Përshëndetje, Habr.
Kjo jemi, shërbimi VPN . Tani po punojmë përkohësisht në pasqyrën HideMyna.me. Pse? Më 20 korrik 2018, Roskomnadzor na shtoi për shkak të vendimit të gjykatës së rrethit Medvedev në Yoshkar-Ola. Gjyqi vendosi se vizitorët e sitit tonë kanë qasje të pakufizuar në materiale ekstremiste #pa_regjistrim_dhe_sms, dhe siç duket, gjeti në të një libër si 'Mein Kampf' i Adolf Hitlerit. Duket se për siguri.
Kjo vendim na befasoi, por ne vazhdojmë të punojmë në hidemyna.me, hidemyname.org, .one, .biz dhe të tjera. Një ndalim i zgjatur me Roskomnadzor nuk solli asnjë rezultat. Ndërkohë që me avokatët po kundërshtojmë bllokimin dhe vendimin mrekullues të gjykatës, po ndajmë me ju këshilla bazë për ruajtjen e privatësisë në internet dhe lajme mbi këtë temë.
Edward Snowden e do Agjencinë e Sigurisë Kombëtare (ndoshta)
Nuk është sekret për askënd se shërbimet popullore ruse nuk janë të sigurta. Bisedat tuaja mund të përfundojnë në vëmendjen e mbikëqyrësve të ligjit në çdo moment. Po ju tregojmë për çfarë duhet të kujdeseni kur komunikoni përmes kanaleve të ndryshme.
SORM dhe ORI
Ka për të dëgjuar telefonin tuaj. Zyrtare dhe ligjore — SORM, një sistem i mjeteve teknike për sigurimin e funksioneve të veprimeve operative-në kërkesë. Sipas ligjit në RF, të gjithë operatorët e celularëve janë të detyruar të instalojnë në centralin e tyre një sistem të tillë, nëse nuk duan të humbasin licencën. Ka tri lloje SORM: e para u shpik në vitet 80, e dyta filloi të implementohej në vitet 2000, dhe e treta përpiqen t'ia imponojnë operatorëve që nga viti 2014. , shumica e operatorëve përdorin tipin e dytë, por në 70% të rasteve sistemi funksionon në mënyrë të gabuar ose nuk funksionon fare. Megjithatë, përmes telefonit të peshkut dhe me një thirrje të zakonshme nga celulari, është më mirë të mos bisedoni për tema delikate në çdo rast.
Skema e punës SORM-2 (Burimi: mfisoft.ru)
Sipas ligjit 97-FZ, çdo mesazh, shërbim dhe sit që vepron në territorin e Rusisë, duhet të regjistrohet . Sipas "" ata janë të detyruar të ruajnë të dhënat e të gjithë përdoruesve, përfshirë regjistrimet e thirrjeve telefonike dhe bisedat, për një periudhë prej gjashtë muajsh. Ndërkaq, në ORI ka edhe Habrahabr.
Puna e regjistrit përshkruhet hollësisht për shembull, Threema, por përfundimi kryesor është ky: tani me kërkesën e autoriteteve ruse, çdo informacion për ju mund të përfundojë në organet e zbatimit të ligjit. Prandaj, gjëja e parë që duhet të bëni për të ruajtur privatësinë është të transferoni thirrjet dhe mesazhet në shërbime mesazherësh që nuk janë në regjistrin ORI. Ose në ato që janë atje, por refuzojnë të transmetojnë të dhëna për autoritetet — si Threema dhe Telegram.
Ndihma: Ato të vetme nuk garantojnë që të dhënat do të dërgohen tek autoritetet. Duhet të monitoroni vazhdimisht lajmet dhe të shikoni reagimin e mesazherit kur ata “të vijnë”.
Thirrjet dhe mesazhet me zë
Bisedat dhe mesazhet tona nga ndërhyrja e palëve të treta mund të mbrohen me enkriptim end-to-end, prandaj mesazherët me E2E konsiderohen më të sigurta. Por nuk është gjithçka ashtu: le të shqyrtojmë opsionet më të njohura.
Telegram shërbimi i enkriptimit end-to-end në Bisedat Sekrete dhe ruan të dhëna të enkriptuara mbi bisedat tuaja në re, të shpërndara në vende të ndryshme me një "juridiksion të sigurt". Por pas në Habr, mbi iluzionin e sigurisë së Telegram Passport në E2E nga Durov, mund të filloni të dyshoni.
Sigurisht, komunikimi në Bisedat Sekrete mbetet ende një opsion i mirë për paranoiakët. Në enkriptimin e tyre, serveri nuk përfshihet fare: mesazhet dërgohen peer-to-peer, pra drejtpërdrejt midis pjesëmarrësve të bisedës. Për më shumë qetësi, mund të përdorni funksionin e shkatërrimit të mesazheve pas një afati. Por nuk duhet t'i besoni verbërisht Telegram-it. Që të bëhet edhe pak më i sigurt, ju dhe adresati juaj duhet të hyni në cilësimet e mesazherit dhe të bëni të paktën dy gjëra:
- Të vendosni një fjalëkalim kur hyni në aplikacion (Privatësia dhe Siguria —> Fjalëkalimi);
- Të aktivizoni autentifikimin me dy hapa (Privatësia dhe Siguria —> Verifikimi me Dy Hapa).
Pas kësaj, përveç kodit nga SMS, kur hyni nga një pajisje e re, aplikacioni do të kërkojë një fjalëkalim që e dini vetëm ju.
Tani, konfirmimi i hyrjes vetëm përmes SMS-së nuk mbron asnjë mënyrë personin që përdor një kartë SIM ruse. Rreth rasteve të hacks të llogarive Telegram përmes mesazhve SMS të kapura tashmë dihet — në vitin 2016 sulmuesit në bisedat e disa opozitarëve, dhe në vitin 2017 llogaria e gazetarëve "Dozhd" Mikhail Rubin.
WhatsApp endeavor to avoid the ORI registry and also use end-to-end encryption, but things are not so clear-cut. Recently, we published about the residents of Magadan who were charged for criticizing the mayor of the city. Fortunately, this story ended with a regular fine. However, it confirmed users' fears: it is unsafe to communicate in WhatsApp group chats.
What will happen?
- As soon as you send a message, your phone number will immediately become accessible to all group members. And from the number, your identity can be easily traced.
Çfarë të bëjmë?
- A solution could be a 'disposable' SIM card or a foreign number — preferably European.
If you're using a Russian card registered in your name, avoid sarcastic comments in groups titled something like 'Mayor — Resign': it’s best to keep WhatsApp usage limited to personal chats and calls.
Viber is also not listed in the ORI registry but maintains communication with Russian authorities (during non-spam distribution times). This messenger was one of the first to meet the new government requirements: it stores login details and phone numbers of Russian users within the territory of the Russian Federation, but cannot provide the content of messages — referring to the mechanics of end-to-end encryption and corporate policy.
Apple also uses end-to-end, but when registering in iMessage, it creates two pairs of keys: private and public. The message you receive from another Apple device owner is transmitted to you with encryption that uses the public key. It can only be decrypted using the private key of the recipient, which is stored on their device. Information about how Apple regards user privacy and what action it will take if it receives a request from the government can be read There have been no recorded cases of the company handing over data of Russian users to the RF authorities.
Burimi:
However, iMessage has two drawbacks:
- You can write or call only another Apple owner through these channels;
- If you have internet connection issues, the message will go through the regular mobile channel and become a simple SMS, which can be easily intercepted.
To prevent iMessage from turning into SMS, you can disable this function in the settings.
Researchers from the Electronic Frontier Foundation nuk ka një opsion të sigurt për 100% për thirrje dhe mesazhe. Nëse disa aplikacione nuk lejojnë autoritetet të marrin të dhënat tuaja private, kjo nuk do të thotë se hakerët (apo shteti që mund të shfrytëzojë shërbimet e tyre) nuk mund ta bëjnë këtë në mënyrë të paligjshme. Për të siguruar përdoruesin që nuk ka asnjë man-in-the-middle, Telegram ofron një funksion të këndshëm: gjatë thirrjes, të dy palët mund të sigurohen se shohin të njëjtat emoji në këndin e sipërm të djathtë të ekranit — kjo do të jetë konfirmimi i mungesës së "ndërhyrjes" në lidhje.
Nëse ju nevojitet një mënyrë më të besueshme komunikimi, rekomandojmë të mos përdorni vetëm bisedat e fshehta, fjalëkalim dhe autentifikimin me dy hapa/dy faktorë, por gjithashtu të shikoni aplikacione më pak të njohura dhe niçesh si ose .
Unë përdor Signal çdo ditë. #shënimepërFBI (Spoiler: ata tashmë e dinë)
Kompani të njohura që ofrojnë mundësinë për të përdorur klientët e tyre të postës (në Rusi, këto janë Yandex, Mail.Ru dhe Rambler) tashmë janë të regjistruara në regjistrin ORI dhe për këtë arsye nuk janë shumë të sigurta. Po, Mail.Ru Group çështjet penale për meme dhe të amnistojë të dënuarit, por mund të dorëzojë informacionin tuaj autoriteteve sipas kërkesës së parë.
Madje edhe nëse përdorni klientë të postës perëndimore si Gmail apo Outlook, keni aktivizuar autentifikimin me dy faktorë dhe e dini se mesazhi juaj është enkriptuar me një protokoll të besueshëm SSL/TLS, nuk mund të jeni të sigurt se mesazhi i marrësit tuaj është po ashtu i mbrojtur.
Opcionet e mbrojtjes:
- Kur dërgoni informacione të ndjeshme, enkriptoni email-et duke përdorur Pretty Good Privacy (). Ky program ndihmon në shndërrimin e të dhënave nga email-i në një grup të palogjikshëm simbolesh për të gjithë, përveç dërguesit dhe marrësit;
- Kur dërgoni informacione të rëndësishme, gjithmonë kushtoni vëmendje domenit të marrësit dhe mos shkruani në një adresë të dyshimtë;
- Më parë të sqaroni me marrësin nëse ai ka caktuar një perreferim ose mbledhjen e postës përmes një shërbimi postare rus.
Në rastin e kompanive vendase nga regjistri ORI, asnjë enkriptim nga ana e përdoruesit nuk do të ndihmojë. Informacioni nuk kapet, por ruhet dhe transmetohet nga pikë në pikë – nga shërbime të tilla. Zgjidhja mund të jetë vetëm zëvendësimi i tyre me ekuivalente më të sigurta si ProtonMail, Tutanota ose Hushmail. Më shumë shërbime të tilla mund të gjenden në faqen.
Rrjetet sociale
Së pari, minimizoni kohën tuaj në rrjetet sociale të njohura ruse – "Moj Mir", "Odnoklassniki" dhe "VKontakte". Facebook, së paku, nuk i transmeton të dhënat tuaja autoriteteve ruse. Të paktën, nuk janë regjistruar raste të tilla.
Por është interesante se në vitin 2017, 85% e kërkesave nga qeveria e SHBA-së, kompania megjithatë i përmbushi:
Kapsionet nga
Nëse jeni mësuar shumë me VK, por nuk doni të përfundoni në bankën e të akuzuarve, kushtoni vëmendje disa gjërave:
- fotot tuaja të ruajtura;
- postimet, komentet dhe mesazhet që shkruani;
- postimet që pelqeni;
- postimet që ndani;
- përdoruesit me të cilët jeni miq.
Në të gjitha ato që përmendëm, është më mirë të shmangni atë që mund të konsiderohet ofendues ose ekstremist. Gjithmonë mbani mend se "shpërndarja" është mesazhi i "informacionit të paligjshëm" edhe nëse ia dërgoni të paktën një personi. Avokati i grupit ndërkombëtar të të drejtave të njeriut "Agora", Damir Gajnutdinov, pohon se sipas ligjit ORI organeve të drejtësisë edhe skicat e mesazheve të dërguara. Më shumë rreth asaj se si të mos e pësoni për shkak të ripostimeve, lexoni
Për më tepër, nga disa kohë, kushdo që ka numrin tuaj të telefonit mund t'ju gjejë në VK me default, madje edhe nëse vetë faqja nuk jep asnjë informacion për identitetin tuaj real.
Mund ta ndaloni që t'ju gjejnë me numrin në cilësimet e profilit (Cilësimet -> Privatësi -> Kontakti me mua). Por, sigurisht, kjo nuk do t'ju shpëtojë nga agjencitë e sigurisë. Mos përdorni telefonat ose lidhjet video në VK: nuk dihet nëse rrjeti i enkripton ato end-to-end, siç pretendon administrata.
Siguria e faqeve të internetit
Lajmi i vetëm i mirë është se Të gjitha faqet e njohura në internet tashmë kanë versionin https ose plotësisht janë kaluar në përdorimin e vetëm të versioneve https. Informacioni i marrë dhe i transmetuar në këto faqe është i koduar dhe nuk mund të lexohen nga palët e treta. Këto burime shënohen me ngjyrë të gjelbër dhe fjalën "e mbrojtur".
Por këtu përfundojnë lajmet e mira. Megjithëse protokolli https është në përdorim, fakti që vizitoni një faqe të tillë dhe kërkesat DNS (informacioni rreth domain-eve që keni vizituar) ende mbeten të dukshme për ofruesin e internetit.
Por lajmi më i keq është që gjysma tjetër e faqeve funksionon me protokollin e zakonshëm http, që do të thotë pa kodimin e të dhënave. Një zgjidhje mund të jetë VPN, e cila kodon të gjitha të dhënat që pranoni dhe dërgoni në mënyrë që askush, përfshirë ofruesin e internetit dhe çdo tjetër që mund të përpiqet të futet midis jush dhe faqes përfundimtare, të mos ketë informacion të lexueshëm. E vetmja gjë që do të shihet është fakti i lidhjes me një adresë IP të caktuar në internet (në të cilën është serveri VPN). Dhe asgjë tjetër.
Ne do të ishim të lumtur nëse jeta papritur do të bëhej kaq e thjeshtë: aktivizove VPN dhe e përshtate për të shmangur rrjedhjen e informacionit të ndjeshëm. Por nuk është kështu. Kontrolloni rregullisht nëse burimi juaj i preferuar është futur në regjistrin O.R.I., monitoroni se si ai interakton me autoritetet, kontrolloni lidhjet aktive në cilësimet e aplikacioneve të mesazheve dhe rrjeteve sociale dhe fshini të dyshuarit (pastaj sigurisht ndryshoni fjalëkalimet).
Globalisht
Kur punoni me kanale komunikimi dhe transmetim të dhënash, ka një kuptim vetëm një qasje të integruar në sigurinë dhe privatësinë. Ndiqni ngjarjet e sigurisë në internet në kanalin tonë të Telegramit , në faqen e internetit dhe në burime të tjera që janë të dedikuara për ngjarjet në internet dhe në rusi në veçanti.
Cilat masa sigurie po merrni ju?
Burimi: habr.com
