Безопасная работа с компьютером.

Безопасность. Советы от Брюса Шнайера

Меня часто спрашивают, что может предпринять среднестатистический Интернет-пользователь, чтобы обеспечить свою безопасность? Мой обычный ответ: "Ничего. Вам кранты". На самом деле всё не столь однозначно.

Вы ничего не сможете сделать, чтобы защититься от правительственных организаций. Слишком велик дисбаланс сил. Даже если вы воспользуетесь лучшим в мире шифрованием, полиция просто установит клавиатурного шпиона, пока вас нет рядом. (Если вы такой параноик, что спите с пистолетом и ноутбуком под подушкой, эта статья написана не для вас.) Нелегко обезопаситься даже от крупной корпорации. Скажем, если им известен номер вашей кредитной карты, наверное, не найдётся способа заставить их его забыть.

Но всё-таки несколько процедур для повышения безопасности в Сети существует. Ни одна из них не безупречна и ни одна не безотказна. Если тайные службы решат взять под контроль вашу информацию или линии связи, ничто из перечисленного ниже их не остановит. Однако эти гигиенические процедуры всё же сделают ваш компьютер более трудной мишенью, чем компьютер соседа.

1. Пароли.

Вам не удастся запомнить достаточно хорошие пароли, так что даже не пытайтесь. Придумывайте длинные пароли из произвольных символов и записывайте их. Храните их в своём бумажнике или в программе, вроде Password Safe. Оберегайте их, как собственную наличность. Не позволяйте веб-браузеру их сохранять. Не передавайте пароли (или PIN-коды) через незашифрованные письма или веб-формы на сайтах. Исходите из того, что любой PIN-код можно взломать, и действуйте соответственно.

2. Антивирусное ПО.

Используйте его. Скачивайте и ставьте обновления через каждые две недели либо сразу, как только услышите о новом вирусе из СМИ. Некоторые антивирусные продукты проверяют обновления автоматически.

3. Персональный брандмауэр (firewall).

Используйте. Как правило, нет никакого резона разрешать любые входящие соединения.

4. Электронная почта.

Удаляйте спам, не читая.

Не открывайте, а немедленно удаляйте сообщения с прикреплёнными файлами, за исключением случаев, когда вам точно известно их содержимое.

Не открывайте, а немедленно удаляйте мультяшки, видео-ролики и тому подобную "развлекаловку", присланную вашими доброжелательными друзьями.

Отключите HTML в своём мэйл-клиенте.

Не используйте Outlook и Outlook Express.

Если вам нужно работать с Microsoft Office, включите защиту от макро-вирусов; в Office 2000 установите уровень безопасности на "высокий" и не доверяйте никаким источникам, если только в том нет прямой необходимости.

Если работаете с Windows, выключите опцию "Не показывать расширения для зарегистрированных типов файлов" – она позволяет троянам маскироваться под файлы другого типа.

Удалите Windows Scripting Host, если можете без него прожить. Если не можете, то хотя бы внесите изменения в ассоциирование типов файлов, чтобы файлы скриптов не передавались в Scripting Host просто по двойному щелчку.

5. Веб-сайты.

SSL не даёт никаких гарантий, что сам владелец сайта надёжен и что его база данных с информацией о клиентах достаточно защищена. Дважды подумайте, прежде чем вести какие-то дела с веб-сайтом.

Ограничьте количеством персональных данных, которые передаёте веб-сайтам; не передавайте данные, если это не несёт вам никакой выгоды. Если не хотите сообщать персональные данные – лгите.

Не подписывайтесь на маркетинговые и спонсорские уведомления и рассылки. Если веб-сайт даёт возможность не сохранять персональную информацию для последующего использования, используйте её.

6. Посещение веб-страниц.

Ограничьте использование cookies, джава-апплетов и активных сценариев теми несколькими сайтами, которые предоставляют необходимые вам услуги.

Регулярно очищайте каталоги cookies и temp (специальный batch-файл делает это у меня при каждом запуске компьютера).

Если это вообще возможно, не используйте Microsoft Internet Explorer.

7. Приложения.

Ограничьте количество установленных у вас программ.

Если программа не нужна – не ставьте её.

Если в ней больше нет надобности – удаляйте её.

Если она вам нужна – периодически проверяйте обновления и новые версии и устанавливайте их.

8. Резервные копии.

Делайте их регулярно. Резервируйте на диск, ленту, CD или DVD.

Храните один комплект резервных копий на рабочем месте и ещё хотя бы один комплект – вне его (хорошее место – депозитный сейф).

Не забывайте уничтожать старые бэкапы; компакт-диски разрушайте физически.

9. Защита портативного ПК.

Держите ноутбук всегда при себе, когда находитесь вне дома; думайте о нём как о своём бумажнике или кошельке.

Регулярно очищайте ноутбук от ненужных файлов. То же касается карманных компьютеров. Зачастую люди хранят в них больше персональных данных, паролей и PIN'ов, чем даже в ноутбуке.

10. Шифрование.

Установите шифратор электронной почты и файлов (вроде PGP). Шифрование всей почты нереалистично, но некоторые сообщения слишком ценны, чтобы передавать их открытым текстом. Аналогично, некоторые файлы на диске содержат слишком важные сведения, чтобы оставлять их незашифрованными.

11. Общие рекомендации.

Выключайте компьютер, когда им не пользуетесь, особенно, если имеете перманентное соединение с Интернетом.

Если возможно, не работайте с Microsoft Windows.

Откровенно, это непростая задача. Даже я не могу сказать, что прилежно следую собственным советам. Но в большей части я им всё-таки следую, и, пожалуй, этого вполне достаточно. А "пожалуй, этого вполне достаточно" – это большее, чего вам в наши дни удастся добиться.

Советы по безопасности от киберпанков

Какие критерии выбора программ для защиты приватности имеются?

Убедиться, что вам предоставляют полноценную программу, а не услугу (https://www.gnu.org/), требующую участие сторонних лиц. Используя терминологию маркетинга: остерегайтесь облачных сервисов. Их использование возможно только если перед отправкой данных обеспечивается надёжная криптографическая защита, но даже в этом случае вы сможете гарантировать только конфиденциальность данных, но не анонимность.

Программа должна быть свободным (https://www.gnu.org/) программным обеспечением. Проприетарное ПО не даёт возможность контролировать ваш же собственный компьютер. Без контроля не может быть речи о безопасности, следовательно, и о приватности.

Остерегайтесь любой криптографии реализованной и исполняемой внутри Web-броузера. Web-технологии являются неимоверно переусложнёнными и никто не в состоянии адекватно проанализировать и исправить недостатки, связанные с безопасностью. Web создавался как распределённая система документов, а не как платформа запуска приложений. В вашей приватности практически никто в Web-мире не заинтересован.

Не поддавайтесь на западню, связанную с JavaScript (https://www.gnu.org/): технически код может и исполняется внутри вашего броузера, но, на данный момент, Web-броузеры не дают возможность контролировать код который загружается для исполнения.

Оцените серьёзность программы: не является ли она, так называемым, marketing bullshit, шарлатанской криптографией (https://www.schneier.com/). Сильно должны настораживать следующие фразы:

    собственные, уникальные, революционные, проприетарные алгоритмы;

    новейшая математика;

    невзламываемый, миллион бит вместо 128, "сильный как One-Time-Pad";

    быстрый: подходит для сервера и для обычного ПК.

Наличие криптографических конкурсов (https://www.schneier.com/) это очень плохой знак. Конкурсы практически никогда не работают:

у них нечестные условия: предлагают проверять танк разрешая стрелять только из автомата – не дают возможность использовать весь арсенал известных атак;

цена выигрыша конкурса банально может не окупить затраты на анализ;

порог вхождения для получения конкретного результата, а не математического доказательства возможности его получения, довольно высок – вопрос экономической целесообразности участия.

Как мне добиться приватности в Microsoft Windows или Apple OS X?

В общем случае – никак. Вы не знаете, что делают эти операционные системы с данными, не знаете, где и какие они имеют лазейки, не можете гарантировать качественную работу генератора псевдослучайных чисел. В некоторых случаях, например, когда компьютер не подключён к сетям передачи данных (airgap mode), риски не так велики. Прежде, чем затрачивать силы на то, чтобы повысить безопасность работы в этих системах, стоит оценить затраты на переход на свободное ПО – как правило, они будут гораздо ниже.

Что вам дороже: безопасность и приватность или удобство? Как правило, достичь одновременно обе эти цели технически невозможно. Безопасные решения требуют ответственности пользователей, более высокий порог вхождения. Или вы принимаете решения о вашей же собственной безопасности и приватности – или их примут за вас, вряд ли в вашу пользу.

Почему я должен доверять советам и ответам автора этого ресурса?

Не должны. Мы такие же люди, как и маркетологи, пиарщики и психологи. Наш перевес в том, что мы увлекаемся и интересуемся криптографией и пытаемся давать объективные технические оценки, а не полагаться на красивые презентации. Наш искренний совет: доверяйте криптографам.

Чем лучше зашифровать файл перед отправкой?

GnuPG. (https://gnupg.org/)

Чем шифровать электронную почту?

GnuPG.

Чем осуществлять аутентификацию ПО или документов при скачивании?

GnuPG.

Чем полностью зашифровать диск?

Большинство операционных систем предлагают вполне сносные решения из коробки: LUKS под GNU/Linux, softraid под OpenBSD, GELI под FreeBSD. Важно использовать XTS режим шифрования во всех перечисленных системах.

Операционные системы Microsoft Windows и Apple OS X не имеют средств шифрования из коробки которым можно было бы доверять.

Чем обеспечить приватность real-time переписки?

Instant messaging клиентами, поддерживающими Off-the-Record протокол (https://otr.cypherpunks.ca/) (или его производными типа TextSecure(https://www.whispersystems.org/).

Как анонимизироваться в Web и вообще в Интернете?

В общем случае ответа на этот вопрос нельзя дать. Очень много зависит не только от вас, но и от тех, кто предоставляет сайт. Векторов для вашей деанонимизации настолько много, что быстро оценить все риски и возможные утечки информации – очень сложно.

Проще всего использовать сети/программы изначально задумывающиеся, как уважающие приватность: GNUnet, Freenet, I2P, Retroshare.

И не забывать оценивать риски! Обеспечить анонимность при real-time коммуникациях (пытающихся гарантировать минимальные задержки при передаче данных) – практически невозможно. Так называемые store-and-forward решения (GNUnet, Freenet, другие) гораздо надёжнее, но Web в них работать не сможет.

В крайнем случае, можно посмотреть на Tor.

Но сеть анонимизации XXX медленная!

Во-первых, в отличие от шифрования (то что обеспечивает приватность передаваемых данных), анонимизация требует использование большой группы участников (так называемый anonymity set) – так как анонимизация, это обеспечение приватности метаданных.

Во-вторых, anonymity set создают только энтузиасты, только добровольцы, только простые люди. Никакая корпорация не заинтересована в обеспечении вашей приватности. Это исключительно личная потребность. Поэтому ресурсы на создание anonymity set могут появиться только за счёт кооперации людей.

Пока вы не начнёте кооперировать, поднимать у себя программы, делающие ваш компьютер участником anonymity set какой-либо сети – она не будет работать, не будет существовать. Поэтому вопрос почему сеть XXX такая медленная адресован к обычным людям: почему мы не участвуете в предоставлении части ресурсов вашего компьютера для того чтобы сделать XXX быстрее, лучше и безопаснее? У преобладающего большинства компьютеров простаивают процессоры, имеется свободное место на жёстких дисках, многие имеют высокоскоростные выделенные Интернет-каналы.

Общие советы по использованию сетевых ресурсов?

Избегайте слежки! Никто не заставляет вас использовать google.com – есть альтернативы типа DuckDuckGo, Ixquick. Никто не заставляет вас создавать почту на gmail.com – вы можете сами поднять почтовый сервер, можете использовать помощь более опытных знакомых, можете использовать сервисы типа Riseup, хотя и в этом случае вы не можете получить технические гарантии приватности вашей почтовой переписки. Никто не заставляет использовать только пару социальных сетей – есть возможность запустить свою собственную, независимую от рекламы, корпораций или государств: GNU social, diaspora*.

Не "сорите" данными! Включайте cookie в вашем броузере только для нужных доменов и только когда это действительно требуется. Отключите JavaScript по-умолчанию: в 99% случаев он не нужен для путешествия по Web. Большинство ресурсов требующих его использование в обязательном порядке – априори не ставят задачи уважить вашу приватность. Используйте анонимные средства оплаты, (на данный момент это только "наличка"): нет надобности сообщать ваше имя при покупке хлеба расплачиваясь банковской картой.

Блокируйте слежку (сбор вашей приватной информации)! Шифруйте передаваемые данные (OpenPGP, TLS, OTR, XTS, и тому подобные). Анонимизируйте метаданные.

Безопасен ли Telegram?

Ни в коем случае. Подробнее можно прочитать тут: http://www.cryptofails.com/.

Если коротко, то: в secret chat-ах в момент создания сессии между двумя пользователями используется протокол Диффи-Хельмана. Беда в том, что сообщения этого протокола не аутентифицируются данными/ключами пользователей. То есть, технически сервер Telegram спокойно может выступить промежуточным "собеседником" (читающим все сообщения) для каждого из участников и они не будут догадываться о том, что уже произошла MitM атака.

Как сохранить безопасность против слежки АНБ. Советы Брюса Шнайера

Теперь, когда у нас достаточно подробностей о том, как АНБ шпионит за интернетом, включая сегодняшнюю публикацию о целенаправленных действиях АНБ по ослаблению криптосистем, мы, наконец, можем подумать, как обезопасить себя.

Последние две недели я вместе с Guardian работал над историей вокруг АНБ и прочитал сотни сверхсекретных документов АНБ, предоставленных информатором Эдвардом Сноуденом. Я не принимал участие в сегодняшней публикации - она готовилась задолго до моего появления, - но всё прочитанное мной подтверждает сообщения Guardian.

Теперь же, как мне кажется, я готов дать ряд советов, как оградить себя от подобного противника.

Основной способ слежки АНБ за интернет-коммуникациями - это каналы связи, именно там наилучшим образом масштабируются его технические возможности. Агентство реализовало гигантские программы по автоматическому сбору и анализу сетевого трафика. Но всё, что требует от него взлома конкретных компьютеров, является значительно более рискованным и затратным, и оно идёт на подобные действия гораздо реже.

АНБ имеет доступ к магистральным каналам интернета за счёт своих тайных соглашений с телекоммуникационными компаниями - всеми компаниями из США и Великобритании, а также ряда прочих своих «партнёров» по всему миру. В случаях, когда оно не может положиться на такой «дружественный» доступ, оно идёт на всё, чтобы обеспечить скрытое прослушивание коммуникаций: подключается к подводным кабелям, перехватывает спутниковую связь и т.д.

Объёмы получаемых данных огромны, но АНБ располагает в равной мере огромными возможностями, чтобы быстро просеивать их в поисках интересующего трафика. «Интересующими» могут быть множество характеристик: источник, адресат, содержание, участники коммуникации и прочее. Все эти сведения направляются в гигантскую систему АНБ для последующего анализа.

В ещё больших объёмах АНБ собирает метаданные трафика: кто и с кем связывается, когда, как долго, каким способом. Метаданные, по сравнению с содержанием, гораздо проще хранить и анализировать, они могут иметь чрезвычайно личный характер для человека и они невероятно ценны для разведки.

Возглавляет направление по сбору данных Управление системной разведки, и объёмы ресурсов, которые оно выделяет на эти цели, просто поражает. Я читаю отчёт за отчётом, рассматривающие возможности этих программ, их функциональные детали, планы модернизации и т.д. На каждую конкретную проблему - извлечение электронных сигналов из оптических кабелей, поддержание скорости перехвата терабайтных потоков данных, отфильтровывание интересующих вещей - есть своя отдельная группа, занятая поисками решений. Охват тем глобален.

АНБ также атакует и сами сетевые устройства: маршрутизаторы, свитчи, брандмауэры. Большинство этих устройств имеют встроенные функции для прослушки; хитрость заключается в том, чтобы незаметно активировать их. Это крайне плодотворное направление взлома: маршрутизаторы реже обновляют, на них реже установлены программные средства безопасности и они, как правило, не рассматриваются в качестве уязвимого компонента.

Кроме того, АНБ направляет значительные ресурсы на взлом оконечных компьютеров. Этим делом у них занимается группа TAO - Отделение адаптированного доступа. У TAO есть меню эксплоитов, которыми оно может «обслужить» ваш компьютер (будь он под управлением Windows, Mac OS, Linux, iOS или чего-то ещё), и ряд приёмов, чтобы доставить их на ваш компьютер. Их не обнаружит ни ваш антивирус, ни, скорее всего, вы сами, даже если будете знать, что искать. По сути, это хакерские инструменты, разработанные хакерами с практически безграничным бюджетом. Что я вынес из документов Сноудена - это тот факт, что если АНБ захочет влезть в ваш компьютер, оно влезет. Точка.

АНБ решает проблему зашифрованных данных, с которыми ему приходится сталкиваться, в основном обходя криптографию, нежели используя какие-то секретные математические открытия. Во-первых, в мире полно бестолковой криптографии. К примеру, если оно обнаруживает сетевое соединение, защищённое с помощью MS-CHAP, его легко взломать и восстановить ключ. Оно взламывает слабые пользовательские пароли, используя такие же словарные атаки, которыми пользуются гражданские хакеры.

Как мы сегодня узнали, АНБ также «взаимодействует» с разработчиками средств безопасности, чтобы их коммерческие средства шифрования были уязвимы в таких местах, о которых известно только Агентству. Мы помним, что такое уже было в истории: CryptoAG и Lotus Notes - два самых ярких примера, и есть свидетельства в пользу бэкдора в Windows.

Несколько человек сообщили мне ряд более свежих историй из своего недавнего опыта, и вскоре я собираюсь об этом написать. В сущности, АНБ предлагает компаниям вносить небольшие незаметные изменения в их продукты: сделать генератор случайных чисел менее случайным, каким-либо образом производить утечку ключа, добавить общую экспоненту в протокол согласования ключей и т.п. Если кто-либо обнаруживает бэкдор, он объясняется как обычная программная ошибка. И, как нам теперь известно, АНБ добилось невероятных успехов с этой инициативой.

TAO также взламывает компьютеры для извлечения долгосрочных ключей. Таким образом, если вы поддерживаете VPN со сложным общим секретом для защиты данных, и АНБ посчитает их заслуживающими внимания, оно может попытаться выкрасть этот секрет. Такие операции предпринимаются только в отношении особо важных целей.

Итак, как же вам организовать безопасную связь при наличии такого противника? Сноуден дал ответ в своём интервью вскоре после обнародования своих первых документов: «Шифрование работает. Должным образом реализованные стойкие криптосистемы - одна из немногих вещей, на которую вы можете положиться».

Думаю, это правда, даже, несмотря на сегодняшние откровения и провокационные намёки Джеймса Клэппера, директора национальной разведки, на «прорывные возможности криптоанализа», сделанные им в другом сверхсекретном документе. Все эти возможности заключаются в намеренном ослаблении криптографии.

Но последующая фраза Сноудена имеет не меньшую значимость: «К несчастью, оконечная безопасность столь ужасающе низка, что АНБ зачастую способно её обойти».

«Оконечная» - это программы, которые вы используете, компьютер, на котором вы их используете, и локальная сеть, в которой вы их используете. Если АНБ удастся модифицировать алгоритм шифрования или закинуть на ваш компьютер троян, никакая криптография на свете вам уже не поможет. Если вы хотите сохранить безопасность против АНБ, вам придётся пойти на всё, чтобы работе шифрования ничто не могло помешать.

Исходя из всего сказанного, у меня есть пять советов:

Спрячьтесь в сети.

Используйте скрытые сервисы. Используйте Tor, чтобы самому оставаться анонимным. Да, АНБ интересуют пользователи Tor, но это всё равно препятствие для его работы. Чем менее вы заметны, в тем большей вы безопасности.

Шифруйте связь.

Используйте TLS, используйте IPSec. Опять же, хотя АНБ целенаправленно перехватывает зашифрованные коммуникации (и, возможно, располагает специальными эксплойтами против названных протоколов), вы будете гораздо лучше защищены, чем при передаче данных открытым текстом.

Исходите из того, что хотя ваш компьютер могут взломать,

для АНБ это будет дополнительной работой и риском, так что, вероятно, он не взломан. Если имеете дело с чем-то действительно важным, используйте автономные, не подключенные к сети системы.

С тех пор, как я начал работать с документами Сноудена, я купил новый компьютер, который никогда не подключал к интернету. Когда мне нужно передать файл, я зашифровываю его на безопасном компьютере и отношу к своему сетевому компьютеру на флэшке. Чтобы расшифровать что-то, я действую в обратном порядке. Этот метод не безупречен, но достаточно хорош.

Относитесь с подозрением к шифровальному ПО, особенно от крупных разработчиков.

Полагаю, что большинство криптографических продуктов от больших американских компаний имеют бэкдоры для АНБ и, скорее всего, множество зарубежных тоже. Будет разумным допустить, что иностранные продукты идут в комплекте с собственными иностранными бэкдорами. АНБ проще встроить закладки в закрытое ПО, нежели в ПО с открытым исходным кодом. Системы с общими секретами более уязвимы для АНБ, за счёт как законных, так и нелегальных методов.

Старайтесь использовать стандартные методы шифрования,

которые должны быть совместимы с другими реализациями. Например, АНБ труднее встроить бэкдор в TLS, нежели в BitLocker, поскольку реализация TLS у одного разработчика должна быть совместимой со всеми прочими реализациями TLS, тогда как BitLocker должен быть совместим лишь самим собой, что развязывает АНБ руки при внесении изменений. И поскольку BitLocker проприетарен, вероятность обнаружения в нём этих модификаций значительно ниже.

Отдавайте предпочтение симметричному шифрованию над шифрованием с открытым ключом. Предпочитайте общепринятые системы на дискретных логарифмах перед системами на эллиптических кривых; последние содержат константы, проталкиваемые АНБ при малейшей возможности.

То время, что я работаю над документами Сноудена, я использую GPG, Silent Circle, Tails, OTR, TrueCrypt, BleachBit и ещё несколько вещей, о которых мне бы не хотелось распространяться. В моей программе Password Safe есть недокументированная шифровальная функция, доступная из командной строки; её я тоже использую.

Я сознаю, что большинство перечисленного невозможно для простого интернет-пользователя. Даже я сам не использую все эти инструменты для всего, над чем я работаю. И я по-прежнему, к сожалению, использую в основном Windows. С Linux было бы безопасней.

АНБ превратило саму ткань интернета с гигантскую платформу для слежки, но всё же оно не владеет тайной магией. Оно ограничено рамками тех же экономических реалий, что и все мы, и наилучший для нас способ самозащиты - сделать слежку за нами настолько дорогой, насколько это возможно.

Доверяйте математике. Шифрование - ваш друг. Хорошо обращайтесь с ними и сделайте всё от вас зависящее, чтобы они не были скомпрометированы. Это поможет вам оставаться в безопасности даже перед лицом АНБ.

СПРАВКА о Брюсе Шнайере

Брюс Шнайер - американский криптограф, писатель и специалист по компьютерной безопасности. Автор нескольких книг по безопасности, криптографии и информационной безопасности.

Основатель криптографической компании Counterpane Internet Security, Inc., член совета директоров Международной ассоциации криптологических исследований и член консультативного совета Информационного центра электронной приватности, также работал на Bell Labs и Министерство обороны США. Разработчик алгоритмов шифрования Skein, Solitaire, Yarrow, Twofish, Blowfish, Threefish.

Источник: https://telegra.ph/

ВНИМАНИЕ!      Вся информация актуальна на момент публикации статьи.

На странице "Книги - бесплатно" Вы можете СВОБОДНО скачать некоторые материалы раздела "Бонус" немедленно.

Ваш комментарий к статье: Правила комментирования: