba kaheastmeline kinnitamine (Privaatsus ja turvalisus -> Kaheastmelise kontrollimine).

Pärast seda küsib rakendus lisaks SMS-i koodile uuest seadmest sisse logides parooli, mida teate ainult teie.

Praegu ei kaitse ainult SMS-i teel sisselogimise kinnitamine kuidagi inimest, kes kasutab Venemaa SIM-kaarti. Telegrami kontodele pealtkuulatud SMS-sõnumi kaudu häkkimise juhtumid on juba teada – 2016. aastal ründasid ründajad sai juurdepääsu mitme opositsionääri kirjavahetusele ning 2017. a oli häkitud Doždi ajakirjaniku Mihhail Rubini konto.

WhatsApp praegu väldib see ORI registrit ja kasutab ka otsast lõpuni krüptimist, kuid kõik pole sellega nii roosiline. Hiljuti avaldasime uudised Magadani elanike kohta, kelle suhtes algatati linnapea kritiseerimise eest kriminaalasi. See lugu lõppes õnneks tavapärase trahviga. Kuid see kinnitas kasutajate kartusi: WhatsAppi grupivestlustes pole turvaline suhelda.

Mis juhtub?

• Niipea kui kirjutate sõnumi, muutub teie telefoninumber kohe kõigile rühmaliikmetele kättesaadavaks. Ja teie isikut saab numbri järgi hõlpsasti kindlaks teha.

Mida teha?

• Lahenduseks võiks olla “vasakpoolne” SIM-kaart või välismaa number – soovitavalt Euroopa oma.

Kui kasutate oma nimele registreeritud Vene kaarti, vältige sarkastilisi kommentaare rühmades, mille nimed on "Astuge linnapea eest tagasi": parem on jätta ainult isiklik kirjavahetus ja WhatsAppi kõned.

Výber pole samuti ORI registris kantud, kuid suhtleb Venemaa võimudega (rämpsposti saatmisest vabal ajal). See messenger oli üks esimesi, kes järgis uusi valitsuse nõudeid: see salvestab Vene Föderatsiooni territooriumil asuvate Venemaa kasutajate sisselogimisi ja telefoninumbreid, kuid edastab sõnumite andmeid. keeldub — viitab täieliku krüptimise ja ettevõtte poliitika mehhanismidele.

õun kasutab ka otsast lõpuni, kuid iMessage'iga registreerudes loob see kaks võtmepaari: privaatne ja avalik. Sõnum, mille saate Apple'i seadme samalt omanikult, edastatakse teile krüptituna, mis kasutab avalikku võtit. Seda saab dekrüpteerida ainult adressaadi privaatvõtme abil, mis on tema seadmesse salvestatud. Saate lugeda, kuidas Apple kasutajate privaatsusele suhtub ja mida ta teeb, kui saab valitsuselt taotluse siia. Juhtumeid, kus ettevõte oleks Venemaa kasutajatelt andmeid Venemaa võimudele edastanud, ei ole registreeritud.

Allikas: https://www.apple.com/business/docs/iOS_Security_Guide.pdf

Kuid iMessage'il on kaks puudust:

• Nende kanalite kaudu saate kirjutada või helistada ainult samale Apple'i omanikule;
• Kui teil on Interneti-ühendusega probleeme, edastatakse sõnum tavalise mobiilsidekanali kaudu ja sellest saab lihtne SMS, mida on lihtne pealt kuulata.

Et iMessage ei muutuks SMS-iks, saate selle funktsiooni seadetes keelata.

Electronic Frontier Foundationi teadlased väide et kõnede ja sõnumite jaoks pole sada protsenti turvalist võimalust. Kui mõned sõnumitoojad takistavad võimudel teie isiklikke andmeid hankimast, ei tähenda see, et häkkerid (või riik, kes saab nende teenuseid kasutada) ei saaks seda seadustest mööda hiilides teha. Andmaks kasutajale kindlustunnet, et meest keskel pole, on Telegramil tore funktsioon: helistades saavad mõlemad adressaadid veenduda, et nad näevad ekraani paremas ülanurgas sama emotikonit – see kinnitab ühendustesse sissetungi puudumine.

Kui otsite turvalisemat suhtlemisviisi, soovitame otsida salavestluste, paroolide ja kaheastmelise/kahefaktorilise autentimise kõrval vähem populaarseid niširakendusi, nagu Usalda või Signaali.

Kasutan Signali iga päev. #notesforFBI (Spoiler: nad juba teavad)

E-mail

Populaarsed ettevõtted, mis võimaldavad oma meilikliente kasutada (Venemaal on need Yandex, Mail.Ru ja Rambler), on juba ARI registris kaasatud, mis tähendab, et need pole eriti turvalised. Jah, Mail.Ru Group kutsub üles lõpetama kriminaalasjad meemide eest ja amnestia süüdimõistetutele, kuid võib nõudmisel anda ametiasutustele teavet teie andmete kohta.

Isegi kui kasutate Lääne e-posti kliente (nt Gmail või Outlook), teil on lubatud kahefaktoriline autentimine ja teate, et teie meilid on krüpteeritud turvalise SSL/TLS-protokolli abil, ei saa te olla kindel, et teie e-posti aadress on võrdselt kaitstud.

Kaitsevalikud:

• Tundliku teabe saatmisel krüpteerige meilid, kasutades funktsiooni Pretty Good Privacy (PGP). See programm aitab muuta kirja andmed kõigi jaoks, välja arvatud saatja ja saaja, mõttetuks märgikomplektiks;
• Olulise teabe saatmisel pöörake alati tähelepanu saaja domeenile ja ärge kirjutage kahtlasele aadressile;
• Uurige eelnevalt adressaadiga, kas ta on seadistanud Venemaa postiteenuse kaudu posti edastamise või vastuvõtmise.

Kodumaiste ettevõtete puhul ORI registrist ei aita põhimõtteliselt mingi kasutajapoolne krüpteerimine. Teavet ei peata, vaid salvestavad ja edastavad lõpp-punktid – sarnased teenused. Ainus lahendus on asendada need turvalisemate analoogidega nagu ProtonMail, Tutanota või Hushmail. Rohkem selliseid meiliteenuseid leiate aadressilt see lehel.

Sotsiaalsed võrgustikud

Alustuseks minimeerige oma kohalolek populaarsetes Venemaa sotsiaalvõrgustikes - “Minu maailm”, “Odnoklassniki” ja “VKontakte”. Vähemalt Facebook ei anna teie andmeid Venemaa luureagentuuridele üle. Vähemalt pole selliseid juhtumeid registreeritud.

Kuid on huvitav, et 2017. aastal rahuldas ettevõte endiselt 85% USA valitsuse taotlustest:

Ekraanipildid saidilt Facebooki läbipaistvusaruanne

Kui olete VK-ga liiga harjunud, kuid ei taha dokki sattuda, pöörake tähelepanu mõnele asjale:

• teie salvestatud pildid;
• teie kirjutatud postitused, kommentaarid ja sõnumid;
• postitused, mis teile meeldivad;
• postitused, mida jagate;
• kasutajad, kellega olete sõbrad.

Kõige eelneva puhul on kõige parem vältida kõike, mida võiks pidada solvavaks või äärmuslikuks. Pidage alati meeles, et "jagamine" tähendab "ebaseadusliku" teabe edastamist vähemalt ühele inimesele. Rahvusvahelise inimõigusrühmituse "Agora" advokaat Damir Gainutdinov väidab, et seaduse kohaselt on ORI kohustatud säilitama ja edastama isegi õiguskaitseorganitele saatmata sõnumite mustandid. Lugege lähemalt, kuidas mitte jääda uuesti postitamisega vahele siia.

Muide, juba mõnda aega võivad kõik, kellel on teie telefoninumber, teid VKontakte'ist vaikimisi leida, isegi kui leht ise teie tegelikku identiteeti ei paljasta.

Saate takistada inimestel teid numbri järgi leida oma profiili seadetes (Seaded -> Privaatsus -> Võtke minuga ühendust). Kuid see muidugi ei päästa teid eriteenistustest. Ärge kasutage VKontakte'is kõnesid ja videosidet: pole teada, kas võrk krüpteerib need tegelikult otsast lõpuni, nagu administratsioon väidab.

Veebisaidi turvalisus

Ainus hea uudis on see rohkem kui pool Kõigil populaarsetel Interneti-saitidel on juba https-versioon või need on täielikult üle läinud ainult https-versioonide kasutamisele. Sellistel saitidel saadud ja edastatud teave on krüpteeritud ja kolmandad osapooled ei saa seda lugeda. Sellised ressursid on tähistatud rohelisega ja sõnaga "kaitstud".

Sellega head uudised lõppevad. Vaatamata https-protokollile jäävad sellise saidi külastamise fakt ja DNS-i päringud (teave selle kohta, millistele domeenidele ligi pääsesite) endiselt Interneti-teenuse pakkujale nähtavaks.

Kuid veel üks uudis on veelgi hullem: ülejäänud pooled saidid töötavad tavalise http-protokolli abil, see tähendab ilma andmete krüptimiseta. Lahenduseks võiks olla VPN, mis krüpteerib absoluutselt kõik vastuvõetud ja edastatud andmed, nii et internetipakkuja poolel poleks loetavat infot ega kõiki, kes üritavad sinu ja lõppsaidi vahele imbuda. Ainus asi, mis on nähtav, on Internetis teatud IP-aadressiga (st VPN-serveriga) ühenduse loomine. Ja ei midagi enamat.

Oleme õnnelikud, kui elu tõesti järsku nii lihtsaks muutub: lülitage VPN sisse ja unustage tundliku teabe lekkimine. Aga see pole tõsi. Kontrollige regulaarselt, kas teie lemmikressurss on ARI registris, jälgige, kuidas see ametiasutustega suhtleb, kontrollige aktiivseid ühendusi kiirsõnumite ja suhtlusvõrgustike seadetes ning lähtestage kahtlased (ja seejärel muutke kindlasti paroolid).

globaalselt

Sidekanalite ja andmeedastusega töötades on mõtet vaid terviklik lähenemine turvalisusele ja privaatsusele. Jälgige Interneti-turvalisuse sündmusi meie Telegrami kanalil @hidemyname_ru, kohapeal Roskomsvoboda ja muudel ressurssidel, mis on pühendatud sündmustele Internetis ja eriti RuNetis.

Milliseid ohutusmeetmeid te võtate?

Allikas: www.habr.com