Грамадзкіх актывістаў паводле стаўленьня да інфармацыйнай бясьпекі можна падзяліць на дзьве катэгорыі. Першая – тыя, хто посьціць у сацсеткі ледзь ня кожны свой крок, не грэбуе тэстамі “Кім ты быў у мінулым жыцьці”, бо ўпэўненыя, што як не шыфруйся, калі камусьці будзе вельмі патрэбна, яны ўсё роўна дакапаюцца да кампрамату. Другая – адмыслоўцы кансьпіралёгіі, тыя, хто амаль маніакальна шыфруе ўсе свае дадзеныя, блытае сьляды анлайнавай актыўнасьці.
Для тых і другіх мы разам з экспэртам Ільлём П. зрабілі топ-10 парадаў па інфармацыйнай бясьпецы для актывістаў і ўсіх, хто ня хоча дзяліцца прыватнай інфармацыяй ані з пакрыўджанымі партнэрамі, ані з рознымі органамі і зламысьнікамі.
1. Выкарыстоўвайце надзейныя паролі
‒ Надзейнасьць паролю ‒ паняцьце адноснае. Кожны год магутнасьці вылічальнай тэхнікі павялічваюцца і ўзламваць паролі становіцца ўсё прасьцей. Калі некалькі гадоў таму надзейным лічыўся пароль з васьмі сымбаляў, то сёньня – гэта як мінімум дзесяць і нават дванаццаць сымбаляў. Непажадана выкарыстоўваць у паролі словы, якія ёсць у слоўніках – banаna, monkey, password ды іншую папсу. І нават калі мы думаем, што мы самыя разумныя і, калі напішам кірылічнае слова, пераключыўшыся на лацінскую раскладку, то ніхто не здагадаецца, то я вымушаны вас расчараваць, такія паролі таксама ёсьць у адмысловых слоўніках у інтэрнэце. І калі злаўмысьнікі будуць падбіраць ваш пароль, яны у першую чаргу будуць выкарыстоўваць гэтыя слоўнікі. Надзейны пароль сёньня ‒ гэта спалучэньне вялікіх і маленькіх літараў, лічбаў і спэцсымбаляў (напрыклад, /#&@%).
Калі выбіраць паміж графічным паролем для смартфону, пін-кодам, што складаецца зь лічбаў, і паролем, што ўводзіцца з дапамогай клавіатуры, то тут таксама перавага на баку апошняга, бо менавіта яго узламаць найскладаней. Зьвязана гэта з істотна большай колькасьцю магчымых варыянтаў пароля за кошт набора разнастайных сымбаляў.
Для таго, каб не запамінаць шмат пароляў і для зручнасці ўвогуле ўсё ж лепш выкарыстоўваць мэнэджэр пароляў кшталту KeePassXC альбо LastPass. Гэта праграма, альбо сэрвіс, якія захоўваюць сьпіс пароляў для розных старонак ды акаўнтаў, атрымаць доступ да якіх можна, увёўшы майстар-пароль (галоўны пароль). Мэнэджэр пароляў можа гэнэраваць паролі даўжынёй і 30 і 100 сымбаляў, то бок паролі, якія немагчыма падабраць. І гэтыя паролі захоўваюцца ў зашыфраваным файле. Там гэтых пароляў могуць быць дзясяткі-сотні, і мы іх адтуль проста капіюем.
2. Шыфруйце прылады
‒ На смартфоне захоўваецца шмат прыватнай інфармацыі ‒ фотаздымкі, кантакты, кэш праграмаў, якімі мы карыстаемся. Пры жаданьні можна выцягнуць нават паролі ад сацсетак, і калі прылада незашыфраваная, то ўсе гэтыя файлы можна пабачыць, падлучыўшы яе да кампутару. Але, калі казаць пра іPhone, то там усе прылады, пачынаючы з 5S, зашыфраваныя па змоўчаньні. То бок, калі дэвайс з заблякаваным экранам трапляе да злаўмысьнікаў, і тыя падлучаюць яго да кампутару, то кампутар ня зможа выцягнуць інфармацыю зь яго, пакуль ня будзе ўведзены пароль. Плюс дэвайсы Apple запраграмаваныя выдаляць усю асабістую інфармацыю з памяці, калі пароль будзе ўведзены няправільна больш за 10 разоў запар.
Калі мы кажам пра Android, то тут усё інакш: сытуацыя з гэтай плятформай падобная на заапарк, бо кожны вытворца смартфонаў апэрацыйную сыстэму падмайстроўвае пад сябе. І некаторыя вытворцы (у першую чаргу кітайскія) ставяць на смартфоны такое жалеза, якое пасьля шыфраваньня пачынае працаваць вельмі павольна. Таму ім прыходзіцца выдаляць са сваіх смартфонаў функцыю шыфраваньня, каб тыя працавалі хутчэй. Апошнім часам гэтая сытуацыя паляпшаецца, і смартфоны становяцца ўсё больш “мазгавітымі”, а магчымасьць уключыць функцыю шыфраваньня зьяўляецца амаль на ўсіх смартфонах. Але, калі ў вас самая танная мадэль, то хутчэй за ўсё функцыя шыфраваньня выдаленая яшчэ на заводзе. Калі ж яна засталася, то варта яе ўключыць.
Шыфраваньне – гэта аднаразовы працэс, які цягнецца прыкладна ад некалькіх хвілінаў, да некалькіх гадзінаў, у залежнасьці ад вашага дэвайсу, таму перад шыфраваньнем смартфон трэба падсілкаваць, каб той не вырубіўся. Цікава, што ў некаторых мадэлях Android смартфонаў немагчыма зашыфраваць дэвайс, які мае графічны пароль, бо прылада лічыць гэты спосаб блякаваньня экрану ненадзейным. Калі мы зашыфравалі дэвайс, гэта азначае: нават калі наш смартфон згубіцца, выключыцца ці проста будзе ляжаць з заблякаваным экранам, то нават падлучыўшы яго да кампутара, ніякай інфармацыі зь яго не выцягнеш.
3. Карыстайцеся мэсэнджэрамі, якія шыфруюць вашу камунікацыю
Выбар бясьпечнага мэсэнджэра залежыць ад таго, дзе геаграфічна знаходзіцца магчымая пагроза. Напрыклад, калі мы хаваемся ад ФБР, то ня варта карыстацца мэсэнджэрамі, сэрвэры якіх фізычна знаходзяцца ў ЗША. Таму ў Беларусі больш небясьпечна карыстацца, напрыклад, Viber, бо сама іх лакацыя тут.
Дарэчы, прэтэнзіяў да Viber у мяне няма, бо ён цалкам шыфруе ўвесь трафік і ня можа прачытаць нашыя паведамленьні. Аднак, як і любы мэсэнджэр, ён зьбірае пэўную інфармацыю пра нас: фіксуе зь кім і як часта мы размаўляем і ведае, які аб’ём трафіку паміж намі. Наогул для мяне самыя бясьпечныя мэсэнджэры –WhatsApp, Signal, Telegram. Мэсэнджэр Telegram мае сакрэтныя чаты, якія шыфруюцца па іх уласным пратаколе. WhatsApp жа належыць Facebook і тэхналёгію шыфраваньня ён набыў у Signal (гэта па сутнасьці мэсэнджэр, які ўвёў моду на шыфраваньне). Дарэчы, Signal прадаў сваю тэхналёгію таксама і Skype, дзе ёсць як звычайныя, так і сакрэтныя чаты. Skype і Gmail чытае нашыя паведамленьні, дакладней, іх чытаюць робаты, каб ведаць, якую рэкляму нам падсунуць. І з гэтым нічога ня зробіш, проста варта прыняць гэта як факт.
4. Выстаўляйце таймэр жыцьця паведамленьняў, якія могуць вас скампрамэтаваць
Viber, Signal i сакрэтныя чаты Telegram маюць такую дадатковую магчымасьць, як усталёўка таймэру жыцьця для паведамленьняў у канкрэтным чаце. То бок яны дазваляюць усталёўваць час жыцьця паведамленьняў ня толькі ў нас, але і ў суразмоўцы. І ў нас таймэр пачынае цікаць з таго моманту, калі паведамленьне было дасланае, а ў суразмоўцы – з моманту, калі ён гэтае паведамленьне прачытае ўпершыню. І, калі ў нас няма жаданьня, каб нехта пабачыў нашыя паведамленьні ці перачытаў перапіску, то гэта вельмі карысная функцыя.
Бо мы ня можам ведаць, наколькі абаронены смартфон суразмоўцы. Час жыцьця пасьць і ў Facebook Messenger, але толькі ў вэрсіі для смартфонаў, бо там прысутнічае магчымасьць пачаць з суразмоўцам “сакрэтны чат” (secret conversation). WhatsApp – адзін з самых папулярных мэсэнджэраў у сьвеце, але там няма таймэру жыцьця паведамленьняў. Але ў вас ёсьць 7 хвілінаў на выдаленьне паведамленьня ва ўсіх суразмоўцаў, як толькі гэты час скончыцца, вашае паведамленьне можа быць выдалена толькі з вашага дэвайсу і застанецца ў суразмоўцы.
5. Спампоўвайце дадаткі толькі ў афіцыйных крамах
З iPhone сытуацыя крыху прасьцейшая, чым з Android, бо ў большасьці выпадкаў усталяваць прылады не з App Store на дэвайсы ад Apple немагчыма. Сыстэма не дазволіць. А вось на Android пры жаданьні можна ўсталёўваць дадаткі з розных крыніцаў. Першы варыянт ‒ Google Play, афіцыйная крама дадаткаў накшталт App Store. І нібыта дадаткі ў гэтай краме правяраюцца, але пэрыядычна выяўляюцца праблемы з тым, што дадатак акрамя сваёй агучанай функцыі мае у сабе вірусы, праграмы сачэньня. Таксама злаўмысьнікі, якія ўключылі ў код дадатка неанансаваныя функцыі, могуць выкарыстоўваць вылічальную магутнасьць вашага смартфону, напрыклад, для майнінга крыптавалюты.
Другі варыянт ўсталёўкі дадаткаў на Android ‒ спампоўваць іх асобнымі файламі з адпаведных рэсурсаў і потым ўсталёўваць іх, як гэта звычайна робіцца з кампутарнымі праграмамі. Такія файлы звычайна маюць пашырэньне .apk і звычайна зьяўляюцца на форумах зь пірацкім софтам. На такіх форумах карыстальнікі звычайна шукаюць платныя дадаткі, якія можна атрымаць бясплатна. То бок нехта гэтыя праграмы ламае і выкладае, але тут варта задумацца – навошта ім гэта рабіць. Існуе верагоднасьць, што ў такія праграмы ўбудаваны, напрыклад, траян ‒ вірус, які дае доступ да смартфону іншым асобам. Яны самі гэтым доступам нават могуць і не карыстацца, яны прададуць магчымасьць падглядаць за намі ў даркнэце. Таксама зламысьнікі, што атрымалі доступ да нашага смартфону, могуць бачыць нашыя фотаздымкі, дакумэнты альбо карыстацца нашым дэвайсам у сваіх мэтах.
6. Cачыце за тым, якія дазволы патрабуе дадатак для смартфону падчас усталёўкі
Бывае такое, што вы спампоўваеце найпрасьцейшы дадатак ‒ ліхтарык, напрыклад. А той ў працэсе ўсталёўкі просіць доступ да камэры, кантактаў ці яшчэ нейкіх няпрофільных функцыяў. Такі дадатак лепш не ўсталёўваць.
7. Усталёўвайце антывірус у тым ліку і на смартфон
З павелічэньнем рынку смартфонаў становіцца ўсё больш вірусаў, напісаных пад іх. Адпаведна – гэта добры варыянт для злаўмысьнікаў атрымаць прыбытак. Таму, мець антывірус на смартфоне гэтак жа натуральна, як і на кампутары. Калі вы ня хочаце ўсталёўваць платныя праграмы, то можна паставіць, напрыклад, Avast Mobile Security.
На некаторых смартфонах на Android таксама ёсьць убудаваны антывірус, але я ўсё ж такі раю дадаткова спампаваць хаця б бясплатны зьнешні антывірус. Наогул зразумець, што ў смартфоне верагодна зьявіўся вірус, можна, але дастаткова складана. Калі прылада, напрыклад, пачынае паводзіць сябе неадэкватна ‒ перазагружаецца, уключае дадаткі і г.д., то варта прасканаваць яе антывірусам. Але, калі мы трапілі ў так званую першую хвалю (гэта калі вірус сьвежы і антывірус яшчэ ня мае дадзеных пра яго), то, лічы, не пашанцавала. Бо ў першыя гадзіны, дні існаваньня вірусу нават самы прасунуты антывірус пра яго ня ведае. Адсюль толькі адна парада – не націскаць на незразумелыя карцінкі, не клікаць на банэры на ненадзейных сайтах.
8. Сёрфіце праз VPN
Тут трэба разумець, як працуе інтэрнэт-падлучэньне. Калі мы выходзім ў інтэрнэт, то наш кампутар – гэта кропка А, а сайт – кропка B. І паміж намі няма ніякіх пасярэднікаў. Наш інтэрнэт-правайдар бачыць гэта падлучэньне. Калі правайдэр заблякаваў сайт – кропку B, то мы на гэты сайт трапіць ня можам. VPN – гэта пасярэднік, кропка С. І гэтая кропка найчасьцей знаходзіцца ў іншай краіне, дзе забароны няма.
Атрымоўваецца, што праз зашыфраваны VPN тунэль мы налажваем злучэньне да кропкі С і ўжо праз пасярэдніка бачым патрэбную інфармацыю з кропкі В. І наш інтэрнэт-правайдар ня бачыць, што мы былі ў кропцы В. Калі гэта важна? Калі мы ходзім на сайты, пра якія мы ня хочам, каб ведаў наш правайдар, і калі мы ня можам наўпрост трапіць на сайт. VPN папулярны, бо блакіровак усё больш, да таго ж людзі ўсё больш дбаюць пра прыватнасьць. Прычым дбаюць не таму, што робяць нешта дрэннае, а таму што гэта прынцып.
Плюс у Беларусі для фізічных асобаў існуе адміністратыўная адказнасьць за распаўсюд нелегальнага кантэнту. То бок, калі ў нас запушчаная праграма Torrent кліент, якая спампоўвае і раздае нейкую інфармацыю (сэрыялы, праграмы неліцэнзійныя), то для нас можа наступіць адміністратыўная адказнасьць. Калі мы карыстаемся якасным платным VPN, то правайдэр бачыць толькі факт абмену трафікам паміж намі і VPN сэрвэрам. Але канал сувязі зашыфраваны і пабачыць, куды мы далей трапляем, правайдэр ня можа. Платны VPN каштуе ня вельмі дорага (каля 3 даляраў на месяц). Ёсьць і бяплатныя VPN, якія таксама працуюць нядрэнна, але маюць абмежаваньне па аб’еме трафіку, які мы можам “прыхаваць”. Напрыклад, Tunnelbear, Psiphon – ён якраз платны, сюды не падыходзіць, а таксама адмысловае пашырэньне Browsec для Google Chrome.
9. Карыстайцеся двухфактарнай аўтарызацыяй
Двухфактарная аўтарызацыя – гэта сыстэма, якая патрабуе ад нас як ад карыстальніка прадастаўленьня двух фактараў, каб давесьці, што гэта менавіта мы ўваходзім на сайт, у сацсеткі і г.д. Першы фактар – пароль, а другі звычайна – наш смартфон.Спосабаў давесьці, што гэта рэальна мы на другім этапе, некалькі: а) да нас можа прыходзіць смс; б) у спэцыяльнай праграме гэнэруецца адмысловы код, які працуе 30 сэкундаў (напрыклад, Google Authenticator; в) на смартфоне трэба націснуць на спэцыяльна сфармаваную кнопку ў дыялёгавым вакенцы ці выкарыстаць нейкую крыптаграфічную магію, каб давесьці, што гэта мы зараз трымаем смартфон; г) ёсьць адмысловыя прылады, якія выглядаюць, як флэшка, і якія дазваляюць карыстальніку ўваходзіць на сайты, калі гэтыя прылады падлучаныя да кампутара. Навошта гэта патрэбна? Паролі людзі запісваюць на паперках, іх можна падгледзець, яны бываюць ненадзейныя, таму наяўнасьці аднаго паролю сёньня ўжо недастаткова.
Самым ненадзейным варыянтам другога фактару двухфактарнай аўтарызацыі зьяўляецца ў Беларусі атрыманьне смскі, бо тут сілавікі ды іншыя маюць доступ да дадзеных мабільных апэратараў, а значыць, яны могуць прачытаць любыя смскі.
10. З асцярожнасьцю падлучайцеся да публічнага Wi-Fi
Калі мы карыстаемся бясплатным публічным інтэрнэтам, мы згаджаемся на ўмовы таго, хто нам гэты доступ прадастаўляе. Некаторыя кампаніі зарабляюць на бясплатных сетках, паказваючы нам сваю рэкляму, але ня ўсе.
Праблема ў іншым, у Беларусі ўсе карыстальнікі інтэрнэту павінны быць ідэнтыфікаваныя паводле закону. Ідэнтыфікаваць нас абавязкова і кампаніям, якія прадастаўляюць доступ у публічны інтэрнэт. Прасьцей за ўсё гэта зрабіць праз нумар тэлефону. Таму звычайна яго і патрабуюць увесьці для атрыманьня коду доступу, бо тэлефон звычайна прывязаны да пашпарту. Калі мы аўтарызаваліся, адміністратар сеткі бачыць, на якія сайты мы заходзілі, колькі там праводзілі часу, а гэта прыватная інфармацыя, і мы ня ведаем, як яна будзе выкарыстаная.
Ільля П, Ганна Нежавец, фота — unsplash.com.
