Bună, Habr.
Acesta suntem noi, serviciul VPN . Acum lucrăm temporar pe oglinda HideMyna.me. De ce? Pe 20 iulie 2018, Roskomnadzor ne-a adăugat din cauza deciziei instanței de judecată din raionul Mădărasca în Ioshkar-Ola. Instanța a decis că vizitatorii site-ului nostru au acces nelimitat la materiale extremiste #fărăînregistrareșisms, și pe deasupra a găsit pe acesta cartea „Mein Kampf” de Adolf Hitler. Se pare că pentru o mai bună fiabilitate.
Această decizie ne-a foarte surprins, dar continuăm să lucrăm pe hidemyna.me, hidemyname.org, .one, .biz și altele. O prelungire de dispută cu Roskomnadzor nu a dus la niciun rezultat. În timp ce ne aflăm în proces de contestare a blocării și a deciziei magice a instanței cu avocații, împărtășim cu voi sfaturi de bază pentru păstrarea confidențialității pe internet și noutăți pe această temă.
Edward Snowden iubește Agenția Națională de Securitate (probabil)
Nu este un secret pentru nimeni că serviciile rusești populare nu sunt sigure. Corespondența voastră poate fi în orice moment sub supravegherea autorităților locale. Vă spunem despre ce trebuie să țineți cont atunci când comunicați prin diferite canale.
SORM și ORI
Există de a intercepta telefonul vostru. Oficial și legal — SORM, sistemul tehnic pentru asigurarea funcțiilor de măsuri operative de investigație. Conform legii din Federația Rusă, toți operatorii de telefonie mobilă sunt obligați să instaleze un astfel de sistem pe centralele lor telefonice, dacă nu vor să își piardă licența. Există trei tipuri de SORM: primul a fost inventat în anii '80, al doilea a început să fie implementat în anii 2000, iar al treilea încearcă să fie impus operatorilor din 2014. , cei mai mulți operatori folosesc al doilea tip, dar în 70% din cazuri sistemul funcționează corect sau nu funcționează deloc. Totuși, pe un telefon fix și printr-un apel obișnuit de pe mobil, subiectele sensibile ar trebui discutate mai bine în privat.
Schema de lucru SORM-2 (Sursă: mfisoft.ru)
Conform legii 97-FZ, orice mesagerii, servicii și site-uri care activează pe teritoriul Rusiei trebuie să fie incluse în registrul . Conform "" ei sunt obligați să păstreze toate datele utilizatorilor, inclusiv înregistrările apelurilor vocale și corespondența, timp de șase luni. La ORI, de altfel, există și Habrhabr.
Funcționarea registrului este descrisă detaliat de exemplu, Threema, dar concluzia principală este următoarea: acum, la cererea autorităților ruse, orice informație despre dumneavoastră poate ajunge la organele de ordine publică. Prin urmare, primul lucru pe care trebuie să-l faceți pentru a vă proteja confidențialitatea este să mutați apelurile și mesajele în mesageri care nu sunt în registrul ORI. Sau în cele care sunt acolo, dar refuză să transmită datele autorităților — cum ar fi Threema și Telegram.
Ajutor: Faptul de a fi în registrul ORI nu garantează că datele vor fi transmise autorităților. Trebuie să monitorizați constant știrile și să observați reacția mesagerului atunci când „vor veni” după el.
Apeluri vocale și mesaje
Conversațiile și mesajele noastre pot fi protejate de intervenția terților prin criptarea end-to-end, de aceea mesagerii cu E2E sunt considerați cei mai siguri. Dar nu este chiar așa: să examinăm opțiunile populare.
Telegram criptarea end-to-end în Chat-urile Sale Secrete și păstrează datele criptate ale corespondenței dvs. în cloud, care este distribuit în diferite țări cu o „jurisdicție sigură”. Dar după pe Habr despre iluzia securității Telegram Passport în E2E de către Durov, se poate începe să se îndoiască.
Desigur, comunicarea în Chat-urile Secrete rămâne în continuare o opțiune bună pentru paranoici. În criptarea lor serverul nu este implicat deloc: mesajele sunt transmise peer-to-peer, adică direct între participanții la corespondență. Pentru o liniște suplimentară, puteți folosi funcția de autodistrugere a mesajelor după un temporizator. Dar nu trebuie să vă bazați orbește pe Telegram. Pentru a deveni puțin mai sigur, dumneavoastră și destinatarii trebuie să accesați setările mesagerului și să faceți minimum două lucruri:
- Să puneți o parolă la accesul în aplicație (Confidențialitate și Securitate —> Parolă);
- Să activați autentificarea în doi pași (Confidențialitate și Securitate —> Verificarea în doi pași).
După aceasta, pe lângă codul primit prin SMS la accesul de pe un dispozitiv nou, aplicația va solicita o parolă pe care o cunoașteți doar dumneavoastră.
În prezent, confirmarea accesului doar prin SMS nu protejează în niciun fel persoana care folosește o cartelă SIM rusă. Există deja cazuri cunoscute de hacking a conturilor Telegram prin interceptarea mesajelor SMS — în 2016, infractorii la corespondența mai multor opozanți, iar în 2017 contul jurnalistului de la „Dozhd” Mihail Rubin.
WhatsApp încă evită registrul ORI și folosește, de asemenea, criptarea end-to-end, dar cu el situația nu este atât de clară. Recent am publicat despre locuitorii din Magadan, care au fost urmăriți penal pentru criticarea primarului orașului. Această poveste, din fericire, s-a încheiat cu o amendă obișnuită. Dar a confirmat temerile utilizatorilor: a comunica în grupuri pe WhatsApp nu este sigur.
Ce va fi?
- De îndată ce scrieți un mesaj, numărul dumneavoastră de telefon devine imediat disponibil tuturor participanților din grup. Iar prin număr, identitatea dumneavoastră poate fi ușor descoperită.
Ce să fac?
- O soluție poate fi o cartelă SIM "neagră" sau un număr străin – de preferință european.
Dacă utilizați o carte rusească, înregistrată pe numele dumneavoastră, evitați comentariile ironice în grupuri cu denumiri precum „Demisia primarului”: pentru WhatsApp este mai bine să păstrați doar conversațiile și apelurile personale.
Viber de asemenea, nu este inclus în registrul ORI, dar menține comunicarea cu autoritățile ruse (în timpul liber de la trimiterea de spam). Acest messenger a fost unul dintre primele care a îndeplinit noile cerințe ale guvernului: stochează numele de utilizator și numerele de telefon ale utilizatorilor ruși pe teritoriul RF, dar datele mesajelor se pot oferi – se referă la mecanismul de criptare end-to-end și la politica corporativă.
Apple folosește, de asemenea, criptarea end-to-end, dar la înregistrarea în iMessage creează două perechi de chei: una privată și una publică. Mesajul pe care îl primiți de la un alt posesor de dispozitiv Apple vă este transmis cu criptare, utilizând cheia publică. Acesta poate fi decriptat doar cu ajutorul cheii private a destinatarului, care este stocată pe dispozitivul său. Despre cum consideră Apple confidențialitatea utilizatorilor și ce va face dacă primește o solicitare de la guvern se poate citi Nu au fost raportate cazuri de transfer de date ale utilizatorilor ruși către autoritățile RF.
Sursa:
Dar iMessage are două dezavantaje:
- Puteți scrie sau suna prin aceste canale doar către un alt posesor de Apple;
- Dacă aveți probleme cu conexiunea la internet, mesajul va fi trimis prin canalul mobil obișnuit și va deveni un SMS simplu, care poate fi ușor interceptat.
Pentru a evita transformarea iMessage în SMS, puteți dezactiva această funcție în setări.
Cercetătorii din Electronic Frontier Foundation nu există o variantă 100% sigură pentru apeluri și mesaje. Dacă anumiți mesageri nu permit autorităților să obțină datele dvs. private, nu înseamnă că hackerii (sau statul, care ar putea profita de serviciile lor) nu pot face acest lucru în afara legii. Pentru a oferi utilizatorului încrederea că nu există un man-in-the-middle, Telegram are o caracteristică drăguță: în timpul apelului, ambele părți pot verifica că văd aceleași emoji în colțul din dreapta sus al ecranului - aceasta va fi confirmarea absenței „intruziunii” în conexiune.
Dacă aveți nevoie de un mod mai sigur de comunicare, vă recomandăm nu doar să folosiți chat-uri secrete, parole și autentificare în două etape, ci și să vă uitați la aplicații de nișă mai puțin populare, cum ar fi sau .
Folosesc Signal în fiecare zi. #notepentruFBI (Spoiler: ei știu deja)
Companiile populare care oferă posibilitatea de a folosi clienți de email (în Rusia, acestea sunt Yandex, Mail.Ru și Rambler) sunt deja incluse în registrul ORI, ceea ce înseamnă că nu sunt foarte sigure. Da, Mail.Ru Group dosarele penale pentru meme și să amnistieze persoanele condamnate, dar poate oferi informațiile dvs. autorităților la prima cerere.
Chiar dacă folosiți clienți de email occidentali, cum ar fi Gmail sau Outlook, ați activat autentificarea în două etape și știți că emailul dvs. este criptat folosind un protocol SSL/TLS de încredere, nu puteți fi siguri că emailul destinatarului dvs. este la fel de bine protejat.
Opțiuni de protecție:
- Când trimiteți informații sensibile, criptați emailurile folosind Pretty Good Privacy (). Această programă ajută la transformarea datelor din email în o serie de simboluri fără sens pentru toți, cu excepția expeditorului și destinatarului;
- Când trimiteți informații importante, verificați întotdeauna domeniul destinatului și nu scrieți la o adresă suspectă;
- Întrebați dinainte destinatarul dacă are setată redirecționare sau colectare de email printr-un serviciu poștal rus.
În cazul companiilor autohtone din registrul ORI, niciun fel de criptare pe partea utilizatorului nu va ajuta. Informațiile nu sunt interceptate, ci sunt păstrate și transmise de către punctele finale — servicii similare. Singura soluție poate fi înlocuirea acestora cu alternative mai sigure, cum ar fi ProtonMail, Tutanota sau Hushmail. Mai multe astfel de servicii de email pot fi găsite pe pagina.
Rețele sociale
Pentru început, minimizează-ți prezența în rețelele sociale populare rusești — „My World”, „Odnoklassniki” și „VKontakte”. Facebook, cel puțin, nu îți trimite datele către serviciile secrete rusești. Cel puțin, nu au fost înregistrate astfel de cazuri.
Dar este interesant că în 2017, 85% din cererile guvernului american au fost totuși satisfăcute de companie:
Capturi de ecran din
Dacă te-ai obișnuit prea mult cu VK, dar nu vrei să ajungi pe banca acuzaților, acordă atenție câtorva lucruri:
- imaginile salvate;
- postările, comentariile și mesajele pe care le scrii;
- postările pe care le apreciezi;
- postările pe care le distribui;
- utilizatorii cu care te împrietenești.
În toate cele enumerate mai sus, este mai bine să eviți ceea ce ar putea fi considerat ofensator sau extremist. Ține minte mereu că „distribuirea” este considerată comunicarea de informații „ilegale” către cel puțin o persoană. Juristul grupului internațional pentru apărarea drepturilor omului „Agora”, Damir Gainutdinov, susține că, conform legii ORI autorităților chiar și conceptele mesajelor neexpediate. Mai multe informații despre cum să nu ajungi la închisoare pentru un repost, poți citi
Apropo, de ceva vreme, oricine are numărul tău de telefon te poate găsi în mod default pe VKontakte, chiar dacă pagina ta nu dezvăluie identitatea ta reală.
Poți interzice să te găsească pe baza numărului în setările profilului (Setări —> Confidențialitate —> Comunicați cu mine). Dar, desigur, aceasta nu te va salva de serviciile secrete. Nu folosi apeluri și videochat în VKontakte: nu se știe cu adevărat dacă rețeaua le criptează end-to-end, așa cum afirmă administrația.
Siguranța site-urilor
Singura veste bună este că Toate site-urile populare de pe internet au deja o versiune https sau au trecut complet la utilizarea exclusivă a versiunilor https. Informațiile primite și transmise pe aceste site-uri sunt criptate și nu pot fi citite de terțe părți. Aceste resurse sunt marcate cu verde și cu cuvântul „protejate”.
Cu toate acestea, veștile bune se termină aici. În ciuda protocolului https, faptul că accesați un astfel de site și cererile DNS (informații despre domeniile pe care le-ați vizitat) sunt în continuare vizibile pentru furnizorul de internet.
Dar și mai rău este altă veste: jumătate din site-uri funcționează pe protocolul http obișnuit, adică fără criptarea datelor. O soluție poate fi un VPN, care criptează absolut toate datele primite și transmise, astfel încât pe partea furnizorului de internet și a oricui încearcă să se interpună între dumneavoastră și site-ul final, nu există nicio informație lizibilă. Singurul lucru vizibil va fi faptul că vă conectați la o anumită adresă IP pe internet (deci la un server VPN). Și nimic mai mult.
Am fi fericiți dacă viața ar fi brusc atât de simplă: ați activat VPN-ul și ați uitat de scurgerile de informații sensibile. Dar nu este chiar așa. Verificați periodic dacă site-ul dumneavoastră preferat a fost trecut în registrul ORI, urmăriți cum interacționează cu autoritățile, verificați conexiunile active în setările aplicațiilor de mesagerie și ale rețelelor sociale și resetați parolile suspecte (iar apoi, neapărat, schimbați-le).
Global
Când lucrați cu canale de comunicare și transfer de date, are sens să adoptați doar o abordare complexă a securității și confidențialității. Urmăriți evenimentele legate de securitatea internetului pe canalul nostru de Telegram , pe site-ul și pe alte resurse dedicate evenimentelor din internet și din Runet în special.
Ce măsuri de securitate luați dumneavoastră?
Sursa: habr.com
