Kaixo Habr.
Hau gu gara, VPN zerbitzua . HideMyna.me ispiluan aldi baterako lanean ari gara. Zergatik? 20ko uztailaren 2018an Roskomnadzorrek gehitu gintuen Yoshkar-Olako Medvedevsky Barrutiko Auzitegiaren erabakia dela eta. Auzitegiak ebatzi zuen gure webguneko bisitariek muturreko materialetarako sarbide mugagabea dutela #registraziorik gabe, eta nolabait Adolf Hitlerren "Mein Kampf" liburua aurkitu zuen bertan. Dirudienez, fidagarritasunagatik.
Erabaki honek asko harritu gintuen, baina hidemyna.me, hidemyname.org, .one, .biz eta abarrekin lanean jarraitzen dugu. Roskomnadzorrekin eztabaida luze batek ez zuen emaitzarik ekarri. Nire abokatuak eta biok blokeoa eta auzitegi magikoaren erabakia auzitan jartzen ari garen bitartean, Interneten pribatutasuna mantentzeko oinarrizko aholkuak eta gai honi buruzko berriak partekatzen ari gara zurekin.
Edward Snowdenek Segurtasun Agentzia Nazionala maite du (seguruenik)
Ez da sekretua Errusiako zerbitzu ezagunak ez direla seguruak. Zure korrespondentzia edozein unetan izan daiteke barneko legea betearazteko funtzionarioen berri. Komunikazio-kanal ezberdinetatik komunikatzeko orduan zer gogoratu behar duzun esaten dizugu.
SORM eta ORI
Ez dago telefonoa ukitzeko moduak. Ofiziala eta legala - SORM, ikerketa operatiboko jardueren funtzioak bermatzeko bitarteko teknikoen sistema. Errusiar Federazioko legearen arabera, operadore zelular guztiek beren PBXetan sistema hori instalatu behar dute lizentzia galdu nahi ez badute. Hiru SORM mota daude: lehenengoa 80ko hamarkadan asmatu zen, bigarrena 2014. hamarkadan hasi zen ezartzen, eta hirugarrena inposatu nahian dabiltza operadoreei XNUMXtik. , operadore gehienek bigarren mota erabiltzen dute, baina kasuen % 70ean sistemak ez du behar bezala funtzionatzen edo ez du batere funtzionatzen. Hala ere, oraindik hobe da gai sentikorrak ez eztabaidatzea telefono finkotik edo telefono mugikor batetik ohiko dei baten bidez.
SORM-2 funtzionamendu eskema (Iturria: mfisoft.ru)
97-FZren arabera, Errusian jarduten duten mezulari, zerbitzu eta gune guztiak erregistroan sartu behar dira . Egilea "Β«Erabiltzaileen datu guztiak, ahots-deien grabazioak eta korrespondentzia barne, sei hilabetez gorde behar dituzte. Bide batez, ARIk Habrahabr ere badu.
Erregistroaren funtzionamendua zehatz-mehatz deskribatzen da Threema adibidetzat hartuta, baina ondorio nagusia hau da: orain, Errusiako agintariek eskatuta, zuei buruzko edozein informazio lege-agintaritzetan amai daiteke. Horregatik, konfidentzialtasuna mantentzeko egin beharreko lehen gauza deiak eta mezuak berehalako mezularietara transferitzea da, ARI erregistroan ez daudenak. Edo hor daudenak, baina datuak agintariei transferitzeari uko egiten diotenak -Threma eta Telegram bezalakoak-.
Ziurtagiria: ARI erregistroan egoteak ez du bermatzen datuak agintariei lagako zaizkienik. Albisteak etengabe kontrolatu eta mezulariaren erreakzioa begiratu behar duzu haren bila "etortzen direnean".
Ahots-deiak eta mezuak
Gure elkarrizketak eta mezuak hirugarrenen interferentziatik babestu daitezke muturreko enkriptazio bidez, horregatik E2E duten mezulariak seguruenak dira. Baina hau ez da guztiz egia: ikus ditzagun aukera ezagunak.
Telegrama muturreko enkriptatzea euren txat sekretuetan eta zure korrespondentziari buruzko datuak enkriptatuak gordetzen ditu hodeian, jurisdikzio "segurua" duten herrialde ezberdinetan sakabanatuta. Baina ondoren HabrΓ©-n Telegram Passport-en segurtasun ilusioa zalantzan jartzen has zaitezke Durov-en E2E-n.
Jakina, txat sekretuak aukera ona dira oraindik paranoikoentzat. Zerbitzariak ez du batere parte hartzen haien enkriptazioan: mezuak peer-to-peer transmititzen dira, hau da, korrespondentziako parte-hartzaileen artean zuzenean. Lasaitasun gehiago lortzeko, tenporizadorearen mezuak autosuntsitzeko funtzioa erabil dezakezu. Baina ez zenuke itsu-itsuan fidatu behar Telegramen. Apur bat seguruagoa izan dadin, zuk eta zure hartzaileak mezulariaren ezarpenetara joan eta gutxienez bi gauza egin behar dituzu:
- Ezarri pasahitz bat aplikazioan saioa hastean (Pribatutasuna eta segurtasuna -> Pasakodea);
- Gaitu bi urratseko egiaztapena (Pribatutasuna eta segurtasuna -> Bi urrats egiaztatzea).
Honen ostean, SMSko kodeaz gain, gailu berri batetik saioa hasten denean, aplikazioak zuk bakarrik ezagutzen duzun pasahitza eskatuko du.
Gaur egun, SMS bidez soilik saioa hasteko baieztapenak ez du inola ere babesten Errusiako SIM txartela erabiltzen duen pertsona bat. Atzemandako SMS mezu baten bidez Telegram kontuak pirateatzeko kasuak ezagutzen dira dagoeneko - 2016an, erasotzaileak oposizioko hainbaten korrespondentziari, eta 2017an Mikhail Rubin Dozhd kazetariaren kontua.
WhatsApp oraingoz ORI erregistroa saihesten du eta end-to-end enkriptatzea ere erabiltzen du, baina dena ez da hain arrosa horrekin. Duela gutxi argitaratu dugu Hiriko alkatea kritikatzeagatik auzi penal baten menpe zeuden Magadan bizilagunei buruz. Istorio hau, zorionez, ohiko isunarekin amaitu zen. Baina erabiltzaileen beldurrak baieztatu ditu: ez da segurua WhatsApp taldeko txatetan komunikatzea.
Zer gertatuko da?
- Mezu bat idatzi bezain laster, zure telefono-zenbakia berehala egongo da eskuragarri taldekide guztientzat. Eta zure nortasuna erraz zehaztu daiteke zenbakiaren arabera.
Zer egin?
- Irtenbidea "ezkerreko" SIM txartela edo atzerriko zenbaki bat izan daiteke, hobe europarra.
Zure izenean erregistratutako errusiar txartel bat erabiltzen baduzu, saihestu iruzkin sarkastikoak "Alkatearentzat dimisioa" bezalako izenak dituzten taldeetan: hobe da korrespondentzia pertsonala eta WhatsApp-erako deiak soilik uztea.
Viber ORI erregistroan ere ez dago zerrendatuta, baina Errusiako agintariekin komunikazioa mantentzen du (spam-a bidaltzen duen denbora librean). Mezularitza hau gobernuaren eskakizun berriak betetzen lehenetariko bat izan zen: Errusiako erabiltzaileen saio-hasiera eta telefono zenbakiak gordetzen ditu Errusiako Federazioaren lurraldean, baina mezuen datuak ematen ditu. β end-to-end enkriptatzeari eta korporazio-politikari egiten die erreferentzia.
Apple end-to-end ere erabiltzen du, baina iMessage-rekin erregistratzean bi gako-pare sortzen ditu: pribatua eta publikoa. Apple-ren gailu baten jabe berarengandik jasotzen duzun mezua enkriptatzeaz transmititzen zaizu, gako publikoa erabiltzen duena. Hartzailearen gako pribatua erabiliz soilik deszifratu daiteke, bere gailuan gordeta dagoena. Applek erabiltzailearen pribatutasuna nola ikusten duen eta gobernuaren eskaera jasotzen badu zer egingo duen irakur dezakezu Ez da erregistratu enpresak Errusiako erabiltzaileen datuak Errusiako agintariei transferitzeko kasurik.
Iturria:
Baina iMessage-k bi desabantaila ditu:
- Kanal hauen bidez Appleren jabe berari bakarrik idatzi edo deitu dezakezu;
- Interneteko konexioarekin arazoak badituzu, mezua sakelako kanal arrunt batetik pasatuko da eta erraz atzeman daitekeen SMS soil bihurtuko da.
iMessage SMS bihur ez dadin, eginbide hau desgai dezakezu Ezarpenak atalean.
Electronic Frontier Fundazioko ikertzaileak ez dagoela ehuneko ehunean dei eta mezuetarako aukera segururik. Mezulari batzuek agintariei zure datu pribatuak eskuratzea eragozten badie, horrek ez du esan nahi hackerrek (edo estatuak, beren zerbitzuak erabil ditzaketenak) hori egin ezin dutenik legeak saihestuz. Erabiltzaileari erdiko gizonik ez dagoela ziurtatzeko, Telegramek funtzio polita du: deitzen dutenean, bi hartzaileek pantailaren goiko eskuineko izkinan emoji bera ikusten dutela ziurtatu dezakete; honek konexioan "sartzea" eza.
Komunikatzeko modu seguruago baten bila bazabiltza, ezkutuko txat, pasahitzak eta bi urrats/bi faktoreko autentifikaziotik haratago ez diren aplikazio nitxo ezagunetara begiratzea gomendatzen dugu. edo .
Signal egunero erabiltzen dut. #notesforFBI (Spoiler: dagoeneko badakite)
Posta elektronikoko bezeroak erabiltzeko aukera ematen duten enpresa ezagunak (Errusian Yandex, Mail.Ru eta Rambler dira) dagoeneko sartuta daude ARI erregistroan, eta horrek esan nahi du ez direla oso seguruak. Bai, Mail.Ru Taldea zigor kasuak memeengatik eta amnistia zigortuentzat, baina zure datuei buruzko informazioa eman diezaieke agintariei eskatuz gero.
Mendebaldeko posta elektronikoko bezeroak Gmail edo Outlook bezalakoak erabiltzen badituzu ere, bi faktoreko autentifikazioa gaituta baduzu eta zure posta elektronikoa SSL/TLS protokolo seguru baten bidez enkriptatuta dagoela jakin arren, ezin duzu ziurtatu hartzailearen mezu elektronikoa berdin babestuta dagoenik.
Babes aukerak:
- Informazio sentikorra bidaltzean, enkriptatu mezu elektronikoak Pretty Good Privacy erabiliz (). Programa honek gutun batetik datuak zentzurik gabeko karaktere multzo batean bihurtzen laguntzen du guztiontzat, igorle eta hartzaileak izan ezik;
- Informazio garrantzitsua bidaltzean, beti erreparatu hartzailearen domeinuari eta ez idatzi helbide susmagarri batera;
- Egiaztatu hartzailearekin aldez aurretik posta bidalketa edo bilketa Errusiako posta-zerbitzuaren bidez konfiguratu duen.
ORI erregistroko etxeko enpresen kasuan, erabiltzailearen aldetik ez du zifratzeak, printzipioz, lagunduko. Informazioa ez da atzematen, amaierako puntuek gordetzen eta transmititzen dute, antzeko zerbitzuak. Irtenbide bakarra ProtonMail, Tutanota edo Hushmail bezalako analogo seguruagoekin ordezkatzea izan daiteke. Posta elektronikoko zerbitzu gehiago hemen aurki daitezke orrialdea.
Gizarte-sareak
Hasteko, murriztu zure presentzia Errusiako sare sozial ezagunetan - "My World", "Odnoklassniki" eta "VKontakte". Facebookek behintzat ez ditu zure datuak Errusiako inteligentzia agentziei lagatzen. Gutxienez, ez da horrelako kasurik erregistratu.
Baina interesgarria da 2017an konpainiak oraindik AEBetako gobernuaren eskaeren % 85 asetzea:
Hona hemen pantaila-argazkiak
VK-ra oso ohituta bazaude, baina ez baduzu kaian amaitu nahi, arreta gauza batzuei:
- gordetako argazkiak;
- idazten dituzun mezuak, iruzkinak eta mezuak;
- gustatzen zaizkizun mezuak;
- partekatzen dituzun argitalpenak;
- lagunak zaren erabiltzaileak.
Aurreko guztian, hobe da iraingarritzat edo muturrekotzat jo daitekeen edozer saihestea. Gogoan izan beti "partekatzeak" informazioa "legez kanpokoa" jakinaraztea esan nahi duela gutxienez pertsona bati. "Agora" nazioarteko giza eskubideen taldeko abokatuak Damir Gainutdinov-ek dio legearen arabera, ORI baita legea betearazteko agentziei bidali gabeko mezuen zirriborroak ere. Irakurri gehiago nola ez harrapatzen berriro bidaltzeagatik
Bide batez, aspalditik zure telefono-zenbakia duen edonork VKontakte-n aurki dezake lehenespenez, orrialdeak berak zure benetako identitatea agerian uzten ez badu ere.
Jendeak zenbaki bidez zu aurkitzea eragotzi dezakezu zure profilaren ezarpenetan (Ezarpenak -> Pribatutasuna -> Jarri nirekin harremanetan). Baina honek, noski, ez zaitu zerbitzu berezietatik salbatuko. Ez erabili deirik eta bideo-komunikaziorik VKontakte-n: ezezaguna da sareak benetan enkriptatzen dituen muturreraino, administrazioak dioen bezala.
Webgunearen Segurtasuna
Albiste on bakarra hori da Interneteko gune ezagun guztiek https bertsioa dute dagoeneko edo erabat aldatu dira https bertsioak soilik erabiltzera. Gune horietan jasotako eta transmititzen den informazioa zifratuta dago eta ezin dute hirugarrenek irakurri. Baliabide horiek berdez markatuta daude eta "babestuta" hitza.
Hor amaitzen dira berri onak. https protokoloa izan arren, halako gune bat eta DNS eskaerak (zer domeinuetara sartu zaren informazioa) bisitatzeak Internet hornitzaileak ikusgai jarraitzen du.
Baina beste albiste bat are okerragoa da: gainerako guneen erdiek http protokolo arrunta erabiliz funtzionatzen dute, hau da, datuen zifratzerik gabe. Irtenbidea VPN bat izan liteke, jasotako eta transmititutako datu guztiak erabat zifratzen dituena, Interneteko hornitzailearen eta zure eta amaierako gunearen artean infiltratzen saiatzen den edonoren informazio irakurgarririk egon ez dadin. Ikusgai izango den gauza bakarra Interneten IP helbide jakin batera konektatzea da (hau da, VPN zerbitzari batera). Eta ezer gehiago.
Pozik egongo gara bizitza bat-batean hain sinple bihurtzen bada: piztu VPNa eta ahaztu informazio sentikorren filtrazioaz. Baina hori ez da egia. Egiaztatu aldian-aldian zure baliabide gogokoena ARI erregistroan sartuta dagoen ala ez, kontrolatu agintariekin nola elkarreragiten duen, egiaztatu konexio aktiboak berehalako mezularien eta sare sozialen ezarpenetan eta berrezarri susmagarriak direnak (eta, gero, ziurtatu pasahitzak aldatzen dituzula).
globalki
Komunikazio-kanalekin eta datu-transferentziarekin lan egitean, segurtasunaren eta pribatutasunaren ikuspegi integralak baino ez du zentzua. Jarraitu Interneteko segurtasun-gertaerak gure Telegram kanalean , Sarean eta Interneten eta bereziki RuNet-eko ekitaldiei eskainitako beste baliabide batzuei buruz.
Zein segurtasun neurri hartzen ari zara?
Iturria: www.habr.com