Jak chronić nasze elektroniczne życie
W jednym z ubiegłorocznych wydań "New York Timesa" (listopad 2016 r.) Quincy Larsson, założyciel społeczności open-source’owej o nazwie Free Code Camp, wyjaśniał, dlaczego warto, aby każdy zadbał o bezpieczeństwo swoich danych i generalnie własnej obecności w Internecie. Z jego punktu widzenia z „atakiem” na nasze życie online mamy do czynienia zawsze, gdy ktoś dobiera się do danych, których temu komuś udostępniać nie chcemy. "Nieważne, czy jest to rząd, korporacja, czy hakerzy", przekonuje Larsson.
On i wielu innych ekspertów doradzają, jak uniemożliwić - albo chociaż bardzo utrudnić - wszystkim chętnym wejście z buciorami w nasze e-życie. Oto siedem zasad, których nie powinniśmy zbywać wzruszeniem ramion.
Szyfruj
Wbrew pozorom zaszyfrowane dane są bezpieczniejsze niż dane usunięte czy, jak się potocznie mówi, „wykasowane”. Informacje, które wyrzuciliśmy z pamięci komputera (a przynajmniej tak się nam wydaje), można odzyskać z twardego dysku, a tymczasem dostęp do danych zaszyfrowanych wymaga wiele wysiłku od potencjalnych włamywaczy.
Popularny ostatnio, niestety także wśród terrorystów, kryptograficzny komunikator Signal, oparty na oprogramowaniu open-source, jest uważany za niezwykle skuteczną metodę enkrypcji przesyłanych treści. Z drugiej strony - pozostaje on bezpieczny tylko dla ludzi, którzy go używają. Innymi słowy, odbiorca naszych przekazów również musi używać Signala.
Za całkiem bezpieczny uchodzi komunikator WhatsApp. Jeśli jednak ktoś chciałby czegoś więcej niż bezpiecznego przesyłania wiadomości - np. pragnie chronić przechowywane dane, powinien poszukać specjalnych rozwiązań szyfrujących. I tym samym przechodzimy do drugiej zasady.
Zabezpiecz twardy dysk
Zarówno komputery pracujące w systemie Windows, jak i maszyny firmy Apple oferują fabryczne ustawienia szyfrowania danych. Trzeba je tylko włączyć.
Znane Windows rozwiązanie o nazwie BitLocker szyfruje przy pomocy algorytmu AES (128 lub 256 bitów) każdy sektor partycji. Szyfrowanie i odszyfrowanie odbywa się w najniższej możliwej warstwie, przez co mechanizm pozostaje praktycznie niewidzialny dla systemu i aplikacji. Niezależnie od AES, do szyfrowania wykorzystywany jest dyfuzor, pozwalający na lepszą dyfuzję zaszyfrowanych danych. Algorytm dyfuzora został opracowany przez firmę Microsoft i jest powszechnie dostępny, jednak aby nie zmuszać użytkowników do stosowania niecertyfikowanych algorytmów kryptograficznych, istnieje możliwość jego wyłączenia. Razem z algorytmem dyfuzora opublikowany został formalny dowód, wykazujący, że połączenie AES i dyfuzora daje ochronę nie słabszą niż sam AES. Algorytmy kryptograficzne używane w mechanizmach BitLocker mają certyfikację FIPS.
Analogiczne rozwiązanie dla maków, choć działające w inny sposób, to FileVault.
Zarządzaj swoim hasłem
Nie każdy jest gotów do stosowania złożonych i trudnych do zapamiętania haseł. Larsson rekomenduje więc programy zarządzające hasłami, tzw. password managery, takie jak LastPass, iPassword czy KeePass. Jest to co prawda nieco kontrowersyjne - wielu specjalistów nie poleca stosowania takich rozwiązań, bo np. program LastPass w 2015 r. został zhakowany. Jednak warto pamiętać, że stosujemy dzięki temu dodatkowy próg bezpieczeństwa. Haker musi bowiem zhakować nie tylko nasze hasło, ale także i program, który je chroni.
Zabezpiecz swój e-mail podwójnie
Zabezpieczenie e-maila jest znacznie ważniejsze niż danych naszych kont na serwisach społecznościowych. Zapomniane czy stracone w inny sposób hasła odzyskujemy bowiem właśnie za pomocą skrzynki pocztowej. Dlatego tak ważne jest jej dwustopniowe zabezpieczenie.
Drugim stopniem zabezpieczającym może być np. logowanie się za pomocą kodów przysyłanych przez SMS-y. Dostęp do skrzynki pocztowej da się również zabezpieczyć za pomocą dodatkowego hasła lub kodu obrazkowego.
Używaj https
HTTPS (ang. Hypertext Transfer Protocol Secure) to szyfrowana wersja protokołu HTTP. W przeciwieństwie do komunikacji niezaszyfrowanego tekstu w HTTP klient-serwer, HTTPS szyfruje dane – niegdyś przy pomocy protokołu SSL, obecnie poprzez protokół TLS. Zapobiega to przechwytywaniu i zmienianiu przesyłanych danych.
HTTPS działa domyślnie na porcie nr 443 w protokole TCP. Wywołania tego protokołu zaczynają się od https://, natomiast zwykłego połączenia HTTP od http://. Protokół HTTPS znajduje się warstwę wyżej od standardu TLS (który znajduje się na warstwie prezentacji) - najpierw następuje więc wymiana kluczy TLS, a dopiero później żądanie HTTP. Dzięki temu jeden adres IP może serwować tylko jedną domenę lub też tylko subdomeny danej domeny (zależnie od przyznanego certyfikatu).
Aby upewnić się, że łącząc się z jakimiś stronami czy usługami, używamy bezpiecznego protokołu, warto zainstalować w przeglądarce dodatek HTTPS EVERYWHERE.
Tryb incognito nie zawsze oznacza prywatność
Tego rodzaju ustawienie znają użytkownicy przeglądarki Chrome. Muszą jednak wiedzieć, że w tym trybie nie da się ukryć swoich kroków online przed dostawcą usług internetowych czy stronami, które odwiedzamy.
Znacznie lepsze pod tym względem są rozwiązania takie jak sieć TOR (The Onion Router). Obrońcy prywatności stworzyli ją, mieszając w niej tożsamość internetową użytkownika sieci z wykorzystaniem wielu serwerów proxy na całym świecie - tak, aby użytkownika nie można było wyśledzić. Według nieoficjalnych informacji, TOR wykoncypowali specjaliści z amerykańskiej marynarki wojennej. Miała ona pozwolić tajnym agentom na korzystanie z dobrodziejstw Internetu bez pozostawiania śladów.
Dane wysyłane przez TOR wędrują od nadawcy do odbiorcy okrężną drogą, poprzez serwery rozrzucone po całym świecie. Są nieustannie szyfrowane. Dopiero tuż przed dotarciem do odbiorcy następuje ich rozkodowanie. Każdy może korzystać z tej sieci, każdy może też udostępnić swój komputer jako jej element – przekazujący i szyfrujący informacje wysyłane przez innych użytkowników. W 2008 r. Aaron Swartz zaprojektował narzędzie Tor2web, które pozwala dotrzeć do treści ukrytych w tej niewidzialnej sieci za pomocą standardowej przeglądarki internetowej.
Problem z TOR-em jest jednak taki, że działa dość wolno. Jak pokazują wydarzenia ostatnich lat (oraz infiltracja przez tajne służby USA), nie można mu też zaufać na sto procent.
Szukaj wrażliwych informacji za pomocą DuckDuckGo
Ta pozbawiona reklam i komercyjnego śledzenia (targetowania behawioralnego) konkurencja dla Google’a uparcie się rozwija. I choć DuckDuckGo nie jest tak doskonale trafna w swoich wynikach jak Google, w niektórych przypadkach - gdy chcemy, aby Wielki Brat nie śledził nas i nie wiedział, czego szukamy - warto ją wypróbować.
