Продается рекламное место

Писать @DoomSlayer

2000 $

Перейти

SKGOOD - ДОВЕРЕННЫЙ ОПТОВИК

СК/МЕФ[ЮГ,СИБИРЬ] [email protected]

МАГАЗИН С ИСТОРИЕЙ!

ОПТ ДЛЯ ВСЕХ!

Перейти

Продается рекламное место

Писать @DoomSlayer

1000 $

Перейти

Продается рекламное место

Писать @DoomSlayer

1000 $

Перейти

Полное руководство по : безопасности/анонимности/конфиденциальности в сети. (Содержание ч 1)

Вредоносное ПО в ваших файлах/документах/электронной почте:​

Используя стеганографию или другие методы, можно легко внедрить вредоносное ПО в распространенные форматы файлов, такие как документы Office, изображения, видео, документы PDF…

Это могут быть как простые HTML-ссылки для отслеживания, так и сложные целевые вредоносные программы.

Это могут быть простые изображения размером с пиксель, спрятанные в ваших электронных письмах, которые будут вызывать удаленный сервер, чтобы попытаться получить ваш IP-адрес.

Это может быть использование уязвимости в устаревшем формате или устаревшем ридере . Затем такие эксплойты могут быть использованы для компрометации вашей системы.

Посмотрите эти хорошие видео для получения дополнительных объяснений по этому вопросу:

Всегда следует проявлять крайнюю осторожность. Чтобы смягчить эти атаки, в этом руководстве позже будет рекомендовано использование виртуализации чтобы смягчить утечку любой информации даже в случае открытия такого вредоносного файла.

Вредоносное ПО и эксплойты в ваших приложениях и сервисах:​

Итак, вы используете Tor Browser или Brave Browser поверх Tor. Вы можете использовать их через VPN для дополнительной безопасности. Но вы должны иметь в виду, что существуют эксплойты (взломы), которые могут быть известны злоумышленнику (но неизвестны поставщику приложения/браузера). Такие эксплойты могут быть использованы для компрометации вашей системы и раскрытия деталей для деанонимизации вас, таких как ваш IP-адрес или другие данные.

Реальным примером использования этой техники был случай Freedom Hosting в 2013 году, когда ФБР внедрило вредоносное ПО с помощью эксплойта браузера Firefox на веб-сайте Tor. Этот эксплойт позволил им раскрыть информацию о некоторых пользователях. Совсем недавно произошел примечательный взлом SolarWinds , в ходе которого были взломаны несколько государственных учреждений США путем внедрения вредоносного ПО на официальный сервер обновлений программного обеспечения.

В некоторых странах вредоносное ПО является обязательным и/или распространяется самим государством. Так обстоит дело, например, в Китае с WeChat , который затем можно использовать в сочетании с другими данными для государственного наблюдения .

Существует бесчисленное множество примеров вредоносных расширений для браузеров, приложений для смартфонов и различных приложений, в которые на протяжении многих лет проникали вредоносные программы.

Вот несколько шагов, чтобы смягчить этот тип атаки:

  • Вы никогда не должны на 100% доверять приложениям, которые используете.
  • Вы всегда должны проверять, используете ли вы обновленную версию таких приложений перед использованием, и в идеале проверять каждую загрузку с помощью их подписи, если она доступна.
  • Вы не должны использовать такие приложения непосредственно из аппаратной системы, вместо этого используйте виртуальную машину для разделения.
Чтобы отразить эти рекомендации, данное руководство впоследствии поможет вам использовать виртуализацию так что даже если ваш браузер/приложения будут скомпрометированы опытным злоумышленником, этот злоумышленник застрянет в песочнице без получить доступ к идентифицирующей информации или поставить под угрозу вашу систему.
 

Вредоносные USB-устройства:​

Существуют легкодоступные коммерческие и дешевые устройства «badUSB» , которые могут выполнять развертывание вредоносных программ, регистрировать ваш ввод текста, определять ваше местоположение, прослушивать вас или получать контроль над вашим ноутбуком, просто подключив их. Вот несколько примеров, которые вы уже можете купить самостоятельно. :

Такие устройства могут быть имплантированы злоумышленником куда угодно (кабель для зарядки, мышь, клавиатура, USB-ключ…) и могут использоваться для отслеживания вас или взлома вашего компьютера или смартфона. Наиболее ярким примером таких атак, вероятно, является Stuxnet в 2005 году.

Хотя вы можете физически осмотреть USB-ключ, отсканировать его с помощью различных утилит, проверить различные компоненты на подлинность, вы, скорее всего, никогда не сможете обнаружить сложное вредоносное ПО, внедренное в подлинные части подлинного USB-ключа опытным злоумышленником. без передового судебно-медицинского оборудования .

Чтобы смягчить это, вы никогда не должны доверять таким устройствам и подключать их к чувствительному оборудованию. Если вы используете зарядное устройство, вам следует подумать об использовании устройства блокировки данных USB, которое разрешает только зарядку, но не передачу данных. Такие устройства блокировки данных теперь легко доступны во многих интернет-магазинах. Вам также следует рассмотреть возможность полного отключения USB-портов в BIOS вашего компьютера, если они вам не нужны (если можете).
 

Вредоносное ПО и бэкдоры в вашем оборудовании, прошивке и операционной системе:​

Это может показаться немного знакомым, так как это уже было частично рассмотрено ранее в разделе « Ваш ЦП ».

Вредоносное ПО и бэкдоры могут быть встроены непосредственно в компоненты вашего оборудования. Иногда эти бэкдоры внедряются самим производителем, например IME в случае процессоров Intel. А в других случаях такие лазейки могут быть реализованы третьей стороной, которая ставит себя между заказом нового оборудования и доставкой клиенту .

Такие вредоносные программы и бэкдоры также могут быть развернуты противником с использованием программных эксплойтов. Многие из них называются руткитами в мире технологий. Обычно эти типы вредоносного ПО труднее обнаружить и устранить, так как они реализуются на более низком уровне, чем пользовательское пространство , и часто в прошивке самих аппаратных компонентов.

Что такое прошивка? Прошивка представляет собой низкоуровневую операционную систему для устройств. Каждый компонент вашего компьютера, вероятно, имеет прошивку, включая, например, ваши дисководы. Например, система BIOS /UEFI вашей машины является типом прошивки.

Они могут обеспечить удаленное управление и способны обеспечить полный контроль над целевой системой тихо и незаметно.

Как упоминалось ранее, их сложнее обнаружить пользователям, но есть некоторые ограниченные шаги, которые можно предпринять, чтобы смягчить некоторые из них, защитив ваше устройство от несанкционированного доступа и используя некоторые меры (например, повторную прошивку BIOS). К сожалению, если такое вредоносное ПО или бэкдор внедряет сам производитель, обнаружить и отключить их становится крайне сложно.
 

Свойства и метаданные:​

Это может быть очевидно для многих, но не для всех. К большинству файлов прикреплены метаданные. Хорошими примерами являются изображения, которые хранят информацию EXIF , которая может содержать много информации, такой как координаты GPS, модель камеры/телефона, и когда именно это было сделано. Хотя эта информация может не указывать напрямую, кто вы, она может точно сказать, где вы находились в определенный момент, что может позволить другим использовать различные источники, чтобы найти вас (камеры видеонаблюдения или другие кадры, снятые в том же месте в одно и то же время во время протест, например). Вы должны проверить любой файл, который вы разместите на этих платформах, на наличие свойств, которые могут содержать любую информацию, которая может привести к вам.

Вот пример данных EXIF, которые могут быть на изображении:


1663155118912.png
Это также работает для видео. Да, у видео тоже есть геотеги, и многие об этом даже не подозревают. Вот, например, очень удобный инструмент для геолокации видео на YouTube: https://mattw.io/youtube-geofind/location [Archive.org]

По этой причине вам всегда нужно быть невероятно осторожным при загрузке файлов с использованием ваших анонимных идентификаторов и проверять метаданные этих файлов.

Даже если вы публикуете обычный текстовый файл, вы всегда должны дважды или трижды проверять его на предмет утечки информации перед публикацией.

Водяной знак:​

Фото/Видео/Аудио:​

Изображения/видео часто содержат видимые водяные знаки, указывающие на то, кто является владельцем/создателем, но в различных продуктах также есть невидимые водяные знаки, предназначенные для идентификации самого зрителя.

Итак, если вы разоблачитель и думаете об утечке какого-либо файла изображения/аудио/видео. Подумать дважды. Есть вероятность, что они могут содержать невидимые водяные знаки, которые будут включать информацию о вас как о зрителе. Такие водяные знаки можно включить с помощью простого переключателя, такого как Zoom (видео или аудио ), или с помощью расширений для популярных приложений, таких как Adobe Premiere Pro. Они могут быть вставлены различными системами управления контентом.

Недавний пример, когда кто-то слил запись встречи в Zoom, был пойман из-за водяных знаков: https://theintercept.com/2021/01/18/leak-zoom-meeting/ [Tor Mirror] [Archive.org]

Такие водяные знаки могут быть вставлены различными продуктами с использованием стеганографии и могут противостоять сжатию и повторному кодированию .

Эти водяные знаки нелегко обнаружить, и, несмотря на все усилия, они могут позволить идентифицировать источник.

В дополнение к водяным знакам камера, используемая для съемки (и, следовательно, устройство, используемое для съемки) видео, также может быть идентифицирована с использованием различных методов, таких как идентификация объектива , что может привести к деанонимизации.

Будьте предельно осторожны при публикации видео/изображений/аудиофайлов с известных коммерческих платформ, так как они могут содержать такие невидимые водяные знаки в дополнение к деталям самих изображений. Гарантированной 100% защиты от них нет. Вам придется руководствоваться здравым смыслом.

Печать водяных знаков:​

Знаете ли вы, что ваш принтер, скорее всего, тоже шпионит за вами? Даже если он не подключен ни к какой сети? Обычно это известно многим людям в ИТ-сообществе, но немногим посторонним.

Да… Ваши принтеры могут быть использованы для вашей деанонимизации, как описано в EFF здесь https://www.eff.org/issues/printers [Archive.org]

С этим (старым, но все еще актуальным) видео, объясняющим, как это сделать с EFF: https://www.youtube.com/watch?v=izMGMsIZK4U [Invidious]

Многие принтеры печатают невидимый водяной знак, позволяющий идентифицировать принтер на каждой печатной странице. Это называется стеганографией принтера . Нет реального способа смягчить это, кроме как узнать о своем принтере и убедиться, что он не печатает невидимых водяных знаков. Это важно, если вы собираетесь печатать анонимно.

Вот (старый, но все еще актуальный) список принтеров и брендов, которые не печатают такие точки отслеживания, предоставленные EFF https://www.eff.org/pages/list-printers-what-do-or-do-not -display-tracking-dots [Archive.org]

Вот также несколько советов из документации Whonix ( https://www.whonix.org/wiki/Printing_and_Scanning [Archive.org] ):

Никогда не печатайте в цвете, обычно водяные знаки отсутствуют без цветных тонеров/картриджей

Пиксельная или размытая информация:​

Вы когда-нибудь видели документ с размытым текстом? Вы когда-нибудь высмеивали те фильмы/сериалы, в которых они «улучшают» изображение, чтобы восстановить, казалось бы, нечитаемую информацию?

Что ж, есть методики восстановления информации из таких документов, видео и картинок.

Вот, например, проект с открытым исходным кодом, который вы могли бы использовать для самостоятельного восстановления текста из некоторых размытых изображений: https://github.com/beurtschipper/Depix [Archive.org]
1663155143917.png
Это, конечно, проект с открытым исходным кодом, доступный для всех. Но вы можете себе представить, что такие методы, вероятно, использовались ранее другими противниками. Их можно использовать для раскрытия размытой информации из опубликованных документов, которая затем может быть использована для вашей деанонимизации.

Существуют также учебные пособия по использованию таких методов с использованием инструментов редактирования фотографий, таких как GIMP, таких как https://medium.com/@somdevsangwan/unblurring-images-for-osint-and-more-part-1-5ee36db6a70b [Archive.org] затем https://medium.com/@somdevsangwan/deblurring-images-for-osint-part-2-ba564af8eb5d [Scribe.rip] [Archive.org]
1663155156844.png
Наконец, вы найдете множество ресурсов по удалению размытия здесь: https://github.com/subeeshvasu/Awesome-Deblurring [Archive.org]

Некоторые онлайн-сервисы могут даже в какой-то степени помочь вам сделать это автоматически, например инструмент расширения MyHeritage.com:

https://www.myheritage.com/photo-enhancer [Archive.org]

Вот результат изображения выше:
1663155174856.png
Конечно, на данном этапе этот инструмент больше похож на «угадывание», чем на реальное удаление размытия, но его может быть достаточно, чтобы найти вас с помощью различных сервисов обратного поиска изображений.

Существуют также методы устранения размытия/депикселизации частей видео: см. https://positive.security/blog/video-depixelation [Archive.org]

По этой причине всегда чрезвычайно важно, чтобы вы правильно редактировали и курировали любой документ, который хотите опубликовать. Размытия недостаточно, и вы всегда должны полностью затемнять/удалять любые конфиденциальные данные, чтобы избежать любых попыток восстановления данных от любого злоумышленника. Не пикселизируйте, не размывайте, просто ставьте жесткий черный прямоугольник для редактирования информации.
 

Ваши транзакции с криптовалютами:​

Вопреки широко распространенному мнению, крипто-транзакции (такие как Биткойн и Эфириум) не являются анонимными . Большинство криптовалют можно точно отслеживать с помощью различных методов .

Помните, что они говорят на своей странице: https://bitcoin.org/en/you-need-to-know [Archive.org] и https://bitcoin.org/en/protect-your-privacy [Archive.org ] : «Биткойн не анонимен»

Основная проблема заключается в том, чтобы не создавать случайный крипто-кошелек для получения некоторой валюты за адресом VPN/Tor (на данный момент кошелек является анонимным). Проблема в основном возникает, когда вы хотите конвертировать фиатные деньги (евро, доллары…) в криптовалюту, а затем, когда вы хотите обналичить свою криптовалюту. У вас будет несколько реальных вариантов, кроме как перевести их на биржу (например, Coinbase/KRAKEN/Bitstamp/Binance). Эти биржи имеют известные адреса кошельков и будут вести подробные журналы (в соответствии с финансовыми правилами KYC ), а затем могут отследить эти криптовалютные транзакции до вас, используя финансовую систему .

Есть некоторые криптовалюты, ориентированные на конфиденциальность/анонимность, такие как Monero, но даже у них есть некоторые предупреждения, которые следует учитывать .

Даже если вы используете Mixers или Tumblers (сервисы, которые специализируются на «анонимизации» криптовалют путем их «смешивания»), имейте в виду, что это всего лишь обфускация , а не фактическая анонимность . Они не только запутывают, но и могут доставить вам неприятности, поскольку вы можете в конечном итоге обменять свою криптовалюту на «грязную» криптовалюту, которая использовалась в различных сомнительных контекстах .

Это не означает, что вы вообще не можете использовать Биткойн анонимно. На самом деле вы можете использовать биткойн анонимно, если вы не конвертируете его в реальную валюту и используете биткойн-кошелек из безопасной анонимной сети. Это означает, что вам следует избегать правил KYC/AML, установленных различными биржами, и избегать использования сети Биткойн с любого известного IP-адреса.

В целом, лучшим вариантом для использования Crypto с разумной анонимностью и конфиденциальностью по-прежнему является Monero, и в идеале вам не следует использовать какие-либо другие для конфиденциальных транзакций, если вы не знаете об ограничениях и связанных с этим рисках.

TLDR: используйте Monero!
 

Отпечатки вашего браузера и устройства:​

Отпечатки вашего браузера и устройства — это набор свойств/возможностей вашей системы/браузера. Они используются на большинстве веб-сайтов для невидимого отслеживания пользователей, а также для адаптации пользовательского интерфейса веб-сайта в зависимости от их браузера. Например, веб-сайты смогут предоставлять «мобильные возможности», если вы используете мобильный браузер, или предлагать конкретную языковую/географическую версию в зависимости от вашего отпечатка пальца. Большинство из этих методов работают с последними браузерами, такими как браузеры на основе Chromium (например, Chrome/Edge) или Firefox , если не принимаются специальные меры.

Много подробной информации и публикаций об этом вы можете найти на этих ресурсах:

К сожалению, в большинстве случаев эти отпечатки будут уникальными или почти уникальными для вашего браузера/системы. Это означает, что даже если вы выйдете с веб-сайта, а затем снова войдете, используя другое имя пользователя, ваш отпечаток пальца может остаться прежним, если вы не примете меры предосторожности.

Затем злоумышленник может использовать такие отпечатки пальцев, чтобы отслеживать вас в нескольких сервисах, даже если у вас нет учетной записи ни в одном из них и вы используете блокировку рекламы. Эти отпечатки пальцев, в свою очередь, могут быть использованы для деанонимизации вас, если вы сохраняете один и тот же отпечаток между службами.

Следует также отметить, что, хотя некоторые браузеры и расширения будут обеспечивать некоторую устойчивость к отпечаткам пальцев, эта устойчивость сама по себе также может быть использована для отпечатков пальцев, как описано здесь https://palant.info/2020/12/10/how-anti-fingerprinting. -extensions-tend-to-make-fingerprinting-easier/ [Archive.org]

Это руководство смягчит эти проблемы, смягчая, запутывая и рандомизируя многие из этих идентификаторов отпечатков пальцев с помощью виртуализаци с использованием конкретных рекомендаций и использование браузеров, устойчивых к снятию отпечатков пальцев (Brave и Tor Browser).
 

Микроархитектурные атаки деанонимизации по сторонним каналам:​

Была опубликована атака, которая может деанонимизировать пользователей, если у них есть известный псевдоним. Например, злоумышленник, пытающийся отследить действия журналиста, может использовать общедоступный дескриптор этого журналиста в Твиттере, чтобы связать его анонимную личность с общедоступной. Это нарушает разделение личности и может привести к полной деанонимизации даже пользователей, которые практикуют надлежащий OPSEC.

Атаку, опубликованную на https://leakuidatorplusteam.github.io/ [Archive.org] , можно смягчить с помощью известного расширения NoScript , и мы рекомендуем ее.

Тор Браузер:​

Теперь эта атака по умолчанию предотвращается обновлением NoScript (11.4.8 и выше) на всех уровнях безопасности.

Все остальные:​

Установка расширения NoScript предотвратит атаку по умолчанию только в приватных Windows, использующих их новую «функцию TabGuard». Но можно включить в параметрах NoScript для работы во всех Windows. Видеть:

Альтернатива NoScript для всех остальных браузеров:​

Исследователи, которые раскрыли проблему, также сделали расширение доступным ниже. Опять же, в Tor Browser ничего не требуется . Этот путь не является нашим предпочтительным путем, но по-прежнему доступен, если вы не хотите использовать NoScript.

Разделения удостоверений с помощью отдельных браузеров или даже виртуальных машин недостаточно, чтобы избежать этой атаки. Однако другое решение состоит в том, чтобы убедиться, что, когда вы начинаете работать с анонимным удостоверением, вы полностью закрываете все действия, связанные с другими удостоверениями. Уязвимость работает только в том случае, если вы активно вошли в систему с неанонимной учетной записью. Проблема в том, что это может помешать эффективному рабочему процессу, поскольку многозадачность с несколькими учетными записями становится невозможной
 

Ваши облачные сервисы резервного копирования/синхронизации:​

Все компании рекламируют использование сквозного шифрования (E2EE). Это верно почти для каждого приложения для обмена сообщениями и веб-сайта (HTTPS). Apple и Google рекламируют использование шифрования на своих устройствах Android и iPhone.

Но как насчет ваших резервных копий? Те автоматические резервные копии iCloud / Google Drive, которые у вас есть?

Что ж, вы должны знать, что большинство этих резервных копий не полностью зашифрованы сквозным шифрованием и будут содержать некоторую вашу информацию, доступную для третьих лиц. Вы увидите их заявления о том, что хранящиеся данные зашифрованы и защищены от кого бы то ни было… За исключением того, что они обычно хранят ключ для доступа к некоторым данным сами. Эти ключи используются для индексации вашего контента, восстановления аккаунта, сбора различной аналитики.

Доступны специализированные коммерческие решения для судебной экспертизы (Magnet Axiom , Cellebrite Cloud ), которые помогут злоумышленнику легко проанализировать ваши облачные данные.

Известные примеры:

  • Apple iCloud: https://support.apple.com/en-us/HT202303 [Archive.org] : «Сообщения в iCloud также используют сквозное шифрование. Если у вас включено резервное копирование iCloud , ваша резервная копия включает копию ключа, защищающего ваши сообщения . Это гарантирует, что вы сможете восстановить свои сообщения, если потеряете доступ к связке ключей iCloud и доверенным устройствам. “.
  • Google Диск и WhatsApp: https://faq.whatsapp.com/android/chats/about-google-drive-backups/ [Archive.org] : « Медиафайлы и сообщения, которые вы резервируете, не защищены сквозной защитой WhatsApp завершить шифрование в Google Диске . “. Однако обратите внимание, что Facebook/Whatsapp объявили о развертывании зашифрованных резервных копий 14 октября ^ ^ 2021 г. ( https://about.fb.com/news/2021/10/end-to-end-encrypted-backups-on- whatsapp/ [Archive.org] ), что должно решить эту проблему.
  • Dropbox: https://www.dropbox.com/privacy#terms [Archive.org] «Чтобы предоставить эти и другие функции, Dropbox получает доступ, хранит и сканирует Ваши материалы . Вы даете нам разрешение на эти действия, и это разрешение распространяется на наших аффилированных лиц и доверенных третьих лиц, с которыми мы работаем».
  • Microsoft OneDrive: https://privacy.microsoft.com/en-us/privacystatement [Archive.org] : продукты для повышения производительности и связи: «Когда вы используете OneDrive, мы собираем данные об использовании вами службы, а также контент вы храните, чтобы предоставлять, улучшать и защищать услуги. Примеры включают индексацию содержимого ваших документов OneDrive, чтобы вы могли искать их позже, и использование информации о местоположении, чтобы вы могли искать фотографии в зависимости от того, где была сделана фотография ».
Вы не должны доверять облачным провайдерам свои (не зашифрованные ранее и локально) конфиденциальные данные, и вам следует опасаться их заявлений о конфиденциальности. В большинстве случаев они могут получить доступ к вашим данным и предоставить их третьей стороне, если захотят .

Единственный способ смягчить это — зашифровать ваши данные на вашей стороне, а затем только загрузить их в такие сервисы или просто не использовать их вообще.
 

Локальные утечки данных и судебная экспертиза:​

Большинство из вас, вероятно, видели достаточно криминальных драм на Netflix или по телевизору, чтобы знать, что такое судебная экспертиза. Это технические специалисты (обычно работающие в правоохранительных органах), которые будут выполнять различные анализы доказательств. Это, конечно, может включать ваш смартфон или ноутбук.

Хотя это может быть сделано противником, когда вы уже «обожглись», это также может быть сделано случайным образом во время обычного контроля или пограничного контроля. Эти несвязанные проверки могут раскрывать секретную информацию злоумышленникам, которые заранее не знали о таких действиях.

Методы судебной экспертизы сейчас очень продвинуты и могут раскрыть ошеломляющий объем информации с ваших устройств, даже если они зашифрованы . Эти методы широко используются правоохранительными органами во всем мире, и их следует учитывать.

Вот несколько последних ресурсов, которые вы должны прочитать о своем смартфоне:

Я также настоятельно рекомендую вам прочитать некоторые документы с точки зрения судебного эксперта, такие как:

И, наконец, вот очень поучительный подробный документ о текущем состоянии безопасности IOS/Android от Университета Джона Хопкинса: https://securephones.io/main.html

Когда дело доходит до вашего ноутбука, методы судебной экспертизы многочисленны и широко распространены. Многие из этих проблем можно устранить с помощью полного шифрования диска, виртуализации и разделения. В этом руководстве позже будут подробно описаны такие угрозы и методы их устранения
 

Плохая криптография​

В сообществе информационной безопасности часто встречается поговорка: «Не сворачивайте свою собственную криптографию!».

И тому есть причины :

Мы бы не хотели, чтобы из-за этой пословицы люди отказывались от обучения и инноваций в области криптографии. Поэтому вместо этого мы рекомендуем людям быть осторожными с «Создайте свою собственную криптовалюту», потому что это не обязательно хорошая криптовалюта:

  • Хорошая криптография непроста, и обычно требуются годы исследований для разработки и тонкой настройки.
  • Хорошая криптография прозрачна и не имеет закрытого исходного кода, поэтому ее могут проверить коллеги.
  • Хорошая криптография разрабатывается осторожно, медленно и редко в одиночку.
  • Хорошая криптография обычно представлена и обсуждается на конференциях и публикуется в различных журналах.
  • Хорошая криптография тщательно рецензируется, прежде чем она будет выпущена для использования в реальных условиях.
  • Правильное использование и внедрение существующей хорошей криптографии уже является проблемой.
Тем не менее, это не мешает некоторым делать это в любом случае и публиковать различные производственные приложения/сервисы, используя собственную криптографию или проприетарные методы с закрытым исходным кодом:

  • Вы должны проявлять осторожность при использовании приложений/сервисов с использованием закрытых или проприетарных методов шифрования. Все хорошие криптостандарты общедоступны и проходят экспертную оценку, и не должно быть проблем с раскрытием того, который вы используете.
  • Вам следует опасаться приложений/сервисов, использующих «модифицированный» или проприетарный криптографический метод .
  • По умолчанию вы не должны доверять никакому «Создавайте свою собственную криптовалюту», пока она не будет проверена, проверена экспертами, проверена и принята криптографическим сообществом .
  • Не существует такой вещи, как «криптовалюта военного уровня» .
Криптография — сложная тема, и плохая криптография может легко привести к вашей деанонимизации.

В контексте этого руководства мы рекомендуем придерживаться приложений/сервисов, используя хорошо зарекомендовавшие себя, опубликованные и проверенные методы.

Итак, что предпочесть и чего избегать в 2021 году? Вам придется искать себя, чтобы получить технические детали каждого приложения и посмотреть, используют ли они «плохую криптографию» или «хорошую криптографию». Как только вы получите технические подробности, вы можете проверить эту страницу, чтобы узнать, сколько это стоит: https://latacora.micro.blog/2018/04/03/cryptographic-right-answers.html [Archive.org]

Вот некоторые примеры:

  • Хэши:
    • Предпочтительнее: SHA-3 или BLAKE2
    • Все еще относительно хорошо использовать: SHA-2 (например, широко используемый SHA-256 или SHA-512)
    • Избегайте: SHA-1, MD5 (к сожалению, все еще широко используется), CRC, MD6 (используется редко).
  • Шифрование файлов/дисков:
    • Предпочитать:
      • Аппаратное ускорение : AES (Rijndael) 256 бит с HMAC-SHA-2 или HMAC-SHA-3 (это то, что Veracrypt, Bitlocker, Filevault 2, KeepassXC и LUKS используют по умолчанию). Лучше использовать SHA-3.
      • Неаппаратное ускорение: То же, что ускоренное выше, или, если доступно, рассмотрите:
        • ChaCha20 или XChaCha20 (Вы можете использовать ChaCha20 с Kryptor https://www.kryptor.co.uk , к сожалению, это недоступно с Veracrypt).
        • Змей
        • Две Рыбы
    • Избегайте: практически всего остального
  • Хранение паролей:
    • Предпочитаю: Argon2, скрипт
    • Если это не вариант, используйте bcrypt или, если это невозможно, по крайней мере PBKDF2 (только в крайнем случае)
    • Скептически относитесь к Argon2d, так как он уязвим для некоторых форм побочных каналов. Предпочитаю Argon2i

Это руководство не будет рекомендовать «плохую криптографию», и, надеюсь, этого должно быть достаточно, чтобы защитить вас.
 

Политики без ведения журнала/ с ведением журнала:​

У многих людей есть идея, что ориентированные на конфиденциальность службы, такие как поставщики VPN или электронной почты, безопасны из-за их политики отсутствия регистрации или их схем шифрования. К сожалению, многие из тех же людей забывают, что все эти провайдеры являются юридическими коммерческими лицами, подчиняющимися законам стран, в которых они работают.

Любого из этих провайдеров можно заставить молча (без вашего ведома (используя, например, постановление суда с приказом о неразглашении сообщений или письмо национальной безопасности ) регистрировать вашу активность, чтобы деанонимизировать вас. Было несколько недавних таких примеров:

  • 2021, Proton, Proton зарегистрировал IP-адрес французского активиста по заказу швейцарских властей (ссылка на источник недоступна).
  • 2021, WindScribe, серверы не были зашифрованы, поскольку они должны были допускать MITM-атаки со стороны властей .
  • 2021 г., серверы DoubleVPN, журналы и информация об учетной записи изъяты правоохранительными органами .
  • 2021 г. Немецкий почтовый провайдер Tutanota был вынужден отслеживать определенные учетные записи в течение 3 месяцев .
  • 2020 г. Немецкий почтовый провайдер Tutanota был вынужден внедрить бэкдор для перехвата и сохранения копий незашифрованных электронных писем одного пользователя (они не расшифровали сохраненную электронную почту).
  • В 2017 году PureVPN был вынужден раскрыть информацию об одном пользователе ФБР .
  • В 2014 году пользователь EarthVPN был арестован на основании логов, предоставленных голландской полиции .
  • 2013 г., провайдер защищенной электронной почты Lavabit закрывается после того, как ему пришлось бороться с секретным приказом о неразглашении сообщений .
  • В 2011 году пользователь HideMyAss был деанонимизирован, а журналы были предоставлены ФБР .
Некоторые провайдеры внедрили использование ордера Canary , который позволит их пользователям узнать, были ли они скомпрометированы такими заказами, но, насколько нам известно, это еще не проверено.

Наконец, теперь хорошо известно, что некоторые компании могут спонсироваться внешними интерфейсами для некоторых государственных противников (см. историю Crypto AG и историю Omnisec ).

По этим причинам вы не должны доверять таким провайдерам свою конфиденциальность, несмотря на все их заявления. В большинстве случаев вы будете последним, кто узнает, были ли какие-либо из ваших учетных записей нацелены на такие заказы, и вы можете вообще никогда не узнать.

Чтобы смягчить это, в тех случаях, когда вы хотите использовать VPN, мы рекомендуем использовать провайдера VPN с оплатой наличными / Monero через Tor, чтобы предотвратить получение VPN-службой какой-либо идентифицирующей информации о вас.

Если провайдер VPN ничего не знает о вас, он должен смягчить любую проблему, потому что он не ведет журнал.
 

Некоторые продвинутые целевые техники:​


Опытные злоумышленники могут использовать множество передовых методов для обхода ваших мер безопасности при условии, что они уже знают, где находятся ваши устройства. Многие из этих методов подробно описаны здесь https://cyber.bgu.ac.il/advanced-cyber/airgap [Archive.org] (страница исследований Air-Gap, Исследовательский центр кибербезопасности, Университет Бен-Гуриона в Негеве, Израиль), но и в этом отчете https://www.welivesecurity.com/wp-content/uploads/2021/12/eset_jumping_the_air_gap_wp.pdf [Archive.org] (ESET, ПРЫЖАЯ ВОЗДУШНЫЙ ПРОБЕЛ: 15 лет усилий национального государства ) и включает:

  • Атаки, требующие внедрения вредоносных программ:
  • Атаки, не требующие вредоносного ПО:
    • Наблюдение за глухой стеной в комнате с расстояния, чтобы понять, сколько людей находится в комнате и что они делают . Публикация с демонстрацией: http://wallcamera.csail.mit.edu/ [Archive.org]
    • Наблюдение за отражающим пакетом с закусками в
      • Вот также хорошее видео от тех же авторов, объясняющее эти темы: Black Hat, The Air-Gap Jumpers https://www.youtube.com/watch?v=YKRtFgunyj4 [Invidious]



      • На самом деле, это руководство мало поможет против таких злоумышленников, поскольку такое вредоносное ПО может быть внедрено в устройства производителем, кем-либо в середине или кем-либо, имеющим физический доступ к компьютеру с воздушным зазором, но все же есть некоторые способы смягчать такие приемы:
      • Не выполняйте конфиденциальные действия при подключении к ненадежной/незащищенной линии электропередач, чтобы предотвратить утечки в линии электропередач.
      • Не используйте свои устройства перед камерой, которая может быть скомпрометирована.
      • Используйте свои устройства в звукоизолированном помещении, чтобы предотвратить утечку звука.
      • Используйте свои устройства в клетке Фарадея, чтобы предотвратить электромагнитные утечки.
      • Не говорите о конфиденциальной информации там, где снаружи видны лампочки.
      • Покупайте свои устройства в разных/непредсказуемых/автономных местах (магазинах), где вероятность их заражения таким вредоносным ПО ниже.
        • Не позволяйте никому получать доступ к вашим изолированным компьютерам, кроме доверенных лиц.
 

Заметки:​

Если вы по-прежнему считаете, что такая информация не может быть использована различными субъектами для отслеживания вас, вы можете просмотреть некоторые статистические данные для некоторых платформ и имейте в виду, что они учитывают только законные запросы данных и не будут учитывать такие вещи, как PRISM, MUSCULAR. , SORM или XKEYSCORE объяснялись ранее:

 
У меня эта фигня сидит. Я телефоны скидывал, винду переустанавливаю . Ему вообще срать. Он даже симками управляет, заграницу звонит, хуево тутуево смс отправляет людям. Подскажите как убрать?
 
докер сказал(а):
У меня эта фигня сидит. Я телефоны скидывал, винду переустанавливаю . Ему вообще срать. Он даже симками управляет, заграницу звонит, хуево тутуево смс отправляет людям. Подскажите как убрать?
Нажмите, чтобы раскрыть...
Объясните нормалтно, что то я не понял
 
докер сказал(а):
У меня эта фигня сидит. Я телефоны скидывал, винду переустанавливаю . Ему вообще срать. Он даже симками управляет, заграницу звонит, хуево тутуево смс отправляет людям. Подскажите как убрать?
Нажмите, чтобы раскрыть...
ты под наркотиками?)))
 
Лаконично, но подробно. Аккуратно по полочкам. Дает ответ почти на все стандартные вопросы касательно анонимности.
 
Для ответа нужно войти/зарегистрироваться
Верх