Ciao, Habr.
Siamo noi, il servizio VPN Al momento stiamo lavorando temporaneamente sul mirror HideMyna.me. Perché? Il 20 luglio 2018, il Roskomnadzor ci ha inserito a causa della decisione del tribunale distrettuale di Medvedev a Yoshkar-Ola. Il tribunale ha stabilito che i visitatori del nostro sito hanno accesso illimitato a materiali estremisti #senza registrazione e SMS, e ha trovato in qualche modo un libro di «Mein Kampf» di Adolf Hitler. Evidentemente, per maggiore affidabilità.
Questa decisione ci ha molto sorpreso, ma continuiamo a lavorare su hidemyna.me, hidemyname.org, .one, .biz e altro. Il lungo conflitto con il Roskomnadzor non ha portato a nessun risultato. Mentre noi e i nostri avvocati contestiamo il blocco e la magica decisione del tribunale, condividiamo con voi alcuni consigli base per mantenere la privacy su Internet e notizie a riguardo.
Edward Snowden ama l'Agenzia per la sicurezza nazionale (probabilmente)
Non è un segreto che i popolari servizi russi non siano sicuri. La tua corrispondenza può finire sotto gli occhi delle autorità in qualsiasi momento. Ti spieghiamo cosa tenere a mente mentre comunichi attraverso diversi canali.
SORM e ORI
Sì per intercettare il tuo telefono. Il metodo ufficiale e legale è SORM, un sistema di strumenti tecnici per garantire le funzioni di operazioni investigative. Secondo la legge in Russia, tutti gli operatori di telefonia mobile devono installare questo sistema sulle loro centrali, se non vogliono perdere la licenza. Ci sono tre tipi di SORM: il primo è stato introdotto negli anni '80, il secondo è stato implementato negli anni 2000, e il terzo è in fase di imposizione agli operatori dal 2014. , la maggior parte degli operatori utilizza il secondo tipo, ma nel 70% dei casi il sistema funziona in modo scorretto o non funziona affatto. Tuttavia, è meglio non discutere di argomenti sensibili, anche su un telefono fisso o tramite una normale chiamata da mobile.
Schema di funzionamento del SORM-2 (Fonte: mfisoft.ru)
Secondo la legge 97-FZ, tutti i messenger, servizi e siti che operano sul territorio russo devono essere registrati. . Secondo la «», sono obbligati a conservare tutti i dati degli utenti, inclusi le registrazioni delle chiamate vocali e la corrispondenza, per sei mesi. A proposito, nell'ORI ci sono anche HabrHabr.
Il funzionamento del registro è descritto in dettaglio tramite l'esempio di Threema, ma la conclusione principale è questa: ora, su richiesta delle autorità russe, qualsiasi informazione su di te può finire nelle mani delle forze dell'ordine. Pertanto, la prima cosa da fare per mantenere la riservatezza è spostare le chiamate e i messaggi in applicazioni di messaggistica che non siano nel registro ORI. Oppure, in quelle già presenti che rifiutano di trasmettere i dati alle autorità — come Threema e Telegram.
Informazioni: Essere presenti nel registro ORI non garantisce che i dati vengano trasmessi alle autorità. È necessario monitorare costantemente le notizie e osservare la reazione dell'app di messaggistica quando «verranno a cercarla».
Chiamate vocali e messaggi
Le nostre conversazioni e messaggi possono essere protetti dalla crittografia end-to-end, perciò le applicazioni di messaggistica con E2E sono considerate le più sicure. Ma non è del tutto così: vediamo le opzioni popolari.
Telegram la crittografia end-to-end nelle sue Secret Chats e conserva i dati crittografati sulla tua corrispondenza nel cloud, distribuito in vari paesi con una giurisdizione "sicura". Ma dopo su Habr riguardo all'illusione di sicurezza di Telegram Passport in E2E da parte di Durov, si potrebbe cominciare a dubitare.
Certo, comunicare in Secret Chats resta comunque una buona opzione per i paranoici. Nella loro crittografia, il server non è coinvolto affatto: i messaggi vengono trasferiti peer-to-peer, cioè direttamente tra i partecipanti alla conversazione. Per una maggiore tranquillità, puoi utilizzare la funzione di autodistruzione dei messaggi dopo un timer. Ma non bisognerebbe fidarsi ciecamente di Telegram. Per renderlo un po' più sicuro, tu e il tuo interlocutore dovete accedere alle impostazioni del messenger e fare almeno due cose:
- Impostare una password all'accesso all'app (Privacy and Security —> Passcode);
- Abilitare l'autenticazione a due fattori (Privacy and Security —> Two-Step Verification).
Dopo di che, oltre al codice SMS, quando accedi da un nuovo dispositivo, l'app richiederà una password che conosci solo tu.
Attualmente, la conferma dell'accesso tramite SMS non protegge in alcun modo una persona che utilizza una SIM card russa. Ci sono già notizie di account Telegram hackati tramite SMS intercettati: nel 2016, i criminali alla corrispondenza di diversi oppositori, e nel 2017 l'account del giornalista di "Dozhd", Mikhail Rubin.
WhatsApp finora evita il registro ORI e utilizza anche la crittografia end-to-end, ma la situazione non è così chiara. Recentemente abbiamo pubblicato sui residenti di Magadan, per i quali è stato avviato un procedimento penale a causa di critiche nei confronti del sindaco della città. Questa storia, per fortuna, si è conclusa con una semplice multa. Ma ha confermato le preoccupazioni degli utenti: non è sicuro comunicare nei gruppi di chat di WhatsApp.
Cosa succederà?
- Non appena scriverete un messaggio, il vostro numero di telefono diventerà immediatamente visibile a tutti i partecipanti al gruppo. E tramite il numero è facile risalire alla vostra identità.
Cosa fare?
- Una soluzione potrebbe essere una SIM card "fittizia" o un numero estero — preferibilmente europeo.
Se utilizzi una carta russa registrata a tuo nome, evita commenti pungenti in gruppi con nomi come «Maire — dimissioni»: per WhatsApp è meglio limitarsi alle comunicazioni personali e alle chiamate.
Viber non è presente nel registro ORI, ma supporta la comunicazione con le autorità russe (durante i momenti senza invii di spam). Questo messenger è stato uno dei primi a soddisfare i nuovi requisiti del governo: memorizza gli username e i numeri di telefono degli utenti russi sul territorio della RF, ma si rifiuta di fornire i dati dei messaggi — si riferisce alla meccanica della crittografia end-to-end e alla politica aziendale.
Apple utilizza anche end-to-end, ma durante la registrazione a iMessage crea due coppie di chiavi: una privata e una pubblica. Il messaggio che ricevi da un altro possessore di dispositivo Apple ti viene inviato crittografato, utilizzando la chiave pubblica. Può essere decrittografato solo con la chiave privata del destinatario, che è memorizzata sul suo dispositivo. Per saperne di più su come Apple gestisce la privacy degli utenti e cosa farà se riceverà richieste da parte del governo, puoi leggere Non sono stati registrati casi di trasferimento di dati degli utenti russi alle autorità russe da parte dell'azienda.
Fonte:
Tuttavia, iMessage ha due svantaggi:
- Puoi scrivere o chiamare solo un altro proprietario di Apple attraverso questi canali;
- Se hai problemi con la connessione internet, il messaggio verrà inviato tramite il normale canale cellulare e diventerà un semplice SMS, facilmente intercettabile.
Per evitare che iMessage si trasformi in SMS, puoi disattivare questa funzione nelle impostazioni.
Gli investigatori di Electronic Frontier Foundation che non esiste una soluzione completamente sicura per le chiamate e i messaggi. Se alcuni messenger non permettono alle autorità di ottenere i tuoi dati privati, ciò non significa che hacker (o uno stato che potrebbe avvalersi dei loro servizi) non possano farlo eludendo le leggi. Per dare all'utente la certezza che non ci sia un man-in-the-middle, Telegram ha una simpatica funzionalità: durante una chiamata, entrambi i partecipanti possono assicurarsi di vedere le stesse emoji nell'angolo in alto a destra dello schermo— questo sarà la conferma dell'assenza di un “invasore” nella connessione.
Se hai bisogno di un modo più sicuro per comunicare, ti consigliamo di non limitarti a usare chat segrete, password e autenticazione a due fattori, ma di considerare anche applicazioni di nicchia meno conosciute come o .
Uso Signal ogni giorno. #noteperFBI (Spoiler: già lo sanno)
Le aziende popolari che consentono di utilizzare i propri client email (in Russia sono Yandex, Mail.Ru e Rambler) sono già incluse nel registro ORI, il che le rende poco sicure. Sì, Mail.Ru Group procedimenti penali per meme e a un’amnistia per i condannati, ma possono consegnare le informazioni sui tuoi dati alle autorità su richiesta.
Anche se utilizzi client email occidentali come Gmail o Outlook, hai attivato l'autenticazione a due fattori e sai che la tua email è crittografata con un protocollo SSL/TLS sicuro, non puoi essere sicuro che l'email del tuo destinatario sia altrettanto protetta.
Opzioni di protezione:
- Quando invii informazioni sensibili, crittografa le email utilizzando Pretty Good Privacy (). Questo programma aiuta a trasformare i dati da un'e-mail in una sequenza di caratteri priva di significato per chiunque tranne il mittente e il destinatario;
- Quando invii informazioni importanti, presta sempre attenzione al dominio del destinatario e non scrivere a indirizzi sospetti;
- Assicurati in anticipo con il destinatario se ha impostato un'inoltro o la raccolta di e-mail tramite un servizio postale russo.
Nel caso delle aziende nazionali dal registro ORI, nessuna crittografia lato utente aiuterà in linea di principio. Le informazioni non vengono intercettate, ma vengono archiviate e trasmesse da punti finali — come questi servizi. L'unica soluzione potrebbe essere sostituirli con alternative più sicure come ProtonMail, Tutanota o Hushmail. Puoi trovare ulteriori servizi di posta simili alla pagina.
Social Network
Inizia a ridurre la tua presenza sui popolari social network russi — 'Moy Mir', 'Odnoklassniki' e 'VKontakte'. Facebook almeno non trasferisce i tuoi dati ai servizi speciali russi. Almeno, non sono stati registrati casi di questo tipo.
Ma è interessante che nel 2017 l'85% delle richieste da parte del governo degli Stati Uniti sono state comunque soddisfatte dalla compagnia:
Screenshot da
Se sei troppo abituato a VK ma non vuoi trovarti sulla sedia degli imputati, presta attenzione a qualche dettaglio:
- le tue immagini salvate;
- i post, i commenti e i messaggi che scrivi;
- i post che metti mi piace;
- i post che condividi;
- gli utenti con cui sei amico.
In tutto quanto sopra, è meglio evitare ciò che può essere considerato offensivo o estremista. Ricorda sempre che la "diffusione" è inviare informazioni "illegali" anche a una sola persona. L'avvocato del gruppo internazionale per i diritti umani "Agora" Damir Gajnutdinov afferma che secondo la legge ORI alle autorità di polizia anche le bozze dei messaggi non inviati. Puoi leggere di più su come evitare di essere punito per un repost
A proposito, da qualche tempo chiunque abbia il tuo numero di telefono può trovarti per default su VK, anche se la pagina non rivela la tua vera identità.
Puoi impedire che ti trovino tramite numero nelle impostazioni del profilo (Impostazioni -> Privacy -> Contattami). Ma questo, ovviamente, non proteggerà dai servizi segreti. Non utilizzare chiamate e videochiamate su VKontakte: non è chiaro se la rete le crittografi end-to-end, come afferma l'amministrazione.
Sicurezza dei siti web
L'unica buona notizia è che di tutti i siti web popolari su Internet hanno già una versione https o sono completamente passati all'uso esclusivo delle versioni https. Le informazioni ricevute e trasmesse su tali siti sono crittografate e non possono essere lette da terzi. Queste risorse sono contrassegnate in verde e con la parola "protetto".
Qui finiscono le buone notizie. Nonostante il protocollo https, il semplice fatto di visitare tale sito e le query DNS (informazioni sui domini a cui hai acceduto) rimangono comunque visibili al tuo provider Internet.
Ma c'è un'altra brutta notizia: la metà dei siti rimanenti funziona attraverso il normale protocollo http, cioè senza crittografia dei dati. Una soluzione può essere un VPN, che crittografa assolutamente tutti i dati ricevuti e trasmessi in modo tale che né il provider Internet né chiunque tenti di intervenire tra voi e il sito finale possono leggere alcuna informazione. L'unica cosa visibile sarà il fatto che ci si è connessi a un certo indirizzo IP su Internet (cioè al server VPN). E nient'altro.
Saremmo felici se la vita diventasse davvero così semplice: attivare il VPN e dimenticare le fughe di informazioni sensibili. Ma non è così. Controllate regolarmente se il vostro sito preferito è entrato nel registro ORI, osservate come interagisce con le autorità, verificate le connessioni attive nelle impostazioni di messaggistica e dei social network e smettete di usare quelle sospette (e poi, assicuratevi di cambiare le password).
Globale
Quando si lavora con canali di comunicazione e trasmissione dati ha senso solo un approccio complessivo alla sicurezza e alla riservatezza. Rimanete aggiornati sugli eventi di sicurezza informatica nel nostro canale Telegram , sul sito e su altre risorse dedicate agli eventi su Internet e nel Runet in particolare.
Quali misure di sicurezza adottate?
Fonte: habr.com
