Как сохранить анонимность в интернете и защитить свои данные от мошенников, «сливов» и внимания государства? В ультимативном ликбезе об основах информационной гигиены «Дискурс» вместе с коллегами из «Теплицы социальных технологий» собрали 70 полезных советов о том, как защитить почту, смартфоны и мессенджеры, шифровать и безопасно хранить данные, придумать и запомнить надежный пароль, выбрать качественный VPN, обезопасить интернет-шопинг, правильно удалять с компьютера чувствительную информацию и не оставлять в интернете данные, которые могут быть использованы против вас.
А мы напомним, что запустили простой, бесплатный и надежный Discours VPN, чтобы вы могли безопасно читать все что вам хочется, легко оставаться на связи и обходить цензуру.
С чего начать
Одно из первых решений для повышения уровня вашей безопасности — не публиковать в интернете и не хранить на своих устройствах избыточную информацию о себе, своей жизни и работе, а также о других людях. Чем больше данных попадет в руки недоброжелателя, тем хуже.
Оцените, какие самые важные данные вы хотите защитить в первую очередь и взвесьте риски:
что может угрожать этим данным;
что может ослабить вашу безопасность, сделать вас и ваши устройства более уязвимыми;
что, напротив, может помочь укрепить безопасность устройств и личных данных.
Пример важной информации, которую стоит защитить — электронная база данных. Её можно потерять, если сломается компьютер или смартфон. Без резервной копии неоткуда будет восстановить базу, и данные будут утеряны.
Ниже подробно рассказываем о способах защиты данных, резервном копировании в облако, шифровании и безопасности в интернете.
О паролях и двухфакторной аутентификации
Используйте для пароля не менее 12 знаков: строчных и заглавных букв, специальных символов и цифр. Для запоминания таких паролей используют ассоциации и мнемотехнику. Некоторые предпочитают длинные парольные фразы минимум из 6-7 случайных слов. Для генерации пароля воспользуйтесь методом игральных костей.
Не используйте в качестве пароля фамилии, имена, клички домашних животных, крылатые фразы, цитаты, даты и то, что можно легко связать с вашей личностью.
Храните пароли в специальных программах и сервисах вроде KeePassXC и Bitwarden. Такие программы, кстати, имеют встроенные генераторы паролей.
Не используйте один пароль для двух и более ресурсов. Не возвращайтесь к старым паролям, которые были использованы когда-то в прошлом. Также иногда меняйте пароли в профилактических целях. Насколько часто — зависит от важности аккаунта, интенсивности работы с ним, а также от известных вам инцидентов со сливами данных или взлома сервисов. Иногда достаточно сменить пароль раз в два-три года. Возможно, вы решите это делать чаще, например, после неоднократного залогинивания в свои аккаунты, сидя в публичных Wi-Fi-сетях кафе, вокзалов и гостиниц.
Не пересылайте пароли по незащищенным каналам связи, где отсутствует дополнительная защита — например, не стоит использовать обычные смски.
Не передавайте кому-либо пароль к своим аккаунтам и устройствам без острой необходимости. Исключение — доверенное лицо, которое может воспользоваться доступом к вашим аккаунтам для вашего же блага, если с вами что-то случится и вы не сможете сделать это сами. Если пароль скомпрометирован, как можно быстрее смените его.
Включите в аккаунтах двухфакторную аутентификацию. По возможности избегайте СМС — используйте генератор одноразовых кодов в приложении для смартфона. Например, Authenticator Pro, 2FAS, Aegis, Google Authenticator.
Сохраните резервные коды для сервисов двухфакторной аутентификации. Если их нет, поищите или создайте в настройках аккаунта, к которому привязываете двухэтапный вход. Они понадобятся, если у вас не будет доступа к смартфону с приложением-аутентификатором.
Защита данных при хранении
Сокращайте объем избыточных данных. О методах разделения информации на категории и приведению личных устройств в порядок читайте в статье о подготовке устройств к пересечению границы.
Шифруйте диски и файлы. Рекомендуемые инструменты полнодискового шифрования для компьютеров: встроенные FileVault для macOS и BitLocker для Windows, LUKS для Linux или сторонний VeraCrypt для любых платформ. Подробно о том, как пользоваться последним рассказали коллеги из Роскомсвободы.
Резервное копирование данных
Не забывайте делать резервные копии, это поможет сохранить ценные данные. Облачное резервное копирование подойдёт, в частности, если есть вероятность обыска с изъятием компьютерной техники. Иногда облачное резервное копирование не вариант, скажем, если объем данных очень велик — например, видеоархивы. Их стоит хранить на отдельных дисках.
Не полагайтесь на опции шифрования в облачных сервисах. Лучше зашифровать данные самостоятельно на компьютере перед созданием резервной копии. Тогда не придётся пропускать незащищённые файлы через провайдера. Для хранения данных можно использовать любой облачный сервис, но помните — если сервер находится в России, на него распространяются местные законы, в том числе и «пакет» Яровой. Рекомендуем Google Drive или Mega.io.
Делайте резервные копии не только файлов на компьютере и смартфоне, но и отдельных сервисов. Например, архивируйте электронную почту и личный веб-сайт, если он у вас есть.
Надежное удаление данных
Удаление файлов в корзину небезопасно. Фактически файл просто перемещается в папку под названием «Корзина», откуда обычно его легко извлечь даже пользователю-новичку. Если есть риск обысков с изъятием техники и дисков, или если вы передаете личные устройства другому лицу — например, сдаете ноутбук по гарантии, стоит удостовериться, что данные удалились наверняка.
Для надежного удаления файлов с классических жестких дисков, то есть тех, у которых внутри вращающиеся пластины, можно использовать программы перезаписывания вроде Eraser и Bleachbit. Пустое пространство, которое Windows считает свободным от файлов, можно «очищать» с помощью тех же утилит или популярного CCleaner. По современным представлениям, достаточно одного прохода перезаписи, чтобы данные стерлись с диска физически.
Для надежного удаления файлов с современных твердотельных накопителей (SSD), выполняющих роль жестких дисков внутри вашего компьютера, достаточно простого удаления «мимо корзины» (Shift + Del) или удаления в корзину с последующей очисткой корзины. Убедитесь, что на компьютере включена функция TRIM.
Шифруйте носители. Для надежного хранения и удаления файлов с любых устройств, включая внешние диски и флешки, рекомендуется шифрование. Просто зашифруйте носитель — например, с помощью Veracrypt, и работайте с ним. Когда придет пора утилизировать находящиеся на нем файлы, нарочно «забудьте» пароль для расшифровки носителя.
Как обезопасить электронную почту
- Чистите почтовые ящики, не превращайте их в архивы данных. Если вам нужно сохранить содержимое почтового аккаунта, делайте резервные копии. Для Gmail, например, можно воспользоваться сервисом Google Архиватор.
- Используйте несколько почтовых адресов для разных целей. Один для рабочей переписки, другой личный, третий для новостных рассылок, четвертый для регистрации на сайтах и так далее. Выбирайте сервисы из тех стран, где правительство не вторгается в частную жизнь, просматривая почтовые ящики.
- Пользуйтесь нашими советами о паролях выше. Избегайте способов «восстановления забытого пароля» с помощью контрольных вопросов. Такие вопросы часто используют информацию из частной жизни человека — вероятность подобрать ответ выше, чем отгадать случайную комбинацию символов в пароле.
- Старайтесь лишний раз не связывать аккаунты между собой. Если ваш почтовый ящик указан, допустим, в настройках ваших аккаунтов интернет-магазина А, облачного хранилища Б и сайта бронирования железнодорожных билетов В, достаточно получить доступ к одному почтовому ящику, чтобы попробовать установить контроль сразу над аккаунтами А, Б и В.
- Относитесь критически к ссылкам и вложениям в электронной почте. Никогда не открывайте их в спаме. Отпишитесь от ненужных рассылок. Отключите в настройках профиля автоматическую загрузку графики HTML.
- Попробуйте более защищенные сервисы электронной почты, такие как ProtonMail и Tutanota. А если вы продвинутый в технологиях человек, обратите внимание на шифрование email по стандарту OpenPGP. Например, с помощью браузерного плагина Mailvelope.
Безопасность мессенджеров
- Проверьте, открытый ли код у вашего мессенджера. Представляет ли разработчик открытый доступ к программному коду мессенджера? Если да, значит, независимые эксперты могут проверить его на отсутствие уязвимостей, критических ошибок и преднамеренных «закладок». Signal — образец мессенджера с открытым кодом.
- Попробуйте децентрализованные сервисы. Если у мессенджера отсутствует какой-то единый выделенный сервер, через который идет коммуникация пользователей, приложение сложнее заблокировать или взломать. Таким, например, является Delta Chat.
- Не используйте личный номер. Требует ли мессенджер номер вашего мобильного телефона? Если да, и если SIM-карты в вашей стране продаются «по паспорту», об анонимности речь уже не идет. В Element, например, не требуется мобильный.
- Пользуйтесь сквозным шифрованием. То, что зашифровано на устройстве отправителя, может быть расшифровано только на устройстве получателя. Важно, чтобы эта функция была включена по умолчанию и работала для всех чатов и звонков, в том числе в группах. Например, в Telegram сквозное шифрование приходится включать отдельно — это функция «секретные чаты». В Signal она работает по умолчанию.
- Следите за тем, что пересылаете. Если данные хранятся на сервере, ваш аккаунт не защищен дополнительным паролем, а злоумышленник каким-то образом заполучил вашу SIM-карту, он может установить ее в свой смартфон и увидеть содержимое всех ваших чатов. Такой риск, например, есть в Telegram.
- Поставьте дополнительный пароль. По сути это двухфакторная аутентификация: первый фактор — привязка к телефонному номеру, второй — пароль. Функция есть в Whatsapp, Telegram и Signal.
- Пользуйтесь автоудалением сообщений по таймеру. В мессенджерах можно установить время, через которое переписки будут автоматически удаляться со всех устройств пользователей. Важно, чтобы не оставлять следы, особенно если беседа шла на чувствительную тему. Автоудаление есть во многих мессенджерах, а в Signal оно включено по умолчанию для новых чатов.
- Избегайте сервисы, собирающие метаданные. Мессенджер может записывать, кому и когда вы писали, какие файлы отправляли, а потом использовать накопленные данные «для улучшения качества сервиса» или, того хуже, в маркетинговых целях, чтобы показывать вам определенную рекламу. Facebook — пример «жадного» мессенджера, который собирает избыточную информацию.
- Следите за актуальностью мессенджера. Частые обновления приложений исправляют «дыры» и укрепляют общую безопасность сервиса. Устаревшие программы могут оказаться более уязвимыми для атак.
- Обращайте внимание на страну, где разрабатывают мессенджер. Лояльный к местному правительству сервис выложит всё, что потребует власть. В пользовательском соглашении программы может быть прописано, что споры между сторонами урегулируются в соответствии с законодательством такой-то страны.
- Для удобства пользуйтесь кросс-платформенными приложениями — это доступность мессенджера в разных операционных системах. Например, наличие у мессенджера десктопной или веб-версии. Косвенно о качестве приложения говорит, переведен ли интерфейс на ваш язык и насколько сервис популярен.
Безопасность мобильных устройств
- Не храните в смартфоне избыточные данные. Чистите смартфон, переносите данные на другие устройства, удаляйте устаревшую информацию. В первую очередь это относится к списку контактов, истории сообщений, истории просмотра веб-страниц, заметкам и фотографиям. Удалите приложения, ставшие ненужными. Имейте в виду, что ваш телефон автоматически «запоминает» точки WiFi, к которым вы подключались. Возможно, вы захотите почистить и эту информацию.
- Установите блокировку устройства. Пароль, PIN, графический ключ, отпечаток, лицо или сетчатка глаза в зависимости от условий. Если есть вероятность того, что злоумышленники применят силу для получения доступа к устройству, пароль предпочтительнее отпечатка или FaceID.
- Поставьте дополнительный пароль внутри приложений. Кодовая защита в мессенджерах и онлайн-банках будет дополнительным рубежом обороны, если злоумышленники разблокируют телефон.
- Установите PIN-код на SIM-карту вместо «0000» по умолчанию. Если злоумышленник вытащит SIM-карту и поставит ее в свой телефон, чтобы попробовать добраться до ваших аккаунтов, привязанных к этому номеру, у него ничего не получится.
- Старайтесь вообще не привязывать номер телефона к аккаунтам. Даже если вам говорят, что это «нужно по соображениям безопасности». Привязка к телефону — дополнительная уязвимость.
- По возможности обновляйте операционную систему и приложения. Устаревшие программы могут оказаться более уязвимыми для атак.
- Избегайте приложений, которые требуют слишком много разрешений. Например, фонарику необязательно знать о вашем точном местонахождении и отправлять данные в интернет. Также можно ограничить доступ приложений к камере и микрофону в настройках.
- Не используйте имя устройства, которое звучит провокационно или раскрывает данные о вашей личности. Это же касается названия мобильной точки доступа.
- Когда создаете собственную точку доступа WiFi, выбирайте шифрование не ниже WPA2-PSK (WPA2-Personal) и надежный пароль.
- Уберите в настройках телефона вывод уведомлений на заблокированном экране. Даже если ваше устройство защищено самым надежным паролем, любое входящее сообщение в мессенджере или его отрывок может быть прочитано кем угодно на заблокированном устройстве.
- Не пользуйтесь устройствами с правами суперпользователя root в Android и JailBreak в iOS. Режимы расширяют возможности по управлению вашим устройством, но также делают его более уязвимым.
- Для Android: включите защиту от Google и не держите постоянно включенным разрешение устанавливать приложения из сторонних источников. Иногда это бывает действительно нужно, если приложения нет в официальном магазине — в таком случае разрешите установку, а затем снова запретите скачивание вне Play Market.
- Не позволяйте устройству уходить в глубокий разряд. Периодически подзаряжайте телефон, носите с собой повербанк — батарея деградирует, если разрядить устройство «в ноль» и оставить его. Телефон рискует стать «кирпичом», а доступ к системе и файлам будет утерян.
- Заведите резервный телефон. Отправляясь в места, где вам и вашему смартфону может быть небезопасно, подумайте о том, чтобы взять с собой подменный аппарат попроще и без всех ваших данных, а только с необходимыми приложениями.
- Попробуйте «фирменные» средства обеспечения безопасности. Например, у Samsung это среда Knox, у Xiaomi — режим второго пространства.
- Скачайте «Партизанский Телеграм» для Android. Внешне П-Телеграм не отличается от стандартного приложения, однако у программы есть «двойное дно». В П-Телеграме можно поставить два кода разблокировки. Первый открывает ваш настоящий телеграм. А второй, «подставной», можно сообщить силовикам при задержании. Если ввести второй код, приложение скроет заранее выбранные чаты, очистит кэш и список контактов, а также отправит SOS-сообщение доверенным лицам с вашей геолокацией. Имейте в виду — если человек чудом отгадает первый код, он попадёт в ваш обычный телеграм. Так что не ставьте в качестве цифрового кода свой год рождения и другие очевидные комбинации. Коллеги из «Теплицы» записали ролик о том, как работает «П-Телеграм».
Конфиденциальность и анонимность
- Установите VPN, и нежелательный «контролер» вроде вашего интернет-провайдера или государства не сможет узнать, на какие сайты вы ходили и какими данными с ними обменивались. Ваша информация будет защищена надежным шифрованием. Кроме того, поскольку VPN работают как сервер-посредник, они позволяют обходить цензуру сайтов. Есть множество платных и бесплатных VPN. Некоторые платные сервисы можно посмотреть в рейтинге vpnlove.me от Роскомсвободы. Из бесплатных решений можно попробовать VPN Generator.
- Пользуйтесь браузером Tor. Это глобальная децентрализованная сеть из тысяч серверов, через которую передается ваш интернет-трафик. Когда вы пользуетесь Tor, никто не может отследить, кто вы, откуда и какие сайты посещаете. Это важно, например, в странах, где за сообщения о фактах произвола чиновников, экологических нарушениях, случаях коррупции и т. п. людей преследуют и наказывают. Есть и клиенты для смартфонов: Tor Browser для Android или Onion Browser для iOS.
- Пользуйтесь режимом «инкогнито» или «приватным окном» в браузере, если вы хотите оставлять поменьше следов на своем компьютере. Так вы запретите браузеру сохранять данные вроде посещенных страниц и cookie-файлов.
- С осторожностью подключайтесь к публичным сетям Wi-Fi, особенно беспарольным — пользуйтесь ими через VPN.
- Выработайте привычку регулярно стирать историю браузера, кэш и прочие сохраненные данные, если не хотите использовать «инкогнито».
- Попробуйте операционную систему Tails, если хотите вообще не оставлять следов — ни в компьютере, ни в интернете. Она загружается с флешки и имеет набор основных программ для работы. Никаких следов присутствия на диске вашего компьютера не остается. Весь интернет-трафик в Tails проходит через сеть Tor, обеспечивая пользователю анонимность.
Как обезопасить свои деньги в интернете
- Заполняйте формы оплаты только на сайтах с https. Заполняя в браузере какую-либо анкету, обратите внимание, чтобы в адресной строке сайт начинался с «https» — это защищённый протокол. Если написан http, то соединение небезопасно, и лучше не оставлять данных на таком сайте.
- Опасайтесь поддельных сайтов-двойников. Фишинг — одно из самых распространенных преступлений в компьютерной сфере. Мошенник убедительно прикидывается важным сайтом или организацией. Он добивается, чтобы вы ввели свои данные, например, от аккаунта Google, чтобы уже с их помощью подобраться к вашим кошелькам, прикреплённым способам оплаты и привязанным аккаунтам. Не поддавайтесь на просьбы куда-то залогиниться «как можно быстрее» под угрозой закрытия аккаунта или какой-то иной беды, не принимайте решений на скорую руку. Мошенники часто используют фактор срочности, чтобы не дать жертве подумать и сориентироваться. Не кликайте в спешке по предлагаемым ссылкам и не торопитесь вводить свои данные вроде логинов и паролей.
- Будьте аккуратны с выплатами авансом, переводом денег в обход установленного сервисом или сайтом способа, предложениями пожертвовать на лечение или иную благотворительность без убедительных и поддающихся проверке обоснований.
- Со скепсисом относитесь к просьбам знакомых в соцсетях. Будьте осторожны, если получаете сообщения от друга или родственника об экстренной финансовой поддержке. Свяжитесь с ним по другому каналу и уточните, правда ли он попал в беду и просит денег. Возможно, его аккаунтом завладел мошенник.
- Не сохраняйте данные о банковской карте при оплате товаров и услуг, если есть такая возможность. Безопаснее вводить их самостоятельно каждый раз.
- Создайте отдельную виртуальную карту для интернет-платежей. Если ваш банк не выпускает виртуальные карты, можно выпустить обычную дополнительную карту. Некоторые банки предлагают ограничить число операций по счету или доступную к списанию сумму, что тоже полезные для безопасности опции. Если нет и такой возможности, попробуйте держать деньги на отдельном счете, а на карту переводить ограниченные суммы по необходимости.
- Регулярно просматривайте историю платежей, чтобы контролировать свои финансы и избежать непредвиденных списаний.
Другие меры предосторожности
Регулярно обновляйте операционную систему и приложения. Устаревшие программы могут оказаться более уязвимыми для атак. Старая техника тоже уязвимее для современных угроз.
Не захламляйте компьютер или телефон ненужным софтом. Если к программе внезапно предлагается некое необязательное дополнение, подумайте, так ли оно вам нужно. Скажем, вы скачиваете браузер, а вам подсовывают какие-нибудь плагины, или устанавливаете игровое приложение и видите навязчивую рекламу фитнес-программы, считающей расходуемые вами калории. Осознанно выбирайте программы для установки.
Дополнительный антивирус, скорее всего, вам не нужен. Зачастую достаточно встроенных антивирусов Windows и MacOS. Соблюдайте базовые правила безопасности: не скачивать то, чему не доверяешь. Антивирус фактически получает доступ ко всем вашим файлам и копается в них.
Включите уведомления о входе в аккаунт для всех сервисов. Это касается электронной почты, социальных сетей и профилей в онлайн-магазинах — оповещение предостережёт вас от неожиданных взломов.
По возможности не устанавливайте так называемые российские корневые сертификаты. Они призваны улучшить производительность на отечественных сайтах, но на деле могут собирать данные. Если какой-то необходимый вам российский сайт не открывается без такого сертификата, возможно, лучше установить браузер Яндекс.Браузер или Атом — в них встроена поддержка российских сертификатов. Используйте этот браузер исключительно для работы с упомянутым сайтом.
Не используйте программы и сервисы из небезопасных юрисдикций — тех, где разработчики лояльны правительству и с готовностью обеспечат ему доступ к вашим данным или заблокируют ваш аккаунт.
Для работы с текстом попробуйте Cryptpad — альтернативу Google Docs, где онлайновый документ можно защитить паролем и установить срок его жизни. Или PrivNote — сервис сгораемых записок. Сообщение исчезает после прочтения, и повторно прочитать его невозможно.
Как подготовиться к возможной изоляции Рунета или временным отключениям сети
В текущей политической ситуации нужно быть готовым и к полному отключению интернета в России — например, в случае мятежей, массовых демонстраций или эскалации военного конфликта.
Скачайте заранее весь нужный вам софт, не требующий доступа к сети: браузер Kiwix, навигатор Organic Maps, читалки, видео и аудиоплееры.
Установите Tor Browser и настройте VPN, согласно советам выше. Научитесь пользоваться ими до того, как появится острая необходимость.
Сохраните себе установщики необходимых программ: VPN-сервисов, браузеров, антивирусов и личного софта.
Попробуйте оффлайн-мессенджеры. Например, во время протестов в Гонконге в 2014 году власти временно заблокировали сеть, и демонстранты стали координироваться через FireChat, передающий сообщения по WiFi и Bluetooth.
Помогите своим родственникам, друзьям, близким, коллегам по работе, соседям, всем нуждающимся в вашей помощи подготовиться к отключению Рунета: распространяйте информацию, готовьте инструкции, скачайте нужный софт, храните и делитесь установочными файлами программ.
Имейте в виду, что продолжительное ограничение интернета, как, например, северокорейский «Кванмён», обойти такими методами не получится. Но если однажды случится сценарий протестов, как в Гонконге — когда сеть отключают временно, то с помощью этих сервисов можно справиться.
Читайте также
Спасти рядового пользователя: как шифропанки изменили интернет и защищают свободу сети
Кто, как и зачем нападает на сайты: самые значимые политические DDoS-атаки в истории интернета
Дискурс заблокирован в России. Что будет дальше и как теперь читать самиздат?
В подготовке материала приняли участие журналисты Иван Вахрушев, Максим Рапопорт, специалист по цифровой безопасности Сергей Смирнов, а также авторы и читатели самиздата.
Спасибо за то, что делитесь ремарками и советами, которые помогают сделать жизнь других безопаснее. Если вам есть, чем дополнить эту общественную инструкцию, пишите нам на редакционную почту welcome@discours.io
