არა მხოლოდ VPN. მოტყუების ფურცელი, თუ როგორ დაიცვათ თავი და თქვენი მონაცემები

ჰეი ჰაბრ.

ეს ჩვენ ვართ, VPN სერვისი Დამალე ჩემი სახელი. ამჟამად დროებით ვმუშაობთ HideMyna.me სარკეზე. რატომ? 20 წლის 2018 ივლისს როსკომნადზორმა დაგვიმატა აკრძალული რესურსების სიაში იოშკარ-ოლაში მედვედევსკის რაიონული სასამართლოს გადაწყვეტილების გამო. სასამართლომ დაადგინა, რომ ჩვენი საიტის ვიზიტორებს აქვთ შეუზღუდავი წვდომა ექსტრემისტულ მასალებზე #რეგისტრაციების გარეშე და რატომღაც იპოვეს მასზე ადოლფ ჰიტლერის წიგნი "Mein Kampf". როგორც ჩანს, საიმედოობისთვის.

ამ გადაწყვეტილებამ ძალიან გაგვაკვირვა, მაგრამ ჩვენ ვაგრძელებთ მუშაობას hidemyna.me, hidemyname.org, .one, .biz და ა.შ. Roskomnadzor-თან გაჭიანურებულ კამათს არანაირი შედეგი არ მოჰყოლია. სანამ მე და ჩემი იურისტები ვეწინააღმდეგებით დაბლოკვას და სასამართლოს ჯადოსნურ გადაწყვეტილებას, ჩვენ გაგიზიარებთ ძირითად რჩევებს ინტერნეტში კონფიდენციალურობის შესანარჩუნებლად და სიახლეებს ამ თემაზე.

ედვარდ სნოუდენს უყვარს ეროვნული უსაფრთხოების სააგენტო (ალბათ)

საიდუმლო არ არის, რომ პოპულარული რუსული სერვისები სახიფათოა. თქვენი მიმოწერა ნებისმიერ დროს შეიძლება მოექცეს ადგილობრივი სამართალდამცავი ორგანოების ყურადღების ცენტრში. ჩვენ გეტყვით, რა უნდა გახსოვდეთ სხვადასხვა საკომუნიკაციო არხებით კომუნიკაციისას.

SORM და ORI

არსებობს ბევრი განსხვავებული თქვენი ტელეფონის შეხების გზები. ოფიციალური და სამართლებრივი - SORM, ოპერატიული საგამოძიებო საქმიანობის ფუნქციების უზრუნველყოფის ტექნიკური საშუალებების სისტემა. რუსეთის ფედერაციის კანონით, ყველა ფიჭური ოპერატორი ვალდებულია დააინსტალიროს ასეთი სისტემა თავის PBX-ებზე, თუ მათ არ სურთ ლიცენზიის დაკარგვა. SORM-ის სამი ტიპი არსებობს: პირველი გამოიგონეს 80-იან წლებში, მეორეს დანერგვა 2014-იან წლებში დაიწყო და მესამეს ოპერატორებზე დაკისრებას XNUMX წლიდან ცდილობენ. RBC-ის ცნობით, ოპერატორების უმეტესობა იყენებს მეორე ტიპს, მაგრამ 70% შემთხვევაში სისტემა არ მუშაობს ან საერთოდ არ მუშაობს. თუმცა, მაინც უმჯობესია არ განიხილოთ მგრძნობიარე თემები სტაციონარული ტელეფონით ან მობილური ტელეფონიდან რეგულარული ზარის საშუალებით.

SORM-2-ის მუშაობის სქემა (წყარო: mfisoft.ru)

97-FZ-ის თანახმად, ნებისმიერი მესინჯერი, სერვისი და საიტი, რომელიც მოქმედებს რუსეთში, უნდა იყოს ჩართული რეესტრში. ინფორმაციის გავრცელების ორგანიზატორები. მიერ "იაროვაიას კანონი„მათ მოეთხოვებათ შეინახონ მომხმარებლის ყველა მონაცემი, მათ შორის ხმოვანი ზარის ჩანაწერები და მიმოწერა, ექვსი თვის განმავლობაში. სხვათა შორის, ARI-ს ჰაბრაჰაბრიც ჰყავს.

რეესტრის მუშაობა დეტალურად არის აღწერილი აქ მაგალითად Threema-ს გამოყენებით, მაგრამ მთავარი დასკვნა ასეთია: ახლა, რუსეთის ხელისუფლების მოთხოვნით, თქვენს შესახებ ნებისმიერი ინფორმაცია შესაძლოა სამართალდამცავ უწყებებში აღმოჩნდეს. ამიტომ, პირველი, რაც უნდა გააკეთოთ კონფიდენციალურობის შესანარჩუნებლად, არის ზარების და შეტყობინებების გადატანა მყისიერ მესინჯერებზე, რომლებიც არ არის ARI რეესტრში. ან ისინი, ვინც იქ არიან, მაგრამ უარს ამბობენ ხელისუფლებისთვის მონაცემების გადაცემაზე - როგორიცაა Threema და Telegram.

სერთიფიკატი: მხოლოდ ARI-ს რეესტრში ყოფნა არ იძლევა გარანტიას, რომ მონაცემები გადაეცემა ხელისუფლებას. თქვენ მუდმივად უნდა აკონტროლოთ სიახლეები და უყუროთ მესინჯერის რეაქციას, როდესაც ისინი "მოდიან" მისთვის.

ხმოვანი ზარები და შეტყობინებები

ჩვენი საუბრები და შეტყობინებები შეიძლება იყოს დაცული მესამე მხარის ჩარევისგან ბოლომდე დაშიფვრით, რის გამოც E2E მესინჯერები ყველაზე უსაფრთხოდ ითვლება. მაგრამ ეს მთლად ასე არ არის: მოდით შევხედოთ პოპულარულ ვარიანტებს.

დეპეშა მხარს უჭერს ბოლოდან ბოლომდე დაშიფვრა მათ საიდუმლო ჩეთებში და ინახავს დაშიფრულ მონაცემებს თქვენი მიმოწერის შესახებ ღრუბელში, რომელიც მიმოფანტულია სხვადასხვა ქვეყანაში "უსაფრთხო" იურისდიქციის მქონე. მაგრამ შემდეგ მუხლი Habré-ზე შეგიძლიათ დაიწყოთ ეჭვი Telegram Passport-ის უსაფრთხოების ილუზიაში E2E დუროვისგან.

რა თქმა უნდა, საიდუმლო ჩეთები მაინც კარგი ვარიანტია პარანოიდებისთვის. სერვერი საერთოდ არ არის ჩართული მათ დაშიფვრაში: შეტყობინებები გადაიცემა peer-to-peer, ანუ უშუალოდ მიმოწერის მონაწილეებს შორის. დამატებითი სიმშვიდისთვის, შეგიძლიათ გამოიყენოთ ტაიმერის შეტყობინების თვითგანადგურების ფუნქცია. მაგრამ ბრმად არ უნდა დაეყრდნოთ Telegram-ს. ცოტა უფრო უსაფრთხოდ რომ გახადოთ, თქვენ და თქვენს მიმღებს უნდა გადახვიდეთ მესინჯერის პარამეტრებში და გააკეთოთ მინიმუმ ორი რამ:

• დააყენეთ პაროლი აპლიკაციაში შესვლისას (კონფიდენციალურობა და უსაფრთხოება -> Passcode);
• ორეტაპიანი დადასტურების ჩართვა (კონფიდენციალურობა და უსაფრთხოება -> ორეტაპიანი გადამოწმება).

ამის შემდეგ, SMS-ის კოდის გარდა, ახალი მოწყობილობიდან შესვლისას, აპლიკაცია ითხოვს პაროლს, რომელიც მხოლოდ თქვენ იცით.

ამჟამად, შესვლის დადასტურება მხოლოდ SMS-ით არანაირად არ იცავს ადამიანს, რომელიც იყენებს რუსულ SIM ბარათს. ტელეგრამის ანგარიშების გატეხვის შემთხვევები უკვე ცნობილია SMS შეტყობინების საშუალებით - 2016 წელს თავდამსხმელები წვდომა მოიპოვა რამდენიმე ოპოზიციონერის მიმოწერას და 2017 წ გატეხეს Dozhd-ის ჟურნალისტის მიხაილ რუბინის ანგარიში.

WhatsApp ამჟამად ის გაურბის ORI რეესტრს და ასევე იყენებს ბოლოდან ბოლომდე დაშიფვრას, მაგრამ ყველაფერი არც ისე ვარდისფერია. ცოტა ხნის წინ გამოვაქვეყნეთ ახალი ამბები მაგადანის მაცხოვრებლების შესახებ, რომლებიც ქალაქის მერის კრიტიკის გამო სისხლის სამართლის საქმეზე აღიძრა. ეს ამბავი, საბედნიეროდ, ჩვეული ჯარიმით დასრულდა. მაგრამ მან დაადასტურა მომხმარებლების შიში: არ არის უსაფრთხო WhatsApp ჯგუფურ ჩეთებში კომუნიკაცია.

Რა მოხდება?

• როგორც კი დაწერთ შეტყობინებას, თქვენი ტელეფონის ნომერი დაუყოვნებლივ გახდება ხელმისაწვდომი ჯგუფის ყველა წევრისთვის. და თქვენი ვინაობა მარტივად შეიძლება განისაზღვროს ნომრით.

რა უნდა გავაკეთოთ?

• გამოსავალი შეიძლება იყოს "მარცხენა" SIM ბარათი ან უცხო ნომერი - სასურველია ევროპული.

თუ თქვენ იყენებთ თქვენს სახელზე დარეგისტრირებულ რუსულ ბარათს, მოერიდეთ სარკასტული კომენტარების ჯგუფებში სახელებით „გადადგეს მერისთვის“: უმჯობესია დატოვოთ მხოლოდ პირადი მიმოწერა და ზარები WhatsApp-ზე.

Viber ასევე არ არის ჩამოთვლილი ORI რეესტრში, მაგრამ ინარჩუნებს კომუნიკაციას რუსეთის ხელისუფლებასთან (თავისუფალ დროს სპამის გაგზავნისგან). ეს მესინჯერი იყო ერთ-ერთი პირველი, ვინც შეასრულა ახალი მთავრობის მოთხოვნები: ის ინახავს რუსი მომხმარებლების შესვლას და ტელეფონის ნომრებს რუსეთის ფედერაციის ტერიტორიაზე, მაგრამ უზრუნველყოფს შეტყობინებების მონაცემებს. უარს ამბობს — ეხება ბოლომდე დაშიფვრის მექანიზმს და კორპორატიულ პოლიტიკას.

Apple ასევე იყენებს ბოლოდან ბოლომდე, მაგრამ iMessage-ით დარეგისტრირებისას ის ქმნის ორ საკვანძო წყვილს: კერძო და საჯარო. შეტყობინება, რომელსაც იღებთ Apple მოწყობილობის ერთი და იგივე მფლობელისგან, გადაგეცემათ დაშიფვრით, რომელიც იყენებს საჯარო გასაღებს. მისი გაშიფვრა შესაძლებელია მხოლოდ მიმღების პირადი გასაღების გამოყენებით, რომელიც ინახება მის მოწყობილობაზე. შეგიძლიათ წაიკითხოთ იმის შესახებ, თუ როგორ უყურებს Apple მომხმარებლის კონფიდენციალურობას და რას გააკეთებს, თუ მიიღებს მოთხოვნას მთავრობისგან აქ. არ დაფიქსირებულა არცერთი შემთხვევა, როდესაც კომპანიამ რუსი მომხმარებლებისგან მონაცემები გადასცა რუსეთის ხელისუფლებას.

წყარო: https://www.apple.com/business/docs/iOS_Security_Guide.pdf

მაგრამ iMessage-ს ორი მინუსი აქვს:

• ამ არხებით შეგიძლიათ დაწეროთ ან დაურეკოთ მხოლოდ იმავე Apple-ის მფლობელს;
• თუ ინტერნეტთან დაკავშირებული პრობლემები გაქვთ, შეტყობინება გადავა ჩვეულებრივ ფიჭურ არხზე და გახდება მარტივი SMS, რომლის გადაჭრაც მარტივად შეიძლება.

iMessage SMS-ად გადაქცევის თავიდან ასაცილებლად, შეგიძლიათ გამორთოთ ეს ფუნქცია პარამეტრებში.

Electronic Frontier Foundation-ის მკვლევარები მოთხოვნა რომ ზარებისა და შეტყობინებების ასი პროცენტით უსაფრთხო ვარიანტი არ არსებობს. თუ ზოგიერთი მესინჯერი ხელს უშლის ხელისუფლებას თქვენი პირადი მონაცემების მოპოვებაში, ეს არ ნიშნავს, რომ ჰაკერებს (ან სახელმწიფოს, რომელსაც შეუძლია მათი სერვისების გამოყენება) არ შეუძლია ამის გაკეთება კანონების გვერდის ავლით. იმისათვის, რომ მომხმარებელმა დარწმუნდეს, რომ შუაში კაცი არ არსებობს, Telegram-ს აქვს კარგი ფუნქცია: დარეკვისას ორივე მიმღებს შეუძლია დარწმუნდეს, რომ ხედავს იგივე emoji-ს ეკრანის ზედა მარჯვენა კუთხეში - ეს დაადასტურებს კავშირში "შეჭრის" არარსებობა.

თუ თქვენ ეძებთ კომუნიკაციის უფრო უსაფრთხო გზას, გირჩევთ, გადახედოთ საიდუმლო ჩეთებს, პაროლებს და ორეტაპიანი/ორფაქტორიანი ავთენტიფიკაციის მიღმა ნაკლებად პოპულარულ ნიშა აპებს, როგორიცაა ნდობა ან სიგნალი.

მე ვიყენებ სიგნალს ყოველდღე. #notesforFBI (სპოილერი: მათ უკვე იციან)

ფოსტა

პოპულარული კომპანიები, რომლებიც შესაძლებელს ხდის მათი ელ.ფოსტის კლიენტების გამოყენებას (რუსეთში ეს არის Yandex, Mail.Ru და Rambler) უკვე შედის ARI რეესტრში, რაც ნიშნავს, რომ ისინი არც თუ ისე უსაფრთხოა. დიახ, Mail.Ru ჯგუფი მოუწოდებს გაჩერებას სისხლის სამართლის საქმეები მემებისა და ამნისტიის გამო მსჯავრდებულთათვის, მაგრამ მოთხოვნის შემთხვევაში შეგიძლიათ მიაწოდოთ ინფორმაცია თქვენი მონაცემების შესახებ ხელისუფლებას.

მაშინაც კი, თუ იყენებთ დასავლურ ელ.ფოსტის კლიენტებს, როგორიცაა Gmail ან Outlook, გაქვთ ჩართული ორფაქტორიანი ავთენტიფიკაცია და იცით, რომ თქვენი ელფოსტა დაშიფრულია უსაფრთხო SSL/TLS პროტოკოლის გამოყენებით, ვერ იქნებით დარწმუნებული, რომ თქვენი მიმღების ელფოსტა თანაბრად არის დაცული.

დაცვის პარამეტრები:

• სენსიტიური ინფორმაციის გაგზავნისას, დაშიფრეთ ელ.წერილი Pretty Good Privacy-ის გამოყენებით (PGP). ეს პროგრამა ეხმარება გადააქციოს მონაცემები ასოდან უაზრო სიმბოლოებად ყველასთვის, გარდა გამგზავნისა და მიმღებისა;
• მნიშვნელოვანი ინფორმაციის გაგზავნისას ყოველთვის მიაქციეთ ყურადღება მიმღების დომენს და არ დაწეროთ საეჭვო მისამართზე;
• წინასწარ შეამოწმეთ მიმღებთან, დააყენა თუ არა მან ფოსტის გაგზავნა ან შეგროვება რუსული საფოსტო სამსახურის მეშვეობით.

შიდა კომპანიების შემთხვევაში ORI რეესტრიდან, მომხმარებლის მხარეს არანაირი დაშიფვრა, პრინციპში, არ დაეხმარება. ინფორმაცია არ არის ჩასმული, არამედ ინახება და გადაიცემა საბოლოო წერტილებით - მსგავსი სერვისებით. ერთადერთი გამოსავალი შეიძლება იყოს მათი ჩანაცვლება უფრო უსაფრთხო ანალოგებით, როგორიცაა ProtonMail, Tutanota ან Hushmail. მეტი ასეთი ელ.ფოსტის სერვისები შეგიძლიათ იხილოთ აქ ამ გვერდი.

სოციალური ქსელის

დასაწყისისთვის, შეამცირეთ თქვენი ყოფნა პოპულარულ რუსულ სოციალურ ქსელებში - "ჩემი სამყარო", "ოდნოკლასნიკი" და "VKontakte". ყოველ შემთხვევაში ფეისბუქი არ გადასცემს თქვენს მონაცემებს რუსეთის სადაზვერვო სააგენტოებს. ყოველ შემთხვევაში, მსგავსი შემთხვევები არ დაფიქსირებულა.

მაგრამ საინტერესოა, რომ 2017 წელს კომპანიამ კვლავ დააკმაყოფილა აშშ-ს მთავრობის მოთხოვნების 85%.

ეკრანის ანაბეჭდები ფეისბუქის გამჭვირვალობის ანგარიში

თუ ზედმეტად მიჩვეული ხართ VK-ს, მაგრამ არ გსურთ დოკში დარჩენა, ყურადღება მიაქციეთ რამდენიმე საკითხს:

• თქვენი შენახული სურათები;
• თქვენ მიერ დაწერილი პოსტები, კომენტარები და შეტყობინებები;
• პოსტები, რომლებიც მოგწონთ;
• თქვენ მიერ გაზიარებული პოსტები;
• მომხმარებლები, რომლებთანაც მეგობრობთ.

ყოველივე ზემოაღნიშნულში, უმჯობესია თავიდან აიცილოთ ყველაფერი, რაც შეიძლება შეურაცხყოფად ან ექსტრემისტულად ჩაითვალოს. ყოველთვის გახსოვდეთ, რომ „გაზიარება“ ნიშნავს „უკანონო“ ინფორმაციის მიწოდებას მინიმუმ ერთი ადამიანისთვის. საერთაშორისო უფლებადამცველი ჯგუფის „აგორას“ იურისტი დამირ გაინუტდინოვი აცხადებს, რომ კანონის თანახმად, ORI. ვალდებულია შეინახოს და გადასცეს სამართალდამცავი ორგანოებისთვის გაუგზავნებელი გზავნილების პროექტებიც კი. წაიკითხეთ მეტი იმის შესახებ, თუ როგორ არ დაიჭიროთ ხელახლა გამოქვეყნების გამო აქ.

სხვათა შორის, უკვე გარკვეული პერიოდია, ვისაც თქვენი ტელეფონის ნომერი აქვს, შეუძლია ნაგულისხმევად გიპოვოთ VKontakte-ზე, მაშინაც კი, თუ თავად გვერდი არ ავლენს თქვენს ნამდვილ ვინაობას.

თქვენ შეგიძლიათ ხელი შეუშალოთ ადამიანებს თქვენი ნომრის პოვნაში თქვენი პროფილის პარამეტრებში (პარამეტრები -> კონფიდენციალურობა -> დამიკავშირდით). მაგრამ ეს, რა თქმა უნდა, არ გიშველის სპეცსამსახურებისგან. არ გამოიყენოთ ზარები და ვიდეო კომუნიკაციები VKontakte-ზე: უცნობია, რეალურად შიფრავს თუ არა მათ ქსელი ბოლომდე, როგორც ამას ადმინისტრაცია ამტკიცებს.

ვებსაიტის უსაფრთხოება

ერთადერთი კარგი ამბავი ის არის ნახევარზე მეტი ინტერნეტში ყველა პოპულარულ საიტს უკვე აქვს https ვერსია ან მთლიანად გადაერთო მხოლოდ https ვერსიების გამოყენებაზე. ასეთ საიტებზე მიღებული და გადაცემული ინფორმაცია დაშიფრულია და არ შეიძლება წაკითხული იყოს მესამე მხარის მიერ. ასეთი რესურსები მონიშნულია მწვანედ და სიტყვა „დაცული“.

აქ მთავრდება კარგი ამბები. მიუხედავად https პროტოკოლისა, ასეთი საიტის მონახულების ფაქტი და DNS მოთხოვნები (ინფორმაცია, თუ რომელ დომენებზე შეხვედით) კვლავ ხილული რჩება ინტერნეტ პროვაიდერისთვის.

მაგრამ კიდევ ერთი სიახლე კიდევ უფრო უარესია: საიტების დარჩენილი ნახევარი მუშაობს ჩვეულებრივი http პროტოკოლის გამოყენებით, ანუ მონაცემთა დაშიფვრის გარეშე. გამოსავალი შეიძლება იყოს VPN, რომელიც დაშიფვრავს აბსოლუტურად ყველა მიღებულ და გადაცემულ მონაცემს ისე, რომ არ იყოს წაკითხული ინფორმაცია ინტერნეტ პროვაიდერის მხარეს და ყველას, ვინც ცდილობს შეაღწიოს თქვენსა და საბოლოო საიტს შორის. ერთადერთი, რაც ხილული იქნება, არის ინტერნეტში გარკვეულ IP მისამართთან (ანუ VPN სერვერთან) დაკავშირების ფაქტი. და მეტი არაფერი.

მოხარული ვიქნებით, თუ ცხოვრება მართლაც მოულოდნელად გახდება ასე მარტივი: ჩართეთ VPN და დაივიწყეთ მგრძნობიარე ინფორმაციის გაჟონვა. მაგრამ ეს ასე არ არის. რეგულარულად შეამოწმეთ შედის თუ არა თქვენი საყვარელი რესურსი ARI რეესტრში, აკონტროლეთ როგორ ურთიერთობს იგი ხელისუფლებასთან, შეამოწმეთ აქტიური კავშირები მყისიერი მესინჯერებისა და სოციალური ქსელების პარამეტრებში და გადააყენეთ საეჭვოები (და შემდეგ აუცილებლად შეცვალეთ პაროლები).

გლობალურად

საკომუნიკაციო არხებთან მუშაობისას და მონაცემთა გადაცემისას აზრი აქვს მხოლოდ უსაფრთხოებისა და კონფიდენციალურობის ყოვლისმომცველ მიდგომას. თვალი ადევნეთ ინტერნეტ უსაფრთხოების მოვლენებს ჩვენს Telegram არხზე @hidemyname_ru, ონლაინ როსკომსვობადა და სხვა რესურსებზე, რომლებიც ეძღვნება მოვლენებს ინტერნეტში და კონკრეტულად RuNet-ში.

უსაფრთხოების რა ზომებს იღებთ?

წყარო: www.habr.com