card-swipe-660x462

Как работают RAM-скрейперы: какими средствами в последнее время взламываются кредитные карты

Недавно появились сообщения об очередном похищении данных кредитных из крупных супермаркетов, на этот раз из Albertson’s и Supervalu, продуктовых сетей на западе Америки.

Это похищение – продолжение серии похищений данных из сетей гипермаркетов Target и Home Depot. Все они имеют одну общую черту – инструмент, которым хакеры воспользовались для кражи данных платёжных карт.

В хакерском мире каждый вредоносный инструмент проходит свой период расцвета – то время, когда он царит подпольных форумах и в заголовках СМИ и угрожает не оставить от компьютерной безопасности камня на камне.

Вирусы и черви уже миновали этот период, и трояны удалённого доступа, которые открывают хакеру тайный бэкдор в заражённую систему – тоже. Теперь первые позиции в новостях занимают RAM-скрейперы.

Взломщики тайно установили эти RAM-скрейперы в системы платёжных терминалов, используемых для сканирования и обработки кредитных и дебетовых карт в процессе оплаты товара в Albertson’s и Supervalu. Этот инструмент позволяет похищать номера карт миллионами, поскольку они проходят через систему.

RAM-скрейперы – программы, применённые в Target и Home Depot и принёсшие хакерам улов в более чем 100 миллионов банковских карт – появились не сегодня. VISA ещё в 2008 г. предупреждала о них розничные торговые сети. Но с тех пор они становятся всё более изощрёнными и эффективными в деле похищения данных платёжных карт. А ещё они получили более широкое распространение в качестве базовых наборов для сборки – начиная со стартовых модулей, легко настраиваемых из меню функций – что сделало скрейперы доступными широким массам хакеров. Нужно добыть что-нибудь из сети вашей жертвы на сервере в Минске? Запросто. Нужно готовое решение для управления командно-контрольным сервером в Мумбаи? И с этим программа тоже справляется.

RAM-скрейпер можно удалённо внедрить в сеть гипермаркета, после чего он расползётся по десяткам магазинов этой франшизы.

На чёрном рынке в настоящее время продаётся больше десятка видов RAM-скрейперов. Dexter, Soraya, ChewBacca, BlackPOS – вот лишь несколько из них. Последний получил известность из-за главной роли в похищении данных из Target в прошлом году. Хотя все RAM-скрейперы действуют примерно одинаково, у каждого есть специфические функции, позволяющие отличить их, как написано в недавнем докладе TrendMicro (.pdf) об этих инструментах.

supervalu-660x426

Supervalu и Albertson’s – крупнейшие сети гипермаркетов, в которых произошло хищение данных платёжных карт.

Например, скрейпер Dexter поставляется с клавиатурным шпионом в дополнение к коду кражи данных карт, так что злоумышленники могут заодно украсть ценные логи, учётные данные и приватную информацию. ChewBacca открывает из сети жертвы соединение Tor, чтобы тайком сливать украденные данные на командный сервер хакера, который базируется на скрытых сервисах Tor.

RAM-скрейперы – не единственный инструмент для кражи данных карт. По-прежнему широко популярны скиммеры, которые устанавливаются на карт-ридеры в банкоматах, автозаправочных станциях и других платёжных терминалах для перехвата данных карты и PIN-кода. Но для их применения взломщику требуется физический доступ к считывающему устройству для установки и снятия приспособления, что повышает риск поимки взломщика или его сообщников. В отличие от них, RAM-скрейпер может быть удалённо внедрён в сеть крупного гипермаркета, после чего он расползётся по десяткам магазинов этой франшизы – при этом хакеру даже не придётся вставать из-за своего компьютера. Так же удалённо его можно и стереть, чтобы убрать улики.

Эксперты по безопасности впервые обратили внимание на RAM-скрейперы в конце 2007 года после установления стандартов, известных как Стандарт безопасности данных платёжных приложений, предназначенных для считывания карт. Стандартом запрещалась распространённая в то время практика хранения данных кредитных карт на платёжных терминалах после завершения операции оплаты. Новый стандарт, в сочетании с другими изменениями в магазинах, которые ввели более защищённую передачу данных с карты, вынудил хакеров искать альтернативные способы, позволяющие перехватить данные до того как они будут стёрты. Таким способом оказалось оперативное запоминающее устройство в платёжном терминале.

Давайте рассмотрим, как работают системы считывания карт и скрейперы.

 

Как происходит транзакция по карте

Для обработки оплаты, производимой с помощью кредитных и дебетовых карт, небольшие рестораны и розничные торговцы пользуются услугами обработчика карт – сторонней компании, например, Heartland Payment Systems, которая получает данные карты от компаний розничной торговли и пересылает их в нужный банк для авторизации. Однако крупные торговые и продуктовые сети, которые проводят много операций по картам, могут сами для себя выступать в качестве обработчика карт. В этом случае данные оплаты по карте от каждого магазина сети пересылаются на центральный процессор в корпоративной сети, где накапливаются и направляются в соответствующую инстанцию для авторизации.

Любой бизнес, который позволяет клиентам оплачивать с помощью кредитной или дебетовой карты, также обязан соблюдать другой набор стандартов, известных как стандарты безопасности PCI. Разработанные крупнейшими участниками индустрии платёжных карт – VISA, Mastercard, Discover, American Express и JCB International, — эти стандарты требуют от компаний обязательного шифрования данных кредитных и дебетовых карт при их хранении в сети компании или пересылке по интернету. Стандарты не требуют от компаний шифрования данных карты для пересылки по собственной сети компании или отправки внешней компании-обработчику, пока данные передаются по частной сети. Но умные компании шифруют эти данные даже при пересылке по внутренним каналам, чтобы предотвратить доступ взломщиков к данным внутренней сети во время их пересылки.

Но даже тогда, когда компании шифрует данные в своей внутренней сети, существуют моменты, когда данные карточки подвергаются риску. Это краткий период, когда считанные с карты номер счёта и сопутствующие данные после считывания находятся в памяти платёжного терминала в незашифрованном виде, а система определяет, куда их переслать для авторизации. Вот тут в дело и вступают RAM-скрейперы.

 

Заражение системы платёжных терминалов

Проникновение RAM-скрейпера в систему платёжного терминала может оказаться непростым делом. В некоторых случаях киберпреступники заражают систему посредством фишинг-атаки, которая подсовывает сотруднику торговой сети заражённый файл или сайт, через который вредоносная программа скрытно устанавливается в систему. Оказавшись внутри компьютера сотрудника, а затем и внутри корпоративной сети, взломщики могут получить доступ к платёжной сети, слить учётные данные администратора, которые дадут им доступ к намеченной сети.

В некоторых случаях вредоносная программа устанавливается с помощью инсайдера или через незащищённый бэкдор, как в случае взлома ресторанов Jimmy John’s. Нечто подобное произошло и в случае Target, когда взломщики проникли в корпоративную сеть посредством учётных данных, используемых службами отопления и кондиционирования воздуха, которые имели доступ к части сети Target для выставления счетов. Оттуда взломщики нашли лазейку в платёжную сеть и установили скрейпер.

RAM-скрейперы применяют разные приёмы, чтобы скрыть своё присутствие в системе и предотвратить своё обнаружение. Некоторые для уменьшения оставляемых ими следов и затруднения обнаружения их кода с помощью антивирусов используют архиваторы. Некоторые встраиваются в уже существующие процессы, работающие в сети, так что их вредоносная активность маскируется легальной активностью другого процесса.

За шесть месяцев до взлома компания установила систему обнаружения вредоносных программ стоимостью $ 1,6 млн, которая работала, как и предполагалось, и адресовала несколько предупреждений сотрудникам службы безопасности Target, которые их благополучно проигнорировали.

 

Как работают RAM-скрейперы

Попав в намеченную систему, RAM-скрейперы начинают работу с изучения списка процессов, запущенных в системе, и проверки памяти на предмет наличия данных, которые соответствуют структуре данных кредитных карт: номеру счёта, дате истечения срока и другой информации, хранящейся на магнитной полосе карты. Некоторые скрейперы работают эффективнее других и вылавливают только искомые номера; другие действуют более небрежно и вместе с добычей вылавливают кучу грязи.

Скрейперы обычно шифруют украденные данные и хранят их где-нибудь в сети жертвы, пока взломщики не смогут скачать их удалённо. Или же взломщики могут запрограммировать скрейпер автоматически отправлять зашифрованные данные через Интернет с некоторой периодичностью, пересылая их через несколько прокси-серверов до конечного пункта назначения.

Вот как получили свою добычу взломщики Target. Они проникли в сеть Target 27 ноября прошлого года, накануне Дня благодарения, и за следующие две недели успели скачать уйму незашифрованных данных кредитных и дебетовых карт, прежде чем компания обнаружила их присутствие.

Инструмент BlackPOS, использованный для взлома, может пересылать украденные данные на FTP-сервер, однако встроенный в него почтовый клиент может отправлять информацию по электронной почте. При взломе Target украденные данные хранились в захваченной системе в текстовом файле, каждые семь часов копировались на заражённый сервер той же сети и пересылались на удаленный FTP-сервер за её пределами. Сливаемые партии данных в этом случае можно было обнаружить применением нужных средств в нужном месте – именно так их и обнаружили. За полгода до взлома компания установила систему обнаружения вредоносных программ стоимостью $ 1,6 млн, которая работала, как и предполагалось, когда взломщикам всё же удалось проникнуть в сеть. Компания также адресовала несколько предупреждений сотрудникам службы безопасности – но служба безопасности не приняла их к сведению.

Учитывая впечатляющий успех RAM-скрейперов в краже данных даже из крупнейших розничных сетей, может создаться впечатление, что противопоставить им нечего. Однако это не так.

RAM-скрейперы окажутся не у дел, если стандарты PCI изменятся таким образом, что станут предписывать компаниям шифровать данные карт прямо на клавиатуре, то есть на этапе ввода PIN-кода – с момента его набора на клавиатуре и до момента прибытия данных к банковскому эмитенту для авторизации. Данные, идентифицирующие эмитента карты, могут быть расшифрованы после прихода информации на процессор для определения, куда направлять данные для авторизации, но номер карточного счёта и срок действия карты остаются зашифрованными до момента получения информации эмитентом. Однако это потребует разработки новых протоколов передачи данных, так как большинство обработчиков карт в настоящее время не оборудованы приспособлениями для расшифровки данных.

Другим решением может оказаться введение EMV-карт. Также известные как «карты с чипом и PIN-кодом», EMV-карты имеют встроенный микрочип, который удостоверяет её карты в качестве легальной банковской карты, тем самым перекрывая путь распространённому приёму взломщиков: записать украденные данные на пустую карту и использовать её для мошеннических операций. Чип содержит те же данные, которые традиционно хранятся на магнитной полосе карты, а также сертификат, используемый для цифровой подписи каждой транзакции. Даже если взломщику удастся похитить данные карты, он не сможет сгенерировать код, необходимый для транзакции без сертификата. EMV-карты уже широко распространены в Европе и Канаде, но в США пока распространяются медленно. Чтобы вынудить американские компании поторопиться с установкой считывателей карт, необходимых для надёжной обработки EMV-карт, VISA объявила крайний срок 1 октября 2015 года. После этого срока любая компания, у которой нет считывателей EMV-карт, может понести ответственность за мошеннические операции, проделанные с похищенными у неё данными карт.

Третий способ решения проблемы RAM-скрейперов – Apple Pay. Если новая система мобильных платежей Apple получит широкое распространение, это может резко сократить количество карт, отсканированных и обработанных традиционным способом, тем самым ограничив количество данных карт, уязвимых для скрейперов. Apple Pay хранит данные карты в расчётной книжке в iPhone и представляет продавцу только идентификатор устройства и одноразовый код транзакции для авторизации платежа, тем самым не пересылая продавцу номер карты. Да, взломщики всё ещё могут перехватить номер карты – но для этого им понадобится получить доступ к самому мобильному устройству. Но с каждого iPhone им удастся добыть один, максимум два номера карт – тогда как скрейперы ставят под угрозу миллионы номеров.

index

Противодействия вирусу, заражающему USB-устройства, до сих пор не найдено

thumbdrive1-660x447

Прошло всего два месяца с момента, когда исследователь Карстен Нол продемонстрировал атаку, которую он назвал BadUSB, на популярной конференции по безопасности Black Hat в Лас-Вегасе, продемонстрировав, что в любое USB-устройство можно внедрить незаметное вредоносное ПО. Учитывая серьёзность этой проблемы и отсутствие лёгкого патча, Нол не пускает написанный им код в широкое использование, чтобы избежать распространения хакерских атак. Однако по крайней мере двое из коллег Нола не намерены ждать дольше.

В докладе на хакерской конференции Derbycon в Луисвилле, Кентукки на прошлой неделе исследователи Адам Кодилл и Брэндон Уилсон продемонстрировали разработанную ими программу того же рода, что и у Нола, и воспроизвели некоторые из приёмов BadUSB. Однако, в отличие от Нола, эти хакеры сразу опубликовали код атаки на Github, тем самым поставив производителей USB-устройств перед выбором: либо решить эту проблему, либо оставить сотни миллионов пользователей уязвимыми.

Устройство за $1200 позволяет кому угодно сделать металлический огнестрел у себя дома
Два независимых исследователя безопасности, которые отказались назвать своего заказчика, сообщили, что обнародование кода USB-атаки позволит испытателям потенциальных угроз использовать его, чтобы убедить клиентов, что USB-устройства в их нынешнем виде практически невозможно защитить. Они также утверждают, что обнародование этого работающего кода – единственный способ заставить производителей USB изменить принципиально уязвимую схему защиты крошечных устройств.

— Если это можно будет исправить, результат будет куда больше, чем просто дискуссия на Black Hat, — сказал Кодилл WIRED в последующем интервью. По его утверждению, способы проникновения на USB-устройства, скорее всего, уже доступны для очень обеспеченных ресурсами государственных спецслужб, таких как АНБ, которые уже могут втайне использовать их. — Если этим способом пользуются важные шишки, производители никогда не станут с ним ничего делать. Наша задача – доказать всему миру, что такая атака доступна буквально для всех. Это заставит производителей признать существование проблемы и принять меры для её решения.

Как и Нол, Кодилл и Уилсон вскрыли прошивку USB-микроконтроллеров проданных тайваньской компанией Phison, которая является одним из лучших мировых производителей USB-устройств. Затем они перепрограммировали прошивку для произведения атаки. В одном случае они продемонстрировали, что зараженное USB-устройство может выдавать себя за клавиатуру для ввода любой буквы, которую взломщик выберет на атакуемом устройстве. Например, если подвергнуть вмешательству прошивку микроконтроллера в Укрсоцбанке, атакующая программа будет храниться в перезаписываемом коде, который управляет основными функциями USB-устройства, а не в его флэш-памяти, и даже удаление всего содержимого его хранения не позволит обнаружить и устранить вирус. Другие приёмы перепрошивки, продемонстрированные Кодиллом и Уилсоном, позволяют скрывать файлы в этой невидимой части кода или просто отключать функцию безопасности USB-устройства, которая защищает паролем определённую часть его памяти.

— Люди смотрят на эти штуки и рассматривают их всего лишь как устройства для хранения информации, — говорит Кодилл. — Они не понимают, что у них в руках перепрограммируемый компьютер.

В предыдущем интервью WIRED, ещё до своего доклада на Black Hat, базировавшийся тогда в Берлине Нол заявил, что не станет обнародовать разработанный им эксплойт-код, потому что считает, что противодействовать BadUSB практически невозможно. (Он, однако, предлагает экспериментально доказать своё утверждение для устройств Android.) По его утверждению, чтобы сделать невозможной перепрошивку USB-устройств, следует полностью переработать их архитектуру безопасности – так, чтобы код на устройстве невозможно было изменить, не подделав подпись производителя. Но он предупредил, что даже если реализация этого метода с подписыванием кода будет начата прямо сейчас, потребуется десять лет или даже больше для того, чтобы исправить существующие недостатки стандартных USB-устройств и изъять из обращения уже выпущенные уязвимые устройства.

— По большей части это невозможно исправить, — сказал тогда Нол. – Однако следует хотя бы попытаться обезопасить USB-устройства до начала этой гонки вооружений.
По словам Кодилла, они с Уилсоном надеются публикацией своего кода начать этот процесс движения к безопасности. Но даже они не решаются обнародовать все возможные атаки против USB устройств. Они разрабатывают другой эксплойт, который может незаметно добавлять вирус в файлы в процессе их копирования с USB-устройства на компьютер.

Кодилл утверждает, что, скрыв функцию инфицирования USB-устройств в этом вирусе, можно быстро распространять вредоносный код через любую флэшку, воткнутую в компьютер, на другие флэшки, подключённые к заражённому устройству. Этот трюк с двусторонним инфицированием потенциально может позволить USB-вирусам распространяться лавинообразно. Кодилл считает, что эта атака может оказаться настолько опасной, что даже они с Уилсоном по-прежнему сомневаются, стоит ли её обнародовать.

— Существует тонкая грань между тем, чтобы дать людям понять простоту какого-то действия, и тем, чтобы действительно это сделать, — говорит он. – Это этическая дилемма, и мы хотим убедиться, что придерживаемся верной стороны.

Найдутся ли почтовые сервисы, удовлетворяющие повышенным пожеланиям к приватности и безопасности?

Я большой сторонник приватности, поэтому при таком списке требований и ограничений поиск нового сервиса электронной почты может оказаться затруднительным. Мой список пожеланий к безопасному сервису электронной почты включает следующие пункты: шифрование, поддержание анонимности, недоступность для лёгкого отслеживания из США, поддержка Tor, бесплатность. Вот такой сервис я и искал.

Иногда люди спрашивают кого-то, почему он хочет оставаться анонимным, словно цитируя бывшего генерального директора Google Эрика Шмидта: «Если у вас есть что-то, о чём вы не хотите, чтобы стало известно – может, этого просто не стоит делать?» В таких случаях мне хочется дать им хорошего пинка. Есть вполне законные основания для некоторого рода запроса идентификации для служб электронной почты, и не все, кто ценит свою приватность и хочет остаться анонимным – спамеры, мошенники или интернет-преступники.

Одно из первых затруднений при создании почтового сервера состоит в ограничении анонимности. Несовместимые с анонимностью процедуры активации являются общими: запрос другой электронной почты для активации аккаунта, или оплата сервиса, привязанная к настоящему имени пользователя. Конечно, можно обойти требования активации, используя другой адрес электронной почты, настроив «скрытые» учётные записи электронной почты (которые на самом деле настоящей анонимности не дают) или с помощью бесплатного сервиса, который позволяет создать временный почтовый аккаунт. Имейте в виду, что если сервис находится на территории Соединенных Штатов, то правоохранительные органы могут узнать ваши данные.

Есть масса временных почтовых служб и других, которые предоставляют бесплатные и теоретически скрытые аккаунты электронной почты: например, Hide My Ass, Dead Address, TempEMail, AnonymBox, Anonymouse, GuerrillaMail, Mailinator – и это лишь часть списка. Send Email заявляет, что не записывает адреса электронной почты или сообщения, чтобы люди могли отправлять анонимные письма. Однако SendAnonymousEmail не скрывает, что занимается этим; если вы посылаете что-то незаконное, ваш IP-адрес будет раскрыт, а вы сами – заблокированы на сайте. NOT Sharing My Info скрывает ваш адрес, но приватности это не обеспечивает, так как ваша информация будет передана правоохранительным органам по первому их требованию. А они могут потребовать – как уже сделали это в отношении сервиса myTrashMail, который вынужден был закрыть сервисы анонимных и фиктивных адресов. TheAnonymousEmail не так уж и анонимен, так как спрашивает у вас имя и платёжный адрес, а Анонимайзер Nyms не бесплатен.

Конечно, вы можете использовать ремейлер, чтобы «спрятаться» за анонимностью, но это несколько утомительно. Я читал, что люди использовали его без шифрования сообщений, но зачем? У сервиса Punk Rocker есть хорошая инструкция по пользованию ремейлерами, поиску и импорту открытых PGP-ключей – а ещё вы можете сходить сюда: http://email.about.com/od/anonymousemail/qt/How_to_Send_an_Anonymous_Email.htm, прочесть инструкцию по объединению двух ремейлеров в одну цепь и зашифровать сообщение.

CounterMail базируется в Швеции, но, как и другие безопасные и анонимные офшорные электронной почты с функцией шифрования – такие как AnonymousSpeech, MuteMail, NeoMailbox, Securenym, TrilightZone – они не бесплатны.

Privat DE Mail – свободный офшорный безопасный сервис, который максимизирует приватность и строго запрещает хранение данных. Для него нужен клиент. «Мы рекомендуем Mozilla Thunderbird, а также плагин Enigmail, благодаря которым ваши письма останутся доступны только вам. Для Enigmail вам также понадобится GnuPG». Если вы храните электронную почту на компьютере – подумайте также о том, чтобы хранить её на TrueCrypt. Как говорится в правилах сайта, «Большинство людей не хотят быть объектами постоянного наблюдения, поэтому Privat DE Mail предлагает решение для защиты приватности электронной переписки». Там также написано, что сервис невозможно использовать для переписки с Израилем, так что я не уверен, что это означает для зарегистрированных в Израиле сервисов, таких как Safe-Mail. Но регистрация на Safe-Mail быстрая, не требует проверки, сервис шифрует сообщения, но предлагает только 3 Мб дискового пространства.

Вот ещё несколько бесплатных почтовых сервисов, которые поддерживают шифрование, совмещаются с Tor и очень рекомендуются тем, для кого важна конфиденциальность и безопасность:
MailVault – быстрый, лёгкий и, похоже, хорошо защищённый. Проверки не требует, предлагает 4 Мб дискового пространства для хранения информации. Фраза-пароль устанавливается с помощью генератора PGP-ключа. Постарайтесь не забыть пароль: за аннулирование старого и генерацию нового с вас возьмут $ 25. Возможно, то, что MailVault считает, что приватность неприкосновенна, и что этот сервис находится в офшоре, повлияли на мою любовь к этому сервису.
Lavabit предлагает два вида свободных зашифрованных почтовых аккаунтов. 128 Мб дискового пространства предоставляется без рекламы, тогда как за 1024 Мб придётся рекламу посмотреть. Регистрация быстрая, лёгкая, подтверждения с другого адреса не требует, однако компания располагается в Техасе, а значит, ваша приватность сохранится лишь до тех пор, пока правительство не захочет приглядеться к вам попристальнее.
RiseUp прямо со вступительного слова заявляет: «У электронной почты есть проблема. Правительство Штатов занимается «потоковым мониторингом» и картографированием ассоциаций, которое позволяет им создать подробную карту, отображающую наши социальные взаимодействия». Хотя Riseup Collective находится в Сиэтле, на странице, рассказывающей о сервисе, говорится: «Мы намерены активно противостоять всем попыткам в судебном порядке или иным путём узнать любую информацию о наших пользователях». Вы можете получить 25 Мб дискового пространства. Также нужно либо получить пригласительный код от уже зарегистрированного пользователя, либо ввести свой адрес электронной почты. Я пропустил ту часть, где нужно ввести адрес, используемый для подтверждения регистрации, и получил «билет». Остаётся убедиться, что если не останется никакого другого способа связаться со мной, с помощью билета можно будет создать учётную запись. Для любого активиста это только в плюс, однако для немедленной настройки учётной записи – серьёзный минус.
Zoho предлагает множество приложений и свободный шифруемый почтовый сервис без рекламы. Он расположен в Калифорнии, что означает, что копы при желании могут добраться до вашего аккаунта. Бесплатная версия предполагает максимум 3 пользователей и по 1 Гб памяти на одного пользователя, однако первый шаг при регистрации – подтверждение своего аккаунта с другого почтового адреса.
У FastMail есть бесплатная версия с показом рекламы, однако если вы у них попадёте в список неплательщиков, вам придётся активировать аккаунт с помощью другой действующей электронной почты. Вот такая у них приватность.
HushMail предназначен для защиты пользователей от перехвата и контроля со стороны правительства, но его можно заставить раскрыть информацию «по законному требованию в соответствии с законодательством провинции Британская Колумбия, Канада, для воздействия на упомянутого пользователя в ином порядке, и для раскрытия приватности данного пользователя».

Эти вопросы касательно электронной почты, поиска анонимности, конфиденциальности и безопасности рассматриваются на Hidden Wiki, но начало плавания в «Deep Web» — очень сложная тема, которая включает в себя много такого, что, как я только что показал, не следует упускать. Может быть, в другой раз.

Инструмент на основе открытого кода, который позволяет каждому отправлять зашифрованные письма

На волне массового возмущения проводимой АНБ слежкой, вызванной осведомителем Эдвардом Сноуденом, всевозможные хакеры, учёные, начинающие бизнесмены и крупные корпорации начали работу над созданием инструментов, которые позволяют легче обеспечивать безопасность электронной переписки и других онлайн-коммуникаций.

В последние месяцы появились десятки проектов, начиная от почтового клиента Mailpile в автономном приложении обмена сообщениями Briar и заканчивая заменителем Skype под названием Tox. Но, несмотря на множество успехов в оптимизации традиционно сложной задачи шифрования персональной связи, все они упираются в одно: для них требуется, чтобы и отправитель, и получатель использовали одну и ту же технологию обмена сообщениями.

Но сейчас немецкая компания Open-Xchange намерена изменить положение с помощью инструмента, который назвали OX Guard – нового дополнения к существующему почтовому серверу компании с открытым исходным кодом, программы, которую и физические, и юридические лица могут использовать для организации собственной службы электронной почты. Используя OX Guard, вы можете отправить зашифрованное письмо кому угодно, даже если адресат не использует Open-Xchange.

Open-Xchange предлагает альтернативу облачному обмену информацией и таким системам обеспечения совместной работы, как Microsoft Office 365 и Google Apps for Work (ранее известный как Google Apps). Кроме сервера электронной почты, Open-Xchange обеспечивает альтернативу Dropbox под названием OX Drive для обмена файлами онлайн, а также офисный пакет под названием OX Docs, похожий на Google-Docs. Это программное обеспечение в основном используется предприятиями, а поскольку оно бесплатно и с открытым исходным кодом, установить копию на собственном компьютерном сервере может любой человек.

Как это всё работает

Посредством OX Guard люди, использующие один и тот же почтовый сервер Open-Xchange, могут легко отправлять друг другу зашифрованные электронные письма с проверочной ячейкой, без необходимости установки нового программного обеспечения. Все ключи шифрования создаются, хранятся и управляются через сервер. В некоторых случаях такой подход может быть небезопасным. Если вы предполагаете установить сервер за пределами помещений, принадлежащих вашей компании, всегда остаётся вероятность, что правительство установит на нём бэкдор, или же уволенный работник изменит программный код, чтобы перехватить пользовательские пароли. Однако благодаря Open-Xchange с открытым исходным кодом вы можете контролировать свой почтовый сервер, гарантируя, что сторонние лица не получат к нему доступ.

 

openxchange-315x335
На рисунке изображена детальная архитектура OX Guard, плагина шифрования для Open-Xchange.

Серверное программное обеспечение может быть размещено где угодно: на вашей собственной машине, на другой, на машине одного из партнёров компании с OX Guard. Поскольку это ПО с открытым кодом, его можно проверять на предмет бэкдоров или ошибок, которые могут вкрасться в отсылаемые данные. «Пользователи могут сами решить, кому они доверяют», — говорит генеральный директор Рафаэль Лагуна. – «Если они не доверяют никому, они могут работать с ПО сами».

Однако зашифрованное сообщение можно отправить и тому, кто не использует OX Guard или совместимую с ним систему шифрования. Этот вид сообщения сохраняется в зашифрованном виде на сервере Open-Xchange. Затем получателю отправляется два сообщения: одно с веб-адреса для доступа к сообщению и отдельное сообщение, содержащее одноразовый пароль для входа на соответствующий сервер Open-Xchange. После входа в систему пользователь должен изменить пароль. Таким образом, если будут перехвачены оба сообщения (и с адресом, и с паролем), и хакер прочтёт сообщение, получатель будет знать, что пароль был изменён и что сообщение прочитано посторонним.

Эта идея реализована не только в OX Guard. Она также используется такими компаниями, как Tutanota, а также банками для безопасного взаимодействия с клиентами. Но она предлагает интересную альтернативу существующим приложениям для шифрования.

«Достаточно хорошая безопасность»

В OX Guard используются те же алгоритмы шифрования, как и в PGP (сокращение от Pretty Good Privacy, «достаточно хорошая безопасность»), давно используемом для защиты электронной почты. Но он использует собственную реализацию программного обеспечения, чтобы сделать возможным защиту каждого сообщения, отправленного с другим ключом. Это означает, что даже если кто-нибудь расшифрует одно сообщение, он не сможет использовать эти сведения для расшифровки других сообщений, отправленных тому же человеку.

— Недостаток такой конструкции, — говорит Лагуна, — состоит в том, что из-за этого пользователи не смогут отправлять сообщения через OX Guard, используя традиционные ключи PGP. Это делает особенно важными веб-версии логин-систем.

Разумеется, это решение подходит не всем. Для него нужно либо самому контролировать свой сервер электронной почты, либо найти того, кому вы доверите этим заниматься. Это необходимо на ранних стадиях настройки системы, и потребуется некоторое время, чтобы сообщество безопасности смогло составить впечатление о новичке. Лагуна признаёт, что система отнюдь не идеальна. Но он считает, что это важный шаг вперёд для пользователей Open-Xchange, которые не пользуются вообще никаким видом шифрования.

— Это как ездить без ремня или подушки безопасности, потому что они слишком сложны, — говорит он. — Поэтому мы решили начать прежде всего с ремней, потому что они обеспечивают достаточно хорошую безопасность.

Tor Project работает над отладкой тёмной сети

Один из разработчиков системы, созданной для обеспечения анонимности интернет-пользователей, рассказал, что работает над устранением бага, который угрожает функционированию системы.

_76474146_b54dab79-9d29-4b47-96cb-f867a6d3f880
Tor (система луковой маршрутизации) был разработан для того, чтобы позволить людям анонимно посещать интернет-страницы и размещать сайты, содержание которых не будет отображаться в поисковых системах.

Ранее в этом же месяце два исследователя объявили о планах по выявлению способа деанонимизации пользователей этой «тёмной сети». Позднее их предупредили о неразглашении.

Александр Волынкин и Майкл МакКорд – два специалиста по безопасности из компьютерной группы аварийного реагирования (Cert) Университета Карнеги-Меллона – планировали продемонстрировать свои выводы на конференции Black Hat в Лас-Вегасе в августе. Однако уведомление, опубликованное на сайте мероприятия, сообщает, что с организаторами связались юристы университета, сказав, что доклад отменяется.

«К сожалению, г-н Волынкин не сможет выступить на конференции, так как публичное разглашение информации, о которой предполагалось делать доклад, пока не одобрено Университетом Карнеги-Меллона/Институтом технологий разработки программного обеспечения», — говорится в уведомлении.

_76474148_88d46d9c-824e-44f9-9158-6c28110834b0

Роджер Динглдайн, один из разработчиков Tor, впоследствии опубликовал в своей почтовой рассылке сообщение, подтверждающее, что он и его коллеги «не предполагали, что доклад могут запретить».

Однако он добавил, что Tor Project – организации, которая предоставляет бесплатное программное обеспечение для использования Tor – «неофициально» продемонстрировали некоторые результаты, которые были ими получены.

«Думается, я разберусь с тем, что они сделали и как это исправить», — добавил он в следующей записи. – «Мы пытались найти способ тонко им намекнуть, что нам, похоже, известно про то, что они сделали, но, уверен, было бы лучше, если бы они сами обо всём рассказали. Основываясь на наших нынешних планах, мы будем вносить изменения, чтобы исправить ту конкретную ошибку, которую они нашли. Да, это приличный баг, но отнюдь не конец света».

Ссылка на нелегальную деятельность

Tor был первоначально разработан в Научно-исследовательской лаборатории ВМС США, а позже был профинансирован группой по цифровым правам Electronic Frontier Foundation – общественной организации, защищающей права и свободы личности в киберпространстве, Google и Национальным научным фондом США.

Он пытается скрыть местонахождение человека и личность, пересылая данные через весь мир обходным путём. Шифрование, применяемое на каждом транзитном участке по этому маршруту, делает крайне затруднительным любое стороннее подключение к какому-то действию.

Системой пользуются военные, сотрудники правоохранительных органов и журналисты, которые применяют её для связи со своими осведомителями, а также представители общественности, которые хотят сохранить свою интернет-активность в тайне. Однако, помимо этого, она используется для нелегальной деятельности.

В описании, прилагавшемся к отменённому докладу, отмечалось, что Tor «также используется для распространения детской порнографии, нелегальных наркотиков и вредоносных программ».

_76474150_7690ce53-dc34-49ed-8a8a-5d29c7e47af2

Исследователи обещали показать, как часть комплекса стоимостью $ 3000 (£ 1760) может быть использована для «использования фундаментальных недостатков в разработке и реализации Tor» с целью выявления интернет-адресов пользователей системы и компьютерных серверов, используемых для размещения их скрытых сервисов.

«Мы знаем, потому что уже проверили этот метод на практике», — добавили они.

Кристофер Согоян, технический специалист Американского союза гражданских свобод, предположил, что университет может опасаться уголовного преследования или судебного преследования со стороны пользователей Tor, которые сочтут, что их право на приватность было нарушено.

«Мониторинг исходящего трафика Tor потенциально является нарушением ряда федеральных уголовных законов», — пишет он в своём твиттере.

Однако пресс-секретарь университета сообщил BBC: «Мы не можем больше ничего добавить к объявлению, которое уже было сделано на конференции Black Hat».

Разрешение проблем Tor

Хотя подробности предполагаемого дефекта до сих пор не раскрываются, уже поступило несколько сообщений о действиях государственных органов, направленных на преодоление защиты системы.

Немецкий канал ARD ранее сообщал в этом месяце, что кибершпионы Агентства национальной безопасности США (АНБ) производят активный мониторинг двух серверов каталогов Tor в Германии, чтобы выявить сетевые адреса людей, их использующих.

Также сообщается, что утечка списка хакерских инструментов из ШПС свидетельствует, что агентство разрабатывает свой собственный Tor Browser.

Также в 2013 году ФБР признало факт использования дефекта браузера Firefox, позволявшего идентифицировать пользователей Tor, в рамках противодействия распространению фото- и видеоматериалов насилия над детьми, размещённых на скрытых сайтах. Однако этот способ компьютерного вторжения в настоящее время уже закрыт.

94

Агентство Национальной Безопасности (АНБ) «нацелилось» на серверы и пользователей Tor

АНБ собирает данные об анонимной системе Tor с целью слежки за её пользователями, предполагает отчёт.

Немецкий канал ARD заявил, что два сервера Tor в Германии активно отслеживаются службой разведки США.

Ссылаясь на информацию, предоставленную официальными источниками, ARD сообщает, что почти каждый поисковый запрос о поиске и установке Tor засекается АНБ.
Tor скрывает местоположение пользователей и препятствует их идентификации, случайным образом прогоняя данные через несколько машин, объединённых в сеть. Во время пересылки данные шифруются, и таким образом становится невозможно узнать, кто какую страницу посещает.

Информация, полученная ARD, предполагает, что АНБ подключается к входящему и исходящему трафику двух немецких серверов каталогов, используемых Tor, для перехвата IP-адресов людей, посетивших его.

Входящие и исходящие данные этих серверов пересылались в незашифрованном виде и потому были уязвимы. Возможно, другие сервера каталогов также подвергались наблюдению.

По сообщению ARD, перехваченные адреса отслеживались посредством разработанной агентством анализирующей системы под названием XKeyscore. XKeyscore работает, отслеживая информацию, проходящую через несколько коммутаторов каналов по всему миру, по которым данные перебрасываются от одного провайдера к другому.

Данные, перехваченные из этих источников, использовались для создания аналитического профиля привычного просмотра веб-страниц, связанного с этими IP-адресами.

Сайты, предоставляющие несколько других инструментов обеспечения анонимности и приватности, также подвергались наблюдению, говорится в докладе ARD.

«Обычный поиск в сети обеспечивающих конфиденциальность инструментов, записанных в настройках XKeyscore, привлекает внимание АНБ, которое отмечает и отслеживает IP-адрес человека, осуществляющего поиск», — сообщается в докладе.

Пресс-секретарь АНБ заявил новостному сайту Ars Technica: «XKeyscore является аналитическим инструментом, который используется как часть законной разведывательной системы сбора иностранных сигналов. В такие инструменты встроено несколько уровней строгих механизмов контроля за соблюдением правовых норм.

Все операции АНБ проводятся в строгом соответствии с предписаниями законодательства».

По утверждению разработчика, АНБ и ШПС «проговорились об уязвимых местах Tor»

Как ранее утверждалось, британских и американских сотрудников спецслужб, пытающихся взломать «тёмную сеть», намеренно подставили их коллеги.

Агенты обеих стран работают над поиском уязвимых мест в Tor, популярной системе доступа на заблокированные сайты. Однако у команды Tor есть свои контрагенты, которые позволяют ей успешно латать все дыры.

Спецслужбы от комментариев отказались.

Это заявление прозвучало в интервью, которое дал BBC Эндрю Льюмен, отвечающий за проект, связанный с Tor. Он сказал, что утечка информации произошла одновременно из Штаб-квартиры правительственной связи Великобритании (ШПС) и Агентства национальной безопасности США (АНБ), и добавил, что если эти недостатки будут исправлены, пользователи по-прежнему смогут сохранять анонимность с помощью этой системы.

— В обеих организациях есть много людей, — сказал он, — которые организуют нам анонимные утечки информации, и сообщают: «Посмотрите сюда, а может быть, стоит посмотреть вот сюда и исправить.» И мы так и делаем.

Льюмен входит в команду разработчиков программного обеспечения, отвечающих за Tor Browser – систему, разработанную для препятствования слежению за активностью интернет-пользователей. Входящие в неё программы также предоставляют доступ к другим труднодоступным сайтам, часть которых используется в противоправных целях.

Как известно, «тёмная сеть» используется педофилами для распространения фото- и видеоматериалов насилия над детьми; на скрытых сайтах также располагаются онлайн-магазины наркотиков.

_77103557_76637625

Льюмен заявил, что его организация ежемесячно получает от источников в органах службы безопасности информацию об ошибках и программных проблемах, которые потенциально могут стать угрозой функционированию сервиса.

Однако он сообщил, что способ, которым проект Tor получает информацию, не позволяет обнаружить, кто её прислал.

— Мы догадываемся, — сказал он, — но, разумеется, не станем вдаваться в детали. Только подумайте: существуют люди, которые могут это сделать, у которых достаточно опыта и времени, чтобы разбираться в исходном коде Tor несколько часов, несколько недель, несколько месяцев, найти и изучить эти малозаметные ошибки и другие штуки, которые они вряд ли станут откапывать в большинстве коммерческих программ. И благодаря тому, что отправка отчёта об ошибках происходит анонимно, они могут сообщить нам об этом, не опасаясь за свою безопасность.

Он добавил, что, по слухам, одним из таких осведомителей оказался Уильям Бинни, бывший сотрудник АНБ, и одной из причин того, что сотрудники АНБ стали сливать эту информацию, стало то, что многие из них «были возмущены тем, что они, как выяснилось, следили за американцами».
— Мы ничего не можем об этом сказать, — ответил на это пресс-секретарь службы АНБ по связям с общественностью.

_77103559_fb03411e-b5d5-49a8-9755-287dc6cac2a2

— Наша давняя политика состоит в том, что мы не комментируем вопросы, касающиеся разведки, — сказал пресс-секретарь ШПС. – Кроме того, вся работа ШПС осуществляется в строгом соответствии с нормативно-правовой базой, которая гарантирует, что наша деятельность является разрешённой, необходимой и целесообразной.

Тем не менее, BBC понимает, что ШПС пытается контролировать ряд сервисов-анонимайзеров для выявления и отслеживания подозрительных лиц, причастных к детской онлайн-проституции и другим преступлениям.

Репортер Гленн Гринвальд также опубликовал несколько статей, основанных на документах, обнародованных осведомителем Эдвардом Сноуденом, в которых утверждается, что оба агентства пытались взломать Tor в рамках мероприятий по противодействию терроризму.

Эксперт по вопросам безопасности, оказывающий ШПС консультационные услуги, сказал, что был поражён утверждением Льюмена, но добавил, что это «не выходит за пределы возможного».
— Нет ничего удивительного в том, что государственные службы всего мира ищут уязвимые места Tor, — сказал Алан Вудворд. – Однако тот факт, что люди могут сливать эту информацию Tor Project и таким образом содействовать заделыванию этих уязвимостей, действительно очень серьёзен. Так что если такое происходит на самом деле, государственные службы намерены отнестись к этому со всей серьёзностью.

Незаконная деятельность

Изначально система Tor была разработана в Научно-исследовательской лаборатории ВМС США и продолжает получать финансирование от Государственного департамента США.

_77103751_76474152

Сервис Tor используется военными, активистами, бизнесменами и другими людьми, для которых важны конфиденциальность коммуникации конфиденциальной и свобода слова.

Но его также используют для нелегального распространения наркотиков, размещения вредоносных программ, сервисов по отмыванию денег и торговли, фото- и видеоматериалов насилия над детьми и другой нелегальной порнографии.

Льюмен сказал, что его организация предоставляла консультационные услуги правоохранительным органам, в том числе ФБР и Агентству по Борьбе с организованной преступностью Великобритании (SOCA), для того, чтобы помочь им понять, как функционирует Tor, и таким образом посодействовать их расследованиям.

Однако он выступил с критикой кибершпионов, работающих с целью подрыва защищённости Tor.
— Нас всего около 30 человек, — сказал он, — а в распоряжении АНБ или ШПС — десятки тысяч сотрудников и миллиарды фунтов бюджета. Разумеется, все шансы на их стороне. И я вижу некую иронию в том, что, как выяснилось, ШПС в большой степени опирается на Tor для проведения многих своих операций. Только представьте себе: одна часть ШПС пытается сломать защиту Tor, другая же старается удостовериться, что им это не удалось, поскольку этой части Tor нужен для выполнения их работы. Так что у правительственных организаций или крупных агентств это распространённая картина – как бы две половины одной медали в отношении различных частей Tor. Кто-то его защищает, а кто-то атакует.

Tor Browser разработан на основе Firefox и доступен для Windows, Mac и Linux. Льюмен добавил, что Tor Browser в прошлом году скачали 150 миллионов раз, а в настоящее время им ежедневно пользуются около 2,5 млн человек.
— Сотни миллионов людей сейчас полагаются на Tor, — сказал Льюмен, — некоторые из них – в ситуациях жизни и смерти. Поэтому мы обращаем внимание вот на что. Мне было бы очень печально, если бы кто-нибудь был арестован, подвергнут пыткам или убит из-за какой-нибудь ошибки в программе или сделанного нами неверного проектного решения, из-за которого другие люди могут подвергнуться опасности.

Кто такие кибершпионы?

_77104046_78b8e64c-efec-4d93-83ea-8d64b9371f8c

В Штаб-квартире правительственной связи (ШПС) работает около 5000 человек. Она предназначена для выполнения двух ключевых функций:
• Выявление угроз из перехваченных сообщений. Сюда относятся терроризм, распространение ядерного оружия, региональные конфликты по всему миру и угрозы экономическому процветанию Великобритании.
• Функционирование в качестве органа целостности и безопасности информации. Под этим подразумевается, что ШПС консультирует правительство и организации, которые используют критическую инфраструктуру Великобритании, по вопросам защиты систем от помех и сбоев.

ШПС была основана в 1919 году; в то время она носила название Правительственной школы кодирования и шифрования. Нынешнее своё название она получила в 1946 году. О работе ШПС министр иностранных дел отчитывается перед парламентом.

Агентство национальной безопасности (АНБ) собирает информацию для правительства США и военных руководителей.
Оно также выполняет задачу предотвращения возможного доступа иностранных противников к закрытой информации, касающейся национальной безопасности.
Здесь работает около 35 000 сотрудников, как гражданских лиц, так и военных.

Отчёт о прозрачности: Защитите свою переписку, путешествуя по сети

Отправляя письмо своему другу, Вы рассчитываете, что его не прочтёт никто, кроме адресата. Однако пока эти буквы дойдут от Вас до него, может случиться многое, и множество любопытных глаз может попытаться заглянуть в написанное. Вот почему мы посылаем важные сообщения в запечатанных конвертах, а не на открытках.

Электронная почта работает аналогичным образом. Письма, зашифрованные при пересылке от отправителя к получателю – всё равно что письма, запечатанные в конверт: они куда менее уязвимы для подсматривания хоть со стороны плохих парней, хоть со стороны правительства, чем открытки.

Но некоторые виды электронной почты безопаснее других. Поэтому, чтобы помочь Вам лучше разобраться, защищены ли ваши письма шифрованием, вводится новый раздел в Отчёт о прозрачности.

clip_image002

 

Gmail всегда поддерживал шифрование при передаче с помощью протокола Transport Layer Security (TLS), и автоматическое шифрование входящих и исходящих сообщений в тех случаях, когда это возможно. Важно, что для того, чтобы это работало, обе стороны электронной коммуникации должны поддерживать шифрование; Gmail не может это делать в одиночку.

Данные показывают, что примерно от 40 до 50 процентов писем, отправляемых с Gmail на другие почтовые сервисы, не шифруется. Многие провайдеры включили у себя параметр шифрования, другие заявили об этом намерении, и это хорошая новость. Чем больше провайдеров будут применять шифрование, тем больше писем будет защищено от перехвата.

Для людей, которым требуется ещё более надёжная защита переписки, хорошим вариантом является межабонентское шифрование, но его сложно использовать. Так что на данный момент разрабатывается расширение для Chrome, предназначенное для межабонентского шифрования. В настоящее время оно проходит стадию тестирования, и как только будет готово к использованию, эта технология станет намного проще для применения.

 

minilockscreenshot

Невероятно простое приложение, позволяющее кому угодно зашифровать что угодно

Шифрование — сложная штука. Когда осведомитель из АНБ Эдвард Сноуден хотел связаться с журналистом Гленном Гринвальдом посредством зашифрованного письма, Гринвальд не мог разобраться в старой PGP-криптопрограмме даже после того, как Сноуден сделал для него 12-минутный видеоучебник.

Надим Кобейсси намерен устранить эти сложности с освоением. На хакерской конференции HOPE в Нью-Йорке в конце этого месяца он собирается представить бета-версию универсальный программы шифрования файлов под названием miniLock — бесплатный и с открытым кодом плагин для браузера, который даже луддиту позволит шифровать и расшифровывать файлы с практически невзламываемой криптографической защитой за считанные секунды.

— Мой слоган – «Шифрование файлов: больше эффективности, меньше затрат», — говорит Кобейсси, 23-летний программист, активист и консультант по безопасности. – Это невероятно просто, доступно и понятно даже ребёнку.

Разработка Кобейсси, которая, по его словам, находится на экспериментальном этапе и ещё не может использоваться для файлов с высокой степенью защиты, на самом деле может оказаться самой простой в использовании шифровальной программой.

— В ранней версии плагина для Google Chrome, испытанной WIRED, мы смогли за несколько секунд перетащить файл в программу и зашифровать данные таким образом, что никто, кроме предполагаемого получателя – теоретически даже правоохранительные органы или разведывательные агентства – не смог бы его расшифровать и прочесть. MiniLock может использоваться для шифрования чего угодно, от видеовложений в письма до фотографий, хранящихся на USB-диске, или для шифрования файлов для безопасного хранения на Dropbox или Google Drive.

Как и более ранние версии PGP, miniLock предлагает так называемое «шифрование открытым ключом». В системах шифрования открытым ключом у пользователей есть два криптографических ключа: открытый и закрытый. Пользователь пересылает открытый ключ тому, кто хочет безопасно отправлять ему файлы; всё, зашифрованное с его помощью, может быть расшифровано только с помощью закрытого ключа, который пользователь сохраняет в тайне.

Вариант Кобейсси с шифрованием открытым ключом отбрасывает почти все эти сложности. Там даже нет необходимости регистрироваться или входить в систему: при каждом запуске miniLock пользователь вводит только ключевую фразу, хотя по требованиям miniLock в ней должно быть не меньше 30 символов, а также буквы и цифры вперемешку. Из этой фразы-пароля программа генерирует открытый ключ, который называется miniLock ID, и закрытый ключ, который пользователю никогда не демонстрируется и стирается при закрытии программы. Ключи генерируются каждый раз, как пользователь вводит ключевую фразу. Повторная генерация одинаковых ключей в каждой сессии означает, что программу можно использовать на любом компьютере, не беспокоясь о безопасности хранения или перемещения чувствительного закрытого ключа.

— Никаких логинов, никаких закрытых ключей! Ничего этого не нужно. Вот в чём особенность, — говорит Кобейсси. – Пользователи могут удостоверять свою идентичность для отправки и получения файлов на любом компьютере, на котором установлен miniLock, безо всякой необходимости при этом заводить аккаунт на интернет-сервисе и без необходимости возиться с файлами ключей, как в PGP.

На самом деле miniLock использует разновидность шифрования, которая едва появилась, когда PGP уже обрело популярность в 1990-е годы: криптография на основе эллиптических кривых. Кобейсси говорит, что набор криптоинструментов даёт возможности, которых раньше не существовало. Открытые ключи PGP, которые пользователь отсылает тем, кто хочет переслать ему зашифрованные файлы, часто напоминают страницу случайного текста. Идентификатор MiniLock состоит только из 44 символов – достаточно короткий, чтобы влезть в твит, и ещё место останется. Криптография на основе эллиптических кривых позволяет miniLock получать ключи для пользователя из одной его фразы, которая каждый раз вводится заново, а не хранится. В своём докладе на конференции HOPE Кобейсси утверждает, что miniLock полностью использует все возможности шифрования на основе эллиптических кривых.

Несмотря на все эти прекрасные особенности, miniLock может встретить у криптосообщества не самый радушный приём. Самым известный предыдущим созданием Кобейсси является Cryptocat, безопасная программа-чат, которая, как и miniLock, сделала шифрование таким простым, что использовать его мог бы и пятилетний ребёнок. Но у неё также было несколько серьёзных уязвимых мест, которые делали её в лучшем случае просто бесполезной, а в худшем – обманчиво-безопасной.

Однако недостатки, за которые сообщество так ополчилось на Cryptocat, уже давно исправлены, сообщает Кобейсси. На сегодняшний день программу скачали почти 750 000 раз, а в рейтинге безопасности чат-программ от немецкой фирмы безопасности PSW Group в прошлом месяце она давно и прочно занимает первое место.

— Несмотря на ранние недостатки Cryptocat, miniLock не следует сбрасывать со счетов, — говорит Мэтью Грин, профессор криптографии Университета Джонса Хопкинса, который подчеркнул предыдущие ошибки в Cryptocat и в настоящее время проводит обзор новой разработки Кобейсси miniLock. – У Надима выходит много ерунды, но не стоит судить о нём по тому, что он делал много лет назад.

В отношении безопасности miniLock Грин скорее склоняется к осторожному оптимизму:
— Я не стал бы прямо сейчас шифровать им документы АНБ. Но у него хороший и простой криптографический дизайн и не так много мест, где что-то может пойти неверно. В целом подготовка обзора займёт у меня некоторое время, но я считаю его достаточно безопасным.

Кобейсси говорит, что тоже извлёк опыт из провала Cryptocat: miniLock не будет сразу выложен в Chrome Web Store. Вместо этого он намеревается выложить код в доступ на GitHub для рассмотрения и предпринять меры по подробному документированию его работы во время тестирования.

— Это не первое моё родео, — говорит он. – Открытость [MiniLock] предназначена для демонстрации методов звукового программирования, изучения криптографических дизайнерских решений и лёгкой проверки miniLock на наличие возможных ошибок.

Если miniLock действительно станет первой по-настоящему элементарной программой шифрования с открытым ключом, это может открыть применение сложного шифрования широкой новой аудитории.
— PGP останется далеко позади, — говорит Грин из Университета Джонса Хопкинса. – Дать возможность обычным людям шифровать файлы – это на самом деле ценно… [Кобейсси] отбросил лишнюю сложность и сделал то, что нам следовало сделать.

lawmakers-call-for-an-end-to-internet-anonymity-28d9f678d4

Как остаться неузнанным в сети

Через год после первых откровений Эдварда Сноудена криптография превратилась из малоизвестного раздела информатики почти что в базовое понятие. Возможно, группы конфиденциальности пользователей и растущий бизнес крипто-ориентированных компаний предписывают нам шифровать всё, от реплик в мессенджерах до gif-картинок с мотоциклом, перепрыгивающим самолёт.

Однако это также может стать ещё одним шагом к настоящей приватности в интернете. Само по себе шифрование лишь скрывает содержимое сообщений, но не личность тех, кто ими обменивается. С другой стороны, если использовать криптографические инструменты анонимности, чтобы скрыть свою личность, сетевые шпионы могут не узнать даже о том, где искать ваши сообщения – не говоря уже о том, чтобы заглянуть в них. «Невидимость в сети» — вот, что гуру безопасности Брюс Шнайдер назвал первым шагом по ускользанию от АНБ. «Чем Вас меньше видно, тем Вы в большей безопасности».

Хотя программное обеспечение, известное под названием Tor, вряд ли является единственным способом достижения анонимности, оно стало самым известным и дружественным к пользователю способом пользоваться интернетом, не раскрывая своей личности. Бесплатная программа с открытым кодом троекратно шифрует трафик и направляет его через компьютеры по всему миру, что делает его отслеживание значительно сложнее. Большинство пользователей Tor знает программу как средство, позволяющее анонимно просматривать веб-страницы. Но на самом деле в ней заключено гораздо больше: программа Tor работает в фоновом режиме вашей операционной системы и создает прокси-соединение, которое связывает с сетью Tor. Всё большее число приложений и даже операционных систем предоставляют возможность маршрутизации данных через соединение, что позволяет скрыть вашу личность практически для любого вида онлайн-сервиса.

Некоторые пользователи даже экспериментируют с использованием Tor почти во всех своих сообщениях. «Это как быть вегетарианцем или веганом», — говорит Руна Сэндвик, активист движения за неприкосновенность частной жизни и бывший разработчик Tor. – «Кто-то выбирает не есть определённую еду, а я выбираю использовать только Tor. Мне нравится идея, что когда я захожу на сайт, никто не знает, где я нахожусь, и не может меня отследить».
Вот как вы можете использовать растущий набор инструментов, обеспечивающих анонимность, для защиты своей сетевой жизни.

Веб-серфинг
Ядром некоммерческой, бесплатно распространяемой системы Tor Project является Tor Browser – доработанная с целью повышения безопасности версия Firefox, которая направляет весь веб-трафик через анонимную сеть Tor,. Учитывая, что трафик пересылается по всему миру с троекратным шифрованием, это, пожалуй, ближе всего к истинной анонимности в Интернете. Однако этот способ ещё довольно медленный. Но браузер Tor становится быстрее, говорит Мика Ли, отвечающий за конфиденциальность технолог, который работал с Electronic Frontier Foundation – одной из организаций, которые финансируются с проектом Tor – и First Look Media. За прошедший месяц или около того он попробовал использовать Tor Browser в качестве своего основного браузера и возвращался к традиционным браузерам лишь иногда, в основном для флэш-сайтов и других, для просмотра которых необходимы плагины.

— Примерно через неделю, — говорит он, — переключение стало почти незаметным. Оно, может быть, и не очень нужно, но я не нашёл там никаких неудобств. И у него есть реальные преимущества: приватность. В сети отслеживаются все и каждый – но вы можете с этим что-то сделать.

Электронная почта
Простейший способ анонимно отправить письмо – это использование почтового сервиса в браузере Tor. Конечно, он требует регистрации нового почтового аккаунта, что сложно сделать, не раскрывая никакой личной информации, учитывая, что Gmail, Outlook, и Yahoo! Mail требуют номер телефона.
Руна Сэндвик предлагает Guerrilla Mail, временный одноразовый сервис электронной почты. Guerrilla Mail позволяет создать новый, случайный адрес электронной почты одним щелчком мыши. Его использование в браузере Tor гарантирует, что никто, даже Guerrilla Mail, не сможет выяснить IP-адрес через этот эфемерный адрес электронной почты.
Шифрование сообщений, однако, может быть затруднительно. Для него часто требуется, чтобы пользователь скопировал сообщение и вставил его в текстовое поле, а потом применил для его зашифровки и расшифровки PGP. Чтобы избежать таких сложностей, Ли взамен предлагает другие настройки электронной почты с использованием таких конфиденциально-ориентированных хостов, как Riseup.net, Thunderbird (почтовое приложение к Mozilla), шифровальный плагин Enigmail и другой плагин под названием TorBirdy, который перенаправляет сообщения через Tor.

Мгновенный обмен сообщениями
Adium и Pidgin, самые популярные клиенты мгновенного обмена сообщениями для Mac и Windows, которые поддерживают протокол шифрования OTR, также поддерживают Tor. (инструкцию, как включить Tor в Adium, см. здесь: https://help.riseup.net/en/adium, а для Pidgin – здесь: https://help.riseup.net/en/chat/clients/pidgin) Но Tor Project работает над созданием программы IM, специально разработанной для обеспечения ещё большей безопасности и анонимности. Релиз этого клиента Tor IM, на базе программы Instant Bird, планировался на март, но отстаёт от графика. Ожидайте бета-версию в середине июля.

Передача больших файлов
Google Drive и Dropbox не очень-то сильны в обеспечении приватности. Поэтому Ли создал Onionshare, программу с открытым исходным кодом, которая позволяет любому человеку напрямую отправлять большие файлы через Tor. Когда вы используете его, чтобы отправить кому-нибудь файл, программа создаёт так называемый Tor Hidden Service – временный, анонимный сайт, размещённый на вашем компьютере. Отправьте получателю файла .onion-адрес этого сайта, и он сможет безопасно и анонимно загрузить его через свой Tor Browser.

Мобильные устройства
Анонимайзеры для телефонов и планшетов пока что болтаются далеко в хвосте гонки, но обещают вскоре догнать. Guardian Project разработал приложение Orbot, которое поддерживает Tor на Android. Можно выставить в настройках Orbot использование Tor в качестве прокси для просмотра сайтов, электронной переписки и мессенджеров.
У пользователей Apple пока ничего такого нет. Однако доступное за 99 центов приложение под названием Onion Browser в магазине приложений IOS предлагает анонимный доступ в интернет с айфонов и айпадов. Проверка разработчиками Tor в апреле выявила и помогла исправить некоторые из уязвимостей программы. Но Сэндвик предполагает, что предусмотрительным пользователям лучше подождать окончания тестирования. По её утверждению, самым требовательным пользователям лучше придерживаться более проверенных решений – стационарной версии Tor. «Окажись я в ситуации, когда мне нужна анонимность – я бы не стала полагаться на мобильные платформы», — говорит она.

Всё остальное
Даже если вы запустите Tor для анонимизации всех интернет-приложений, которые вы используете, ваш компьютер всё равно не застрахован от утечки информации в сеть. АНБ использовало даже незашифрованные сообщения об ошибках Windows, которые отправлялись пользователями в корпорацию Майкрософт и содержали их личные данные. Хакер может подбросить вирус на страницу, куда вы зайдёте, и использовать его для установки эксплойта, который встроится в ваш браузер и будет слать незашифрованные сообщения, раскрывая своё местоположение.

Так что тем, кто особенно беспокоится о безопасности, Ли и Сэндвик рекомендуют использовать целые операционные системы, которые каждый отсылаемый бит прогоняют через Tor. Наиболее популярная из них, Tor OS, является тейлом, то есть The Amnesiac Incognito Live System. Тейлы могут загружаться с USB-флешки или DVD, не оставляя следов на компьютере, и анонимизируют всю информацию. Как рассказывали коллеги Сноудена, осведомитель из АНБ очень уважает эти программы.

Для совсем уж параноиков есть ещё менее известная ОС с использованием Tor – Whonix. Whonix создает множество «виртуальных машин» на компьютере пользователя – программных версий полных компьютерных операционных систем, которые сконструированы таким образом, что их не отличишь от полноценного компьютера. Любой злоумышленник, попытавшийся взломать компьютер пользователя, застрянет в такой виртуальной машине.

-Этот трюк с виртуализацией подчёркивает важный момент для будущих анонимных пользователей Интернета, — говорит Ли. – Если ваш компьютер взломали, игра окончена. Создание виртуальной «песочницы» вокруг ваших онлайн-коммуникаций является одним из способов сохранить оставшуюся часть системы защищённой.

Tor – потрясающая штука, которая может сделать вас полностью анонимным. Но если на конечном пункте – дыра в защите, про безопасность можно забыть. Если Вы хотите быть действительно анонимным, вам следует также быть действительно защищённым.

« Older Entries