Перейти к содержанию

Как пользоваться мессенджерами для конфиденциальной переписки | Блог Касперского


Рекомендуемые сообщения

Мы неоднократно сравнивали защищенные мессенджеры со сквозным шифрованием, рекомендовали настройки и описывали дефекты таких приложений. А чего ждут от мессенджеров те, кто хочет безопасности, но не слишком разбирается в технологиях? Группа экспертов из агентств Tech Policy Press и Convocation Research and Design провела обширное исследование и выпустила отчет под названием «Что является безопасным?» (What Is Secure).

В отчете даны рекомендации как пользователям, так и разработчикам. Поскольку 86 страниц текста осилят лишь самые целеустремленные, мы перескажем главные выводы работы.

Что изучали

Авторы провели интервью с группами пользователей в Луизиане (США) и Дели (Индия) и определили сильные и слабые стороны современных мессенджеров. Пользователям предлагали такие популярные приложения:

  • Apple iMessage;
  • Meta (Facebook) Messenger*;
  • Messages by Google;
  • Signal;
  • Telegram;
  • WhatsApp.

При этом изучалось, как люди реагируют на подсказки приложения, как понимают значение каждой функции. Что еще важнее, с ними поговорили о том, чего конкретно они опасаются и как представляют себе пользу безопасных мессенджеров в своей жизни. Некоторые опрошенные опасались физической агрессии (например, семейного насилия), а некоторые — преследования властей. Это сильно влияет на то, что для них является «безопасным».

 

Посмотреть статью полностью

Ссылка на комментарий
Поделиться на другие сайты

Quote

Meta (Facebook) Messenger*;

*Meta (Facebook) Messenger принадлежит компании Meta, признанной экстремистской организацией в России.

Решил глянуть, что там исследовали другие организации и встречаю с порога вот это. И в голове мысль "автор, ты в курсе, что Whatsapp - это тоже Meta?". Смотрю, то автор - а это Стан Каминский. И всё во мне сразу напряглось. Этому автору вообще не удаются статьи, ему нужно искать себя в другой сфере. Но вряд ли это он поставил сноску, скорее это редактор. Так что обращаюсь к редактору статьи - Вотсапп тоже принадлежит Мете.

 

Возвращаясь к Стану, я уверен, что тот налажает в базовых вещах и будет натягивать сову на глобус, пытаясь выдать одно за другое. Ну и наверняка ещё на СПО наедет.

 

Quote

Зашифрованная переписка не решит всех проблем пользователя, находящегося под угрозой.

Капец, спасибо. Никто ведь не знает, что шифрование переписки - это один из множества _обязательных_ этапов обеспечения безопасности. Примерно как не жрать с пола и не бросать в рот все ягоды, которые встретишь. Эти 2 правила не решат всех проблем, но они _тоже_ необходимы.

 

Quote

Поэтому надо обдумать свою стратегию против настойчивых противников. Грозит ли вам физическое изъятие телефона? Принуждение к его разблокировке? Боитесь ли вы того, что ваши данные будут пытаться получить у компании-владельца мессенджера по суду или ордеру? Или попытаются заразить ваш телефон шпионским приложением? А может, ту же самую переписку проще выудить у вашего собеседника?

https://fstec.ru/dokumenty/vse-dokumenty/prikazy/prikaz-fstek-rossii-ot-11-fevralya-2013-g-n-17

Quote

Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.

В общем, описанное — это про модель угроз и модель нарушителя. Это я так, чтобы читатель моего ответа просто узнал пару терминов. Ну а тот, кто выбирает мессенджер, должен прикинуть модели угроз и нарушителя.

 

Quote

В качестве дополнительных рекомендаций подобным уязвимым группам пользователей авторы отчета предлагают предпринять ряд технических мер (о них поговорим ниже), но главное — вообще не брать телефон туда, где возможны его физическое изъятие или принудительная разблокировка. Для таких опасных мест рекомендовано завести второй телефон, а первый держать у доверенного лица.

Ошибочный посыл. Не знаю, кто неправ  - авторы статьи или тот, кто нам её пересказывает своими словами. Исследование про _мессенджеры_. То есть если берёшь с собой телефон, даже отдельный, там будет мессенджер с перепиской и его точно также могут изъять. Так зачем схема с двумя телефонами, когда нарушитель имеет физический доступ к устройству и может принудить к разблокированию. При чём второе сводит на нет даже отсутствие телефона - если нарушитель может принудить разблокировать, то он может принудить залогиниться на том телефоне, который сам и предоставит.

 

Quote

Самое секретное — лучше лично. Никакие виды цифровых коммуникаций не являются полностью безопасными. Поэтому самые рискованные для разглашения вещи, особенно если речь идет об угрозе жизни и здоровью, рекомендуется обсуждать лично, а не в переписке.

Опять же, нужно рассматривать модель угроз. Добавим в угрозы отказ от обязательств стороны, если нет документального подтверждения. То есть нет переписки - вторая сторона скажет "мы не договаривались и никакой личной встречи не было", что тогда? Модель угроз - это не только "телефон могут украсть".

 

Quote

Хорошо изучите: что, где и как на самом деле хранит выбранный мессенджер

Где это почитать? Стан, расскажи мне, что где и как хранит компания обо мне? Всё, со мной связанное, включая информацию о моих файлах, которая попала в KSN. Не расскажешь?

 

Quote

Об этом пишут в отчетах о прозрачности, а также в прессе.

Стан, а можно мне отчёт о прозрачности ЛК? :) Этот "трансперенси репорт" - это такая модная штука, которая во-первых вообще не обязана существовать, во-вторых отчёты могут быть улучшены по просьбе "кого надо", в-третьих обращения некоторых вообще идут мимо отчётов о прозрачности, т.к. происходят вне оговорённых процедур. Вон, Цукер проболтался на подкасте одном, что сотрудники ФБР прям ногами приходили в офис, прям физически подходили к сотрудникам и говорили, чтобы информация о Хантере Байдене в Фейсбуке не всплывала. Такие подходы не попадут в отчёт о прозрачности, потому что они были не официальными. Просто для Цукера это настолько привычно (Фейсбук и ФБР суть одна контора уже), что он даже не понял, ЧТО ИМЕННО он только что сказал.

 

Quote

Рекомендованы для использования мессенджеры, основанные на 100% шифровании сообщений — это Signal и WhatsApp.

Спишем корявость построения фразы "месседжеры, основанные на шифровании сообщений" на то, что русский язык не родной для Стана и редакторов или же спишем на то, что авторы (или Стан???) не понимают, о чём говорят. Телега тоже "основана на 100% шифровании сообщений", знаете ли: это e2se — (энд-ту-сервер энкрипшен) шифрование между клиентом и сервером. Я пишу это сообщение, которое прочитают разные люди, однако оно тоже будет передано 100% зашифрованным: потому что HTTPS.

Отличие Сигнала и Вотсапа от Телеграма в том, что у них e2ee (энд-ту-энд энкрипшен) — это обычный режим работы, тогда как у Телеги - это специальный режим, который нарочно сделан неудобным. Называется "секретные чаты". Но и e2se, и e2ee - это всё шифрование, тогда как SMS вообще не шифруются.

 

Quote

Полезны мессенджеры, работающие без привязки к номеру телефона. К таковым отчасти относятся Telegram, Messenger* и iMessage, хотя во всех трех нужно постараться, чтобы вести переписку при помощи внутреннего ника или e-mail.

Можно не стараться. У Телеги, а тем более Фейсбука, и уж точно у Эпла есть примерно бесконечное число способов связать "анонима" с конкретным Васей. Отвязка от SMS - это маркетиновый ход. Он никакого отношения к приватности не имеет, потому что сами поставщики мессенджеров всё равно сразу поймут, кто вы такой. Это просто рекламный ход, ориентированный на доверчивых людей. Хотите анонимности - идите в https://briarproject.org/manual/ru/ или Threema, купленную через крипту (я покупал за битки её) на худой конец. Используете попсовые мессанджеры - просто примите тот факт, что для владельцев мессенджера (а равно для людей в погонах) вы не анонимны.

 

В общем, что хочу сказать. Или авторы исследования провели бесполезную работу, или нам так перевели. Потому что все и так знают, что Сигнал лучше Телеграма, но Телеграм удобнее Сигнала. И что Гугл и Эпл вообще никакого отношения никогда к приватности не имели. И фейсбук туда же.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      До Нового года и Рождества остаются считаные дни, а перегруженные службы доставки могут опоздать и не привезти нужные подарки вовремя. Конечно, тем, кому вы еще не купили подарок, можно преподнести цифровой подарочный сертификат или подписку. Но придумать интересный и полезный вариант подписки тоже нелегко, ведь уже почти все желающие обзавелись «Яндекс.Плюсом», «VK Музыкой» и аналогами, а дарить Telegram Premium уже даже как-то неудобно.
      Выход есть! Мы предлагаем подарить один из сервисов, который день за днем будет повышать уровень конфиденциальности получателя подарка. Ведь позаботиться о приватности хотят многие, но мало у кого хватает времени и сил сделать для этого необходимые шаги, и такой подарок станет одновременно необычным — и полезным.
      За редким исключением, сервисы, акцентирующие приватность, — платные. Ведь за серверы, хранящие данные, и разработку устойчивого к взлому софта нужно платить. А если не брать с подписчиков денег, то придется продавать информацию о них рекламодателям, как это делают Google и Meta*. Поэтому годовая подписка на сервис, повышающий приватность, может стать ценным подарком и в денежном выражении.
      С нашими рекомендациями получатель подарка сможет избавиться от небезопасных офисных приложений, сервисов заметок и мессенджеров, которые пользуются хранящейся информацией не по назначению, заменив их на приватные альтернативы.
      Но перед покупкой обдумайте два неоднозначных момента.
      Во-первых, сервисы, где важна коммуникация с людьми или совместная работа, бессмысленно дарить одному человеку — так, от зашифрованного мессенджера нет толку, если в нем нет хотя бы нескольких друзей. Возможно, такой подарок нужно сделать целой команде?
      Во-вторых, удобство и функциональность приватных инструментов иногда уступают «общепринятым» аналогам, не столь уважающим конфиденциальность. Насколько это критично — зависит от нужд и привычек одариваемого.
      Сделав эти оговорки, давайте посмотрим, какие качественные приватные альтернативы популярным сервисам достойны стать рождественским или новогодним подарком.
      Офисные приложения
      Личные дневники, черновики научных работ и финансовые расчеты все сложней уберечь от посторонних глаз. Сервисы типа Google Docs всегда были полностью онлайновыми, что порождало как проблемы утечек, так и споры о том, как Google обрабатывает хранящиеся там данные. Microsoft в последние годы стремится наверстать упущенное, включая даже в офлайновый Office целый набор спорных функций: автосохранение в OneDrive, «необязательные сетевые функции«, «функции LinkedIn». Само по себе хранение данных в облаке, возможно, не вызывало бы особой тревоги, если бы не опасения, что документы будут использовать для таргетинга рекламы, тренировки ИИ или еще каких-то посторонних целей.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Примерно год назад произошел масштабнейший ransomware-инцидент — атака на гиганта американского медицинского страхования, компанию UnitedHealth Group. Взлом имел настолько многочисленные и серьезные последствия, что все прошедшее с момента атаки время появлялись новые подробности о ходе атаки и ее итогах. К годовщине инцидента мы решили собрать все теперь уже доступные данные в одном материале.
      Ransomware-атака на UnitedHealth Group
      Сперва дадим контекст, который будет в особенности полезен для тех, кто не очень хорошо знаком с данной организацией. UnitedHealth Group — это крупнейшая компания на рынке медицинского страхования и медицинских услуг США. Ее капитализация составляет примерно $500 миллиардов. При этом UnitedHealth Group занимает девятое место по выручке среди всех корпораций мира, следуя в этом списке сразу после Apple.
      В состав UnitedHealth Group входят две компании. Первая из них, UnitedHealthcare, занимается медицинским страхованием. Вторая, Optum, специализируется на предоставлении разнообразных медицинских услуг — от фармацевтики и собственно медицинского обслуживания до ИТ-систем, используемых в здравоохранении.
      Последним занимается OptumInsight — одно из трех подразделений Optum, причем самое высокомаржинальное из них. Осенью 2022 года в OptumInsight вошла приобретенная UnitedHealth Group платформа Change Healthcare. Эта цифровая площадка обрабатывает заявления на получение страховых выплат, выступая в роли финансового посредника между пациентами, поставщиками медицинских услуг и страховщиками.
      Собственно, Change Healthcare и стала непосредственной целью атаки вымогателей: 21 февраля в ее системах начал работать шифровальщик, из-за чего платформа стала недоступна. Это вызвало настоящий хаос в американской системе здравоохранения: из-за невозможности быстрой обработки заявлений на страховые выплаты многие пациенты вынуждены были оплачивать лекарства и медицинские услуги из своего кармана. А медицинским учреждениям пришлось перейти в ручной режим обработки счетов.
      Восстановление пострадавших систем заняло многие месяцы: к примеру, клиринговый сервис Change Healthcare возобновил работу лишь в ноябре. В UnitedHealth Group даже создали специальный сайт, на котором можно следить за восстановительными работами. Даже сейчас, спустя год после атаки, на этом сайте публикуются регулярные обновления, а некоторые системы до сих пор имеют статус «доступна частично».
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      «Здравствуйте, это ваш дальний родственник из Нигерии. Дело в том, что я болен смертельной болезнью, другой родни у меня нет, поэтому хочу еще при жизни перечислить вам свое наследство в размере $100 млн», — сообщения с подобным посылом приходили на почту, наверное, каждому пользователю Интернета. Эти письма прозвали «нигерийскими», потому что мошенники представлялись богатыми и состоятельными людьми из Нигерии. Сейчас на смену «богатым нигерийским четвероюродным дядям по маминой линии» приходят фейковые представители банков, онлайн-магазинов, служб доставок и даже президенты.
      Сегодня расскажем про самые популярные виды спама и ответим на вопрос, что делать, если на почту пришел спам.
      Письма от инвесторов, меценатов и прочих богачей
      Это, пожалуй, самый древний и вместе с тем популярный сценарий спама. Даже в 2025 году в почту стучатся всевозможные благодетели, жаждущие отдать свои кровные именно вам. Подобные письма выглядят как под копирку: якобы невероятно богатый человек рассказывает про источник своего богатства, описывает свою проблему и предлагает ее решение. Обо всем по порядку:
      Источником богатства может быть что угодно: наследство, невероятно прибыльный бизнес в далекой стране или даже внезапно обнаруженный криптокошелек с миллионами денег. Проблема тоже вариативна: от смертельной болезни до желания пожертвовать все свои деньги на благотворительность — и сделать это нужно обязательно с вашей помощью. Решение всегда одно — нужно как можно скорее перевести деньги на ваш счет. Конечно, если в ответ на такое письмо вы отправите свои глубочайшие соболезнования и номер банковской карты, то никто не перечислит вам ни миллионы, ни даже тысячи денег. Наоборот, мошенники будут всеми правдами и неправдами вынуждать вас перевести им свои средства. Как вариант, оплатить несуществующую комиссию на перевод их миллионов денег.
      Не стоит верить письму, даже если оно отправлено якобы президентом США. Сейчас спамеры на волне популярности Дональда Трампа запустили новую-старую мошенническую схему: рассылают потенциальным жертвам письма, в которых представляются Дональдом Трампом, почему-то решившим отправить по $15 млн нескольким десяткам счастливчиков по всему миру. Получить миллионы можно, лишь отправив ответное письмо, где фейковый мистер Дональд Трамп попросит перейти по ссылочке и ввести свои банковские данные либо оплатить комиссию за перевод средств на ваш счет.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Ваш аккаунт в мессенджере может быть интересен не только ревнивым супругам или слишком любопытным сослуживцам. На украденных учетных записях WhatsApp построен масштабный криминальный бизнес — от рассылки спама до сложных мошеннических схем. Поэтому чужие ватсап-аккаунты нужны преступникам постоянно, и они стараются получить их всеми возможными способами. Вот восемь признаков того, что вашим аккаунтом, возможно, уже пользуются хакеры.
      Вам отвечают на сообщения, которых вы не отправляли. Друзья жалуются, что от вас приходят странные сообщения. Вы заходите в чат и видите в нем удаленные сообщения, в том числе от вас, — а вы ничего не отправляли и не удаляли. Вам неожиданно пришел код подтверждения для входа в WhatsApp, который вы не запрашивали. У вас опубликованы статусы (сториз), которые вы не устанавливали. Фото, имя и описание в вашем аккаунте WhatsApp вдруг изменились. У вас появились чаты и сообщества, в которые вы не вступали. Вы входите в свой мессенджер, а он говорит, что этот аккаунт используется на другом устройстве и надо заново регистрироваться (это самый очевидный признак). Особого внимания и немедленной реакции заслуживают первые три признака — преступники часто используют взломанный аккаунт, чтобы обмануть ваших друзей и близких. Они могут от вашего имени просить деньги на неотложные нужды, обещать подарки или приглашать поучаствовать в голосовании. В любом из этих случаев ваши друзья станут жертвами мошенничества — с вашей невольной помощью.
      Две разновидности угона WhatsApp
      Злоумышленники могут пользоваться вашим аккаунтом одним из двух способов. Либо они добавляют к вашему аккаунту еще одно устройство через функцию «Связанные устройства», либо заново регистрируют на своем устройстве ваш аккаунт, как будто это вы купили новый телефон.
      В первом случае вы продолжаете пользоваться WhatsApp как обычно, но параллельно к нему имеют доступ преступники, в том числе видят вашу свежую переписку.
      Во втором случае вы теряете доступ к аккаунту, при входе в WhatsApp приложение говорит, что теперь этот аккаунт используется на другом устройстве. Преступники могут управлять вашим аккаунтом, но не видят вашей старой переписки.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Начиная с 31 декабря наша телеметрия начала фиксировать масштабную активность криптомайнера XMRig. Причем в большинстве случаев запуск зловреда детектировался домашними решениями, но в некоторых — корпоративными. Тщательное исследование проблемы показало, что некие злоумышленники распространяли зловред в торрентах с играми. Целью атаки, скорее всего, были именно геймеры из разных стран, включая Россию, Бразилию и Германию, однако, вероятно в силу того что некоторые сотрудники компаний используют рабочие компьютеры в личных целях, криптомайнер был обнаружен и в корпоративных сетях.
      Вредоносная кампания
      Кампания, ласково названная нашими аналитиками StaryDobry, была тщательно спланирована: вредоносные дистрибутивы создавались и загружались на торренты начиная с сентября по декабрь 2024 года. Разумеется, игры на торрентах были представлены в виде репаков — то есть модифицированных версий программ, в которые авторы раздачи уже встроили средства обхода проверки подлинности копии игры (иными словами, игры были взломаны).
      Пользователи успешно загружали и устанавливали их. До поры до времени троянизированные игры никак не проявляли себя, но 31 декабря они получили команду с удаленного сервера злоумышленников, начали скачивать майнер и запускать его на зараженном устройстве. Троянизированы были версии популярных компьютерных игр-симуляторов Garry’s Mod, BeamNG.drive, Universe Sandbox и некоторых других.
      Мы внимательно исследовали образец зловреда и вот что обнаружили.
      Перед запуском программа проверяет, запускается она в отладочной среде / «песочнице» или нет. Если да — процедура установки немедленно прекращается. Майнер представляет собой слегка модифицированный исполняемый файл XMRig, подробно о котором мы рассказывали в 2020 году. Если количество процессорных ядер устройства меньше 8, то майнер не запускается. Наши продукты детектируют использованные в этой вредоносной кампании зловреды, такие как Trojan.Win64.StaryDobry.*, Trojan-Dropper.Win64.StaryDobry.*, HEUR:Trojan.Win64.StaryDobry.gen. Больше технических подробностей и индикаторы компрометации можно найти в публикации Securelist.
       
      View the full article
×
×
  • Создать...