Безопасность. Фундаментальные основы

Введение

Привет, дорогие друзья! Сегодня будет один из больших постов на нашем канале и он будет 3 частью дополнением о безопасности. Так как наступило лето я решил дать вам намного больше знаний чем обычно.

Я придерживаюсь того, что основы безопасности должен соблюдать каждый, в независимости от рода вашей деятельности. У каждого человека есть своя личная жизнь, о которой, никто, кроме него, не должен знать.

В наше время, почти каждый пользуется соц. сетями, поисковыми системами, мессенджерами. И чаще всего, именно с устройств тех же технологических гигантов, которые и держат все эти социальные сервисы. Например, вы используете Google со смартфона под управлением Android.

Каждое установленное приложение, каждая ОС, ежечасно в огромном количестве шлют информацию о вас. Я уверен, что большинство из вас даже не подозревают о реальном положении дел. Если вы хотите убедиться сами ХОТЯ БЫ в трекинге, то установите себе Pi-Hole. Pi-Hole поднимает локальный DNS, после чего все отфильровывается по заранее указаным блеклистам, и дальше отдаются привычным вам DNS того же CloudFlare.

Pi-Hole служит не только для блокировки трекеров, рекламы, но и защищает от фишинга, вредоносных сайтов и прочей нечести. Естественно, если использовать конкретные блек-листы. Так что только от вашей настройки будет зависеть уровень фильтрации.

Чтобы разобраться, установить и настроить, необходимо наличие навыков немного выше среднего. Если не хотите разбираться, вам плевать на то, что логи будут вестись на сторонних серверах, то есть бесплатный аналог - NextDNS. Настройка сводится к указанию DNS серверов NextDNS у вас в роутере.

Сегодняшняя лекция не про это, потому много времени тратить не будем. Достаточно погуглить, чтобы понять принцип работы. Советую поставить это вашим родителям, которые больше всего подвержены разному виду вредоносных сайтов.

Даже если вам абсолютно плевать на сбор данных, составление твоего портрета для рекламодателей, то остается еще гигантский объем данных, который вы оставили в глобальной сети. Причем вы даже были заинтересованы в этом, как, например, фото в Инсте или сообщение на форуме. При наличии базовых исходных данных (ФИО), при желании, можно за один день узнать о вас всё. А именно: адрес фактического проживания по фотографиям и локациям с квартиры; пароли, которые вы использовали и они попали в утечки (а ведь некоторые из вас, не меняют пароли в принципе). Уверен, что на такого рода информацию плевать уже далеко не всем.

Сегодня же мы разберем ключевые аспекты построения собственной безопасности, как в сети, так и вне её рамок. Кроме того, разберем практическую часть, изучив необходимый базовый софт и связки.

Помните, что 100% анонимности - не существует. Существуют ресурсы для поиска. Для каждого поиска преступника нужны ресурсы. Почему до сих пор не переловили мелких мошенников? Потому что на их поиски нужно потратить кучу средств, выделить сотрудников и вообще иметь мотивацию этим всем заниматься. Когда такие дела получают резонанс, чаша терпения у народа переполняется и вот тогдауже и начинают "шевелиться". Да, есть еще момент крышевания таких преступников самими органами власти, но мы сейчас не об этом. И прошу заметить, мы сейчас говорим только про тех, кто работает по РФ и СНГ. Даже учитывая то, что я сказал выше, все равно работать по РУ запрещено. Не стоит испытывать судьбу.

Вернемся к теме ресурсов и поиску преступника. Если мы очень насолим США или какой-то стране кроме РФ и СНГ, то да - нас будут искать. И зачастую эти расследования не будут афишированы, до момента пока вы не въедете в страну, граждан которой, вы обманули, ну или туда, где есть договоренность об экстрадиции.

Но чтобы достигнуть такого левла, нужно украсть приличную сумму. Тогда именно и возникает тот пик, чтобы спецслужбы взяли тебя в разработку, потратили сотни тысяч долларов, а то и не один миллион на ваши поиски. Ко всему прочему, это относится непосредственно к краже средств у граждан, а существует еще куча направлений, где вы можете спокойно зарабатывать достаточно большие деньги без массового вреда жителям какой-либо страны.

Большинство думают, что стоит увешаться различным ПО, связками, зашифровать все данные и этого достаточно. Зачастую люди даже не понимают, какую именно безопасность дает этот технический комплекс, который они понаставили. Для них есть два понятия - сейчас я анонимен, а сейчас нет. Будто бы два нажатия на кнопки сделали из них Неуловимого Джо.

Расскажу вам несколько интересных историй из кучи, чтобы вы поняли, что далеко не технические средства решают судьбу человека, а тот, кто их использует.

Томаш Скоурон - гражданин Великобритании, который выводил деньги с помощью вредоноса через интернет-банкинг на дроповские счета. За всё время своей деятельности он вывел около 1 млн долларов.Но в один роковой день его VPN упал и в логах интернет-банка оказался его реальный IP-адрес. Итог: 5 лет тюремного срока: https://www.securitylab.ru/news/484856.php
Хигинио Очоа - хактивист из Anonymous, который взламывал государственные ресурсы и выкладывал конфиденциальные данные сотрудников полиции. В одной из публикаций была фотография груди девушки, которая была сделана на IPhone с включенным GPS. По итогу вышли на его девушку и через неё уже на него: https://www.securitylab.ru/news/423272.php
Дмитрий Смилянцев (Смелый) - владелец киберспортивной команды Moscow Five, в которой был небезызвестный для сообщества дотеров - Алексей Березин или solo (solo322). Да, даже в таких кругах есть свои теневые специалисты. Смелый был реселлером вредосного ПО и являлся участником дела по краже 160 млн кредитных карт, в которой также участвовал и Сергей Павлович (ЛюдиПРО на YouTube). Он был найден по фотографии в инстаграме, где на фоне был памятник "I Amsterdam". ФБР прозвонила ближайшие отели и на следующее утро, его арестовали. Итог: 4 года и 3 месяца. В 2018 году он вышел.

Это всего лишь несколько публичных дел. А сколько ещё не было оглашено? И вот на таких элементарных моментах попадаются хакеры. Не проверил VPN, не почистил метаданные фотографии, опубликовал фотографию в социальной сети.

Как бы вы не построили свою систему, всегда нужно быть внимательным и иметь холодный рассудок. Устойчивая личная конфиденциальность является совокупностью мер защиты - социальной и технической. Взять и стать анонимным по одной кнопке невозможно, запомните это раз и навсегда. Не существует какого-то ПО, которое бы дало вам абсолютную анонимность и безопасность.

Однако, добиться защиты возможно благодаря комплексу определенных действий, о которых сегодня я вам и расскажу. Начнем мы построение своего железного занавеса анонимности с социального аспекта.

Социальный аспект

Для начала, нужно вникнуть в суть того, что же это такое - социальная безопасность. Она подразумевает под собой защиту информации вне сети, на основе ваших реальных действий в социуме. Вы должны отчетливо разделять свою жизнь - в обществе и в даркнете. Вы должны тщательно проработать легенду о себе. Кто вы и чем занимаетесь. Она должна быть проработана настолько, что когда вас спросят над каким конкретно проектом вы сейчас работаете, вы могли бы незамедлительно и уверенно ответить.

Например: для ваших приятелей и друзей, вы - фрилансер-программист или же кто-то иной, кто связан с компьютерами (дизайнер, разработчик и тд). Для ваших соседей и родственников - тоже самое. Не давайте повода заподозрить вас в чем-то. Вне зависимости от вашего основного характера, вы должны быть дружелюбны, воспитаны и приятны в общении. О вас должно сложиться хорошее впечатление. Когда вы приглашаете кого-то домой, абсолютно всё должно говорить о том, кем вы "являетесь". Обстановка, порядок вещей, и даже рабочий стол компьютера должен говорить о том, что вы обычный законопослушный гражданин. Отдельным пунктом хотелось бы выделить речь про вашу вторую половинку. Ни в коем случае не сообщайте о своей реальной деятельности. Сегодня вы вместе до гроба, а завтра вы уже ненавидите друг друга и думаете как отомстить. Держите всё своё окружение на дистанции. Немаловажным аспектом является информация для ваших поддельников. Они не должны знать обратную сторону вашей жизни - реальную. Ни при каких обстоятельствах не сообщайте личную информацию о себе, даже если доверяете и работаете вместе уже очень долго. Может ваш поддельник и будет вам верным товарищем, но если придет момент, когда к нему завалятся мусора с паяльником для проведения терморектального криптоанализа - здесь уже ничего не поможет.

Ну а теперь подведем итоги по социальной безопасности. Это безопасность, связанная с социумом. Это не защита, посредством настроек сети или конфигурацией компьютера, а защита самого человека. Это то, что уже не зависит от технических устройств, а зависит от вашего понимания психологии и проработанности легенды.

Что необходимо для социальной безопасности?

Строгое разграничение реальной и теневой жизни
Проработка легенды о себе
Бдительность и внимательность
Аккуратное общение с подельниками

Если вы хотите глубже разобраться в психологии человека именно в рамках теневой деятельности, то рекомендую данную книгу: Максим Кузнецов - "Социальная инженерия и социальные хакеры".

Ну а теперь мы перейдем к технической части построения нашей анонимности и безопасности.

Технический аспект

Как я уже говорил ранее, эта лекция предназначена для того чтобы помочь вам, новичкам, понять что изучать и на что обратить внимание. При всем желании, я не могу дать за одну лекцию и даже за 2, всю безопасность и анонимность. Но то, что я вам дам сегодня и что порекомендую изучить, поможет настроить хорошую систему и приступить к работе в теневой сфере.

Что необходимо изучить, чтобы продвинутся в технической части? Прежде всего это сети:

Базовые знания про сети и сетевых технологии
Средства анонимизации трафика
VPN, Proxy, DNS, SSH, TCP/IP
Актуальные связки анонимизации

Существует множество связок и комбинаций программного обеспечения. У каждого свои методы. Я же вам дам базовые рекомендации и практические советы, но от этого далеко не менее действенные, если вы конечно завтра не собрались ломать Пентагон. Хотя, в таком случае, что вы тут делаете?

Начнем с того, что в первую очередь мы должны уделить внимание железу и аппаратной части. Современные методы деанонимизации сфокусированы не только на IP-адресе, а на конфигурациях железа, ведь у каждого они будут уникальны. Жесткие диски, мониторы и т.д. Все влияет на вашу анонимность. Из этого следует, что мы имеем несколько векторов подготовки защиты на уровне железа: создание виртуальной машины или использование удаленного рабочего стола на VDS.

Касательно создания виртуальной машины. Это операционная система внутри основной операционки. Думаю многие знают и слышали про тот же Virtual Box. Если не знаете, то пара строчек в гугле поможет.

Теперь разберемся с VDS. VDS - это виртуальный выделенный сервер. В основном их используют для хоста сайтов, веб-приложений и иных проектов, но, есть и те, кто используют их как основную точку выхода в интернет. То есть у вас будет виртуальный рабочий стол, располагающийся уже на сервере, а на на компе как с VirtualBox. Естественно, за это нужно заплатить хостеру.

Теперь переходим к сети и выходу в интернет. Использование модема с одноразовой сим-картой, открытые точки доступа в общественных местах, и шифрование трафика. Модем с сим-картой это самый лучший способ, если ориентироваться на цена = качество. Естественно, и модем и симка должны быть оформлены не на себя. В зависимости от черноты работы, периодически меняем и модем и симкарту. Так делают не все, но такой метод используется и он до сих пор популярен.

Открытые точки доступа. Это тот самый бесплатный вай фай в общественных заведениях. Важно! При использовании таких точек доступа всегда используйте VPN, ибо такие сети никогда не защищены. Если требуется активация по СМС, то в помощь придут сайты типа sms-activate.ru, пополняем баланс криптой.

Ну и маскировка трафика. Это комбинации VPN, SSH-Tunnel, VPS/VDS, Tor, Proxy. Таких разных комбинаций сотни, каждый делает по-своему, но я вам объясню как работают основные нужные нам вещи, а сами комбинации делаете по своим предпочтениям и возможностям.

Не забывайте, что с каждым звеном в цепи падает скорость поступления пакетов данных. Если проще, то скорость интернета будет не для просмотра 4К видео на ютуб. Но мы это делаем для работы, а не развлечений. Кстати, для безопасного просмотра ютуб видео, без рекламы и прочего, рекомендую пользоваться утилитой youtube-dl. Позволяет скачивать видео, как с ютуб, так и с кучи других ресурсов. Поставить можно куда угодно.

Идём дальше...

VPN - создан не для анонимизации, а для безопасности. VPN передает и принимает зашифрованный трафик с помощью одного или более узлов, которые располагаются на серверах разных стран и компаний. Но передача зашифрованного трафика не дает никакой анонимности. Суть лишь в том, что твой трафик нельзя расшифровать при перехвате, вот и всё. Но если к твоему поставщику VPN обратятся конкретные органы, все необходимые данные они предоставят, вне зависимости от их политики. Поэтому я рекомендую использовать собственный VPN. Инструкцию по настройке я представлю на канале, в котором вы получили пароль для этой лекции.

Что говорить о сервисах, которые предоставляют услуги ВПН и кричат во все горло о неведении логов или защиты Швейцарскими законами персональных данных. Если они не ведут логи с впна, то логи транзакций, вашей учетной записи никто не отменял. Мне кажется, что большинство забывают именно об этой составляющей. (Именно поэтому при оплате своего VPN'а стоит использовать крипту или левый кошелек)

Стал ли плох ВПН для вас что он на самом деле не дает анонимности? Нет, не стал.

Он выполняет свою, нужную нам роль - безопасность. А это далеко не менее важная часть для пути к анонимности. Ведь Анонимность и Безопасность неотъемлемые составляющие. Чтобы на данном этапе всё и не закончилось, существует наш любимый Tor. Тут вы подумаете, что можно вполне обойтись одним Тором, но как бы не так.

Несмотря на то, что каждый из узлов-ретрансляторов (нод) шифрует ваши данные, конечная точка соединения на последней ноде может быть незащищенной, если нужный сайт не использует протокол SSL, то нельзя убедится в надежности выходной ноды, а значит нельзя отрицать, что незащищенные соединения не будут перехвачены. Такие ноды могут поднимать не только злоумышленники, но и спецслужбы вашей страны. Это впринципе не сложно. Проще говоря: подключаясь к ТОР, мы проходим маршрут из нескольких узлов, и если последний узел, который и дает нам конечный IP адрес, будет поднят злоумышленником, то незащищенный трафик будет перехвачен. И если при использовании TOR, после открытия какого-то ресурса, вы вдруг столкнулись с окном подтверждения сертификата, то не в коем случае не нажимайте "Доверять". Это попытка пропихнуть тебе свой сертификат, и если вы его примете, то ваш трафик будет перехвачен.

Так же мы знаем, что сам Тор разрабатывался ВМС США изначально для своих сотрудников. В итоге, он попал в открытый доступ и использовать его может каждый. В частности и киберпреступники.

Поэтому система слежения в интернете за гражданами во многих стран устроена так, что если провайдер фиксирует факт использования Тора, то за этим гражданином начинается вестись усиленная слежка. И как раз, чтобы провайдер этого не обнаружил, мы и используем VPN перед запуском Тора.

Как вы видите, по отдельности инструменты не дают той надежности, какой бы хотелось. У каждого есть свои недостатки и бреши. Но если вы создадите правильную комбинацию этих технологий, вы покроете недостатки одной технологии преимуществом других, что в итоге даст великолепный результат. Главное - после настройки, поддерживать эту систему в стабильности.

По итогу, что же нужно для анонимности и безопасности?

Сперва необходимо научиться создавать социальную безопасность и понимать психологию человека
Разобраться с аппартной частью компьютера и выбрать свой вектор решения этого вопроса
Создать свою цепочку анонимизации и защиты трафика с помощью определенных инструментов
Глубже изучить техническую часть, для большей компетентности

А теперь перейдем к практической части нашей лекции.

Практическая часть

По поводу выбора операционной системы. Я рекомендую вам переходить для работы на Linux Mint (для начала). Да, вам придется осваивать терминал, но это совершенно не сложно, на своём опыте вы поймете, что знать сотни команд для комфортной работы с линукс не нужно. Более того, идеально если у вас будет две машины - одна для легального образа жизни (с той же виндой), а вторая исключительно под работу с Линукс.

Начнем с базовой связки, которая отлично работает и является очень простой, но защищенной, что отлично подходит для новичков и дальнейшей работы.

Это связка: VPN + TOR + SSH-Тунель.

В чем её суть: Мы подключаемся к VPN, обеспечивая безопасность и шифрование трафика, а так же не даем понять провайдеру, что дальше у нас будет идти Tor. После Tor соединения, мы воспользуемся SSH-Тунелем.

Зачем нам SSH-Тунель на выходе?

1. К нас получился чистый IP, без ввода постоянных капч и посещаемый ресурс не знает что ты за Tor. Таким образом факт использования анонимайзеров не будет выявляться, что и необходимо добиться.

2. Теперь мы не боимся выходного узла Tor, потому что весь трафик шифруется.

Если вы будете посещать сайты с SSL сертификатами, то можно SSH-Тунель заменить на Proxy. Не забывайте, что нужно менять как ссш, так и прокси. Чем чаще тем лучше. Что прокси, что ssh-тунели можно приобрести в интернете, обратясь к гуглу. Конкретные ресурсы рекомендовать тут смысла нет.

Теперь перейдем к защите информации. Для защиты крайне важной и конфиденциальной информации рекомендуется использовать связку: флешка Kingston DataTraveler 2000 32GB + CryFS.

Для шифрования файлов я рекомендую использовать CryFS. Как вытекает из названия это подобие виртуальной файловой системы с шифрованием. CryFS позволяет скрыть размеры хранимых данных, метаданные, имена и структуру каталогов. При этом, в отличии от VeraCrypt, ему не нужно заранее указывать размер контейнера.

Следующе, что нам необходимо защитить - это пароли и общение. Пароли мы будем хранить с помощью KeePassXC. Это менеджер паролей, доступ к которому вы можете сделать с помощью ключа и мастер-пароля. То есть вам не нужно будет запоминать десятки разных паролей, вам достаточно будет запомнить один хороший пароль, чтобы получить доступ к остальным. Но опять же, настоятельно рекомендую сменить все одинаковые пароли на учетках на устойчивые. Запомните! Ваши пароли регулярно сливаются, происходит масса утечек. И если ваш пароль подходит к другим ресурсам, то желаю удачи)

Все говорят об этом, и это настолько простое действие к выполнению, но до сих пор люди ставят дату рождения и пару букв на страже защиты своих персональных данных.

Для общения используем Jabber, можно зарегать учетку на сервере https://thesecure.biz/

Клиент для Jabber - PSI+ это для более серьезных сфер деятельности. Для средних подходит просто телеграмм.

И последнее: это настройка браузера Firefox.

Вам необходимо выпилить все трекеры, которые могут следить за вашими действиями, как это сделать вы можете прочесть на канале лекции в Телеграм. Я сброшу инструкцию.

А по поводу "Какие расширения устанавливать? " Это: NoScript, uBlock Origin, HTTPS Everywhere и Ghostery. И чем меньше расширений, тем лучше. Они так же могут вас деанонимизировать. Также отключим WebRTC. Опасность WebRTC заключается в том, что можно узнать ваш IP даже за использованием VPN. Все настройки конфига в Firefox открываются с помощью команды about:config. Далее ищем media.peerconnection.enabled и выключаем (FALSE)

Запомните, вы - самый главный эшелон защиты, и если вы не будете прежде всего уделять достаточного внимания своей социальной безопасности, все ваши связки, софты и наработки бесполезны!

Не важно, сколько эшелонов технической защиты вы создали вокруг себя, одно без другого не работает. Анонимность и безопасность - это комплекс мер, это неотделимая совокупность методик, которые дают отличную защиту вместе, и абсолютно никакую раздельно.

Выполните все, что я сегодня вас дал, прочитайте еще раз про социальную гигиену. Перестаньте думать "и так сойдет". Даже если вы не приступили к работе, то начинайте думать заранее о своем будущем. Потому что когда вы наконец начнете зарабатывать, ваша привычка "и так сойдет" останется вместе с вами.

Я надеюсь, что все вы подчерпнули для себя интересное за сегодня и поняли. куда стоит копать и где находятся пробелы в знаниях. Если вы - новичок, то поздравляю, вы стали подкованней более, чем 90% жителей планеты.

Ну а если вам интересно разбираться во всей технической составляющей, то поздравляю - вы будущий самородок.

Я уверен, что у вас всё получится.

Завтра и послезавтра ждите такие темы как: KeePas и Поднятие собственного VPN.