![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
Entry tags:
Ще раз про мережеву безпеку
На всяк випадок нагадаю ази комп’ютерної та мережевої безпеки. Цей текст не претендує на всеосяжність чи глибину викладення. Доповнення та поправки охоче приймаються.
Для початку: комп’ютерна безпека, або безпека інформації, включає три основних напрямки:
– Конфіденційність, або недоступність інформації для тих, чий доступ до неї є небажаним. Це включає приховування як вмісту оброблюваної інформації, так і, часто, самого факту її обробки та/або приховування особи, яка цю обробку виконує.
– Цілісність, або неспроможність сторонніх зловмисно чи випадково змінити чутливу інформацію.
– Доступність, або неспроможність сторонніх перешкодити вашій роботі з вашими даними чи службами.
Дуже важливо розрізняти, які саме з цих аспектів забезпечують ті чи інші заходи безпеки. Поширена помилка — приймати надійний в плані конфіденційності засіб за надійний в плані цілісності, або навпаки. Скажімо, електронна пошта деякою мірою надійна в питанні конфіденційності (прочитати лист, якщо ти не адресат, не дуже просто), але практично незахищена від відправлення листів від чужого імені.
1. Тримайте комп’ютер в безпеці
Регулярно оновлюйте програмне забезпечення, особливо те, що працює з мережею, в тому числі операційну систему. Майте антивірус зі свіжими базами. Бази тижневої давності — не свіжі.
Не ставте підозрілі програми. В ідеалі — взагалі не ставте зайвих програм. Більшої довіри варте відкрите програмне забезпечення. Поставте Libre Office замість Microsoft Office, Firefox/Chrome замість Internet Explorer. Великі виробники варті більшої довіри в тому розумінні, що вони уважніше ставляться до можливих уразливостей безпеки, але слід тримати в голові, що відомі випадки, коли великі виробники залишають в своїх програмах дірки спеціально для спецслужб.
2. Будь-яка робота в мережі з чутливими даними повинна виконуватись по безпечному з’єднанню
Самий простий серед поширених и поширений серед простих способів — використання SSL. У випадку браузера це означає використання протоколу https замість http (дивіться на префікс на початку адреси сайту і значок замка перед ним). Для інших програм (поштового клієнту і т.д.) зазвичай використання SSL/TLS виставляється в налаштуваннях.
Пам’ятайте, що з’єднання є безпечним лише у тому випадку, якщо у сервера, з яким ви працюєте, є дійсний сертифікат, підписаний довіреним центром сертифікації. Не лякайтесь, якщо не зрозуміли останнє речення. Висновки з цього, важливі для користувача — в наступному абзаці, а кому цікаво розібратися в технічних деталях, читайте далі. Для того, щоб встановити безпечну сесію зв’язку з сервером, вам необхідно мати так званий відкритий ключ цього сервера. При цьому необхідно бути впевненим, що той ключ, який вам дістався, належить справжньому (а не підставному) серверу. Для цього відкритий ключ разом з інформацією про його належність підписується так званим центром сертифікації. Для перевірки підпису центру сертифікації, знову-таки, потрібен відкритий ключ центра сертифікації, але ключі популярних центрів йдуть в комплекті з браузером.
Отже,
- якщо ви проігнорували повідомлення про невалідний сертифікат, ваше з’єднання не є захищеним;
- якщо центр сертифікації був скомпрометований зловмисником або видав (під тиском) йому фальшивий сертифікат, ваше з’єднання не є захищеним;
- якщо ви завантажили свій браузер з недовіренного сайту, ваше з’єднання, ймовірно, не є захищеним;
- якщо ваш комп’ютер або ж сервер, з яким ви працюєте, скомпрометований зловмисником, ваше з’єднання залишається захищеним, але толку від цього немає, тому що вся інформація, якою ви обмінюєтесь з сервером, зловмиснику доступна.
Будьте уважними до того, з яким саме сайтом ви працюєте. Ви можете мати цілком безпечне з’єднання з яким-небудь https://gmaii.com, але вас це не врятує.
3. Робіть резервні копії
Резервна копія даних — єдиний спосіб не позбутися їх. Резервна копія встановленої операційної системи — єдиний спосіб відновлення скомпрометованої систему.
4. Паролі
Пароль має бути складним для підбору. Найкраще мати випадковий пароль, тобто згенерований криптографічно стійким генератором випадкових чисел. Людська голова мало пристосована для придумування чогось реально випадкового. Крім випадковості, важлива довжина і набір символів, які входять до паролю. Гарний варіант — складати пароль з випадкових (див. вище) слів. Такий пароль має бути приблизно вдвічі довшим, але його при цьому буде значно легше запам’ятати (хоча і довше набирати). Наприклад, пароль з 8 випадкових великих/малих літер, цифр та символів приблизно еквівалентний паролю з 3-4 випадкових слів, вибраних зі словника з 40000 слів.
Паролі потрібно регулярно міняти.
Не можна ставити однакові паролі на різні сервіси. Якщо ці сервіси для вас цінні, звісно.
Не записуйте паролі. Я розумію, що заклик звучить радикально, але в записаному паролі сенсу мало. Якщо вам важко запам’ятати пароль, тримайте його записаним, доки не запам’ятаєте, але не використовуйте сервіс, захищений цим паролем, в серйозних справах, доки не знищили папірець з паролем.
1. Тримайте все інше мережеве обладнання в безпеці.
Регулярно оновлюйте прошивки роутерів та інших мережевих пристроїв. Взагалі-то краще це робити у будь-якому випадку, але я все розумію, зайва морока і все таке. Однак мережеве обладнання — незаслужено забута дірка в безпеці величезної кількості людей. Якщо ви відправляєте документ на друк на мережевий принтер через заражений роутер, зловмисник може його прочитати. Так само — якщо заражений був сам мережевий принтер.
Отже, оновлення і ще раз оновлення. Якщо є можливість, раджу також поставити на роутер відкриту прошивку на кшталт OpenWRT.
2. Подумайте щодо проксі / анонімайзерів / TOR / VPN
Це все — засоби анонімізації вашої мережевої діяльності. Серед безкоштовних засобів однозначно виграє TOR. Серед платних найнадійніше — власноруч сконфігурований VPN-сервер, встановлений на анонімно орендований сервер в якійсь далекій країні. Але це доступно лише спеціалістам. Всі інші можуть купити подібний сервіс, однак слід пам’ятати, що спецслужби та інші організації, цікаві до людських таємниць, роблять підставні сервіси. Не помиліться з вибором. Можливо, TOR для вас буде найнадійнішим варіантом.
3. Надавайте перевагу відкритому програмному забезпеченню
Для нього швидше виходять оновлення безпеки і менша ймовірність т.зв. «закладок» (умисних дірок в безпеці, включених розробником в програму для себе, на прохання спецслужб або ще для когось).
Подумайте щодо використання Linux. Він уже давно не такий страшний, як його колись малювали. У випадку користування комп’ютером в об’ємі «вконтактик – ворд – гмейл» ви різниці не відчуєте взагалі. Спробуйте user-friendly дистрибутив, як-от Mint.
Перше, що потрібно запам’ятати у випадку, якщо зловмисник має дуже великі ресурси, це те, що ви не здатні повністю захиститись від нього. Все, що ви можете зробити — це змусити його вжити проти вас такий об’єм ресурсів, який він не готовий потратити особисто на вас, бо ви того не варті для нього. Оцініть свою цінність для зловмисника, і виходьте з неї.
1. Серйозно подумайте про відкрите ПЗ
Див. вище.
2. Вся чутлива інформація, що знаходиться не на вашому комп’ютері і не на комп’ютері адресата, має бути зашифрована
Поставте поштовий клієнт з підтримкою GnuPG. Плагіни є для всіх популярних поштових клієнтів. Не користуйтесь веб-поштою чи іншими веб-сервісами для спілкування. Не користуйтесь Skype в роботі з чутливою інформацією. Пам’ятайте, що у зловмисника може бути доступ до серверів, через які ви працюєте.
3. Довіряйте тільки підписаній цифровим підписом інформації від ваших кореспондентів
Пам’ятайте, шифрування не захищає від підробки відправника.
4. Щоб зловмисник не міг асоціювати певну мережеву активність з вами, анонімізуйтесь
Див. вище, проксі / VPN / TOR.
5. Регулярно виконуйте перевірку системи на зловмисне програмне забезпечення
Перевірка має виконуватися з завантаженням з чистого носія (наприклад, компакт-диску). «Лікувати» заражену систему з-під неї самої — лотерея у випадку, якщо вас заразила випадкова зараза, і цілковито безнадійна справа, якщо заразити хотіли особисто вас. Надійніше за «лікування» антивірусними програмами — відновлення чистої резервної копії системи. Важливо: якщо ви просто знищите зловмисне ПЗ, не з’ясувавши, як воно до вас потрапило, воно незабаром потрапить до вас знову, тим самим шляхом.
6. Домовтесь з людьми, з якими ви працюєте, про те, яку інформацію ви будете передавати по відкритим (незахищеним) каналам, а яку — виключно по закритим
Будьте насторожі, якщо отримаєте по відкритому каналу інформацію, про яку була домовленість захищати — це може бути дезінформація або провокація.
7. Електромагнітне перехоплення
Всі ваші пристрої випромінюють, і за цим випромінюванням часто можна з’ясувати, чим вони зайняті. Крім випромінювання, пристрої також дають наведення на мережу живлення.
По випромінюванню клавіатури часто нескладно дізнатись, що ви набираєте. Особливо це стосується клавіатур PS/2 (не-USB). Пам’ятайте також, що набраний текст в деяких умовах нескладно відновити навіть по звуку клавіатури. Важливі дані (хоча б паролі) варто набирати на екранній клавіатурі, мишкою.
Монітор також випромінює, особливо це стосується кабеля, по якому йде відеосигнал. Аналоговий відеосигнал (D-Sub, VGA) часто може легко ловитись за десятки метрів. Цифровий (DVI-D, HDMI) уловлюється складніше, особливо при грамотному підборі кольорів, в яких відображується інформація. Повністю чорний на повністю білому, до речі, дуже непоганий варіант для названих вище цифрових інтерфейсів. Чисто червоний на чисто зеленому — ще краще, але очі втомлюються.
Дуже гарний варіант — ноутбук, відключений від мережі живлення. В ньому всі інтерфейсні дроти відносно короткі, тому менше випромінюють. Втім, зауваження про звук клавіатури залишається в силі, тому екранна клавіатура все одно потрібна.
8. Шифруйте дані на вінчестері
Не кожна програма, що обіцяє шифрування, насправді гарно шифрує дані (або й взагалі шифрує їх), тому у виборі потрібно бути обережним. Для Windows гарним варіантом є TrueCrypt, для Linux — LUKS. І пам’ятайте, що ніяке шифрування вас не врятує, якщо зловмисник матиме пароль від шифрованого розділу, або якщо зловмисник заразить (скомпрометує) ваш комп’ютер.
9. Знищуйте інформацію надійно
При видаленні файлу він не затирається, відновити його можна елементарно. Встановіть програму, яка перезатирає файл перед знищенням. Пам’ятайте, що з сучасних флеш-носіїв (включно з SSD-дисками) неможливо надійно стерти інформацію. Ви можете бути впевненим в знищенні інформації з такого носія лише після фізичного руйнування мікросхеми пам’яті. Хочете затирати інформацію — користуйтесь вінчестерами.
10. Блокуйте екран кожен раз, коли встаєте з-за комп’ютера
Ви ніколи не знаєте, в який момент зловмисник отримає фізичний доступ до вашого комп’ютера, тому в цей момент комп’ютер має бути невразливим.
11. Подумайте щодо варіантів швидкого знищення зайвої інформації у випадку силового наїзду
Один талановитий мужик поставив всередину комп’ютера дрель на акумуляторах, яка просвердлила вінчестер одразу при зніманні бокової кришки.
12. Забезпечте собі альтернативний доступ до мережі, який не може бути легко асоційований з вами
Прокладіть мережевий кабель до сусіда. Прокиньте WiFi-радіоміст до сусіда. Купіть пакет 3G-інтернету. Це все не зупинить зловмисника, але може дати виграш в часі, поки він зрозуміє, що до чого.
13. Пам’ятайте, що ваш телефон вас видає
Оператор знає з досить високою точністю, де ви знаходитесь. Ходять чутки, що телефон може прослуховувати хазяїна. В GSM-мережах я некомпетентний, тому нічого сказати за чи проти цієї чутки, але попередити мушу. Пам’ятайте, що поведінка «вимкненого» телефона у випадку наявності акумулятора — на совісті виробника телефону. Він може проявляти непотрібну активність. Деякі остерігаються навіть вимкнених телефонів з вийнятим акумулятором. Радіопередачу такий телефон вести, звісно, не може, а от аудіозапис — я б не став стовідсотково виключати.
При підключенні до мережі телефон передає свій унікальний IMEI-код оператору. Майже немає сумніву, що оператор зберігає список SIM-карт, що коли-небудь були вставлені в даний телефон, і навпаки, список телефонів, в які вставлялась ця карта. Іншими словами, зміна SIM-карти нічого не дає в плані анонімності. Якщо хочете бути анонімним, вам потрібен окремий новий телефон, на додаток до стартового пакету.
Ще важливий момент: GSM-телефони практично беззахисні перед «піратськими» базовими станціями, які видають себе за станції оператора. Практика останніх місяців показує, що такий сценарій більш ніж реальний. Іншими словами, телефонний зв’язок не захищений абсолютно. Ви не можете бути певні, що вас не прослуховують. Ви не можете бути певні, що на іншому кінці — справді ваш абонент. Ні у випадку, коли телефонуєте ви, ні у випадку, коли телефонують вам. СМС може бути відправлене з підробленим адресатом. Коротше кажучи, не довіряйте телефону важливу інформацію і перевіряйте ще раз інформацію, отриману по телефону.
Є досить-таки варта довіри інформація, що американська NSA здатна заволодіти керуванням будь-яким комп’ютером, підключеним до інтернету. Думаю, що у вітчизняних спецслужб ресурси дещо менші, але наївно було б розраховувати, що вони ні до чого подібного не здатні. Є всі шанси, що зловмисник має таку можливість. Тому якщо потрібна серйозна безпека, слід працювати з інформацією на комп’ютері, який з моменту установки операційної системи (а краще — від самого початку) не був підключений до мережі. Чутлива інформація має покидати цей комп’ютер лише в шифрованому вигляді (на флешках, звісно). Якщо на такій системі не відкривати випадкові файли (тобто такі, які можуть бути підсунуті зловмисником), то заразити її буде дуже складно.
Менш радикальний варіант — від’єднати комп’ютер від мережі і завантажити систему з компакт-диску. Будьте уважні: якщо ви маєте на комп’ютері шифрований розділ, з яким працюєте таким чином, ніколи не розшифровуйте його з-під ненадійної системи (тої, з-під якої виконувалась робота з інтернетом).
Взагалі, майте «чистий» завантажувальний компакт-диск, він вас ще не раз виручить. До слова: є досить цікавий дистрибутив Tails (https://tails.boum.org/), в ньому зразу доступний джентльменський набір інструментів безпеки та анонімності.
І насамкінець, пам’ятайте, що безпека — річ комплексна. Немає сенсу використовувати сильне шифрування, якщо у вас на стіні висить дзеркало, через яке ваш монітор видно з вулиці. Зловмисник, що вперся в глуху стіну комп’ютерного захисту, піде простішими шляхами. Поставить жучок. Використає «втемну» когось з ваших знайомих. Думайте за зловмисника, передбачайте його можливі дії.
Прохання писати в коментарі зауваження та доповнення. Важливе буду виносити в основний текст.
Для початку: комп’ютерна безпека, або безпека інформації, включає три основних напрямки:
– Конфіденційність, або недоступність інформації для тих, чий доступ до неї є небажаним. Це включає приховування як вмісту оброблюваної інформації, так і, часто, самого факту її обробки та/або приховування особи, яка цю обробку виконує.
– Цілісність, або неспроможність сторонніх зловмисно чи випадково змінити чутливу інформацію.
– Доступність, або неспроможність сторонніх перешкодити вашій роботі з вашими даними чи службами.
Дуже важливо розрізняти, які саме з цих аспектів забезпечують ті чи інші заходи безпеки. Поширена помилка — приймати надійний в плані конфіденційності засіб за надійний в плані цілісності, або навпаки. Скажімо, електронна пошта деякою мірою надійна в питанні конфіденційності (прочитати лист, якщо ти не адресат, не дуже просто), але практично незахищена від відправлення листів від чужого імені.
Нульовий рівень параної, або правила, яких треба дотримуватись завжди
1. Тримайте комп’ютер в безпеці
Регулярно оновлюйте програмне забезпечення, особливо те, що працює з мережею, в тому числі операційну систему. Майте антивірус зі свіжими базами. Бази тижневої давності — не свіжі.
Не ставте підозрілі програми. В ідеалі — взагалі не ставте зайвих програм. Більшої довіри варте відкрите програмне забезпечення. Поставте Libre Office замість Microsoft Office, Firefox/Chrome замість Internet Explorer. Великі виробники варті більшої довіри в тому розумінні, що вони уважніше ставляться до можливих уразливостей безпеки, але слід тримати в голові, що відомі випадки, коли великі виробники залишають в своїх програмах дірки спеціально для спецслужб.
2. Будь-яка робота в мережі з чутливими даними повинна виконуватись по безпечному з’єднанню
Самий простий серед поширених и поширений серед простих способів — використання SSL. У випадку браузера це означає використання протоколу https замість http (дивіться на префікс на початку адреси сайту і значок замка перед ним). Для інших програм (поштового клієнту і т.д.) зазвичай використання SSL/TLS виставляється в налаштуваннях.
Пам’ятайте, що з’єднання є безпечним лише у тому випадку, якщо у сервера, з яким ви працюєте, є дійсний сертифікат, підписаний довіреним центром сертифікації. Не лякайтесь, якщо не зрозуміли останнє речення. Висновки з цього, важливі для користувача — в наступному абзаці, а кому цікаво розібратися в технічних деталях, читайте далі. Для того, щоб встановити безпечну сесію зв’язку з сервером, вам необхідно мати так званий відкритий ключ цього сервера. При цьому необхідно бути впевненим, що той ключ, який вам дістався, належить справжньому (а не підставному) серверу. Для цього відкритий ключ разом з інформацією про його належність підписується так званим центром сертифікації. Для перевірки підпису центру сертифікації, знову-таки, потрібен відкритий ключ центра сертифікації, але ключі популярних центрів йдуть в комплекті з браузером.
Отже,
- якщо ви проігнорували повідомлення про невалідний сертифікат, ваше з’єднання не є захищеним;
- якщо центр сертифікації був скомпрометований зловмисником або видав (під тиском) йому фальшивий сертифікат, ваше з’єднання не є захищеним;
- якщо ви завантажили свій браузер з недовіренного сайту, ваше з’єднання, ймовірно, не є захищеним;
- якщо ваш комп’ютер або ж сервер, з яким ви працюєте, скомпрометований зловмисником, ваше з’єднання залишається захищеним, але толку від цього немає, тому що вся інформація, якою ви обмінюєтесь з сервером, зловмиснику доступна.
Будьте уважними до того, з яким саме сайтом ви працюєте. Ви можете мати цілком безпечне з’єднання з яким-небудь https://gmaii.com, але вас це не врятує.
3. Робіть резервні копії
Резервна копія даних — єдиний спосіб не позбутися їх. Резервна копія встановленої операційної системи — єдиний спосіб відновлення скомпрометованої систему.
4. Паролі
Пароль має бути складним для підбору. Найкраще мати випадковий пароль, тобто згенерований криптографічно стійким генератором випадкових чисел. Людська голова мало пристосована для придумування чогось реально випадкового. Крім випадковості, важлива довжина і набір символів, які входять до паролю. Гарний варіант — складати пароль з випадкових (див. вище) слів. Такий пароль має бути приблизно вдвічі довшим, але його при цьому буде значно легше запам’ятати (хоча і довше набирати). Наприклад, пароль з 8 випадкових великих/малих літер, цифр та символів приблизно еквівалентний паролю з 3-4 випадкових слів, вибраних зі словника з 40000 слів.
Паролі потрібно регулярно міняти.
Не можна ставити однакові паролі на різні сервіси. Якщо ці сервіси для вас цінні, звісно.
Не записуйте паролі. Я розумію, що заклик звучить радикально, але в записаному паролі сенсу мало. Якщо вам важко запам’ятати пароль, тримайте його записаним, доки не запам’ятаєте, але не використовуйте сервіс, захищений цим паролем, в серйозних справах, доки не знищили папірець з паролем.
Перший рівень параної, або якщо є підстави вважати, що ви комусь цікаві
1. Тримайте все інше мережеве обладнання в безпеці.
Регулярно оновлюйте прошивки роутерів та інших мережевих пристроїв. Взагалі-то краще це робити у будь-якому випадку, але я все розумію, зайва морока і все таке. Однак мережеве обладнання — незаслужено забута дірка в безпеці величезної кількості людей. Якщо ви відправляєте документ на друк на мережевий принтер через заражений роутер, зловмисник може його прочитати. Так само — якщо заражений був сам мережевий принтер.
Отже, оновлення і ще раз оновлення. Якщо є можливість, раджу також поставити на роутер відкриту прошивку на кшталт OpenWRT.
2. Подумайте щодо проксі / анонімайзерів / TOR / VPN
Це все — засоби анонімізації вашої мережевої діяльності. Серед безкоштовних засобів однозначно виграє TOR. Серед платних найнадійніше — власноруч сконфігурований VPN-сервер, встановлений на анонімно орендований сервер в якійсь далекій країні. Але це доступно лише спеціалістам. Всі інші можуть купити подібний сервіс, однак слід пам’ятати, що спецслужби та інші організації, цікаві до людських таємниць, роблять підставні сервіси. Не помиліться з вибором. Можливо, TOR для вас буде найнадійнішим варіантом.
3. Надавайте перевагу відкритому програмному забезпеченню
Для нього швидше виходять оновлення безпеки і менша ймовірність т.зв. «закладок» (умисних дірок в безпеці, включених розробником в програму для себе, на прохання спецслужб або ще для когось).
Подумайте щодо використання Linux. Він уже давно не такий страшний, як його колись малювали. У випадку користування комп’ютером в об’ємі «вконтактик – ворд – гмейл» ви різниці не відчуєте взагалі. Спробуйте user-friendly дистрибутив, як-от Mint.
Другий рівень параної, або якщо ви зіткнулись із серйозним супротивником
Перше, що потрібно запам’ятати у випадку, якщо зловмисник має дуже великі ресурси, це те, що ви не здатні повністю захиститись від нього. Все, що ви можете зробити — це змусити його вжити проти вас такий об’єм ресурсів, який він не готовий потратити особисто на вас, бо ви того не варті для нього. Оцініть свою цінність для зловмисника, і виходьте з неї.
1. Серйозно подумайте про відкрите ПЗ
Див. вище.
2. Вся чутлива інформація, що знаходиться не на вашому комп’ютері і не на комп’ютері адресата, має бути зашифрована
Поставте поштовий клієнт з підтримкою GnuPG. Плагіни є для всіх популярних поштових клієнтів. Не користуйтесь веб-поштою чи іншими веб-сервісами для спілкування. Не користуйтесь Skype в роботі з чутливою інформацією. Пам’ятайте, що у зловмисника може бути доступ до серверів, через які ви працюєте.
3. Довіряйте тільки підписаній цифровим підписом інформації від ваших кореспондентів
Пам’ятайте, шифрування не захищає від підробки відправника.
4. Щоб зловмисник не міг асоціювати певну мережеву активність з вами, анонімізуйтесь
Див. вище, проксі / VPN / TOR.
5. Регулярно виконуйте перевірку системи на зловмисне програмне забезпечення
Перевірка має виконуватися з завантаженням з чистого носія (наприклад, компакт-диску). «Лікувати» заражену систему з-під неї самої — лотерея у випадку, якщо вас заразила випадкова зараза, і цілковито безнадійна справа, якщо заразити хотіли особисто вас. Надійніше за «лікування» антивірусними програмами — відновлення чистої резервної копії системи. Важливо: якщо ви просто знищите зловмисне ПЗ, не з’ясувавши, як воно до вас потрапило, воно незабаром потрапить до вас знову, тим самим шляхом.
6. Домовтесь з людьми, з якими ви працюєте, про те, яку інформацію ви будете передавати по відкритим (незахищеним) каналам, а яку — виключно по закритим
Будьте насторожі, якщо отримаєте по відкритому каналу інформацію, про яку була домовленість захищати — це може бути дезінформація або провокація.
7. Електромагнітне перехоплення
Всі ваші пристрої випромінюють, і за цим випромінюванням часто можна з’ясувати, чим вони зайняті. Крім випромінювання, пристрої також дають наведення на мережу живлення.
По випромінюванню клавіатури часто нескладно дізнатись, що ви набираєте. Особливо це стосується клавіатур PS/2 (не-USB). Пам’ятайте також, що набраний текст в деяких умовах нескладно відновити навіть по звуку клавіатури. Важливі дані (хоча б паролі) варто набирати на екранній клавіатурі, мишкою.
Монітор також випромінює, особливо це стосується кабеля, по якому йде відеосигнал. Аналоговий відеосигнал (D-Sub, VGA) часто може легко ловитись за десятки метрів. Цифровий (DVI-D, HDMI) уловлюється складніше, особливо при грамотному підборі кольорів, в яких відображується інформація. Повністю чорний на повністю білому, до речі, дуже непоганий варіант для названих вище цифрових інтерфейсів. Чисто червоний на чисто зеленому — ще краще, але очі втомлюються.
Дуже гарний варіант — ноутбук, відключений від мережі живлення. В ньому всі інтерфейсні дроти відносно короткі, тому менше випромінюють. Втім, зауваження про звук клавіатури залишається в силі, тому екранна клавіатура все одно потрібна.
8. Шифруйте дані на вінчестері
Не кожна програма, що обіцяє шифрування, насправді гарно шифрує дані (або й взагалі шифрує їх), тому у виборі потрібно бути обережним. Для Windows гарним варіантом є TrueCrypt, для Linux — LUKS. І пам’ятайте, що ніяке шифрування вас не врятує, якщо зловмисник матиме пароль від шифрованого розділу, або якщо зловмисник заразить (скомпрометує) ваш комп’ютер.
9. Знищуйте інформацію надійно
При видаленні файлу він не затирається, відновити його можна елементарно. Встановіть програму, яка перезатирає файл перед знищенням. Пам’ятайте, що з сучасних флеш-носіїв (включно з SSD-дисками) неможливо надійно стерти інформацію. Ви можете бути впевненим в знищенні інформації з такого носія лише після фізичного руйнування мікросхеми пам’яті. Хочете затирати інформацію — користуйтесь вінчестерами.
10. Блокуйте екран кожен раз, коли встаєте з-за комп’ютера
Ви ніколи не знаєте, в який момент зловмисник отримає фізичний доступ до вашого комп’ютера, тому в цей момент комп’ютер має бути невразливим.
11. Подумайте щодо варіантів швидкого знищення зайвої інформації у випадку силового наїзду
Один талановитий мужик поставив всередину комп’ютера дрель на акумуляторах, яка просвердлила вінчестер одразу при зніманні бокової кришки.
12. Забезпечте собі альтернативний доступ до мережі, який не може бути легко асоційований з вами
Прокладіть мережевий кабель до сусіда. Прокиньте WiFi-радіоміст до сусіда. Купіть пакет 3G-інтернету. Це все не зупинить зловмисника, але може дати виграш в часі, поки він зрозуміє, що до чого.
13. Пам’ятайте, що ваш телефон вас видає
Оператор знає з досить високою точністю, де ви знаходитесь. Ходять чутки, що телефон може прослуховувати хазяїна. В GSM-мережах я некомпетентний, тому нічого сказати за чи проти цієї чутки, але попередити мушу. Пам’ятайте, що поведінка «вимкненого» телефона у випадку наявності акумулятора — на совісті виробника телефону. Він може проявляти непотрібну активність. Деякі остерігаються навіть вимкнених телефонів з вийнятим акумулятором. Радіопередачу такий телефон вести, звісно, не може, а от аудіозапис — я б не став стовідсотково виключати.
При підключенні до мережі телефон передає свій унікальний IMEI-код оператору. Майже немає сумніву, що оператор зберігає список SIM-карт, що коли-небудь були вставлені в даний телефон, і навпаки, список телефонів, в які вставлялась ця карта. Іншими словами, зміна SIM-карти нічого не дає в плані анонімності. Якщо хочете бути анонімним, вам потрібен окремий новий телефон, на додаток до стартового пакету.
Ще важливий момент: GSM-телефони практично беззахисні перед «піратськими» базовими станціями, які видають себе за станції оператора. Практика останніх місяців показує, що такий сценарій більш ніж реальний. Іншими словами, телефонний зв’язок не захищений абсолютно. Ви не можете бути певні, що вас не прослуховують. Ви не можете бути певні, що на іншому кінці — справді ваш абонент. Ні у випадку, коли телефонуєте ви, ні у випадку, коли телефонують вам. СМС може бути відправлене з підробленим адресатом. Коротше кажучи, не довіряйте телефону важливу інформацію і перевіряйте ще раз інформацію, отриману по телефону.
Третій рівень параної, або якщо у вас параноя (що не означає, що за вами не слідкують)
Є досить-таки варта довіри інформація, що американська NSA здатна заволодіти керуванням будь-яким комп’ютером, підключеним до інтернету. Думаю, що у вітчизняних спецслужб ресурси дещо менші, але наївно було б розраховувати, що вони ні до чого подібного не здатні. Є всі шанси, що зловмисник має таку можливість. Тому якщо потрібна серйозна безпека, слід працювати з інформацією на комп’ютері, який з моменту установки операційної системи (а краще — від самого початку) не був підключений до мережі. Чутлива інформація має покидати цей комп’ютер лише в шифрованому вигляді (на флешках, звісно). Якщо на такій системі не відкривати випадкові файли (тобто такі, які можуть бути підсунуті зловмисником), то заразити її буде дуже складно.
Менш радикальний варіант — від’єднати комп’ютер від мережі і завантажити систему з компакт-диску. Будьте уважні: якщо ви маєте на комп’ютері шифрований розділ, з яким працюєте таким чином, ніколи не розшифровуйте його з-під ненадійної системи (тої, з-під якої виконувалась робота з інтернетом).
Взагалі, майте «чистий» завантажувальний компакт-диск, він вас ще не раз виручить. До слова: є досить цікавий дистрибутив Tails (https://tails.boum.org/), в ньому зразу доступний джентльменський набір інструментів безпеки та анонімності.
І насамкінець, пам’ятайте, що безпека — річ комплексна. Немає сенсу використовувати сильне шифрування, якщо у вас на стіні висить дзеркало, через яке ваш монітор видно з вулиці. Зловмисник, що вперся в глуху стіну комп’ютерного захисту, піде простішими шляхами. Поставить жучок. Використає «втемну» когось з ваших знайомих. Думайте за зловмисника, передбачайте його можливі дії.
Прохання писати в коментарі зауваження та доповнення. Важливе буду виносити в основний текст.
no subject
Хочу заметить, что TrueCrypt кроссплатформенный (и, насколько знаю, в Линукс работает нативно, а не под Wine). По крайней мере, я им пользуюсь именно потому, что подключение шифрованного диска и дальнейшая прозрачная работа с ним одинаково возможна и удобна в обоих названных системах.
И вопрос: зачем блокировать экран? Выключив Ваш компьютер, вынув диск и подключив его к своему компьютеру, злоумышленник получает рутовый доступ к диску. Мне кажется, более полезный совет - размонтировать шифрованный раздел каждый раз, когда отходите от ПК.
no subject
Не говоря уже о том, что 1) одним паролем разблокируется всё, что было заблокировано, в то время как в альтернативном варианте нужно заново перелогиниваться во все сетевые службы и разблокировать все разделы, 2) при выходе из сетевой службы теряется текущий сеанс работы, при отключении шифрованного раздела нужно закрыть все программы, работающие с ним. Последнее смягчается возможностью временно "забыть" ключ раздела в LUKS до ввода пароля (все программы при обращении к разделу при этом блокируются, не знаю, есть ли такая функция в TrueCrypt), но остальные проблемы остаются.
Я пытался максимально упростить и алгоритмизировать изложение. Отключение шифрованного раздела действительно безопаснее, но блокирование экрана закрывает, хоть и хуже, гораздо более широкий круг проблем. Поэтому я написал коротко, а дальше пусть человек комментарии читает.
О TrueCrypt для Linux я знаю, но я слышал относительно него (TrueCrypt вообще, а не конкретно для linux) немного больше замечаний по безопасности, чем относительно LUKS, поэтому указал LUKS как предпочтительный в случае использования Linux.