Ahoj, Habr.
Sme tu, VPN služba . Momentálne pracujeme na zrkadle HideMyna.me. Prečo? 20. júla 2018 nás Ruská kontrola médií zaradila z dôvodu rozhodnutia Medvedevského okresného súdu v Joškar-Ole. Súd rozhodol, že návštevníci našej stránky majú neobmedzený prístup k extrémistickým materiálom #bezregistrácieasm, a navyše nejakým spôsobom našiel na nej knihu „Mein Kampf“ Adolfa Hitlera. Zrejme pre spoľahlivosť.
Takéto rozhodnutie nás veľmi prekvapilo, ale pokračujeme v práci na hidemyna.me, hidemyname.org, .one, .biz a dalších. Dlhé diskusie s Ruskou kontrolou médií nepriniesli žiadny výsledok. Zatiaľ s právnikmi napádame blokáciu a čarovné rozhodnutie súdu, zdieľame s vami základné rady na ochranu súkromia na internete a novinky na túto tému.
Edward Snowden má rád Národnú bezpečnostnú agentúru (asi)
Nie je to tajomstvo, že populárne ruské služby nie sú bezpečné. Vaša korešpondencia sa môže v ktorúkoľvek chvíľu ocitnúť v zornom poli domácich strážcov zákona. Hovoríme o tom, na čo je potrebné pamätať pri komunikácii cez rôzne komunikačné kanály.
SORM a ORI
Existuje spôsobov, ako odpočúvať váš telefón. Oficiálny a zákonný — SORM, systém technických prostriedkov na zabezpečenie funkcií operatívno-rozviedkových činností. Podľa zákona v RF sú všetci operátori mobilných sietí povinní nainštalovať na svojej ústredni takýto systém, ak nechcú prísť o licenciu. Typov SORM sú tri: prvý vymysleli v 80. rokoch, druhý začali zavádzať v nultých rokoch, a tretí sa operátorom snažia vnucovať od roku 2014. , väčšina operátorov používa druhý typ, ale v 70% prípadov systém funguje nesprávne alebo vôbec nefunguje. Napriek tomu, na pevných telefonoch a cez bežný hovor z mobilného telefónu sa citlivé témy lepšie nenaznačujú.
Schéma práce SORM-2 (Zdroj: mfisoft.ru)
Podľa 97-FZ musia byť všetky messengerové aplikácie, služby a stránky, ktoré pôsobia na území Ruska, zapísané v registri . Podľa „“ sú povinní uchovávať všetky údaje používateľov, vrátane záznamov hlasových hovorov a korešpondencie, po dobu šiestich mesiacov. V ORI, mimochodom, je aj Habr.
Práca registra je podrobne opísaná na príklade Threema, ale hlavný záver je taký: teraz na požiadanie ruských úradov môže byť akákoľvek informácia o vás poskytnutá orgánom činným v trestnom konaní. Preto prvé, čo treba urobiť na ochranu súkromia, je presunúť hovory a správy do messengerov, ktoré nie sú v registri ORI. Alebo do tých, ktoré tam sú, ale odmietajú odovzdať údaje úradom — ako Threema a Telegram.
Nápoveda: Samé o sebe zaradenie do registra ORI nezaručuje, že údaje budú odovzdávané úradom. Je potrebné neustále sledovať novinky a pozerať sa na reakciu messengera, keď po ňom „prídu“.
Hlasové hovory a správy
Naše rozhovory a správy pred zásahom tretej strany môže chrániť end-to-end šifrovanie, preto sa messengery s E2E považujú za najbezpečnejšie. Ale nie je to úplne tak: pozrime sa na populárne možnosti.
Telegram end-to-end šifrovanie vo svojich Secret Chats a uchováva zašifrované údaje o vašej komunikácii v cloude, ktorý je roztrúsený po rôznych krajinách s „bezpečnou“ jurisdikciou. Ale po na Habré o ilúzii bezpečnosti Telegram Passport v E2E od Durova sa môže začať pochybovať.
Samozrejme, komunikácia v Secret Chats zostáva dobrým variantom pre paranoidných. V ich šifrovaní server vôbec nie je zapojený: správy sú odosielané peer-to-peer, teda priamo medzi účastníkmi komunikácie. Pre väčší pokoj môžete využiť funkciu sebanicenia správ podľa časového plánu. Ale netreba na slepo dôverovať Telegramu. Aby bol o niečo bezpečnejší, vy a váš adresát musíte vstúpiť do nastavení messengera a urobiť minimálne dve veci:
- Nastaviť heslo pri prihlásení do aplikácie (Ochrana súkromia a bezpečnosť —> Heslo);
- Aktivovať dvojfázovú autentifikáciu (Ochrana súkromia a bezpečnosť —> Dvojfázová autentifikácia).
Po tomto, okrem kódu z SMS, aplikácia pri prihlásení z nového zariadenia bude požadovať heslo, ktoré poznáte iba vy.
Momentálne potvrdenie prihlásenia iba cez SMS nijako nechránia osobu, ktorá používa ruskú SIM kartu. O prípadoch hackovania Telegram účtov prostredníctvom zachyteného SMS správy sa už vie — v roku 2016 zločinci k komunikácii niekoľkých opozičníkov, a v roku 2017 účet novinára „Dojča“ Michaila Rubina.
WhatsApp doteraz sa vyhýba registru ORI a tiež používa end-to-end šifrovanie, ale s ním to nie je také bezproblémové. Nedávno sme publikovali o obyvateľoch Magadanu, ktorým bolo vznesené obvinenie za kritiku primátora mesta. Našťastie sa táto záležitosť skončila bežnou pokutou. Ale potvrdila obavy používateľov: komunikácia v skupinových chatoch WhatsApp nie je bezpečná.
Čo sa stane?
- Hneď ako napíšete správu, vaše telefónne číslo sa okamžite stane prístupným všetkým členom skupiny. A podľa čísla je ľahké vypátrať vašu identitu.
Čo robiť?
- Riešením by mohla byť 'falošná' SIM karta alebo zahraničné číslo – najlepšie európske.
Ak používate ruskú kartu registrovanú na vaše meno, vyhýbajte sa ironickým komentárom v skupinách s názvom ako „Primátor – odstúpenie“: pre WhatsApp je lepšie nechať len osobné komunikácie a hovory.
Viber taktiež sa neuvádza v registri ORI, ale udržuje komunikáciu s ruskými úradmi (v čase voľnom od spamových správ). Tento messenger ako jeden z prvých splnil nové požiadavky vlády: uchováva prihlasovacie údaje a telefónne čísla ruských používateľov na území RF, ale údaje správ odmieta poskytnúť — odvoláva sa na mechanizmus end-to-end šifrovania a podnikový politiku.
Apple taktiež používa end-to-end, ale pri registrácii v iMessage vytvára dva páry kľúčov: súkromný a verejný. Správa, ktorú obdržíte od rovnakého vlastníka Apple zariadenia, sa vám posiela so šifrovaním, pri ktorom sa používa verejný kľúč. Dekódovať ju môže iba pomocou súkromného kľúča adresáta, ktorý je uložený na jeho zariadení. O tom, ako Apple pristupuje k súkromiu používateľov a čo urobí, ak dostane požiadavku od vlády, si môžete prečítať Neboli zaznamenané prípady, kedy by spoločnosť predala údaje ruských používateľov úradom RF.
Zdroj:
Ale iMessage má dva nedostatky:
- Napísať alebo zavolať cez tieto kanály môžete iba rovnakému majiteľovi Apple;
- Ak máte problémy s internetovým pripojením, správa pôjde cez bežný mobilný kanál a stane sa z nej obyčajná SMS, ktorú je ľahké zachytiť.
Aby ste predišli premeneniu iMessage na SMS, môžete túto funkciu vypnúť v nastaveniach.
Výskumníci z Electronic Frontier Foundation neexistuje na sto percent bezpečný variant pre volania a správy. Ak niektoré messengery nedávajú úradom prístup k vašim súkromným údajom, to ešte neznamená, že to nemôžu urobiť hackeri (alebo štát, ktorý môže využiť ich služby). Aby sa užívateľ cítil istejší, že neexistuje žiadne man-in-the-middle, Telegram ponúka zaujímavú funkciu: pri volaní sa obidvaja účastníci môžu uistiť, že vidia rovnaké emoji v pravom hornom rohu obrazovky — to bude potvrdením absencie „narušenia“ spojenia.
Ak potrebujete spoľahlivejší spôsob komunikácie, odporúčame nielen používať tajné chaty, heslá a dvojstupňovú / dvojfaktorovú autentifikáciu, ale aj zvážiť menej populárne špecializované aplikácie ako napríklad alebo .
Ja používam Signal každý deň. #poznámkypreFBI (Spoiler: už to vedia)
Elektronická pošta
Populárne spoločnosti, ktoré umožňujú používať svoje e-mailové klienty (v Rusku to sú Yandex, Mail.Ru a Rambler), už sú zahrnuté do registra ORI, a preto nie sú príliš bezpečné. Áno, Mail.Ru Group trestných činov za memy a amnestiu odsúdených, ale môže odovzdať informácie o vašich údajoch úradom na prvé požiadanie.
Aj keď používate západné e-mailové klienty ako Gmail alebo Outlook, zapli ste dvojfaktorovú autentifikáciu a viete, že váš e-mail je šifrovaný spoľahlivým protokolom SSL / TLS, nemôžete si byť istí, že e-mail vášho adresáta je taktiež chránený.
Možnosti ochrany:
- Pri zasielaní citlivých informácií šifrovať e-maily pomocou Pretty Good Privacy (). Tento program pomáha premeniť údaje z e-mailu na bezvýznamný súbor znakov pre každého, okrem odosielateľa a prijímateľa;
- Pri zasielaní dôležitých informácií vždy venovať pozornosť doméne adresáta a nepísať na podozrivú adresu;
- Vopred sa opýtať adresáta, či nemá nastavené preposielanie alebo zber pošty cez ruský e-mailový servis.
V prípade domácich spoločností z registra ORI žiadne šifrovanie na strane používateľa v zásade nepomôže. Informácie sa nezachytávajú, ale ukladajú a prenášajú koncovými bodmi — podobnými službami. Riešením môže byť len ich výmena za bezpečnejšie alternatívy ako ProtonMail, Tutanota alebo Hushmail. Viac takýchto emailových služieb nájdete na stránke.
Sociálne siete
Na začiatok minimalizujte svoj pobyt na populárnych ruských sociálnych sieťach — „Môj svet“, „Odnoklassniki“ a „VKontakte“. Facebook aspoň nepreberá vaše údaje ruským bezpečnostným službám. Aspoň sa takéto prípady nezaznamenali.
Ale zaujímavé je, že v roku 2017 spoločnosť stále splnila 85% požiadaviek od vlády USA:
Snímky obrazovky z
Ak ste sa na VK príliš zvykli, ale nechcete sa ocitnúť na lavici obžalovaných, venujte pozornosť niekoľkým veciam:
- vaše uložené obrázky;
- príspevky, komentáre a správy, ktoré píšete;
- príspevky, ktoré lajkujete;
- príspevky, ktoré zdieľate;
- používatelia, s ktorými sa priatelíte.
Vo všetkom vyššie uvedenom je lepšie sa vyhnúť tomu, čo by sa dalo považovať za urážajúce alebo extremistické. Vždy pamätajte, že „šírením“ je správa „nelegálnych“ informácií aspoň jednému človeku. Právnik medzinárodnej právnickej skupiny „Agora“ Damir Gajnutdinov tvrdí, že podľa zákona ORI orgánom činným v trestnom konaní aj návrhy neodoslaných správ. Ešte o tom, ako sa nedostať do basy za repost, čítajte
Mimochodom, od určitej doby môže každý, kto má vaše telefónne číslo, zvyčajne vás nájsť vo VKontakte, aj keď samotná stránka nič nevykazuje o vašej skutočnej identite.
Zakázať nájdenie podľa čísla môžete v nastaveniach profilu (Nastavenia → Ochrana súkromia → Spojenie so mnou). Ale to, samozrejme, nezachráni pred bezpečnostnými službami. Nepoužívajte hovory a video spojenia vo VKontakte: nie je známe, či sieť naozaj šifruje ich end-to-end, ako tvrdí administrácia.
Bezpečnosť stránok
Jedná sa o jediné dobré správy, že Všetky populárne webové stránky na internete už majú verziu https alebo sa úplne prepli na používanie iba https verzií. Získavané a prenášané informácie na takýchto stránkach sú šifrované a nemôžu byť prečítané tretími stranami. Tieto zdroje sú označené zelenou farbou a slovom „chránené“.
Na tejto dobrej správe to končí. Napriek protokolu https fakt, že navštevujete takúto stránku, a DNS požiadavky (informácie o tom, na aké domény ste sa prihlasovali) sú stále viditeľné pre internetového poskytovateľa.
Ale ešte horšia je iná správa: zostávajúca polovica webových stránok funguje na bežnom protokole http, teda bez šifrovania údajov. Riešením môže byť VPN, ktorá šifruje absolútne všetky prijímané a prenášané údaje tak, že na strane internetového poskytovateľa a každého, kto sa pokúsi preniknúť medzi vás a konečnú stránku, nie sú žiadne čitateľné informácie. Jediné, čo bude vidieť — je fakt pripojenia k istej IP adrese na internete (teda k VPN serveru). A viac nič.
Budeme šťastní, ak sa život naozaj zrazu stane tak jednoduchým: zapnite VPN a zabudnite na únik citlivých informácií. Ale nie je to tak. Pravidelne kontrolujte, či sa váš obľúbený zdroj nedostal do registra ORI, sledujte, ako interaguje s úradmi, kontrolujte aktívne pripojenia v nastaveniach messengerov a sociálnych sietí a mazať podozrivé (a potom určite zmeňte heslá).
Globálne
Pri práci s komunikačnými kanálmi a prenášaním údajov má zmysel iba komplexný prístup k bezpečnosti a dôvernosti. Sledujte udalosti v oblasti internetovej bezpečnosti na našom telegramovom kanáli , na stránke a na ďalších zdrojoch, ktoré sú venované udalostiam v internete a v ru-net konkrétne.
Aké bezpečnostné opatrenia podnikáte vy?
Zdroj: habr.com
