Неприкосновенность личной жизни это сложный вопрос. Тут нет универсальных советов. У каждого свои причины свободно делиться с незнакомцами определенной информацией о себе и хранить в секрете остальные стороны своей жизни. Возможно, вы просто не хотите, чтобы ваша вторая половина прочитала что-то сугубо личное о вас. Возможно, вы не хотите, чтобы ваш работодатель был в курсе вашей частной жизни. Или возможно, вы всерьез опасаетесь, что за вами следят спецслужбы.
У всех все по-разному, поэтому ни один из советов в этой книге не будет универсальным. Поскольку у всех из нас очень сложное и поэтому очень индивидуальное отношение к вопросу неприкосновенности личной жизни, я расскажу вам о самом важном о том, что происходит сегодня в сфере тайного сбора данных, и вы сможете сами решить, что из этого может относиться лично к вам.
В любом случае эта книга поможет вам понять, как обезопасить свою личную информацию в цифровом мире, и предложит варианты решения этой проблемы, которые вы можете взять на вооружение или проигнорировать. Поскольку конфиденциальность это личное дело каждого, степень «невидимости» также сугубо индивидуальна.
В этой книге я буду говорить о том, что абсолютно за каждым из нас ведется наблюдение и дома, и вне его стен, когда вы идете по улице, сидите в кафе или едете по шоссе. Компьютер, телефон, машина, домашняя сигнализация и даже холодильник все это потенциальные точки доступа к вашей частной жизни.
Хорошая новость заключается в том, что я не только буду пугать вас, но и покажу, что делать в условиях отсутствия конфиденциальности в ситуации, которая стала нормой жизни.
Из этой книги вы узнаете, как:
Шифровать и отправлять защищенные электронные письма;
Надежно защищать свои данные с помощью паролей;
Скрывать свой реальный IP-адрес от сайтов и сервисов, которые посещаете;
Оберегать компьютер от слежки;
Сохранять свою анонимность;
и многое другое.
Теперь приготовьтесь освоить искусство быть невидимым.
Глава 1Ваш пароль можно взломать!
У актрисы Дженнифер Лоуренс праздничный уикенд Дня труда выдался напряженным. Лауреат премии «Оскар» оказалась среди тех знаменитостей, которые в 2014 году одним прекрасным утром узнали, что их интимные снимки на многих она была изображена в обнаженном виде были выложены в Интернет.
Остановитесь и прокрутите в голове все фотографии, которые в данный момент хранятся на вашем компьютере, смартфоне и в электронном ящике. Скорее всего, большинство из них абсолютно безобидные. Вас бы вряд ли сильно огорчило, если бы весь мир увидел закаты, милые семейные снимки и даже, может быть, дурацкие шутливые селфи. Но хотелось бы вам, чтобы люди увидели абсолютно каждую фотографию? Что бы вы почувствовали, если все бы они вдруг попали в Интернет? Да, не все наши личные снимки непристойны, но все же это наша частная жизнь. Мы должны иметь право самостоятельно решать, как, где и когда ими делиться и делиться ли ими вообще. Но облачные сервисы часто лишают нас такой возможности.
Произошедшая с Дженнифер Лоуренс история обсуждалась во всех новостях в тот выходной в честь Дня труда 2014 года. В СМИ это событие окрестили как «Fappening» (от англ. happening (событие) + fap (мастурбировать)): в Интернет попали фотографии Рианы, Кейт Аптон, Кейли Куоко, Эдрианн Карри и почти трехсот других звезд, в основном женщин, к чьим снимкам со смартфонов каким-то образом получили доступ злоумышленники. Хотя некоторые, как и следовало ожидать, с радостью воспользовались ситуацией, для других этот случай стал тревожным напоминанием о том, что такое может произойти и с ними.
Так как же кто-то получил доступ к личным фотографиям Дженнифер Лоуренс и других знаменитостей?
Поскольку у всех звезд был iPhone, тут же начались разговоры о масштабной утечке данных из созданного компанией Apple сервиса iCloud, облачного хранилища данных для владельцев iPhone. Когда на самом устройстве заканчивается память, ваши фотографии, новые файлы, музыка и игры сохраняются на сервере Apple, обычно за небольшую ежемесячную плату. Google предоставляет аналогичный сервис пользователям Android.
Компания Apple, которая практически никогда не комментирует сообщения в СМИ, касающиеся вопросов информационной безопасности, отрицала возможность какой-либо утечки со своей стороны. Компания, вопреки обыкновению, опубликовала официальное обращение, в котором назвала инцидент «очень прицельной атакой на имена пользователей, пароли и контрольные вопросы» и добавила, что «результаты расследования ни в одном из рассмотренных случаев не указывают на какую-либо утечку из систем Apple, включая функции iCloud и Найти iPhone».
Как же вышло, что посторонние получили удаленный доступ к частным материалам?
Фотографии сначала появлялись на хакерском форуме, который известен тем, что на нем часто выкладывают краденые фотографии. На этом форуме активно обсуждаются инструменты криминалистической экспертизы цифровых средств, с помощью которых можно было бы тайно получить подобные фотографии. С помощью таких инструментов технические специалисты, детективы и сотрудники правоохранительных органов извлекают данные с устройства или из «облака» в ходе расследования преступления. И конечно, такими инструментами пользуются также совсем другие люди.
Один из инструментов, открыто обсуждавшихся на форуме, называется Elcomsoft Phone Password Breaker (EPPB). Он разработан для того, чтобы правоохранительные органы и спецслужбы могли получать доступ к учетным записям пользователей iCloud, и его может купить каждый желающий. Это лишь одно из обсуждавшихся на форуме средств, но, по всей видимости, наиболее популярное там. Для работы с EPPB необходимо сначала выяснить логин и пароль от нужной учетной записи в iCloud. Однако для общающихся на этом форуме получить подобные сведения, видимо, не проблема. По стечению обстоятельств в тот же самый праздничный день в 2014 году кто-то выложил на популярный сервис-репозиторий для хранения программного кода (GitHub) механизм для взлома паролей под названием iBrute, созданный специально для сбора авторизационных данных любых учетных записей iCloud.
Применив обе программы (iBrute и EPPB) одновременно, можно получить данные для входа в учетную запись iCloud и скачать на свое устройство все резерные копии информации с iPhone жертвы, которые хранятся в «облаке». Это очень удобная опция, если вы, к примеру, обновляете операционную систему своего смартфона. Также это бесценный источник сведений для хакера, который теперь видит все, что вы когда-либо делали на смартфоне. Он получает гораздо больше сведений, чем если бы просто вошел в чью-то учетную запись iCloud.
Джонатан Здзиарски, консультант по восстановлению паролей и данных в интересах правоохранительных органов и специалист по информационной безопасности, рассказал интернет-изданию Wired, что, изучив вопрос утечки фотографий, он пришел к выводу, что, например, в случае с Кейт Аптон, вполне могли применяться инструменты iBrute и EPPB. Доступ к хранилищу резервных копий со смартфона iPhone открывает хакеру более личную информацию, которую позже можно использовать для шантажа.
Осенью 2014 года агенты ФБР пришли в частный дом в южной части Чикаго, который Apple смогла по IP-адресу связать с несанкционированным доступом более чем к 500 аккаунтам iCloud, причем более чем к 300 из них доступ осуществлялся несколько раз. На момент передачи этой книги в печать никаких обвинений предъявлено не было.
Что здесь интересно, Elcomsoft продает свои программные продукты и правоохранительным органам, и обычной публике. Знать, что полиция может провести на сайт, защищенный паролями, атаку методом грубой силы, это одно. Знать, что это может сделать безвестный житель Чикаго совсем другое. В этой главе мы поговорим о том, как защитить ваши онлайн-аккаунты и устройства при помощи паролей.
В результате расследования правоохранительные органы вышли на 36-летнего жителя Ланкастера, штат Пенсильвания, Райана Коллинза, которого в октябре 2016 года приговорили к 18 месяцам тюрьмы за «незаконный доступ к защищенному компьютеру с целью получения информации». Его обвинили в незаконном доступе к ста с лишним аккаунтам Apple и почтовым ящикам Google.
Чтобы защитить свою учетную запись в iCloud и других сервисах, необходимо придумать надежный пароль. Это очевидно. И все же, как человек, который занимается проверкой систем на уязвимость (т. е. человек, которому платят за взлом компьютерных сетей, чтобы найти слабые места), я знаю, что многим людям даже топ-менеджерам крупных корпораций обычно лень придумывать хороший пароль. Задумайтесь над тем, что у генерального директора компании Sony Entertainment Майкла Линтона основным паролем был «sonyml3». Неудивительно, что его почту взломали и выложили письма в Интернет, ведь у хакеров были административные права доступа практически ко всем системам компании.
Помимо рабочих паролей существуют пароли, которые защищают персональные данные. Даже трудный пароль хакерские инструменты, такие как oclHashCat (инструмент подбора пароля, задействующий ресурсы видеокарты), могут взломать, но процесс перебора будет настолько длительным, что злоумышленник скорее решит переключиться на другую, более легкую мишень.
Вполне можно допустить, что некоторые из паролей, обнародованных после взлома сайта Ashley Madison в июле 2015 года, используются и в другом контексте в том числе для доступа к банковским счетам и даже к рабочим компьютерам. В выложенном в Интернет списке из 3,3 миллиона паролей к сайту Ashley Madison самыми распространенными оказались «123456», «12345», «password», «DEFAULT», «123456789», «qwerty», «12345678», «abc123» и «1234567». Если среди перечисленного вы увидели свой пароль, ваши данные вполне могут быть похищены, поскольку эти варианты паролей включены в большинство доступных в Интернете инструментов для подбора паролей. Чтобы проверить, не было ли утечки регистрационных данных какой-либо из ваших учетных записей, зайдите на сайт www.haveibeenpwned.com.
В двадцать первом веке мы способны на большее. На гораздо большее. Мы можем придумывать значительно более длинные и сложные сочетания букв и цифр. Может показаться, что здесь могут возникнуть какие-либо трудности, но я продемонстрирую вам два способа справиться с данной задачей: вручную и автоматически.
Самая простая тактика вместо того чтобы придумывать пароли самостоятельно, автоматизируйте этот процесс. В Интернете можно найти множество менеджеров паролей. Они хранят пароли в защищенном электронном хранилище и предоставляют вам быстрый доступ к ним, когда необходимо, также, если требуется, они генерируют новые, надежные, уникальные пароли для каждого сайта.
Однако с этой тактикой связаны две проблемы. Во-первых, для доступа к менеджеру паролей нужен главный пароль (называемый мастер-паролем). Если кто-нибудь сумеет установить на ваш компьютер вредоносную программу-кейлоггер (клавиатурный шпион), которая украдет вашу базу данных с паролями и тот самый главный пароль, пиши пропало. Тогда у хакера будет доступ ко всем вашим паролям. Проверяя системы на уязвимость, мы иногда заменяем менеджер паролей на версию с подвохом, которая пересылает пароль нам (конечно, при условии, что установлен менеджер паролей с открытым исходным кодом). Это делается после того, как мы получаем административные права доступа к клиентской сети. Затем мы узнаем пароли. Другими словами, менеджер паролей служит нам черным ходом, войдя через который мы получаем ключи от королевства.
Вторая проблема достаточно очевидна: если вы утратите главный пароль, вы утратите все свои пароли (что не так страшно, на каждом отдельном сайте всегда можно восстановить пароль, о чем мы поговорим через минуту, но если у вас много разных учетных записей, это доставит массу хлопот).
Несмотря ни на что, следующие советы вполне способны помочь вам защитить свой пароль.
Во-первых, надежный пароль это длинный пароль, не менее 2025 символов. Лучший вариант случайные наборы символов, например ek5iogh#skf&skd. К сожалению, человеческий мозг с трудом запоминает случайные последовательности. Поэтому пользуйтесь менеджером паролей. Это гораздо лучше, чем придумывать пароль самостоятельно. Я предпочитаю менеджеры паролей с открытым кодом, такие как Password Safe и KeePass, они хранят данные только на вашем компьютере.
Важное правило никогда не устанавливайте один и тот же пароль на два разных аккаунта. Сложно следовать этому правилу. В наше время пароль необходимо придумывать практически для всего на свете. Поэтому обзаведитесь менеджером паролей, который будет создавать и хранить надежные, уникальные пароли.
К счастью, большинству из нас противостоит не государство, располагающее практически безграничными ресурсами и временем. Чаще всего нами интересуются супруги, родственники или кто-то, кому мы насолили, т. е. люди, которые, столкнувшись с паролем длиной в 25 символов, не смогут его взломать, поскольку не располагают необходимым временем и ресурсами.
Даже если пароль надежен, его можно обойти с помощью ряда технологий. Существуют программы угадывания паролей, например John the Ripper, бесплатная программа с открытым кодом, которую может скачать кто угодно. Пользователь настраивает фильтры и запускает программу. В частности, можно указать количество символов, наличие или отсутствие специальных символов, добавить иноязычную раскладку и прочее. Утилита John the Ripper и другие программы для перебора паролей способны переставлять буквы пароля по определенным правилам, повышающим эффективность работы. Это означает всего лишь то, что программа просто проверяет каждую возможную комбинацию чисел, букв и символов, подходящую под заданные параметры, до тех пор, пока не подберет нужный пароль. К счастью, большинству из нас противостоит не государство, располагающее практически безграничными ресурсами и временем. Чаще всего нами интересуются супруги, родственники или кто-то, кому мы насолили, т. е. люди, которые, столкнувшись с паролем длиной в 25 символов, не смогут его взломать, поскольку не располагают необходимым временем и ресурсами.
Допустим, вы решили создать пароли по старинке и подобрали маскимально сложные комбинации. Угадайте, что дальше? Можно записать их. Просто не пишите что-нибудь в духе «Сбербанк: тыне1окпосмо3насвет*». Это слишком очевидно. Лучше вместо названия банка (например) напишите что-нибудь зашифрованное, скажем «банка с печеньем» (потому что некоторые люди прячут сбережения в банках из-под печенья), и далее «тыне1ок». Обратите внимание, я не закончил парольную фразу. И вам не нужно. Вы знаете, что там дальше. Но кто-то другой не знает.
Любой, обнаруживший листок с незаконченными паролями, будет изрядно сбит с толку по крайней мере, в первый миг. Любопытный случай: я был в гостях у друга очень известного сотрудника корпорации Microsoft, и за ужином мы с его женой и детьми говорили о надежности паролей. В какой-то момент жена друга встала и подошла к холодильнику. Она записала все свои пароли на листе бумаге и прикрепила его к дверце с помощью магнитика. Друг только покачал головой, а я расплылся в широкой улыбке. Записывать пароли, возможно, не лучшее решение, но ничуть не лучше забыть редко используемый сложный пароль.
Некоторые сайты например, интернет-банк блокируют пользователей после нескольких неудачных попыток ввести пароль: как правило, речь идет о трех попытках. Однако многие сайты этого не делают. Но даже если сайт приостанавливает пользователю доступ после трех неудачных попыток, это не спасает от злоумышленников с программами вроде John the Ripper или oclHashcat. (oclHashcat задействует несколько графических процессоров и потому гораздо мощнее, чем John the Ripper). Кроме того, хакеры не проверяют каждый возможный вариант пароля на реальном сайте.
Представим себе, что произошла утечка и среди скомпрометированных данных оказываются логины и пароли. Но в паролях, полученных таким образом, творится настоящий хаос.
Как с помощью всего этого кто-либо сможет попасть в вашу учетную запись?
Каждый раз при вводе пароля, будь то для разблокировки ноутбука или для входа в учетную запись в веб-сервисе, к этому паролю применяется однонаправленный алгоритм, известный как хеш-функция. Это не то же, что шифрование. Шифрование представляет собой двусторонний процесс: то, что зашифровано, можно расшифровать, если у вас есть ключ. Хеш-функция это однозначное преобразование исходных данных в последовательность символов. Теоретически однонаправленная функция необратима по крайней мере, восстановить исходные данные не так просто.