Иногда OPSEC воспринимают как список программ.
Поставил Whonix. Запустил Tor Browser. Создал новую почту. Включил PGP. Теперь якобы анонимный.
Нет.
Программы закрывают отдельные технические проблемы. Они не исправляют ошибки человека.
Большая часть провалов происходит не из-за Tor. Люди сами связывают свои личности через аккаунты, переписки, привычки, файлы, время работы, платежи и повторное использование одной среды.
OPSEC – это не программа. Это порядок действий.
Этот порядок должен соблюдаться постоянно. Иногда одной ошибки хватает, чтобы связать несколько месяцев или лет активности.
Сначала нужна модель угроз
Нельзя нормально строить защиту, пока непонятно, от кого именно нужно защищаться.
Одно дело – скрыть свои куки от рекламы в сети, для избавления от таргет рекламы.
Другое – не показывать реальный IP владельцу сайта.
Третье – разделить рабочую и личную жизнь.
Четвертое – защищаться от целевого расследования, где могут запросить данные у биржи, почтового сервиса, хостинга, интернет-провайдера или владельца XMPP-сервера.
Нужно определить модель угроз OPSEC для вас лично.
Для этого нужно заранее ответить на несколько вопросов:
- Для кого может представлять интерес идентификация вашей личности?
- Какие данные о вашей виртуальной личности доступны для начального поиска?
- Какие данные могут быть запрошены и у каких сервисов, с которыми взаимодействует ваша виртуальная личность?
- Может ли быть получен физический доступ к вашему устройству (устройствам)?
- Подвержены ли вы манипуляциям и иному контролю вашей виртуальной личности?
- Какие есть возможности для анализа онлайн-активности вашей виртуальной личности?
- Как можно получить информацию о любых платежах вашей виртуальной личности?
Один человек ставит пять VPN. Другой запускает десять виртуальных машин. Третий каждый день меняет ник.
При этом первый входит в личную почту, второй копирует файлы через общую папку, а третий пишет тем же стилем и использует старый PGP-ключ.
Что реально делает Whonix
Whonix разделяет среду на две виртуальные машины.
Whonix-Gateway отвечает за соединение через Tor. Whonix-Workstation используется для браузера, мессенджеров и другой работы.
Рабочая VM не должна иметь прямого доступа к обычному сетевому интерфейсу. Ее трафик идет через Gateway.
Это полезная архитектура.
Она снижает риск того, что какой то софт случайно подключится к интернету напрямую и покажет настоящий IP.
Но Whonix не решает остальные проблемы.
Он не защищает от:
- раскрытия корреляций между использованием различных личностей
- операционных ошибок при использовании той же среды с личными (связанными с личными) аккаунтами
- стилометрического анализа ваших текстов
- операционных ошибок по дублированию одинаковых криптографических ключей между разными средами
- возможностей компрометации вашей виртуальной машины через malware
- компрометации основной системы через эксплойты
- операционных ошибок в коммуникациях (например, ваше профилирование неизвестным собеседником в ходе общения)
- раскрытия чувствительной информации путем анализа движения ваших платежей
- возможных атак и анализа временной корреляции
- физического наблюдения (слежки)
- небезопасного собеседника
Если человек одинаково ведет себя в обычной системе и в Whonix, Tor это не исправит.
Одна VM для всего – одна из главных ошибок
Очень частая ошибка – использовать одну Whonix-Workstation для всех задач.
В одной VM человек:
- ведет несколько форумных аккаунтов
- общается сразу в нескольких XMPP аккаунтах
- открывает разные почты
- работает с несколькими кошельками
- читает сайты по личным интересам
- скачивает документы
- заходит в старые аккаунты
Но все они находятся в одной среде.
Связь может появиться через:
- общие файлы
- буфер обмена
- историю документов
- одинаковые настройки
- одни и те же контакты
- одинаковое время активности
- одинаковые ошибки
- случайный вход не в тот аккаунт
Разные окна тоже.
Отдельный профиль браузера немного помогает разделить данные, но не дает такой же изоляции, как отдельная рабочая среда.
Для разных личностей лучше использовать разные VM.
Например:
- одна VM для публичного псевдонима
- одна VM для закрытой рабочей личности
- одна VM для отдельного проекта
- одноразовая VM для неизвестных файлов
Смысл не в количестве. Смысл в том, чтобы личности не пересекались.
Если две VM используют один PGP-ключ, один кошелек, одну почту или один файл с одинаковыми метаданными, техническое разделение уже почти бесполезно.
Одна личность – один набор данных
У каждой отдельной личности должен быть свой набор идентификаторов.
Это касается:
- почты
- XMPP-аккаунта
- PGP-ключа
- паролей
- файлов
- виртуальной машины
- контактов
- кошельков
- истории общения
- резервных копий
- времени активности (все забывают про это, но на основе ~35 отпечатков времени можно сопоставить ваши профили на разных форумах)
PGP-ключ является постоянным криптографическим идентификатором.
Если один ключ появляется на двух форумах, в двух XMPP-аккаунтах или в разных проектах, то эти проекты можно связать.
При этом в ключе может вообще не быть настоящего имени.
Достаточно самого совпадения отпечатка ключа.
Если вы заходите одновременно в сеть на двух XMPP-аккаунтах, двух форумных аккаунтах, то эти аккаунты можно связать.
Одна личность – один PGP-ключ или одинаковое время активности!
Если личность больше не используется, ее ключ не стоит переносить в новый образ.
Новый образ должен получать новый набор идентификаторов.
То же самое относится к никам, аватаркам, статусам и описаниям.
Человек может сменить имя аккаунта, но оставить:
- похожую аватарку
- похожее описание
- те же контакты
- одинаковые часы работы
- характерные фразы
- редкие ошибки
Важно напомнить: за каждым ником, за каждой “виртуальной личностью” находится реальная личность.
Мозг человека устроен так, что с желанием или без него, для него характерна работа “паттернами”.
Это означает, что волей или неволей человек начинает следовать какой-то одной системе, и важно не допустить, чтобы такая система была очевидна для внешнего наблюдателя.
Редко кто ошибается с “одинаковой аватаркой”, но вот с аватарками в одном стиле или с похожими описаниями, например, коммерческих объявлений, запросов на вакансии и так далее – вот такое встречается чаще.
Как и какие-то психологические моменты: как человек ведет себя, как реагирует на что-то, какие темы его интересуют в целом (опять возвращаемся к профилированию) – все вплоть до никнеймов, которые человек придумывает в одном стиле.
Платежи – только в одноразовой среде
Любые платежные данные (оплаты) – должны ВСЕГДА проводиться в одноразовой операционной среде (виртуалке, аккаунте, валлете) и так далее.
Это самая надежная защита от возможного “пересечения” между различными личностями.
Также это защита от того, что при компрометации любой из “виртуальных личностей” никакие платежи не выплывут, потому что они были проведены в одноразовой операционной среде, которая больше не существует.
Нельзя привязывать платежные данные к определенной виртуальной личности в отдельной виртуалке – после завершения операции одноразовая среда уничтожается, и связь рвется.
Хостовая система важнее, чем кажется
Whonix работает внутри основной системы.
Эта основная система называется хостом.
Если хост заражен, изоляция виртуальной машины может не помочь.
Хост контролирует:
- клавиатуру
- экран
- оперативную память
- диски виртуальных машин
- сетевой интерфейс
- подключенные USB-устройства
- работу гипервизора
Нельзя считать VM защитой от полностью скомпрометированного хоста.
Поэтому плохо использовать для чувствительной работы систему, куда постоянно устанавливаются:
- случайные программы
- игры или моды на игры
- пиратский софт
- неизвестные расширения
- сомнительные драйверы
- кряки и активаторы
Дополнительно важно подчеркнуть следующие моменты:
- не использовать в качестве хостовой ОС Windows: потому что это практически неотключаемая телеметрия, Copilot + GDID (напомним новости про идентификацию Peter Strokes) и некоторые другие идентификаторы
- важно: НЕ ИСПОЛЬЗОВАТЬ хостовую ОС ни для чего кроме обновлений и управления виртуальными машинами
- важно: НЕ ИСПОЛЬЗОВАТЬ хостовую ОС под привилегиями администратора без явной необходимости для этого.
VPN перед Tor НЕБЕЗОПАСЕН, только после
Иногда перед запуском Whonix на хосте включают VPN или направляют соединение через внешний прокси.
Общая цепочка выглядит так:
Хост -> VPN или прокси -> Tor -> сайт
Включать VPN ДО Tor небезопасно.
VPN должен включаться ПОСЛЕ Tor – уже внутри Whonix.
Безопасная цепочка выглядит так:
Хост -> Tor -> VPN (внутри Whonix) -> сайт
Но появляется новый участник – владелец VPN или прокси.
Он может видеть:
- реальный IP пользователя (только при включении VPN ДО Tor)
- время подключения
- объем трафика
- платежную информацию
Все зависит от модели угроз.
В одной ситуации VPN может скрыть использование Tor от локальной сети.
В другой ситуации он просто переносит доверие от провайдера к VPN-сервису.
Если VPN требует телефон, личную почту, банковскую карту и постоянный аккаунт, он создает дополнительную точку связи.
Даже VPN без регистрации может хранить технические логи или быть скомпрометирован (а иногда быть ханипотом).
Есть некоторые исключения в контексте РФ.
Если используется vless (желательно через популярный сервис), в таком случае при работе ВНУТРИ РФ идентификация вашего трафика будет довольно затруднена.
Проблемы могут возникнуть при внешней работе иностранной разведки и компрометации конкретного VPN, который вы используете ДО Tor.
В таком случае возможна расшифровка всего вашего трафика с последующим сбором доказательств для обвинений вас в каких-то незаконных действиях с точки зрения иностранной разведки.
Поэтому рекомендуется подключать Tor через obfs4 и уже после в Whonix подключать VPN с нужным Geo при необходимости.
При этом ВАЖНО использовать VPN-конфиги без логов, либо очень внимательно подходить к их оплате (это очень уязвимый момент).
VPN перед Whonix не заменяет Tor и не исправляет смешивание личностей.
Важно понимать и порядок запуска.
Если VPN работает внутри обычной рабочей системы, а Whonix настроен неправильно, часть трафика хоста все равно может идти отдельно.
Если VPN отключится, поведение зависит от настроек хоста и самого VPN-клиента.
Поэтому нельзя полагаться на цепочку, которую пользователь не понимает и не умеет проверять.
Чем сложнее схема, тем больше в ней точек отказа.
Прокси после Tor и обычный IP для сайтов
Некоторые сайты блокируют выходные узлы Tor.
Из-за этого пользователи пытаются выходить из Tor через дополнительный прокси.
Цепочка выглядит так:
Пользователь -> Tor -> внешний прокси -> сайт
Сайт в такой схеме видит IP прокси, а не IP выходного узла Tor.
Со стороны сайта это может выглядеть как обычный IP.
Но слово “обычный” не означает “безопасный”.
Такой прокси становится постоянной точкой между Tor и сайтом.
Владелец прокси может видеть:
- адреса посещаемых сайтов
- время соединений
- объем трафика
- незашифрованные данные
- повторяющееся поведение
Постоянный IP иногда делает пользователя более узнаваемым.
Особенно если через него используются разные личности.
Один прокси для нескольких личностей связывает эти личности общей инфраструктурой.
Оплата прокси через BTC, XMR или ETH не делает покупку автоматически анонимной.
Связь может появиться через:
- аккаунт продавца
- почту
- XMPP или Telegram
- время оплаты
- сумму
- IP входа в панель
- адрес кошелька
- историю переписки
- данные обменного сервиса
Пользователь не может проверить обещание “логи не храним” только по тексту на сайте.
Прокси после Tor может решать проблему блокировки Tor конкретным сайтом.
Но его нельзя считать универсальным способом усиления анонимности.
Он меняет модель угроз и добавляет нового посредника.
Не стройте длинные цепочки только потому, что они выглядят сложнее.
Сложность сама по себе не является безопасностью.
Tor не спасает от личных аккаунтов
Можно использовать Tor без технических ошибок и все равно связать себя с реальной личностью.
Самый простой способ – войти в аккаунт, который раньше использовался без Tor.
Это может быть:
- основная почта
- старый форумный аккаунт
- социальная сеть
- облачное хранилище
- рабочий сервис
- игровой аккаунт
- старый XMPP
IP может быть другим, но личность уже известна через сам аккаунт.
Если аккаунт связан с телефоном, банковской картой, старой почтой, известными контактами или настоящим именем, Tor не удалит эту связь.
Частый провал выглядит просто.
Человек работает под отдельным псевдонимом, а потом решает “на минуту” проверить личную почту в той же среде.
Этой минуты иногда достаточно, чтобы связать время, устройство, поведение и набор сервисов.
Tor скрывает сетевой адрес. Он не стирает историю аккаунта.
Самой разумной рекомендацией будет то, что для любых “личных аккаунтов” необходимо использовать отдельное устройство на ином канале связи.
Рекомендуется работать на портативном устройстве, но здесь встает вопрос того, что мощное портативное устройство, способное тянуть много виртуалок, безумно дорого стоит на данный момент.
Тем не менее есть чисто психологический момент: если стоит десктоп и там у вас все, что связано с вашей реальной личностью (но никакой работы и следов от виртуальных личностей), то если к вам с утра приходят дяденьки, они побегут сразу к десктопу.
Если есть привычка портативное устройство убирать куда-то, а дяденьки приходят очень рано утром (пока вы спите), есть маленький шанс того, что рабочее устройство не будет найдено.
Вот это самый благоприятный расклад, так как все начнут сомневаться, а вы ли это.[/B]
Корреляция по времени
Время активности является сильным источником данных.
Допустим, человек каждый день приходит домой около 19:00.
Через несколько минут появляется его анонимный XMPP-аккаунт.
Около полуночи аккаунт уходит в офлайн.
В выходные график меняется.
Со временем появляется стабильный режим.
Даже без доступа к тексту сообщений можно оценить:
- часовой пояс
- рабочие дни
- периоды сна
- время дороги
- длительность сессий
- скорость ответов
Tor не скрывает время сообщений от сервиса и собеседника.
Он не скрывает сам факт того, что аккаунт был активен.
Не нужно превращать работу в хаотичный график.
Но нужно понимать, что режим жизни тоже оставляет отпечаток.
Стоит дать базовые рекомендации по автоматизации онлайн активности скриптами, особенно в мессенджерах.
Паттерны анализа легко сбить.
То же самое можно сделать с форумными аккаунтами.
Главное, не делать это с сервера (с любого удаленного хоста).
Если этот момент не критичный (например, у человека нет никакого сервиса и контакты не публичны), то разумнее все всегда закрывать и не держать открытым.
Поговорил с кем надо – сразу закрыл.
Но не для всех возможно так делать.
К тому же, даже если контакты не публичны, это не исключает вероятность того, что “волк” будет в контактах и будет отслеживать онлайн.
Стиль текста и стилометрия
Люди узнаваемы по тому, как они пишут.
Анализировать можно:
- длину предложений
- любимые слова
- ошибки
- знаки препинания
- структуру текста
- скорость ответа
- типичные сокращения
- способ оформления списков
- характерные приветствия
Особенно заметны редкие ошибки и необычные выражения.
Одно совпадение обычно ничего не доказывает.
Но расследования редко строятся на одном признаке.
Собираются десятки мелких совпадений.
Время работы совпало.
Стиль совпал.
Темы совпали.
Контакты совпали.
Платеж появился в тот же день.
Один признак слабый. Вместе они создают картину.
Анонимность часто ломается не одним доказательством, а набором мелких связей.
Важно отметить, что стилометрия лишь часть профилирования.
Причем часто не самая активная.
Дилетанты часто рассуждают о том, что человека находят по тексту, когда реально людей находят по воссозданию его полного профиля, включая психологические аспекты.
Можно очень сильно задрачиваться с любыми публичными сообщениями, но сразу поплыть на реальном диалоге.
Либо можно превратиться в полного Джеймса Бонда, которого не узнают по текстам, но интересоваться тем же самым (темами, причем речь не только о криминальном бизнесе, можно вспоминать одно и то же, спорить с одними и теми же людьми и так далее).
Браузерный отпечаток
Пользователи любят менять настройки браузера.
Они ставят расширения, добавляют шрифты, меняют размер окна и включают редкие функции.
Для обычного браузера это может быть удобно.
Для Tor Browser слишком уникальная конфигурация становится отпечатком.
Tor Browser старается сделать пользователей похожими друг на друга.
Чем больше пользователь его меняет, тем сильнее выделяется.
Опасны и расширения.
Расширение может:
- читать содержимое страниц
- видеть адреса сайтов
- отправлять данные разработчику
- менять сетевое поведение
- создавать уникальные признаки
Не нужно устанавливать расширение только потому, что оно обещает “усилить приватность”.
Иногда оно делает ровно обратное.
Файлы и документы
Файлы могут содержать больше информации, чем видно на экране.
Изображения могут хранить:
- модель устройства
- время создания
- координаты
- данные камеры
- название программы обработки
- данные монитора
- имя автора
- название организации
- историю изменений
- путь к файлу
- используемый редактор
- скрытые комментарии
- время редактирования
Кроме обычных метаданных есть особенности самого файла:
- одинаковый шаблон
- одинаковые размеры изображений
- одинаковые параметры сжатия
- одни и те же шрифты
- редкая программа создания
Метаданные из файлов лучше удалять, либо генерировать случайные.
Неизвестные документы лучше не открывать в основной рабочей VM.
Файл может обращаться к внешнему ресурсу, содержать уникальную ссылку или использовать уязвимость программы.
Для подозрительных файлов нужна отдельная одноразовая среда без личных данных.
Общие папки и буфер обмена
Общие папки между хостом и VM удобны.
Но они создают постоянный мост между средами.
Через общую папку можно случайно перенести:
- личный документ
- файл с метаданными
- данные другой личности
- малварь
- старую резервную копию
Человек копирует текст из личного чата и случайно вставляет его в анонимную переписку.
Или копирует адрес кошелька не из той VM.
Поэтому постоянный автоматический обмен данными между разными уровнями доверия лучше ограничивать.
Передача файлов должна быть отдельным осознанным действием.
Общение через XMPP
XMPP является удобным протоколом для переписки.
Но безопасность зависит от клиента, сервера, настроек и действий пользователя.
Нужно разделять содержание сообщений и метаданные.
Даже когда текст зашифрован, сервер может видеть:
- какие аккаунты подключались
- когда они были онлайн
- когда передавались сообщения
- примерный объем трафика
- какие серверы общались между собой
- ваш ростер
Но оно не скрывает факт общения!
PGP для одной личности
PGP полезен как дополнительный слой защиты текста и файлов.
Но его нужно использовать аккуратно.
Для каждой личности нужен отдельный ключ.
Нельзя:
- использовать один ключ в разных проектах
- подписывать анонимным ключом личные данные
- переносить ключи между личностями
- публиковать один отпечаток на разных аккаунтах
- хранить все приватные ключи без разделения
Иначе посредник может подменить ключ.
Подпись PGP подтверждает, что сообщение подписано определенным ключом.
Она не доказывает настоящее имя владельца.
Она подтверждает постоянство криптографической личности.
PGP-ключ – это такой же идентификатор, как ник или аккаунт.
Если один ключ засветился в двух местах, эти места можно связать.
OMEMO и PGP
OMEMO обычно удобнее для постоянного общения.
Оно может шифровать сообщения между несколькими устройствами одного аккаунта.
Но нужно проверять:
- какие устройства добавлены
- проверены ли их отпечатки
- не осталось ли старое устройство
- где хранится история
- делает ли клиент резервные копии
- показываются ли сообщения в уведомлениях
Для чувствительной переписки PGP можно использовать поверх канала связи.
Для обычной переписки OMEMO лучше, чем открытый текст.
Но фраза “OMEMO включено, значит все безопасно” неверна.
Если устройство заражено, малварь видит сообщения после расшифровки.
Собеседник также может:
- сделать скриншот
- скопировать текст
- переслать сообщение
- экспортировать историю
- показать переписку третьему лицу
Удаление сообщений не гарантирует удаление
Удаление сообщения из своего клиента не означает, что оно исчезло.
Копия может остаться:
- у собеседника
- в резервной копии
- в журнале сервера
- в уведомлениях
- на скриншоте
- в экспортированной истории
- в базе данных клиента
Шифрование снижает риск перехвата.
Оно не контролирует устройство и поведение человека на другой стороне.
Финансовые потоки часто важнее IP
Одна из самых серьезных ошибок – уделять все внимание IP и почти не думать о деньгах.
Финансовые данные связывают действия очень надежно.
Биржи и обменные сервисы могут хранить:
- данные аккаунта
- документы
- время операций
- суммы
- адреса ввода и вывода
- историю входов
- платежные реквизиты
- переписку с поддержкой
Не обязательно ломать криптографию Monero, если известны обе стороны операции, время и сумма.
Представим пример.
С одного обменного сервиса выводится около 500 XMR.
Через короткое время на другие сервисы поступают около 299 и 200 XMR.
Общая сумма получается около 499 XMR.
Сам блокчейн Monero скрывает адреса, суммы и используемые выходы внутри сети.
Но внешние участники могут сравнивать:
- время операций
- суммы на своих сервисах
- действия аккаунтов
- сетевую активность
- повторяющиеся шаблоны
Но оно создает сильную гипотезу для дальнейшей проверки.
Разделение одной суммы на две части не создает анонимность автоматически.
Так же не дают автоматической анонимности:
- большое количество кошельков
- быстрые переводы между своими адресами
- суммы с небольшими изменениями
- последовательные выводы на разные сервисы
- повторение одной схемы
А использование форумных “обменников” – это вооще отдельная анти-опсек история.
Отлежка средств и разные кошельки
Часто можно услышать совет долго держать средства внутри приватной сети и распределять их по разным кошелькам.
Большой временной разрыв действительно может убрать простое совпадение по принципу “вошло сейчас – вышло через час”.
Но он не гарантирует разрыв связи.
Перемещение средств между собственными кошельками тоже не создает новых независимых владельцев.
Связь может сохраниться через:
- точки входа и выхода
- данные обменников
- аккаунты
- устройства
- сетевое поведение
- переписку с контрагентами
- повторяющиеся суммы
Нельзя дать универсальное число дней или переводов, после которого деньги становятся “анонимными”.
Такого числа не существует.
Временная задержка и несколько кошельков снижают только отдельные виды простой корреляции. Они не дают гарантии анонимности.
Monero не является плащом-невидимкой
Monero предоставляет сильную приватность на уровне блокчейна.
Но это не означает полную анонимность человека.
Проблемы часто находятся за пределами блокчейна:
- покупка через сервис с верификацией
- покупка через форумных обменников
- вывод на известный аккаунт
- зараженный кошелек
- повторное использование устройства
- общение с контрагентом
- утечка данных биржи
- корреляция времени
- физическое наблюдение
Криптовалюта защищает свой уровень.
Она не исправляет весь процесс вокруг нее.
Shielded pool в Zcash
В Zcash существуют прозрачные и защищенные операции.
В защищенной части сети данные о переводе скрываются криптографически.
Это усложняет обычный анализ блокчейна.
Но проблема границ системы остается.
Наблюдатель может знать, что определенная сумма была выведена с одного сервиса.
Потом он может увидеть близкую по времени активность на другом сервисе.
Даже если внутренняя часть движения скрыта, точки входа и выхода могут создавать корреляцию.
Также имеют значение:
- поддержка защищенных адресов кошельком
- поддержка со стороны сервиса
- безопасность устройства
- сетевые метаданные
- поведение пользователя
Но он не является автоматическим решением всех проблем.
Когда человек входит в приватную систему и почти сразу выходит с похожей суммой, он сам уменьшает пользу системы.
Границы приватной системы часто слабее ее внутренней части.
Не смешивайте личности через платежи
У разных личностей не должно быть общих платежных точек.
Один и тот же адрес, аккаунт обменника или платежный посредник может напрямую связать проекты.
Опасно использовать один финансовый аккаунт для:
- личных покупок
- разных аккаунтов на форумах
- получения пожертвований
- оплаты серверов
- покупки доменов
- расчетов с неизвестными людьми
Финансовый OPSEC начинается не с выбора монеты.
Он начинается с понимания всей цепочки.
Откуда пришли средства.
Через какие сервисы прошли.
Кто видел операцию.
Какие документы остались.
Куда деньги ушли.
Пример – задержание отмывочного обменника, который вёл всю бухгалтерию и благополучно ей завладели органы.
Серверы, домены и хостинг
Анонимный сайт тоже может раскрыть владельца.
Причинами становятся:
- оплата личной картой
- использование старой почты
- повторный пароль
- вход в панель из личной среды
- одинаковый код на других сайтах
- личные данные в регистрации домена
- общая аналитика
- один аккаунт хостинга для разных проектов
Одинаковые комментарии, структура проекта, названия переменных, ошибки и набор библиотек могут связывать разные сайты.
Инфраструктуру нужно разделять так же, как аккаунты.
Так же большинство использует ИИ и забывает про то, что чаты логгируются.
Телефон – отдельная зона риска
Телефон постоянно собирает и передает данные.
Он связан с:
- SIM-картой
- местоположением
- Wi-Fi-сетями
- контактами
- учетными записями
- уведомлениями
- резервными копиями
- биометрией
То же самое касается установки отдельного мессенджера на телефон, где уже есть личные контакты, основная почта и облачная учетная запись.
Разные приложения на одном телефоне не являются полностью независимыми средами.
Резервные копии
Резервная копия может быть полезной и опасной одновременно.
В ней могут оказаться:
- приватные ключи
- история переписки
- seed-фразы
- старые документы
- конфигурация клиента
- данные нескольких личностей
Если резервная копия не зашифрована, доступ к накопителю дает доступ сразу ко всей истории.
Резервные копии тоже нужно разделять по уровню доверия и по личности.
Человеческий фактор
Самая сложная часть OPSEC – усталость.
Первые несколько дней человек осторожен.
Через месяц начинает упрощать процесс.
Один раз использует общий буфер обмена.
Один раз открывает личную почту.
Один раз отправляет файл без проверки.
Один раз запускает не ту VM.
Проблема в том, что наблюдателю может быть достаточно одного раза.
Поэтому нормальный процесс должен быть понятным.
Если схема требует помнить пятьдесят правил перед каждым сообщением, человек рано или поздно ошибется.
Лучше меньше инструментов, но четкое разделение.
Простая схема разделения
Перед созданием новой личности стоит записать:
- для чего она нужна
- где она используется
- с кем она общается
- какие данные может раскрывать
- какие сервисы использует
- с какими личностями не должна пересекаться
- когда ее нужно закрыть
Не нужно постепенно добавлять в эту личность личные данные ради удобства.
Чем дольше существует личность, тем больше следов она оставляет.
Иногда безопаснее закрыть старую личность, чем бесконечно исправлять накопившиеся ошибки.
Базовый чек-лист перед работой
- Запущена правильная VM.
- Открыты аккаунты только одной личности.
- Личные аккаунты закрыты.
- Общие папки отключены или проверены.
- Буфер обмена не содержит данных другой личности.
- Сеть идет через ожидаемый маршрут.
- Система и программы обновлены.
- Подозрительные файлы не открываются в основной среде.
- Выбран правильный аккаунт.
- Выбран правильный PGP-ключ.
- Отпечаток ключа собеседника проверен.
- В тексте нет лишних личных деталей.
- Файл проверен на метаданные.
- Сообщение не раскрывает местоположение без причины.
- Сообщение не раскрывает распорядок жизни без причины.
- Понятен источник средств.
- Понятен получатель.
- Учтены данные сервисов на входе и выходе.
- Один финансовый аккаунт не связывает разные личности.
- Не используется одна и та же схема для всех операций.
- Чувствительные данные не остались в общей папке.
- Нужная VM выключена.
- Файлы не перенесены в среду другой личности.
- История переписки хранится осознанно.
- Резервные копии защищены.
- Ключи и seed-фразы не остались в открытом виде.
Полной анонимности никто не гарантирует
Полная анонимность в сети – слишком сильное обещание.
Можно снижать риски.
Можно разделять личности.
Можно уменьшать количество собираемых данных.
Можно шифровать содержание.
Можно избегать простых связей.
Но нельзя гарантировать, что никакая связь никогда не будет найдена.
Особенно при целевом наблюдении.
Главная цель нормального OPSEC – не стать невидимым волшебным образом.
Цель – не отдавать лишние данные и не создавать простые связи своими руками.
Итог
Whonix полезен.
Tor полезен.
PGP полезен.
OMEMO полезен.
Приватные криптовалюты тоже полезны в своей области.
Но каждый инструмент закрывает только часть проблемы.
Пользователь может использовать хорошую криптографию и раскрыть себя через старый аккаунт.
Может скрыть IP и раскрыть себя через время активности.
Может разделить виртуальные машины и связать их одним файлом.
Может запустить VPN перед Whonix и раскрыть себя через аккаунт VPN.
Может использовать прокси после Tor и связать все личности одним постоянным IP.
Может использовать Monero или shielded pool Zcash и раскрыть связь через биржи, время, суммы и финансовые аккаунты.
Надежный OPSEC строится на разделении.
Одна личность – одна среда.
Одна личность – один набор аккаунтов.
Одна личность – один набор ключей.
Одна личность – отдельная история файлов и общения.
Никаких случайных пересечений ради удобства.
И главное – анонимность чаще ломается не сложной технической атакой, а обычной привычкой сделать быстрее.