Приватность в интернете: даём отпор дуболомам

1. Тексты
2. 5 апреля 2021
3. tech privacy

Повсеместное распространение компьютеров и интернета, бесспорно, сделало нашу жизнь намного лучше, насыщеннее и динамичнее. Доступ к интересующей информации буквально тремя нажатиями пальца - это великое благо, как и возможность заказать пиццу, не вставая с дивана или устроить видеоконференцию с любимой бабушкой вместо поездки на ароматной электричке к чёрту на рога. Но, как и у любого технологического прорыва, у всеобщей цифровизации существует и обратная сторона.

Я говорю о беспрецедентных возможностях для слежки и контроля, которые предоставляет интернет.

Пользуясь всеми ништяками, обеспечиваемыми подключением к "глобальной паутине", люди редко задумываются о том, что происходит в процессе сёрфинга. Одним из моих любимых вопросов, используемых на прошлой работе для собеседования эникеев, был такой - "расскажите, что происходит после того, как вы вводите название сайта в адресную строку браузера и нажимаете Enter?". Он хорош тем, что быстро даёт понять, каков кругозор у собеседника - ответить на него можно как несколькими предложениями, так и пространным рассказом с многочисленными углублениями в дебри. Этот же вопрос можно использовать и для объяснения - насколько много информации мы предоставляем целой куче лиц, о существовании которых большинство пользователей интернета даже не подозревает.

Пока всё идёт хорошо - кажется, что нет ничего страшного в легкомысленном отношении к "интернет-гигиене".

Но бывает, что в какой-то момент над определённой частью земного шара сгущаются тучи и злобный владыка Саурон вновь начинает копить войска государственные служащие, забыв, что они служащие - начинают рьяно окапываться, пытаясь зацементировать своё положение рядом с нефтяной трубой. На практике это приводит к деградации общественных институтов, принятию законов в стиле "бешеного принтера"... и, конечно же, склонности к увеличению контроля над народными массами, к которым мы с вами и принадлежим.

Придя к совершенно логичному выводу, что за последние 10-15 лет централизованные методы распространения информации вроде телевидения, радио и газет перестали мочь поддерживать зомбирование на достаточном уровне ввиду того, что всё больше людей "уходит в онлайн", государство ожидаемо начало тянуть свои когтистые лапы в сторону интернета. С крупными ресурсами повторяется та же история, что и с традиционными СМИ - одних купили, других разогнали, третьих запретили или запрещают в данный момент (<- вы находитесь здесь).

Хорошая новость в том, что интернет - это царство высоких технологий, где правит бал не дуболом в фуражке, а бородатый анимешник-сисадмин в свитере.

Побороть желание людей общаться на интересующие их темы и свободно козлить чиновников можно одним способом - полностью развалить всю сеть и сделать её совершенно неюзабельной. Вторая хорошая новость в том, что на это никто не пойдёт, опасаясь гнева народных масс, лишённых привычного комфорта, а значит - всё ограничится попытками "не пущать", веерными блокировками зарубежных интернет-площадок и попытками перехода репрессий из онлайна в оффлайн a. k. a. "я тебя по айпи вычислю".

О последнем пункте далее и пойдёт речь.

Я уже неоднократно касался в своих текстах темы приватности в сети, но в основном краешком, походя. Штука это важная, и рассказывать о ней, на мой взгляд, нужно обстоятельно.

В целом - существует две концепции, которые стоит держать в уме во время онлайн-сёрфинга:

• Конфиденциальность - это когда известно, кто творит непотребство и с кем, но непонятно, какое именно.
• Анонимность - это когда известно, где и какое непотребство произошло, но непонятно, кто его натворил.

Возможны сочетания обоих пунктов, но чаще анонимность ради того, чтобы отличать одного контрагента от другого, заменяется на псевдонимность.

Так уж сложилось, что без дополнительных мер защиты пользование интернетом оставляет целую пачку следов, многие из которых заботливо складываются в базы данных для дальнейшего накопления статистики. Возвращаясь к крутому вопросу из второго абзаца и сконцентрировав ответ на него вокруг интересующей нас темы, мы получим следующее:

Введя в адресной строке название сайта (скажем, некололи.ком) и выполнив переход на него, мы отдаём нашему интернет-провайдеру, провайдеру провайдера, магистральному провайдеру и товарищу майору следующую информацию - наш IP-адрес, адрес сайта, на который мы хотим попасть, в DNS-запросе и HTTP-пакетах. Кажется, что не так-то много - но анонимности уже как не бывало. Более того - если на сайте отсутствует или криво настроено шифрование - попрощайтесь и с конфиденциальностью, товарищ майор и остальная компания узнает и какие виды некололей вам интересны, и с какого устройства вы заходите, и ваш логин с паролем, если на сайте используется авторизация.

Благодаря повсеместному распространению бесплатных HTTPS-сертификатов, конечно, теперь ещё нужно поискать популярный ресурс без шифрования - и это, поверьте мне, очень сильно бесит дуболомов с Лубянки. Бесит настолько, что какое-то время назад они даже подумывали завести собственный удостоверяющий центр и либо по стандартной процедуре подложить его корневой сертификат во все ОС и браузеры, либо на законодательном уровне принудить людей к этому - получив возможность в нужных случаях заменять настоящий сертификат ресурса на свой, расшифровывая данные. Ничего, разумеется, не получилось - потому что, см. выше про царство высоких технологий.

Потерпев фиаско с шифрованием, дуболомы пошли другим, более привычным им путём - путём отжатия и прогибания бизнеса. Паша Дуров очень дальновидно сбросил токсичные активы и уехал в Эмираты развивать Телеграм, за что ему большое спасибо. Оставшийся после него Контактик присоединился к хтонической орде mail.ru, Яндекса, довольно быстро проинтегрированного с "вертикалью власти", и прочих более мелких контор, проактивно сотрудничающих с дуболомами, сливая всю необходимую информацию по первому чиху. Следовательно - на этих ресурсах нет ни конфиденциальности, ни анонимности, а значит не стоит использовать их для передачи и публикации никакой важной информации, поскольку её в любой момент может либо удалить, либо прочитать неограниченный круг левых лиц. То же самое, разумеется, относится и к мессенджерам.

Зарубежные ресурсы разделились на два лагеря - тех, кому важнее доходы от российской аудитории и тех, кому не хочется зашквариваться симбиозом с дуболомами. Отличить первых от вторых можно по реакции на вскукареки Роскомнадзора, требующего удалять чуть менее, чем всё подряд. Отказывающихся от такого добровольно-принудительного сотрудничества в последнее время начали пытаться замедлять (помним, что поставить колом интернет и крупные ресурсы все ссут, по крайней мере пока), пытаться реализовывать какие-то "отечественные аналоги" и прочие неаппетитные и не особенно продуктивные трепыхания.

Однако же, вектор движения дуболомов хорошо виден и вызывает тревогу. Понятно, что для технически-прошаренных пользователей интернета все эти глупости легко преодолимы, но расчёт, судя по всему, идёт именно на оставшихся непрошаренных. А следовательно - нужно повышать образованность населения!

Что можно сделать в сложившейся ситуации?

• Шифрование DNS - против утечки имён сайтов и возможности подмены ответов. Уже поддерживается большинством браузеров, возможно противодействие в виде блокировки популярных DNS-серверов. Решается установкой собственного экземпляра dnscrypt-proxy или другого аналогичного ПО.
• Шифрование начальных пакетов HTTPS - тоже против утечки имён сайтов. Тут делать ничего не нужно, просто дождаться повсеместного внедрения TLS 1.3 с ECH.
• VPN-туннели - шифрование и маскировка вообще всего трафика, плюс подмена IP-адреса в логах посещаемых ресурсов. Вариантов настройки множество, но бога ради - не используйте коммерческие VPN-сервисы, лучше потратьте полчаса на настройку Wireguard`а на копеечной VPS за три евро в месяц.
• Tor Browser - гораздо более серьёзный уровень защиты анонимности, особенно в сочетании с VPN.
• Шифрование данных на компьютерах - Veracrypt с надёжным паролем, для мобильных устройств - встроенные методы защиты (надёжность под вопросом).
• Хранение паролей - KeePass и другие опенсорсные аналоги. И прекратите немедленно использовать везде один и тот же пароль!
• Двухфакторная аутентификация - везде, где её можно настроить, нужно это сделать. Причём не в виде СМСок или писем на почту, а полноценно, с одноразовыми кодами из мобильного приложения Google Authenticator и т. п.

Следует заметить, что подход к обеспечению информационной безопасности должен быть комплексным и охватывать все аспекты жизни, иначе в нём не будет особого смысла. Если у вас всё люто зашифровано, но хранилище ключей на телефоне, скажем, разлочивается по отпечатку пальца без пароля - то это провал. Мобильные телефоны в этом плане вообще - чёрная дыра. Спасает (пока что) только тот факт, что вся телеметрия и прочий поток персонализированных данных уезжает к условным Гуглу с Эйплом, которые в этом плане куда лучше наших дуболомов.

Соблюдая эти, честно сказать, не очень сложные после непродолжительного начального этапа настройки и привыкания, правила - вы получите достаточную уверенность в том, что товарищу майору, буде он заинтересуется вашей скромной персоной, особо нечего будет предъявить даже в случае получения доступа ко всем вашим устройствам и архивам логов провайдера. С криптографией, помноженной на презумпцию невиновности не особо поспоришь.

¡No pasarán!