(сохранённая копия)
Журналисты, активисты, правозащитники, обычные люди -- все, кому интересно не показывать свои делишки всему интернету, найдут это руководство полезным. Каждый найдёт над чем подумать в контексте компьютерной и информационной безопасности и наверняка задаст немало вопросов. От нас, сторонников криптоанархии, их пока что два:
Не отвечайте сразу -- давайте читать и рассуждать. После прочтения вы можете не раз вернуться к интересующим инструкциям и тезисам.
Для удобства руководство разбито на разделы и главы. После некоторых глав будут ссылки на дополнительный материал для дальнейшего изучения интересующей темы. Содержание -- на самом верху. Каждый может дополнить тот или иной раздел -- приветствуется любая помощь, при этом не забывайте указывать причину правки.
Руководство состоит из теории и конкретных инструкций. Предполагается, что оно будет обширным и охватывать все, но даже этого будет недостаточно. Поэтому не полагайтесь только на информацию отсюда -- читайте дополнительные материалы, практикуйтесь, интересуйтесь мнением единомышленников и ищите ответы самостоятельно.
Обыватель -- простой человек, который не будет заботиться о сохранности своих данных сам. Он скорее возложит это на добрую компанию, которая заботливо соберёт все его контакты, заметки, фотографии, историю местоположений, сделает резервную копию по запросу и сохранит до лучших времён. Добрая компания на самом деле или злая, не волнует обывателя: удобство и популярность продукта для него на первом месте.
Поэтому говорить напрямую о приватности и информационной безопасности в споре с обывателями бесполезно: это не укладывается в его мире. Лучше говорить с ними о проблемах, которые может решить инфобез. А их у обывателей немало:
Особенно избегайте срачей между обывателями: бесполезная трата времени и нервов не сделает ничью жизнь проще. Если Петя недоумевает, зачем нужен Tor, не спешите кричать во всеуслышание, что он потешный нечегоскрыватель и ничего не понимает в криптоанархии -- объясните, что Tor помогает смотреть заблокированные сайты и даёт доступ к информации, которую он больше нигде не найдёт (та же Флибуста с книгами).
Другой взгляд на проблему неосознания угроз от спецпроекта РосКомСвободы
Другой взгляд на проблему неосознания угроз от спецпроекта РосКомСвободы
Да, это так. Ещё террористы и преступники интересуются шахматами и разведением рыбок.
Шифрование -- такой же инструмент, как и молоток. Никто не спешит запрещать молоток, хотя им можно убить. Разница в том, что слесарные инструменты используют для обработки металла, а шифрование -- для того, чтобы ваши разговоры никто не подслушал.
Рекомендуем также ознакомиться с этой статьёй
Самый распространённый аргумент. Часто так говорят те, кто не знает цену личным данным, -- иначе возникло бы противоречие: если я прячу деньги в карман, почему я должен в открытую писать мой номер телефона и домашний адрес? Чтобы потом по этому телефону звонили продавцы посуды, а за углом подкараулили грабители?
Чтобы прочувствовать цену личных данных, нужно осознавать последствия их передачи другим людям. Если они попадут нужному человеку, ничего страшного. А если нет? Вы можете представить, что будет, если данные вашей банковской карточки окажутся не только у работника, который вас обслуживает? Утверждение "мне нечего скрывать" позволяет не обращать внимание на такой пустяк и спать спокойно до тех пор, пока пустяк не разросся до утекших денег. Хорошо, если вы пользуетесь наличностью и опустошаете счёт. Плохо, что так почти никто не делает. Ещё хуже, что люди допускают возможность мошенников дозвониться до них и попытаться выведать больше данных, чтобы снять деньги.
"Мне нечего скрывать" -- корень многих проблем и неудобств. Сегодня вы оставили номер телефона, завтра он попал в базы данных торговых компаний, послезавтра поступил первый и не последний звонок с уникальным предложением. Надоели! Не идти же менять номер, в самом-то деле. А можно было его не оставлять в сети изначально, когда есть другие способы связаться -- тот же e-mail, который сменить легче? На самом деле полно случаев, когда что-то скрывать просто необходимо, если хочется покоя в жизни.
"Мне нечего скрывать" и другие ошибочные толкования приватности -- перевод эссе об исследовании распространённого высказывания
Частный случай предыдущего утверждения. Здесь нам пытаются внушить, что следят только за преступниками, которые априори подозрительны. Типичная вера в справедливый мир, которая не даёт понять очевидное: все следят за всеми. Начальник следит за подчинёнными, подчинённые следят за начальником и соседями, а полиция следит вообще за всеми. Только в компаниях вроде Google могут делать это не отрываясь от кресла: алгоритмы сбора данных есть, а пользователи сами всё расскажут.
Дальше всё зависит от того, чьей слежки вы боитесь больше всего.
Представим, что все люди как люди, а вы измазаны сажей, чтобы вас было трудно увидеть в темноте. Через пару дней все будут узнавать "того чудака из кустов", а через пару недель будут знать и ваше имя. Теперь представим, что сажей измазано сто человек. Становится труднее назвать имя конкретного чудака из кустов в ночь с четверга на пятницу, даже спустя месяцы. Логично предположить, что тысячи чудаков в саже запутают кого угодно ещё сильнее.
То же самое в интернете. По такому принципу работает сеть Tor как совокупность десятков-сотен прокси, раскиданных по земному шару и используемых тысячами людей. Причём порядок нод (узлов) меняется каждые 10 минут.
Здесь мы сталкиваемся с выбором между удобством и безопасностью. С одной стороны, популярные программные продукты и интернет-сервисы часто заявляют оба качества, но сложно говорить о безопасности, пока не ясно, из чего она состоит и от чего защищает. С другой стороны, разработано множество не менее удобных альтернатив -- чаще бесплатных, -- исходный код которых открыт для изучения и различных проверок на алгоритмы слежки и сбора данных (аудитов).
Таким образом, есть продукты, которые не требуют от вас ни номер телефона, ни паспортных данных, ни-че-го. При этом их функциональность не хуже. Пример -- LibreOffice, кросс-платформенный офисный пакет, легко заменяет лицензионный MS Office.
Даже опытные аноны путаются в элементарных понятиях. Иногда незнание приводит к принятию неправильных решений, запутывает ещё сильнее. Заглядывайте в эту главу почаще: здесь будут описаны основы основ и тот минимум знаний, с которого мы советуем начинать захватывающее приключение в мир криптоанархии.
Представьте, что вы заходите в туалет. Кабина звукоизолирована вдоль и поперёк, дверь крепкая. Вы туда заходите и начинаете что-то делать. Пока никто не видит, что вы там делаете, это приватность. Если окружающие догадываются, что вы там едите капусту, но совершенно не в курсе, кто её ест, это анонимность. Если кто-то хочет отнять у вас капусту, пока вы внутри кабинки, но не может, то кабинка безопасна. До тех пор, пока нарушитель трапезы не принесёт кувалду.
Итого:
Приватность -- когда знают вас, но не знают, что вы делаете.
Анонимность -- когда знают, что вы делаете, но не могут связать эту активность с вами.
Безопасность -- когда вам не могут помешать или навредить.
Различение этих понятий поможет выбрать правильный инструмент. Например, платный VPN поможет скрыть от провайдера, чем вы занимаетесь, но чтобы остаться анонимным, придётся выбрать средства посерьёзнее.
Хорошо, если вы умеете читать справочную и техническую литературу на нём. Идеально, если вы знаете его на уровне Upper-Intermediate и выше.
Шифропанку и просто интересующемуся информационной безопасностью он необходим: на нём больше обучающих материалов и новостей, а сколько-либо серьёзное ПО не переведено на русский -- например, Whonix. Его незнание скорее бельмо на глазу, чем серьёзная преграда к достижению целей. Вы мало потеряете, не зная английского, но поиск решения ваших задач будет тяжелее.
Анон -- аноним. Термин пришёл к нам из имиджборд, где все участники анонимны по отношению друг к другу.
Впараше (впашке, усманач) -- социальная сеть "ВКонтакте"
Дебильник, могильник, телебон -- мобильный телефон, смартфон.
Зонд -- кусок кода программы или сама программа, собирающая некоторые данные о своих пользователях. Сравнимо с медицинским зондом для исследования внутренних полостей человека.
Нормис, нормик, нормоблядь -- в контексте руководства, обыватель, человек с нормальными, общепринятыми жизненными установками и приоритетами. Забота о безопасности своих данных и приватности такого человека не волнует или волнует слабо.
ОС -- операционная система.
ПО -- программное обеспечение, всевозможные компьютерные программы.
Проприетарное ПО (проприетарщина, пиписитарщина) -- несвободное, собственническое ПО. Исходный код закрыт, невозможно понять, как устроена программа. Шифропанками не рекомендуется к использованию.
Свободное ПО (free/libre software) -- ПО, которое может запускать кто угодно для чего угодно, сколько угодно раз на любом компьютере без ограничений. Такое ПО имеет открытый исходный код, который можно изменять. Свободные программы можно просто распространять. А можно доработать и распространять изменённые версии. Иногда по ошибке именуется open-source.
ПО open-source -- ПО с открытым исходным кодом. Любой может его изучить перед использованием, но чаще это делают специалисты. Чаще всего исходный код публикуется под свободной лицензией.
Новости прошлых лет, текущая ситуация в России, постсовке и мире
Компьютеры и ноутбуки -- идеальные устройства для работы и организации досуга, потому что гибкие для настройки и мощные достаточно, чтобы решить любую задачу, связанную с информацией -- например, виртуализация сразу нескольких операционных систем на одной машине, которые не будут знать о существовании друг друга.
Свободные, они же opensource.
Идеальный вариант - свободное ПО, которое разрабатывается независимыми людьми, существует длительное время, получает обновления безопасности и прошедшее аудит.
Что касается анонимности разработчиков, есть такое мнение:
This matters because until Deterministic Builds become standard, (non-)anonymous
developers might imply trust. A project's reputation, formal education and
expertise are other relevant factors.
https://www.whonix.org/wiki/Comparison_with_Others#cite_note-27
Ссылка
С 2008 года Intel встраивает бэкдоры в свои процессоры под названием Intel ME. Позволяет удалённо подключаться к компьютеру и делать с ним что угодно, независимо от операционной системы.
На стареньких моделях типа Lenovo ThinkPad T400 имеется возможность деактивировать Intel ME, они будут хорошим выбором.
Если слежка со стороны Intel не страшна, можно выбрать любой компьютер, но он обязательно должен работать без несвободных драйверов. Простая проверка: запишите на флешку Debian Live CD, загрузитесь с неё и посмотрите, как работает компьютер.
Windows и MacOS не подходят: они проприетарны и собирают данные о пользователях.
Есть список свободных дистрибутивов на сайте gnu.org. Там отсутствует Debian из-за незначительных причин. Если не добавлять non-free раздел в репозитории вручную (по умолчанию выключен), то этот дистрибутив соответствует требованиям фонда свободного программного обеспечения.
Whonix и TAILS основаны на Debian, который будет неплохим выбором для пользователя любого уровня. Он полностью свободный, если не добавлять репозиторий non-free. Развиваются сообществом, а не корпорациями.
QubesOS -- одна из таких. Главный принцип -- изоляция всех процессов друг от друга за счёт виртуализации. Требует мощное оборудование, на многих машинах не испытывалась, отчего на официальном сайте есть ветка с отчётами пользователей, которые тестировали Qubes на своих компьютерах.
Не доверяйте предустановленным операционным системам: они могут содержать вирусы. Если записать установочный носитель из предустановленной ОС, то этот носитель может оказаться заражённым. На примере Debian Linux приводим правильные способы записать ОС для последующей установки:
Из-под Unix-подобных операционных систем проверять контрольные суммы и цифровые подписи можно так:
fdisk -l /dev/sdX - посмотреть количество секторов на флешке (смотреть на чётные сектора)
dd if=/dev/sdX count=XXXXXX status=progress | sha256sum - считать с флешки ровно столько секторов, чтобы получился размер образа установщика операционной системы, а затем передать программе sha256sum данные, чтобы посчитать их контрольную сумму
gpg --verify SHA256SUMS.sign SHA256SUMS - проверить цифровую подпись у контрольных сумм
Есть руководство в формате HTML и PDF.
Перед установкой можно потренироваться на виртуальной машине, например VirtualBox.
Теперь -- пошаговая инструкция:
Если стоит выбор между шифрованием системы или не шифрованием, то лучше выбрать шифрование по нескольким причинам. Пароль можно выбрать лёгким, а потом сменить и не придётся шифровать систему, когда понадобится шифрование. Данные на диске можно быстро уничтожить, если затереть первые 16MiB зашифрованного раздела. Например, командой dd if=/dev/urandom of=/dev/sdXY bs=1M count=16 ; sync
Шифрование жёсткого диска не защитит от атаки evil maid. Если кто-то может получить физический доступ к компьютеру, то лучше вынести загрузчик на флешку и носить флешку с собой.
Атака evil maid Исполоьзуем Secure Boot на всю катушку Немного про UEFI и Secure Boot
Исполоьзуем Secure Boot на всю катушку
Немного про UEFI и Secure Boot
Из головы выдумывать пароль не всегда надёжно. Для этих дел подойдёт генератор паролей, встроенный в KeePassXC.
Нет ничего страшного в том, чтобы выбрать сначала короткую ключевую фразу, а потом наращивать её. Менять ключевую фразу можно командой sudo cryptsetup luksChangeKey <имя устройства>.
Пароль для учётной записи не страшно забыть, так как он сбрасывается. А если забыть ключевую фразу для шифрования, то можно попрощаться с данными.
Загружаемся, выбираем настройки по умолчанию. Заходим в меню > мультимедиа > pulseaudio, выключаем звук с микрофона. Заходим в меню > диспетчер настроек и настраиваем всё что надо.
Открываем терминал, вводим sudo nano /etc/apt/sources.list. Всё удаляем и вписымаем три строчки.
deb https://deb.debian.org/debian-security buster/updates main deb https://deb.debian.org/debian buster main deb https://deb.debian.org/debian buster-updates main
Сохраняем (ctrl+o enter), выходим (ctrl+x). Перед тем как подключить интернет читаем пункт 4.5 (но там сложно, поэтому его можно пропустить). Подключаем интернет. Вводим sudo apt update; sudo apt upgrade. Обновляемся, перезагружаемся. Устанавливаем tor и apt-transport-tor. sudo apt install tor apt-transport-tor.
Редактируем репозитории. sudo nano /etc/apt/sources.list, добавлем tor пред https, чтобы получилось
deb tor+https://deb.debian.org/debian-security buster/updates main deb tor+https://deb.debian.org/debian buster main deb tor+https://deb.debian.org/debian buster-updates main
Обновляемся sudo apt update; sudo apt upgrade. Вместо https репозиторием можно подключить .onion репозитории. Их можно найти на сайте https://onion.debian.org/
Устанавливаем межсетевой экран. sudo apt install gufw. Вводим в терминале sudo gufw, выбираем общественное место.
Устанавливаем torbrowser. Его нет в стабильной ветке, поэтому подключим нестабильную, но настроим её так, чтобы пакетный менеджер брал из неё только torbrowser-launcher. sudo nano /etc/apt/preferences
Package: * Pin: release n=sid Pin-Priority: -1 Package: torbrowser-launcher Pin: release n=sid Pin-Priority: 700
Добавляем строчку deb tor+https://deb.debian.org/debian sid main contrib в /etc/apt/sources.list. Обновляемся sudo apt update; sudo apt upgrade. Ставим лаунчер. sudo apt install torbrowser-launcher. Запускаем лаунчер, ждём установки торбраузера. После установки и запуска нажимаем на значок щита, выбираем максимальную безопасность "Safest". Теперь скрипты не будут запускаться и браузер станет безопасным. Но некоторые сайты перестанут работать. Если эти сайты очень нужны и безопасность не так важна, то можно включить скрипты отдельно для этого сайта. Для этого выносим значок "NoScript" на панель браузера. 3 полоски > customize > перетаскиваем NoScript к щиту. Теперь с помощью этого значка можно временно разрешать скрипты. Есть статья с подробной настройкой браузера. Вместе с torbrowser-launcher установились и apparmor профили. Даже если сайт взломает браузер, то у браузера просто не будет доступа ко многим файлам в домашней директории пользователя. Можно проверить: ввести /home/ в адресной строке, должна появиться ошибка.
Иногда может понадобиться обычный браузер. Установим Firefox. sudo apt install firefox-esr firefox-esr-l10n-ru. Теперь настраиваем:
1) Создаём новый профиль через терминал firefox --no-remote -ProfileManager.
2) Заходим через него на этот сайт и следуем инструкциям. Если вы совсем не знаете английского, переходим к пункту 4.
3) В настройках браузера:
-- Вкладка "Поиск": убираем все поисковые системы, кроме DuckDuckGo (по желанию можете в дальнейшем установить любую поисковую систему);
-- Вкладка "Приватность и безопасность": убираем галочку с опции "Запоминать логины и пароли для входа на сайты", историю браузера никогда не запоминаем, cookies от третьих лиц не принимаем, данные сайтов хранятся до закрытия программы;
-- больше ничего не трогаем, пока не знаем наверняка, зачем это нужно.
4) Настраиваем обозреватель файлов в Debian на показ скрытого содержимого.
5) Переходим сюда: /home/ имя_пользователя /.mozilla/firefox/XXXXXXXX. имя_нового_профиля.
6) Создаём файл user.js, открываем, копируем длинный список настроек с сайта, сохраняем.
7) Через обозреватель файлов идём сюда: /usr/lib/firefox/browser/ и открываем папку features через терминал.
8) Всё содержимое этой папки нужно удалить. Пользуемся командой sudo rm _имя_файла_.
9) Возвращаемся к пункту 3.
Браузер настроен, осталось добавить расширения. Ставим HTTPS Everywhere, Ublock Origin и NoScript (можно и uMatrix). Остальные -- по желанию.
Подробнее о рекомендуемых расширениях:
HTTPS Everywhere -- не даст вам перейти на незашифрованный сайт, принудительно загружает страницы через HTTPS, если на них есть сертификат безопасности.
Ublock Origin -- блокировщик баннеров, поп-апов и другого рекламного барахла. Умеет делать это по готовым базам и вручную.
NoScript -- блокирует контент, выявляет таковой от третьих лиц. Настраивается вручную, но в нём есть готовый список доверенных источников, в который входят сервисы Google, Microsoft, Amazon и др.
uMatrix -- ещё один блокировщик контента, умеет блокировать на уровне домена.
Cookie AutoDelete -- чистильщик cookies. Как только вы покидаете сайт, файлы автоматически стираются.
Firefox Privacy – The Complete How-To Guide -- ещё один гайд по настройке Firefox с подробным описанием некоторых опций about:config. На английском.
Spyware Watchdog -- Firefox -- вот что делает браузер по умолчанию.
Firefox Privacy – The Complete How-To Guide
Очень опасно подключать необновлённую операционную систему к интернету. Этот пункт очень трудоёмкий. Его можно пропустить если у вас мало времени и сил или если образ вашей операционной системы "свежий". Если у вас Debian 10.0.0, а уже вышел 10.1.0 или 10.2.0, то рекомендуется выполнить этот пункт.
Схема такая: у вас есть операционная система, вы подключите её к сети и будете считать, что она заражена. С заражённой системы вы скачиваете обновления на флешку или раздел жёсткого диска (а обновления не могут быть заражены, так как при обновлении проверяется цифровая подпись пакетов), переустанавливаете операционную систему, ставите обновления с флешки/раздела диска и только потом подключаетесь к интернету
Что же делать? Например, поставить систему, поставить программу debmirror, склонировать репозиторий debian-security:
debmirror -p -v -h deb.debian.org -r debian-security --method=https -d stable/updates -s main,contrib -a amd64 --nosource --i18n --check-gpg --keyring=/usr/share/keyrings/debian-archive-keyring.gpg --nocleanup ./mirror/debian-security
Затем скинуть файлы на флешку. Если её надо разметить, то можно fdisk'ом или с помощью графического gparted.
После переустановки вставляем флешку, заходим через файловый менеджер в директорию mirror, открываем терминал и поднимает http сервер python3 -m http.server --bind 127.0.0.1 8000
Теперь в /etc/apt/sources.list можно прописать репозиторий с обновлениями безопасности:
deb http://127.0.0.1:8000/debian-security buster/updates main
Обновляемся, обновляемся - apt update; apt upgrade
Есть и другой более умный способ. Ставим операционку, обновляем её, ставим программу apt-cacher-ng, в /etc/apt/sources.list всё чистим, вводим apt update; apt autoclean; apt clean, теперь мы можем прописать кэширующиеся
http://127.0.0.1:3142/HTTPS///deb.debian.org/debian-security buster/updates main #http://127.0.0.1:3142/HTTPS///deb.debian.org/debian buster main #http://127.0.0.1:3142/HTTPS///deb.debian.org/debian buster-updates main
Последние две строки по желанию. Вдруг вы захотите перед подключением к интернету установить gufw и apt-transport-tor. Тогда установите их в текущую систему и не комментируйте последние две строчки.
Обновляемся с помощью apt update, а теперь нам надо перекачать все имеющиеся программы. Поможет утилита aptitude aptitude reinstall -d ?installed. Теперь в директорию /var/cache/apt-cacher-ng скачалась только нужная нам часть репозитория. Скидываем на флешку и смотрим выше.
Это может спасти от таких уязвимостей.
Apparmor запрещает остальным программам лезть в файлы, подключаться к камере и микрофону. Утилита может запретить одним программам запускать другие. По умолчанию Apparmor запрещает всё, затем оставляет пользователю возможность разрешить что-то отдельно.
Эта программа -- еще один оборонный рубеж между вами и злоумышленниками. Например, если Firefox будет заражён через вредоносный сайт, то сгенерированный apparmor-ом профиль не даст зашифровать всю домашнюю директорию, не даст украсть все файлы пользователя, скорее всего, не сможет занести вирус в систему.
Но apparmor не спасёт от перехвата клавиш приложением, от "подглядывания" за содержимым других приложений, не спасёт и от чтения буфера обмена. Кроме того, браузер имеет доступ к загрузкам, к истории, к сохранённым паролям, а значит они тоже под угрозой.
Для генерирования профиля потребуется пакет apparmor-utils.
Создавать профиль можно двумя способами. Первый подходит для доверенных приложений:
Командой aa-genprof <имя приложения> создаём профиль.
Запускаем приложение, пользуемся им. Стараемся использовать все функции приложения.
Жмём S и разрешаем или запрещаем доступ к нужным файлам. Иногда возникает необходимость разрешить все файлы в директории и в директориях ниже, тогда жмём N и дописываем две звёздочки. Например /etc/fonts/** r, разрешает чтение всех файлов в каталоге /etc/fonts/ и всех каталогов в этом каталоге. Всех каталогов каталогов. И так далее.
Сохраняем. Возвращаемся в пункт 2 до тех пор, пока после сканирования ничего нового не появится.
Второй способ нужен, если приложение опасно запускать без ограничений.
Командой aa-genprof <имя приложения> создаём профиль.
Нажимаем F (финиш).
Командой aa-enforce <имя приложения> применяем ограничения к приложению.
Повторяем команду aa-genprof <имя приложения>, создаём профиль предыдущим способом. Выполняем следующие команды:
aa-enforce <приложение> -- применить ограничения к приложению.
aa-complain <приложение> -- ограничения игнорируются, но их нарушение пишется в лог.
aa-disable <приложение> -- отключить ограничения.
aa-status -- посмотреть состояние Apparmor-a.
Чтобы создать профиль заново, надо отключить ограничения для программы, а затем удалить профиль этой программы в /etc/apparmor.d/.
Для редактирования профиля вручную, откройте файл в /etc/apparmor.d/.
Наиболее опасны приложения, работающие с интернетом (Firefox) или открывающие файлы оттуда (LibreOffice), поэтому в первую очередь надо создать профили для них. Для браузера TOR профиль идёт в комплекте с пакетом torbrowser-launcher -- просто ставьте его.
Совет: если программа просит разрешить запускать другую программу, то проще всего разрешить ей запуск под флагом itherit. Подпрограмма получит те же права, что и основная программа
APT (Aptitude) -- пакетный менеджер в дистрибутивах Ubuntu и Debian. Через него пользователи устанавливают пакеты приложений и библиотеки из репозиториев. В этом пункте перечислим основные команды для работы в нём. Жирным помечены команды, которые требует права суперпользователя (sudo в начале команды).
apt update -- обновление списка пакетов
apt upgrade -- обновление установленных пакетов, ничего не будет удалено
apt full-upgrade -- обновление установленных пакетов, некоторые пакеты могут быть удалены, если это необходимо для обновления
apt purge <название_пакета> -- удалить программу и конфигурационные файлы
apt autoremove -- после удаления программы удалить зависимости от этой программы
apt install -d <название_пакета> -- только скачать программу
apt install -t sid <название_пакета> -- установить программу используя нестабильный репозиторий
apt install <название_пакета>/sid -- установить программу из нестабильного репозитория, а зависимости из стабильного
apt search <слово> -- искать программу по слову
apt show <название_пакета> -- показать программу и описание программы.
Списки репозиториев находятся в /etc/apt/sources.list. Подробнее
Приоритет репозиториев находится в /etc/apt/preferences. Подробнее
После обновлений иногда надо перезагружаться. Узнать когда надо, а когда нет поможет программа needrestart.
Сгенерируем пару ключей. Закрытый храним у себя, открытый шлём всем своим друзьям и врагам. С помощью открытого ключа можно зашифровать сообщение, а потом расшифровать его можно только с помощью закрытого.
А ещё с только помощью закрытого ключа можно создать цифровую подпись, а с помощью открытого ключа можно проверить её.
Можно работать с программой GPA, если текстовая gpg кажется слишком сложной.
gpg --full-gen-key - начать генерацию ключа
(1) RSA и RSA (по умолчанию)
Размер 3072 или 4096 подробнее
Срок действия ключа можно сделать неограниченным. Или на год-два, а потом продлить.
Если вы планируете участвовать в сети доверия с незнакомыми людьми, которые будут проверять паспорт, то пишите имя и фамилию. Если не будете или будете подписывать только ключи друзей, то хватит и имени.
Указываем электронную почту, если есть.
Примечание по желанию.
Принять (O).
Придумываем сложный пароль.
Ключ успешно создан. А ещё у нас появился сертификат отзыва в .gnupg/openpgp-revocs.d/, его мы скопируем на флешку позже вместе с копией ключа.
gpg -a --export-secret-keys - выводим из программы закрытый ключ. "-a" означает выводить только печатные символы. Копируйте закрытый ключ на флешку вместе с сертификатом отзыва и храните в надёжном месте.
cat secret_key.gpg | gpg --allow-secret-key-import --import - вводим в программу закрытый ключ
gpg --list-keys и gpg --list-secret-keys - показать ключи и показать закрытые ключи
gpg --fingerprint - показать отпечатки ключа (то же самое, что и --list-keys, только в приятном для глаза виде)
torsocks gpg --send-keys <ключ> - отправить свой открытый ключ на сервер ключей. "torsocks" - отправлять через Tor
torsocks gpg --recv-keys <ключ> - получить ключ друга с сервера ключей
torsocks gpg --search-keys <слово> - искать ключ по электронной почте или по имени
gpg --verify SHA256SUMS.sign SHA256SUMS - проверить цифровую подпись
echo 'сообщение' | gpg --armour --encrypt --recipient <ключ друга> - зашифровать сообщение
echo 'сообщение' | gpg -aer <ключ друга> - то же самое, только коротко
echo 'сообщение' | gpg --sign-with <ключ свой> --clear-sign - подписать сообщение
echo 'сообщение' | gpg --sign-with <ключ свой> --clear-sign | gpg -aer <ключ друга> - подписать и зашифровать
сat message.txt | gpg --decrypt - расшифровать зашифрованное сообщение в файле message.txt
cat message.txt | gpg --verify - проверить подпись внутри файла
cat message.txt | gpg --decrypt | gpg --verify - иногда надо сначала расшифровать, потом проверить подпись
gpg --symmetric <файл> - зашифровать файл по паролю. Для этого генерировать ключи не нужно.
gpg --output <новый файл> --decrypt <зашифрованный файл> - расшифровать файл и вывести его в <новый файл>
Изучаем ответы на вопросы.
Очень часто при использовании PGP ключей выстраивают сеть доверия. Мы с другом подписали ключи друг друга, потом мой друг подписал ключ моего знакомого и вот я уже доверяю ключу знакомого, потому что его подписал мой друг.
Общепринято пред подписью ключей проверять удостоверение личности человека, принадлежит ли ему ключ, принадлежит ему электронная почта, указанная в ключе. Если вы подписываете ключи только своих друзей, то можете сами придумывать правила подписи.
torsocks gpg --recv-keys <ключ> - получаем открытый ключ друга с сервера ключей.
gpg --fingerprint - обязательно сверяем отпечаток
gpg --edit-key <ключ> - входим в меню редактирования ключа
trust - меняем доверие к владельцу. "НЕ доверяю" - если друг раздолбай. Подписи этого друга считаться не будут. "Доверяю ограниченно" - если друг недавно пользуется шифрованием. Одной такой подписи этого друга будет недостаточно, чтобы считать ключ доверенным. "Полностью доверяю" - ответственный друг. "Абсолютно доверяю" - только для своих ключей.
sign - пописать ключ друга своим ключём.
save - сохранить изменения
torsocks gpg --send-keys <ключ друга> - отправить подписанный ключ друга на сервер ключей, чтобы вашу подпись видели другие
gpg --check-sig - проверить подписи
gpg --refresh-keys - нужно обновлять ключи, чтобы видеть новые подписи или получить информацию о том, что ключ человека отозван
Мы рассмотрели подпись ключей и построение сети доверия. Для повышенной безопасности очень часто создают ключ на компьютере, не подключенном к сети, создают на нём создают подключи для всех устройств, и в случае компрометации устройств ключи отзывают.
Про подключи есть статья и видео.
дописать инструкцию по созданию подключей
PGP критикуют за некоторые недостатки. Например, отсутствие совершенной прямой секретности (если утечёт закрытый ключ, то злоумышленник сможет расшифровать сообщения, посланные вам). Это не повод прекращать пользоваться этой программой, она очень хорошо годится для того, чтобы подтверждать подлинность своих сообщений с помощью цифровой подписи. И для того, чтобы связяться с человеком хоть по электронной почте, хоть через социальные сети, подтвердить, что вы - это вы и убедиться, что он - это он, затем подписать свои OMEMO отпечатки и продолжить разговор в XMPP.
Иногда можно забыть обновить компьютер. Или можно настраивать компьютер не себе, тогда необходимы автоматические обновления без участия пользователя.
Ставим unattended-upgrades. Вводим sudo dpkg-reconfigure unattended-upgrades, соглашаемся на автоматические обновления. Теперь обновления будут устанавливаться примерно в 5-6 часов, если компьютер будет включен. Но нам нужно, чтобы обновления ставились сразу при включении компьютера.
Устанавливаем anacron. Вводим sudo nano /etc/cron.daily/unattended-upgrades, вписываем туда:
#!/bin/sh unattended-upgrades
Ставим права на файл: sudo chmod 755 /etc/cron.daily/unattended-upgrades
Перезагружаемся, проверяем с помощью sudo systemctl status anacron. Обновления должны начаться через 5 минут после запуска компьютера. Так же смотрим логи в /var/log/unattended-upgrades.
Вы боитесь, что вам отключат интернет? Или интернет уже отключили, а надо анонимно скачать какую-то программу? Скачайте весь репозиторий, тогда провайдер не поймёт, что именно вам надо. Рекомендуется apt-mirror, но будет показан пример использования debmirror.
debmirror -p -v -h deb.debian.org --method=https -d stable,stable-updates,buster-backports -s main,contrib -a amd64 --di-dist=stable --di-arch=amd64 --nosource --i18n --check-gpg --keyring=/usr/share/keyrings/debian-archive-keyring.gpg --nocleanup ./mirror/debian
После "-d" можно прописать unstable, чтобы клонировался нестабильный репозиторий
debmirror -p -v -h deb.debian.org -r debian-security --method=https -d stable/updates -s main,contrib -a amd64 --nosource --i18n --check-gpg --keyring=/usr/share/keyrings/debian-archive-keyring.gpg --nocleanup ./mirror/debian-security
Поднять зеркало можно командой python3 -m http.server --bind 127.0.0.1 8000 находясь в директории mirror.
Про телефон. Плох или хорош айфон? Какую прошивку ставить вместо заводской? Нужен ли вообще смартфон?
Установка прошивки, полезные программы на телефон
Идеально: в парольном менеджере на ноутбуке, который никогда не подключается к сети и лежит в сейфе.
Можно и на обычном рабочем компьютере тоже в парольном менеджере.
Если поставить надёжный пароль на менеджер паролей, то зашифрованную базу данных можно скидывать хоть себе на стену в социальных сетях. А потом в случае изъятия всей техники просто скачать эту базу паролей и как ни в чём не бывало пользоваться.
Но главное - чтобы на компьютере не было вирусов. Хорошим выбором будет KeePassXC.
Зачастую антивирусы принадлежат какой-либо корпорации, которая собирает много данных о пользователях. У антивируса очень много прав в системе. Антивирус сам может шпионить за пользователем. Можно ознакомиться тут и тут.
Кроме того, антивирусы не защитят от правительственных вирусов. И не от всех обычных вирусов. Потенциально опасные программы можно запускать на виртуальной машине.
А вместо того, чтобы раз в полгода проверять систему антивирусом, можно раз в полгода просто переустанавливать её.
Торбраузер вас не спасёт от деанонимизации, если вы не повышали настройки безопасности. Надо всё время сидеть на максимальных настройках безопасности с выключенным javascript-ом. Можно проверить свой браузер на возможность отследить его.
Если вы введёте свой логин и пароль и зайдёте на свою страничку в соцсетях, то вы не анонимны. Торбраузер не поможет.
Если вы скачаете офисный документ и откроете его, то программа для просмотра этого документа может соединиться с сетью. Торбраузер не помог.
Вы скачали торрент и запустили его в торрент клиенте. Торрент клиент соединился в интернете в обход сети Tor. Торбраузер не помог.
Вы сами рассказали о себе много информации. Торбраузер не помог.
Вы оставили комментарий на новостном сайте в вашей стране. И в это время вы один из всей страны пользовались сетью Tor. По логам сайта определили, что в такое-то время кто-то оставил комментарий из сети Tor, а по логам провайдера определили что такой-то абонент подключался к сети Tor в это же время. Торбраузер не помог.
Статья
Это касается тех людей, кто использует TorBrowser для анонимности. Иногда его можно использовать для обхода блокировок или вместо обычного браузера, а иногда вместо VPN в общественных местах.
Здесь будут правила вроде не болтать лишнего о себе
Камеры везде, и их не становится меньше, поэтому на сценарий молодых бунтарей с топорами, булыжниками и лазерами, готовых крушить каждое устройство, торчащее из стены, рассчитывать глупо: поставят новые и в лучшем случае вваляют вандалам финансовых проблем по ушам, если найдут. Камеры ставят в магазинах, подъездах, служебных зданиях и даже лифтах. Порой их ракурс и местоположение имеют двойную цель: наблюдать за конкретной площадью и тем, что творится чуть поодаль -- например, кто ходит по тротуару рядом с парковкой. Вопрос, который вы должны задать себе -- "Чем опасны камеры для меня?".
Действительно, от камер избавиться труднее, чем просто их обойти. Обходные пути бывают длиннее. Не во всяком месте полезно носить маскирующие средства: вряд ли маска Дарт Вейдера поможет скрыть ваше лицо перед сотрудником банка при оформлении кредита. На человека в маске будут показывать пальцем и осуждать странный прикид. Нюансов так много, что универсальное средство от слежки камерами не существует в принципе, если единственным таковым не считать смерть. Поэтому приведём общие советы:
Небольшой комментарий и ссылки от анонимуса, требует переформатирования:
Маскирующие средства прекрасно подходят для ежедневного ношения, особенно фильтрующие маски: экология в наших городах оставляет желать лучшего, по имеющейся информации нынешняя система в МСК умеет различать только лица, то есть закрыв все ниже переносицы можно обеспечить анонимность перед алгоритмами. Но не стоит расслабляться: NTechLab уже разрабатывают ПО умеющее различать силуэты и велосипедистов: https://ru.wikipedia.org/wiki/FindFace Главная задача системы городского видеонаблюдения - не поиск вымышленных террористов, а трекинг обычных граждан, их ежедневных перемещений по городу, вместе с данными транспортной ситемы, камер для считывания автомобильных номеров и "обезличенными" данными от операторов сотовой связи, все чтобы как можно эффективней стричь с леммингов бабло. Роскомсвобода зашевелились по теме опознания лиц в октябре 2019-го, надо следить. https://roskomsvoboda.org/50441/ Срок хранения видеопотока - максимум 30 суток, а хранится ли метадата где кто и когда был считан? Тут как в интернетах: хранить можно бесконечно даже с ошибками (80% точности, больше чем у сраного гугла), ибо занимает места нихуя. Подъезды оборудованы камерами изнутри и снаружи, эти камеры официально пишут поток только на 5 дней. На уровне глаз на всех парадных входах стоят видеодомофоны Dahua DHI-VTO2101E-P, обычно есть еще одна камера сверху снаружи и одна внутри напротив лифтов. Также есть камеры дворового наблюдения - на большой высоте куполообразные, их можно принять за фонарь, и камеры следящие за шлагбаумами, но эти скорее всего пишут на местный видеорегистратор и не отчитываются в ДИТ.
*https://web.archive.org/web/20140212045241/https://russkiy-kot.blogspot.com/2013/04/blog-post_7.html
:устаревшая инфа о борьбе с камерами, но ссылается на тактику чёрного
блока когда протестующие одеваются в одинаковую черную одежду для
усложнения опознания: https://en.wikipedia.org/wiki/Black_block
*http://lwplxqzvmgu43uff.onion/viewtopic.php?id=19756 :тред на Рунионе с
постами Captain_saver утверждающего что он участвовал в разработке
системы, есть инфа о том как камеры соединяются с центром, про китайские
компании, информация о работе камер на автодорогах, возможен буллшит
*https://www.linux.org.ru/forum/talks/14929221 :сообщения пользователя
BLOBster представляют собой копипаст с Руниона
ДИТ соблаговолил выложить координаты всех установленных камер подключенных
к системе в форматах для парсинга, а также доставить ко многим из них
скриншоты что дает возможность определить примерую ориентацию:
*https://data.mos.ru/opendata/7710878000-reestr-kamer-videonablyudeniya-v-mestah-massovogo-skopleniya-lyudey
*https://data.mos.ru/datasets/1500 - подъезды
*https://data.mos.ru/opendata/7710878000-reestr-kamer-dvorovogo-videonablyudeniya
См. также, международные пользовательские реестры уличных камер
наблюдения:
*https://kamba4.crux.uberspace.de/
*https://eyes.daylightingsociety.org/
Выключить приложению доступ в интернет Шифрование своих файлов Прохождение аэропорта Тележка Воздушный зазор Торренты Экстренное уничтожение информации Панические кнопки Банковские карточки Прозрачная проксификация Когда надо перезагружаться после обновлений. Установка и настройка i2p tor dns Настройка джаббера и электронной почту