Практическое пособие

[amalgin]

В нормальной стране оппозиция и правящая партия - это две стороны одной медали. Сегодня у власти - одни, завтра - другие, их противники. Конечно, оппозиция бывает разная - у одних больше шансов, у других меньше оказаться у власти, а то и нулевые. Однако государство считают врагом только анархисты, кажется.

В России для любого оппозиционера (если это реальный оппозиционер) государство - враг. Враг, который не соблюдает законов, писаных и неписаных правил и может нанести удар в любую секунду. То есть по другую сторону баррикад не противоположная по взглядам политическая партия, как в других странах, а государство целиком, со всем его репрессивным аппаратом. Путин - вовсе не представитель политической партии, пришедший к власти в результате политической борьбы. Путин приватизировал государство целиком, со всеми его атрибутами. Оппозиционер должен понимать, что с ним борется - государство. Ни в правоохранительных органах, ни в суде, ни в большинстве СМИ он поддержки никогда не найдет. К нему могут прийти с обыском и подбросить что угодно, прямо с уличной акции могут увезти в психушку, а на суде, не моргнув глазом, назовут черное белым, а белое черным. А на войне как на войне.

В сети множество инструкций типа "Как себя вести на обыске", "Как себя вести на допросе", "Что делать, если вас задержали на митинге" и подобные. Потратьте несколько минут, погуглите, почитайте на досуге, постарайтесь все запомнить, даже если думаете, что вас это никогда не коснется. Например, можно прислушаться к товарищу (делаю репост):

Оригинал взят у vishka в Практическое пособие по компьютерной безопасности для российской оппозиции

Так как все статьи, написаные после очередного взлома почты Навального больше похожи на вредные советы, решил написать собственную инструкцию по компьютерной безопасности.

1. Выбор пароля. Пикрилейтед

Слово мнемоника только звучит страшно. С её помощью можно создавать длинные пароли, которые очень просто запомнить и невозможно подобрать. Они значительно надёжнее, чем набор из 8-9 случайных букв с цифрами, и значительно проще в запоминании.

Создать мнемонический пароль очень просто. Выберите какую-нибудь фразу, которую вы никогда не забудете. Подойдёт любой припев песни или четверостишие, которое вы уже помните наизусть.

Например:

Зачем существует в мире
Статья сто тридцать четыре?
Детям любить мешает,
С кем можно ― за них решает!

Если вы запишите все первые буквы этого припева вряд, а номер статьи цифрами, у вас получится замечательный 17-значный пароль: zsvms134dlmskmznr.

Выглядит сложно? Вам его не придётся даже запоминать, достаточно запомнить, что это все первые буквы из припева песни, который вы и так уже знаете.

Zachem Sushetvuet V Mire
Statya 134
Detyam Lyubit Meshaet,
S Kem Mojno - Za Nih Reshaet!

Ещё лучше записать одно слово в ряде целиком. Например, слово statya: zsvmstatya134dlmskmznr. У вас получился гигантский 22-буквенный пароль, который невозможно подобрать или подглядеть, зато вы его никогда не забудете.

Из одного припева можно собрать десятки надёжных паролей, например, выделяя не первую, а последнюю букву в словах: mtea134mttsmoaht. Но лучше для каждого нового пароля выбирать своё четверостишие.

Disclaimer: Ни в коем случае не используйте четверостишие из моего примера. После этой статьи его будут пробивать в первую очередь. Выберите своё, что-нибудь не слишком известное.

2. Шифруйте данные на компьютере.

Полицейские взломали почту Навального через изъятый компьютер. Они совершили должностное преступление (кого это удивляет?), но это не оправдание беспечности. Если бы Навальный шифровал данные, следственный комитет в обнимку с хакером Хеллом на пупе бы извертелись, а ничего бы не извлекли.

Запомните, системный пароль ни от чего не защищает. То, что вы вводите когда включаете компьютер ничего не значащая фитюлька. Защищает только шифрование данных.

На маке это делается в пару кликов встроенными средствами, вот пошаговая инструкция.

На PC лучше всего скачать TrueCrypt. Настраивается он тоже очень просто.

Однажды зашифровав систему целиком вы можете быть спокойны, что без пароля ни один ваш файл нельзя будет прочитать. Для вас же это будет выглядить просто как обычный вход в систему. Только в отличии от системного пароля, эти программы надёжно охраняют ваши данные.

Disclaimer: При шифровке диска не забывайте, если вы потеряете пароль, то у вас не будет никакой возможности получить доступ к своим файлам. В этом и есть суть шифрования.

3. Не привязывайте номер телефона к своим аккаунтам.

Я видел, как активисты с параноидальной настойчивостью вытаскивают батарейки из телефонов перед встречей, но при этом не задумываясь вводят номер сотового на случай "восстановления пароля". Ваши телефоны уже прослушивают, прочитать СМС ― ещё проще. Один запрос пароля на телефон + перехват СМС и ваша почта компрометирована. Незамысловатый секрет крутых хакеров из центра "Э".

4. НЕ ИСПОЛЬЗУЙТЕ СЕКРЕТНЫЕ ВОПРОСЫ.

Выяснить девичью фамилию вашей матери не просто, а невероятно просто. У меня это займёт примерно 3 клика, у центра "Э" один единственный звонок.

Узнать имя вашего питомца тоже задача тривиальная. Например, на почте у Юлии Сазоновой стоит вопрос "имя моей собаки". Я его выяснил за 10 минут. Юлия, поменяйте вопрос, и пароль заодно.

Кстати, девичья фамилия её матери ― Лондон. Это к вопросу, насколько такие вещи легко вычисляются.

Лучше всего не вводить секретный вопрос вообще. Если какой-то сервис на нём настаивает ― введите заведомую белиберду (длинную!), которую невозможно подобрать.

5. Не привязывайте разные аккаунты друг к другу (особенно фейсбук к почте).

Таким образом уведя один аккаунт у вас уведут сразу все.

6. НИКОГДА не используйте русских провайдеров почты.

Все российские провайдеры электронных услуг подотчётны силовым структурам и отдадут ваш аккаунт по первому требованию.

7. Максимально используйте режим инкогнито в броузере.

Перехват cookie один из самых распространённых способов угона доступа. В режиме инкогнито все новые cookie автоматически удаляются после закрытия окна.

---

Это была безопасность 101. Самые азы профилактики, доступные каждому. Следующие два пункта чуть более продвинутые. Если вы выполните их тоже, ваше пребывание в сети будет пуленепробиваемым.

8. Заведите VPN заграницей.

В 2000 году тогда ещё управление "К" обязало всех операторов связи установить систему СОРМ. С тех пор спецслужбы могут отслеживать всю вашу деятельность в интернете одним нажатием клавиши.

VPN это зашифрованный туннель (сигнал) до удалённого компьютера. Всё что вам действительно нужно знать, это что с ним ваша деятельность станет абсолютно непрозрачной для вашего провайдера, а значит для российских спецслужб и хакеров. Под VPN безопасно пользоваться открытым вайфаем, выходить из незнакомых мест в сеть и не волноваться, что ваш сигнал перехватят сниффером.

Все надёжные VPN платные, но они стоят своих денег. Я настойчиво советую вам не пользоваться бесплатными сервисами, они медленные и в большинстве случаев являются сладкими ловушками.

Я использую VyprVPN, мне он достался с аккаунтом на giganews. Но есть и ещё более надёжные провайдеры:

http://perfect-privacy.com/
http://www.swissVPN.net/
http://www.strongvpn.com

VPN обезопасит всю вашу технику. Через VPN умеют работать не только компьютер, но и айфон, и айпад, и телефоны на андроиде.

Настраивается всё очень просто: инструкция для айфона/айпада, инструкция для андроида, инструкция для макинтош, инструкция для Windows 7

Однажды всё настроив от вас больше ничего не потребуется. Всё будет работать как прежде, вы не заметите разницы. Только вы будете защищены.

Дополнительный бонус ― это надёжная защита против нового закона о цензуре. Какие бы ресурсы не решили заблокировать Единая Россия и Илья Пономарёв, вам останутся доступны все запрещённые в России сайты. У вас так же будет несколько иностранных айпи на выбор в разных частях света. Вас станет невозможно выследить в сети напрямую, так как ваш след будет вести в другие страны.

9. Сделайте секретный почтовый ящик о котором никто не будет знать.

Моя публичная почта msvetov@gmail.com Этому адресу 7 лет, сюда мне приходят все письма, на него зарегистрированы все мои аккаунты. Но это только ширма, я им не пользуюсь. С него все письма автоматически уходят на совсем другой адрес, а с этого ящика тут же автоматически удаляются. Подобный автофорвардинг на гмейле очень просто настроить

На письма я отвечаю тоже с секретного адреса. Назовём его mysecretemail@gmail.com Никто из моих адресатов этого не знает, потому что в теле письма спуфится (прописывается) публичный адрес. Это тоже очень просто настраивается в том же гмейле

Таким образом для меня не существует почты msvetov@gmail.com, это технический адрес который я раздаю в сети. Я в него захожу раз в полгода поменять пароль и всё. Зато для всех остальных не существует адреса, с которого я пишу почту, пользуюсь гуглом и так далее.

Конечно, если кто-то завладеет вашим публичным адресом и изучит настройки, он узнает и ваш секретный адрес. Но перед ним будет девственно-чистая почта, ведь весь архив у вас хранится в совершенно другом месте. (В отличии от дураков, которые советуют никогда не хранить архивов, я хорошо понимаю, как важно всё сохранять). Пока взломщик будет судорожно ломать вашу секретную почту, у вас будет время спокойно вернуть публичный адрес, а архив перенести на новое место.

10. Не будьте дураком.

Не записывайте пароли на бумажке или текстовом файле. Не используйте один и тот же пароль на разных аккаунтах. Не логиньтесь на чужих компьютерах. Не качайте сомнительные файлы, не реагируйте на фишинг. А так же не забывайте, что болтун находка для шпиона.

PS: Я нарочно не стал объяснять как что работает, а только как с чем работать. Моя задача была написать максимально доступное практическое руководство. По этой же причине я не стал описывать других более задротских средств защиты. Их много, они надёжны ― но серьзно сказываются на юзабилити.

Однажды всё настроив вы вообще не заметите разницы в юзабилити. Я вас вооружил, если вас и дальше будут ломать ― то вы сами себе дураки.

Comments

[notfop.livejournal.com]

Хорошая статья, описанное реально работает.

[Андрей Алексеев (from livejournal.com)]

Непонятно только, каким образом Навальный был настолько беспечен, что не пользовался трукриптом и ВПНом.

Фактически, сам сдал Хакеру Хэллу из следственного комитета свои твиттер и почту.

[legkoe-pero.livejournal.com]

Надо ввести кличку воображаемой собаки.

[ak-74u.livejournal.com]

Клички - неплохой словарь для подбора.

[Андрей Алексеев (from livejournal.com)]

Насчет пароля я бы поспорил. Словарные слова(слова, которые есть в словаре) брутфорсятся на раз.

[peter lemenkov (from livejournal.com)]

work ~: echo -n "Насчет пароля я бы поспорил. Словарные слова(слова, которые есть в словаре) брутфорсятся на раз." | sha256sum -
6714472c68938de868578f30425d029b14c8955d610094dc58d289dde9dc3c7d -
work ~:

Вот и пароль готов. Можно запомнить относительно легко, а вот забрутфорсить будет непросто.

[polesh-chuk.livejournal.com]

"Ни в правоохранительных органах, ни в суде, ни в большинстве СМИ он поддержки никогда не найдет". Имеется в виду оппозиционер, а ведь и любой человек, вступив в конфликт с государством, никакой поддержки там не получит.
Это тоже надо чётко понимать.

[alekozlov.livejournal.com]

Ну да, про оппозиционера в СМИ напишут, иностранные агенты будут ему передачки носить, адвокат-правозащитник какой-нибудь возьмется за это дело на чистом энтузазизме... потом глядишь в Лондон уедет, политическое убежище получит... А простой Вася Пупкин сдохнет в СИЗО и никто об этом и не узнает.

Понимаем. Четко.

[bars-999.livejournal.com]

спасибо!

[Александр Ашиткин (from livejournal.com)]

странно что никто не упоминает password managers - таких как keepass. имхо гораздо удобней, надежней и безопасней, чем в голове держать 100 паролей.

[ak-74u.livejournal.com]

Вы реально верите в сторонний софт, которому можно доверить свои пароли?

[ivansim.livejournal.com]

>>> Оппозиционер должен понимать, что с ним борется - государство.

Было бы ещё более точным заменить в тексте слова "оппозиционер" на слова "гражданин". Потому что противостояние идёт не между какими-то политическими группами, борющимися за власть, а между мафиозной хунтой и всем остальным обществом, которое эта хунта старается нагнуть.

[dil.livejournal.com]

Как обычно, рекомендации написаны непрофессионалом, который слышал звон, но не до конца понял, о чём он.

1. В целом идея правильная, но стоит помнить об этом:


2. "системный пароль ни от чего не защищает" - это неправда. Он защищает от несанкционированного логина. Не более того, но никак нельзя сказать, что "ни от чего".

4. "НЕ ИСПОЛЬЗУЙТЕ СЕКРЕТНЫЕ ВОПРОСЫ". Глупость. Секретные вопросы нужны для восстановления доступа, если вы забудете пароль. Использовать их вполне можно, только ответы надо писать не прямые. Скажем, вместо девичьей фамилии матери - кличку собаки. Или какой-нибудь адрес или номер телефона.

7. "В режиме инкогнито все новые cookie автоматически удаляются после закрытия окна." Неправда. Куки удаляются при закрытии всего браузера, а не одного окна.

И нифига этот режим не помогает от _перехвата_ кук (то есть, от прослушивания соединений браузера с веб-серверами). Он помогает только от использования авторизационных кук лицом, получившим доступ к компьютеру, с которого вы запускали браузер.

8. "В 2000 году тогда ещё управление "К" обязало всех операторов связи установить систему СОРМ. С тех пор спецслужбы могут отслеживать всю вашу деятельность в интернете одним нажатием клавиши." Обязать-то обязало, только у половины провайдеров его до сих пор нет, и никто особо не настаивает. Потому что в деле отслеживания активности конкретных пользователей он не сильно полезен, поскольку предназначен для зеркалирования ВСЕГО провайдерского трафика, а извлечь из этой кучи конкретного пользователя трудновато. Когда нужен один конкретный пользователь, его трафик может перехватываться более другими способами. Включить их несколько сложнее, чем "одним нажатием клавиши", зато получается гораздо эффективнее.

И надо всегда помнить, что VPN - не панацея. Он защищает только от перехвата трафика в процессе передачи, но НЕ защищает от перехвата непосредственно на вашем компьютере, телефоне и т.п. Если там установлена троянская программа, она сможет получить всю информацию непосредственно на месте и передать куда захочет. Хоть бы и через ваш VPN.

9. "Секретный" почтовый ящик может легко стать достоянием общественности. Совершенно случайно, из-за временного сбоя в сети. И повлиять на это вы НИКАК не можете, и даже не узнаете об утечке. Таково устройство электронной почты.

[vk-gdety.livejournal.com]

разумно!
Причем, "сбои в сети" достаточно регулярны ПОВСЕМЕСТНО

[dil.livejournal.com]

Да-да, оно самое ;) http://to-the-future.livejournal.com/202073.html

[milla-nepal.livejournal.com]

Прочитав все это складывается впечатление что автор как минимум шпион.
Надежней всего вообще не пользоваться компьютером,а писать письма.Зашифрованные.И посылать их не по почте,а со связным,при этом тонко скрутив в трубочку и засунув в фильтр сигареты.

[vk-gdety.livejournal.com]

+1 :))

О,

[vk-gdety.livejournal.com]

сладенькое слово свобода :)
Если сейчас меня "читает" одним нажатием клавиши некая одна спецслужба, то, не сомневаюсь, убежден: воспользовавшись советами "Практического пособия", тотчас заинтересую собой как минимум уже три спецслужбы :)) А дальше - дело техники, как говорится... Вот это, друзья, нужно иметь в виду всегда - и дома и заграницей

[vk-gdety.livejournal.com]

И еще, друг мой Андрей.
Наверняка кто-то в вашей некагэбэшной стране немало знает о Вас, благодаря, разумеется, и какбэ "надёжному" Вашему почтовому ящику. Просто пока деятельность Ваша направлена вовне и ни в малейшей степени не затрагивает интересов этого государства (скорее, даже наоборот), она остается относительно безопасной. Впрочем, думаю, Вы это прекрасно сами понимаете

[arisstopan.livejournal.com]

забавна реакция на пост служивыx
и полезныx идиотов...)

[procol-harum.livejournal.com]

Не надо приписывать гэбухе сверхчеловеческие качества и способности. Они работают, как все работают в нашей стране, а то и хуже, чем все. В советское время я и мой двоюр.брат для них существовали неразливно в одном лице, а почта из-за границы, посланная нам в Ленинград, приходила в Воронеж, после чего воронежский житель, за которым тоже следили, ее нам пересылал (с язвительными комментариями).

[taki-tsarevna.livejournal.com]

Кто бы там что выше не писал - советы полезные, и уж точно не лишние.
Кому-то наверняка пригодятся.
Удивил наплыв комментариев о том, что "это всё туфта и не пользуйтесь, НИ В КОЕМ РАЗЕ НЕ ПОЛЬЗУЙТЕСЬ, БЛЯТЬ, ЭТИМИ СОВЕТАМИ!"
А если это написали просто юзеры, то что это вы вдруг так заволновались? Ну дал человек пару действительно неплохих советов, ну и дал. Вам-то что?
Или всё-таки не всё-равно?..))

[taki-tsarevna.livejournal.com]

Но больше всего мне понравился дополнительный бонус.
Именно его надо всюду распространять в сети. И тогда все как и прежде смогут воспользоваться ЖЖ даже после введения нового закона, который в первую очередь и сделан будет, чтобы перекрыть доступ к этим народным площадкам.

[aliom.livejournal.com]

Здесь продается славянский шкаф?

[dil.livejournal.com]

Русский шпион живёт этажом выше!

[shadow-ru.livejournal.com]

Автору, конечно, зачёт, но проще было не изобретать велосипед, а обратиться к руководствам западных активистов, где подобные вопросы КРАЙНЕ подробно разработаны (отечественные активисты на фоне западных - это непуганные хомячки).

Вот, например, несколько:

activistsecurity.org/
security.ngoinabox.org/ru
www.frontlinedefenders.org/esecman/

И т.д. Точно также там можно найти подобные руководства по работе со СМИ, ведению кампаний, "direct actions", силовому противостоянию с полицией, защите от действия спецслужб и пр. Есть и целая россыпь "полубоевых" (полутеррористических) руководств (хотя это в основном у анархистов и подобной публики).

[radonezhskij.livejournal.com]

Не лишним будет напомнить, что если качать софт напрямую (в России), можно нарваться на подмену заинтересованными органами IP. Поэтому нелишним будет проверить скачанное через российских провайдеров хотя бы по контрольным суммам из независимых источников (друзья за бугром например).

И не надо забывать, что самый распространенный антивирус (Касперский) создан и поддерживается бывшим сотрудником спецслужб (а год назад похищали и вернули (за какую услугу?) его сына...).

Насчет шифрования - весьма неплохая программа DriveCrypt PlusPack securstar.com, которая не сертифицирована в России (=разработчик не делился ). Её несомненный плюс - шифрование всего системного харда (со всеми его временными файлами), пароль вводится до старта операционной системы. Минус - вариант с длинным ключом всё-таки платный. Но очень надёжный.

Не надо также забывать и то, что в случае изъятия (пропажи) компьютера/ноутбука становятся недоступными (теперь уже для Вас) сохраненные там любимые ссылки, документы, фотографии, исходники программ с "кряками" и т.п.

[Продается гараж (from livejournal.com)]

Шифрование — палка о двух концах.Указ Президента РФ от 03.04.1995 N 334 (ред. от 25.07.2000) "О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации", пункт 4 гласит: "В интересах информационной безопасности Российской Федерации и усиления
борьбы с организованной преступностью запретить деятельность юридических и физических
лиц, связанную с разработкой, производством, реализацией и ЭКСПЛУАТАЦИЕЙ шифровальных
средств, а также защищенных технических средств хранения, обработки и передачи
информации, предоставлением услуг в области шифрования информации, без лицензий,
выданных Федеральным агентством правительственной связи и информации при Президенте…"

Поэтому, при желании, шифровальщику запросто пришьют еще и ч. 1 Ст. 273 УК РФ: Создание, распространение или ИСПОЛЬЗОВАНИЕ компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, БЛОКИРОВАНИЯ, МОДИФИКАЦИИ, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации…

Так что тут выбор стоит: если информация настолько ценная, что лучше получить еще одну статью, тогда шифроваться, в противном случае — хз даже.

В любом случае, самое ценнное и самое трудное в 10 пункте: Не быть дураком.

[odumavshijsja.livejournal.com]

не думаю, что эта статья применима. даже авторизация на сайтах - это шифрование личной информации (почты, страницы вк и тд)

[ecilop1.livejournal.com]

а по мне это всё примерно как сигнализация на машине или замочки на чемодане: от честных или бесхитростных людей/школоты. переигрывать спецслужбы/профессионалов на их поле и по их правилам суть абсурд.

[avmalgin.livejournal.com]

Выше уже написали в комментах, что профессионализм спецслужб сильно преувеличен. Сталкивался - знаю.

[le99999.livejournal.com]

миша светов?
это тот что бегает с верой кичановой, худющий, в очках?
очень опасный хехе

[intendant-godot.livejournal.com]

Есть еще такая штука, как ssh туннель. Особенно полезна будет тем, кто уже имеет сайты на VPS/VDS. (полезна тем, что если есть VDS хстинг, то возможность туннелирования предоставляется бесплатно.

И по-поводу StrongVPN. Мне показалось, когда я заходил к ним на сайт года три назад, что они довольно сильно связаны с Россией, что, на мой взгляд, несколько компрометирует сервис. (Показалось, потому что тогда сайт имел русскую, английскую и еще какую-то (немецкую?) языковую версию. Возможно, это не более чем забота о потребителе, но не думаю что три года назад поток клиентов из России был столь велик)

[floamaldita.livejournal.com]

спасибо.
очень познавательно.
надо осмыслить ;)

[Марат Ахтямов (from livejournal.com)]

Здравствуй, дедушка Гумберт
Борода из ваты.
Ты готов ли принять смерть,
Педофил проклятый?

[trilirium.livejournal.com]

Про использование прокси-серверов и TOR не рассказано.

[dil.livejournal.com]

Чем в данном случае помогут прокси-сервера?