Þessi grein var skrifuð fyrir nokkrum árum, þegar lokað var á Telegram boðberann á virkan hátt í samfélaginu og inniheldur hugsanir mínar um þetta mál. Og þó að þetta efni sé næstum gleymt í dag, vona ég að það muni samt vekja áhuga einhvers
Þessi texti birtist vegna hugleiðinga minna um stafrænt öryggi og ég efaðist lengi um hvort það væri þess virði að birta hann. Sem betur fer er mikill fjöldi sérfræðinga sem skilja öll vandamálin rétt og ég get ekki sagt þeim neitt nýtt. En fyrir utan þá er líka gríðarlegur fjöldi blaðamanna og annarra bloggara sem gera ekki bara mistök sjálfir, heldur gefa einnig tilefni til gríðarlegrar fjölda goðsagna með greinum sínum.
Það er ekkert leyndarmál að nokkrar alvarlegar ástríður hafa geisað í stafrænu leikhúsi stríðsins undanfarið. Við erum auðvitað að meina eitt mest rædda efni rússneska nútímans, nefnilega lokun á Telegram boðberanum.
Andstæðingar hindrunar setja þetta fram sem árekstra milli manns og ríkis, málfrelsis og algerrar stjórnunar á einstaklingnum. Stuðningsmenn hafa þvert á móti sjónarmið um almannaöryggi og baráttuna gegn glæpa- og hryðjuverkamannvirkjum að leiðarljósi.
Fyrst skulum við ímynda okkur hvernig Telegram boðberinn virkar nákvæmlega. Við getum farið inn á heimasíðuna þeirra og lesið um hvernig þeir staðsetja sig. Einn helsti kosturinn við að nota þessa tilteknu lausn er ósveigjanleg áhersla á öryggi notenda. En hvað er eiginlega átt við með þessu?
Eins og í mörgum öðrum opinberum þjónustum, eru gögnin þín send á dulkóðuðu formi, en aðeins til miðlægra netþjóna, þar sem þau eru á algjörlega opnu formi og hvaða stjórnandi sem er, ef hann virkilega vill, getur auðveldlega séð öll bréfaskipti þín. Hefur þú einhverjar efasemdir? Hugsaðu síðan um hvernig samstillingaraðgerðin á milli tækja er útfærð. Ef gögnin eru leynileg, hvernig komast þau í þriðja tækið? Þegar öllu er á botninn hvolft gefur þú enga sérstaka biðlaralykla fyrir afkóðun.
Til dæmis, eins og gert er í ProtonMail póstþjónustunni, þar sem til að vinna með þjónustuna þarftu að gefa upp lykil sem er geymdur á heimavélinni þinni og sem er notaður af vafranum til að afkóða skilaboð í pósthólfinu þínu.
En það er ekki svo einfalt. Auk venjulegra spjalla eru líka til leyndarmál. Hér fara bréfaskipti í raun aðeins fram á milli tveggja tækja og ekki er talað um neina samstillingu. Þessi eiginleiki er aðeins fáanlegur á farsímaviðskiptavinum, þar sem spjallskjámyndir eru læstar á appstigi og spjall eyðilagt eftir ákveðinn tíma. Á tæknilegu hliðinni flæða gögnin enn í gegnum miðlæga netþjóna, en eru ekki geymd þar. Þar að auki er það tilgangslaust að bjarga sjálfu sér, þar sem aðeins viðskiptavinir hafa afkóðunarlykla og dulkóðuð umferð er ekki sérstakt gildi.
Þetta kerfi mun virka svo lengi sem viðskiptavinir og þjónn útfæra það heiðarlega og svo framarlega sem það eru engar ýmsar gerðir af forritum á tækinu sem senda skyndimyndir af skjánum þínum til þriðja aðila án þinnar vitundar. Þannig að kannski ætti að leita ástæðunnar fyrir slíkri óbeit á Telegram af hálfu löggæslustofnana í leynilegum spjalli? Þetta er að mínu mati undirrót misskilnings meirihluta fólks. Og við munum ekki geta skilið til fulls ástæðuna fyrir þessum misskilningi fyrr en við skiljum hvað dulkóðun er almennt og frá hverjum það er ætlað að vernda gögnin þín.
Ímyndum okkur að árásarmaður vilji senda vinum sínum leynileg skilaboð. Svo mikilvægt að það er þess virði að bæði nenna og spila það öruggt. Er Telegram svona góður kostur frá sjónarhóli upplýsingaöryggissérfræðings? Nei er það ekki. Ég held því fram að að nota einhvern af vinsælustu skyndiboðunum fyrir þetta sé versti kosturinn sem þú getur valið.
Helsta vandamálið er notkun skilaboðakerfis, þar sem fyrst verður leitað í bréfaskiptum þínum. Og jafnvel þótt það sé nægilega vel varið, getur sú staðreynd að það er til staðar komið þér í hættu. Við skulum minna þig á að tengslin milli viðskiptavina eiga sér enn stað í gegnum miðlæga netþjóna og að minnsta kosti er enn hægt að sanna þá staðreynd að senda skilaboð á milli tveggja notenda. Þess vegna er ekkert vit í því að nota tölvupóst, samfélagsnet og aðra opinbera þjónustu.
Hvernig geturðu þá skipulagt bréfaskipti sem uppfylla allar öryggiskröfur? Sem hluti af endurskoðun okkar munum við vísvitandi henda öllum ólöglegum eða umdeildum aðferðum til að sýna fram á að hægt sé að leysa vandamálið eingöngu innan ramma laganna. Þú þarft engan njósnahugbúnað, tölvuþrjóta eða hugbúnað sem erfitt er að finna.
Næstum öll tólin eru innifalin í settinu af stöðluðum tólum sem fylgja hvaða GNU/Linux stýrikerfi sem er og að banna þau myndi þýða að banna tölvur sem slíkar.
Veraldarvefurinn minnir á risastóran netþjóna sem keyra venjulega GNU/Linux stýrikerfið á þeim og reglur um að beina pakka á milli þessara netþjóna. Flestir þessara netþjóna eru ekki tiltækir fyrir beina tengingu, en fyrir utan þá eru fleiri milljónir netþjóna með nokkuð aðgengileg vistföng sem þjóna okkur öllum og fara í gegnum mikla umferð. Og enginn mun nokkurn tíma leita að bréfaskiptum þínum meðal alls þessa óreiðu, sérstaklega ef það sker sig ekki á einhvern sérstakan hátt gegn almennum bakgrunni.
Þeir sem vilja skipuleggja leynilega samskiptarás munu einfaldlega kaupa VPS (sýndarvél í skýinu) frá einum af hundruðum leikmanna sem eru á markaðnum. Verðið á útgáfunni, eins og ekki er erfitt að sjá, er nokkrir dollarar á mánuði. Auðvitað er þetta ekki hægt að gera nafnlaust og í öllum tilvikum verður þessi sýndarvél bundin við greiðslumiðilinn þinn og þar með auðkenni þitt. Hins vegar er flestum hýsingaraðilum alveg sama hvað þú keyrir á vélbúnaði þeirra svo framarlega sem þú ferð ekki yfir grunnmörk þeirra, svo sem magn sendrar umferðar eða tengingar við port 23.
Þó að þessi möguleiki sé fyrir hendi, þá er það einfaldlega ekki hagkvæmt fyrir hann að eyða þessum fáu dollurum sem hann þénaði frá þér til að fylgjast líka með þér.
Og jafnvel þótt hann vilji eða neyðist til að gera þetta, verður hann fyrst að skilja hvers konar hugbúnað þú ert að nota sérstaklega og, byggt á þessari þekkingu, búa til rakningarinnviði. Þetta mun ekki vera erfitt að gera handvirkt, en sjálfvirkur þetta ferli verður mjög erfitt verkefni. Af sömu ástæðu mun það ekki vera efnahagslega arðbært að bjarga allri umferð sem fer um netþjóninn þinn nema þú komir fyrst að viðkomandi mannvirkjum sem vilja gera þetta.
Næsta skref er að búa til örugga rás með einni af mörgum núverandi aðferðum.
- Auðveldasta leiðin er að búa til örugga SSH tengingu við netþjóninn. Nokkrir viðskiptavinir tengjast í gegnum OpenSSH og eiga samskipti, til dæmis með veggskipuninni. Ódýrt og hress.
- Að hækka VPN netþjón og tengja nokkra viðskiptavini í gegnum miðlægan netþjón. Að öðrum kosti skaltu leita að hvaða spjallforriti sem er fyrir staðbundin net og halda áfram.
- Einfalt FreeBSD NetCat hefur skyndilega innbyggða virkni fyrir frumstætt nafnlaust spjall. Styður dulkóðun með því að nota vottorð og margt fleira.
Það er óþarfi að nefna að á sama hátt geturðu, auk einföldra textaskilaboða, flutt hvaða skrá sem er. Hægt er að útfæra allar þessar aðferðir á 5-10 mínútum og er ekki tæknilega erfitt. Skilaboðin munu líta út eins og einföld dulkóðuð umferð, sem er meirihluti umferðar á internetinu.
Þessi nálgun er kölluð stiganography - felur skilaboð á stöðum þar sem engum dettur í hug að leita að þeim. Þetta tryggir í sjálfu sér ekki öryggi bréfaskipta, en það dregur úr líkum á uppgötvun þeirra í núll. Þar að auki, ef netþjónninn þinn er einnig staðsettur í öðru landi, gæti gagnaöflunarferlið verið ómögulegt af öðrum ástæðum. Og jafnvel þó að einhver fái aðgang að því, þá verða bréfaskipti þín fram að þeirri stundu líklega ekki í hættu, þar sem, ólíkt opinberri þjónustu, er það hvergi geymt á staðnum (þetta fer auðvitað eftir valinu sem þú hefur valið aðferð við að samskipti).
Hins vegar gætu þeir mótmælt mér að ég sé að leita á röngum stað, leyniþjónustustofnanir heimsins hafa lengi hugsað um allt og allar dulkóðunarsamskiptareglur hafa lengi haft göt til innri notkunar. Fullkomlega eðlileg fullyrðing, miðað við sögu málsins. Hvað á að gera í þessu tilfelli?
Öll dulkóðunarkerfi sem liggja til grundvallar nútíma dulkóðun hafa ákveðinn eiginleika - dulritunarstyrk. Gert er ráð fyrir að hægt sé að sprunga hvaða dulmál sem er - það er aðeins spurning um tíma og fjármagn. Helst er nauðsynlegt að tryggja að þetta ferli sé einfaldlega ekki arðbært fyrir árásarmanninn, óháð því hversu mikilvæg gögnin eru. Eða það tók svo langan tíma að gögnin skipta ekki lengur miklu máli þegar innbrotið átti sér stað.
Þessi fullyrðing er ekki alveg sönn. Það er rétt þegar talað er um algengustu dulkóðunarsamskiptareglur sem eru í notkun í dag. Hins vegar, meðal alls kyns dulmáls, er einn sem er algerlega ónæmur fyrir sprungum og á sama tíma mjög auðvelt að skilja. Það er fræðilega ómögulegt að hakka ef öll skilyrði eru uppfyllt.
Hugmyndin á bak við Vernam dulmálið er mjög einföld - raðir af handahófskenndum lyklum eru búnar til fyrirfram sem skilaboð verða dulkóðuð með. Þar að auki er hver lykill aðeins notaður einu sinni til að dulkóða og afkóða eitt skeyti. Í einfaldasta tilfellinu búum við til langan streng af handahófi bætum og umbreytum hverju bæti skilaboðanna í gegnum XOR aðgerðina með samsvarandi bæti í lyklinum og sendum það áfram yfir ódulkóðaða rás. Það er auðvelt að sjá að dulmálið er samhverft og lykillinn fyrir dulkóðun og afkóðun er sá sami.
Þessi aðferð hefur ókosti og er sjaldan notuð, en kosturinn sem næst er sá að ef tveir aðilar koma sér saman um lykil fyrirfram og sá lykill er ekki í hættu, þá geturðu verið viss um að gögnin verði ekki lesin.
Hvernig virkar það? Lykillinn er búinn til fyrirfram og sendur á milli allra þátttakenda um aðra rás. Það er hægt að flytja það á persónulegum fundi á hlutlausu yfirráðasvæði, ef mögulegt er, til að koma í veg fyrir hugsanlega skoðun, eða einfaldlega senda með pósti með USB-drifi. Við lifum enn í heimi þar sem engin tæknileg hæfni er til að skoða alla fjölmiðla sem fara yfir landamæri, alla harða diska og síma.
Eftir að allir þátttakendur í bréfaskiptum hafa fengið lykilinn getur liðið nokkuð langur tími áður en raunveruleg samskiptalota á sér stað, sem gerir það enn erfiðara að vinna gegn þessu kerfi.
Eitt bæti í lyklinum er aðeins notað einu sinni til að dulkóða einn staf leyniskilaboðanna og afkóða hann af öðrum þátttakendum. Notaðir lyklar geta verið sjálfkrafa eytt af öllum þátttakendum í bréfaskiptum eftir gagnaflutning. Eftir að hafa skipt einu sinni um leynilykla geturðu sent skilaboð með heildarmagn sem er jafnt og lengd þeirra. Þessi staðreynd er venjulega nefnd sem ókostur við þetta dulmál, það er miklu skemmtilegra þegar lykillinn er takmarkaður og fer ekki eftir stærð skilaboðanna. Þetta fólk gleymir hins vegar framförum og þótt þetta hafi verið vandamál á tímum kalda stríðsins er þetta ekki vandamál í dag. Ef við gerum ráð fyrir að hæfileikar nútímamiðla séu nánast takmarkalausir og í hógværustu tilfelli erum við að tala um gígabæt, þá getur örugg samskiptarás starfað endalaust.
Sögulega var Vernam Cipher, eða einskiptis dulkóðun á púði, mikið notað í kalda stríðinu til að senda leynileg skilaboð. Þó að það séu tilvik þar sem, vegna kæruleysis, voru mismunandi skilaboð dulkóðuð með sömu lyklum, það er að dulkóðunarferlið hafi verið bilað og það gerði þeim kleift að afkóða.
Er erfitt að nota þessa aðferð í reynd? Það er frekar léttvægt og að gera þetta ferli sjálfvirkt með hjálp nútíma tölva er innan getu nýliða áhugamanns.
Svo kannski er tilgangurinn með lokun að valda skemmdum á tilteknum Telegram boðbera? Ef svo er, sendu það þá aftur. Telegram viðskiptavinurinn út úr kassanum styður umboðsþjóna og SOCKS5 samskiptareglur, sem gefur notandanum tækifæri til að vinna í gegnum ytri netþjóna með opið IP tölu. Það er ekki erfitt að finna opinberan SOCKS5 netþjón fyrir stutta lotu, en það er enn auðveldara að setja slíkan netþjón upp sjálfur á VPS þínum.
Þrátt fyrir að það verði enn áfall fyrir vistkerfi boðbera, þar sem fyrir flesta notendur munu þessar takmarkanir samt skapa óyfirstíganlega hindrun og vinsældir þess meðal íbúa munu líða fyrir.
Svo, við skulum draga saman. Allt efla í kringum Telegram er efla og ekkert annað. Að loka því af almannaöryggisástæðum er tæknilega ólæs og tilgangslaust. Öll mannvirki sem hafa mikinn áhuga á öruggum bréfaskiptum geta skipulagt sína eigin rás með því að nota ýmsar viðbótartækni, og það sem er áhugaverðast, þetta er gert á mjög einfaldan hátt, svo framarlega sem það er að minnsta kosti einhver aðgangur að netinu.
Upplýsingaöryggishliðin í dag nær ekki til boðbera, heldur venjulegra netnotenda, jafnvel þótt þeir geri sér ekki grein fyrir því. Nútíma internetið er veruleiki sem verður að taka tillit til og þar sem lög sem þar til nýlega virtust óhagganleg hætta að gilda. Blocking Telegram er annað dæmi um stríð fyrir upplýsingamarkaðinn. Ekki sá fyrsti og örugglega ekki sá síðasti.
Fyrir örfáum áratugum, fyrir stórfellda þróun internetsins, var lykilvandamálið sem stóð frammi fyrir alls kyns umboðsnetum að koma á öruggri samskiptarás bæði sín á milli og samræma vinnu þeirra við miðstöðina. Strangt eftirlit með einkaútvarpsstöðvum í síðari heimsstyrjöldinni í öllum þátttökulöndum (skráning er enn nauðsynleg í dag), númeraðar útvarpsstöðvar kalda stríðsins (sumar eru enn í gildi í dag), smámyndir í skósóla - allt þetta lítur einfaldlega fáránlega út á nýju stigi þróunar siðmenningar. Sem og tregðu meðvitundarinnar, sem neyðir ríkisvélina til að loka fyrir öll fyrirbæri sem hún er ekki undir stjórn. Þetta er ástæðan fyrir því að lokun á IP-tölum ætti ekki að teljast ásættanleg lausn og sýnir aðeins skort á hæfni fólksins sem tekur slíkar ákvarðanir.
Helsta vandamál okkar tíma er ekki geymsla eða greining á persónulegum samskiptagögnum af þriðja aðila (þetta er nokkuð hlutlægur veruleiki sem við búum við í dag), heldur sú staðreynd að fólk er sjálft tilbúið til að veita þessi gögn. Í hvert skipti sem þú ferð á internetið úr uppáhalds vafranum þínum, stara tugur forskrifta á þig, skrá hvernig og hvar þú smelltir og hvaða síðu þú fórst á. Þegar annað forrit er sett upp fyrir snjallsíma líta flestir á beiðnigluggann um að veita forritinu réttindi sem pirrandi hindrun áður en byrjað er að nota það. Án þess að taka eftir þeirri staðreynd að skaðlaust forrit er að komast inn í heimilisfangaskrána þína og vill lesa öll skilaboðin þín. Öryggi og friðhelgi einkalífsins er auðvelt að versla til að auðvelda notkun. Og maðurinn sjálfur skilur oft sjálfviljugur við persónuupplýsingar sínar, og þar með frelsi sínu, og fyllir þannig gagnagrunna einka- og ríkisstofnana heimsins af verðmætustu upplýsingum um líf sitt. Og þeir munu án efa nota þessar upplýsingar í eigin tilgangi. Og einnig, í kapphlaupinu um hagnað, munu þeir endurselja það til allra og hunsa hvers kyns siðferðileg og siðferðileg viðmið.
Ég vona að upplýsingarnar sem kynntar eru í þessari grein geri þér kleift að skoða vandann varðandi upplýsingaöryggi og ef til vill breyta sumum venjum þínum þegar þú vinnur á netinu. Og sérfræðingarnir munu brosa strangt og halda áfram.
Friður heim til þín.
Heimild: www.habr.com