Пособие по компьютерной безопасности

Стремление ГосДумы, которую многие уже прозвали «Бешенным принтером», одарить пристальным вниманием всех российских граждан у многих компьютерных пользователей вызывает желание от такого «внимания» максимально отстраниться.

Музофил публикует две практические статьи по данной теме.

1. Глубоко эшелонированная анонимность

Автор: Дмитрий Кирилин
Источник: Habrahabr.ru

Hи одна технология сама по себе не является панацеей от деанонимизации, как не бывает абсолютно надёжных сейфов, абсолютно устойчивой защиты. Задача любой оборонительной системы — сделать проникновение в неё настолько дорогим и нудным, что «игра не будет стоить свеч». То есть — лишить злоумышленника экономической и творческой мотивации.

Защитная система, таким образом, должна быть многоплановой и многослойной, и я попробую дать общую схему системы, пригодной для домашнего пользования. Важность оценена исходя из российских реалий по 5-балльной шкале.

Эшелон 1: IP-адрес
Важность: 5

В этой теме вынужден изложить несколько банальных фактов.
IP-адрес (или диапазон) выдаётся пользователю определённым оператором (например, местным интернет-провайдером). У оператора есть все данные, кому он выдан и когда. Это касается и динамических адресов. А пользователь так или иначе сообщает свои данные оператору.
Если известен IP-адрес, с которого отправлено «незаконное» сообщение, а особенно если этих сообщений много с одного и того же адреса, к пользователю наверняка придут в процессе расследования, причём в первую очередь.
Спасением для этого пользователя может быть только одно преступление, но уже не уголовное: всего лишь нарушение договора с провайдером. Это предоставление доступа к своему каналу другим лицам. «Не знаю, кто с моего айпишника постил, потому что мне лень было делать шифрованную сеть на WiFi роутере.» Или: «Я тут поставил программку, которая говорила, что через неё другие будут выходить в интернет, а разве это запрещено? Мне своего интернета не жалко!»
К сожалению, в случае преследования российским государством «спасение» лишь условное. Полицаям важнее всего найти крайнего, после чего все улики будут показаны в деле с нужного угла, а насквозь зависимый суд признает всё, что «спущено сверху».
Узел, с которого ваша информация отправляется в интернет, может её записывать и/или анализировать. Помните об этом.
Вывод: свой IP-адрес скрывать обязательно.

Рекомендации и возможные средства:
TOR. Бесплатно. Работает не очень-то быстро. Практически очень сложно установить реальный IP-адрес того, кто пользуется данным каналом: данные проходят через множество промежуточных узлов в зашифрованном виде. Однако некоторые сайты могут блокировать пользователей, пришедших из этой сети, ибо список IP-адресов, задействованных в ней, получить весьма несложно. Причём это ограничение будет распространяться и на реальный адрес пользователя.
Зарубежные VPN-сервера. Обычно эта услуга платная, даже если условно анонимная — деньги-то перечислять приходится. Хорошо оправдывает себя с условием многозвенности и использования электронных валют вроде bitcoin.

Контррекомендации:

I2P. В данном случае не рекомендуется. Бесплатно, однако для доступа к «обычному интернету» не предназначена, а то и может поспособствовать деанонимизации различными способами (внедрению в защищённый контент изображений или скриптов из «обычного интернета»). Хорошей практикой при использовании I2P является полный запрет доступа бразуеру к «обычному интернету».

Эшелон 2: шифрование
Важность: 5

«Большой Брат» практически у каждого легального интернет-провайдера размещает оборудование СОРМ-2, что обеспечивает в случае необходимости (должно быть по санкции прокурора, но вы же понимаете, что это решение в наших реалиях могут оформить «задним числом») перехват пакетов определённого пользователя. Включая «динамиков». Технологически в этом проблем нет. Лично я при ознакомлении с моим первым уголовным делом видел пять DVD-дисков с перехватом моего трафика. Мне даже дали их посмотреть на компе. Так что не стройте иллюзий.
Выход — лишь асимметричное шифрование. Плюс внимание к внезапным изменениям сертификатов и отпечатков ключей узлов, с которыми вы соединяетесь. Браузеры и прочие связанные с шифрованными каналами программы об этом предупреждают. Если об этом не было официального предупреждения от админов сайта — лучше откажитесь от соединения и примите к сведению, что ваш канал скомпрометирован.
Повторюсь, что шифрование современными алгоритмами само по себе — не гарантия нерасшифровываемости. Расшифровать можно, но на это уйдут годы и десятилетия при нашем уровне технологий.
Вывод: шифрование — обязательно.

Рекомендации и возможные средства:
HTTPS, он же HTTP over SSL. Настройте ваш браузер таким образом, чтобы он не загружал незашифрованные элементы с зашифрованных страниц. Не игнорируйте предупреждения об изменившихся и недействительных сертификатах зашифрованных страниц. Не вводите свои логины-пароли на незашифрованных страницах или страницах с недействительными сертификатами.
Для «мгновенных сообщений» используйте протоколы, поддерживающие стойкое шифрование через SSL. Например, XMPP (Jabber) — он поддерживает как SSL-шифрование, так и OTR. Важный момент: между вами и сервером даже при использовании SSL сообщения зашифрованы, но на самом сервере — доступны в исходном виде. И между серверами — тоже. Для этого и придуман OTR.
Для чтения и отправки почты используйте протоколы с шифрованием на уровне соединения (используют SSL и работают по другим портам) или на уровне транспорта (TLS, работают на тех же портах, но поддерживают команду STARTTLS).
В почтовой переписке используйте дополнительное шифрование сообщений, например, PGP. Помните, что если даже вы избежали перехвата вашего сообщения у провайдера, на почтовом сервере оно появится вновь расшифрованным.

Контррекомендации:
ICQ. Даже включенное «шифрование» не поможет в случае перехвата пакетов. Алгоритм «шифрования» в «аське» таков, что расшифровка «на лету» не представляет проблемы даже для «скрипткидди».
Skype. Неизвестно, через какие узлы и в каком виде проходит трафик ваших чатов и звонков. Учитывая приобретение этой компании другой известной компанией, пользоваться этим средством связи для секретных переговоров просто глупо.

Эшелон 3: вторичные технологические данные
Важность: 2

Тут мы выходим на уровень, на котором не доверяем даже самому серверу, с которым общаемся.
Я думаю, все в курсе, что владельцы крупных соцсетей не могут не сотрудничать с «Большим Братом». И по определённому запросу с лёгкостью предоставят данные об интересующем профайле: откуда, когда, с какого оборудования.
Открою невеликий секрет, относящийся к веб-серверам: данные оборудования, с которого вы зашли на сайт, можно легко получить из заголовков и при помощи скриптов. К таковым данным, например, относятся версия браузера, операционной системы, разрешение экрана…
Самое интересное, что вы можете зайти на один сайт, которому доверяете, а там — картинка с другого сайта, который сделан специально для сбора данных о вас. А ещё вот вам откровение: почти на каждом сайте есть самими админами поставленные «закладки» от известных поисковых и рекламных систем. И все они вас изучают. С коммерческими, понятно, целями.
Результаты подобных изучений могут быть предоставлены и спецслужбам по запросу — законы такие. И если окажется, что в «незаконном» сообщении парметры все те же, что и на вашем компьютере — это косвенное доказательство в суде. Не прямое, но у нас и на основе одних лишь косвенных на десятки лет посадить горазды.
Что же теперь, запретить все скрипты и заголовки? Тогда всё полезное работать перестанет. Надо искать компромиссы. Например, на нужных сайтах разрешать скрипты от самого сайта, но блокировать от всех других.
Вывод: скрытие технических данных не очень удобно, но может создать проблемы злоумышленнику.

Рекомендации и возможные средства:
Privoxy. Это некэширующий прокси-сервер, главной задачей которого является недопущение (в том числе путём искажения) некоторых технических данных пользователя на сервер. Обычно используется в связке с TOR, так как последний не предоставляет сервиса HTTP-прокси, а privoxy умеет работать через вышестоящий SOCKS. Не защищает от активного содержимого, т.е. скриптов и объектов.
NoScript. Плагин для браузера избирательно блокирует работу скриптов и других активных элементов в браузере. По большей части не позволяет серверам получить технические данные пользователя активным способом. Однако надо хоть немного разбираться в том, как работают скрипты и объекты, чтобы случайно не разрешить утечки информации.

Эшелон 4: личная информация
Важность: 4

Конечно, реальные данные о вашем имени, возрасте, местоположении и т.п. ценны для тех, кто хочет вас найти. Но не забывайте, что искать вас могут не только друзья, но и сообщники Большого Брата. Если вы привыкли говорить то, что думаете, вам лучше скрыть ваши реальные параметры и координаты. Однако тут есть аспекты, о которых надо помнить.
Во-первых, никаких фотографий на аватаре и в профиле, сделанных вами или вашими близкими друзьями. Даже фотографий без лиц. Об этом — на следующем эшелоне.
Во-вторых, не надо экзотики в вымышленных именах. Если живём в России — «Владимир Кузнецов» привлечёт меньше внимания и будет тысячами в базах данных. А вот «Камаз Помоев» даже на Кавказе вызовет подозрение.
Если вы живёте в Новосибирске и никогда не были в Лагосе, вам лучше указать местом проживания именно Новосибирск: вы об этом городе знаете больше, чем о Лагосе. Это будет плюс к правдоподобию вашего профиля.
Не указывайте никакую информацию дальше этого уровня. Улицу, номер дома, дату рождения, цифры из номера паспорта или кредитной карты… Все подобные данные позволят указать на вас косвенно, а это — смерти подобно. Не спасёт косвенность и недоказанность, вы же знаете методы работы российских «правоохранительных» органов.

Эшелон 5: мозг
Важность: 5

И вот пришли мы к самому сложному вопросу в защите персональных данных. Тут каждый должен следить сам за собой.
Я говорил, например, о фотографиях. Посмотрите на тип файлов и на то, откуда вы их взяли. В файлах типа JPEG (что обычно поступают с личных фотоаппаратов или вебкамер) есть обычно данные EXIF. И вот в этих данных иногда внезапно содержатся не только параметры диафрагмы и выдержки, но и, например, серийный номер фотоаппарата. Время съёмки бывает. А то и координаты места съёмки — в навороченных аппаратах. Во имя анонимности — убирайте EXIF со всех изображений, отправляемых в сеть.
В формате PNG тоже есть дополнительная информация. И в TIFF. И даже в GIF.
Вам может быть заслана фотография или рисуночек, содержащий какую-либо метку. Вы этот рисуночек повторите в постах из другого профайла — и вас легко деанонимизируют. Из непроверенных источников рисунки надо перекодировать с потерями.
А бывает, в фейковом профиле вам присылают картинку с вашим настоящим лицом, и вы себя там отмечаете или подтверждаете отметку лица…
Ещё вы можете что-то накорябать на листе бумаги, засунуть в сканер и выложить это — а тут графологическая экспертиза. Поверьте, графология реально работает. Даже косвенно, но об этом я уже говорил.
Ещё одним из косвенных доказательств вам могут присобачить список друзей в соцсети. Особенно если эти друзья — реальные аккаунты, которых вы по привычке «зафрендили». Помните: в тайной сети не может быть реальных имён.
Ещё одно косвенное доказательство — стилистическая экспертиза. Грубо говоря — если в реальном мире вы приветствуете собеседника в стиле «Добрый вечер!», то в тайном вам лучше будет здороваться в стиле «хай пипл». Сохраняя пунктуацию и орфографию. Подобное упрощение языка смешает вас с «серой массой», усложнив задачу полицаям.

Итог
В условиях нынешнего законодательства нам приходится вести себя не так, как мы привыкли. Создавать альтернативные личности, чтобы иметь возможность высказать своё мнение. Прятать своё истинное лицо, чтобы это лицо не оказалось за решёткой.
Я надеюсь, что это временно… Но уверен, что это надолго.
Удачи вам в борьбе с нелигитимным российским режимом!

 

2. Практическое пособие по компьютерной безопасности для российской оппозиции

Автор: М.Светов
Источник: LiveJournal

Так как все статьи, написаные после очередного взлома почты Навального больше похожи на вредные советы, решил написать собственную инструкцию по компьютерной безопасности.

1. Выбор пароля.
Слово мнемоника только звучит страшно. С её помощью можно создавать длинные пароли, которые очень просто запомнить и невозможно подобрать. Они значительно надёжнее, чем набор из 8-9 случайных букв с цифрами, и значительно проще в запоминании.
Создать мнемонический пароль очень просто. Выберите какую-нибудь фразу, которую вы никогда не забудете. Подойдёт любой припев песни или четверостишие, которое вы уже помните наизусть.

Например:
Зачем существует в мире
Статья сто тридцать четыре?
Детям любить мешает,
С кем можно ― за них решает!

Если вы запишете все первые буквы этого припева вряд, а номер статьи цифрами, у вас получится замечательный 17-значный пароль: zsvms134dlmskmznr.
Выглядит сложно? Вам его не придётся даже запоминать, достаточно запомнить, что это все первые буквы из припева песни, который вы и так уже знаете.
Ещё лучше записать одно слово в ряде целиком. Например, слово statya: zsvmstatya134dlmskmznr. У вас получился гигантский 22-буквенный пароль, который невозможно подобрать или подглядеть, зато вы его никогда не забудете.
Из одного припева можно собрать десятки надёжных паролей, например, выделяя не первую, а последнюю букву в словах: mtea134mttsmoaht. Но лучше для каждого нового пароля выбирать своё четверостишие.
Ни в коем случае не используйте четверостишие из моего примера.

2. Шифруйте данные на компьютере.
Полицейские взломали почту Навального через изъятый компьютер. Они совершили должностное преступление (кого это удивляет?), но это не оправдание беспечности. Если бы Навальный шифровал данные, следственный комитет в обнимку с хакером Хеллом на пупе бы извертелись, а ничего бы не извлекли.
Запомните, системный пароль ни от чего не защищает. То, что вы вводите когда включаете компьютер ничего не значащая фитюлька. Защищает только шифрование данных.
На маке это делается в пару кликов встроенными средствами, вот пошаговая инструкция.
На PC лучше всего скачать TrueCrypt. Настраивается он тоже очень просто.
Однажды зашифровав систему целиком вы можете быть спокойны, что без пароля ни один ваш файл нельзя будет прочитать. Для вас же это будет выглядить просто как обычный вход в систему. Только в отличии от системного пароля, эти программы надёжно охраняют ваши данные.
При шифровке диска не забывайте, если вы потеряете пароль, то у вас не будет никакой возможности получить доступ к своим файлам. В этом и есть суть шифрования.

3. Не привязывайте номер телефона к своим аккаунтам.
Я видел, как активисты с параноидальной настойчивостью вытаскивают батарейки из телефонов перед встречей, но при этом не задумываясь вводят номер сотового на случай «восстановления пароля». Ваши телефоны уже прослушивают, прочитать СМС ― ещё проще. Один запрос пароля на телефон + перехват СМС и ваша почта компрометирована. Незамысловатый секрет крутых хакеров из центра «Э».

4. НЕ ИСПОЛЬЗУЙТЕ СЕКРЕТНЫЕ ВОПРОСЫ.
Выяснить девичью фамилию вашей матери не просто, а невероятно просто. У меня это займёт примерно 3 клика, у центра «Э» один единственный звонок.
Лучше всего не вводить секретный вопрос вообще. Если какой-то сервис на нём настаивает ― введите заведомую белиберду (длинную!), которую невозможно подобрать.

5. Не привязывайте разные аккаунты друг к другу (особенно фейсбук к почте).
Таким образом уведя один аккаунт у вас уведут сразу все.

6. НИКОГДА не используйте русских провайдеров почты.
Все российские провайдеры электронных услуг подотчётны силовым структурам и отдадут ваш аккаунт по первому требованию.

7. Максимально используйте режим инкогнито в броузере.
Перехват cookie один из самых распространённых способов угона доступа. В режиме инкогнито все новые cookie автоматически удаляются после закрытия окна.

Это была безопасность 101. Самые азы профилактики, доступные каждому. Следующие два пункта чуть более продвинутые. Если вы выполните их тоже, ваше пребывание в сети будет пуленепробиваемым.

8. Заведите VPN заграницей.
В 2000 году тогда ещё управление «К» обязало всех операторов связи установить систему СОРМ. С тех пор спецслужбы могут отслеживать всю вашу деятельность в интернете одним нажатием клавиши.
VPN это зашифрованный туннель (сигнал) до удалённого компьютера. Всё что вам действительно нужно знать, это что с ним ваша деятельность станет абсолютно непрозрачной для вашего провайдера, а значит для российских спецслужб и хакеров. Под VPN безопасно пользоваться открытым вайфаем, выходить из незнакомых мест в сеть и не волноваться, что ваш сигнал перехватят сниффером.
Все надёжные VPN платные, но они стоят своих денег. Я настойчиво советую вам не пользоваться бесплатными сервисами, они медленные и в большинстве случаев являются сладкими ловушками.
Я использую VyprVPN, мне он достался с аккаунтом на giganews. Но есть и ещё более надёжные провайдеры:
http://perfect-privacy.com/
http://www.swissVPN.net/
http://www.strongvpn.com

VPN обезопасит всю вашу технику. Через VPN умеют работать не только компьютер, но и айфон, и айпад, и телефоны на андроиде.
Настраивается всё очень просто: инструкция для айфона/айпада, инструкция для андроида, инструкция для макинтош, инструкция для Windows 7
Однажды всё настроив от вас больше ничего не потребуется. Всё будет работать как прежде, вы не заметите разницы. Только вы будете защищены.

Дополнительный бонус ― это надёжная защита против нового закона о цензуре. Какие бы ресурсы не решили заблокировать Единая Россия и Илья Пономарёв, вам останутся доступны все запрещённые в России сайты. У вас так же будет несколько иностранных айпи на выбор в разных частях света. Вас станет невозможно выследить в сети напрямую, так как ваш след будет вести в другие страны.

9. Сделайте секретный почтовый ящик о котором никто не будет знать.
Моя публичная почта msvetov@gmail.com Этому адресу 7 лет, сюда мне приходят все письма, на него зарегистрированы все мои аккаунты. Но это только ширма, я им не пользуюсь. С него все письма автоматически уходят на совсем другой адрес, а с этого ящика тут же автоматически удаляются. Подобный автофорвардинг на гмейле очень просто настроить
На письма я отвечаю тоже с секретного адреса. Назовём его mysecretemail@gmail.com Никто из моих адресатов этого не знает, потому что в теле письма спуфится (прописывается) публичный адрес. Это тоже очень просто настраивается в том же гмейле
Таким образом для меня не существует почты msvetov@gmail.com, это технический адрес который я раздаю в сети. Я в него захожу раз в полгода поменять пароль и всё. Зато для всех остальных не существует адреса, с которого я пишу почту, пользуюсь гуглом и так далее.
Конечно, если кто-то завладеет вашим публичным адресом и изучит настройки, он узнает и ваш секретный адрес. Но перед ним будет девственно-чистая почта, ведь весь архив у вас хранится в совершенно другом месте. (В отличии от дураков, которые советуют никогда не хранить архивов, я хорошо понимаю, как важно всё сохранять). Пока взломщик будет судорожно ломать вашу секретную почту, у вас будет время спокойно вернуть публичный адрес, а архив перенести на новое место.

10. Не будьте дураком.
Не записывайте пароли на бумажке или текстовом файле. Не используйте один и тот же пароль на разных аккаунтах. Не логиньтесь на чужих компьютерах. Не качайте сомнительные файлы, не реагируйте на фишинг. А так же не забывайте, что болтун находка для шпиона.

PS: Я нарочно не стал объяснять как что работает, а только как с чем работать. Моя задача была написать максимально доступное практическое руководство. По этой же причине я не стал описывать других более задротских средств защиты. Их много, они надёжны ― но серьзно сказываются на юзабилити.
Однажды всё настроив вы вообще не заметите разницы в юзабилити. Я вас вооружил, если вас и дальше будут ломать ― то вы сами себе дураки.

========================================================================================