Во второй части серии мы поговорили о том, какие конкретно действия нужно предпринимать, чтобы защитить свои личные данные, и почему простого следования правилам недостаточно. Первую можно и нужно прочитать тут.
Soxoj, глава отдела OSINT в Social Links, основатель OSINT Mindset
Рутинные практики цифровой гигиены просты, но разделяются на несколько уровней. С увеличением серьезности твоей деятельности, ты используешь более продвинутые технологии защиты от существующих угроз и изучаешь, как обезопасить себя от новых. Ниже я привожу примеры того, как это выглядит.
0 уровень. Любой пользователь
Нулевой уровень – про массовые вещи. Настолько массовые, что даже само общество понимает, что от них нужно защищаться и навязывает средства защиты. Разработчики говорят: «давайте сделаем возможность отказаться от куки, чтобы сайты не собирали лишние данные, давайте сделаем галочку «чужой компьютер», чтобы люди в общественной библиотеке, которые после вас садятся за компьютер, не зашли в вашу социальную сеть». Это угрозы, которые почти для каждого на планете существуют. Они не критичные, ты, скорее всего, не потеряешь из-за них деньги и тем более свободу.
На 0-1 уровнях ты не знаешь, как все это работает, но думаешь, что в информационной безопасности (ИБ) и в правоохранительных органах работают люди с доступом ко всему. И они раз-раз — и все взломают: и твой компьютер, и соцсети. Это, конечно же, не так. Когда ты начинаешь разбираться в основах, то понимаешь, например, что есть криптография, есть гарантии безопасности, которые тебе дают как технологии, так и провайдер. Ты начинаешь что-то из этого применять, но ты все равно опираешься на чужую экспертизу. На кем-то одобренные и кем-то признанные методы.
На этом уровне у людей присутствует такой культ карго. Вот например, прокси. Это притча в языцех, потому что на самом деле прокси не особо безопасен. Это неизвестные сервера на случайных IP-адресах, через которые идет трафик. Может быть, чей-то сервер настроен так, чтобы все фиксировать и записывать. Может быть, это чье-то взломанное устройство, тогда это вдвойне плохо, еще и твой трафик останется на роутере. Маловероятно, что таким образом ты окажешься причастным к какому-то преступлению со взломом устройств, но все же это возможно. Ты включил прокси или VPN и думаешь, ну все, я теперь в безопасности. Но нет, слепое применение средств защиты тебе на самом деле защиты не дает.
I уровень. Здравый смысл
Этот уровень, как и нулевой, касается массовых угроз, но эти угрозы более высокотехнологичные. Он требует осознанного понимания своих действий, но на нем достаточно рутинных действий. Ты прикладываешь усилия, чтобы внедрить привычку в свою жизнь и тратишь ресурсы на её поддержание. Мы говорим маме, мам, не храни пароли в текстовом файле, потому что есть много вирусов, каких-нибудь троянов или стиллеров, которые ты можешь подцепить на сайте. Они у тебя возьмут все текстовые файлы и куки из браузера и отправят куда-то. Используй KeePass, в KeePass все зашифровано. Лишний раз не заводи дисконтную карту в сети магазинов, потому что есть много инструментов, которые могут через эти сайты сделать хитрым образом запрос, вытащить по почте твое имя и определить личность.
Этот уровень часто становится максимальным для простых людей, далеких от компьютерных технологий. Условно, ты можешь приучить маму пользоваться вторым телефоном для работы и сохранять пароль в парольном менеджере. А вот объяснить, как использовать разные email для регистрации в разных сервисах, чтобы мама сама это делала и понимала, зачем, может быть сложно.
II уровень. Адекватная оценка угроз
Это уровень, на котором люди принимают дополнительные меры, чтобы предотвратить проблемы до того, как они возникнут. То есть они понимают, какие есть угрозы, из каких действий они проистекают и от кого исходят. А значит, могут адекватно составить модель угроз и предпринять меры защиты. Например, ты знаешь, что шифрование нужно не потому, что ты мешаешь вирусам что-то скопировать, а потому, что у тебя есть физическое устройство, которое могут конфисковать и все выкачать. Но если оно у тебя запаролено и на нем стоит полнодисковое шифрование, особенно какое-нибудь невстроенное, типа TrueCrypt, Veracrypt, то удачи тем, кто попытается тебя взломать.
Или, ты знаешь, что твой провайдер перехватывает весь трафик. Информация о том, на какие сайты ты заходишь, где-то оседает. А по текущему российскому законодательству эта информация потом хранится в течение большого срока, и может быть вытащена через операторов. И из этой информации можно сделать вывод, что ты постоянно заходил на какой-то сайт для независимых журналистов, который спонсируются американским фондом распространения демократии. Это уже вполне реалистично притянуть за уши и составить дело, если кому-то понадобится.
К этой же категории относятся штуки типа двойного дна, это когда у тебя есть один пароль для разблокировки твоей настоящей учетной записи, а другой пароль фальшивый, ты его вводишь, и у тебя там появляется пустая учетка. VPN тоже использует шифрование. Также, использование расширений, которые блокируют http, потому что http, в отличие от https, всеми перехватывается.
III уровень. Усиленная защита
Здесь приведу пример. В 2017 году Дмитрий Богатов, математик, у себя в квартире поставил выходной узел Tor. С этого узла в сеть выходило много людей, и один из них якобы призывал к массовым беспорядкам. Этого человека под именем «Айрат Баширов» в итоге нашли, но Богатов провел несколько месяцев в СИЗО и под домашним арестом. Этого можно было бы избежать, если бы Богатов не ассоциировал эту Tor-ноду со своим IP-адресом и хостингом. Если требуется кого-то найти, находят того, кого легче всего вычислить.
Есть более вопиющие примеры, например, про шифрование. Это история с одним из популярных российских сервисов на протоколе мессенджера jabber.ru. И вот, внезапно обнаружилось, что на сервере, который находился в Германии, поменялись сертификаты TLS. Никто бы этого даже не заметил, это просто изменилось в течение нескольких секунд. Связь была, потом потерялась и сразу восстановилась. А потом системный администратор сервиса заметил, что когда изнутри соединяешься с сервером, то он отдаёт оригинальный сертификат, а когда снаружи — другой.
И один из российских специалистов под ником ValdikSS провел анализ этой ситуации. Он пришел к выводу, что к владельцам хостинга Германии пришли правоохранительные органы и принудили установить прокладку прямо в серверах, которая перехватывает коммуникации мессенджера. То есть, она берет твой зашифрованный трафик, расшифровывает его, представляясь сервером, а потом для сервера обратно зашифровывает. И от такой штуки в общем-то не защититься, кроме как параноидально сверять все отпечатки сертификатов.
IV уровень. Маниакальные меры
Здравая оценка того, привлекаешь ли ты внимание спецслужб — это вообще сложно: нам может казаться, что наша деятельность не такая важная и мы никому не интересны, или наоборот — что мы супер хакеры и за нами идет охота. Но ты действительно занимаешься чем-то настолько критичным и переходишь кому-то дорогу? Если ты журналист, который работает с инсайдерами, то естественно, тебе нужно проверять все шифрованные соединения, сравнивать сертификаты, хэш-суммы, использовать разные устройства, просто потому, что государство против тебя может использовать вот этих высококвалифицированных специалистов.
Но если ты будешь углубляться в область ИБ, ты поймешь, насколько там все дырявое. Программное обеспечение, как и вообще все в этом мире, по сути своей несовершенно, и всегда можно найти какой-то баг, чтобы его использовать. Здесь можно вспомнить Сноудена и Ассанжа, вспомнить многочисленные утечки из АНБ и других служб, внедрение закладок в оборудование, в протоколы. С другой стороны, производители телефонов тоже ставят какие-то штуки, чтобы за нами следить, и если понадобится, тебя возьмут за шкирку. Вопрос в том, кому это надо.
Но если ты условно ЛГБТК-активист, человек непубличный, не выделяющийся, то наверное против тебя не будут использовать команду высококлассных хакеров. Массовые гонения на абсолютно всех ЛГБТК-активистов еще не начались, и никто не будет гоняться за тысячью человек. Из этой тысячи их отсортируют, выберут тех, у кого легко гуглятся имена, легко находятся страницы в VK, начнут с них и, вероятно, на них и остановятся. А если эти активисты все будут с высоким уровнем защиты, то тогда уже всяким state-sponsored организациям и самому государству придется тратить слишком много ресурсов на то, чтобы с ними бороться. И тогда государство будет медленнее, менее поворотливым в этом отношении, но это уже другая тема.
Резюме
Марина Фейгельман, NewNode
Хочу оговориться, что я не активистка, я техразраб. Смысл нашего инструмента NewNode — не в активизме, а в установлении коммуникации. И наша модель — это скорее экстренная связь в случае наводнения, а не цензуры. Тем не менее, раз уж мы пропускаем трафик, то можем его и шифровать.
Про коммуникацию и устройства
Если говорить о безопасности активистов — им нужно все шифровать. Пользоваться средствами связи, в которых есть сквозное шифрование. В Signal и в NewNode есть. Еще важно, где находятся серверы: если в России, то уже не важно, есть ли шифрование. По идее, сквозное шифрование не должно быть проницаемо для сервера, но всегда есть «но».
Устройство тоже имеет значение. Android, купленный в ларьке, с очень высокой вероятностью будет иметь дыры в безопасности, этим грешит, например, Xiaomi. Конечно, устройства и шифрованные мессенджеры не защитят вас в полной мере. В случае приватного разговора телефон лучше просто откладывать подальше. Есть spyware, который просто делает скриншот вашего экрана, и тогда неважно, что вы там нашифровали. Скриншот переписки может сделать и ваш собеседник, и вы это никак не проконтролируете.
Лучшие инструменты — те, которыми пользуются, у которых хорошее проникновение. Если ваше окружение пользуется SimpleX, значит, адаптируем его. Супер защищенный инструмент, который есть только на гитхабе для 4 человек, проблему коммуникации не решит. Найти и установить приложение при желании просто, это не проблема. Проблема в том, что многим людям неудобно с непривычки пользоваться экзотическими мессенджерами, и они жалуются, что у них там никого нет. Кроме этого, сам факт установки редкого специализированного инструмента может компрометировать владельца, не говоря о том, что такие инструменты часто не отлажены.
Про онлайн-поведение
Базовый принцип — любую информацию очень легко сохранить, и очень сложно стереть навсегда. Facebook удаляет посты и даже профайлы не очень сильно — на случай, если вы захотите их вернуть. Условно, снимает фотографию со стены и кидает в ящик, а не шредер. Meta следит за безопасностью пользователя ровно настолько, насколько надо, чтобы это не мешало юзеру быть довольным — поэтому и собирают так много данных.
Интересы корпораций сильно отличаются от интересов активистов, и конечно, бизнес в первую очередь будет заботиться о собственной выручке. Но он инвестируют в безопасность, выпускает обновления и тд. При условии базового доверия к разработчикам, лучше использовать качественные тулзы, сделанные для многих — потому что в массовости есть защита — чем какие-то, сделанные для 4 человек.
Стоит отслеживать, какие изменения происходят в мире технологий, и каковы реальные практики инструментов. Например, Zoom все записывает, даже если мы не нажали кнопку recording — были случаи, когда люди забывали поставить конференцию на запись, но потом как-то вытаскивали ее — и были очень довольны! А вам стоит это знать.
Дмитрий Куминов, Медиазона
Про шифрование
Если у вас iPhone с Apple ID и код-паролем, то там автоматически шифруются все данные. На macOS тривиально включается функция FileVault и можно любой дополнительный диск отформатировать в APFS (файловая система, обеспечивающая шифрование, совместима с Windows — прим.ред.). В последних версиях Windows, 10-й и 11-й, тоже есть встроенные средства шифрования. У Андроидов — зависит от используемой ОС (В Android 12 версии и старше нет опции полнодискового шифрования, но можно использовать файловое шифрование, а также установить приложения типа BestCrypt Explorer — прим. ред.). Но в целом айфоны и макбуки более безопасные устройства, так что рекомендую использовать именно их (допустим, с вторичного рынка), если безопасность на первом месте.
Менеджеров паролей много на любой вкус и цвет. Я пользуюсь платным 1Password, но подойдет любой, который шифрует данные на стороне клиента перед отправкой их в облако по стандарту не ниже AES-256.(Advanced Encryption Standard, наиболее надежный алгоритм шифрования. Он шифрует информацию симметричным 256-битным ключом, разбивая ее на блоки, быстро работает и устойчив к атакам. — прим. ред.)
Везде, где можно, включаю двухфакторную аутентификацию, причем не через СМС на телефон (это важно!), а через дополнительную программу для генерации одноразовых кодов. Например, Authy или встроенный генератор одноразовых кодов в 1Password.
Телефон важно вообще отвязывать от аккаунтов везде, где это возможно, потому что сим-карту достаточно легко подделать. А это значит, что любой из привязанных к телефону аккаунтов можно украсть через процедуру восстановления, вне зависимости от сложности и уникальности пароля. В случае, если телефон используется для 2FA, это тоже большой риск. Как минимум, потому что при утере симки пропадет доступ к аккаунту. Как максимум, если пароль простой и взломан перебором, злоумышленник войдет в аккаунт, т.к. у него уже будет 2FA через телефон.
Также сейчас распространяется новая технология — пароль-ключ (passkey). Это такая комбинация сложных случайных паролей и 2FA, которая не уступает им по безопасности, даже превосходит, но гораздо удобнее в использовании. Потому что не нужно ни придумывать и где-то хранить пароль, ни генерировать и вводить одноразовые коды. Данный подход требует использования менеджера паролей — он и делает все операции, включая регистрацию нового аккаунта и ключа в автоматическом и прозрачном для пользователя режиме, используя технологию асимметричной криптографии. Все крупные сервисы типа Google или Apple уже поддерживают эту технологию. У нее много преимуществ, в т.ч. невозможность украсть пароль через фишинговые ловушки — ведь пароля в принципе не существует. Ну и методом перебора взломать пароль-ключ при существующих технологиях невозможно, и будет невозможно еще очень долго.
Слежка
Отследить человека через геосервисы телефона — задача нетривиальная, т.к. во всей полноте эту информацию видит только производитель ОС (Apple, Google, Microsoft, Samsung), а они на сотрудничество с властями РФ если и идут, то неохотно. Властям гораздо проще отследить местоположение через сотового оператора и через системы распознавания лиц, что они и делают. Поэтому универсальный совет — вытаскивать сим-карту, носить маску и т.п. Маска, конечно, на 100% от распознавания не защищает, современные алгоритмы весьма умны. Так что соблюдаем цифровую безопасность, но в паранойю не впадаем:)
Мнение экспертов может не совпадать с мнением редакции «Теплицы». Спикеры делятся практиками, которые основаны на их личном опыте.