Вики OPSEC (руководство по личной безопасности в Интернете)

Этот перевод был сделан машиной и пока не проверен человеком. Говоришь на этом языке? Проверить перевод.

Автор: Jacob Mehnert

Оперативная безопасность (OPSEC) — это процесс, в ходе которого выявляется критически важная информация, чтобы определить, может ли разведка противника наблюдать за действиями дружественной стороны, определить, может ли информация, полученная противником, быть истолкована как полезная для него, и затем выполнить выбранные меры, которые устраняют или уменьшают возможность использования противником критически важной информации дружественной стороны.

Хотя армия США впервые ввела этот термин во время войны во Вьетнаме, с тех пор эта фраза была принята экспертами по кибербезопасности для описания концепций, направленных на защиту цифровых систем, сетей, устройств и данных от киберугроз и поддержание цифровой безопасности.

Утверждение о том, что вам безразлично право на частную жизнь, потому что вам нечего скрывать, ничем не отличается от заявления о том, что вам нет дела до свободы слова, потому что вам нечего сказать.

— Эдвард Сноуден

Одним из наиболее распространенных логических заблуждений относительно конфиденциальности в Интернете является убеждение, что вам не нужно беспокоиться о ней, если вам нечего скрывать. Хотя это правда, что вам, возможно, действительно нечего скрывать, разрешение компаниям собирать ваши данные имеет вполне реальные последствия.

25 ноября 2022 года Рэндол Куран Рид был арестован по двум обвинениям в краже и краже кредитной карты в Батон-Руж и приходе Джефферсон. Однако во время ареста Рида был проигнорирован один важный факт: он никогда не был в Луизиане.

Произошло следующее: полиция использовала программное обеспечение для распознавания лиц, известное как Clearview AI, которое ложно пометило Рида после того, как сравнило его лицо с данными подозреваемого, записанного камерой видеонаблюдения, и решило, что это совпадение. Также было установлено, что Clearview AI располагает обширной базой данных лиц, собранных из фотографий, загруженных на такие сайты, как Facebook и LinkedIn.

Несмотря на то, что Рид никогда не был в Луизиане, он все равно провел неделю под стражей в полиции и был вынужден заплатить несколько тысяч долларов в качестве судебных издержек, чтобы его освободили. Дело Рида было не единственным изолированным инцидентом, когда то же самое программное обеспечение ложно пометило человека. Произошло как минимум четыре других случая ошибочной идентификации, и это только те случаи, которые стали широко известны общественности. У многих людей нет денег или адекватных ресурсов для борьбы с этими обвинениями, поэтому их имена и истории никогда не станут широко известны.

До июля 2017 года каждый сотрудник Amazon Ring мог получить доступ к видео любого пользователя Ring, даже если это не требовалось для выполнения их конкретной работы. Эти видео были не только свободно доступны сотрудникам Amazon, но и стороннему подрядчику из Украины, которому до июля 2017 года также был предоставлен доступ к этим видео и свобода их скачивания и хранения.

Само собой разумеется, что сотрудники Amazon злоупотребляли этим доступом. Федеральная торговая комиссия (FTC) сообщила, что один сотрудник Ring просмотрел тысячи видеороликов от как минимум 81 пользовательницы. Сотрудник якобы искал видеопотоки, которые могли указывать на использование камер в самых приватных зонах, таких как «Главная спальня», «Главная ванная комната» и одна камера под названием «Spy Cam». Считается, что этот сотрудник просматривал видео не менее часа в день. В результате этого инцидента на Amazon подали жалобу в FTC, вынудив компанию выплатить 5,8 млн долларов в качестве урегулирования.

Аналогичным образом, в апреле 2023 года выяснилось, что Tesla может получить доступ к камерам в автомобилях своих клиентов. Также было обнаружено, что сотрудники Tesla обменивались друг с другом видео и фотографиями, собранными с этих камер. Бывший сотрудник Tesla даже описал, что даже если машина была выключена, камеры все равно записывали видео, и машина даже сообщала о своем местоположении.

Бывший сотрудник рассказал, как автомобили фиксировали, как клиенты занимались стиркой и другими домашними делами.

Один из самых распространенных способов оптимизации продаж компаниями — это таргетированная реклама, основанная на данных просмотра, собранных у пользователей. В 2020 году выяснилось, что Orbitz, популярное онлайн-туристическое агентство и поисковик путешествий, показывал более высокие цены на гостиничные номера пользователям Mac, чем тем, кто использовал ПК с Windows. Позже Orbitz признал, что использовал эту особенность пользователей для предложения более дорогих номеров владельцам Mac, и впоследствии удалил эту «функцию».

Помимо того, какое именно устройство вы используете, рекламодатели могут собирать и другие личные данные с сайтов, которые вы просматриваете. В 2021 году компании Signal запретили размещать рекламу в Facebook и Instagram за проведение того, что было названо самой честной рекламной кампанией. Суть кампании заключалась в том, чтобы разоблачить способность Instagram и его материнской компании, Facebook, собирать данные о пользователях путем таргетинга на них с помощью рекламных инструментов Instagram.

Некоторые из используемых данных представляли собой базовую информацию, начиная от возраста и местоположения пользователя и заканчивая более глубокими детализированными пунктами, например, искал ли человек новый дом, был ли он одинок или действительно увлекался энергетическими напитками.

Даже если у компании, собирающей ваши данные, нет скрытых мотивов при их использовании, это не означает, что эти данные не станут мишенью для других лиц с такими мотивами. В ноябре 2022 года австралийская компания Medibank допустила утечку данных клиентов, связанных с заявками на лечение психического здоровья, в даркнет силами российских хакеров.

Всю неделю, начиная с 6 ноября 2022 года, хакерская группа постепенно публиковала файлы, содержащие личную информацию различных страхователей. В течение недели данные сотен пациентов были обнародованы, при этом основной целью было заставить Medibank выплатить выкуп, чтобы остановить утечку.

Несмотря на то, что Medibank руководствовался самыми добрыми намерениями при хранении данных пациентов и не использовал их в корыстных целях, эти данные все равно стали мишенью для хакеров и были раскрыты широкой общественности.

К счастью, изменив несколько привычек и используя правильные технологии, вы можете защитить свои данные и повысить свою конфиденциальность и анонимность. Важно отметить, что некоторые из этих шагов создадут небольшие трудности для ваших привычек просмотра веб-страниц, поскольку современный интернет не был спроектирован как конфиденциальное пространство. Хотя эта Вики поможет вам понять ресурсы, необходимые для сохранения анонимности в сети, вам придется пожертвовать удобством.

Создание модели угроз является фундаментом повышения вашей конфиденциальности в Интернете. Это первый шаг к защите ваших данных. Определите, что вы хотите защитить, поймите потенциальные угрозы и риски, установите цели безопасности и найдите уязвимости в своей онлайн-активности. Адаптированная к вашей ситуации модель угроз позволит вам активно защищать свои цифровые активы. Узнайте, как создать модель угроз, с помощью нашего руководства.

Многие люди консолидируют свои аккаунты и сервисы у одного провайдера электронной почты, ориентированного на массового пользователя, такого как Gmail. Это часто приводит к повторному использованию паролей для разных аккаунтов, привязывая огромный объем личной информации к одной почте. Эта практика становится проблематичной, если в результате утечки данных становятся известны пароли и адреса электронной почты, что делает все связанные с ней аккаунты уязвимыми для взлома. Компрометация почты означает компрометацию связанных сервисов.

Решение заключается в децентрализации аккаунтов с использованием нескольких адресов электронной почты и единой системы управления паролями. Выбирайте менеджер паролей, который не является веб-ориентированным и не требует онлайн-регистрации или облачной синхронизации, чтобы сохранить анонимность. Лучшими рекомендациями являются KeePassXC или GNU Pass.

Один из самых важных моментов, который следует учитывать при защите своих данных, — это выбор почтового сервиса. Обычно это либо постоянные адреса электронной почты, либо временные («одноразовые») адреса. Независимо от того, какой из них вы будете использовать, регистрироваться стоит через сеть TOR, так как вы можете запросить новую личность для просмотра сайтов.

Постоянные адреса электронной почты предназначены для всех сервисов, которыми вы планируете пользоваться в обозримом будущем, например, для переписки или получения уведомлений от аккаунтов. Три хороших сервиса, которые настоятельно рекомендуются для постоянного адреса электронной почты: Tutanota, Mailfence и Proton Mail.

Выбор веб-браузера ===

Веб-браузеры служат для компаний обширными инструментами сбора данных. Оптимальный выбор для конфиденциальности — GNU IceCat и Firefox благодаря их надежным конфигурациям безопасности сразу после установки.

GNU IceCat может похвастаться самой безопасной настройкой «из коробки». Однако есть компромисс: он не поддерживает JavaScript, что делает его непригодным для сервисов, зависящих от JavaScript, таких как YouTube.
Firefox более удобен для пользователя и столь же безопасен, но требует некоторых настроек для повышения конфиденциальности. Настройте его на удаление файлов cookie при закрытии браузера и отключите автозаполнение данных кредитных карт и адресов.

Напротив, браузеров, таких как Google Chrome, лучше избегать. Chrome отдает приоритет отслеживанию данных ради прибыли и зачастую по умолчанию не обеспечивает конфиденциальность.

При обеспечении конфиденциальности в Интернете выбор поисковой системы имеет огромное значение. Вместо обычных поисковиков, которые компрометируют конфиденциальность, мы предлагаем изучить альтернативы. DuckDuckGo, StartPage и SearX — достойные варианты.

DuckDuckGo придерживается строгих политик конфиденциальности, которые исключают отслеживание или хранение персональных данных.
StartPage объединяет результаты поиска Google с повышенными мерами защиты конфиденциальности.
SearX, метапоисковая система с открытым исходным кодом, позволяет запускать личный экземпляр, предоставляя полный контроль над поисковыми запросами и данными.

Эти альтернативы ставят вашу конфиденциальность на первое место, сохраняя секретность вашей поисковой активности в Интернете.

При выборе сервиса мгновенных сообщений (мессенджера) отдавайте предпочтение тем, которые используют сквозное шифрование. Избегайте платформ без шифрования, таких как SMS, которые уязвимы для перехвата сотовыми провайдерами или хакерами. Надежный выбор с шифрованием — Signal. Он предлагает зашифрованные мгновенные сообщения, а также безопасные голосовые и видеозвонки. Однако централизация Signal несет потенциальные риски, такие как наличие бэкдоров или смена владельца, равнодушного к вопросам конфиденциальности. Альтернативы включают федеративные сервисы, такие как Element, или одноранговые (P2P) варианты, такие как Briar и Jami, предлагающие различные подходы к защите вашей конфиденциальности.

В эпоху, когда защита конфиденциальности и безопасности в Интернете имеет первостепенное значение, внедрение виртуальной частной сети (VPN) становится решающим шагом в защите вашего цифрового присутствия. VPN устанавливает безопасный зашифрованный канал между вашим устройством и Интернетом, гарантируя, что ваши онлайн-действия останутся конфиденциальными и недоступными для посторонних глаз, включая хакеров, интернет-провайдеров и правительственную слежку. С VPN вы можете просматривать веб-страницы инкогнито, получать доступ к контенту с географическими ограничениями и укреплять безопасность использования данных в общедоступных сетях Wi-Fi. Независимо от того, беспокоит ли вас конфиденциальность в Интернете или вы стремитесь укрепить свою кибербезопасность, VPN является незаменимым инструментом, дающим вам повышенный контроль над своими цифровыми следами и спокойствие в нашем взаимосвязанном мире. Узнайте, как создать собственный VPN с помощью этой подробной Вики.

Анна Брэдинг. "Amazon's Ring Cameras Were Used to Spy on Customers." Malwarebytes, 1 июня 2023 г., www.malwarebytes.com/blog/news/2023/06/a....
Хилл, Кашмир и Райан Мак. "'Thousands of Dollars for Something I Didn't Do.'" The New York Times, 31 марта 2023 г., www.nytimes.com/2023/03/31/technology/fa....
Хилл, Кашмир. "Another Arrest, and Jail Time, Due to a Bad Facial Recognition Match." The New York Times, 29 декабря 2020 г., www.nytimes.com/2020/12/29/technology/fa....
Хантер, Меган. "Fact or Fiction: Do Airlines Raise Your Ticket Price Based on Your Browser History?" Million Mile Secrets, 9 апреля 2021 г., millionmilesecrets.com/guides/are-airlin....
"Medibank Mental Health Data Posted on Dark Web as Russian Hackers Vow to 'Keep Our Word.'" The Guardian, 13 ноября 2022 г., www.theguardian.com/australia-news/2022/....
Стеклов, Стив и др. "Special Report: Tesla Workers Shared Sensitive Images Recorded by Customer Cars." Reuters, 6 апреля 2023 г., www.reuters.com/technology/tesla-workers....
Водински, Шошана. "Signal Tries to Run the Most Honest Facebook Ad Campaign Ever, Immediately Gets Banned." Gizmodo, 4 мая 2021 г., gizmodo.com/signal-tried-to-run-the-most....