Xin chào, Habr.
Đây là chúng tôi, dịch vụ VPN . Chúng tôi hiện đang làm việc tạm thời trên máy nhân bản HideMyna.me. Tại sao? Vào ngày 20 tháng 2018 năm XNUMX Roskomnadzor đã thêm chúng tôi do quyết định của Tòa án quận Medvedevsky ở Yoshkar-Ola. Tòa án đã phán quyết rằng khách truy cập vào trang web của chúng tôi có quyền truy cập không giới hạn vào các tài liệu cực đoan #withoutregistrationisms và bằng cách nào đó đã tìm thấy cuốn sách “Mein Kampf” của Adolf Hitler trên đó. Rõ ràng là vì độ tin cậy.
Quyết định này khiến chúng tôi rất ngạc nhiên, nhưng chúng tôi vẫn tiếp tục làm việc trên Hidemyna.me, Hidemyname.org, .one, .biz, v.v. Một cuộc tranh cãi kéo dài với Roskomnadzor không dẫn đến kết quả nào. Trong khi các luật sư của tôi và tôi đang thách thức quyết định ngăn chặn và phán quyết của tòa án, chúng tôi sẽ chia sẻ với bạn những mẹo cơ bản để duy trì quyền riêng tư trên Internet và tin tức về chủ đề này.
Edward Snowden yêu Cơ quan An ninh Quốc gia (có lẽ vậy)
Không có gì bí mật khi các dịch vụ phổ biến của Nga không an toàn. Thư từ của bạn có thể được các nhân viên thực thi pháp luật trong nước chú ý bất cứ lúc nào. Chúng tôi cho bạn biết những điều bạn cần nhớ khi giao tiếp qua các kênh liên lạc khác nhau.
SORM và ORI
Có cách để chạm vào điện thoại của bạn. Chính thức và pháp lý - SORM, một hệ thống các phương tiện kỹ thuật để đảm bảo chức năng hoạt động điều tra. Theo luật ở Liên bang Nga, tất cả các nhà khai thác di động đều phải cài đặt hệ thống như vậy trên tổng đài của họ nếu họ không muốn bị mất giấy phép. Có ba loại SORM: loại thứ nhất được phát minh vào những năm 80, loại thứ hai bắt đầu được triển khai vào những năm 2014 và họ đã cố gắng áp đặt loại thứ ba cho các nhà khai thác kể từ năm XNUMX. , hầu hết các toán tử đều sử dụng loại thứ hai, nhưng trong 70% trường hợp, hệ thống không hoạt động chính xác hoặc hoàn toàn không hoạt động. Tuy nhiên, tốt hơn hết là không nên thảo luận những chủ đề nhạy cảm qua điện thoại cố định hoặc qua cuộc gọi thông thường từ điện thoại di động.
Sơ đồ hoạt động của SORM-2 (Nguồn: mfisoft.ru)
Theo 97-FZ, mọi ứng dụng nhắn tin, dịch vụ và trang web hoạt động ở Nga đều phải được đưa vào sổ đăng ký . Qua "“Họ được yêu cầu lưu trữ tất cả dữ liệu người dùng, bao gồm cả bản ghi âm cuộc gọi thoại và thư từ, trong sáu tháng. Nhân tiện, ARI cũng có Habrahabr.
Hoạt động của sổ đăng ký được mô tả chi tiết lấy Threema làm ví dụ, nhưng kết luận chính là thế này: hiện tại, theo yêu cầu của chính quyền Nga, mọi thông tin về bạn có thể được chuyển đến các cơ quan thực thi pháp luật. Do đó, điều đầu tiên cần làm để duy trì tính bảo mật là chuyển cuộc gọi và tin nhắn đến các trình nhắn tin tức thời không có trong sổ đăng ký ARI. Hoặc những thứ ở đó nhưng từ chối chuyển dữ liệu cho chính quyền - như Threema và Telegram.
Giấy chứng nhận: Việc chỉ nằm trong sổ đăng ký ARI không đảm bảo rằng dữ liệu sẽ được chuyển đến cơ quan chức năng. Bạn cần liên tục theo dõi tin tức và quan sát phản ứng của người đưa tin khi họ “đến” tìm anh ta.
Cuộc gọi thoại và tin nhắn
Các cuộc trò chuyện và tin nhắn của chúng tôi có thể được bảo vệ khỏi sự can thiệp của bên thứ ba bằng mã hóa đầu cuối, đó là lý do tại sao các trình nhắn tin sử dụng E2E được coi là an toàn nhất. Nhưng điều này không hoàn toàn đúng: hãy xem xét các lựa chọn phổ biến.
Telegram mã hóa đầu cuối trong Trò chuyện bí mật của họ và lưu trữ dữ liệu được mã hóa về thư từ của bạn trên đám mây, nằm rải rác ở các quốc gia khác nhau với quyền tài phán “an toàn”. Nhưng sau đó trên Habré, bạn có thể bắt đầu nghi ngờ ảo tưởng về tính bảo mật của Telegram Passport trong E2E từ Durov.
Tất nhiên, Trò chuyện bí mật vẫn là một lựa chọn tốt cho người hoang tưởng. Máy chủ hoàn toàn không liên quan đến quá trình mã hóa của chúng: các tin nhắn được truyền ngang hàng, nghĩa là trực tiếp giữa những người tham gia trao đổi thư từ. Để yên tâm hơn, bạn có thể sử dụng chức năng tự hủy tin nhắn hẹn giờ. Nhưng bạn không nên dựa vào Telegram một cách mù quáng. Để đảm bảo an toàn hơn một chút, bạn và người nhận phải đi tới cài đặt tin nhắn và thực hiện ít nhất hai việc:
- Đặt mật khẩu khi đăng nhập vào ứng dụng (Bảo mật và An ninh -> Mật mã);
- Bật xác minh hai bước (Bảo mật và An ninh -> Hai bước xác minh).
Sau này, ngoài mã từ SMS, khi đăng nhập từ thiết bị mới, ứng dụng sẽ yêu cầu nhập mật khẩu mà chỉ bạn biết.
Hiện tại, việc xác nhận đăng nhập chỉ qua SMS không bảo vệ được người sử dụng thẻ SIM của Nga theo bất kỳ cách nào. Các trường hợp hack tài khoản Telegram thông qua tin nhắn SMS bị chặn đã được biết đến - năm 2016, những kẻ tấn công trước thư từ của một số người theo phe đối lập, và vào năm 2017 lời kể của nhà báo Dozhd Mikhail Rubin.
WhatsApp hiện tại, nó tránh đăng ký ORI và cũng sử dụng mã hóa đầu cuối, nhưng mọi thứ không mấy suôn sẻ với nó. Gần đây chúng tôi đã xuất bản về những cư dân Magadan bị khởi tố hình sự vì chỉ trích thị trưởng thành phố. Câu chuyện này, may mắn thay, đã kết thúc với mức phạt như thường lệ. Nhưng nó khẳng định nỗi lo sợ của người dùng: không an toàn khi giao tiếp trong các cuộc trò chuyện nhóm trên WhatsApp.
Chuyện gì sẽ xảy ra?
- Ngay khi bạn viết tin nhắn, số điện thoại của bạn sẽ ngay lập tức được cung cấp cho tất cả thành viên trong nhóm. Và danh tính của bạn có thể được xác định dễ dàng bằng con số.
Phải làm gì?
- Giải pháp có thể là thẻ SIM “trái” hoặc số nước ngoài – tốt nhất là số châu Âu.
Nếu bạn sử dụng thẻ tiếng Nga đã đăng ký dưới tên của mình, hãy tránh những bình luận mỉa mai trong các nhóm có tên như “Từ chức cho Thị trưởng”: tốt hơn là chỉ để lại thư từ cá nhân và các cuộc gọi đến WhatsApp.
Viber cũng không có tên trong sổ đăng ký ORI, nhưng vẫn duy trì liên lạc với chính quyền Nga (trong thời gian rảnh để gửi thư rác). Trình nhắn tin này là một trong những ứng dụng đầu tiên tuân thủ các yêu cầu mới của chính phủ: nó lưu trữ thông tin đăng nhập và số điện thoại của người dùng Nga trên lãnh thổ Liên bang Nga, nhưng cung cấp dữ liệu tin nhắn — đề cập đến cơ chế mã hóa đầu cuối và chính sách của công ty.
Apple cũng sử dụng end-to-end nhưng khi đăng ký bằng iMessage nó tạo ra XNUMX cặp key: riêng tư và công khai. Tin nhắn mà bạn nhận được từ cùng một chủ sở hữu thiết bị Apple sẽ được truyền đến bạn bằng mã hóa sử dụng khóa chung. Nó chỉ có thể được giải mã bằng khóa riêng của người nhận, khóa này được lưu trữ trên thiết bị của anh ta. Bạn có thể đọc về cách Apple xem quyền riêng tư của người dùng và họ sẽ làm gì nếu nhận được yêu cầu từ chính phủ Chưa có trường hợp nào được ghi nhận về việc công ty chuyển dữ liệu từ người dùng Nga cho chính quyền Nga.
Nguồn:
Nhưng iMessage có hai nhược điểm:
- Bạn chỉ có thể viết thư hoặc gọi điện qua các kênh này tới cùng một chủ sở hữu Apple;
- Nếu bạn gặp sự cố với kết nối Internet, tin nhắn sẽ chuyển qua kênh di động thông thường và trở thành một tin nhắn SMS đơn giản có thể dễ dàng bị chặn.
Để tránh iMessage biến thành SMS, bạn có thể tắt tính năng này trong Cài đặt.
Các nhà nghiên cứu từ Electronic Frontier Foundation rằng không có lựa chọn nào an toàn một trăm phần trăm cho các cuộc gọi và tin nhắn. Nếu một số trình nhắn tin ngăn cản chính quyền lấy dữ liệu riêng tư của bạn, điều này không có nghĩa là tin tặc (hoặc nhà nước có thể sử dụng dịch vụ của họ) không thể thực hiện việc này bằng cách lách luật. Để giúp người dùng tin tưởng rằng không có kẻ đứng giữa, Telegram có một tính năng hay: khi gọi, cả hai người nhận có thể đảm bảo rằng họ nhìn thấy cùng một biểu tượng cảm xúc ở góc trên bên phải màn hình - điều này sẽ xác nhận không có hiện tượng “xâm nhập” vào kết nối.
Nếu bạn đang tìm kiếm một cách giao tiếp an toàn hơn, chúng tôi khuyên bạn nên xem xét xa hơn các cuộc trò chuyện bí mật, mật khẩu và xác thực hai bước/hai yếu tố cho đến các ứng dụng thích hợp ít phổ biến hơn như hoặc .
Tôi sử dụng Signal hàng ngày. #notesforFBI (Spoiler: họ đã biết)
Các công ty phổ biến cho phép sử dụng ứng dụng email của họ (ở Nga là Yandex, Mail.Ru và Rambler) đã được đưa vào sổ đăng ký ARI, có nghĩa là chúng không an toàn lắm. Có, Nhóm Mail.Ru các vụ án hình sự để tạo meme và ân xá cho những người bị kết án, nhưng có thể cung cấp thông tin về dữ liệu của bạn cho chính quyền theo yêu cầu.
Ngay cả khi bạn sử dụng các ứng dụng email khách phương Tây như Gmail hoặc Outlook, đã bật xác thực hai yếu tố và biết rằng email của bạn được mã hóa bằng giao thức SSL/TLS an toàn, bạn không thể chắc chắn rằng email của người nhận cũng được bảo vệ như nhau.
Tùy chọn bảo vệ:
- Khi gửi thông tin nhạy cảm, hãy mã hóa email bằng Pretty Good Privacy (). Chương trình này giúp biến dữ liệu từ một bức thư thành một bộ ký tự vô nghĩa đối với tất cả mọi người ngoại trừ người gửi và người nhận;
- Khi gửi thông tin quan trọng, hãy luôn chú ý đến tên miền của người nhận và không viết thư đến địa chỉ đáng ngờ;
- Kiểm tra trước với người nhận xem họ có thiết lập chuyển tiếp hoặc nhận thư qua dịch vụ bưu chính Nga hay không.
Trong trường hợp các công ty trong nước thuộc cơ quan đăng ký ORI, về nguyên tắc, không có mã hóa nào từ phía người dùng sẽ giúp ích. Thông tin không bị chặn mà được lưu trữ và truyền đi bởi các điểm cuối - các dịch vụ tương tự. Giải pháp duy nhất có thể là thay thế chúng bằng các giải pháp tương tự an toàn hơn như ProtonMail, Tutanota hoặc Hushmail. Bạn có thể tìm thấy thêm các dịch vụ email như vậy tại trang.
Mạng xã hội
Để bắt đầu, hãy giảm thiểu sự hiện diện của bạn trên các mạng xã hội phổ biến của Nga - “My World”, “Odnoklassniki” và “VKontakte”. Ít nhất Facebook không bàn giao dữ liệu của bạn cho cơ quan tình báo Nga. Ít nhất, chưa có trường hợp nào như vậy được ghi nhận.
Nhưng điều thú vị là trong năm 2017, công ty vẫn đáp ứng được 85% yêu cầu từ chính phủ Mỹ:
Ảnh chụp màn hình từ
Nếu bạn đã quá quen với VK nhưng không muốn kết thúc ở bến tàu, hãy chú ý một số điều:
- hình ảnh đã lưu của bạn;
- bài viết, bình luận và tin nhắn bạn viết;
- bài viết bạn thích;
- bài viết bạn chia sẻ;
- người dùng mà bạn kết bạn.
Trong tất cả những điều trên, tốt nhất nên tránh bất cứ điều gì có thể bị coi là xúc phạm hoặc cực đoan. Hãy luôn nhớ rằng “chia sẻ” có nghĩa là truyền đạt thông tin “bất hợp pháp” tới ít nhất một người. Luật sư của nhóm nhân quyền quốc tế "Agora" Damir Gainutdinov tuyên bố rằng theo luật, ORI thậm chí cả bản nháp của những tin nhắn chưa gửi tới các cơ quan thực thi pháp luật. Đọc thêm về cách không bị bắt vì đăng lại
Nhân tiện, hiện tại, bất kỳ ai có số điện thoại của bạn đều có thể tìm thấy bạn trên VKontakte theo mặc định, ngay cả khi bản thân trang đó không tiết lộ danh tính thực của bạn.
Bạn có thể ngăn mọi người tìm thấy bạn theo số trong cài đặt hồ sơ của bạn (Cài đặt -> Quyền riêng tư -> Liên hệ với tôi). Nhưng tất nhiên, điều này sẽ không giúp bạn thoát khỏi các dịch vụ đặc biệt. Không sử dụng các cuộc gọi và liên lạc video trên VKontakte: không biết liệu mạng có thực sự mã hóa chúng từ đầu đến cuối hay không, như chính quyền tuyên bố.
Bảo mật trang web
Tin tốt duy nhất là Tất cả các trang web phổ biến trên Internet đều đã có phiên bản https hoặc đã chuyển hoàn toàn sang chỉ sử dụng phiên bản https. Thông tin nhận và truyền trên các trang web đó được mã hóa và bên thứ ba không thể đọc được. Những tài nguyên như vậy được đánh dấu bằng màu xanh lá cây và có chữ “được bảo vệ”.
Đó là nơi tin tốt kết thúc. Bất chấp giao thức https, việc truy cập một trang web như vậy và các yêu cầu DNS (thông tin về miền bạn đã truy cập) vẫn hiển thị với nhà cung cấp Internet.
Nhưng một tin tức khác thậm chí còn tệ hơn: nửa số trang web còn lại hoạt động bằng giao thức http thông thường, nghĩa là không mã hóa dữ liệu. Giải pháp có thể là VPN, mã hóa tuyệt đối tất cả dữ liệu được nhận và truyền để không có thông tin nào có thể đọc được từ phía nhà cung cấp Internet và bất kỳ ai cố gắng xâm nhập giữa bạn và trang cuối. Điều duy nhất có thể nhìn thấy là thực tế kết nối với một địa chỉ IP nhất định trên Internet (nghĩa là với máy chủ VPN). Và không có gì hơn.
Chúng ta sẽ rất vui nếu cuộc sống thực sự đột nhiên trở nên đơn giản như vậy: bật VPN và quên đi việc rò rỉ thông tin nhạy cảm. Nhưng điều đó không đúng. Thường xuyên kiểm tra xem tài nguyên yêu thích của bạn có được đưa vào sổ đăng ký ARI hay không, theo dõi cách nó tương tác với chính quyền, kiểm tra các kết nối đang hoạt động trong cài đặt của tin nhắn tức thời và mạng xã hội, đồng thời đặt lại những tài nguyên đáng ngờ (và sau đó nhớ thay đổi mật khẩu).
toàn cầu
Khi làm việc với các kênh liên lạc và truyền dữ liệu, chỉ có cách tiếp cận toàn diện về bảo mật và quyền riêng tư mới có ý nghĩa. Theo dõi các sự kiện bảo mật Internet trên kênh Telegram của chúng tôi , trên trang web và trên các tài nguyên khác dành riêng cho các sự kiện trên Internet và RuNet nói riêng.
Bạn đang thực hiện những biện pháp an toàn nào?
Nguồn: www.habr.com