Заметил в книжном магазине новую книгу Кевина Митника - широко известного телефонного хакера или, если говорить точнее, фрикера. Решил приобрести и ознакомиться.
В этой книге вперемежку изложены вопросы защиты информации от посторонних, которых можно условно поделить на три уровня компетентности:
- Защита личных данных от неквалифицированных взломщиков (родственников, друзей, соседей, коллег).
- Защита от слежки и перехвата данных интернет-сервисами.
- Защита от слежки со стороны спецслужб.
Большинству людей для того, чтобы защитить свою личную жизнь от любопытных глаз, достаточно простейших мер защиты первого уровня. Условно можно считать, что второй уровень защиты стоит соблюдать бизнесменам, чей бизнес может стать объектом промышленного шпионажа. Крупным государственным деятелям, которые должны обеспечивать секретность информации государственного значения, и преступникам, которые вынуждены скрываться от спецслужб, не обойтись без средств третьего уровня защиты.
1. Защита от неквалифицированных взломщиков
Тут можно обозначить несколько аспектов, на которых стоит обратить внимание.1.1. Пароль
Автор рекомендует использовать пароли длиной 20-25 символов, разные для разных сайтов и использовать для их хранения менеджер паролей, такой как Password Safe или KeePass. Следует отдавать предпочтение программам с открытым исходным кодом, т.к. в них труднее скрыть троянские функции, ошибки проектирования и слабые криптографические алгоритмы.1.2. Восстановление забытого пароля
Устанавливая секретные вопросы для восстановления забытого пароля, следует избегать наиболее очевидных вариантов из раскрывающегося списка. Так же не стоит отвечать на секретные вопросы честно, т.к. в таком случае злоумышленнику вместо знания пароля будет достаточно разузнать несколько различных фактов о вас. Например, для ответа на вопрос о любимом блюде злоумышленник может заглянуть в ваш профиль в соцсети или ненавязчиво задать нужный вопрос во время дружеской беседы, интервью и т.п. Кроме того интернет-сервисы используют эти вопросы для сбора информации о владельце учётной записи. Стоит выбирать неочевидные варианты ответов и где-нибудь записывать не сами ответы, а подсказки, которые помогут вспомнить эти ответы.Также, если сервис позволяет привязать учётную запись к номеру телефона, автор рекомендует это сделать. Злоумышленник, который сможет подобрать или украсть пароль, не сможет поменять пароль, т.к. при попытке поменять пароль сервис отправит на телефон SMS-сообщение с кодом подтверждения операции. Не стоит, однако, забывать, что номер телефона - это тоже личная информация, которая станет известна интернет-сервису. Вдвойне хуже то, что номер телефона позволяет достоверно идентифицировать личность владельца этой учётной записи.
1.3. Блокировка устройства
Автор настоятельно советует блокировать доступ к рабочему компьютеру при покидании рабочего места. Чтобы блокировка происходила автоматически, рекомендуется использовать автоблокировку при отсутствии поблизости носимого устройства, поддерживающего Bluetooth - телефона, фитнес-браслета или умных часов.Заблокировать доступ к мобильному устройству можно при помощи различных средств: PIN-кода, рисунка по 9 точкам, распознавания лица владельца или распознавания отпечатка пальца. У всех этих средств есть слабые стороны.
В Android Block Patterns используется блокировка рисунком по 9 точкам. Всего существует 140704 варианта рисунков, но люди чаще всего используют рисунок, напоминающий первую букву их имени и редко используют угловые точки. Стоит учитывать это при выборе рисунка для блокировки устройства. Кроме того, существуют приложения, которые позволяют увеличить количество точек, используемых для блокировки.
Злоумышленник может не видеть PIN-код или рисунок, но может узнать их по движению руки. Для защиты от угадывания PIN-кода по движению руки существуют приложения, которые перемешивают клавиши с цифрами, так что каждый раз вы будете набирать один и тот же PIN-код, но каждый раз движения руки будут разными.
Функцию распознавания лица владельца можно обмануть при помощи фотографии с высоким разрешением. Сканер отпечатков пальцев можно обмануть, сняв копию отпечатка при помощи присыпки и скотча.
Т.к. у каждого из этих средств блокировки существуют слабые стороны, для надёжной блокировки устройства следует использовать сразу несколько способов аутентификации. Например, отпечаток пальца, лицо и PIN-код.
1.4. Изоляция устройств друг от друга
Автор рекомендует обзавестись отдельным устройство для банковских операций и решения медицинских вопросов, учётные записи на котором стоит привязать к номеру телефона, не использовать больше ни для каких иных целей. Таким образом можно обезопасить информацию на этом устройстве от сторонних приложений, которые могут иметь встроенные закладки и от вирусов.1.5. Использование чужих устройств
Допустимо использовать чужие устройства, если вы хотите получить доступ к публичной информации, не пользуясь своими учётными данными. Если же вам нужно воспользоваться своей учётной записью, стоит учесть, что на чужом устройстве могут быть установлены кейлоггеры - программы для записи в журнал нажатий всех клавиш. В таком случае владелец устройства имеет возможность узнать ваш пароль. Кроме того, браузеры ведут журнал посещённых страниц.Если вы всё-же решили воспользоваться чужим устройством для доступа к своей учётной записи, стоит проявить максимальную осторожность. Во-первых, стоит воспользоваться режимом инкогнито в браузере, чтобы браузер не сохранял историю посещённых страниц. Во-вторых, после работы с учётной записью следует выйти из сервиса. В-третьих, не стоит разрешать программе сохранить пароль или отмечать галочку "запомнить меня". Наконец, после использования чужого устройства, когда вы доберётесь до своего устройства, следует поменять пароли на всех сервисах, которыми вы пользовались с чужого устройства.
Не стоит забывать, что использованный вами сервис может использоваться в качестве средства восстановления доступа к другим учётным записям. Например, если вы решили проверить почту на чужом устройстве, то следует поменять пароль не только от почтового ящика, но и от всех сайтов, на которых этот почтовый ящик указан в качестве средства восстановления доступа.
1.6. Использование публичных сетей доступа
При использовании публичных сетей доступа вроде бесплатной сети WiFi в аэропорту стоит соблюдать осторожность. Злоумышленник, находящийся поблизости, может создать свою поддельную точку доступа и ретранслировать трафик между вашим устройством и настоящей сетью. При этом он может не только прослушивать незашифрованный трафик, извлекая из него пароли, номера кредитных карт и прочую информацию, но и может внедрять в нешифрованный трафик троянские программы для взлома вашего устройства.Чтобы немного снизить риск, стоит установить HTTPS Everywhere - плагин для браузера, который позволяет использовать HTTPS с наилучшими доступными настройками приватности, даже если браузер согласовал бы с сайтом менее безопасный режим.
Стоит однако помнить, что одной лишь установки плагина HTTPS Everywhere недостаточно для полной защиты. Адекватную защиту при использовании публичных сетей доступа может дать использование доверенного (предоставленного работодателем или своего собственного) VPN-сервера. Во всех остальных случаях после использования публичной сети доступа стоит сменить пароли всех учётных записей, которыми вы пользовались и проверить устройство антивирусом.
2. Защита от слежки со стороны интернет-сервисов
2.1. Выход из сервисов
Интернет-сервисы вроде Google кроме почты предоставляют сторонним сайтам разнообразные виджеты вроде кнопок +1 или виджетов для отслеживания статистики посещаемости сайта. Эти виджеты собирают информацию не только о сайтах, на которых они помещены, но и о пользователях интернет-сервисов. Например, если вы используете почту Google, а затем заходите на какой-то другой сайт, где используется виджет Google, то Google узнает не только о том, что вы заходили на этот сайт, но и какие страницы этого сайта вы посещали.Поэтому следует всегда выходить из учётных записей интернет-сервисов и сайтов после их использования.
2.2. Средства блокировки "жучков"
Даже если вы выходите из учётной записи сайта после его использования, интернет-сервисы всё равно могут продолжать собирать информацию о посещённых вами страницах. Интернет-сервис не будет явным образом связывать эти посещения с вашей учётной записью и, например, показывать историю посещений на соответствующей странице управления вашей учётной записью, но всё равно будет использовать эту информацию для формирования анонимной статистики. Например, если выйдя из почты вы отправитесь в веб-магазин или на порносайт, обезличенная информация из вашей учётной записи на почтовом интернет-сервисе будет использоваться для сбора статистики о товарах и сексуальных интересах пользователей вашего возраста, пола, проживающих в вашей местности, говорящих на вашем языке, имеющих определённый уровень образования и т.д.Чтобы заблокировать известные "жучки", отслеживающие активность, существует специальное дополнение для браузера, которое называется Ghostery.
Однако, разработчики дополнения Ghostery не могут знать обо всех существующих "жучках", используемых всеми сайтами в интернете. Для слежки могут использоваться JavaScript'ы, объекты Flash, скрытые картинки и даже Canvas - средство рисования в HTML5.
Дополнения NoScript и ScriptBlcok позволяют заблокировать JavaScript и Flash с возможностью выборочного разблокирования.
Canvas Blocker - расширение для Firefox, позволяющее заблокировать отслеживание активности при помощи Canvas. Аналогичное расширение для Chrome называется Canvas FingerprintBlock.
Второе место после "жучков" в качестве средства отслеживания активности занимает реклама. При размещении рекламы в Google Ads или Яндекс.Директ, заказчик рекламы получает возможность разместить свою рекламу в результатах поиска. Но кроме таких рекламных интернет-сервисов существуют интернет-сервисы, занимающиеся распространением рекламы на сторонних сайтах. Заказчики оплачивают размещение рекламы в этой сети, а различные сайты устанавливают себе рекламные виджеты, которые показывают рекламу. Часть денег, оплаченных заказчиком рекламы, идёт сервису-организатору распространения рекламы, а часть денег идёт сайтам, на которых реклама была показана. Для того, чтобы справедливо распределять деньги рекламодателя, рекламные виджеты должны вести учёт статистики - на каком сайте (и на какой странице сайта) какой рекламный блок был показан и сколько раз. Поскольку рекламные виджеты могут устанавливать самые разные сайты, у организатора распространения рекламы появляется прекрасная возможность следить за посетителями всех этих сайтов при помощи рекламных виджетов. Рекламный виджет может устанавливать в браузере Cookie, и опознавать одного и того же посетителя.
Таким образом дополнения для браузеров, позволяющие блокировать рекламу, кроме своей основной функции - блокировка показа рекламы, позволяют также предотвратить слежку за пользователем. Среди подобных дополнений можно назвать, например, AdBlock Plus или uBlock Origin.
Даже если в браузере отключено сохранение Cookie, отключены JavaScript, Flash и Canvas, для отслеживания активности пользователя всё ещё можно использовать информацию о характерных свойствах браузера. Браузеры могут сообщать сайтам и виджетам информацию о своём названии и версии, о поддерживаемых им языках, часовом поясе, форматах сжатия страниц, установленных дополнениях и т.п. Если ваш браузер обладает редким сочетанием свойств, то вашу активность в интернете по-прежнему можно идентифицировать с достаточно высокой степенью достоверности.
Проверить типичность/уникальность своего браузера можно на сайте panopticlick.com. Снизить вероятность отслеживания вашей активности по уникальной информации о браузере можно воспользовавшись самой популярной платформой и браузером. Например, это могут быть Windows 7 или Windows 10 и браузер Chrome. Стоит установить дополнения для блокировки рекламных жучков, JavaScript, Flash, Canvas, но не устанавливать больше никаких других дополнений. Каждое последующее установленное дополнение, особенно редкое, увеличивает уникальность вашего браузера и увеличивает вероятность вашей идентификации.
2.3. Приватные поисковые системы
Все популярные поисковые системы учитывают историю предыдущих попыток поиска информации, пытаются определить, к какой статистической группе пользователей можно вас отнести, и в соответствии с собранной информацией корректируют результаты последующих поисковых запросов так, чтобы они более точно соответствовали вашим интересам. Оборотной стороной такой подстройки является тот факт, что поисковая система не предоставляет пользователю полные результаты поиска, из-за чего пользователь попадает в ловушку фильтров, о чём может даже не догадываться. Такая ловушка фильтров называется Пузырём фильтров.DuckDuckGo - поисковая система без учётных записей, не отслеживает запросы пользователей, не сохраняет историю поиска. Для поиска использует несколько других поисковых систем, отдаёт предпочтение тем результатам, которые были возвращены большим количеством поисковых систем.
startpage.com - поисковая система фирмы ixquick, выполняющая анонимный поиск в Google. В Google передаётся обезличенный поисковый запрос, так что Google не имеет возможности отслеживать историю поисковых запросов конкретных пользователей и не может подстраивать результаты поиска индивидуально под каждого пользователя.
2.4. Использование множества учётных записей
Если вам часто приходится пользоваться учётными записями популярных интернет-сервисов, можно завести раздельные учётные записи для разных целей. Например, один почтовый ящик можно использовать только для социальных сетей, другой - только для совершения онлайн-покупок, третий - для банковских операций или пользования госуслугами, четвёртый - для переписки и т.д. Чем больше почтовых ящиков и связанных с ними учётных записей вы используете, тем менее полной становится информация о вас. Информация о вас как бы размывается, размазывается по разным учётным записям, не связанным между собой явным образом.2.5. Сквозное шифрование PGP и OTR
Почтовые сервисы имеют доступ к содержимому писем и пользуются этим доступом для того, чтобы показывать владельцу почтового ящика целевую рекламу, которая наиболее точно соответствует как интересам самого пользователя, так и представлениям рекламодателя о целевой аудитории рекламы.Трафик между пользователем и сервисом обычно шифруется, но доступ к содержимому переписки имеют владельцы сервисов обоих абонентов. Если трафик между сервисами не шифруется, то доступ к содержимому трафика имеют владельцы всех транзитных маршрутизаторов. Чтобы скрыть содержимое переписки от владельцев сервисов и транзитных маршрутизаторов, лучше всего использовать так называемое сквозное шифрование, когда абоненты обмениваются через интернет уже зашифрованными сообщениями.
Для сквозного шифрования писем можно воспользоваться одной из программ шифрования:
- PGP (Pretty Good Privacy) - платная программа, которая продаётся компанией Symantec Corporation.
- OpenPGP - бесплатная версия PGP, которую разработал Фил Циммерман - автор первых версий PGP.
- GnuPG (GNU Privacy Guard) - бесплатная программа, разработанная Вернером Кохом.
Открытый ключ, взятый из публичного источника, может оказаться подменённым. Если вы не доверяете источнику, из которого взяли открытый ключ, то можно попросить владельца выслать открытый ключ по доверенному каналу. Например, если вы точно знаете номер телефона интересующего вас собеседника или его учётную запись в Twitter, то могли бы попросить выслать открытый ключ в SMS или опубликовать его в Twitter'е. Однако открытый ключ слишком большой, чтобы он уместился в одном SMS-сообщений или в одной записи на Twitter. Для выхода из этой ситуации предусмотрен отпечаток открытого ключа, состоящий всего из 40 символов. Получив отпечаток открытого ключа, можно убедиться в достоверности самого открытого ключа, который был взят из неподтверждённого источника.
Секретный ключ лучше генерировать и хранить самостоятельно, а не доверять его хранение каким-либо интернет-сервисам. Во-первых, интернет-сервисы могут быть привлекательной целью для злоумышленников, которые при успешном взломе смогли бы заполучить доступ сразу к большому количеству ключей. Во-вторых, интернет-сервисы обязаны передавать информацию государственным спецслужбам по их запросу. Если секретный ключ окажется в руках злоумышленников или спецслужб, то они получат возможность не только читать зашифрованные послания, но и отправлять послания от вашего имени.
Для ведения переписки, защищённой при помощи PGP, с использованием почтовых сервисов прямо из браузера, существует плагин Mailvelope для Chrome и Firefox. Плагин позволяет шифровать сообщения прямо в браузере, отправляя через почтовый веб-сервис уже зашифрованное сообщение.
Кроме электронной почты для обмена информацией можно использовать мгновенные сообщения и голосовую связь.
Существует несколько сервисов обмена мгновенными сообщениями, которые позиционируют себя как безопасные. Специалисты по безопасности считают, что наиболее защищённым сервисом является мессенджер Signal, также сочетающий в себе функции голосовой связи. За ним по степени безопасности следуют CryptoCat, у которого, к сожалению, нет приложений для Android, и ChatSecure. Приложение ChatSecure при первом запуске генерирует сертификат, который сохраняется на устройстве локально и в дальнейшем используется для аутентификации на сервере. Также ChatSecure осуществляет шифрование журналов и неактивных данных на устройстве.
В общем случае при выборе мессенджера следует обращать внимание на поддержку технологий OTR и PFS, и на то, какая информация хранится на устройстве и на серверах и в каком виде. Предпочтение следует отдавать тем мессенджерам, которые либо не хранят критически важной информации на устройствах или на серверах, либо хотя бы осуществляют их шифрование.
Согласно некоторым исследованиям экспертов в сфере информационной безопасности (стр. 122), серверы Telegram возможно скомпрометировать и получить доступ к критическим данным. Удалось также извлечь зашифрованные сообщения после удаления их с устройства.
3. Защита информации от спецслужб
3.1. Сокрытие своего местоположения
При всех достоинствах PGP, у него имеется один недостаток: с его помощью можно зашифровать лишь тело письма, но не конверт. В конверте остаётся незашифрованной информация об отправителе и получателе, тема письма, времени отправки и маршруте письма. Этой информации тоже может оказаться достаточно для того, чтобы злоумышленники могли воспользоваться ей в корыстных целях. Из маршрута письма можно узнать IP-адреса всех компьютеров, через которые прошло письмо, включая IP-адрес компьютера отправителя. Блоки IP-адресов поделены между регионами, а внутри регионов распределяются между интернет-провайдерами разных стран. Без особых проблем возможно установить страну и провайдера, которым принадлежит IP-адрес отправителя. Сам провайдер по запросу спецслужб может выдать паспортные данные клиента, т.к. каждый клиент заключает с ним договор на предоставление услуг, и адрес предоставления услуги, если услуга предоставляется по проводу.Что касается мобильной связи, то тут вариантов слежки даже больше. На SIM-карте имеется идентификационный номер IMSI, который состоит из двух частей: идентификатора мобильного оператора и идентификатора абонента. Мобильный телефон постоянно посылает маячковый сигнал, содержащий IMSI, чтобы определить ближайшую станцию сотовой связи и иметь возможность принять входящий звонок. У спецслужб имеются поддельные станции сотовой связи, которые умеют определять все IMSI, находящиеся поблизости, а также перехватывать разговоры. Список IMSI помогает, например, определить всех присутствующих на митинге, а скорость перемещения IMSI от одной базовой станции к другой позволяет определить интенсивность дорожного движения. Чтобы иметь возможность в любой момент переключиться с одной станции сотовой связи на другую, телефон постоянно поддерживает связь с несколькими станциями, что позволяет оператору сотовой связи измерить интенсивность сигнала на каждой из базовых станций и методом триангуляции установить точное местоположение абонента.
Итак, для сокрытия адреса отправителя письма, зашифрованного средствами PGP, можно воспользоваться сервисами-ремейлерами, которые меняют адрес отправителя перед отправкой письма. Чтобы скрыть IP-адрес, отправитель может воспользоваться "луковичной маршрутизацией".
Одной из практических реализаций луковичной маршрутизации является сеть Tor. Tor пересылает трафик к адресату через цепочку анонимных посредников, которая меняется каждые 30 секунд. Для использования Tor нужно установить специально доработанный браузер Firefox, скачав его с сайта Tor - torproject.org. Для Android в Google Play доступно приложение Orbot. Для iOS в iTunes App Stoer есть приложение Onion Browser. Домены, оканчивающиеся .onion, существуют только в сети Tor.
Недостаток Tor заключается в том, что выходной узел может принадлежать злоумышленнику или спецслужбам, которые могут перехватывать трафик, следить за вами или даже установить вашу личность. (Стоит также учитывать, что протокол HTTPS скрывает лишь содержимое запросов, но не скрывает адрес сайта с которым устанавливается связь.) Поэтому для использования Tor тоже лучше завести отдельное устройство. Перед каждым использованием устройства лучше сменить MAC-адрес. Если нужно скрываться от спец-служб, это устройство должно быть куплено не по вашей платёжной карте, ваше лицо не должно попасть на камеры видеонаблюдения магазина, где устройство было куплено, а номер автомобиля не должен быть зафиксирован на стоянке возле магазина. Лучше чтобы устройство было куплено человеком, не знакомым с вами. Момент передачи устройства не должен быть зафиксирован камерами видеонаблюдения. Лучше, если место передачи устройства будет находиться на значительном расстоянии от места покупки.
В Интернет с такого устройства стоит выходить либо через публичные WiFi-сети (которые в России запрещены), либо через анонимную SIM-карту (которые в России запрещены). Пользуясь публичными WiFi-сетями, лучше выбирать место, не попадающее под обзор камеры. Можно пользоваться WiFi-сетью из соседнего заведения. Лучше всего пользоваться каждый раз разными публичными WiFi-сетями. Перед использованием анонимной SIM-карты нужно заблаговременно и на достаточно большом расстоянии отключить все другие сотовые устройства, чтобы затруднить спецслужбам установить связь между двумя SIM-картами по признаку их одновременной регистрации на близких базовых станциях.
Для сохранения полной анонимности на этом устройстве нельзя использовать ни свои почтовые ящики, ни учётные записи Google или других сайтов. Не стоит даже заходить на сайты с прогнозами погоды: скорее всего вас будет интересовать погода в том городе, где вы находитесь, что даст спецслужбам информацию о вашем примерном местонахождении. Сайт о погоде, как правило, будет пытаться определить ваше местоположение, чтобы показать прогноз погоды того города, где вы находитесь. Подобным же образом ваше местонахождение могут пытаться определить и другие сайты. Для сокрытия реального местоположения можно установить дополнение для браузера Change Geolocation, которое позволяет указать произвольные координаты GPS. На стр. 133 даются рекомендации по отключению геолокации в браузере.
Во всей информации, которой вы обмениваетесь через Tor, могут иметься подсказки, указывающие на ваше реальное местоположение. Например, фотоаппараты и прочие устройства часто прикрепляют к фотографиям EXIF-теги, в которых может иметься информация о модели устройства, часовом поясе и времени снимка и GPS-координатах устройства. Если вы предприняли все меры к сокрытию своего местоположения, стоит соблюдать осторожность и при обмене фотографиями. Не нужно обладать специальными знаниями, чтобы извлечь эту информацию из фотографий, поэтому спецслужбы тоже могут воспользоваться ею.
Для сбора метаданных из документов можно воспользоваться программой для Linux Metagoofil, которая позволяет извлекать информацию не только из EXIF-тегов фотографий, но и из PDF-файлов, doc-файлов, в том числе имена пользователей, имена компьютеров, имена файлов и каталогов на компьютерах, где эти документы были изготовлены и прочую информацию.
3.2. Использование децентрализованных сервисов
Большинство защищённых мессенджеров, о которых шла речь, обычно привязывают учётную запись к номеру телефона или требуют указать номер телефона при регистрации. Многие из них привязываются к телефону настолько, что для использования онлайн-клиента или клиента для настольной операционной системы требуют постоянно держать запущенным приложение на телефоне. Лично я с подозрением отношусь ко всем подобным сервисам, потому что такой сводит на нет все преимущества анонимности. Если информацию удастся расшифровать, то авторство можно считать уже доказанным. При соблюдении анонимности одной расшифрованной информации может быть уже не достаточно для того, чтобы воспользоваться ею. Нужно ещё установить её авторов и доказать, что эта информация принадлежит именно им.Так же не стоит полагаться на закрытые коммерческие сервисы, у которых есть какой-то определённый владелец. Спецслужбы или представители власти могут на законных основаниях потребовать с владельца сервиса предоставить любую информацию о пользователях сервиса или содержимом переписки.
Лучше, если необходимый сервис можно настроить самостоятельно на анонимно арендованном виртуальном сервере. Ещё лучше, если доступны исходные тексты всех программ, составляющих сервис. Наконец, при использовании такого сервиса нужно использовать сквозное шифрование, так чтобы владельцы виртуального сервера не смогли получить доступ к содержимому переписки.
Например, хорошей альтернативой популярным защищённым мессенджерам может быть приложение Tor Messenger, развиваемое в рамках проекта Tor. Также неплохой альтернативой может быть Jabber-сервер и Jabber-клиенты со встроенной поддержкой сквозного шифрования. Например, кроме уже озвученного OTR, стандартизованного в рамках расширения XEP-0364 протокола XMPP, можно обратить внимание на более современный OMEMO, разработанный на основе алгоритмов из мессенджера Signal. OMEMO тоже уже стандартизован в рамках расширения протокола XMPP - XEP-0384 и поддерживается мобильным Jabber-клиентом Conversations и сервером ejabberd.
3.3. Шифрование данных на устройстве
Промышленные шпионы, иностранные шпионы, спецслужбы или госорганы могут получить доступ к вашему устройству. По мнению Кевина Митника, стоит шифровать данные даже в том случае, если вы полагаете, что вам нечего скрывать. В различных штатах США имеется очень изощрённое законодательство, разнящееся от штата к штату. То, что в одном штате может быть законным, в другом штате может оказаться незаконным. Заранее бывает трудно определить, какая именно информация на ваших устройства может оказать вам медвежью услугу. Кроме того, даже если сама по себе эта информация вполне законна, она может послужить веским доводом в решении спорных вопросов. Поэтому стоит шифровать всю информацию.3.4. Выключение устройства
Пока устройство остаётся включенным, в его оперативной памяти хранятся ключи, используемые для шифрования и расшифровки информации. Спецслужбы могут воспользоваться уязвимостями в реализации различных аппаратных протоколов для того, чтобы считать содержимое памяти и найти там ключи. Например, это может быть уязвимость в подсистеме USB, благодаря которой можно скопировать содержимое оперативной памяти устройства, просто вставив в него специально разработанное USB-устройство. Чтобы избежать этой опасности, лучше выключать устройство, если вы не собираетесь в ближайшее время пользоваться им.3.5. Держите устройство при себе
Даже выключенное устройство может представлять опасность. Например, спецслужбы могут изменить загрузчик операционной системы так, что при включении он, например, начнёт записывать нажатия клавиш. Можно снять копию жёстких дисков в надежде, что она окажется не зашифрованной, или с расчётом в дальнейшем расшифровать её. Не стоит доверять устройству, которое побывало в чужих руках. Стоит носить устройство с собой. Если вам всё-же придётся на некоторое время расстаться с устройством, например, в аэропорту, лучше заранее скопировать всю важную информацию в зашифрованном виде на удалённый сервис и очистить устройство от неё.В книге имеется упоминание массы других программ, способов слежки, злоупотребления информацией. Поскольку она плохо структурирована, можно перечитать её ещё несколько раз и каждый раз найти ещё что-то интересное.
Например, в книге рассматривается вопрос безопасности использования приборов для "умного дома", "интернета вещей", беспроводных часов и фитнес-трекеров. Все эти устройства, как правило, обладают низкой производительностью, из-за чего в них просто нет возможности использовать достаточно сложные протоколы шифрования. Также, фирмы-производители этих устройств, как правило, не уделяют должного внимания вопросам безопасности и используют для управления облачный сервис. Многие производители подобных устройств быстро разоряются, закрывая облачный сервис и оставляя покупателей с бесполезными устройствами, либо быстро перестают выпускать обновления, закрывающие уязвимости устройств.
Также уделяется внимание и вопросам социальной инженерии. Часто для подрыва безопасности сложной системы бывает достаточно убедить человека в чём-то. Не стоит, однако, недооценивать методы социальной инженерии, думая что вы на это точно не попадётесь. Иногда это бывают довольно сложные цепочки манипуляции, в которых объектами атаки могут оказаться сразу несколько людей, доверяющих друг другу. Каждый объект манипуляции может вести себя достаточно осторожно и разумно, но в итоге манипулятор может добиться своей цели так, что все объекты манипуляции об этом даже не догадаются.
В книге даётся довольно мало базовых знаний в области информационной безопасности и основное внимание уделяется актуальным средствам. Через несколько лет многие описанные средства могут утратить актуальность или оказаться скомпрометированными, так что книга быстро устареет. Чтобы оставаться в курсе, нужно постоянно отслеживать новости. Тем не менее, книга хорошо расширяет кругозор. Наверное я отстал от жизни, но о существовании мобильных роутеров я узнал именно из этой книги :)
Сообщения
Комментариев нет:
Отправить комментарий