темы

Безопасность в Интернете

Безопасная работа в сети

Последнее обновление: июль 2022 г.

Использование протокола HTTPS

Наиболее важным шагом в ограничении возможностей противника следить за вашей организацией в Интернете является минимизация доступной информации о вас и активности ваших коллег в Интернете. Обязательно проверяйте безопасность подключения к веб-сайтам: убедитесь, что URL-адрес (местоположение) начинается с «https», а в адресной строке вашего браузера отображается значок в виде маленького замочка.

Когда вы работаете в Интернете, не используя шифрование, вводимая на сайте информация (включая пароли, номера счетов или сообщения), а также сведения о посещаемом сайте и страницах остаются незащищенными. Это означает, что: (1) любые хакеры из сети, (2) сетевой администратор, (3) провайдер доступа к Интернету и любая организация, с которой они могут обмениваться данными (например, государственные органы), (4) провайдер доступа к Интернету посещаемого сайта и любая организация, с которой они могут обмениваться данными, и конечно же (5) посещаемый сайт получают доступ к довольно большому объему потенциально конфиденциальной информации.

Давайте рассмотрим реальный пример того, как выглядит работа в Интернете без использования шифрования:

Diagram of browsing without encryption using only http
Выдержка из работы Проект Totem «Как работает интернет» (CC–BY–NC–SA)

При работе в Интернете без использования шифрования все ваши данные остаются незащищенными. Сюда входит информация, где вы находитесь, посещаемые вами сайты и страницы, ваши пароли и иные конфиденциальные данные, которые вы вводите на странице входа, в форме или на самом веб-сайте. Как показано выше, противник видит, где вы находитесь, знает, что вы заходите на сайт news.com и переходите на страницу о протестах в вашей стране, и видит пароль, который вы вводите для входа на сайт. Подобная информация в чужих руках не только подвергает опасности вашу учетную запись, но и информирует потенциальных противников о том, что вы делаете или о чем думаете.

Использование протокола HTTPS HTTPS («s» означает «защищенный») предполагает задействование шифрования.. Это позволяет существенно повысить уровень защиты. Рассмотрим пример работы в Интернете с использованием протокола HTTPS (предполагающего шифрование):

Diagram of browsing with encryption in transit using https
Выдержка из работы Проект Totem «Как работает интернет» (CC–BY–NC–SA)

При работе в Интернете с использованием протокола HTTPS на сайте, выполняется шифрование информации, вводимой на веб-сайте. Однако, люди по-прежнему видят, где вы находитесь, и знают, на какие сайты вы заходите. Искушенные противники могут также видеть конкретные страницы, на которые вы заходите на данном сайте. При использовании протокола HTTPS потенциальный противник не увидит ваш пароль или иную конфиденциальную информацию, вводимую на веб-сайте. Однако он по-прежнему сможет видеть посещаемые домены (например, news.com). И хотя протокол HTTPS также предполагает шифрование информации о конкретных посещаемых страницах сайта (например, website.com/protests), искушенные противники все равно могут получить доступ к этой информации, просмотрев ваш Интернет-трафик. При использовании протокола HTTPS противник может узнать, что вы перешли на сайт news.com, но он не сможет увидеть ваш пароль, и ему будет сложнее (но не невозможно) узнать, что вы просматриваете информацию о протестах (используя текущий пример). В этом заключается принципиальная разница. Обязательно проверяйте наличие протокола HTTPS, прежде чем перейти к разделам веб-сайта или ввести конфиденциальную информацию. Вы также можете установить расширение браузера HTTPS Everywhere, чтобы протокол HTTPS использовался постоянно, или, если вы используете Firefox, включить режим только HTTPS в браузере.

Если браузер выдает предупреждение о потенциально небезопасном контенте на сайте, не игнорируйте его. Что-то не так. Ситуация может быть как абсолютно безобидной (к примеру, у сайта просрочен сертификат безопасности), так и опасной (сайт может оказаться поддельным или фальшивым). В любом случае, следует прислушаться к предупреждению и не переходить на этот сайт.

Использование зашифрованного протокола DNS

Если вы хотите затруднить (но не исключить) возможность получения сведений о посещаемых вами веб-сайтах провайдером доступа к Интернету, можно использовать зашифрованный протокол DNS. 

Если вам интересно, DNS расшифровывается как «система доменных имен». По сути, это телефонная книга Интернета, переводящая удобные для человека доменные имена (например, ndi.org) в удобные для Интернета адреса интернет-протокола (IP). Это позволяет людям использовать веб-браузеры для простого поиска и загрузки интернет-ресурсов и посещения веб-сайтов. Однако по умолчанию протокол DNS не зашифрован.

Чтобы использовать зашифрованный протокол DNS и в то же время немного повысить безопасность интернет-трафика, можно загрузить и запустить приложение Cloudflare’s 1.1.1.1 app на компьютере или мобильном устройстве. Доступны и другие варианты использования зашифрованных протоколов DNS, включая Google 8.8.8.8, но их настройка требует больше технических процедур. В браузере Firefox зашифрованный DNS включен по умолчанию. Пользователи браузеров Chrome или Edge могут включить зашифрованный DNS в расширенных настройках безопасности браузера, включив «использовать безопасный DNS-сервер» и выбрав «С: Cloudflare (1.1.1.1)» или провайдером на выбор.

Cloudflare 1.1.1.1 с WARP шифрует ваш DNS и данные браузера, выполняя функцию обычного VPN. Хотя WARP не позволяет скрыть собственное местоположение от всех посещаемых веб-сайтов, эта простая в использовании функция может помочь сотрудникам вашей организации воспользоваться преимуществами зашифрованного DNS и дополнительной защиты от вашего провайдера доступа к Интернету в ситуациях, когда полноценный VPN либо недоступен, либо не требуется в условиях текущих угроз. В расширенных настройках DNS-протокола версии 1.1.1.1 с WARP сотрудники могут также включить функцию 1.1.1.1 для членов семьи, чтобы обеспечить дополнительную защиту от вредоносных программ при доступе в Интернет.

Очень важно использовать протокол HTTPS и зашифрованный протокол DNS, обеспечивающий дополнительную защиту от слежения и блокировки сайтов, но если в организации предполагается возможность целенаправленной слежки за вашей активностью в Интернете и если вы сталкиваетесь с изощренной цензурой в Интернете (например, блокировкой веб-сайтов и приложений), можно выбрать надежную виртуальную частную сеть (VPN).

Что такое VPN?

VPN – это, по сути, туннель, который защищает от слежки и блокировки интернет-трафика, предотвращая доступ к конфиденциальным данным хакерам, сетевому администратору, провайдеру доступа к Интернету и всем, с кем они могут обмениваться данными. По-прежнему важно использовать протокол HTTPS и убедиться, что вы доверяете VPN, используемому вашей организацией. Рассмотрим пример работы в Интернете с использованием VPN:

mapping photo

Выдержка из работы Проект Totem «Как работает интернет» (CC–BY–NC–SA)

Для более подробного описания VPN в данном разделе содержится ссылка на Пособие «Самозащита от слежки» от Фонда электронных рубежей:

Традиционные VPN предназначены для скрытия фактического сетевого IP-адреса пользователя и создания зашифрованного туннеля для Интернет-трафика между вашим компьютером (телефоном или любым сетевым «умным» устройством) и сервером VPN. Трафик в этом туннеле шифруется и отправляется вашему сервису VPN, что значительно затрудняет посторонним, например провайдерам доступа к Интернету или хакерам в общедоступных сетях Wi-Fi, возможность отслеживать, изменять или блокировать ваш трафик. Трафик, покидающий VPN и направляющийся по адресу назначения, маскирует исходный IP-адрес пользователя. Это позволяет скрыть физическое местоположение пользователя от любого просматривающего трафик, после того как он покинет VPN. VPN обеспечивает большую конфиденциальность и безопасность, однако его использование не означает абсолютную анонимность в Интернете: у оператора VPN по-прежнему остается доступ к трафику. Кроме того, ваш провайдер доступа к Интернету также будет знать, что вы используете VPN, что может повысить ваш профиль риска.

Это означает, что that выбор надежного VPN-провайдера имеет решающее значение. В некоторых странах, например в Иране, враждебные правительства фактически создали свои собственные виртуальные частные сети, чтобы иметь возможность отслеживать действия граждан. Чтобы подобрать оптимальный VPN для своей организации и сотрудников, можно проанализировать имеющиеся VPN на основе бизнес-модели и репутации с учетом того, какие данные они собирают или не собирают, и, конечно, степени безопасности.

Почему не стоит использовать любой бесплатный VPN? Если коротко, то у большинства бесплатных VPN, включая предустановленные на некоторых смартфонах, есть один большой подвох. Как и все компании и поставщики услуг, VPN должны как-то себя обеспечивать. Если VPN-провайдер не продает свои услуги, то каким образом ему удается поддерживать свой бизнес на плаву? Он собирает пожертвования? Взимает плату за премиальные услуги? Его деятельность поддерживают благотворительные организации или фонды? К сожалению, многие VPN-провайдеры зарабатывают деньги, собирая и продавая данные пользователей.

Лучше всего выбрать VPN-провайдера, который не собирает данные. Если данные не собирают, их невозможно продать или передать по требованию правительству. Просматривая правило конфиденциальности VPN-провайдера, обратите внимание, собирает ли этот VPN данные пользователей. Если в правиле явно не указано, что данные о пользовательских подключениях не регистрируются, скорее всего, VPN собирает данные пользователей. Даже если компания утверждает, что не регистрирует данные о подключении, это не всегда гарантирует ее правомерное поведение в будущем.

Имеет смысл разузнать об организациях, стоящих за данным сервисом VPN. Одобрен ли он независимыми специалистами по безопасности? Имеются ли о VPN свежие статьи в СМИ? Была ли компания когда-либо уличена в том, что вводила в заблуждение своих клиентов или лгала им? Если сервис VPN основан известными в сообществе информационной безопасности людьми, то ему будут больше доверять. Скептически отнеситесь к сервису VPN, с которым никто не хочет связывать личную репутацию или которым управляет никому не известная компания.

Поддельные VPN-сервисы в реальном мире

Image showing a fake VPN

В конце 2017 года, после всплеска протестов в стране, иранцы начали обнаруживать «бесплатную» (но поддельную) версию популярного VPN-сервиса, распространяемую посредством текстовых сообщений. Бесплатный VPN-сервис, который на самом деле не работал, обещал предоставить доступ к Telegram, который на тот момент был заблокирован властями. К сожалению, поддельное приложение оказалось не чем иным, как вредоносной программой, позволяющей властям отслеживать перемещения и сообщения тех, кто его загрузил.

Так какой же VPN нам использовать?

Если использование VPN действительно имеет смысл для вашей организации, существует ряд надежных вариантов, включая TunnelBear и ProtonVPN. Еще один вариант – настроить собственный сервер с помощью Структуры от Jigsaw, где не будет компании, управляющей вашей учетной записью, но взамен нужно будет настроить собственный сервер. Если ваша организация несколько больше, можно рассмотреть возможность использования VPN для бизнеса, которая предоставляет такие варианты управления учетными записями, как тарифный план «Teams» («Команды») от TunnelBear. 

Хотя производительность и скорость большинства современных VPN-сервисов значительно улучшилась, необходимо помнить, что использование VPN может снизить скорость просмотра, если вы используете сеть с очень низкой пропускной способностью, сталкиваетесь с высоким временем ожидания, задержками в сети или периодическими перебоями в работе Интернета. При работе с быстрым Интернетом рекомендуется по умолчанию использовать VPN все время.

Если вы рекомендуете сотрудникам использовать VPN, также важно убедиться, что VPN остается включенным. Это может казаться очевидным, но важно повторить, что установленный и при этом не работающий VPN не обеспечивает никакой защиты.

анонимность с помощью браузера Tor

Помимо VPN, вы, вероятно, слышали еще об одном инструменте для более безопасного использования Интернета – браузере под названием Tor. Важно понимать, что представляют собой оба этих инструмента, в каких ситуациях стоит использовать тот или другой и каким образом они могут повлиять на вашу организацию.

Tor – это протокол для анонимной передачи данных через Интернет путем маршрутизации сообщений или данных через децентрализованную сеть. Подробнее о принципе работы Tor можно узнать по ссылке, но, если коротко, он направляет ваш трафик к месту назначения через множество узлов, при этом ни на одном узле не остается достаточно информации для раскрытия вашей личности и активности в сети.

Существует несколько отличий Tor от VPN. Самое главное отличие состоит в том, что Tor не полагается на доверие к какому-то одному узлу (например, VPN-провайдеру). 

На следующей графической иллюстрации, разработанной Фондом электронных рубежей, показана разница между традиционным VPN и Tor.

Communication methods photo

Communication methods photo

Проще всего использовать Tor через веб-браузер Tor. Он работает как обычный браузер, за исключением того, что он перенаправляет весь трафик через сеть Tor. Браузер Tor можно загрузить на устройства, работающие под управлением ОС Windows, Mac, Linux или Android. Имейте в виду: используя браузер Tor, вы защищаете только ту информацию, доступ к которой получаете через этот браузер. Он не предоставляет никакой защиты для других приложений или загруженных файлов, которые вы можете параллельно открывать на своем устройстве.  Кроме того, имейте в виду, что Tor не шифрует трафик, поэтому, как и при использовании VPN, при работе в Интернете важно использовать передовые методы, включая протокол HTTPS.

Если необходимо, чтобы защита анонимности Tor распространялась на весь компьютер, более технически подкованные пользователи могут установить Tor в качестве общесистемного подключения к Интернету или перейти на операционную систему Tails которая по умолчанию перенаправляет весь трафик через Tor. Пользователи Android также могут использовать приложение Orbot для перенаправления всего интернет-трафика и трафика приложений через Tor. Независимо от того, как именно вы используете Tor, важно помнить, что в этом случае ваш провайдер доступа к Интернету не может видеть, какие именно веб-сайты вы посещаете, но *может* видеть, что вы используете сам Tor. Как и при использовании VPN, это может значительно повысить профиль риска вашей организации, поскольку Tor не является особо распространенным инструментом и, следовательно, может привлечь внимание потенциальных противников, отслеживающих ваш интернет-трафик.

Так стоит ли использовать Tor в организации? Ответ: это зависит от ситуации. Для большинства подверженных рискам организаций намного проще и удобнее постоянно использовать надежный VPN-сервис. В эпоху широкого распространения VPN во всем мире это вряд ли вызовет тревогу. Однако, если вы не можете позволить себе надежный VPN или работаете в среде, где VPN-сервисы регулярно блокируются, Tor может оказаться хорошим вариантом для смягчения последствий слежки и обхода цензурных ограничений в Интернете. При условии, что это законно.

Существуют ли какие-то основания для того, чтобы не использовать VPN или Tor?

Помимо того, что следует с опаской относиться к ненадежным VPN-сервисам, важно также знать, не противоречит ли использование VPN или Tor законам вашей страны. Если в регионе, в котором ваша партия ведет деятельность, использование таких инструментов является незаконным или может привлечь больше внимания либо повлечь за собой больше рисков, чем навигация в Интернете с использованием стандартных протоколов HTTPS и зашифрованных протоколов DNS, то от использования VPN или Tor лучше отказаться. Ваш интернет-провайдер не будет знать, какие сайты вы посещаете, используя эти сервисы, однако он может видеть, что вы подключены к Tor или VPN. При этом постоянное использование по умолчанию надежного VPN является оптимальным выбором для большинства политических партий при условии, что это законно и технически возможно.

Какой браузер выбрать?

Рекомендуется выбрать надежный браузер, например Chrome, Firefox, Brave, Safari, Edge или Tor. Браузеры Chrome и Firefox очень широко используются и характеризуются высоким уровнем безопасности. Некоторые пользователи предпочитают Firefox ввиду его ориентации на конфиденциальность. В любом случае, необходимо регулярно перезапускать их и перезагружать компьютер, чтобы поддерживать браузер в актуальном состоянии. Если вам интересно сравнить функции браузеров, рекомендуем посетить данный ресурс Фонда свободы прессы.

Независимо от используемого браузера, рекомендуется использовать расширение или надстройку, например Privacy Badger, uBlock Origin, или DuckDuckGo’s Privacy Essentials которые не позволяют рекламодателям и другим сторонним трекерам отслеживать посещаемые вами сайты. Кроме того, попробуйте изменить поисковую систему по умолчанию с Google на DuckDuckGo, Startpage или другую поисковую систему, защищающую конфиденциальность пользователя. Этот прием также поможет ограничить рекламодателей и сторонние трекеры.

Безопасность браузера в реальном мире

Adobe Browser

В начале 2021 года тибетские политические деятели пострадали в результате использования продуманной вредоносной надстройки браузера, через которую злоумышленники получили доступ к их электронной почте и данным браузера. Надстройка под названием «Компоненты обновления Flash» предлагалась пользователям, посещавшим веб-сайты, к которым были привязаны фишинговые электронные письма Подобные атаки через расширения или надстройки браузера могут быть не менее разрушительными, чем вредоносное ПО, распространяемое непосредственно через фишинговые загрузки или другое программное обеспечение.