לא רק VPN. דף רמאות על איך להגן על עצמך ועל הנתונים שלך

היי הבר.

זה אנחנו, שירות VPN HideMy.name. כרגע אנחנו עובדים באופן זמני על המראה HideMyna.me. למה? ב-20 ביולי 2018 רוסקומנדזור הוסיפה אותנו לרשימת המשאבים האסורים עקב החלטת בית המשפט המחוזי מדבדבסקי ביושקר-אולה. בית המשפט קבע שלמבקרים באתר שלנו יש גישה בלתי מוגבלת לחומרים קיצוניים #withoutregistrationisms, ואיכשהו מצא עליו את הספר "מיין קאמפף" מאת אדולף היטלר. כנראה, בשביל האמינות.

ההחלטה הזו הפתיעה אותנו מאוד, אבל אנחנו ממשיכים לעבוד על hidemyna.me, hidemyname.org, .one, .biz וכו'. ויכוח ממושך עם Roskomnadzor לא הוביל לשום תוצאה. בזמן שעורכי הדין שלי ואני מערערים על החסימה והחלטת בית המשפט הקסומה, אנו חולקים אתכם טיפים בסיסיים לשמירה על הפרטיות באינטרנט וחדשות בנושא זה.

אדוארד סנודן אוהב את הסוכנות לביטחון לאומי (כנראה)

זה לא סוד ששירותים רוסיים פופולריים אינם בטוחים. התכתובת שלך עשויה להגיע לתשומת לבם של גורמי אכיפת החוק המקומיים בכל עת. אנו מספרים לך מה עליך לזכור בעת תקשורת דרך ערוצי תקשורת שונים.

SORM ו-ORI

יש הרבה הבדלים דרכים להקיש על הטלפון שלך. רשמי ומשפטי - SORM, מערכת של אמצעים טכניים להבטחת תפקודי פעילות חקירה מבצעית. על פי חוק בפדרציה הרוסית, כל מפעילי הסלולר מחויבים להתקין מערכת כזו במרכזיות שלהם אם הם לא רוצים לאבד את הרישיון שלהם. ישנם שלושה סוגים של SORM: הראשון הומצא בשנות ה-80, השני החל להיות מיושם בשנות ה-2014, והם מנסים לכפות את השלישי על המפעילים מאז XNUMX. לפי RBC, רוב המפעילים משתמשים בסוג השני, אך ב-70% מהמקרים המערכת אינה פועלת כהלכה או אינה פועלת כלל. עם זאת, עדיין עדיף לא לדון בנושאים רגישים בטלפון קווי או באמצעות שיחה רגילה מטלפון נייד.

תוכנית הפעולה של SORM-2 (מקור: mfisoft.ru)

לפי 97-FZ, כל שליחים, שירותים ואתרים הפועלים ברוסיה חייבים להיכלל ברישום מארגני הפצת מידע. על ידי "חוק ירוביה"הם נדרשים לאחסן את כל נתוני המשתמש, כולל הקלטות שיחות קוליות והתכתבויות, למשך שישה חודשים. אגב, גם באר"י יש את הברהבר.

פעולת הרישום מתוארת בפירוט כאן באמצעות Threema כדוגמה, אבל המסקנה העיקרית היא זו: כעת, לבקשת השלטונות הרוסיים, כל מידע עליך עלול להגיע לסוכנויות אכיפת החוק. לכן, הדבר הראשון שצריך לעשות כדי לשמור על סודיות הוא להעביר שיחות והודעות לשליחים מיידיים, שאינם נמצאים במרשם ה-ARI. או כאלה שנמצאים שם, אבל מסרבים להעביר נתונים לרשויות - כמו Threema ו-Telegram.

תעודה: עצם הימצאות במרשם ARI אינה מבטיחה שהנתונים יועברו לרשויות. אתה צריך לפקח כל הזמן על החדשות ולהסתכל על תגובת השליח כשהם "באים" בשבילו.

שיחות והודעות קוליות

ניתן להגן על השיחות וההודעות שלנו מפני הפרעות של צד שלישי על ידי הצפנה מקצה לקצה, וזו הסיבה ששליחים עם E2E נחשבים לאבטחים ביותר. אבל זה לא לגמרי נכון: בואו נסתכל על אפשרויות פופולריות.

מברק תומך הצפנה מקצה לקצה בצ'אטים הסודיים שלהם ומאחסנת נתונים מוצפנים על ההתכתבות שלך בענן, המפוזר על פני מדינות שונות עם סמכות שיפוט "בטוחה". אבל אחרי מאמרים ב-Habré אתה יכול להתחיל לפקפק באשליית האבטחה של דרכון טלגרם ב-E2E מדורוב.

כמובן, צ'אטים סודיים הם עדיין אפשרות טובה לפרנואידים. השרת אינו מעורב כלל בהצפנתם: הודעות מועברות עמית לעמית, כלומר ישירות בין המשתתפים בהתכתבות. לשקט נפשי נוסף, אתה יכול להשתמש בפונקציית ההשמדה העצמית של הודעת טיימר. אבל אתה לא צריך לסמוך באופן עיוור על טלגרם. כדי לעשות את זה קצת יותר מאובטח, אתה והנמען שלך חייבים לעבור להגדרות המסנג'ר ולעשות לפחות שני דברים:

• הגדר סיסמה בעת הכניסה לאפליקציה (פרטיות ואבטחה -> הסיסמה);
• אפשר אימות דו-שלבי (פרטיות ואבטחה -> אימות בשני שלבים).

לאחר מכן, בנוסף לקוד מה-SMS, בעת כניסה ממכשיר חדש, האפליקציה תבקש סיסמה שרק אתה יודע.

נכון לעכשיו, אישור כניסה באמצעות SMS בלבד אינו מגן בשום אופן על אדם המשתמש בכרטיס SIM רוסי. כבר ידועים מקרים של פריצה לחשבונות טלגרם באמצעות הודעת SMS יורטה - בשנת 2016, תוקפים השיג גישה להתכתבות של כמה מתנגדים, ובשנת 2017 נפרץ חשבונו של עיתונאי דוז'ד מיכאיל רובין.

וואטסאפ לעת עתה הוא נמנע מהרישום ORI ומשתמש גם בהצפנה מקצה לקצה, אבל הכל לא כל כך ורוד איתו. לאחרונה פרסמנו החדשות על תושבי מגדן שהיו נתונים לתיק פלילי בגין ביקורת על ראש העיר. הסיפור הזה, למרבה המזל, הסתיים בקנס הרגיל. אבל זה אישר את חששות המשתמשים: לא בטוח לתקשר בצ'אטים קבוצתיים בוואטסאפ.

מה יקרה?

• ברגע שאתה כותב הודעה, מספר הטלפון שלך יהפוך מייד לזמין לכל חברי הקבוצה. ואת הזהות שלך ניתן לקבוע בקלות לפי המספר.

מה לעשות?

• הפתרון יכול להיות כרטיס SIM "שמאלי" או מספר זר - רצוי אירופאי.

אם אתם משתמשים בכרטיס רוסי הרשום על שמכם, הימנעו מהערות עוקצניות בקבוצות עם שמות כמו "תתפטר למען ראש העיר": עדיף להשאיר רק התכתבויות אישיות ושיחות לוואטסאפ.

Viber גם אינו רשום ברישום ORI, אך מקיים תקשורת עם הרשויות ברוסיה (בזמנו הפנוי משליחת דואר זבל). השליח הזה היה אחד הראשונים שעמדו בדרישות הממשלה החדשות: הוא מאחסן כניסות ומספרי טלפון של משתמשים רוסים בשטח הפדרציה הרוסית, אך מספק נתוני הודעות מסרב - מתייחס למכניקה של הצפנה מקצה לקצה ומדיניות ארגונית.

תפוח עץ גם משתמש מקצה לקצה, אבל בעת רישום ב-iMessage זה יוצר שני זוגות מפתח: פרטי וציבור. ההודעה שאתה מקבל מאותו בעלים של מכשיר אפל מועברת אליך בהצפנה, העושה שימוש במפתח ציבורי. ניתן לפענח אותו רק באמצעות המפתח הפרטי של הנמען, השמור במכשיר שלו. אתה יכול לקרוא כיצד אפל רואה את פרטיות המשתמש ומה היא תעשה אם היא תקבל בקשה מהממשלה כאן. לא נרשמו מקרים של העברת נתונים ממשתמשים רוסים לרשויות רוסיה.

מקור: https://www.apple.com/business/docs/iOS_Security_Guide.pdf

אבל ל-iMessage יש שני חסרונות:

• אתה יכול לכתוב או להתקשר דרך הערוצים האלה רק לאותו בעל אפל;
• אם יש לך בעיות בחיבור האינטרנט שלך, ההודעה תעבור לערוץ סלולרי רגיל ותהפוך ל-SMS פשוט שניתן ליירט בקלות.

כדי למנוע מ-iMessage להפוך ל-SMS, אתה יכול להשבית תכונה זו בהגדרות.

חוקרים מ-Electronic Frontier Foundation תְבִיעָה שאין אפשרות בטוחה במאה אחוז לשיחות והודעות. אם חלק מהשליחים מונעים מהרשויות להשיג את הנתונים הפרטיים שלך, זה לא אומר שהאקרים (או המדינה, שיכולה להשתמש בשירותיהם) לא יכולים לעשות זאת על ידי עקיפת החוקים. כדי לתת למשתמש ביטחון שאין איש באמצע, לטלגרם יש תכונה נחמדה: בעת התקשרות, שני הנמענים יכולים לוודא שהם רואים את אותו האימוג'י בפינה הימנית העליונה של המסך - זה יאשר את היעדר "חדירה" לחיבור.

אם אתם מחפשים דרך מאובטחת יותר לתקשר, אנו ממליצים לחפש מעבר לצ'אטים סודיים, סיסמאות ואימות דו-שלבי/שני גורמים לאפליקציות נישה פחות פופולריות כמו ללא שם: לאשר או לאותת.

אני משתמש בסיגנל כל יום. #notesforFBI (ספוילר: הם כבר יודעים)

Электронная почта

חברות פופולריות המאפשרות להשתמש בלקוחות הדוא"ל שלהן (ברוסיה אלה Yandex, Mail.Ru ו-Rambler) כבר נכללות ברישום ARI, מה שאומר שהן לא בטוחות במיוחד. כן, קבוצת Mail.Ru קורא להפסיק תיקים פליליים לממים וחנינה לאלו מורשעים, אך יכולים לתת מידע על הנתונים שלך לרשויות לפי בקשה.

גם אם אתה משתמש בלקוחות דוא"ל מערביים כמו Gmail או Outlook, הפעלת אימות דו-שלבי, ויודעים שהדוא"ל שלך מוצפן באמצעות פרוטוקול SSL/TLS מאובטח, אינך יכול להיות בטוח שהדוא"ל של הנמען שלך מוגן באותה מידה.

אפשרויות הגנה:

• בעת שליחת מידע רגיש, הצפין מיילים באמצעות Pretty Good Privacy (PGP). תוכנית זו עוזרת להפוך את הנתונים ממכתב לסט חסר משמעות של תווים עבור כולם מלבד השולח והנמען;
• בעת שליחת מידע חשוב, שימו לב תמיד לדומיין של הנמען ואל תכתבו לכתובת חשודה;
• בדוק עם הנמען מראש אם הוא או היא קבעו שילוח או איסוף של דואר דרך שירות הדואר הרוסי.

במקרה של חברות מקומיות ממרשם ORI, שום הצפנה בצד המשתמש לא תעזור, באופן עקרוני. המידע אינו מיירט, אלא מאוחסן ומועבר על ידי נקודות קצה - שירותים דומים. הפתרון היחיד יכול להיות החלפתם באנלוגים מאובטחים יותר כמו ProtonMail, Tutanota או Hushmail. שירותי דוא"ל נוספים כאלה ניתן למצוא בכתובת זה עמוד.

רשתות חברתיות

ראשית, צמצם את הנוכחות שלך ברשתות חברתיות רוסיות פופולריות - "העולם שלי", "Odnoklassniki" ו-"VKontakte". לפחות פייסבוק לא מוסרת את הנתונים שלך לסוכנויות ביון רוסיות. לפחות, לא נרשמו מקרים כאלה.

אבל זה מעניין שבשנת 2017, החברה עדיין סיפקה 85% מהבקשות של ממשלת ארה"ב:

צילומי מסך מ דוח שקיפות של פייסבוק

אם אתה רגיל מדי ל-VK, אבל לא רוצה לגמור ברציף, שימו לב לכמה דברים:

• התמונות השמורות שלך;
• פוסטים, הערות והודעות שאתה כותב;
• פוסטים שאתה אוהב;
• פוסטים שאתה משתף;
• משתמשים שאתה חבר איתם.

בכל האמור לעיל, עדיף להימנע מכל דבר שעלול להיחשב פוגעני או קיצוני. זכור תמיד ש"שיתוף" פירושו העברת מידע "לא חוקי" לאדם אחד לפחות. עורך הדין של ארגון זכויות האדם הבינלאומי "אגורה" דמיר גיינוטדינוב טוען כי על פי החוק, ORI מחויב לאחסן ולשדר אפילו טיוטות של הודעות שלא נשלחו לרשויות אכיפת החוק. קרא עוד על איך לא להיתפס לפרסום מחדש כאן.

אגב, מזה זמן מה כל מי שיש לו את מספר הטלפון שלך יכול למצוא אותך ב-VKontakte כברירת מחדל, גם אם הדף עצמו אינו חושף את זהותך האמיתית.

אתה יכול למנוע מאנשים למצוא אותך לפי מספר בהגדרות הפרופיל שלך (הגדרות -> פרטיות -> צור איתי קשר). אבל זה, כמובן, לא יחסוך אותך מהשירותים המיוחדים. אל תשתמש בשיחות ותקשורת וידאו ב-VKontakte: לא ידוע אם הרשת אכן מצפינה אותן מקצה לקצה, כפי שטוענת המינהל.

אבטחת אתר

החדשות הטובות היחידות הן יותר מחצי לכל האתרים הפופולריים באינטרנט כבר יש גרסת https או שעברו לחלוטין להשתמש בגרסאות https בלבד. המידע המתקבל והמועבר באתרים מסוג זה מוצפן ואינו ניתן לקריאה על ידי צדדים שלישיים. משאבים כאלה מסומנים בירוק והמילה "מוגן".

שם מסתיימות החדשות הטובות. למרות פרוטוקול https, עובדת הביקור באתר כזה ובקשות DNS (מידע לגבי הדומיינים שאליהם ניגשת) עדיין נשארים גלויים לספק האינטרנט.

אבל ידיעה נוספת גרועה עוד יותר: המחצית הנותרת של האתרים פועלים באמצעות פרוטוקול http הרגיל, כלומר ללא הצפנת נתונים. הפתרון יכול להיות VPN, שמצפין לחלוטין את כל הנתונים המתקבלים והמועברים כך שאין מידע קריא בצד של ספק האינטרנט וכל מי שמנסה לחדור בינך לבין אתר הקצה. הדבר היחיד שייראה לעין הוא העובדה של חיבור לכתובת IP מסוימת באינטרנט (כלומר, לשרת VPN). ושום דבר יותר.

נשמח אם החיים באמת יהפכו פתאום כל כך פשוטים: הפעל את ה-VPN ותשכח מהדליפה של מידע רגיש. אבל זה לא נכון. בדוק באופן קבוע אם המשאב המועדף עליך כלול ברישום ARI, עקוב אחר אופן האינטראקציה שלו עם הרשויות, בדוק חיבורים פעילים בהגדרות של שליחים מיידיים ורשתות חברתיות ואפס חשודים (ולאחר מכן הקפד לשנות סיסמאות).

בכל העולם

בעבודה עם ערוצי תקשורת והעברת נתונים, רק גישה מקיפה לאבטחה ופרטיות הגיונית. עקוב אחר אירועי אבטחת אינטרנט בערוץ הטלגרם שלנו @hidemyname_ru, באתר Roskomsvoboda ועל משאבים אחרים המוקדשים לאירועים באינטרנט וב-RuNet בפרט.

אילו אמצעי בטיחות אתה נוקט?

מקור: www.habr.com