Информационная безопасность для активиста

Не секрет, что репрессивные режимы становятся всё изощрённее в своей борьбе против движений сопротивления и активно используют современные технологии поиска, цензуры и слежения. Мы должны понимать, что наши противники становятся все умнее и эффективнее, а не бестолковее. Нам всегда надо стремиться к тому, чтобы быть на шаг впереди и предельно внимательно относиться к компьютерной безопасности, исходя из элементарных требований самозащиты. Но, к сожалению, многие не понимают грозящих им опасностей и по-прежнему халатно и безрассудно пользуются электронными средствами коммуникаций, совершенно не думая о последствиях. Не буду вдаваться в детали, и пересказывать руководства по использованию программ и сервисов (этого добра и так хватает в Интернете, стоит только поискать), а попробую дать общие рекомендации и советы для безопасного существования в текущих реалиях.

Мобильные телефоны¶

Покупайте мобильные телефоны как можно дальше от места проживания. Покупайте самые простые телефоны, которые не поддерживают установку дополнительных программ. Более совершенные модели, имея бoльшую функциональность, подвергают вас большему риску. Для покупки телефона и SIM-карты пользуйтесь только наличностью. Избегайте крупных торговых центров и ищите маленькие магазинчики, торгующие подержанными телефонами. При подключении не сообщайте ваших реальных данных, многие магазины не спрашивают документы при подключении, достаточно сказать им «на память» заранее выдуманные данные.

Используйте несколько SIM-карт и несколько телефонов, не звоните со «спаленных» телефонов на «чистые» и наоборот. Не вставляйте «спаленную» SIM-карту в «чистый» телефон и наоборот. При необходимости избавляйтесь от использованных SIM-карт и телефонов, не пользуйтесь ими вечно!

Ни при каких обстоятельствах не говорите ничего, в чём вас можно будет обвинить. Используйте заранее обговоренные кодовые фразы. В ситуации, когда все же нужно срочно что-то сообщить и нет возможности зашифровать передачу – предпочтительней использовать голосовую связь, а не SMS. Обычные текстовые SMS-сообщения хранятся на сервере оператора связи на срок от нескольких месяцев до бесконечности (включая данные о местоположении, идентификаторе телефона и SIM-карты). Используйте CryptoSMS, чтобы безопасно общаться через SMS (для этого нужен телефон с поддержкой Java).

Используйте фальшивые имена и клички в адресной книге телефона и запоминайте самые важные номера на память. Почаще удаляйте текстовые сообщения и историю звонков и заменяйте их случайными текстовыми сообщениями и звонками. Данные в вашем мобильном телефоне окончательно удаляются лишь в случае перезаписи их другими данными. Это значит, что в некоторых случаях стёртые SMS и телефоны могут быть восстановлены (с помощью бесплатной утилиты unDeleteSMS. Покопайтесь в настройках телефона на предмет отключения опции сохранения звонков и SMS.

Не берите мобильные телефоны или выключайте их перед встречами и акциями, поскольку они потенциально могут быть превращены в прослушивающие/отслеживающие устройства. Геопозиционирование телефонов вполне реально (в пределах города с точность до десятков метров), так как при движении телефон передает данные о своем местонахождении на передающую станцию-«соту».

Прослушивание разговоров по мобильному телефону является обычной практикой в настоящее время. Если при разговоре на экране телефона появляется значок разомкнутого замка, то значит что GSM-шифрование отключено и ваши разговоры очень легко перехватить, даже не обладая продвинутыми техническими средствами. В обычном случае прослушка и запись разговоров скорее всего ведется на базовой станции оператора при наличии санкции от правоохранительных органов. Но чаще всего операторы идут им на уступки, поэтому считайте, что потенциально прослушивать вас могут в любой момент. Недавно была отмечена тенденция прослушки телефонов активистов по определенным датам, например 1 мая (± пара дней) прослушивают анархистов, а 4 ноября (± пара дней) прослушивают правых. Также в ваш телефон могут элементарно внедрить «жучок» (как программный, так и обычный), определить факт передачи в таком случае можно по постоянным помехам вблизи мониторов и колонок, а также по недолгому сроку службы аккумулятора.

Цифровые фотоаппараты¶

Количество «палевных» фотографий в вашем фотоаппарате должно быть минимальным. Добавьте кучу случайных безобидных фотографий (без людей) и заблокируйте их от удаления, чтобы при использовании функции «удалить всё» эти фотографии оставались бы на карте памяти. Имейте при себе сменную флеш-карту. Ещё лучше использовать карту mini-SD с адаптером на SD. Тогда можно будет прятать карту mini-SD в подходящий телефон для сохранности.

Если вы не пользуетесь фотоаппаратом, держите его аккумулятор отдельно, чтобы посторонние не могли включить его. Также потренируйтесь фотографировать, не глядя на экран просмотра. Используйте «чистящие» программы вроде JPEG stripper для удаления мета-данных (EXIF) с фотографий перед их отправкой или публикацией.

Персональные компьютеры¶

Старайтесь пользоваться программами с открытыми исходными кодами (open source). Открытость исходников означает, что любой программист может просмотреть все потроха программы и определить, есть ли в ней какие-либо неприятные недокументированные возможности. Если вы все же используете закрытую операционную систему (например Windows), то старайтесь использовать открытые программы для этой платформы. Почти для любой закрытой программы есть свой бесплатный и открытый аналог.

Всегда устанавливайте обновления для своих программ (операционных систем, пакетов офисных программ, браузеров). Постоянно находятся новые уязвимости для любых программ и поэтому необходимо всегда поддерживать свою систему в защищенном состоянии. Как показывает практика, компьютер с необновлённой Windows выходит из-под вашего контроля и начинает самостоятельно рассылать спам (в лучшем случае) примерно минут через 20-30 максимум.

Используйте эффективную антивирусную программу и убедитесь, что она обновляется через сеть не реже одного раза в день. Необновляемый антивирус равен его отсутствию. Все Это же актуально и для firewall (файрволл, он же брандмауэр). Это программы, которые анализируют все сетевые соединения (будь они из вашего компьютера или в него), а затем на основании некоторых правил блокируют потенциально опасные и пропускает дозволенные. Эти два вида программ обязательно должны присутствовать на вашем компьютере! Всегда внимательно относитесь к своим действиям, не открывайте подозрительные файлы, не переходите по подозрительным ссылкам и т.д. Это спасет вас от большого количества проблем.

С технической точки зрения такой штуки, как «удаление» просто нет. Ваши якобы удалённые данные просто будут когда-нибудь перезаписаны новыми данными. Есть несколько способов окончательно удалить секретные данные с жёсткого диска или устройства хранения: вы можете затереть один файл либо всю «неиспользуемую» область на жёстком диске. Eraser — это бесплатная и открытая программа для окончательного удаления, которой исключительно легко пользоваться.

Используйте пароли при входе в систему и для защиты всех важных данных. Используйте подставной тип файла, чтобы спрятать важные данные (расширение .mov заставит большой файл с данными выглядеть как видеоролик). Самые важные файлы храните в шифрованном виде. Также неплохо шифровать и жесткий диск компьютера целиком, для этого неплохо подходит программа TrueCrypt или открытая реализация алгоритма PGP (Pretty Good Privacy) под названием GPG. В качестве хранителей удобно использовать флешки: они дешевы, легки в хранении и их тоже можно полностью шифровать (используя тот же TrueCrypt).

Покупайте необычные флешки, которые не выглядят, как флешки (использование USB-часов привлекает меньше внимания, как и USB-серёжки). Не маркируйте устройства хранения (CD-диски, флешки) их реальным содержимым. Если вы записываете на CD нелегальное видео или программы, напишите на диске название музыкального альбома. Не возите с собой сверхсекретные данные, если в это нет жесточайшей необходимости. Не оставляйте устройства хранения в местах, где могут быть легко обнаружены при обыске дома или в офисе (например, на столе или в ящиках тумбочки). При выборе безопасного места подумайте, кто ещё имеет туда доступ. Труднодоступные места менее безопасны.

На случай чрезвычайной ситуации разработайте план физического уничтожения или избавления от компьютера после краткого предупреждения.

Безопасность в Интернете¶

Как и в случае с остальными программами — используйте браузеры с открытым кодом (например Firefox) и установите дополнения, предотвращающие отслеживание вас web-сайтами и удаляющие рекламу и счётчики. При посещении сайтов старайтесь использовать SSL-соединение (https). Выключите поддержку Java и другие потенциально опасные дополнения. Выучите на память IP-адреса посещаемых сайтов, чтобы в истории хранились только цифры, а не имена. Если Вы пользуетесь чужим или публичным компьютером, удаляйте перед уходом все персональные данные (историю поисков, пароли и т. д.). В идеале это стоит делать и на своем компьютере, учитывая то, что к вам могут прийти с обыском.

Не загружайте никаких программ из всплывающих окон, они могут быть опасны, заразят ваш компьютер или будут на ходу записывать все ваши действия. Если Вы создаёте аккаунт для публикации щекотливых материалов, не используйте личный адрес электронной почты и не оставляйте личной информации. Пользуйтесь мобильными версиями web-сайтов, поскольку их обычно не блокируют. Кроме того, мобильные версии сайтов быстрее загружаются. Если вы заходите на суперсекретный сайт, убедитесь, что у вас закрыты все остальные сайты. Всегда выходите из любого запароленого аккаунта, старайтесь не использовать автосохранение паролей.

Используйте качественные пароли парольные фразы. Используйте буквы, цифры и другие символы, чтобы сделать их «pea/\bHo C/\O}|{HblM|/|». Вот несколько требований к хорошему паролю: длина (хотя бы 8-10 символов), неочевидность (пароль, представляющий из себя номер телефона или кличку любимой собаки, очень легко подобрать), уникальность (не используйте один и тот же пароль снова и снова, в случае подбора пароля все ваши данные и ресурсы достанутся злоумышленнику), обновляемость (пароль – не надпись на памятнике, меняйте его время от времени), приватность (не наклеивайте листочки с паролями на монитор, не храните его в открытых текстовых файлах, документах Word… не делайте его легкодоступным для посторонних).

При использовании Интернет стоит помнить о важнейшей вещи – анонимности! Любой компьютер, подключенный к Интернету, имеет свой уникальный IP-адрес. Если вы подключены к Сети постоянно, то и адрес у вашего компьютера всегда один. Если же вы выходите в Интернет через телефонную линию или через GPRS, то провайдер каждый раз при подключении выдает вам какой-нибудь адрес из своего диапазона. При следующем подключении адрес может уже быть другим, неизменной останется только его часть, однозначно идентифицирующая провайдера. Почти каждый сайт определяет и записывает IP-адреса своих посетителей. Иногда это может привести к весьма неприятным вещам, поэтому используйте анонимные прокси-сервера, шифрованные VPN-соединения или программное обеспечение TOR, чтобы работать в Интернете анонимно и безопасно.

Следует отметить, что существует и ещё один путь к анонимности — использование в качестве точки доступа в Интернет не своего домашнего или рабочего компьютера, а общедоступных ресурсов. Это, например, интернет-кафе, университетские компьютерные классы и т.д. Это дает некоторую анонимность, но работа на таком компьютере связана с рядом проблем. Предполагайте, что за вами следят. Предполагайте, что компьютеры в интернет-кафе записывают нажатия клавиш и сохраняют изображения с монитора. Избегайте интернет-кафе без простого выхода и на случай чрезвычайной ситуации имейте план быстрого исчезновения. TOR можно установить на флешку для использования в интернет-кафе, кроме того, если флешками пользоваться нельзя, можно работать прямо с LiveCD.

Для безопасного и защищённого распространения медиафайлов используйте анонимные файлообменники. Также можно использовать коллективный аккаунт в Gmail с общей парольной фразой и сохраненным в нем письмами, но не забывайте ежемесячно менять парольную фразу.

Поиск в интернете так же может выдать многое о вас и ваших интересах. Страйтесь избегать поисковых сервисов, которые собирают личные данные о своих пользователях. Если вам по душе результаты поиска Google, но вы не хотите терять свою приватность, используйте сервис Scroogle. Те, кто используют веб-браузер Mozilla Firefox могут установить дополнение GoogleSharing и продолжать искать в Google как обычно. В качестве альтернативы Googlе можно порекомендовать поиск от DuckDuckGo (версия без JavaScript, лёгкая версия), Ixquick, Yauba.

Интернет-коммуникации¶

Также как и при разговорах по сотовому телефону используйте заранее обговоренные кодовые фразы. Никогда не используйте своё имя в электронном адресе и используйте несколько адресов. Регулярно уничтожайте старые аккаунты электронной почты и заводите новые. Знайте правила безопасности, сохранности и конфиденциальности провайдеров и отслеживайте все изменения. Пользуйтесь надежными поставщиками услуг – не находящимися на территории РФ и поддерживающими безопасное SSL-соединение. В данной ситуации вам предстоит выбор между активистскими серверами, такими как Riseup или Autistici, или общедоступными почтовыми службами типа Gmailили Hushmail.

Учтите, что сам факт наличия у вас ящика на активистском сервере уже даёт спецслужбам информацию о том, что вы в чём-то таком замешаны. Поэтому иногда имеет смысл пользоваться именно «цивильным» сервером и притворяться респектабельным гражданином. Ещё один полезный совет — заведите ложный (отвлекающий) адрес электронной почты. В последнее время у ментов появилась отвратительная привычка при задержании активистов выбивать из них пароли к почтовым ящикам. Так вот, зарегистрируйте адрес где-нибудь на mail.ru, подпишитесь с него на какие-нибудь спортивные или гламурные рассылки и раз в несколько месяцев отправляйте с него цивильным знакомым безобидные письма. В случае жёсткого прессинга вы сможете выдать пароль от этого ящика без вреда для себя и для всего движения.

В ходе переписки используйте PGP-шифрование, которое позволяет как зашифровать вашу переписку, так и подтвердить подлинность писем. В силу исключительной важности этого пункта, поясним принцип работы. Когда вы устанавливаете GPG, то создаёте свой публичный и личный ключи (выглядят они как файлы с длинными последовательностями символов). Публичный (как и следует из его названия) вы раздаёте всем своим друзьям, вывешиваете в Интернете и т. д. Личный же храните в тайне где-то у себя на компьютере (он ещё и паролем защищён, для верности). Ваши друзья в свою очередь дают вам свои публичные ключи. Теперь, допустим, что вы хотите отправить письмо другу А так, чтобы никто по дороге его не прочитал, даже если и перехватит. Нет проблем: вы пишете текст, а затем командуете GPG зашифровать письмо публичным ключом А, который А вам заранее дал. Получается опять же некая последовательность символов. Вы её посылаете обычным порядком на адрес А, ну а он уже с помощью своего личного секретного ключа (и пароля) расшифровывает письмо. Никто, у кого нет секретного ключа А, этого сделать никогда не сможет.

Продолжая тему интернет-коммуникаций необходимо рассказать о службах обмена быстрыми сообщениями (IM). Начнем с простого — забудьте про ICQ, если хотите общаться с кем-либо на приватные темы. Легко ломается, легко читается, зависимость от прихотей компании-собственника… этот список можно продолжать очень долго. Выбор любого здравомыслящего активиста — это Jabber. Кстати, если вы пользуетесь почтой от Gmail или Autistici, то он у вас уже есть. Особой разницы в общении вы не почувствуете, но при этом безопасность становится гораздо сильнее. Почти все Jabber-сервера поддерживают SSL-шифрование соединения, а многие Jabber-клиенты поддерживают GPG-шифрование (также можно использовать плагины OTR). Пропадут и проблемы с кодировками, запоминанием аккаунтов (удобное имя вида логин@домен вместо цифр), отказами в работе из-за неофициального клиента (серверов очень много и каждый может даже установить свой).

С развитием Интернет IP-телефония становится важным и удобным средством коммуникации. Но помните — сам факт разговора через Интернет ещё не защищает вас от прослушивания. Так же, как и в случае с мобильной или стационарной связью, используйте коды, не раскрывайте важных деталей своей деятельности, не говорите ничего, в чём вас смогут обвинить. Помните, что за вашими онлайновыми действиями могут следить оффлайновыми методами. Неважно, пользуетесь ли вы шифрованной IP-телефонией из интернет-кафе, если рядом с вами сидит переодетый мент. Если уж очень надо, используйте код, похожий на обычный разговор.

Если вы используете Skype — помните, что 100% надёжность защиты Skype не доказана, потому что ни у кого нет доступа к его исходному коду для проверки наличия закладок. С другой стороны на Skype участились нападки со стороны спецслужб, что говорит о многом. Так что его использование в некоторых случаях может быть оправдано.

Gizmo предлагает шифрование для телефонных переговоров, но только если вы звоните другому пользователю IP-телефонии, а не на мобильный или стационарный телефон. Однако это приложение не является свободным, поэтому независимые исследователи так же не могут полностью проверить его и убедиться, что оно безопасно.

Блоги и сайты социальных сетей¶

Знайте законы, касающиеся ответственности, клеветы и т. д. Если Вы создаёте аккаунт в блоге для публикации щекотливых материалов, не используйте личный адрес электронной почты и не оставляйте личной информации. В своих постах и на странице профиля не размещайте фотографий своих друзей и себя самого, не используйте своё настоящее имя, не оставляйте личных данных, которые могут помочь идентифицировать вас (город, школа, место работы и т. д.). Помните, что пользователя коммерческой блог-платформы (например, LiveJournal или Blogger) могут легко сдать правоохранительным органам, если содержимое его блога их не устраивает. В качестве анонимной площадки для блога неплоха связка WordPress + прокси (желательно Tor) + анонимность контента. Также можно посоветовать сервис No Blogs от активистского коллектива Autistici. Кстати, WordPress позволяет пользователю автоматически публиковать статьи в назначенный день и час. Используйте эту функцию, чтобы автоматически публиковать статьи в другой день, когда вас точно не будет за компьютером.

Не существует безопасных социальных сетей! Лучший способ быть в безопасности при использовании социальной сети, это фальшивый аккаунт и прокси-сервер. В социальных сетях создайте аккаунт специально для активизма с фальшивым, но звучащим, как настоящее, именем (тогда ваш аккаунт не будет удалён), но не рассказывайте друзьям о нём. Меньше всего вам нужно, чтобы какой-нибудь ваш друг писал на стене, отмечал вас на фото или выдавал вас. Даже если вы удалите свой аккаунт в социальной сети, ваши данные останутся, поэтому будьте крайне осторожны, участвуя в политических акциях (т. е. вступая в палевные группы) в сети. Используйте фальшивый аккаунт для вступления в активистские группы. Фальшивый аккаунт не должен быть связан с вашим адресом электронной почты. Не используйте платные сервисы, по вашей кредитной карте вас можно легко вычислить. Старайтесь не пользоваться коммерческими сервисами (Facebook или его русский аналог ВКонтакте). Используйте Crabgrass, разработанный коллективом Riseup для обеспечения безопасной совместной работы и общения в социальной сети. Хотя есть «за» и «против» по поводу его использования, активисты, работающие в странах с репрессивным режимом должны знать, где искать необходимые им инструменты.

Полезные ссылки¶

• wos.anho.org/security
• security.ngoinabox.org/ru
• www.pgpru.com/biblioteka
• chernysh.livejournal.com/21898.html
• Защита конфиденциальных данных и анонимность в интернете