Следят ли за нашими коммуникациями и что можно предпринять в ответ?

The New York Times в статье под названием Cracking Down on Dissent, Russia Seeds a Surveillance Supply Chain рассказала о слежке российских спецслужб за гражданами в онлайне. По словам автора материала, содержание переписок или звонков для ФСБ недоступно, однако метаданные — время разговора, адресаты и т.п. — могут потом оказаться в руках силовиков. Для этого, как говорится в статье, используются наработки российских компаний, давно сотрудничающих с государством.

В первых двух случаях речь идёт об отслеживании интернет-трафика (его разбивке и расшифровке). В третьем — об инструменте NetBeholder, который, как утверждается, может отображать местоположение двух телефонов в течение дня, что указывает на потенциальную встречу между людьми, а также определять, может ли один человек владеть несколькими устройствами. В четвёртом упоминается о «продукте» по сбору паролей, вводимых на незашифрованных веб-сайтах.

Сенсации в статье нет. Отслеживание интернет-трафика действительно происходит — за счёт использования СОРМ и предоставления самими сервисами пользовательских данных, если последние были внесены в реестр организаторов распространения информации (ОРИ). 

Подробнее о слежке читайте в других наших карточках.

Оператор действительно может по характерным признакам трафика определить, происходил созвон или текстовая переписка между определёнными IP-адресами, но внутрь заглянуть на текущий момент — как правило, нет (подразумевается, что мессенджер использует шифрование для обмена данными).

Наличие стандартного шифрования TLS имеют такие известные мессенджеры, как Telegram, WhatsApp, Viber. Кроме того, они декларируют наличие ещё и end-to-end encryption (первый — в специально создаваемых чатах, двое других — на постоянной основе). При end-to-end encryption обязательно шифруется не только соединение между клиентом и сервером, но и сам обмен между клиентами, даже если обмен идёт через сервер (то есть сервер не имеет доступа к ключам клиентов). Однако наши технические специалисты отмечают, что нет возможности проверить, действительно ли серверы не имеют доступ к ключам клиентов и не могут при желании расшифровать сообщения.

В первую очередь время, в течение которого на сервер идёт сигнал, и его «вес» (разумеется, есть и другие параметры). Например, если от вас в течение 30 секунд на сервер идут данные, но ответа вы почти не получаете, значит, скорее всего вы отправили файл (звонок так «не выглядит»).

Напротив, если два человека напрямую обменивались трафиком 10 минут (и при этом трафик недостаточно «тяжёл» для  видео), значит, скорее всего вы разговаривали с кем-то голосом.

Именно про этот инструмент эксперты слышат впервые, хотя в целом силовики могут определять, с кем человек общается, если телефоны собеседников были рядом (биллинг операторов связи), а также принадлежат ли оба отслеживаемых устройства одному человеку.

1. Не передавайте значимую информацию в разговоре/переписке через  незашифрованные средства связи. Если это по каким-либо причинам невозможно, взвесьте риски, что хуже: не передать информацию вообще или то, что её могут перехватить.

2. Используйте VPN. Правда, наиболее эффективно это будет, если при общении одновременно через VPN, например, скачивать файлы, смотреть YouTube — с целью изменить «почерк» своего трафика.

3. Отключите в мессенджерах функцию «осуществлять звонки через peer-to-peer», при которой для улучшения качества связи звонок направляется напрямую на устройство собеседника. Без неё функции звонок идёт через сервер мессенджера, поэтому тогда отследить, кому вы звоните, сложнее.

Можно приобрести чехол со встроенной «клеткой Фарадея» — чехол, который не пропускает радиосигнал.

Если же вы хотите, чтобы не обнаружилась связь между двумя телефонами у вас на руках (а не с устройством другого человека во время встречи), то как минимум:

• поставьте в них SIM-карты разных операторов, а лучше — вообще не используйте SIM-карты (или хотя бы в одном из устройств), потому что ни стандарт сотовой связи GSM, ни SMS не предполагают вообще никакого шифрования (всё передаётся в открытом виде);

• пользуйтесь Wi-Fi (если оба телефона подключены к нему, тогда тоже будет сложнее разобраться, кто находится за роутером).

1. Обращайте внимание на адреса сайтов и не заходите на сайты без SSL (они без замочка в адресной строке). 

Однако и здесь есть нюанс: в стране постепенно внедряют национальные сертификаты, идея которых, на наш взгляд, перечёркивает суть использования криптографии. Подробнее об этом читайте тут.

2. Лишний раз не вводите пароли в браузерах, особенно при переходе по сомнительным ссылкам. Например, если вам нужно зайти в соцсеть, непосредственно откройте её сайт, введя адрес в строку браузера, но не переходите по ссылке из подозрительного письма. 

Больше принципов парольной защиты тут.

Возможно. Действительно, риски у всех людей разные, поэтому будут разными и стратегии защиты. Учитесь моделировать свои угрозы вместе с персональным ассистентом по комплексной безопасности!