Hej Habr.
To smo mi, storitev VPN . Trenutno začasno delamo na zrcalu HideMyna.me. Zakaj? 20. julija 2018 nas je Roskomnadzor dodal zaradi odločitve Medvedevskega okrožnega sodišča v Yoshkar-Oli. Sodišče je razsodilo, da imajo obiskovalci naše strani neomejen dostop do ekstremističnih gradiv #brezregistracij, in na njej nekako našlo knjigo Adolfa Hitlerja »Mein Kampf«. Očitno zaradi zanesljivosti.
Ta odločitev nas je zelo presenetila, vendar nadaljujemo z delom na hidemyna.me, hidemyname.org, .one, .biz itd. Dolgotrajni prepir z Roskomnadzorjem ni prinesel nobenega rezultata. Medtem ko z odvetniki izpodbijamo blokado in čarobno sodno odločitev, z vami delimo osnovne nasvete za ohranjanje zasebnosti na internetu in novice na to temo.
Edward Snowden obožuje Agencijo za nacionalno varnost (verjetno)
Ni skrivnost, da priljubljene ruske storitve niso varne. Vaša korespondenca lahko kadar koli pride v poštev domačih organov pregona. Povemo vam, kaj si morate zapomniti, ko komunicirate prek različnih komunikacijskih kanalov.
SORM in ORI
Obstaja načine za prisluškovanje telefonu. Uradno in pravno - SORM, sistem tehničnih sredstev za zagotavljanje funkcij operativno preiskovalnih dejavnosti. Po zakonu v Ruski federaciji morajo vsi mobilni operaterji namestiti tak sistem na svoje PBX, če ne želijo izgubiti licence. Obstajajo tri vrste SORM: prvega so izumili v 80. letih, drugega so začeli izvajati v 2014. letih, tretjega pa skušajo vsiliti operaterjem od leta XNUMX. , večina operaterjev uporablja drugo vrsto, vendar v 70% primerov sistem ne deluje pravilno ali sploh ne deluje. Še vedno pa je bolje, da se o občutljivih temah ne pogovarjate po stacionarnem telefonu ali prek običajnega klica z mobilnega telefona.
Shema delovanja SORM-2 (Vir: mfisoft.ru)
V skladu z 97-FZ morajo biti vsi messengerji, storitve in spletna mesta, ki delujejo v Rusiji, vključeni v register. . od "»Vse uporabniške podatke, vključno s posnetki glasovnih klicev in korespondenco, morajo hraniti šest mesecev. Mimogrede, ARI ima tudi Habrahabr.
Podrobno je opisano delovanje registra na primer Threema, vendar je glavni zaključek naslednji: zdaj lahko na zahtevo ruskih oblasti vsaka informacija o vas konča v organih pregona. Zato je prva stvar, ki jo je treba storiti za ohranitev zaupnosti, prenos klicev in sporočil na posrednike za neposredno sporočanje, ki niso v registru ARI. Ali tisti, ki so tam, vendar nočejo posredovati podatkov oblastem - kot sta Threema in Telegram.
Certifikat: Samo prisotnost v registru ARI ne zagotavlja, da bodo podatki posredovani oblastem. Nenehno morate spremljati novice in gledati na reakcijo glasnika, ko "pridejo" ponj.
Glasovni klici in sporočila
Naše pogovore in sporočila lahko pred vmešavanjem tretjih oseb zaščitimo s šifriranjem od konca do konca, zato veljajo messengerji z E2E za najbolj varne. Vendar to ni povsem res: poglejmo priljubljene možnosti.
Telegram šifriranje od konca do konca v njihovih tajnih klepetih in shrani šifrirane podatke o vaši korespondenci v oblaku, ki je razpršen po različnih državah z "varno" jurisdikcijo. Toda po na Habréju lahko začnete dvomiti o iluziji varnosti potnega lista Telegram v E2E od Durova.
Seveda so tajni klepeti še vedno dobra možnost za paranoike. Strežnik sploh ni vključen v njihovo šifriranje: sporočila se prenašajo enakovrednim, to je neposredno med udeleženci v korespondenci. Za dodatno brezskrbnost lahko uporabite funkcijo samouničenja sporočila časovnika. Vendar se ne bi smeli slepo zanašati na Telegram. Da bi bilo nekoliko bolj varno, morata vi in vaš prejemnik odpreti nastavitve messengerja in narediti vsaj dve stvari:
- Nastavite geslo ob prijavi v aplikacijo (Zasebnost in varnost -> geslo);
- Omogoči preverjanje v dveh korakih (Zasebnost in varnost -> Preverjanje v dveh korakih).
Po tem bo aplikacija poleg kode iz SMS-a ob prijavi iz nove naprave zahtevala geslo, ki ga poznate samo vi.
Trenutno potrditev prijave samo prek SMS-a na noben način ne ščiti osebe, ki uporablja rusko kartico SIM. Znani so že primeri vdiranja v račune Telegram prek prestreženega sporočila SMS – leta 2016 so napadalci na korespondenco več opozicijskih strank, leta 2017 pa novinarja Dozhda Mihaila Rubina.
WhatsApp zaenkrat se izogiba ORI registru in uporablja tudi end-to-end enkripcijo, vendar z njim ni vse tako rožnato. Pred kratkim smo objavili o prebivalcih Magadana, ki so bili kazensko ovadeni zaradi kritiziranja mestnega župana. Ta zgodba se je na srečo končala z običajno globo. Vendar je potrdilo strahove uporabnikov: v skupinskih klepetih WhatsApp ni varno komunicirati.
Kaj se bo zgodilo?
- Takoj ko napišete sporočilo, bo vaša telefonska številka takoj na voljo vsem članom skupine. In vašo identiteto lahko zlahka ugotovite po številki.
Kaj storiti?
- Rešitev je lahko »leva« SIM kartica ali tuja številka – po možnosti evropska.
Če uporabljate rusko kartico, registrirano na vaše ime, se izogibajte sarkastičnim komentarjem v skupinah z imeni, kot je »Odstop županu«: bolje je, da za WhatsApp pustite samo osebno dopisovanje in klice.
Viber prav tako ni naveden v registru ORI, vendar vzdržuje komunikacijo z ruskimi oblastmi (v prostem času od pošiljanja neželene pošte). Ta messenger je bil eden prvih, ki je izpolnil nove vladne zahteve: shranjuje prijave in telefonske številke ruskih uporabnikov na ozemlju Ruske federacije, vendar zagotavlja podatke o sporočilih — nanaša se na mehaniko šifriranja od konca do konca in politiko podjetja.
Apple uporablja tudi od konca do konca, vendar pri registraciji v iMessage ustvari dva para ključev: zasebnega in javnega. Sporočilo, ki ga prejmete od istega lastnika naprave apple, se vam posreduje s šifriranjem, ki uporablja javni ključ. Dešifrira se lahko le z uporabo prejemnikovega zasebnega ključa, ki je shranjen v njegovi napravi. Preberete lahko o tem, kako Apple gleda na zasebnost uporabnikov in kaj bo storil, če prejme zahtevo vlade Ni bilo zabeleženih primerov, da bi podjetje posredovalo podatke ruskih uporabnikov ruskim oblastem.
Vir:
Toda iMessage ima dve pomanjkljivosti:
- Preko teh kanalov lahko pišete ali kličete samo istemu lastniku Appla;
- Če imate težave z internetno povezavo, bo sporočilo šlo prek običajnega mobilnega kanala in postalo preprosto SMS, ki ga je mogoče zlahka prestreči.
Da se iMessage ne spremeni v SMS, lahko to funkcijo onemogočite v nastavitvah.
Raziskovalci iz Electronic Frontier Foundation da za klice in sporočila ni stoodstotno varne možnosti. Če nekateri messengerji oblastem preprečujejo pridobitev vaših zasebnih podatkov, to še ne pomeni, da hekerji (ali država, ki lahko uporablja njihove storitve) tega ne morejo storiti tako, da zaobidejo zakone. Da bi uporabnik zagotovil zaupanje, da ni človeka v sredini, ima Telegram lepo funkcijo: pri klicu se lahko oba prejemnika prepričata, da vidita isti emoji v zgornjem desnem kotu zaslona - to bo potrdilo odsotnost "vdora" v povezavo.
Če iščete bolj varen način komuniciranja, vam priporočamo, da poleg skrivnih klepetov, gesel in dvostopenjske/dvostopenjske avtentikacije poiščete manj priljubljene nišne aplikacije, kot je ali .
Signal uporabljam vsak dan. #notesforFBI (Spoiler: že vedo)
Priljubljena podjetja, ki omogočajo uporabo svojih e-poštnih odjemalcev (v Rusiji so to Yandex, Mail.Ru in Rambler), so že vključena v register ARI, kar pomeni, da niso zelo varna. Da, skupina Mail.Ru kazenske zadeve za meme in amnestijo za obsojene, vendar lahko na zahtevo organom posreduje informacije o vaših podatkih.
Tudi če uporabljate zahodne e-poštne odjemalce, kot sta Gmail ali Outlook, imate omogočeno dvostopenjsko avtentikacijo in veste, da je vaša e-pošta šifrirana z uporabo varnega protokola SSL/TLS, ne morete biti prepričani, da je e-pošta vašega prejemnika enako zaščitena.
Možnosti zaščite:
- Ko pošiljate občutljive podatke, šifrirajte e-pošto z Pretty Good Privacy (). Ta program pomaga spremeniti podatke iz pisma v nesmiseln nabor znakov za vse, razen za pošiljatelja in prejemnika;
- Pri pošiljanju pomembnih informacij bodite vedno pozorni na domeno prejemnika in ne pišite na sumljiv naslov;
- Pri prejemniku vnaprej preverite, ali ima nastavljeno posredovanje ali prevzem pošte prek ruske poštne službe.
Pri domačih podjetjih iz registra ORI nobeno šifriranje na uporabniški strani načeloma ne pomaga. Informacije se ne prestrezajo, ampak jih shranjujejo in prenašajo končne točke – podobne storitve. Edina rešitev je lahko njihova zamenjava z bolj varnimi analogi, kot so ProtonMail, Tutanota ali Hushmail. Več tovrstnih e-poštnih storitev lahko najdete na stran.
Socialna omrežja
Za začetek zmanjšajte svojo prisotnost na priljubljenih ruskih družbenih omrežjih - »Moj svet«, »Odnoklassniki« in »VKontakte«. Vsaj Facebook vaših podatkov ne predaja ruskim obveščevalnim agencijam. Vsaj takih primerov ni bilo zabeleženih.
Zanimivo pa je, da je podjetje v letu 2017 še vedno zadovoljilo 85% zahtev ameriške vlade:
Posnetki zaslona iz
Če ste preveč navajeni na VK, vendar ne želite končati na zatožni klopi, bodite pozorni na nekaj stvari:
- vaše shranjene slike;
- objave, komentarje in sporočila, ki jih napišete;
- objave, ki so vam všeč;
- objave, ki jih delite;
- uporabnikov, s katerimi ste prijatelji.
Pri vsem naštetem se je najbolje izogibati vsemu, kar bi lahko veljalo za žaljivo ali ekstremistično. Vedno si zapomnite, da "deljenje" pomeni sporočanje "nezakonitih" informacij vsaj eni osebi. Odvetnik mednarodne skupine za človekove pravice "Agora" Damir Gainutdinov trdi, da v skladu z zakonom ORI celo osnutke neposlanih sporočil organom pregona. Preberite več o tem, kako vas ne ujamejo zaradi ponovnega objavljanja
Mimogrede, že nekaj časa vas lahko vsak, ki ima vašo telefonsko številko, privzeto najde na VKontakte, tudi če sama stran ne razkrije vaše prave identitete.
V nastavitvah profila (Nastavitve -> Zasebnost -> Kontaktiraj me) lahko preprečite, da bi vas ljudje našli po številki.. Toda to vas seveda ne bo rešilo pred posebnimi storitvami. Ne uporabljajte klicev in video komunikacij na VKontakte: ni znano, ali jih omrežje dejansko šifrira od konca do konca, kot trdi uprava.
Varnost spletne strani
Edina dobra novica je, da Vsa priljubljena spletna mesta na internetu že imajo različico https ali so popolnoma prešla na uporabo samo različic https. Informacije, prejete in posredovane na takih straneh, so šifrirane in jih tretje osebe ne morejo brati. Takšni viri so označeni z zeleno barvo in besedo "zaščiteno".
Tu se dobre novice končajo. Kljub protokolu https ostajajo dejstvo obiska takega mesta in DNS zahteve (informacije o tem, do katerih domen ste dostopali) še vedno vidne internetnemu ponudniku.
Druga novica pa je še hujša: preostala polovica spletnih strani deluje po običajnem protokolu http, torej brez šifriranja podatkov. Rešitev bi lahko bil VPN, ki šifrira popolnoma vse prejete in poslane podatke, tako da ni berljivih informacij na strani internetnega ponudnika in vseh, ki se poskušajo infiltrirati med vami in končno stranjo. Edina stvar, ki bo vidna, je dejstvo povezave z določenim naslovom IP v internetu (torej s strežnikom VPN). In nič več.
Veseli bomo, če bo življenje res nenadoma postalo tako preprosto: vklopite VPN in pozabite na uhajanje občutljivih informacij. Ampak to ni res. Redno preverjajte, ali je vaš najljubši vir vključen v register ARI, spremljajte njegovo interakcijo z organi, preverite aktivne povezave v nastavitvah hitrih sporočil in družbenih omrežij ter ponastavite sumljive (in nato obvezno spremenite gesla).
globalno
Pri delu s komunikacijskimi kanali in prenosom podatkov je smiseln le celovit pristop k varnosti in zasebnosti. Spremljajte varnostne dogodke na internetu na našem kanalu Telegram , Na spletu in na drugih virih, namenjenih dogodkom na internetu in zlasti RuNetu.
Kakšne varnostne ukrepe izvajate?
Vir: www.habr.com