Полное руководство по : безопасности/анонимности/конфиденциальности в сети (Как делиться файлами в частном порядке и/или общаться в анонимном чате)

EmiratesHR|Help

Местный
Подтвержденный
Сообщения
5.699
Реакции
3.512

Как делиться файлами в частном порядке и/или общаться в анонимном чате:

Везде полно мессенджеров. У некоторых отличный пользовательский интерфейс и UX и ужасная безопасность/конфиденциальность. У некоторых отличная безопасность/конфиденциальность, но ужасный пользовательский интерфейс и UX. Нелегко выбрать те, которые вы должны использовать для деликатных действий. Итак, этот раздел поможет вам в этом.

Прежде чем идти дальше, следует также усвоить некоторые ключевые базовые понятия:

Сквозное шифрование:​

Сквозное шифрование (он же e2ee) — довольно простая концепция. Это просто означает, что только вы и ваш пункт назначения знаете открытые ключи шифрования друг друга, и никто между ними, который мог бы подслушивать, не сможет расшифровать сообщение.

Однако этот термин часто используется по-разному в зависимости от поставщика:

  • Некоторые провайдеры заявляют о e2ee, но забывают упомянуть, что покрывается их протоколами. Например, защищены ли метаданные в их протоколе e2ee? Или это просто содержание сообщений?
  • Некоторые провайдеры предоставляют e2ee, но только в качестве дополнительной опции (по умолчанию отключено).
  • Некоторые провайдеры предлагают e2ee с обменом сообщениями один на один, но не с групповым обменом сообщениями.
  • Некоторые провайдеры заявляют об использовании e2ee, но их проприетарные приложения имеют закрытый исходный код, и никто не может проверить заявление и надежность используемого шифрования.
По этим причинам всегда важно проверять утверждения различных приложений. Всегда следует отдавать предпочтение приложениям с открытым исходным кодом, чтобы проверить, какое шифрование они используют и верны ли их заявления. Такие приложения, если они не с открытым исходным кодом, должны иметь открытый независимый (сделанный авторитетной третьей стороной) отчет, подтверждающий их заявления.

Сверните свою собственную криптовалюту:​


Всегда будьте осторожны с приложениями, внедряющими свою собственную криптографию, пока она не будет проверена многими в криптосообществе (или, что еще лучше, опубликовано и проверено экспертами академически) . Опять же, это сложнее проверить с помощью проприетарных приложений с закрытым исходным кодом.

Дело не в том, что создавать собственную криптографию плохо по сути, а в том, что хорошая криптография нуждается в реальной экспертной оценке, аудите, тестировании… И, поскольку вы, вероятно, не криптоаналитик (и мы тоже), шансы высоки, а нет компетентен для оценки криптографии некоторых приложений.

Прямая секретность:​

Forward Secrecy (FS, также известная как PFS для Perfect Forward Secrecy) является свойством протокола согласования ключей некоторых из этих приложений для обмена сообщениями и является сопутствующей функцией e2ee. Это происходит до того, как вы установите связь с пунктом назначения. «Вперед» относится к будущему во времени и означает, что каждый раз, когда вы устанавливаете новую связь e2ee, для этого конкретного сеанса будет генерироваться новый набор ключей. Целью прямой секретности является сохранение секретности прошлых коммуникаций (сеансов), даже если текущая скомпрометирована. Если злоумышленнику удастся завладеть вашими текущими ключами e2ee, этот злоумышленник будет ограничен содержимым одного сеанса и не сможет легко расшифровать прошлые.

Это имеет некоторые недостатки пользовательского опыта, например, новое устройство не может иметь удобный доступ к удаленно сохраненной истории чата без дополнительных шагов.

Короче говоря, Forward Secrecy защищает прошлые сеансы от компрометации ключей или паролей в будущем.

Подробнее на эту тему в этом видео на YouTube: [Invidious]

Некоторые провайдеры и приложения, утверждающие, что предлагают e2ee, иногда не предлагают FS/PFS из соображений удобства использования (например, групповой обмен сообщениями более сложен с PFS). Поэтому важно предпочесть приложения с открытым исходным кодом, обеспечивающие прямую секретность, тем, которые этого не делают.

Шифрование с нулевым доступом в состоянии покоя:​

Шифрование с нулевым доступом в состоянии покоя используется, когда вы храните данные у какого-либо провайдера (скажем, историю чата или резервные копии чата), но эта история или резервная копия зашифрованы на вашей стороне и не могут быть прочитаны или расшифрованы провайдером, на котором они размещены.

Шифрование с нулевым доступом является дополнительной функцией/компаньоном e2ee, но применяется в основном к данным в состоянии покоя, а не к связи.

Примерами этой проблемы могут быть iMessage и WhatsApp

Итак, опять же, лучше предпочесть приложения/провайдеры, которые предлагают шифрование с нулевым доступом в состоянии покоя и не могут читать/получать доступ к каким-либо вашим данным/метаданным даже в состоянии покоя, а не только для связи.

Такая функция предотвратила бы важные взломы, такие как скандал с Cambridge Analytica , если бы она была реализована.

Защита метаданных:​

Помните раздел « Ваши метаданные, включая геолокацию ». Сквозное шифрование — это одно, но оно не обязательно защищает ваши метаданные.

Например, WhatsApp может не знать, что вы говорите, но они могут знать, с кем вы разговариваете, как долго и когда вы разговариваете с кем-то, кто еще находится с вами в группах, и если вы передавали им данные (например, большие файлы).

Сквозное шифрование само по себе не защищает перехватчика от сбора ваших метаданных.

Эти данные также могут быть защищены/обфусцированы некоторыми протоколами, что значительно усложнит сбор метаданных для перехватчиков. Это относится, например, к протоколу Signal, который предлагает дополнительную защиту с такими функциями, как:

  • Опция «Запечатанный отправитель»
  • Открытие личных контактов
  • Система частных групп
Другие приложения, такие как Briar или OnionShare, будут защищать метаданные, используя сеть Tor в качестве щита и сохраняя все локально на устройстве. Удаленно ничего не хранится, и все коммуникации либо напрямую через Wi-Fi/Bluetooth, либо удаленно через сеть Tor.

Однако большинство приложений, особенно проприетарные коммерческие приложения с закрытым исходным кодом, будут собирать и сохранять ваши метаданные для различных целей. И одних таких метаданных достаточно, чтобы выяснить многое о ваших коммуникациях.

Опять же, важно отдавать предпочтение приложениям с открытым
исходным кодом, поскольку они позволяют третьим сторонам сверять фактические возможности и недостатки с заявлениями отделов маркетинга. Открытый исходный код не означает, что приложение должно быть бесплатным или некоммерческим. Это просто означает прозрачность.

Сравнение:​

Приложение 0e2ee 1Сверните свою собственную криптовалютуИдеальный
Прямая секретность
Шифрование с нулевым доступом в состоянии покоя 5Защита метаданных (обфускация, шифрование…)Открытый исходный кодНастройки конфиденциальности по умолчаниюНативная анонимная регистрация (без электронной почты или телефона)Можно через ТорИстория конфиденциальности и безопасности ***ДецентрализованныйДополнительные примечания
Берти
(избегать)
ДаНетДаДаДаДа 13ХорошийДаДаХорошийДа (одноранговый)Недостаточно рассмотрено этим проектом, не могу рекомендовать
Briar(желательно)Да№ 1ДаДаДа (сильно)ДаХорошийДаИзначально 3ХорошийДа (одноранговый)
Cwtch
(предпочтительно)
ДаНетДаДаДа (сильно)ДаХорошийДаРоднойХорошийДа (одноранговый)
Discord
(избегать)
НетЗакрытый исходный код 7НетНетНетНетПлохоЭлектронная почта требуетсяВиртуализацияПлохоНет
Элемент / Matrix.org (предпочтительно)Да (согласно)НетДаДаБедный 2ДаХорошийДаЧерез прокси 3 или виртуализациюХорошийЧастичный (объединенные серверы)
Facebook Messenger (избегайте)Частичное (только 1 к 1 / подписка)Закрытый исходный код 7ДаНетНетНетПлохоЭлектронная почта и телефон обязательныВиртуализацияПлохоНет
OnionShare (предпочтительно)ДаНет8 _8 _Да (сильно)ДаХорошийДаРоднойХорошийДа (одноранговый)
Сообщения Apple (также известные как iMessage)ДаЗакрытый исходный код 7НетЧастичныйНетНетХорошийТребуется устройство AppleВозможно, виртуализация с использованием реального идентификатора устройства AppleПлохоНет
IRCДа (плагины OTR)НетНетНетНетДаПлохоДаЧерез прокси 3 или виртуализациюХорошийНет
Джами
(предпочтительно)
Да№ 3ДаДаЧастичныйДаХорошийДаЧерез прокси 3 или виртуализацию 9ХорошийЧастичныйTor ломает некоторые функции
KakaoTalk (избегать)ДаЗакрытый исходный код 7№ 4НетНетНетПлохоНет (но возможно)ВиртуализацияПлохоНет
KeybaseДаНетЧастичное (раскрывающееся сообщение)НетНетДаХорошийЭлектронная почта требуетсяНет
Kick(избегать)НетЗакрытый исходный код 7НетНетНетНетПлохоНет (но возможно)ВиртуализацияПлохоНет
Line(избегать)Частичное (по желанию)Закрытый исходный код 7НетНетНетНетПлохоНет (но возможно)ВиртуализацияПлохоНет
Пиджин с OTR (избегайте)Да (ОТP)НетДаНетНетДаПлохоДаЧерез прокси 3 или виртуализациюПлохо 6Нет
Токс (избегать)ДаНетНетНетНетДаХорошийДаЧерез прокси 3 или виртуализациюСредний 7ДаИзвестные криптографические недостатки
Session
(Предпочтительно только на iOS)
ДаНетНетДаДаДаХорошийДаЧерез прокси 3 или виртуализацию 10ХорошийДаОтсутствует PFS, отрицание
СигналДаНетДаДаДа (умеренно)ДаХорошийТребуется телефонВиртуализацияХорошийНетТребуется записывающее устройство или анонимный номер VOIP для анонимного использования
Скайп (избегать)Частичное (только 1 к 1 / подписка)Закрытый исходный код 7НетНетНетНетПлохоНет (но возможно)ВиртуализацияПлохоНет
SnapChat (избегайте)НетЗакрытый исходный код 7НетНетНетНетПлохоНет (но возможно)ВиртуализацияПлохоНетУдаленные сообщения/сообщения с истекшим сроком действия легко восстановить
Команды (избегать)ДаЗакрытый исходный код 7НетНетНетНетПлохоНет (но возможно)ВиртуализацияПлохоНет
ТелеграммЧастичное (только 1 к 1 / подписка)Да (MTProto 8 )Частичное (только секретные чаты)ДаНетЧастичный 5Средний (e2ee отключен по умолчанию)Требуется телефонЧерез прокси 3 или виртуализациюСредний 9Нет
Вайбер (избегайте)Частичный (только 1 к 1)Закрытый исходный код 7ДаНетНетНетПлохоНет (но возможно)ВиртуализацияПлохоНет
WeChat (избегайте)НетЗакрытый исходный код 7НетНетНетНетПлохоНетВиртуализацияПлохоНет
WhatsApp (избегайте)ДаЗакрытый исходный код 7ДаНетНетНетПлохоТребуется телефонВиртуализацияПлохоНет
Wickr meЧастичный (только 1 к 1)НетДаНетДа (умеренно)НетХорошийДаВиртуализацияХорошийНет
Гаджим (XMPP) (предпочтительно)ДаНетДаНетНетДаХорошийДаЧерез прокси 3 или виртуализациюХорошийЧастичный
Zoom (избегайте )СпорныйНет8 _НетНетНетПлохоЭлектронная почта требуетсяВиртуализацияПлохо 12НетРиск вредоносного ПО
MollyДаНетДаДаДа (умеренно)ДаХорошийТребуется телефонВиртуализацияХорошийНетТребуется номер телефона. Защищенный форк клиента Signal. Безопасность может быть задержана на срок до недели

  1. Документация Briar, транспортный протокол Bramble версии 4 [Archive.org]
  2. Serpentsec, Матрица
  3. Википедия, GnuTLS, [Wikiless] [Archive.org]
  4. KTH КОРОЛЕВСКИЙ ИНСТИТУТ ТЕХНОЛОГИЙ, ШКОЛА ЭЛЕКТРОТЕХНИКИ, Аудит безопасности и конфиденциальности сквозного шифрования KakaoTalk [Archive.org]
  5. Википедия, OTR [Wikiless] [Archive.org]
  6. Советы по безопасности Pidgin, [Archive.org]
  7. Форум Whonix, интеграция Tox [Archive.org]
  8. Документация Telegram, мобильный протокол MTProto [Archive.org]
  9. Википедия, нарушения безопасности Telegram, [Wikiless] [Archive.org]
  10. TechCrunch, Возможно, нам все-таки не стоит использовать Zoom, [Archive.org]
  11. The Incercept, встречи Zoom не шифруются сквозным шифрованием, несмотря на вводящий в заблуждение маркетинг [Tor Mirror] [Archive.org]
  12. Serpentsec, безопасный обмен сообщениями: выбор приложения для чата
  13. Берти, разработка,
  14. Рукопожатие Tox уязвимо для KCI,
  15. The Guardian, удаленные фотографии из Snapchat, восстановленные криминалистической компанией «в течение нескольких дней»,
  16. The Guardian, просроченные снимки Snapchat не удаляются, а просто скрываются, -не-удалено-скрыто
  17. The Guardian, «Zoom — вредоносное ПО»: почему эксперты беспокоятся о платформе для видеоконференций,

Легенда:

  1. Упоминания «предпочтительно» или «избегать» относятся к использованию этих приложений для конфиденциальных сообщений. Это всего лишь мое мнение, и вы можете высказать свое собственное, используя ресурсы выше и другие. Помните принцип «Доверяй, но проверяй».
  2. e2ee означает «сквозное шифрование».
  3. Дополнительные шаги могут потребоваться для обеспечения безопасности Tor Connectivity.
  4. Их способность и готовность бороться за конфиденциальность и не сотрудничать с различными противниками
  5. Только клиентские приложения имеют открытый исходный код, а не серверные приложения.
  6. Это означает, что данные полностью зашифрованы в состоянии покоя (а не только во время передачи) и не могут быть прочитаны любой третьей стороной без ключа, который вы знаете только (включая резервные копии).
  7. Непроверяемый, потому что это проприетарный закрытый исходный код.
  8. Будет определено, неизвестно на момент написания этой статьи
  9. Jami потребует, чтобы вы включили DHTProxy в своих параметрах для работы, и он будет ограничен только текстом.
  10. Session также использует собственное решение Onion Routing под названием LokiNet.
Некоторые приложения, такие как Threema и Wire, были исключены из этого сравнения из-за того, что они не являются бесплатными и не принимают анонимные методы оплаты, такие как Cash/Monero.

Вывод:​


Мы будем рекомендовать эти варианты именно в таком порядке (как и в Privacyguides.org , за исключением Session и Cwtch):

  • макОС:
    • Встроенная поддержка Tor Onion Routing ( предпочтительно):
    • Неродная поддержка Tor (требуются дополнительные шаги для идеальной анонимности для проксирования через Tor посредством виртуализации или проксирования):
  • Windows
    • Встроенная поддержка Tor Onion Routing ( предпочтительно):
    • Не родная поддержка Tor (требуются дополнительные шаги для идеальной анонимности для проксирования через Tor посредством виртуализации или проксирования):
  • Линукс:
    • Встроенная поддержка Tor Onion Routing ( предпочтительно):
    • Неродная поддержка Tor (требуются дополнительные шаги для идеальной анонимности для проксирования через Tor посредством виртуализации или проксирования):
  • Обратите внимание, что для работы Jami через Tor вам необходимо включить локальную опцию DHTProxy в настройках Jami. Это будет работать только для текстовых сообщений, а не для звонков/видео)
** Обратите внимание, что эти опции (Briar, Cwtch и OnionShare) пока не поддерживают работу с несколькими устройствами. Ваша информация строго хранится на устройстве/ОС, где вы ее настраиваете. Не используйте их в непостоянной ОС, если вы не хотите использовать их временно.

Какие-нибудь безопасные варианты для мобильных устройств? Да, но они не поддерживаются и не рекомендуются, кроме Briar для Android. Помните также, что это руководство не рекомендует использовать смартфоны для конфиденциальных действий в целом.

  • Андроид:
  • iOS:
    • Из-за отсутствия лучшего варианта и хотя обычно это не рекомендуется : Session Messenger: [Archive.org] . Почему в наши дни это не рекомендуется в сообществе конфиденциальности почему мы проявляем осторожность в отношении Session Messenger .
Обратите внимание, что все неродные параметры Tor должны использоваться поверх Tor в целях безопасности (из Tails или гостевой ОС, работающей за шлюзом Whonix, такой как рабочая станция Whonix или виртуальная машина Android-x86).

Хотя мы не рекомендуем большинство платформ обмена сообщениями по различным причинам, изложенным выше (требования к номеру телефона и электронной почте), это не означает, что их нельзя использовать анонимно, если вы знаете, что делаете. Вы можете анонимно использовать даже Facebook Messenger, приняв необходимые меры предосторожности, изложенные в этом руководстве (виртуализация за шлюзом Tor в непостоянной ОС).

Те, которые являются предпочтительными, рекомендуются из-за их позиции в отношении конфиденциальности, их настроек по умолчанию, выбора криптовалюты, а также потому, что они позволяют удобно анонимно регистрироваться, не сталкиваясь со многими проблемами, связанными с наличием метода проверки номера телефона / электронной почты, и Открытый исходный код. Они должны быть привилегированными в большинстве случаев.

Вы также можете обратиться к следующим внешним ресурсам для получения дополнительных сравнений ( мы не обязательно разделяем их мнение ):

  • SecuChart, [Archive.org] [Repository] (поддерживаемый проект с открытым исходным кодом)
  • Википедия, [Wikiless] [Archive.org]
  • Документация Whonix, чат для обмена мгновенными сообщениями [Archive.org] (устарело, не поддерживается, но содержит полезную информацию)
  • Устаревшие, необслуживаемые или заброшенные ресурсы, которые планируется удалить из нашего руководства в следующем выпуске:
Мы не одобряем и не рекомендуем некоторые основные платформы для обеспечения анонимности, включая широко хвалебный Signal, который до сих пор требует номера телефона для регистрации и связи с другими. В контексте этого руководства мы настоятельно рекомендуем не использовать Signal, если это возможно. Та же рекомендация относится к популярным форкам Signal, таким как Molly ( [Archive.org] )
 
Бро, есть держатели крупных серверов международных серверов matrix и jabber, некоторые из них отказались от matrix и оставили только jabber объяснив это тем, что matrix сервер собирает слишком много метаданых, и чат хранится на обоих серверах матрикс.
 

Похожие темы

ДИСКЛЕЙМЕР: ДАННАЯ СТАТЬЯ НАПИСАНО ДЛЯ RUTOR ФОРУМА, CLEARLY - ВЛАДЕЛЕЦ СТАТЬИ, КИБЕРНЕТИК И ПРОФЕСИОНАЛ В СФЕРЕ OSINT И ПРОГРАММИРОВАНИЯ. ЕСЛИ НАШЕЛ ЭТУ СТАТЬЮ НА ДРУГОМ ФОРУМЕ ЧЕРКАНИ МНЕ НА ТЕЛЕГУ @CLEARLY3. ДАННАЯ СТАТЬЯ БЫЛА НАПИСАНА БЕЗ ИСПОЛЬЗОВАНИЯ НЕЙРОСЕТЕЙ, ПОЛНОСТЬЮ В РУЧНУЮ...
Ответы
82
Просмотры
11К
Всем формучанинам привет ! В рамках конкурса решил написать данный мануал касаемо Онлайн-безопасности в черных и серых сферах Введение: Работа в черных и серых сферах, будь то даркнет или другие высокорисковые онлайн-среды, требует исключительного внимания к безопасности и в мире, где...
Ответы
31
Просмотры
Ч.2 � Тип соединения Анонимность Простота доступа к онлайн-ресурсам Изоляция Tor Stream Безопаснее там, где Tor подозрительный/опасный Скорость Расходы рекомендуемые Тор один Хороший Середина Возможный Нет Середина Бесплатно Да Тор через VPN Хороший+ Середина Возможный Да Середина Около...
Ответы
2
Просмотры
627
Всем формучанинам привет ! В рамках конкурса решил написать данный мануал касаемо: Методы отслеживания противоправных действий органами правопорядка, онлайн и оффлайн, и это реалии 2025-года и тут мы разберем как этому противостоять. Если ты тут, значит, ты уже врубился что за тобой следят и...
Ответы
33
Просмотры
Как поделиться файлами публично, но анонимно: Предупреждение: прежде чем публиковать что-либо публично, убедитесь, что в ваших файлах нет никакой информации, которая может поставить под угрозу вашу личность. Рассмотрим следующие платформы: Cryptpad.fr ( https://cryptpad.fr/ ): уровень...
Ответы
2
Просмотры
778
Назад
Сверху Снизу