Ако сте како мене, една од првите работи што ги правите во утринските часови е да го проверите вашиот е-мејл. И, ако сте како мене, исто така, се прашувате кој друг го прочитал вашиот е-мејл. Тоа не е параноична загриженост. Ако користите е-мејл базиран на веб сервис како Gmail или Outlook 365, одговорот е некако очигледен и застрашувачки.
Дури и ако го избришете е-мејлот во моментот кога ќе го прочитате на вашиот компјутер или мобилен телефон, тоа не мора да значи дека се избришала содржината. Има уште една копија од него некаде. Веб-поштата е „облак“, па со цел да бидете во можност да пристапите до него од било кој уред, насекаде, во секое време, мора да има непотребни копии. Ако користите Gmail, на пример, копија од секоја порака испратена и примена преку вашиот Gmail пофил е задржана на различни сервери низ светот во Google. Ова, исто така, важи и ако користите е-мејл системи на Yahoo, Apple, AT & T, Comcast, Мајкрософт, или дури и на вашето работно место. Секоја порака што ќе ја испратите може и да се провери, во секое време, од страна на компанијата за хостинг. Наводно, ова е за да се филтрираат малициозните софтвери, но реалноста е дека трета страна може и пристапува до нашите пораки за други, повеќе злобни и себични причини.
Додека повеќето од нас го толерираат скенирањето на нашиот е-мејл за малициозен софтвер, а можеби некои од нас го толерираат тоа за рекламни цели, идејата на третата страна е да ги читаат нашите преписки и да делува на одредена содржина во одредени пораки, што е сосема вознемирувачки.
Најмалку што можете да направите е да им го отежнете да го сторат тоа.
Започнете со енкрипција
Повеќето веб-базирани е-мејл услуги користат енкрипција кога е-пораката е во транзит. Меѓутоа, кога некои услуги пренесуваат пошта меѓу Mail Transfer Agents (MTAS), тие можеби не користат енкрипција, со што вашата порака е на отворено. За да стане невидлива ќе треба да ги криптирате вашите пораки.
Поголемиот дел од е-мејл енкрипцијата го користи она што се нарекува асиметрична енкрипција. Тоа значи дека јас генерирам две опции: приватна, што останува на мојот уред, што никогаш не ја споделувам, и јавна, што ја споделувам слободно на интернет. Тие две опции се математички поврзани, но различни.
На пример: Боб сака да ѝ испрати безбеден е-мејл на Алис. Тој го дознава јавниот клуч на Алис на интернет или директно од Алис, и кога испраќа порака, тој ја шифрира пораката со нејзиниот клуч Оваа порака ќе остане заштитена, сè додека Алис не ја употреби реченицата за премин за да го отклучи нејзиниот приватен клуч и со тоа да ја отклучи шифрираната порака.
Како да направите енкрипција на содржината на вашиот е-мејл на работа?
Најпопуларниот метод на е-мејл енкрипција е PGP, која се залага за „Pretty Good Privacy“, но не е бесплатен бидејќи е во производство на Symantec Corporation. Но, неговиот творец, Фил Цимерман, создаде уште една верзија со отворен код, OpenPGP, кој е бесплатен. И третата опција, GPG (GNU Privacy Guard), формирана од Вернер Кох, е исто така бесплатна. Добрата вест е дека сите три се меѓусебно функционални. Тоа значи дека без оглед на тоа која верзија на PGP користите, основните функции се исти.
Кога Едвард Сноуден првпат одлучи да ги открие чувствителните податоци што ги копираше од Агенцијата, му требаше помош од истомисленици низ целиот свет. Активистката за приватност и режисерка, Лаура Поитрас, неодамна го заврши документарниот филм за животот на свиркачите. Сноуден сакаше да воспостави шифрирана размена со Поитрас, но само неколку луѓе го знаеле нејзиниот јавен клуч.
Сноуден го контактираше Миха Ли од Фондацијата Електронска граница. Јавниот клуч на Ли беше достапен на интернет и според профилот објавен на Intercept, тој го имал јавниот клуч на Поитрас. Ли провери да види дали таа ќе му дозволи да го сподели. Таа се согласи.
Со оглед на важноста на тајните што требале да ги споделат, Сноуден и Поитрас не можеле да ги користат нивните редовни е-мејл адреси. Зошто не? Нивните лични е-мејл сметки содржат уникатни врски, како што се специфични интереси, листа со контакти, која би можела да идентификува секој од нив. Наместо тоа, Сноуден и Поитрас одлучија да создадат нови е-мејл адреси.
Како тие ќе ги дознаат нивните нови е-мејл адреси? Со други зборови, доколку и двете страни биле целосно анонимни, како би знаеле кој е кој и кому можат да веруваат? Како може Сноуден, на пример, да ја исклучи можноста дека Агенцијата, или некој друг, не се претставува како новиот е-мејл профил на Поитрас? Јавните клучеви се долги, така што не можете само преку безбеден телефон да ги прочитате карактерите на другото лице. Ви треба сигурна размена на е-мејлот.
Со ангажирање на Ли уште еднаш, Сноуден и Поитрс може да ја зацврстат нивната доверба кога ги прават новиte и анонимни е-мејл профили. Поитрас прва го сподели нејзиниот јавен клуч со Ли. Но, Ли не го користи вистинскиот клуч, наместо тоа, ја користи кратенката со 40 карактери (или отпечаток од прст) од јавниот клуч на Поитрас. Ова тој го објави јавно, на Твитер.
Понекогаш, со цел да стане невидливо мора да се користи видливото
Сега Сноуден може анонимно да го види твитот на Ли и да го спореди скратениот клуч со пораката што ја добил. Ако двете не се совпаѓаат, Сноуден ќе знае дека не може да му верува на е-мејлот, односно пораката можеби е компромитирачка. Или, пак, можеби зборува со Агенцијата. Во овој случај, клучот и пораката одговарале.
Сноуден конечно ѝ испрати шифрирана електронска пошта на Поитрас, идентификувајќи се себеси само како„Citizenfour.” Овој потпис стана насловот на нејзиниот наградуван документарен филм за правото на приватност.
Тоа можеби изгледа како крај, тие сега може да комуницираат безбедно преку шифрираната електронска пошта, но тоа беше само почеток.
Одбирање на сервис за енкрипција
Силата на математичката операција и должината на енкрипцискиот клуч утврдуваат колку е лесно за некој без клуч да го открие вашиот код.
Алгоритмите за енкрипција што се употребуваат денес се јавни. Но, јавните алгоритми се слаби, што значи дека луѓето намерно се обидуваат да ги хакираат. Секогаш кога еден од јавните алгоритми станува слаб или е хакиран, тој се повлекува и се користат понови, посилни алгоритми.
Клучевите се (повеќе или помалку) под ваша контрола и како што може да погодите, нивното управување е многу важно. Ако генерирате клуч за шифрирање, вие и никој друг, ќе го има клучот складиран на вашиот уред. Ако дозволите компанија да ја изврши енкрипцијата, да речеме, во „облакот“,таа компанија потоа може да го задржи клучот откако тој или таа го сподели со вас. Исто така, може да бидете обврзани да го споделите клучот со закон, или од владина агенција, со или без налог.
Кога шифрирате порака, е-мејл, текст, или телефонски повик, користете целосна енкрипција. Тоа значи дека вашата порака останува неразбрана додека не го достигне својот примач. Со целосна енкрипција, само вие и вашиот примач ги имате клучевите за да се декодира пораката. Не телекомуникацискиот оператор, сопственикот на веб страната или програмерот, партиите што го спроведуваат законот или владата ќе побара да ги превртат информациите за вас. Побарајте на Google за „енкрипција од крај до крај на гласовен повик” Ако апликација или услугата не користи крај-до-крај енкрипција, изберете друга.
Сето ова звучи комплицирано, затоа што е. Но, постојат плагини на PGP за интернет прелистувачите на Chrome и Firefox кои ја прават енкрипцијата полесна. Една од нив е Mailvelope, која уредно се справува со јавните и приватните клучеви за енкрипција на PGP. Едноставно внесете лозинка, која ќе се користи за производство на јавните и приватните клучеви. Потоа, кога ќе напишете е-мејл одберете примач, и ако примачот има на располагање јавен клуч, тогаш ќе имате можност да му испратите на тоа лице шифрирана порака.
Повеќе од енкрипција: Метаподатоци
Дури и ако ги криптирате вашите е-мејл пораки со стандардите на PGP, мал дел од пораката, но богат со информации, сè уште може да го чита секој. Бранејќи се од откритијата на Сноуден, владата на САД во неколку наврати изјави дека не ја опфатила содржината на нашите пораки, кои во овој случај не би можеле да се прочитаат со стандардите на PGP енкрипцијата. Наместо тоа, владата објави дека ги собира само метаподатоците на е-поштата.
Што се е-мејл метаподатоци? Тоа се информациите во делот „Од“ и „До“ во мејлот, како и IP адресите на различни сервери, кои го префрлаат е-мејлот од потеклото до примачот. Тие исто така ја вклучуваат и целта на пораката, која понекогаш може да открива многу во однос на содржината. Метаподатоците, наследство од раните денови на интернетот, се уште се наоѓаат на секој испратен и примен е-мејл, но модерните читатели на е-мејл ја кријат оваа информација од екранот.
Тоа би можело да звучи во ред, бидејќи третата страна всушност не ја чита содржината, а вас најверојатно не ви е грижа за механизмот како тие пораки патуваат, но ќе бидете изненадени од тоа колку многу може да се дознае од патеката на е-мејлот и фреквенцијата на пораките.
Според Сноуден, метаподатоците од нашиот е-мејл, текст и телефон се собираат од страна на американската, но и други агенции. Но, владата не може да собира метаподатоци од сите – или, пак, може? Технички, не. Сепак, има голем пораст во „законската” колекција од 2001 година.
За да станете навистина невидливи во дигиталниот свет ќе треба да направите повеќе од шифрирање на вашите пораки.
Отстранете ја вашата вистинска IP адреса: Ова е вашата точка на поврзување со интернетот, вашиот отпечаток од прст. Таа може да покаже каде сте, (вашата адреса) и кој провајдер го користите.
Прикријте го вашиот хардвер и софтвер: Кога ќе се поврзете на интернет, може да остане трага од хардверот и софтверот што го користите на сајтот.
Одбранете ја својата анонимност: Наведувањето извор на интернет е тешко. Докажувајќи дека сте биле на тастатурата кога се случил настанот е тешко. Сепак, ако поминете покрај предниот дел на камерата пред да ја посетите веб-страницата на Старбакс, или ако сте купиле лате од Старбакс со вашата кредитна картичка, овие активности може да се поврзат со вашето онлајн присуство неколку моменти подоцна.
За почеток, вашата IP адреса открива каде се наоѓате во светот, што провајдер користите, како и идентитетот на лицето кое плаќа за интернет услугите (кои може, но и не мора, да сте вие). Сите тие информации се вклучени во рамките на метаподатоците на е-мејлот, а подоцна може да се користи за да ве идентификуваат уникатно. Секоја комуникација, без разлика дали тоа е-мејл или не, може да се користи за идентификување врз основа на IP адресата, која е доделена на рутерот што го користите додека сте дома, на работа, или место на некој пријател.
IP адресите и пораките, се разбира, може да се фалсификуваат. Некој би можел да користи прокси-адреса, не неговата вистинска IP адреса, но нечија друга, таа што е-мејлот ќе се чини дека потекнува од друга локација. Прокси е како преведувач на странски јазик – разговараш со преведувачот, и преведувачот му зборува на говорителот на тој странски јазик, а пораката останува иста. Поентата тука е дека некој може да користи прокси адреса од Кина, па дури и Германија, за да се избегне откривањето на е-маилот, иако навистина доаѓа од Северна Кореја.
Наместо да ја хостирате својата прокси адреса, можете да користите услуга позната како anonymous remailer, која ги маскира IP адресата на вашиот е-мејл место вас. Anonymous remailer едноставно ја менува е-мејл адреса на испраќачот пред да ја испрати пораката до својот примач. Примачот може да одговори преку remailer. Тоа е наједноставната верзија.
Еден начин да се маскира вашата IP адреса е да се користи лажен рутер (Tor), таков како што употребија Сноуден и Поитрас. Tor е наменет да се користи од страна на луѓе кои живеат во тешки режими како начин да се избегне цензурата на популарните медиуми и услугите и да спречи некој да ги следи термините за пребарување што тие ги користат.
Tor останува слободен и може да го користи секој, од секаде, дури и вие.
Како функционира Tor? Тој го менува вообичаениот модел за пристап до веб-сајт. Кога користите Tor, директната линија помеѓу вас и сајтот што сакате да го посетите е пропратена со дополнителни јазли, кои на секои десет секунди се поврзуваат со сајтот што го посетувате и ги бележат промените, без да ви пречат. Различните јазли што ве поврзуваат со страницата се како слоевите на кромидот. Со други зборови, ако некој се обиде да ве најде, нема да биде во можност да го направи тоа бидејќи патот ќе се менува. Освен ако вашата влезна и излезна точка не се поврзани на некој начин, вашата врска се смета за анонимна.
За да го користите Tor ќе ви треба изменет Firefox прелистувач од сајтот на Tor (torproject.org). Секогаш барајте легитимен Tor прелистувач за вашиот оперативен систем од веб страницата на проектот Tor. Немојте да го користите сајтот на трети лица. За оперативниот систем Андроид, Orbot е легитимна бесплатна Tor апликација од Google Play која прави енкрипција на вашиот сообраќај и ја прикрива вашата IP адреса. На iOS уредите (iPad, iPhone-от), инсталирајте ја Onion Browser, легитимна апликација од App Store на iTunes.
Tor, исто така, ви дава пристап до еден свет на сајтови кои не се пребаруваат обично -она што се нарекува темен интернет. Тоа се сајтови кои не користат имиња како Google.com и наместо тоа, завршуваат со наставката .onion. Некои од овие скриени сајтови нудат, продаваат, или обезбедуваат производи и услуги кои може да се нелегални. Некои од нив се легитимни сајтови што ги одржуваат луѓе во режимски делови на светот.
Треба да се напомене дека, сепак, постојат неколку слабости со Tor: Вие немате контрола над излезните јазли, кои можат да бидат под контрола на владата или законот; така што сè уште може да ве профилираат и можеби да ве идентификуваат, воедно Tor е многу бавен.
Но, и ако после ова се одлучите да го користите Tor, тоа не треба да биде преку истите физички уреди со кои пребарувате. Со други зборови, имајте лаптоп за прелистување на веб и посебен уред за Tor (на пример, миникомпјутер за водење на Tor софтверот). Идејата е дека ако некој е во можност да го компромитира вашиот лаптоп, тие сè уште нема да бидат во можност да го „излупат“ вашиот транспортен слој, бидејќи функционира на одделен физички уред.
Креирајте нов (невидлив) профил
Е-мејл профилите може да бидат поврзани на различни начини и во другите делови од вашиот живот – пријатели, хоби, работа. За да комуницирате во тајност, ќе треба да создадете нов е-мејл профил со користење на Tor, така што IP адресата со којашто го креирате профилот нема да се поврзува со вашиот вистински идентитет на било кој начин.
Креирање на анонимни е-мејл адреси е предизвик, но е возможно
Бидејќи би оставиле трага ако плаќате за приватни е-мејл услуги, подобро е да користите бесплатни веб сервиси. Gmail, Microsoft, Yahoo и други сервиси, бараат да се обезбеди телефонски број за да се провери вашиот идентитет. Очигледно не можете да го користите вашиот телефонски број, бидејќи тој може да биде поврзан со вашето вистински име и вистинска адреса. Вие може да го оставите вашиот Skype број, ако поддржува гласовна автентикација, наместо СМС проверка. Сепак, сè уште ќе ви треба постоечка е-мејл адреса и при-пејд картичка за подарок за да го отворите.
Некои луѓе мислат дека „burner“ телефоните се уреди кои се користат само од страна на терористите, макроата и дилери на дрога, но постојат голем број на сосема легитимни намени за нив. Овие телефони најчесто обезбедуваат глас, текст, и е-мејл услуги, и тоа е речиси сè што на некои луѓе им треба.
Сепак, анонимно купување на ваков телефон може да биде незгодно. Секако, би можел да одам во Walmart и да платам во кеш за телефонот и сто минути време за разговор. Кој би знаел? Па, многу луѓе.
Прво, како дојдов до Walmart? Дали со такси или Uber автомобил?
Јас можев да дојдам со свој автомобил, но со закон се користи технологија за автоматско препознавање на регистарските таблички (ALPR) кај големите јавни паркинзи, за да се бараат исчезнати, или украдени возила, како и за потрага на луѓе по кои има потерница.
Дури и ако пешачев до Walmart, откако влегов во продавница моето лице е видливо на неколку безбедносни камери во самата продавница.
Океј, па да речеме јас ќе испратам странец до продавницата, можеби бездомник што го ангажирав на самото место. Тоа лице влегува и го купува телефонот и неколку картички. Можеби ќе се договорите да се сретнете со оваа личност подоцна, далеку од продавница. Ова ќе ви помогне физички да се дистанцирате себеси од вистинската трансакција.
Активирањето на припејд телефонот бара или да се повика одделот за клиенти на мобилниот оператор, или да се активира преку веб-страницата на провајдерот. За да избегнете да бидете снимени за „квалитетот на разговорот“, побезбедно е да се активира преку веб. Користењето на Tor над отворена безжична мрежа откако ќе ја промените вашата MAC адреса треба да биде минимална заштитна мерка. Треба да ги измислите сите информации на претплатникот што ги внесувате на веб страната. За вашата адреса, само побарајте ја адресата на голем хотел и искористете ја таа. Измислете датум на раѓање и PIN кој ќе го паметите во случај да треба да се јавите до одделот за услуги во иднина.
Откако ќе го искористите Тor за рандомизирана IP адреса и откако ќе креирате Gmail профил што нема ништо со вашиот вистински телефонски број, Google испраќа до вашиот телефон верификационен код или гласовен повик. Сега имате Gmail профил, кој практично не може да се следи. Ние може да произведеме разумно безбедни пораки чија IP адреса, благодарение на Tor е анонимна (иако немате контрола над излезните јазли), а чија содржина, благодарение на PGP, не може да се прочита, освен од страна на примачот.
За да се задржи овој профил анонимен можете да пристапите на профилот во рамките на Tor, така што вашата IP адреса никогаш нема да се поврзи со него. Понатаму, вие никогаш не треба да пребарувате на интернет, додека сте најавени на анонимниот Gmail профил; може ненамерно да пребарате нешто што е поврзано со вашиот вистински идентитет. Дури и пребарување за временската прогноза може да ја открие вашата локација.
Како што можете да видите, да се биде невидлив и да се зачува невидливоста бара огромна дисциплина и постојана внимателност. Но, вреди. Најважните работи се: Прво, да бидете свесни за сите начини на кои некој може да ве идентификува, дури и ако преземете дел, но не сите мерки на претпазливост што ги опишав. И ако не ги преземете сите мерки на претпазливост, треба да направите длабинска анализа секој пат кога го користите вашиот анонимен профил. Без исклучоци.
Автор: Кевин Митник (Тој е еден од најпознатите хакери во светот кој во моментов раководи со интернет сигурносната компанија Mitnick Security Consulting LLC. Кевин успешно изврши напади на многу компјутерски системи, вклучувајќи и неколку банки.)
Извор: Wired