Ոչ միայն VPN. Խարդախության թերթիկ, թե ինչպես պաշտպանել ինքներդ ձեզ և ձեր տվյալները

Հե՜յ Հաբր։

Սա մենք ենք, VPN ծառայություն hideMy.name. Ներկայումս մենք ժամանակավորապես աշխատում ենք HideMyna.me հայելու վրա: Ինչո՞ւ։ 20 թվականի հուլիսի 2018-ին Ռոսկոմնադզորը մեզ ավելացրեց արգելված ռեսուրսների ցանկին Յոշկար-Օլայի Մեդվեդևսկի շրջանային դատարանի որոշման պատճառով: Դատարանը վճռեց, որ մեր կայքի այցելուները անսահմանափակ մուտք ունեն դեպի ծայրահեղական նյութեր #առանց գրանցման, և ինչ-որ կերպ դրա վրա գտավ Ադոլֆ Հիտլերի «Mein Kampf» գիրքը: Ըստ երևույթին, հուսալիության համար:

Այս որոշումը մեզ շատ զարմացրեց, բայց մենք շարունակում ենք աշխատել hidemyna.me, hidemyname.org, .one, .biz և այլն: Ռոսկոմնադզորի հետ երկարատև վեճը ոչ մի արդյունքի չհանգեցրեց: Մինչ ես և իմ փաստաբանները վիճարկում ենք արգելափակումը և դատարանի կախարդական որոշումը, մենք ձեզ հետ կիսվում ենք համացանցում գաղտնիությունը պահպանելու հիմնական խորհուրդներով և այս թեմայի վերաբերյալ նորություններով:

Էդվարդ Սնոուդենը սիրում է Ազգային անվտանգության գործակալությունը (հավանաբար)

Գաղտնիք չէ, որ ռուսական հայտնի ծառայություններն անվտանգ չեն։ Ձեր նամակագրությունը ցանկացած պահի կարող է հայտնվել տեղական իրավապահ մարմինների աշխատակիցների ուշադրության կենտրոնում: Մենք ասում ենք ձեզ, թե ինչ պետք է հիշեք տարբեր հաղորդակցման ուղիներով շփվելիս:

SORM և ORI

Կա շատ տարբեր ձեր հեռախոսին հպելու եղանակներ: Պաշտոնական և իրավական՝ ՍՕՌՄ, օպերատիվ-հետախուզական գործունեության գործառույթներն ապահովող տեխնիկական միջոցների համակարգ։ Ռուսաստանի Դաշնության օրենսդրության համաձայն, բջջային կապի բոլոր օպերատորները պարտավոր են տեղադրել նման համակարգ իրենց PBX-ներում, եթե նրանք չեն ցանկանում կորցնել իրենց լիցենզիան: SORM-ի երեք տեսակ կա՝ առաջինը հորինվել է 80-ականներին, երկրորդը սկսել է իրագործվել 2014-ականներին, իսկ երրորդը փորձում են պարտադրել օպերատորներին XNUMX թվականից։ Հաղորդում է РБК-ն, օպերատորների մեծ մասն օգտագործում է երկրորդ տեսակը, սակայն 70% դեպքերում համակարգը ճիշտ չի աշխատում կամ ընդհանրապես չի աշխատում։ Այնուամենայնիվ, դեռ ավելի լավ է զգայուն թեմաներ չքննարկել ֆիքսված հեռախոսով կամ բջջային հեռախոսից սովորական զանգի միջոցով:

SORM-2-ի շահագործման սխեման (Աղբյուր՝ mfisoft.ru)

97-FZ-ի համաձայն՝ Ռուսաստանում գործող ցանկացած մեսենջեր, ծառայություն և կայք պետք է ներառվի գրանցամատյանում: Տեղեկատվության տարածման կազմակերպիչներ. կողմից «Յարովայայի օրենքը«Նրանցից պահանջվում է վեց ամսվա ընթացքում պահպանել օգտատերերի բոլոր տվյալները, ներառյալ ձայնային զանգերի ձայնագրությունները և նամակագրությունը: Ի դեպ, ARI-ն ունի նաեւ Habrahabr.

Ռեեստրի գործառնությունը մանրամասն նկարագրված է այստեղ Օրինակ օգտագործելով Threema-ն, սակայն հիմնական եզրակացությունը հետևյալն է. այժմ, Ռուսաստանի իշխանությունների խնդրանքով, ձեր մասին ցանկացած տեղեկություն կարող է հայտնվել իրավապահ մարմիններում: Հետևաբար, գաղտնիությունը պահպանելու համար առաջին բանը, որ պետք է անել, զանգերն ու հաղորդագրությունները փոխանցելն է ակնթարթային մեսենջերներին, որոնք ARI ռեգիստրում չեն: Կամ նրանք, ովքեր այնտեղ են, բայց հրաժարվում են տվյալներ փոխանցել իշխանություններին, ինչպիսիք են Threema-ն և Telegram-ը:

ՎկայականՄիայն ARI-ի ռեգիստրում լինելը չի ​​երաշխավորում, որ տվյալները կփոխանցվեն իշխանություններին: Դուք պետք է անընդհատ հետևեք նորություններին և նայեք մեսենջերի արձագանքին, երբ նրանք «գան» նրա համար:

Ձայնային զանգեր և հաղորդագրություններ

Մեր խոսակցություններն ու հաղորդագրությունները կարող են պաշտպանվել երրորդ կողմի միջամտությունից՝ ծայրից ծայր կոդավորման միջոցով, այդ իսկ պատճառով E2E-ով մեսենջերները համարվում են ամենաանվտանգը: Բայց սա ամբողջովին ճիշտ չէ. եկեք նայենք հանրաճանաչ տարբերակներին:

Telegram աջակցում է ծայրից ծայր կոդավորումն իրենց Գաղտնի զրույցներում և պահում է ձեր նամակագրության մասին գաղտնագրված տվյալները ամպի մեջ, որը ցրված է «անվտանգ» իրավասություն ունեցող տարբեր երկրներում: Բայց հետո Հոդված Habré-ում կարող եք սկսել կասկածել Telegram Passport-ի անվտանգության պատրանքին Դուրովից E2E-ում:

Իհարկե, գաղտնի զրույցները դեռ լավ տարբերակ են պարանոիդների համար: Սերվերը ընդհանրապես ներգրավված չէ դրանց գաղտնագրման մեջ. հաղորդագրությունները փոխանցվում են peer-to-peer, այսինքն՝ անմիջապես նամակագրության մասնակիցների միջև: Լրացուցիչ հանգստության համար կարող եք օգտագործել ժամանակաչափի հաղորդագրությունների ինքնաոչնչացման գործառույթը: Բայց դուք չպետք է կուրորեն ապավինեք Telegram-ին: Այն մի փոքր ավելի անվտանգ դարձնելու համար դուք և ձեր ստացողը պետք է գնաք մեսենջերի կարգավորումներ և կատարեք առնվազն երկու բան.

• Հավելված մուտք գործելիս գաղտնաբառ սահմանեք (Գաղտնիություն եւ անվտանգություն -> Գաղտնաբառի կոդը);
• Միացնել երկքայլ հաստատումը (Գաղտնիություն եւ անվտանգություն -> Երկաստիճան հաստատում).

Դրանից հետո, SMS-ի կոդից բացի, նոր սարքից մուտք գործելիս հավելվածը կպահանջի գաղտնաբառ, որը միայն դուք գիտեք:

Ներկայումս միայն SMS-ի միջոցով մուտքի հաստատումը ոչ մի կերպ չի պաշտպանում ռուսական SIM քարտից օգտվող անձին: Գաղտնագրված SMS հաղորդագրության միջոցով Telegram-ի հաշիվները կոտրելու դեպքերն արդեն հայտնի են. 2016թ. մուտք է ստացել մի քանի ընդդիմադիրների նամակագրությանը, իսկ 2017թ կոտրվել է Dozhd-ի լրագրող Միխայիլ Ռուբինի հաշիվը.

WhatsApp Առայժմ այն ​​խուսափում է ORI ռեեստրից և նաև օգտագործում է ծայրից ծայր կոդավորումը, բայց դրա հետ ամեն ինչ այնքան էլ վարդագույն չէ: Վերջերս հրապարակեցինք լուրերը Մագադանի բնակիչների մասին, ովքեր քրեական գործ են հարուցվել քաղաքի քաղաքապետին քննադատելու համար. Այս պատմությունը, բարեբախտաբար, ավարտվեց սովորական տուգանքով։ Բայց դա հաստատեց օգտատերերի մտավախությունները՝ անվտանգ չէ շփվել WhatsApp-ի խմբային չաթերում։

Ի՞նչ է լինելու։

• Հենց հաղորդագրություն գրեք, ձեր հեռախոսահամարն անմիջապես հասանելի կդառնա խմբի բոլոր անդամների համար: Իսկ ձեր ինքնությունը հեշտությամբ կարելի է որոշել թվով:

Ինչ անել?

• Լուծումը կարող է լինել «ձախ» SIM քարտը կամ արտասահմանյան համարը, նախընտրելի է եվրոպականը:

Եթե ​​օգտագործում եք ձեր անունով գրանցված ռուսական քարտ, խուսափեք «Հրաժարական քաղաքապետի համար» անուններով խմբերում հեգնական մեկնաբանություններից. ավելի լավ է թողնել միայն անձնական նամակագրությունը և զանգերը WhatsApp-ի համար:

Viber Նաև գրանցված չէ ORI-ի գրանցամատյանում, բայց կապ է պահպանում Ռուսաստանի իշխանությունների հետ (իր ազատ ժամանակ սպամ ուղարկելուց): Այս մեսենջերն առաջիններից մեկն էր, որը համապատասխանեց կառավարության նոր պահանջներին. այն պահպանում է ռուս օգտատերերի մուտքերն ու հեռախոսահամարները Ռուսաստանի Դաշնության տարածքում, բայց տրամադրում է հաղորդագրությունների տվյալները։ հրաժարվում է — վերաբերում է ծայրից ծայր կոդավորման մեխանիզմին և կորպորատիվ քաղաքականությանը:

Apple Նաև օգտագործում է ծայրից ծայր, բայց iMessage-ով գրանցվելիս այն ստեղծում է երկու հիմնական զույգ՝ մասնավոր և հանրային: Հաղորդագրությունը, որը դուք ստանում եք խնձորի սարքի նույն սեփականատիրոջից, փոխանցվում է ձեզ գաղտնագրման միջոցով, որն օգտագործում է հանրային բանալի: Այն կարող է վերծանվել միայն ստացողի անձնական բանալիով, որը պահվում է նրա սարքում: Կարող եք կարդալ այն մասին, թե ինչպես է Apple-ը դիտարկում օգտատերերի գաղտնիությունը և ինչ կանի, եթե կառավարությունից հարցում ստանա այստեղ Ընկերության կողմից ռուս օգտատերերից ՌԴ իշխանություններին տվյալներ փոխանցելու դեպքեր չեն գրանցվել։

Source: https://www.apple.com/business/docs/iOS_Security_Guide.pdf

Բայց iMessage-ն ունի երկու թերություն.

• Դուք կարող եք գրել կամ զանգահարել այս ալիքներով միայն նույն Apple-ի սեփականատիրոջը.
• Եթե ​​խնդիրներ ունեք ինտերնետ կապի հետ, հաղորդագրությունը կանցնի սովորական բջջային ալիքով և կդառնա պարզ SMS, որը հեշտությամբ կարող է գաղտնալսվել:

Որպեսզի iMessage-ը չվերածվի SMS-ի, կարող եք անջատել այս գործառույթը Կարգավորումներում:

Electronic Frontier Foundation-ի հետազոտողները պահանջ որ չկա հարյուր տոկոսով անվտանգ տարբերակ զանգերի և հաղորդագրությունների համար։ Եթե ​​որոշ մեսենջերներ թույլ չեն տալիս իշխանություններին ստանալ ձեր անձնական տվյալները, դա չի նշանակում, որ հաքերները (կամ պետությունը, որը կարող է օգտվել նրանց ծառայություններից) չի կարող դա անել՝ շրջանցելով օրենքները: Օգտատիրոջը վստահություն տալու համար, որ միջինում մարդ չկա, Telegram-ն ունի մի լավ հատկություն. զանգելիս երկու հասցեատերերն էլ կարող են համոզվել, որ էկրանի վերին աջ անկյունում տեսնում են նույն էմոջիները. սա կհաստատի կապի մեջ «ներխուժման» բացակայություն:

Եթե ​​դուք փնտրում եք հաղորդակցվելու ավելի անվտանգ միջոց, խորհուրդ ենք տալիս գաղտնի չաթերից, գաղտնաբառերից և երկքայլ/երկգործոն նույնականացումից այն կողմ նայել ոչ այնքան հայտնի նիշային հավելվածներին, ինչպիսիք են. Վստահեք կամ Ազդանշան.

Ես ամեն օր օգտագործում եմ Signal-ը: #notesforFBI (Spoiler. նրանք արդեն գիտեն)

E-mail

Հանրաճանաչ ընկերությունները, որոնք հնարավորություն են տալիս օգտվել իրենց էլփոստի հաճախորդներից (Ռուսաստանում դրանք Yandex-ը, Mail.Ru-ն և Rambler-ն են) արդեն ներառված են ARI-ի ռեգիստրում, ինչը նշանակում է, որ դրանք այնքան էլ ապահով չեն: Այո, Mail.Ru Group կոչ է անում դադարեցնել Քրեական գործեր՝ մեմերի և դատապարտվածների համար համաներման համար, սակայն կարող են ձեր տվյալների մասին տեղեկատվություն տրամադրել իշխանություններին՝ ըստ պահանջի:

Նույնիսկ եթե դուք օգտագործում եք արևմտյան էլփոստի սպասառուներ, ինչպիսիք են Gmail-ը կամ Outlook-ը, միացված եք երկգործոն նույնականացումը և գիտեք, որ ձեր էլփոստը գաղտնագրված է անվտանգ SSL/TLS արձանագրության միջոցով, դուք չեք կարող վստահ լինել, որ ձեր ստացողի էլփոստը հավասարապես պաշտպանված է:

Պաշտպանության ընտրանքներ.

• Զգայուն տեղեկատվություն ուղարկելիս գաղտնագրեք նամակները՝ օգտագործելով Pretty Good Privacy (PGP). Այս ծրագիրը օգնում է նամակից տվյալները վերածել անիմաստ նիշերի շարքի բոլորի համար, բացառությամբ ուղարկողի և ստացողի;
• Կարևոր տեղեկատվություն ուղարկելիս միշտ ուշադրություն դարձրեք ստացողի տիրույթին և մի գրեք կասկածելի հասցեով.
• Ստացողի հետ նախապես ստուգեք, թե արդյոք նա ստեղծել է փոստի վերահասցեավորում կամ հավաքագրում ռուսական փոստային ծառայության միջոցով:

ORI ռեգիստրից հայրենական ընկերությունների դեպքում, օգտագործողի կողմից ոչ մի գաղտնագրում, սկզբունքորեն, չի օգնի: Տեղեկատվությունը չի գաղտնալսվում, այլ պահվում և փոխանցվում է վերջնական կետերով՝ նմանատիպ ծառայություններ: Միակ լուծումը կարող է լինել դրանք փոխարինել ավելի ապահով անալոգներով, ինչպիսիք են ProtonMail-ը, Tutanota-ն կամ Hushmail-ը: Էլփոստի նման ավելի շատ ծառայություններ կարելի է գտնել այստեղ սա է էջ.

Սոցիալական ցանցեր

Սկզբից նվազագույնի հասցրեք ձեր ներկայությունը հայտնի ռուսական սոցիալական ցանցերում՝ «Իմ աշխարհը», «Одноклассники» և «ВКонтакте»: Գոնե Ֆեյսբուքը ձեր տվյալները չի հանձնում ռուսական հետախուզական գործակալություններին։ Համենայն դեպս, նման դեպքեր չեն գրանցվել։

Բայց հետաքրքիր է, որ 2017 թվականին ընկերությունը դեռ բավարարել է ԱՄՆ կառավարության հարցումների 85%-ը.

Սքրինշոթներ-ից Facebook-ի թափանցիկության հաշվետվություն

Եթե ​​դուք չափազանց սովոր եք VK-ին, բայց չեք ցանկանում հայտնվել նավահանգիստում, ուշադրություն դարձրեք մի քանի բանի.

• ձեր պահպանված նկարները;
• Ձեր գրած գրառումները, մեկնաբանությունները և հաղորդագրությունները;
• գրառումներ, որոնք ձեզ դուր են գալիս;
• գրառումներ, որոնք դուք կիսում եք;
• օգտվողներ, որոնց հետ ընկերներ եք:

Վերոնշյալ բոլորի մեջ ավելի լավ է խուսափել այն ամենից, ինչը կարող է վիրավորական կամ ծայրահեղական համարվել: Միշտ հիշեք, որ «կիսվելը» նշանակում է «ապօրինի» տեղեկատվություն հաղորդել առնվազն մեկ անձի: «Ագորա» միջազգային իրավապաշտպան խմբի իրավաբան Դամիր Գայնուտդինովը պնդում է, որ օրենքի համաձայն ՕՐԻ. պարտավոր է պահել և փոխանցել նույնիսկ ուժային կառույցներին չուղարկված հաղորդագրությունների նախագծերը. Կարդացեք ավելին այն մասին, թե ինչպես չբռնվել վերահրապարակման համար այստեղ

Ի դեպ, արդեն որոշ ժամանակ ցանկացած ոք, ով ունի ձեր հեռախոսահամարը, կարող է լռելյայն ձեզ գտնել VKontakte-ում, նույնիսկ եթե էջն ինքնին չի բացահայտում ձեր իրական ինքնությունը:

Դուք կարող եք թույլ չտալ մարդկանց գտնել ձեզ ըստ համարի ձեր պրոֆիլի կարգավորումներում (Կարգավորումներ -> Գաղտնիություն -> Կապվեք ինձ հետ). Բայց սա, իհարկե, ձեզ չի փրկի հատուկ ծառայություններից։ Մի օգտագործեք զանգեր և տեսահաղորդակցություններ VKontakte-ում. անհայտ է, թե արդյոք ցանցը իրականում դրանք կոդավորում է ծայրից ծայր, ինչպես պնդում է վարչակազմը:

Կայքի անվտանգություն

Միակ լավ նորությունն այն է կեսից ավելին Ինտերնետում բոլոր հայտնի կայքերն արդեն ունեն https տարբերակ կամ ամբողջությամբ անցել են միայն https տարբերակների օգտագործմանը: Նման կայքերում ստացված և փոխանցված տեղեկատվությունը կոդավորված է և չի կարող ընթերցվել երրորդ անձանց կողմից: Նման ռեսուրսները նշված են կանաչ գույնով և «պաշտպանված» բառը:

Ահա թե որտեղ է ավարտվում բարի լուրը: Չնայած https արձանագրությանը, նման կայք այցելելու փաստը և DNS հարցումները (տեղեկատվությունը, թե որ տիրույթներից եք մուտք գործել) դեռևս տեսանելի են ինտերնետ մատակարարի համար։

Բայց մեկ այլ նորություն էլ ավելի վատ է. կայքերի մնացած կեսը գործում է սովորական http արձանագրության միջոցով, այսինքն՝ առանց տվյալների գաղտնագրման։ Լուծումը կարող է լինել VPN-ը, որը կոդավորում է բացարձակապես բոլոր ստացված և փոխանցված տվյալները, որպեսզի ինտերնետ մատակարարի և ցանկացած մեկի կողմից ընթեռնելի տեղեկատվություն չլինի, ով փորձում է ներթափանցել ձեր և վերջնական կայքի միջև: Միակ բանը, որ տեսանելի կլինի, ինտերնետում որոշակի IP հասցեի (այսինքն՝ VPN սերվերի) միանալու փաստն է։ Եվ ոչ ավելին։

Մենք երջանիկ կլինենք, եթե կյանքը իսկապես հանկարծ այդքան պարզ դառնա՝ միացրեք VPN-ը և մոռացեք զգայուն տեղեկատվության արտահոսքի մասին։ Բայց դա ճիշտ չէ: Պարբերաբար ստուգեք, թե արդյոք ձեր սիրելի ռեսուրսը ներառված է ARI ռեգիստրում, վերահսկեք, թե ինչպես է այն փոխազդում իշխանությունների հետ, ստուգեք ակտիվ կապերը ակնթարթային մեսենջերների և սոցիալական ցանցերի կարգավորումներում և վերակայեք կասկածելիները (այնուհետև համոզվեք, որ փոխեք գաղտնաբառերը):

համաշխարհային մասշտաբով

Կապի ուղիների և տվյալների փոխանցման հետ աշխատելիս իմաստ ունի միայն անվտանգության և գաղտնիության համապարփակ մոտեցումը: Հետևեք ինտերնետային անվտանգության միջոցառումներին մեր Telegram ալիքում @hidemyname_ru, Առցանց Ռոսկոմսվոբոդա և ինտերնետի և մասնավորապես RuNet-ի իրադարձություններին նվիրված այլ ռեսուրսների վրա:

Ի՞նչ անվտանգության միջոցներ եք ձեռնարկում:

Source: www.habr.com