Ei ole ainult VPN. Patsäpõhikaitse, kuidas end ja oma andmeid kaitsta

Tere, Habr.

See, meie oleme VPN-teenus HideMy.name. Praegu töötame ajutiselt peegeldusel HideMyna.me. Miks? 20. juulil 2018 lisas Roskomnadzor meid keelatud ressursside nimekirja Medvedevi linnaosa kohtumise tõttu Joškar-Olas. Kohus otsustas, et meie saidi külastajatel on piiramatult juurdepääs ekstremistlikele materjalidele #ilmaregistreerimiseta ja SMS-ita, ning kuidagi leidis ta seal Adolf Hitleri raamatu "Mein Kampf". Tundub, et usaldusväärsuse huvides.

See otsus üllatas meid väga, kuid me jätkame tööd hidemyna.me, hidemyname.org, .one, .biz jne. Pikad vaidlused Roskomnadzoriga ei ole viinud ühtegi tulemuseni. Seni vaidlustame juristidega blokeeringut ja maagilist kohtulahendit, jagame teiega põhisoovitusi Interneti-privaatsuse kaitsmiseks ja uudiseid selle kohta.

Edward Snowden armastab Rahvusliku Julgeoleku Agentuuri (võib-olla)

Kellelegi ei ole saladus, et populaarsed Venemaa teenused ei ole turvalised. Teie suhtlus võib igal hetkel sattuda kohalike seaduste valvureid tähelepanu alla. Räägime, millest tuleks meeles pidada, suheldes erinevates suhtluskanalites.

SORM ja ORI

On palju erinevat viise, kuidas teie telefoni kuulata. Ametlik ja seaduslik — SORM, tehniliste vahendite süsteem intensiivsete uurimismeetmete funktsioonide tagamiseks. Venemaal peavad kõik mobiiltelefonide operaatorid seadma sellise süsteemi oma VOIP-süsteemidesse, kui nad ei soovi litsentsist ilma jääda. SORM-i tüüpe on kolm: esimene loodi 80-ndatel, teist hakati juurutama 2000-ndatel ning kolmandat üritatakse operaatoritele peale suruda alates 2014. aastast. RBC andmete põhjal, enamik operaatoritest kasutab teist tüüpi, kuid 70% juhtudel töötab süsteem valesti või ei tööta üldse. Kuid tundlikke teemasid pole siiski parem arutada kas tavatelefonil või tavalistel mobiilkõnede kaudu.

SORM-2 töö skeem (Allikas: mfisoft.ru)

Vastavalt seadusele nr 97-FZ peavad kõik sõnumite rakendused, teenused ja veebisaidid, mis tegutsevad Venemaa territooriumil, olema kantud registrisse Teabe levitajate. Vastavalt „Jarovaya seadusele“ peavad nad säilitama kõik kasutajate andmed, sealhulgas häälekõnede salvestused ja suhtlus, kuue kuu jooksul. Üksikasjalik teave registreeringu töö kohta on ka Habrhabr.

Registri töö on üksikasjalikult kirjeldatud siit Threema näitel on peamine järeldus see, et nüüd võivad Venemaa ametivõimud nõuda teavet teie kohta, mis võib jõuda õiguskaitseorganitesse. Seega on esimene samm privaatsuse kaitsmiseks viia kõned ja sõnumid messengerdatesse, mis ei ole ORI registris. V või nende hulka, kes keelduvad andmete edastamisest ametivõimudele — nagu Threema ja Telegram.

AbiORI registris olemine ei garanteeri, et andmeid edastatakse ametivõimudele. Peab pidevalt jälgima uudiseid ja vaatama messengeri reaktsiooni, kui nad sellele "tulevad".

Häälte helistamine ja sõnumid

Meie vestlusi ja sõnumeid võib kolmandate isikute sekkumise eest kaitsta lõpp-punktist lõpp-punktini (E2E) krüpteerimine, seega peetakse E2E-ga messengereid kõige turvalisemaks. Kuid see ei ole päris tõsi: vaatame populaarseid variante.

Telegram toetab E2E krüpteerimine oma Salajastes Vestlustes ja hoiab teie vestluse krüpteeritud andmed pilves, mis on jaotatud erinevatesse riikidesse "turvalise" jurisdiktsiooniga. Kuid pärast artikkel Habr-s kirjutatud Telegrami Passporti ohutunde illusioonist E2E-s Durova poolt võime hakata kahtlema.

Muidugi jääb Secret Chats'is suhtlemine endiselt heaks valikuks paranoidsetele. Nende krüptimises ei osale server üldse: sõnumid edastatakse peer-to-peer, see tähendab otse vestluse osaliste vahel. Täiendava rahu saavutamiseks saab kasutada sõnumite automaatset hävitamist ajastuse järgi. Kuid ei tasu pimesi toetuda Telegramile. Selle turvalisemaks muutmiseks peavad nii teie kui ka teie vestluspartner minema sõnumivahetuse seadistustesse ja tegema vähemalt kaks asja:

• Seada rakendusse sisselogimisel parool (Privaatsus ja turvalisus —> Parool);
• Lülitada sisse kahefaktoriline autentimine (Privaatsus ja turvalisus —> Kahefaktoriline verifitseerimine).

Pärast seda küsib rakendus uue seadme sisselogimisel lisaks SMS-koodile ka parooli, mille teadmiseks olete ainult teie.

Praegu ei kaitse sisselogimise kinnitamine ainult SMS-i teel isikut, kes kasutab Vene SIM-kaarti. On juba teada juhtumeid Telegrami kontode häkkimisest, kui SMS-sõnumid on püütud — 2016. aastal said kurjategijad juurde pääsu mitme opositsioonilise isiku vestlusele, ja 2017. aastal häkkisid ajakirjanik «Дождя» Mikhail Rubini konto.

WhatsApp hetkel väldib ORI registrit ja kasutab samuti lõpp-lõpuni krüpteerimist, kuid olukord ei ole tema jaoks nii selge. Hiljuti avaldasime uudis Magadani elanike kohta, kelle suhtes algatati kriminaalasi linna enda kriitiseerimise tõttu. Õnneks lõppes see tavapärase rahatrahvi määramisega. Kuid see kinnitas kasutajate muresid: WhatsAppi grupichatides suhtlemine ei ole ohutu.

Mis saab?

• Koheselt, kui saadate sõnumi, saab teie telefoninumber kergesti kätte kõigile grupi liikmetele. Ja numbri järgi on teie identiteeti lihtne välja selgitada.

Mis teha?

• Lahenduseks võib olla 'vasak' SIM-kaart või välismaine number - soovitavalt Euroopa oma.

Kui kasutate Venemaal registreeritud kaarti, mis on teie nimele, vältige kibedaid kommentaare gruppides, mille nimed on sarnased 'Linnapeale - tagasiastumist': WhatsAppis on parem jätta alles ainult isiklikud vestlused ja kõned.

Viber ei ole registreeritud O.R.I-s, kuid toetab suhtlemist Venemaa ametivõimudega (spämmi saatmisest vaba ajal). See messengeri teenus oli üks esimesi, kes täitis uusi riigi nõudeid: see salvestab Venemaa kasutajate kasutajanimed ja telefoninumbrid Venemaa territooriumil, kuid sõnumite andmeid ei tooda välja. keeldub — viidates end-to-end krüptimise mehhanikale ja ettevõtte poliitikale.

Apple kasutab samuti end-to-end, kuid iMessage'i registreerimisel loob see kaks võtmepaari: privaatse ja avaliku. Sõnum, mille saate samasuguselt Apple'i seadme omanikult, edastatakse teile krüptituna, kus kasutatakse avalikku võtit. Selle dekodeerimiseks on vajalik adressaadi privaatne võti, mis on salvestatud tema seadmesse. Kuidas Apple käsitleb kasutajate privaatsust ja mida ta ette võtab, kui saab valitsuselt päringu, saab lugeda. siit. Venemaa ametivõimudele andmete edastamise juhtumeid ei ole fikseeritud.

Allikas: https://www.apple.com/business/docs/iOS_Security_Guide.pdf

Kuid iMessage'il on kaks puudust:

• Need kanalid võimaldavad kirjutada või helistada ainult sama Apple'i seadme omanikule;
• Kui teil on probleeme internetiühendusega, siis sõnum saadetakse tavalise mobiilsidekanali kaudu ja muutub lihtsaks SMS-iks, mida on lihtne pealt kuulata.

iMessage'i SMS-iks muutumise vältimiseks saate selle funktsiooni seadetes välja lülitada.

Electronic Frontier Foundationi teadlased väidavad, et 100% turvalist varianti kõnedele ja sõnumitele ei eksisteeri. Kui mõned messingerid ei lase ametivõimudel teie privaatsusandmetele juurde pääseda, ei tähenda see, et seadusi eirates ei saaks seda teha häkkerid (või riik, kes võib kasutada nende teenuseid). Et anda kasutajale kindlustunnet, et man-in-the-middle (MITM) pole olemas, on Telegramil armas funktsioon: kõne ajal saavad mõlemad osalejad veenduda, et nad näevad ekraani paremas ülanurgas samu emotikone — see on kinnituseks, et ühenduses pole „sissetungimist“.

Kui vajate usaldusväärsemat suhtlusviisi, soovitame mitte ainult kasutada salajasi chatte, paroolide ja kahefaktorilist autentimist, vaid ka pilkuda vähem populaarsetesse niširakendustesse nagu Confide või Signal.

Kasan ma kasutan Signalit iga päev. #märkusFBI-le (Spoiler: nad juba teavad)

E-post

Populaarsed ettevõtted, mis võimaldavad kasutada oma e-posti kliente (Venemaal on need Yandex, Mail.Ru ja Rambler), on juba ORI registris, seega ei ole need liiga turvalised. Jah, Mail.Ru Group kutsub üles lõpetama kriminaalasju meemide pärast ja amnestseerima mõistetud, kuid võivad esitada teie andmed ametivõimudele nõudmisel.

Isegi kui kasutate lääne e-posti kliente nagu Gmail või Outlook, olete sisse lülitanud kahefaktorilise autentimise ja teate, et teie kiri on turvatud usaldusväärse SSL/TLS protokolliga, ei saa te olla kindel, et teie adressaadi kiri on sama kaitstud.

Kaitsevõimalused:

• Tundliku teabe saatmisel krüpteerida kirjad kasutades Pretty Good Privacy (PGP). See programm aitab muuta kirja andmed tähenduslikuks sümbolite kogumiks, mille saavad aru vaid saatja ja saaja;
• Oluline teave saatmisel tuleks alati tähelepanu pöörata saaja domeenile ja mitte kirjutada kahtlasele aadressile;
• Küsi eelnevalt adressaadilt, kas tal on seadistatud edastus või kirjade kogumine läbi Vene postiteenuse.

Kohalike ettevõtete puhul ORI registrist ei aita kasutada mingisugust krüpteerimist kasutaja poolel. Informatsiooni ei püütud, vaid salvestatakse ja edastatakse lõpp-punktideni — sarnaste teenuste kaudu. Lahenduseks võib olla nende asendamine turvalisemate variantidega, nagu ProtonMail, Tutanota või Hushmail. Rohkem selliseid postiteenuseid leiad sellest lehelt.

Sotsiaalmeedia

Alustage oma kohaloleku minimeerimisega populaarsetes Venemaa sotsiaalmeedias, nagu „Minu maailm”, „Odnoklassniki” ja „VKontakte”. Facebook siiski ei edasta teie andmeid Venemaa eriteenistustele. vähemalt selliseid juhtumeid pole fikseeritud.

Aga huvitav on see, et 2017. aastal rahuldas ettevõte 85% USA valitsuse päringutest:

Kuvavad ekraanipildid Facebooki läbipaistvusraportist

Kui olete liiga harjunud VK-ga, aga ei taha sattuda kohtupinki, pöörake tähelepanu mõnele asjale:

• teie salvestatud piltidele;
• postitustele, kommentaaridele ja teadetele, mida kirjutate;
• postitustele, mida meeldib.
• postitused, millega jagate;
• sõbrad, kellega koos aega veedate.

Ülaltoodust tasub vältida seda, mida võiks pidada solvanguks või ekstremismiks. Alati pidage meeles, et "levitamine" on seaduslik teave "ühegi" inimese jaoks. Rahvusvahelise inimõiguste organisatsiooni "Agora" jurist Damir Gajnutdinov väidab, et ORI seaduse kohaselt peavad säilitama ja edastama võimuesindajatele isegi saatmata sõnumite mustandid. Veel sellest, kuidas mitte vastutusele võtta, lugege siit.

Üldiselt, alates mingist ajast võib igaühel, kellel on teie telefoninumber, teie Vkontakte's vaikimisi leida, isegi kui leht ei paljasta teie tõelist identiteeti.

Lubage teid numbrite järgi leida profiili seadetes (Seaded -> Privaatsus -> Suhtlemine minuga). Kuid see ei päästa teid muidugi riigiasutustelt. Ärge kasutage Vkontakte's kõnesid ja videoühendust: ei ole teada, kas võrk krüpteerib neid end-to-end, nagu administratsioon väidab.

Veebisaitide turvalisus

Ainuke positiivne uudis on see, et üle poole Küsimus on, et paljude populaarsete veebisaitide HTTPS-versioonid on juba olemas või on nad täielikult üle läinud ainult HTTPS-versioonide kasutamisele. Selliste saitide kaudu edastatav ja vastu võetav teave on krüpteeritud ning kolmandad osalised ei saa seda lugeda. Need ressursid on märgistatud rohelise värviga ja sõnaga 'kaitstud'.

Kahjuks lõppevad head uudised siin. Hoolimata HTTPS-protokolli kasutamisest on sellise saidi külastamise fakt ja DNS-päringud (teave selle kohta, milliste domeenidega suhtlete) endiselt interneti teenusepakkujale nähtavad.

Aga veel hullem uudis on see, et ülejäänud pooled veebisaidid töötavad tavalise HTTP-protokolliga, st ilma andmete krüpteerimiseta. Lahendusena võib kasutada VPN-i, mis krüpteerib absoluutselt kõik saadud ja edastatud andmed, nii et interneti teenusepakkujal ja igal, kes püüab teil ligipääsu saada, ei ole ühtegi loetavat teavet. Ainsana on nähtav ainult ühenduse teke millegi IP-aadressiga internetis (st VPN-serveriga). Ja mitte midagi muud.

Oleme õnnelikud, kui elu võiks tõepoolest nii lihtne olla: lülitad VPN-i sisse ja unustad tundlikke andmeid lekkinud. Aga see ei ole nii. Kontrollige regulaarselt, kas teie lemmikressurss on ORI registris, jälgige, kuidas see suhtleb ametivõimudega, kontrollige aktiivseid ühendusi sõnumirakendustes ja sotsiaalmeedias ning kustutage kahtlased (ja vahetage seejärel kindlasti paroolid).

Globaalne

Sidekanalite ja andmete edastamise puhul on mõistlik ainult terviklik lähenemine turvalisusele ja privaatsusele. Jälgige veebiturvalisuse sündmustest meie Telegrami kanalist @hidemyname_ru, lehelt Roskomsvoboda ja teistelt allikatelt, mis on pühendatud interneti ja eriti Runeti sündmustele.

Milliseid turvameetmeid teie rakendate?

Allikas: habr.com