सिर्फ एक वीपीएन नहीं. अपनी और अपने डेटा की सुरक्षा कैसे करें, इस पर चीट शीट

हे हबर।

यह हम हैं, वीपीएन सेवा मेरा नाम छुपाएं. हम वर्तमान में HideMyna.me मिरर पर अस्थायी रूप से काम कर रहे हैं। क्यों? 20 जुलाई, 2018 को रोसकोम्नाडज़ोर ने हमें जोड़ा निषिद्ध संसाधनों की सूची में योश्कर-ओला में मेदवेदेवस्की जिला न्यायालय के निर्णय के कारण। अदालत ने फैसला सुनाया कि हमारी साइट पर आने वाले आगंतुकों को चरमपंथी सामग्रियों तक असीमित पहुंच है #बिना पंजीकरण के, और किसी तरह इस पर एडॉल्फ हिटलर की पुस्तक "मीन कैम्फ" मिली। जाहिर है, विश्वसनीयता के लिए.

इस निर्णय ने हमें बहुत आश्चर्यचकित किया, लेकिन हम Hidemyna.me, Hidemyname.org, .one, .biz इत्यादि पर काम करना जारी रखते हैं। Roskomnadzor के साथ लंबी बहस का कोई नतीजा नहीं निकला। जबकि मैं और मेरे वकील अवरोधन और जादुई अदालत के फैसले को चुनौती दे रहे हैं, हम आपके साथ इस विषय पर इंटरनेट और समाचारों पर गोपनीयता बनाए रखने के लिए बुनियादी सुझाव साझा कर रहे हैं।

एडवर्ड स्नोडेन को राष्ट्रीय सुरक्षा एजेंसी पसंद है (शायद)

यह कोई रहस्य नहीं है कि लोकप्रिय रूसी सेवाएँ असुरक्षित हैं। आपका पत्राचार किसी भी समय घरेलू कानून प्रवर्तन अधिकारियों के ध्यान में आ सकता है। हम आपको बताते हैं कि विभिन्न संचार चैनलों के माध्यम से संचार करते समय आपको क्या याद रखना चाहिए।

SORM और ORI

वहाँ बहुत विभिन्न अपना फ़ोन टैप करने के तरीके. आधिकारिक और कानूनी - एसओआरएम, परिचालन जांच गतिविधियों के कार्यों को सुनिश्चित करने के लिए तकनीकी साधनों की एक प्रणाली। रूसी संघ में कानून के अनुसार, सभी सेलुलर ऑपरेटरों को अपने पीबीएक्स पर ऐसी प्रणाली स्थापित करने की आवश्यकता होती है यदि वे अपना लाइसेंस खोना नहीं चाहते हैं। SORM तीन प्रकार के होते हैं: पहले का आविष्कार 80 के दशक में किया गया था, दूसरे को 2014 के दशक में लागू किया गया था, और तीसरे को वे XNUMX से ऑपरेटरों पर थोपने की कोशिश कर रहे हैं। आरबीसी के अनुसार, अधिकांश ऑपरेटर दूसरे प्रकार का उपयोग करते हैं, लेकिन 70% मामलों में सिस्टम सही ढंग से काम नहीं करता है या बिल्कुल भी काम नहीं करता है। हालाँकि, लैंडलाइन फोन पर या मोबाइल फोन से नियमित कॉल के माध्यम से संवेदनशील विषयों पर चर्चा न करना अभी भी बेहतर है।

SORM-2 के संचालन की योजना (स्रोत: mfisoft.ru)

97-एफजेड के अनुसार, रूस में संचालित होने वाले किसी भी संदेशवाहक, सेवाओं और साइटों को रजिस्टर में शामिल किया जाना चाहिए सूचना प्रसार के आयोजक. द्वारा "यारोवाया का नियम“उन्हें वॉयस कॉल रिकॉर्डिंग और पत्राचार सहित सभी उपयोगकर्ता डेटा को छह महीने तक संग्रहीत करना आवश्यक है। वैसे, ARI के पास Habrahabr भी है।

रजिस्ट्री की कार्यप्रणाली का विस्तार से वर्णन किया गया है यहां एक उदाहरण के रूप में थ्रेमा का उपयोग करते हुए, लेकिन मुख्य निष्कर्ष यह है: अब, रूसी अधिकारियों के अनुरोध पर, आपके बारे में कोई भी जानकारी कानून प्रवर्तन एजेंसियों तक पहुंच सकती है। इसलिए, गोपनीयता बनाए रखने के लिए पहली बात यह है कि कॉल और संदेशों को तत्काल दूतों में स्थानांतरित करना है, जो एआरआई रजिस्ट्री में नहीं हैं। या वे जो वहां हैं, लेकिन अधिकारियों को डेटा स्थानांतरित करने से इनकार करते हैं - जैसे थ्रेमा और टेलीग्राम।

प्रमाणपत्र: केवल एआरआई रजिस्ट्री में होने से यह गारंटी नहीं मिलती कि डेटा अधिकारियों को स्थानांतरित कर दिया जाएगा। आपको लगातार खबरों पर नजर रखने और संदेशवाहक के "आने" पर उनकी प्रतिक्रिया को देखने की जरूरत है।

वॉयस कॉल और संदेश

हमारी बातचीत और संदेशों को एंड-टू-एंड एन्क्रिप्शन द्वारा तीसरे पक्ष के हस्तक्षेप से बचाया जा सकता है, यही कारण है कि E2E वाले मैसेंजर सबसे सुरक्षित माने जाते हैं। लेकिन यह पूरी तरह सच नहीं है: आइए लोकप्रिय विकल्पों पर नजर डालें।

Telegram का समर्थन करता है अपने गुप्त चैट में एंड-टू-एंड एन्क्रिप्शन और क्लाउड में आपके पत्राचार के बारे में एन्क्रिप्टेड डेटा संग्रहीत करता है, जो "सुरक्षित" क्षेत्राधिकार वाले विभिन्न देशों में बिखरा हुआ है। लेकिन बाद लेख Habré पर आप ड्यूरोव से E2E में टेलीग्राम पासपोर्ट की सुरक्षा के भ्रम पर संदेह करना शुरू कर सकते हैं।

बेशक, गुप्त चैट अभी भी पागलों के लिए एक अच्छा विकल्प है। सर्वर उनके एन्क्रिप्शन में बिल्कुल भी शामिल नहीं है: संदेश पीयर-टू-पीयर, यानी सीधे पत्राचार में भाग लेने वालों के बीच प्रसारित होते हैं। मन की अतिरिक्त शांति के लिए, आप टाइमर संदेश सेल्फ-डिस्ट्रक्ट फ़ंक्शन का उपयोग कर सकते हैं। लेकिन आपको टेलीग्राम पर आंख मूंदकर भरोसा नहीं करना चाहिए। इसे थोड़ा और सुरक्षित बनाने के लिए, आपको और आपके प्राप्तकर्ता को मैसेंजर सेटिंग्स पर जाना होगा और कम से कम दो काम करने होंगे:

• एप्लिकेशन में लॉग इन करते समय एक पासवर्ड सेट करें (गोपनीयता और सुरक्षा -> पासकोड);
• दो-चरणीय सत्यापन सक्षम करें (गोपनीयता और सुरक्षा -> दो चरण सत्यापन).

इसके बाद, नए डिवाइस से लॉग इन करते समय एसएमएस से कोड के अलावा, एप्लिकेशन एक पासवर्ड मांगेगा जो केवल आप जानते हैं।

वर्तमान में, केवल एसएमएस के माध्यम से लॉगिन पुष्टिकरण किसी भी तरह से रूसी सिम कार्ड का उपयोग करने वाले व्यक्ति की सुरक्षा नहीं करता है। इंटरसेप्ट किए गए एसएमएस संदेश के माध्यम से टेलीग्राम खातों को हैक करने के मामले पहले से ही ज्ञात हैं - 2016 में, हमलावरों द्वारा पहुंच प्राप्त की कई विरोधियों के पत्राचार के लिए, और 2017 में हैक कर लिया गया था Dozhd पत्रकार मिखाइल रुबिन का खाता।

WhatsApp अभी के लिए यह ORI रजिस्ट्री से बचता है और एंड-टू-एंड एन्क्रिप्शन का भी उपयोग करता है, लेकिन इसके साथ सब कुछ इतना अच्छा नहीं है। हमने हाल ही में प्रकाशित किया खबर है मगदान के निवासियों के बारे में जिन पर शहर के मेयर की आलोचना करने के लिए आपराधिक मामला दर्ज किया गया था। यह कहानी, सौभाग्य से, सामान्य जुर्माने के साथ समाप्त हुई। लेकिन इसने उपयोगकर्ताओं के डर की पुष्टि की: व्हाट्सएप ग्रुप चैट में संचार करना सुरक्षित नहीं है।

क्या होगा?

• जैसे ही आप संदेश लिखेंगे, आपका फ़ोन नंबर तुरंत समूह के सभी सदस्यों के लिए उपलब्ध हो जाएगा। और नंबर से आपकी पहचान आसानी से की जा सकती है.

क्या करना है?

• समाधान एक "बाएं" सिम कार्ड या एक विदेशी नंबर हो सकता है - अधिमानतः एक यूरोपीय।

यदि आप अपने नाम पर पंजीकृत रूसी कार्ड का उपयोग करते हैं, तो "मेयर के लिए इस्तीफा दें" जैसे नामों वाले समूहों में व्यंग्यात्मक टिप्पणियों से बचें: केवल व्यक्तिगत पत्राचार और व्हाट्सएप कॉल को छोड़ना बेहतर है।

Viber ओआरआई रजिस्ट्री में भी सूचीबद्ध नहीं है, लेकिन रूसी अधिकारियों के साथ संचार बनाए रखता है (स्पैम भेजने से अपने खाली समय में)। यह मैसेंजर नई सरकारी आवश्यकताओं का अनुपालन करने वाले पहले लोगों में से एक था: यह रूसी संघ के क्षेत्र में रूसी उपयोगकर्ताओं के लॉगिन और फोन नंबर संग्रहीत करता है, लेकिन संदेश डेटा प्रदान करता है मना कर दिया - एंड-टू-एंड एन्क्रिप्शन और कॉर्पोरेट नीति के तंत्र को संदर्भित करता है।

Apple एंड-टू-एंड का भी उपयोग करता है, लेकिन iMessage के साथ पंजीकरण करते समय यह दो प्रमुख जोड़े बनाता है: निजी और सार्वजनिक। आपको ऐप्पल डिवाइस के उसी मालिक से जो संदेश प्राप्त होता है, वह आपको एन्क्रिप्शन के साथ प्रेषित होता है, जो सार्वजनिक कुंजी का उपयोग करता है। इसे केवल प्राप्तकर्ता की निजी कुंजी का उपयोग करके डिक्रिप्ट किया जा सकता है, जो उसके डिवाइस पर संग्रहीत है। आप इस बारे में पढ़ सकते हैं कि Apple उपयोगकर्ता की गोपनीयता को कैसे देखता है और सरकार से अनुरोध प्राप्त होने पर वह क्या करेगा यहाँ. कंपनी द्वारा रूसी उपयोगकर्ताओं से रूसी अधिकारियों को डेटा स्थानांतरित करने का कोई मामला दर्ज नहीं किया गया है।

स्रोत: https://www.apple.com/business/docs/iOS_Security_Guide.pdf

लेकिन iMessage के दो नुकसान हैं:

• आप इन चैनलों के माध्यम से केवल उसी Apple मालिक को लिख सकते हैं या कॉल कर सकते हैं;
• यदि आपके इंटरनेट कनेक्शन में समस्या है, तो संदेश एक नियमित सेलुलर चैनल पर चला जाएगा और एक साधारण एसएमएस बन जाएगा जिसे आसानी से इंटरसेप्ट किया जा सकता है।

iMessage को SMS में बदलने से बचने के लिए, आप सेटिंग्स में इस सुविधा को अक्षम कर सकते हैं।

इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन के शोधकर्ता दावा कि कॉल और मैसेज के लिए कोई सौ फीसदी सुरक्षित विकल्प नहीं है। यदि कुछ संदेशवाहक अधिकारियों को आपका निजी डेटा प्राप्त करने से रोकते हैं, तो इसका मतलब यह नहीं है कि हैकर्स (या राज्य, जो उनकी सेवाओं का उपयोग कर सकते हैं) कानूनों को दरकिनार करके ऐसा नहीं कर सकते हैं। उपयोगकर्ता को यह विश्वास दिलाने के लिए कि बीच में कोई आदमी नहीं है, टेलीग्राम में एक अच्छी सुविधा है: कॉल करते समय, दोनों प्राप्तकर्ता यह सुनिश्चित कर सकते हैं कि वे स्क्रीन के ऊपरी दाएं कोने में एक ही इमोजी देखें - यह पुष्टि करेगा कनेक्शन में "घुसपैठ" का अभाव।

यदि आप संचार करने के लिए अधिक सुरक्षित तरीके की तलाश कर रहे हैं, तो हम गुप्त चैट, पासवर्ड और दो-चरण/दो-कारक प्रमाणीकरण से परे कम लोकप्रिय विशिष्ट ऐप्स जैसे की तलाश करने की सलाह देते हैं। गुप्त रूप से बताना या संकेत.

मैं हर दिन सिग्नल का उपयोग करता हूं। #नोट्सफॉरएफबीआई (स्पॉइलर: वे पहले से ही जानते हैं)

ई मेल

लोकप्रिय कंपनियाँ जो अपने ईमेल क्लाइंट का उपयोग करना संभव बनाती हैं (रूस में ये Yandex, Mail.Ru और Rambler हैं) पहले से ही ARI रजिस्ट्री में शामिल हैं, जिसका अर्थ है कि वे बहुत सुरक्षित नहीं हैं। हाँ, Mail.Ru ग्रुप रुकने को कहता है मेम्स के लिए आपराधिक मामले और दोषी ठहराए गए लोगों के लिए माफी, लेकिन अनुरोध पर अधिकारियों को अपने डेटा के बारे में जानकारी दे सकते हैं।

भले ही आप जीमेल या आउटलुक जैसे पश्चिमी ईमेल क्लाइंट का उपयोग करते हैं, दो-कारक प्रमाणीकरण सक्षम है, और जानते हैं कि आपका ईमेल एक सुरक्षित एसएसएल/टीएलएस प्रोटोकॉल का उपयोग करके एन्क्रिप्ट किया गया है, आप यह सुनिश्चित नहीं कर सकते कि आपके प्राप्तकर्ता का ईमेल समान रूप से सुरक्षित है।

सुरक्षा विकल्प:

• संवेदनशील जानकारी भेजते समय, प्रिटी गुड प्राइवेसी का उपयोग करके ईमेल एन्क्रिप्ट करें (पीजीपी). यह प्रोग्राम पत्र से डेटा को प्रेषक और प्राप्तकर्ता को छोड़कर सभी के लिए अर्थहीन वर्णों के सेट में बदलने में मदद करता है;
• महत्वपूर्ण जानकारी भेजते समय, हमेशा प्राप्तकर्ता के डोमेन पर ध्यान दें और किसी संदिग्ध पते पर न लिखें;
• प्राप्तकर्ता से पहले ही जांच लें कि उसने रूसी डाक सेवा के माध्यम से मेल अग्रेषित करने या संग्रह करने की व्यवस्था की है या नहीं।

ओआरआई रजिस्ट्री से घरेलू कंपनियों के मामले में, उपयोगकर्ता पक्ष पर कोई एन्क्रिप्शन, सिद्धांत रूप में, मदद नहीं करेगा। जानकारी को इंटरसेप्ट नहीं किया जाता है, बल्कि एंडपॉइंट - समान सेवाओं द्वारा संग्रहीत और प्रसारित किया जाता है। एकमात्र समाधान यह हो सकता है कि उन्हें प्रोटोनमेल, टूटनोटा या हशमेल जैसे अधिक सुरक्षित एनालॉग्स से बदला जाए। ऐसी और भी ईमेल सेवाएँ यहाँ पाई जा सकती हैं यह पेज।

सामाजिक नेटवर्क

आरंभ करने के लिए, लोकप्रिय रूसी सोशल नेटवर्क - "माई वर्ल्ड", "ओडनोक्लास्निकी" और "वीकॉन्टैक्टे" पर अपनी उपस्थिति कम से कम करें। कम से कम फ़ेसबुक आपका डेटा रूसी ख़ुफ़िया एजेंसियों को नहीं सौंपता. कम से कम, ऐसे कोई मामले दर्ज नहीं किए गए हैं।

लेकिन यह दिलचस्प है कि 2017 में, कंपनी ने अभी भी अमेरिकी सरकार के 85% अनुरोधों को पूरा किया:

से स्क्रीनशॉट फेसबुक पारदर्शिता रिपोर्ट

यदि आप वीके के बहुत आदी हैं, लेकिन कटघरे में खड़ा नहीं होना चाहते हैं, तो कुछ बातों पर ध्यान दें:

• आपके सहेजे गए चित्र;
• आपके द्वारा लिखे गए पोस्ट, टिप्पणियाँ और संदेश;
• पोस्ट जो आपको पसंद हों;
• आपके द्वारा साझा की जाने वाली पोस्ट;
• जिन उपयोगकर्ताओं से आप मित्र हैं.

उपरोक्त सभी में, ऐसी किसी भी चीज़ से बचना सबसे अच्छा है जिसे आक्रामक या चरमपंथी माना जा सकता है। हमेशा याद रखें कि "साझा करना" का अर्थ है कम से कम एक व्यक्ति को "अवैध" जानकारी संप्रेषित करना। अंतर्राष्ट्रीय मानवाधिकार समूह "अगोरा" के वकील दामिर गेनुतदीनोव का दावा है कि कानून के अनुसार, ओ.आर.आई. भण्डारण एवं संचारित करने हेतु बाध्य है यहां तक ​​कि कानून प्रवर्तन एजेंसियों को न भेजे गए संदेशों के ड्राफ्ट भी. दोबारा पोस्ट करने के चक्कर में कैसे न पड़ें, इसके बारे में और पढ़ें यहाँ.

वैसे, पिछले कुछ समय से जिस किसी के पास आपका फोन नंबर है, वह आपको डिफ़ॉल्ट रूप से VKontakte पर ढूंढ सकता है, भले ही पेज स्वयं आपकी वास्तविक पहचान प्रकट न करता हो।

आप अपनी प्रोफ़ाइल सेटिंग में नंबर के आधार पर लोगों को आपको ढूंढने से रोक सकते हैं (सेटिंग्स -> गोपनीयता -> मुझसे संपर्क करें). लेकिन निःसंदेह, यह आपको विशेष सेवाओं से नहीं बचाएगा। VKontakte पर कॉल और वीडियो संचार का उपयोग न करें: यह अज्ञात है कि क्या नेटवर्क वास्तव में उन्हें एंड-टू-एंड एन्क्रिप्ट करता है, जैसा कि प्रशासन का दावा है।

वेबसाइट सुरक्षा

एकमात्र अच्छी खबर यह है आधे से ज्यादा इंटरनेट पर सभी लोकप्रिय साइटों के पास पहले से ही https संस्करण है या वे पूरी तरह से केवल https संस्करणों का उपयोग करने लगे हैं। ऐसी साइटों पर प्राप्त और प्रेषित जानकारी एन्क्रिप्टेड होती है और इसे तीसरे पक्ष द्वारा नहीं पढ़ा जा सकता है। ऐसे संसाधनों को हरे रंग और "संरक्षित" शब्द से चिह्नित किया गया है।

यहीं पर अच्छी खबर समाप्त होती है। https प्रोटोकॉल के बावजूद, ऐसी साइट पर जाने का तथ्य और DNS अनुरोध (आपके द्वारा एक्सेस किए गए डोमेन के बारे में जानकारी) अभी भी इंटरनेट प्रदाता को दिखाई देता है।

लेकिन एक और खबर और भी बुरी है: शेष आधी साइटें नियमित http प्रोटोकॉल का उपयोग करके संचालित होती हैं, यानी डेटा एन्क्रिप्शन के बिना। समाधान एक वीपीएन हो सकता है, जो पूरी तरह से प्राप्त और प्रेषित डेटा को एन्क्रिप्ट करता है ताकि इंटरनेट प्रदाता और आपके और अंतिम साइट के बीच घुसपैठ करने की कोशिश करने वाले किसी भी व्यक्ति की ओर से कोई पढ़ने योग्य जानकारी न हो। एकमात्र चीज जो दिखाई देगी वह इंटरनेट पर एक निश्चित आईपी पते (यानी वीपीएन सर्वर) से जुड़ने का तथ्य है। और कुछ नहीं।

हमें ख़ुशी होगी अगर जीवन सचमुच अचानक इतना सरल हो जाए: वीपीएन चालू करें और संवेदनशील जानकारी के लीक होने के बारे में भूल जाएं। लेकिन यह सच नहीं है. नियमित रूप से जांचें कि आपका पसंदीदा संसाधन एआरआई रजिस्ट्री में शामिल है या नहीं, निगरानी करें कि यह अधिकारियों के साथ कैसे इंटरैक्ट करता है, तत्काल दूतों और सोशल नेटवर्क की सेटिंग्स में सक्रिय कनेक्शन की जांच करें और संदिग्ध लोगों को रीसेट करें (और फिर पासवर्ड बदलना सुनिश्चित करें)।

वैश्विक स्तर पर

संचार चैनलों और डेटा स्थानांतरण के साथ काम करते समय, सुरक्षा और गोपनीयता के लिए एक व्यापक दृष्टिकोण ही मायने रखता है। हमारे टेलीग्राम चैनल में इंटरनेट सुरक्षा घटनाओं का पालन करें @hidmyname_ru, ऑनलाइन रोसकोम्सवोबोडा और विशेष रूप से इंटरनेट और रूनेट पर घटनाओं के लिए समर्पित अन्य संसाधनों पर।

आप क्या सुरक्षा उपाय कर रहे हैं?

स्रोत: www.habr.com