Руководство по анонимности в Интернете (по https://anonymousplanet.org/)

Используйте на свой страх и риск. Пожалуйста, не воспринимайте это руководство как окончательную истину на все случаи жизни, потому что это не так.

Спойлер: Оглавление

• Введение:
• Понимание некоторых основ того, как некоторая информация может привести к вам, и как смягчить некоторые из них:
  • Ваша сеть:
    • Ваш IP-адрес:
    • Ваши DNS и IP-запросы:
    • Ваши устройства с поддержкой RFID:
    • Wi-Fis и Bluetooth устройства вокруг вас:
    • Вредоносные/изнасилованные точки доступа Wi-Fi:
    • Ваш анонимизированный Tor/VPN-трафик:
    • Некоторые устройства можно отслеживать даже в автономном режиме:
  • Ваши аппаратные идентификаторы:
    • Ваши IMEI и IMSI (и, соответственно, номер телефона):
    • Ваш MAC-адрес Wi-Fi или Ethernet:
    • MAC-адрес Bluetooth:
  • Ваш процессор:
  • Ваши операционные системы и телеметрические сервисы приложений:
  • Ваши "умные" устройства в целом:
  • Вы сами:
    • Ваши метаданные, включая геолокацию:
    • Ваш цифровой отпечаток, след и поведение в сети:
    • Ваши подсказки о вашей реальной жизни и OSINT:
    • Ваше лицо, голос, биометрические данные и фотографии:
    • Фишинг и социальная инженерия:
  • Вредоносное ПО, эксплойты и вирусы:
    • Вредоносное ПО в ваших файлах/документах/электронных письмах:
    • Вредоносные программы и эксплойты в ваших приложениях и сервисах:
    • Вредоносные USB-устройства:
    • Вредоносные программы и бэкдоры в вашем аппаратном обеспечении и операционной системе:
  • Ваши файлы, документы, изображения и видео:
    • Свойства и метаданные:
    • Водяные знаки:
    • Пикселизированная или размытая информация:
  • Ваши транзакции с криптовалютами:
  • Ваши облачные сервисы резервного копирования/синхронизации:
  • Отпечатки пальцев вашего браузера и устройства:
  • Локальные утечки данных и криминалистика:
  • Плохая криптография:
  • Политики "не регистрировать, но регистрировать в любом случае":
  • Некоторые продвинутые целевые техники:
  • Некоторые бонусные ресурсы:
  • Примечания:
• Общие приготовления:
  • Выбор маршрута:
    • Ограничения по времени:
    • Бюджет/материальные ограничения:
    • Навыки:
    • Противники (угрозы):
  • Шаги для всех маршрутов:
    • Получить анонимный номер телефона:
    • Достаньте USB-носитель:
    • Найдите несколько безопасных мест с приличным общественным Wi-Fi:
  • Маршрут TAILS:
    • Постоянная правдоподобная отрицаемость с помощью Whonix в TAILS:
  • Шаги для всех остальных маршрутов:
    • Купите специальный ноутбук для конфиденциальной деятельности:
    • Некоторые рекомендации по выбору ноутбука:
    • Настройки Bios/UEFI/Firmware вашего ноутбука:
    • Физически защитите свой ноутбук от несанкционированного доступа:
  • Маршрут Whonix:
    • Выбор операционной системы (ОС, установленной на ноутбуке):
    • Linux Host OS:
    • MacOS Host OS:
    • Windows Host OS:
    • Virtualbox на вашей Host OS:
    • Выберите способ подключения:
    • Получите анонимный VPN/прокси:
    • Whonix:
    • Tor через VPN:
    • Whonix Виртуальные машины:
    • Выберите виртуальную машину для гостевой рабочей станции:
    • Виртуальная машина Linux (Whonix или Linux):
    • Windows 10 Виртуальная машина:
    • Android Виртуальная машина:
    • MacOS Виртуальная машина:
    • KeepassXC:
    • Установка VPN-клиента (оплачивается наличными/монеро):
    • (опционально) позволяет только виртуальным машинам выходить в интернет, отрезая ОС хоста, чтобы предотвратить утечку данных:
    • Последний шаг:
  • Qubes Route:
    • Выберите способ подключения:
    • Получите анонимный VPN/прокси:
    • Установка:
    • Поведение при закрытии крышки:
    • Подключение к публичному Wi-Fi:
    • Обновление ОС Qubes:
    • Усиление ОС Qubes:
    • Настройка VPN ProxyVM:
    • Настройка безопасного браузера в Qube OS (необязательно, но рекомендуется):
    • Настройка виртуальной машины Android:
    • KeePassXC:
• Создание анонимной личности в Интернете:
  • Понимание методов, используемых для предотвращения анонимности и проверки личности:
    • Captchas:
    • Проверка телефона:
    • Проверка электронной почты:
    • Проверка данных пользователя:
    • Проверка удостоверения личности:
    • IP-фильтры:
    • Отпечатки пальцев браузера и устройства:
    • Взаимодействие с человеком:
    • Модерация пользователей:
    • Поведенческий анализ:
    • Финансовые транзакции:
    • Вход в систему с помощью какой-либо платформы:
    • Распознавание живых лиц и биометрия (снова):
    • Ручные отзывы:
  • Выход в Интернет:
    • Создание новых личностей:
    • Система реальных имен:
    • О платных услугах:
    • Обзор:
    • Как обмениваться файлами или общаться анонимно:
    • Безопасное редактирование документов/картинок/видео/аудио:
    • Передача конфиденциальной информации в различные известные организации:
    • Задачи по обслуживанию:
• Безопасное резервное копирование:
  • Резервное копирование в автономном режиме:
    • Резервное копирование избранных файлов:
    • Полное резервное копирование диска/системы:
  • Онлайн-резервное копирование:
    • Файлы:
    • Информация:
  • Синхронизация файлов между устройствами Онлайн:
• Заметание следов:
  • Понимание соотношения HDD и SSD:
    • Уменьшение износа.
    • Операции обрезки:
    • Сборка мусора:
    • Заключение:
  • Как безопасно стереть весь ноутбук/диск, если вы хотите стереть все:
    • Linux (все версии, включая Qubes OS):
    • Windows:
    • MacOS:
  • Как безопасно удалить определенные файлы/папки/данные на HDD/SSD и флеш-накопителях:
    • Windows:
    • Linux (не Qubes OS):
    • Linux (Qubes OS):
    • MacOS:
  • Некоторые дополнительные меры против криминалистов:
    • Удаление метаданных из файлов/документов/картинок:
    • TAILS:
    • Whonix:
    • MacOS:
    • Linux (Qubes OS):
    • Linux (не Qubes):
    • Windows:
  • Удаление некоторых следов вашей личности в поисковых системах и на различных платформах:
    • Google:
    • Bing:
    • DuckDuckGo:
    • Яндекс:
    • Qwant:
    • Yahoo Search:
    • Baidu:
    • Википедия:
    • Archive.today:
    • Internet Archive:
• Некоторые низкотехнологичные приемы старой школы:
  • Скрытые коммуникации на виду:
  • Как определить, что кто-то рылся в ваших вещах:
• Несколько последних мыслей об OPSEC:
• Если вам кажется, что вы спалились:
  • Если у вас есть время:
  • Если у вас нет времени:
• Небольшая заключительная редакционная заметка

 

[HEISENBERG]

Фишинг и социальная инженерия.

Фишинг - это тип атаки с использованием социальной инженерии, когда противник может попытаться получить от вас информацию, притворяясь или выдавая себя за кого-то другого.


Типичным случаем является использование противником атаки "человек посередине" или поддельного электронного письма/звонка, чтобы запросить ваши учетные данные для получения услуги. Например, это может быть электронная почта или выдача себя за представителей финансовых служб.


Такие атаки также могут использоваться для деанонимизации человека, заставляя его загружать вредоносное ПО или раскрывать личную информацию с течением времени.


Такие атаки использовались бесчисленное количество раз с первых дней существования Интернета, и самая распространенная из них называется "мошенничество 419" ( см. https://en.wikipedia.org/wiki/Advance-fee_scam [Wikiless] [Archive.org]).


Вот хорошее видео, если вы хотите узнать немного больше о видах фишинга: Black Hat, Ichthyology: Фишинг как наука

[Invidious].

 

[HEISENBERG]

Вредоносные программы, эксплойты и вирусы.

Вредоносные программы в ваших файлах/документах/электронных письмах.

Используя стеганографию или другие техники, можно легко внедрить вредоносное ПО в распространенные форматы файлов, такие как документы Office, изображения, видео, документы PDF...


Это могут быть как простые HTML-ссылки для отслеживания, так и сложные целевые вредоносные программы.


Это могут быть простые изображения размером в пиксель, спрятанные в ваших электронных письмах, которые будут вызывать удаленный сервер, чтобы попытаться узнать ваш IP-адрес.


Это может быть использование уязвимости в устаревшем формате или устаревшей программе чтения. Такие уязвимости могут быть использованы для взлома вашей системы.


Дополнительные разъяснения по этому вопросу можно найти в этих видеороликах:

• Что такое формат файла?
  [Invidious].
• Анже Альбертини: Причудливые форматы файлов:
  [Invidious].

Всегда следует соблюдать предельную осторожность. Для защиты от таких атак в данном руководстве в дальнейшем рекомендуется использовать виртуализацию (см. Приложение W: Виртуализация), чтобы избежать утечки информации даже в случае открытия такого вредоносного файла.


Если вы хотите узнать, как попробовать обнаружить такое вредоносное ПО, смотрите Приложение T: Проверка файлов на наличие вредоносного ПО

 

[HEISENBERG]

Вредоносные программы и эксплойты в ваших приложениях и сервисах.

Итак, вы используете Tor Browser или Brave Browser через Tor. Вы можете использовать их через VPN для дополнительной безопасности. Но вы должны помнить, что существуют эксплойты (взломы), которые могут быть известны противнику (но неизвестны поставщику приложений/браузеров). Такие эксплойты могут быть использованы для компрометации вашей системы и раскрытия деталей, позволяющих деанонимизировать вас, например, вашего IP-адреса или других данных.


Реальным примером использования этой техники стало дело Freedom Hosting в 2013 году, когда ФБР внедрило вредоносное ПО с помощью эксплойта для браузера Firefox на сайт Tor. Этот эксплойт позволил им раскрыть информацию о некоторых пользователях. Совсем недавно произошел громкий взлом компании SolarWinds, которая взломала несколько правительственных учреждений США, внедрив вредоносное ПО в официальный сервер обновлений программного обеспечения.


В некоторых странах вредоносное ПО просто обязательно и/или распространяется самим государством. Так, например, происходит в Китае с WeChat, который затем может использоваться в сочетании с другими данными для государственной слежки.


Примеров вредоносных расширений для браузеров, приложений для смартфонов и различных программ, в которые проникло вредоносное ПО, за прошедшие годы было бесчисленное множество.


Вот несколько шагов по снижению риска атак такого типа:

• Никогда не следует на 100% доверять используемым приложениям.
• Перед использованием всегда проверяйте, что вы используете обновленную версию таких приложений, а в идеале - проверяйте каждую загрузку с помощью сигнатуры, если таковая имеется.
• Не следует использовать такие приложения непосредственно с аппаратной системы, а лучше использовать виртуальную машину для разделения.

Чтобы отразить эти рекомендации, в дальнейшем в данном руководстве будет рассказано об использовании виртуализации (см. Приложение W: Виртуализация), так что даже если ваш браузер/приложения будут взломаны опытным злоумышленником, он окажется в "песочнице", не имея возможности получить доступ к идентифицирующей информации или скомпрометировать вашу систему.

 

[HEISENBERG]

Вредоносные USB-устройства.

Существуют легкодоступные коммерческие и дешевые устройства "badUSB", которые могут устанавливать вредоносные программы, регистрировать ваш ввод, геолокацию, прослушивать вас или получать контроль над вашим ноутбуком, просто подключив их к сети. Вот несколько примеров, которые вы можете приобрести самостоятельно.

• Hak5, USB Rubber Ducky https://shop.hak5.org/products/usb-rubber-ducky-deluxe [Архив.org].
• Hak5, O.MG Cable
  [Invidious]
• Keelog https://www.keelog.com/ [Archive.org]
• AliExpress https://www.aliexpress.com/i/4000710369016.html [Archive.org]

Подобные устройства могут быть внедрены противником куда угодно (кабель для зарядки, мышь, клавиатура, USB-ключ...) и использованы для слежки за вами или компрометации вашего компьютера или смартфона. Самым ярким примером таких атак, вероятно, является Stuxnet в 2005 году.


Хотя вы можете осмотреть USB-носитель физически, просканировать его различными утилитами, проверить различные компоненты на предмет их подлинности, скорее всего, опытный противник, не обладающий современным оборудованием для криминалистики, никогда не сможет обнаружить сложное вредоносное ПО, встроенное в подлинные части подлинного USB-носителя.


Чтобы смягчить эту проблему, никогда не доверяйте таким устройствам и не подключайте их к чувствительному оборудованию. Если вы пользуетесь зарядным устройством, следует рассмотреть возможность использования устройства блокировки данных USB, которое позволит только заряжать устройство, но не передавать данные. Такие устройства блокировки данных сегодня можно приобрести во многих интернет-магазинах. Также следует полностью отключить USB-порты в BIOS компьютера, если они вам не нужны (если это возможно).

 

[HEISENBERG]

Вредоносные программы и бэкдоры в аппаратной прошивке и операционной системе.

Это может показаться немного знакомым, поскольку ранее эта тема уже частично рассматривалась в разделе " Ваш процессор".


Вредоносные программы и бэкдоры могут быть встроены непосредственно в аппаратные компоненты. Иногда такие бэкдоры внедряет сам производитель, например IME в случае с процессорами Intel. В других случаях такие бэкдоры могут быть внедрены третьей стороной, которая размещается между заказом нового оборудования и его доставкой клиенту.


Такие вредоносные программы и бэкдоры также могут быть развернуты противником с помощью программных эксплойтов. Многие из них в мире технологий называются руткитами. Обычно эти типы вредоносных программ сложнее обнаружить и нейтрализовать, поскольку они реализуются на более низком уровне, чем пользовательское пространство, и часто находятся в прошивке аппаратных компонентов.


Что такое микропрограмма? Микропрограмма - это низкоуровневая операционная система для устройств. Каждый компонент вашего компьютера, вероятно, имеет встроенное программное обеспечение, включая, например, дисковые накопители. Например, система BIOS/UEFI вашего компьютера - это один из видов микропрограмм.


Они позволяют осуществлять удаленное управление и способны обеспечить полный контроль над целевой системой бесшумно и скрытно.


Как уже говорилось, их сложнее обнаружить пользователям, но, тем не менее, можно предпринять некоторые ограниченные шаги, чтобы смягчить их последствия, защитив устройство от несанкционированного доступа и приняв некоторые меры (например, перепрошивку биоса). К сожалению, если такие вредоносные программы или бэкдоры внедрены самим производителем, обнаружить и обезвредить их становится крайне сложно.

 

[HEISENBERG]

Ваши файлы, документы, фотографии и видео.

Свойства и метаданные.

Это может быть очевидно для многих, но не для всех. Большинство файлов имеют метаданные, прикрепленные к ним. Хорошим примером являются фотографии, хранящие информацию EXIF, которая может содержать множество сведений, таких как GPS-координаты, модель камеры/телефона и точное время съемки. Хотя эта информация не может напрямую выдать, кто вы, она может точно указать, где вы находились в определенный момент, что может позволить другим использовать различные источники, чтобы найти вас (камеры видеонаблюдения или другие записи, сделанные в том же месте в то же время во время протеста, например). Важно проверять любой файл, который вы размещаете на этих платформах, на наличие свойств, которые могут содержать любую информацию, которая может привести к вам.


Вот пример данных EXIF, которые могут быть на фотографии:

Кстати, это работает и для видео. Да, у видео тоже есть геотеги, и многие об этом не знают. Вот, например, очень удобный инструмент для геолокации видео на YouTube: https://mattw.io/youtube-geofind/location [Archive.org].


По этой причине вы всегда должны быть очень осторожны при загрузке файлов с использованием анонимных идентификаторов и проверять метаданные этих файлов.


Даже если вы публикуете простой текстовый файл, вам всегда следует дважды или трижды проверить его на предмет утечки информации перед публикацией. Некоторые рекомендации по этому поводу вы найдете в разделе " Некоторые дополнительные меры против криминалистов" в конце руководства.

 

[HEISENBERG]

Водяные знаки.

Изображения/видео/аудио.

Изображения/видео часто содержат видимые водяные знаки, указывающие на владельца/создателя, но в различных продуктах есть и невидимые водяные знаки, нацеленные на идентификацию самого зрителя.


Поэтому, если вы разоблачитель и думаете о том, чтобы слить какую-нибудь картинку/аудио/видеофайл. Подумайте дважды. Есть вероятность, что они содержат невидимые водяные знаки, которые содержат информацию о вас как о зрителе. Такие водяные знаки можно включить с помощью простого переключателя, например Zoom (видео или аудио), или с помощью расширений для популярных приложений, таких как Adobe Premiere Pro. Их могут вставлять различные системы управления контентом.


Недавний пример, когда кто-то слил запись совещания в Zoom, был пойман благодаря водяным знакам: https://theintercept.com/2021/01/18/leak-zoom-meeting/ [Archive.org].


Такие водяные знаки могут быть вставлены различными продуктами, использующими стеганографию, и могут противостоять сжатию и повторному кодированию.


Эти водяные знаки нелегко обнаружить, и они могут позволить идентифицировать источник, несмотря на все усилия.


Помимо водяных знаков, камера, использованная для съемки (и, следовательно, устройство, на которое снималось видео), также может быть идентифицирована с помощью различных методов, таких как идентификация объектива, что может привести к деанонимизации.


Будьте крайне осторожны при публикации видео/фото/аудиофайлов с известных коммерческих платформ, так как они могут содержать такие невидимые водяные знаки в дополнение к деталям на самих изображениях.

Водяные знаки при печати.

Знаете ли вы, что ваш принтер, скорее всего, тоже шпионит за вами? Даже если он не подключен ни к какой сети? Об этом, как правило, знают многие представители ИТ-сообщества, но мало кто из посторонних людей.


Да... Ваши принтеры могут быть использованы для деанонимизации, как объясняет EFF здесь https://www.eff.org/issues/printers [Archive.org].


С этим (старым, но все еще актуальным) видео, объясняющим, как это сделать, от EFF также:

[Invidious].


В принципе, многие принтеры печатают невидимый водяной знак, позволяющий идентифицировать принтер на каждой распечатанной странице. Это называется "стеганография принтера" (Printer Steganography). Нет никакого реального способа борьбы с этим, кроме как информировать себя о своем принтере и убедиться, что он не печатает никаких невидимых водяных знаков. Это очень важно, если вы собираетесь печатать анонимно.


Вот (старый, но все еще актуальный) список принтеров и брендов, которые не печатают такие следящие точки, предоставленный EFF https://www.eff.org/pages/list-printers-which-do-or-do-not-display-tracking-dots [Archive.org].


Вот также несколько советов из документации Whonix(https://www.whonix.org/wiki/Printing_and_Scanning [Archive.org]):


Никогда не печатайте в цвете, обычно водяные знаки не присутствуют без цветных тонеров/картриджей.

 

[HEISENBERG]

Пикселизированная или размытая информация.

Вы когда-нибудь видели документ с размытым текстом? Вы когда-нибудь смеялись над фильмами/сериалами, в которых "улучшают" изображение, чтобы восстановить, казалось бы, нечитаемую информацию?


Так вот, существуют методы восстановления информации из таких документов, видео и изображений.


Вот, например, проект с открытым исходным кодом, который вы можете использовать для самостоятельного восстановления текста из некоторых размытых изображений: https://github.com/beurtschipper/Depix [Archive.org].

Конечно, это проект с открытым исходным кодом, доступный для всех желающих. Но вы, вероятно, можете представить, что подобные техники уже использовались другими противниками. Их можно использовать для выявления размытой информации из опубликованных документов, которая затем может быть использована для вашей деанонимизации.


Существуют также руководства по использованию таких методов с помощью инструментов редактирования фотографий, таких как GIMP, например : https://medium.com/@somdevsangwan/unblurring-images-for-osint-and-more-part-1-5ee36db6a70b [Archive.org], затем https://medium.com/@somdevsangwan/deblurring-images-for-osint-part-2-ba564af8eb5d [Archive.org].

Наконец, вы найдете множество ресурсов по деблюррингу здесь: https://github.com/subeeshvasu/Awesome-Deblurring [Archive.org]


Некоторые онлайн-сервисы даже могут помочь вам сделать это автоматически, как, например, инструмент MyHeritage.com:


https://www.myheritage.com/photo-enhancer [Archive.org]


Вот результат работы с изображением выше:

Конечно, этот инструмент больше похож на "догадку", чем на реальное размывание, но его может быть достаточно, чтобы найти вас с помощью различных сервисов обратного поиска изображений.


По этой причине всегда очень важно правильно отредактировать и оформить любой документ, который вы хотите опубликовать. Размытия недостаточно, и вы всегда должны полностью зачернять/удалять любые конфиденциальные данные, чтобы избежать любых попыток восстановления данных со стороны недоброжелателей.

 

[HEISENBERG]

Ваши операции с криптовалютами.

Вопреки распространенному мнению, транзакции с криптовалютами (такими как Bitcoin и Ethereum) не являются анонимными. Большинство криптовалют можно точно отследить с помощью различных методов.


Вспомните, что говорится на их собственной странице: https://bitcoin.org/en/you-need-to-know [Archive.org] и https://bitcoin.org/en/protect-your-privacy [Archive.org]:


"Биткойн не анонимен".


Основная проблема заключается не в создании случайного криптокошелька для получения некоторой валюты за VPN/Tor-адресом (в этот момент кошелек анонимен). Проблема в основном возникает, когда вы хотите конвертировать фиатные деньги (евро, доллары...) в криптовалюту, а затем, когда вы хотите обналичить свою криптовалюту. У вас будет мало реальных вариантов, кроме как перевести их на биржу (например, Coinbase/Kraken/Bitstamp/Binance). Эти биржи имеют известные адреса кошельков и ведут подробные журналы (из-за финансовых правил KYC), а затем могут отследить эти криптовалютные транзакции до вас с помощью финансовой системы.


Существуют некоторые криптовалюты с учетом конфиденциальности/анонимности, например Monero, но даже у них есть некоторые предупреждения, которые следует учитывать.


Даже если вы используете Mixers или Tumblers (сервисы, специализирующиеся на "анонимизации" криптовалют путем их "смешивания"), имейте в виду, что это лишь обфускация, а не реальная анонимность. Они не только маскируют, но и могут доставить вам неприятности, так как в итоге вы можете обменять свою криптовалюту на "грязную" криптовалюту, которая использовалась в различных сомнительных контекстах.


Это не означает, что вы вообще не можете использовать биткойн анонимно. На самом деле вы можете использовать биткоин анонимно, если не конвертируете его в реальную валюту и используете биткоин-кошелек из безопасной анонимной сети. Это означает, что вам следует избегать правил KYC/AML различных бирж и не использовать сеть Биткойн с любого известного IP-адреса. См. Приложение Z: Анонимные платежи в Интернете с помощью BTC.


В целом, ИМХО, лучшим вариантом для использования криптовалют с разумной анонимностью и приватностью остается Monero, и в идеале не стоит использовать другие криптовалюты для конфиденциальных транзакций, если вы не знаете об ограничениях и рисках, связанных с ними. Пожалуйста, прочтите этот отказ от Monero.

 

[HEISENBERG]

Ваши облачные сервисы резервного копирования/синхронизации.

Все компании рекламируют использование сквозного шифрования (E2EE). Это касается почти всех приложений для обмена сообщениями и веб-сайтов (HTTPS). Apple и Google рекламируют использование шифрования на своих устройствах Android и iPhone.


Но как насчет резервных копий? Те автоматические резервные копии iCloud/google drive, которые у вас есть?


Вы должны знать, что большинство из этих резервных копий не полностью зашифрованы и содержат часть вашей информации, доступной третьим лицам. Вы увидите их заявления о том, что данные зашифрованы в состоянии покоя и никому не угрожают... Вот только обычно они сами хранят ключ для доступа к некоторым данным. Эти ключи используются для индексации вашего контента, восстановления аккаунта, сбора различных аналитических данных.


Существуют специализированные коммерческие решения для криминалистики (Magnet Axiom, Cellebrite Cloud), которые помогут злоумышленнику с легкостью проанализировать ваши облачные данные.


Яркие примеры:

• Apple iCloud: https://support.apple.com/en-us/HT202303 [Archive.org]: "Сообщения в iCloud также используют сквозное шифрование. Если у вас включено резервное копирование iCloud, в резервную копию включается копия ключа, защищающего ваши Сообщения. Это гарантирует, что вы сможете восстановить сообщения, если потеряете доступ к связке ключей iCloud и доверенным устройствам. ".
• Google Drive и WhatsApp: https://faq.whatsapp.com/android/chats/about-google-drive-backups/ [Archive.org]: "Медиафайлы и сообщения, которые вы сохраняете, не защищены сквозным шифрованием WhatsApp, находясь в Google Drive. ".
• Dropbox: https://www.dropbox.com/privacy#terms [Archive.org] : "Чтобы обеспечить эти и другие функции, Dropbox получает доступ, хранит и сканирует ваши материалы. Вы даете нам разрешение на эти действия, и это разрешение распространяется на наши филиалы и доверенные третьи стороны, с которыми мы работаем".
• Microsoft OneDrive: https://privacy.microsoft.com/en-us/privacystatement [Archive.org]: продукты для производительности и коммуникаций, "Когда вы используете OneDrive, мы собираем данные о вашем использовании службы, а также о содержимом, которое вы храните, для предоставления, улучшения и защиты служб. В качестве примера можно привести индексирование содержимого документов OneDrive для последующего поиска и использование информации о местоположении для поиска фотографий в зависимости от того, где они были сделаны".

Не стоит доверять "облачным" провайдерам свои (не зашифрованные ранее и локально) конфиденциальные данные и с опаской относиться к их заявлениям о конфиденциальности. В большинстве случаев они могут получить доступ к вашим данным и предоставить их третьей стороне, если захотят.


Единственный способ предотвратить это - шифровать данные на своей стороне и загружать их только на такие сервисы.

 

[HEISENBERG]

Отпечатки вашего браузера и устройства.

Отпечатки пальцев вашего браузера и устройства - это набор свойств/возможностей вашей системы/браузера. Они используются на большинстве веб-сайтов для невидимого отслеживания пользователей, а также для адаптации пользовательского опыта на сайте в зависимости от браузера. Например, сайты смогут обеспечить "мобильный опыт", если вы используете мобильный браузер, или предложить определенный язык/географическую версию в зависимости от вашего отпечатка пальца. Большинство из этих методов работают с последними версиями браузеров, такими как браузеры на базе Chromium (например, Chrome) или Firefox, если не предпринимать специальных мер.


Вы можете найти много подробной информации и публикаций об этом на этих ресурсах:

• https://amiunique.org/links [Archive.org]
• https://brave.com/brave-fingerprinting-and-privacy-budgets/ [Archive.org]

В большинстве случаев эти отпечатки пальцев, к сожалению, будут уникальными или почти уникальными для вашего браузера/системы. Это означает, что даже если вы выйдете с сайта, а затем снова войдете, используя другое имя пользователя, ваш отпечаток может остаться прежним, если вы не предприняли мер предосторожности.


Злоумышленники могут использовать такие отпечатки пальцев для отслеживания вас на различных сервисах, даже если у вас нет аккаунта ни на одном из них и вы используете блокировку рекламы. В свою очередь, эти отпечатки могут быть использованы для деанонимизации, если вы сохраняете один и тот же отпечаток в разных сервисах.


Следует также отметить, что, хотя некоторые браузеры и расширения предлагают защиту от отпечатков пальцев, эта защита сама по себе может быть использована для снятия отпечатков пальцев, как объясняется здесь https://palant.info/2020/12/10/how-...xtensions-tend-to-make-fingerprinting-easier/ [Archive.org].


В этом руководстве мы рассмотрим эти проблемы, смягчая, запутывая и рандомизируя многие из этих идентификаторов отпечатков пальцев с помощью виртуализации (см. Приложение W: Виртуализация) и использования браузеров, устойчивых к отпечаткам пальцев.

 

[HEISENBERG]

Локальные утечки данных и криминалистика.

Большинство из вас, вероятно, смотрели достаточно криминальных драм на Netflix или по телевизору, чтобы знать, что такое криминалисты. Это специалисты (обычно работающие на правоохранительные органы), которые проводят различные анализы улик. В их число, конечно, может входить ваш смартфон или ноутбук.


Их может провести противник, когда вы уже "спалились", но они могут быть сделаны и случайно, во время обычного контроля или пограничного досмотра. Такие проверки, не имеющие отношения к делу, могут раскрыть секретную информацию противникам, которые ранее не знали о подобных действиях.


В настоящее время методы криминалистики очень развиты и могут выявить ошеломляющий объем информации с ваших устройств, даже если они зашифрованы. Эти методы широко используются правоохранительными органами по всему миру, и с ними следует считаться.


Вот несколько последних ресурсов, которые вам стоит прочитать о вашем смартфоне:

• UpTurn, The Widespread Power of U.S. Law Enforcement to Search Mobile Phones https://www.upturn.org/reports/2020/mass-extraction/ [Архив.org].
• New-York Times, The Police Can Probably Break Into Your Phone https://www.nytimes.com/2020/10/21/technology/iphone-encryption-police.html [Archive.org]
• Vice, Cops Around the Country Can Now Unlock iPhones, Records Show https://www.vice.com/en/article/vbxxxd/unlock-iphone-ios11-graykey-grayshift-police [Archive.org]

Я также настоятельно рекомендую вам прочитать некоторые документы с точки зрения судебного эксперта, такие как:

• EnCase Forensic User Guide, http://encase-docs.opentext.com/doc...al Files/EnCase Forensic v8.07 User Guide.pdf [Archive.org]
• FTK Forensic Toolkit, https://accessdata.com/products-services/forensic-toolkit-ftk [Архив.орг]
• Видеоролики SANS по цифровой криминалистике и реагированию на инциденты, https://www.youtube.com/c/SANSDigitalForensics/videos

И, наконец, вот этот очень поучительный подробный документ о текущем состоянии безопасности IOS/Android от Университета Джона Хопкинса: https://securephones.io/main.html.


Когда речь идет о вашем ноутбуке, методы криминалистической экспертизы многочисленны и широко распространены. Многие из этих проблем можно решить с помощью полного шифрования диска, виртуализации (см. Приложение W: Виртуализация) и разделения. В дальнейшем в этом руководстве будут подробно описаны такие угрозы и методы их устранения.

 

[HEISENBERG]

Плохая криптография.

Среди специалистов по информационной безопасности часто встречается поговорка: "Не создавай свою собственную криптографию!".


И на это есть свои причины:


Лично я не хотел бы, чтобы из-за этой поговорки у людей отбили желание изучать и внедрять инновации в криптовалютной сфере. Поэтому вместо этого я бы рекомендовал людям быть осторожными с "Roll your own crypto", потому что это не обязательно хорошая криптовалюта.

• Хорошая криптография - это не просто, и обычно на ее разработку и отладку уходят годы исследований.
• Хорошая криптография прозрачна и не является проприетарной/закрытым исходным кодом, поэтому она может быть проверена коллегами.
• Хорошая криптография разрабатывается тщательно, медленно и редко в одиночку.
• Хорошая криптография обычно представляется и обсуждается на конференциях, а также публикуется в различных журналах.
• Хорошая криптография проходит тщательное рецензирование, прежде чем ее выпускают в свободную продажу.
• Правильное использование и внедрение существующей хорошей криптографии уже является сложной задачей.

Однако это не мешает некоторым делать это в любом случае и публиковать различные производственные приложения/сервисы, используя собственную самодельную криптографию или проприетарные методы с закрытым исходным кодом.

• Следует проявлять осторожность при использовании приложений/сервисов с закрытыми исходными кодами или проприетарными методами шифрования. Все хорошие криптостандарты являются общедоступными и рецензируемыми, поэтому не должно быть проблем с раскрытием информации о том, какой из них вы используете.
• Следует опасаться приложений/сервисов, использующих "модифицированные" или проприетарные методы шифрования.
• По умолчанию вы не должны доверять никаким "Roll your own crypto", пока они не прошли аудит, рецензирование, проверку и не были приняты криптографическим сообществом.
• Не существует такого понятия, как "криптография военного класса".

Криптография - сложная тема, и плохая криптография может легко привести к вашей деанонимизации.


В контексте данного руководства я рекомендую придерживаться приложений/сервисов, использующих хорошо зарекомендовавшие себя, опубликованные и рецензируемые методы.


Итак, что предпочесть и чего избегать в 2021 году? Вам придется самостоятельно изучить технические детали каждого приложения и понять, используют ли они "плохую криптовалюту" или "хорошую криптовалюту". Как только вы узнаете технические подробности, вы можете проверить эту страницу, чтобы понять, чего она стоит: https://latacora.micro.blog/2018/04/03/cryptographic-right-answers.html [Archive.org].


Вот несколько примеров:

• Хеши:
  
  • Предпочтительны: SHA256 (широко используется), SHA512 (предпочтительно) или SHA-3
  • Избегайте: SHA-1, SHA-2, MD5 (к сожалению, все еще широко используется, CRC, MD6 (используется редко)).
• Шифрование файлов/дисков:
  
  • Предпочитают:
    
    • Аппаратное ускорение: AES 256 бит с HMAC-SHA-2 или HMAC-SHA-3 (это то, что используют Veracrypt, Bitlocker, Filevault 2, KeepassXC и LUKS).
    • Неаппаратное ускорение: То же, что и ускоренный выше, или, если он доступен, предпочтите ChaCha20 или XChaCha20 (Вы можете использовать ChaCha20 с Kryptor https://www.kryptor.co.uk, к сожалению, он недоступен с Veracrypt).
  • Избегайте: Практически все остальное.
• Хранение паролей:
  
  • Предпочитайте: argon2, scrypt, bcrypt, SHA-3 или, если это невозможно, хотя бы PBKDF2 (только в крайнем случае).
  • Избегайте: голый SHA-2, SHA-1, MD5
• Безопасность браузера (HTTPS):
  
  • Предпочитайте: TLS 1.3 (в идеале TLS 1.3 с поддержкой ECH/eSNI) или хотя бы TLS 1.2 (широко используется).
  • Избегайте: Все остальное (TLS =<1.1, SSL =<3).
• Подписание с помощью PGP/GPG:
  
  • Предпочтите ECDSA (ed25519)+ECDH (ec25519) или RSA 4096 бит*.
  • Избегайте: RSA 2048 бит
• SSH-ключи:
  
  • ED25519 (предпочтительно) или RSA 4096 бит*.
  • Избегайте: RSA 2048 бит
• Внимание: RSA и ED25519, к сожалению, не считаются "квантоустойчивыми" , и хотя они еще не были взломаны, но, вероятно, когда-нибудь будут взломаны в будущем. Скорее всего, это просто вопрос времени, а не того, будет ли когда-нибудь взломан RSA. Поэтому в таких случаях они предпочтительнее из-за отсутствия лучшего варианта.

Вот несколько реальных примеров плохой криптографии:

• Telegram: https://buttondown.email/cryptograp...ography-dispatches-the-most-backdoor-looking/ [Archive.org]
• Cryptocat: https://web.archive.org/web/2013070...-critical-vulnerability-in-cryptocat-details/
• Некоторые другие примеры можно найти здесь: https://www.cryptofails.com/ [Archive.org]

 

[HEISENBERG]

Политика "не регистрировать, но все равно регистрировать".

Многие люди считают, что сервисы, ориентированные на конфиденциальность, такие как VPN или провайдеры электронной почты, безопасны благодаря политике отсутствия регистрации или схемам шифрования. К сожалению, многие из тех же людей забывают, что все эти провайдеры являются законными коммерческими организациями, подчиняющимися законам стран, в которых они работают.


Любого из этих провайдеров можно заставить молча (без вашего ведома (например, с помощью судебного постановления с приказом о затыкании рта или письма о национальной безопасности) регистрировать ваши действия, чтобы деанонимизировать вас. В последнее время было несколько таких примеров:

• 2021 год, серверы DoubleVPN, журналы и информация об учетных записях изъяты правоохранительными органами
• 2021 год, немецкий почтовый провайдер Tutanota был вынужден следить за определенными учетными записями в течение 3 месяцев
• 2020 год, немецкий почтовый провайдер Tutanota был вынужден использовать бэкдор для перехвата и сохранения копий незашифрованных писем одного пользователя (они не расшифровывали сохраненные письма).
• 2017 год, PureVPN был вынужден раскрыть информацию об одном из пользователей ФБР.
• 2014 год, пользователь EarthVPN был арестован на основании логов, предоставленных провайдером полиции Нидерландов.
• 2014 год, пользователь HideMyAss был деанонимизирован, а логи были предоставлены ФБР.
• 2013 год, провайдер защищенной электронной почты Lavabit закрылся после борьбы с секретным приказом о запрете.

Некоторые провайдеры внедрили систему Warrant Canary, которая позволит пользователям узнать, не были ли они скомпрометированы подобными приказами, но, насколько мне известно, это еще не было опробовано.


Наконец, сейчас хорошо известно, что некоторые компании могут быть спонсорами некоторых государственных противников (см. историю Crypto AG и историю Omnisec).


По этим причинам важно, чтобы вы не доверяли таким провайдерам свою конфиденциальность, несмотря на все их заявления. В большинстве случаев вы будете последним, кто узнает о том, что на ваш счет были направлены подобные распоряжения, а возможно, вы вообще никогда об этом не узнаете.


Чтобы смягчить эту проблему, в случаях, когда вы хотите использовать VPN, я рекомендую использовать VPN-провайдера с денежной/монетарной оплатой, а не Tor, чтобы VPN-сервис не мог узнать о вас никакой идентифицирующей информации.

 

[HEISENBERG]

Некоторые передовые целевые методики.

Существует множество передовых методов, которые могут быть использованы опытными противниками для обхода ваших мер безопасности, если они уже знают, где находятся ваши устройства. Многие из этих методов подробно описаны здесь https://cyber.bgu.ac.il/advanced-cyber/airgap [Archive.org] (Air-Gap Research Page, Cyber-Security Research Center, Ben-Gurion University of the Negev, Israel) и включают:

• Атаки, требующие внедрения вредоносной программы в какое-либо устройство:
  
  • Исчезновение данных через зараженный вредоносным ПО маршрутизатор:
    [Invidious].
  • Исчезновение данных через наблюдение за изменением освещенности клавиатуры с подсветкой с помощью взломанной камеры:
    [Invidious]
    
    • Исчезновение данных через взломанную камеру безопасности (которая может использовать предыдущую атаку).
      [Invidious]
    • Передача данных от постороннего лица к взломанным камерам безопасности с помощью ИК-сигналов:
      [Invidious]
  • Исчезновение данных со взломанного компьютера с воздушной прокладкой через акустический анализ шумов FAN с помощью смартфона
    [Invidious]
  • Исчезновение данных с зараженного вредоносным ПО компьютера с воздушной прокладкой через HD-светодиоды с помощью дрона
    [Invidious]
  • Эксфильтрация данных с USB-накопителя вредоносного ПО на компьютере, находящемся в воздухе, с помощью электромагнитных помех
    [Invidious]
  • Эксфильтрация данных с зараженного вредоносным ПО HDD-накопителя с помощью скрытых акустических шумов
    [Invidious]
  • Исчезновение данных через GSM-частоты со взломанного (с вредоносным ПО) компьютера, находящегося в воздушной среде
    [Invidious]
  • Исчезновение данных через электромагнитные излучения со взломанного устройства с дисплеем
    [Invidious]
  • Исчезновение данных с помощью магнитных волн со скомпрометированного компьютера с воздушным затвором на смартфон, хранящийся в мешке Фарадея
    [Invidious]
  • Связь между двумя взломанными компьютерами с воздушным креплением с помощью ультразвуковых звуковых волн
    [Invidious]
  • Эксфильтрация Bitcoin-кошелька со взломанного компьютера с воздушной прокладкой на смартфон
    [Invidious]
  • Исчезновение данных со взломанного компьютера с воздушным захватом с помощью яркости дисплея
    [Invidious]
  • Исчезновение данных со скомпрометированного компьютера с воздушной прокладкой с помощью вибрации
    [Invidious]
  • Исправление данных со взломанного компьютера с воздушной прослойкой путем превращения оперативной памяти в излучатель Wi-Fi
    [Invidious]
  • Эксфильтрация данных со скомпрометированного компьютера с воздушной прокладкой через линии электропередач https://arxiv.org/abs/1804.04014 [Archive.org]
• Атаки, не требующие вредоносного ПО:
  
  • Наблюдение за лампочкой на расстоянии для прослушивания звука в комнате без вредоносного ПО: Демонстрация:
    [Invidious].

Здесь также есть хорошее видео от тех же авторов, объясняющее эти темы: Black Hat, The Air-Gap Jumpers

[Invidious].


В реальности это руководство мало чем поможет против таких противников, поскольку эти вредоносные программы могут быть внедрены в устройства производителем, кем-то посередине или кем-то, кто имеет физический доступ к компьютеру с воздушной прослойкой, но все же есть некоторые способы борьбы с такими методами:

• Не выполняйте конфиденциальные действия при подключении к ненадежной/небезопасной линии электропередачи, чтобы предотвратить утечки в линии электропередачи.
• Не используйте свои устройства перед камерой, которая может быть скомпрометирована.
• Используйте устройства в звукоизолированной комнате, чтобы предотвратить утечку звука.
• Используйте устройства в клетке Фарадея, чтобы предотвратить утечку электромагнитного излучения.
• Не обсуждайте конфиденциальную информацию там, где лампочки могут быть замечены снаружи.
• Покупайте устройства в разных/непредсказуемых/офлайн местах (магазинах), где вероятность заражения вредоносным ПО ниже.
• Не позволяйте никому, кроме доверенных лиц, получать доступ к вашим компьютерам с воздушной защитой.

 

[HEISENBERG]

Некоторые бонусные ресурсы.

• Посмотрите документацию Whonix по технике сбора данных здесь: https://www.whonix.org/wiki/Data_Collection_Techniques [Archive.org].
• Вам также может понравиться этот сервис https://tosdr.org/ [Archive.org] (Terms of Services, Didn't Read), который даст вам хороший обзор различных ToS многих сервисов.
• Загляните на https://www.eff.org/issues/privacy [Archive.org], чтобы найти еще несколько ресурсов.
• Загляните на https://en.wikipedia.org/wiki/List_of_government_mass_surveillance_projects [Wikiless] [Archive.org], чтобы получить обзор всех известных проектов по массовому наблюдению, текущих и прошлых.
• Загляните на https://www.gwern.net/Death-Note-Anonymity [Archive.org] (даже если вы не знаете о Death Note).
• Найдите и прочитайте книгу Майкла Баззелла "Open Source Intelligence Techniques" (8-е издание на данный момент, чтобы узнать больше о современных методах OSINT) https://inteltechniques.com/book1.html [Archive.org].
• Наконец, загляните на сайт https://www.freehaven.net/anonbib/date.html [Archive.org], чтобы найти последние научные работы, связанные с анонимностью в Интернете.

 

[HEISENBERG]

Примечания.

Если вы все еще не считаете, что подобная информация может быть использована различными субъектами для слежки за вами, вы можете посмотреть статистику по некоторым платформам, не забывая при этом, что она учитывает только законные запросы данных и не учитывает такие вещи, как PRISM, MUSCULAR, SORM или XKEYSCORE, о которых говорилось ранее:

• Отчет о прозрачности Google https://transparencyreport.google.com/user-data/overview [Archive.org]
• Facebook Transparency Report https://transparency.facebook.com/ [Archive.org]
• Apple Transparency Report https://www.apple.com/legal/transparency/ [Archive.org]
• Cloudflare Transparency Report https://www.cloudflare.com/transparency/ [Archive.org]
• Snapchat Transparency Report https://www.snap.com/en-US/privacy/transparency [Archive.org]
• Telegram Transparency Report https://t.me/transparency [Archive.org] (требуется установленный telegram)
• Microsoft Transparency Report https://www.microsoft.com/en-us/corporate-responsibility/law-enforcement-requests-report [Archive.org]
• Amazon Transparency Report https://www.amazon.com/gp/help/customer/display.html?nodeId=GYSDRGWQ2C2CRYEF [Archive.org]
• Dropbox Transparency Report https://www.dropbox.com/transparency [Archive.org]
• Discord Transparency Report https://blog.discord.com/discord-transparency-report-jan-june-2020-2ef4a3ee346d [Archive.org]
• GitHub Transparency Report https://github.blog/2021-02-25-2020-transparency-report/ [Archive.org]
• Snapchat Transparency Report https://www.snap.com/en-US/privacy/transparency/ [Archive.org]
• TikTok Transparency Report https://www.tiktok.com/safety/resources/transparency-report?lang=en [Archive.org]
• Reddit Transparency Report https://www.reddit.com/wiki/transparency [Archive.org]
• Twitter Transparency Report https://transparency.twitter.com/ [Archive.org]

 

[HEISENBERG]

Общие приготовления.

Лично мне в контексте данного руководства интересно взглянуть на вашу модель безопасности. И в этом контексте я могу порекомендовать только одну:


Zero-Trust Security ("Никогда не доверяй, всегда проверяй").


Вот несколько различных ресурсов о том, что такое Zero-Trust Security:

• DEFCON, Zero Trust a Vision for Securing Cloud,
  [Invidious].
• От самого АНБ, Embracing a Zero Trust Security Model, https://media.defense.gov/2021/Feb/..._EMBRACING_ZT_SECURITY_MODEL_UOO115131-21.PDF [Archive.org].

 

[HEISENBERG]

Выбираем маршрут.

Вот небольшая базовая UML-диаграмма, показывающая ваши возможности. Подробности см. ниже.

 

[HEISENBERG]

Ограничения по срокам.

• У вас очень мало времени на обучение, и вам нужно быстрое решение:
  
  • Лучшим вариантом для вас будет путь Tails (за исключением раздела, посвященного правдоподобному отрицанию).
• У вас есть время и, что еще важнее, желание учиться:
  
  • выбирайте любой маршрут.