Olá, Habr.
Nós somos o serviço de VPN . Atualmente, estamos trabalhando temporariamente no espelho HideMyna.me. Por quê? No dia 20 de julho de 2018, o Roskomnadzor nos adicionou devido a uma decisão do tribunal de Medvedevsky no Yoshkar-Ola. O tribunal decidiu que os visitantes do nosso site têm acesso irrestrito a materiais extremistas #semregistroessms, e de alguma forma encontrou nele o livro 'Mein Kampf' de Adolf Hitler. Presumivelmente, para garantir a confiabilidade.
Essa decisão nos surpreendeu bastante, mas continuamos a trabalhar em hidemyna.me, hidemyname.org, .one, .biz e outros. A longa disputa com o Roskomnadzor não resultou em nada. Enquanto contestamos a proibição e a mágica decisão do tribunal com nossos advogados, compartilhamos com vocês dicas básicas sobre como manter a privacidade na internet e as notícias a respeito.
Edward Snowden ama a Agência de Segurança Nacional (talvez)
Não é segredo para ninguém que os serviços populares da Rússia não são seguros. Sua correspondência pode estar a qualquer momento à vista dos guardiões da lei do país. Contamos sobre o que é preciso lembrar ao se comunicar através de diferentes canais de comunicação.
SORM e ORI
Há de interceptar seu telefone. Oficial e legal — SORM, sistema de meios técnicos para garantir as funções de atividades de investigação. Por lei, na Rússia, todos os operadores de telefonia móvel são obrigados a instalar esse sistema em suas centrais telefônicas se não quiserem perder suas licenças. Existem três tipos de SORM: o primeiro foi criado nos anos 80, o segundo começou a ser implementado nos anos 2000, e o terceiro tem sido imposto aos operadores desde 2014. , a maioria dos operadores utiliza o segundo tipo, mas em 70% dos casos o sistema opera de maneira incorreta ou não funciona de forma alguma. No entanto, é melhor não discutir temas sensíveis por telefone fixo ou através de chamadas comuns de celular.
Esquema de operação do SORM-2 (Fonte: mfisoft.ru)
De acordo com a Lei 97-FZ, quaisquer mensageiros, serviços e sites que atuam no território da Rússia devem ser registrados . Segundo a '', eles são obrigados a armazenar todos os dados dos usuários, incluindo gravações de chamadas de voz e correspondência, por um período de seis meses. No ORI, a propósito, também há o Habrhabr.
O funcionamento do registro é descrito detalhadamente por exemplo, Threema, mas a principal conclusão é a seguinte: agora, a pedido das autoridades russas, qualquer informação sobre você pode acabar nas mãos das forças de segurança. Portanto, a primeira coisa a fazer para preservar a privacidade é transferir chamadas e mensagens para mensageiros que não estão no registro OCG. Ou para aqueles que estão, mas se recusam a transmitir dados às autoridades — como Threema e Telegram.
Ajuda: Estar no registro OCG por si só não garante que os dados serão transmitidos às autoridades. É necessário monitorar constantemente as notícias e observar a reação do mensageiro quando as autoridades "vierem".
Chamadas e mensagens de voz
Nossas conversas e mensagens podem ser protegidas contra a intervenção de terceiros por meio de criptografia end-to-end, portanto, mensageiros com E2E são considerados os mais seguros. Mas não é bem assim: vamos considerar as opções populares.
Telegram criptografia end-to-end em seus Chats Secretos e armazena dados criptografados sobre sua conversa na nuvem, que está espalhada por diferentes países com jurisdições "seguras". Mas após no Habr sobre a ilusão de segurança do Telegram Passport em E2E de Durov, você pode começar a ter dúvidas.
Claro, a comunicação em Chats Secretos ainda é uma boa opção para os paranoicos. Na sua criptografia, o servidor não está envolvido de forma alguma: as mensagens são transmitidas de ponto a ponto, ou seja, diretamente entre os participantes da conversa. Para maior tranquilidade, você pode usar a função de autodestruição de mensagens após um temporizador. Mas não deve confiar cegamente no Telegram. Para torná-lo um pouco mais seguro, você e seu destinatário devem acessar as configurações do mensageiro e fazer pelo menos duas coisas:
- Definir uma senha ao entrar no aplicativo (Privacidade e Segurança —> Senha de Acesso);
- Ativar a autenticação em dois fatores (Privacidade e Segurança —> Verificação em Duas Etapas).
Depois disso, além do código SMS ao entrar em um novo dispositivo, o aplicativo pedirá uma senha que somente você conhece.
Atualmente, a confirmação de entrada somente por SMS não protege de maneira alguma a pessoa que usa um chip SIM russo. Já são conhecidas ocorrências de invasão de contas do Telegram através de mensagens SMS interceptadas — em 2016, invasores às mensagens de vários oposicionistas, e em 2017, do jornalista "Dozhd" Mikhail Rubin foi invadida.
WhatsApp até agora evita o registro ORI e também usa criptografia de ponta a ponta, mas a situação não é tão simples. Recentemente, publicamos sobre os habitantes de Magadan, que enfrentaram processos judiciais por criticar o prefeito da cidade. Felizmente, essa história terminou com uma simples multa. Mas confirmou as preocupações dos usuários: é inseguro se comunicar em grupos do WhatsApp.
O que acontecerá?
- Assim que você escrever uma mensagem, seu número de telefone se tornará imediatamente acessível a todos os participantes do grupo. E pelo número, sua identidade pode ser facilmente rastreada.
O que fazer?
- Uma solução pode ser um SIM card 'fake' ou um número estrangeiro — de preferência europeu.
Se você usa um cartão russo registrado em seu nome, evite comentários sarcásticos em grupos com nomes como 'Prefeito — renúncia': é melhor manter o WhatsApp apenas para conversas e chamadas pessoais.
O Viber também não está no registro ORI, mas mantém comunicação com as autoridades russas (durante períodos sem envio de spam). Este mensageiro foi um dos primeiros a cumprir os novos requisitos do governo: ele armazena logins e números de telefone de usuários russos no território da Rússia, mas se recusa a fornecer — refere-se à mecânica da criptografia de ponta a ponta e à política corporativa.
Apple também usa criptografia de ponta a ponta, mas ao se registrar no iMessage, cria dois pares de chaves: uma privada e uma pública. A mensagem que você recebe de outro proprietário de dispositivo Apple é enviada com criptografia, utilizando a chave pública. Somente o destinatário pode decifrá-la com a chave privada que está armazenada em seu dispositivo. Para saber como a Apple se posiciona em relação à privacidade dos usuários e o que fará se receber um pedido do governo, você pode ler Não há registros de transmissão de dados dos usuários russos às autoridades da Federação Russa pela empresa.
Fonte:
Mas o iMessage tem duas desvantagens:
- Você pode escrever ou ligar através desses canais apenas para outro proprietário da Apple;
- Se você tiver problemas de conexão com a internet, a mensagem será enviada pelo canal celular normal e se tornará um SMS simples, que pode ser facilmente interceptado.
Para evitar que o iMessage se transforme em SMS, você pode desativar essa função nas configurações.
Pesquisadores da Electronic Frontier Foundation não existe uma opção de 100% segura para chamadas e mensagens. Se alguns mensageiros não permitem que as autoridades acessem seus dados pessoais, isso não significa que hackers (ou o estado, que pode usar seus serviços) não consigam fazê-lo por vias legais. Para dar ao usuário confiança de que não há um ataque man-in-the-middle, o Telegram tem um recurso interessante: durante uma chamada, ambos os participantes podem verificar se estão vendo os mesmos emojis no canto superior direito da tela — isso será a confirmação de que não houve "invasão" na conexão.
Se você precisa de uma maneira mais confiável de se comunicar, recomendamos não apenas usar chats secretos, senhas e autenticação em dois fatores, mas também considerar aplicativos menos populares e de nicho como ou .
Eu uso o Signal todos os dias. #notasparaFBI (Spoiler: eles já sabem)
Empresas populares que oferecem a utilização de seus clientes de email (na Rússia, isso inclui Yandex, Mail.Ru e Rambler) já estão incluídas no registro ORI, o que significa que não são muito seguras. Sim, Mail.Ru Group processos criminais por memes e anistiar condenados, mas pode entregar informações sobre seus dados às autoridades a qualquer momento.
Mesmo que você utilize clientes de email ocidentais como Gmail ou Outlook, tenha ativado a autenticação em dois fatores e saiba que seu email é criptografado usando um protocolo seguro SSL/TLS, você não pode ter certeza de que o email do seu destinatário também está protegido.
Opções de proteção:
- Ao enviar informações sensíveis, criptografe os emails usando Pretty Good Privacy (). Este programa ajuda a transformar os dados do email em um conjunto de caracteres sem sentido para todos, exceto para o remetente e o destinatário;
- Ao enviar informações importantes, sempre preste atenção ao domínio do destinatário e não envie para um endereço suspeito;
- Verifique com antecedência se o destinatário tem redirecionamento ou coleta de emails configurados através de um serviço postal russo.
No caso das empresas nacionais do registro OGI, nenhuma criptografia do lado do usuário ajudará. As informações não são interceptadas, mas armazenadas e transmitidas por pontos finais, como esses serviços. A única solução pode ser substituí-los por alternativas mais seguras como ProtonMail, Tutanota ou Hushmail. Mais serviços de e-mail semelhantes podem ser encontrados em página.
Redes sociais
Para começar, minimize sua presença nas populares redes sociais russas — "Meu mundo", "Classmates" e "VKontakte". O Facebook, pelo menos, não transmite seus dados para os serviços de segurança russos. Pelo menos, não há relatos de tais casos.
Mas é interessante que em 2017, 85% das solicitações do governo dos EUA foram atendidas pela empresa:
Capturas de tela do
Se você se acostumou demais ao VK, mas não quer acabar no banco dos réus, preste atenção a algumas coisas:
- as imagens que você salvou;
- as postagens, comentários e mensagens que escreve;
- as postagens que você curte;
- as postagens que você compartilha;
- os usuários com quem você se relaciona.
Em tudo isso, é melhor evitar o que pode ser considerado ofensivo ou extremista. Lembre-se sempre de que "disseminar" significa enviar "informações ilegais" para pelo menos uma pessoa. O advogado do grupo de direitos humanos internacional "Agora", Damir Gainutdinov, afirma que, pela lei OGI aos órgãos de segurança até mesmo os rascunhos de mensagens não enviadas.Mais sobre como não ser preso por um repost, leia
Por sinal, desde algum tempo, qualquer pessoa que tiver seu número de telefone pode por padrão encontrá-lo no VK, mesmo que a página em si não revele sua verdadeira identidade.
Para proibir que te encontrem pelo número, você pode fazer isso nas configurações do perfil (Configurações → Privacidade → Comunicação comigo). Mas isso, claro, não irá protegê-lo dos serviços de segurança. Não use chamadas ou videochamadas no VK: não se sabe se a rede criptografa realmente elas end-to-end, como afirma a administração.
Segurança dos sites
A única boa notícia é que Todos os sites populares na internet já possuem uma versão https ou migraram completamente para o uso apenas de versões https. As informações recebidas e transmitidas nesses sites são criptografadas e não podem ser lidas por terceiros. Esses recursos são marcados em verde e com a palavra "seguro".
Mas as boas notícias terminam aqui. Apesar do protocolo https, o fato de visitar tal site e as consultas DNS (informações sobre quais domínios você acessou) continuam visíveis para o provedor de internet.
Mas uma notícia ainda pior: a metade restante dos sites opera com o protocolo http padrão, ou seja, sem criptografia de dados. Uma solução pode ser o VPN, que criptografa absolutamente todos os dados recebidos e transmitidos, de modo que do lado do provedor de internet e de qualquer um que tente intervir entre você e o site final, não há nenhuma informação legível. A única coisa visível será o fato de você estar conectado a um determinado endereço IP na internet (ou seja, ao servidor VPN). E mais nada.
Ficaríamos felizes se a vida realmente se tornasse tão simples: ligar o VPN e esquecer a vazamento de informações sensíveis. Mas não é assim. Verifique regularmente se o seu recurso favorito entrou no registro ORI, preste atenção como ele interage com as autoridades, verifique as conexões ativas nas configurações de mensageiros e redes sociais e desconecte as suspeitas (e depois não se esqueça de mudar as senhas).
Globalmente
Ao lidar com canais de comunicação e transmissão de dados, faz sentido apenas uma abordagem abrangente para segurança e privacidade. Fique atento às notícias de segurança na internet em nosso canal do Telegram , no site e em outros recursos dedicados a eventos na internet, em particular no Runet.
E quais medidas de segurança você está tomando?
Fonte: habr.com
