Енциклопедія Драматика:Інкубатор/Пост-приватність

Забагато води! У статті повінь. Прибери з неї воду, почисти від зайвого шуму та заскладних й обтяжливих словесних конструкцій, скороти те, що не важливо й залиш головне й потрібне. Не вдавайся в графоманство, зайві нудні подробиці та довгі метикування, де це не треба. Ти не копірайтер, за кількість букв не заплатять.

Ця стаття наче дім з вибитими вікнами Відновіть ілюстрації або додайте нові. Це сумно читати без пікч.

Доба пост-приватності (вона ж епоха капіталізму, що відстежує )настала, коли в кожної тупої піхвочки з’явився смартфон з трекінгом її локації та сторінка в соцмережі, куди вона транслює всі події свого жалюгідного життя. Так, це я про тебе, не відвертай оченята.

То що ж робити з явищем системного порушення приватності? Вочевидьки ти або користуєшся інформаційним простором та зливаєш дані про себе, або їдеш у ліс жити в землянці та розраховуватися готівкою, бо особливого вибору корпорації тобі не дають: або погоджуєшся з двомастами сторінок політики "конфіденційності", або просто не користуєшся сервісом. Оскільки живемо в 21 столітті, то доведеться примиритися з пост-приватністю як явищем та шукати шляхи, щоб зменшити її ефект.

Теорія

Моделюванняш загроз (Threat Modelling)

Моделювання загрози це простішою мовою "зрозуміти нахіба воно тобі треба". Тобто навіщо тобі приватність, від кого ти ховаєшся, що ти можеш зробити для виправлення цього? Тобі просто не подобається монополія Ґуґла, чи взагалі відстеження в рекламних цілях? Чи ти активіст Правого Сектору, віриш в режим внутрішньої окупації, хочеш сховатись від СБУ, або Авакова? Чи проживаєш на окупованій території і треба сховатись від ФСБ? По суті це має бути твоїм першим кроком на шляху до приватності, але більшість забиває, новачки скачують Whonix і не розуміють чого вони не можуть залогіниться в свій інстаґрам аккаунт, а профі (чи ті, хто такими намагаються здаватись) кажуть, мовляв "нащо переходити з ґуґла кудись, якщо американські спецслужби все одно можуть через Intel Managment Engine отримати доступ до всього ПК". Тож, безосе, першим ділом постав якусь простеньку мету, яка не буде вимагати сильних зусиль, або шкодити твоєму повсякденному життю і особистому ровзитку, хоча, кому я брешу, в тебе такого нема.

Операційна безпека (OPSEC, Operation Security)

Ні мережа "Тор", ні новий зашифрований месенджер тобі не допоможе, якщо ти довбойоб недостатньо ізолюєш особисте життя від життя своєї анонімної особистості (якщо в тебе така є, якщо ні, то забудь про цей пункт), або залишаєш телефон розблокованим на столі, або просто, бляха, не вмієш тримати язика за зубами через его, чи ще якусь хуйню.

Кібербезпека, приватність, чи анонімність?

Три терміни, які мають доволі різне значення, але всі їх постійно плутають, через що роблять дебільні твердження. Тож що воно таке?

• Кібербезпека (security) - данні є лише в тих, кому ти їх довірив.
• Приватність (privacy) - всі знають хто ти, але не знають, що ти робиш. Наприклад відправивши лист по Укрпошті укрпошта бачить відправника і отримувача, але не зміст листа.
• Анонімність (anonymity) - хтось перднув у треді і всі бачать рак, але ніхто не знає хто за цим раком стоїть.

Тож, приватність будується на основі безпеки, а анонімність будується на основі приватності. Але попри це іноді вони можуть конфліктувати один з одним - приватний бравзер може запізнюватись з оновленнями безпеки, які приходять в Google Chrome раніше, а анонімний месенджер Session може програвати Signal у приватності та безпеці через гірше шифрування (відсутність PFS)

P.S. А ще приватність це не те саме, що конфіденційність, а під анонімністю часто мають на увазі псевдонімність, але то вже таке.

Системна приватність чи індивідуальна приватність?

І ці терміни також постійно плутають. Мабуть очевидно, що системна приватність це приватність більшості громадян, а індивідуальна це приватність окремого громадянина. Коли кажуть про порушення приватності то зазвичай мають на увазі саме системну приватність, коли компанії, чи служби відстежують 90% населення без жодної вагомої на те причини. Порушення ж індивідуальної приватності (для розслідування теракту якого-небудь) це абсолютно нормально та необхідно. Індивідуальні порушення завжди були, є, і будуть.

Практика

Увага, в інтернеті вже існує достатньо ґайдів по приватності, і ця стаття не має за мету копіювати інші ґайди, чи намагатись перечислити навіть основні техніки приватності, про які інші недарма і не по приколу пишуть посібники на 500 сторінок. Втім, певні поради тут будуть, лише для ознайомлення і зацікавлення в подальшому дослідженні теми - читайте посилання внизу статті.

Не тримати всі яйця одною рукою

Правило, що напевно стосується будь якої безпеки, чи то фінансової, чи інформаційної. І це, певно, найпростіший та нескладний засіб, що зветься диверсифікацією. Якщо в тебе пошта в Ґмейлі, телефон з Андроїдом, користуєшся Ґуґлом, який відкриваєш з Хрома, то чи не забагато концерн Алфабет втручається в твоє життя? Розкидай різні сервіси по різних великих компаніях, вони конкурують за твою інформацію та не перекидуються нею всі зо всіма. Тримай основну пошту в Майкрософта (а ще краще в умовному Protomail), користуйся ДакДакГо як пошуковиком, встанови собі Фаєрфокс як основний браузер, він вміє все те саме, та ще й ховає інформацію від Фейсбуку.

Ще зверни увагу на налаштування приватності в своїх обліківках, аби розуміти, яку саме інформацію компанії збирають, яку персоналізовану рекламу пхають під носа, що вони про тебе знають і що можна видалити або обмежити. Слава GDPR!

Подумай над цією ідеєю самостійно, я в тебе вірю, хоч ти й тупий, кого ми обманюємо...

Опен Сорс

Одним з головних критеріїв при перевірці якогось сервісу на кібербезпечність, приватність та анонімність це відкритість коду. Якщо код закритий то розробники можуть вбудовувати будь-яке відстеження і цього ніхто не помітить. З Опен Сорс розробники... Так само. Але все ж в користувачів є принаймні якась примарна можливість провести аудит і скомпілювати програму самому, хоч і цього все одно ніхто не робить.

для кібербезпеки

• Користуватись парольним менеджером і зберігати в ньому згенерувані автоматично паролі на 50+ символів. Рекомендую KeePass, бо він офлайн, але тоді маєте слідкувати за тим, щоб регулярно копіювати базу данних на флешки чи ґуґл диск (все одно вона зашифрована, тож ґуґлу з неї інформації нуль), щоб не втратити доступ до всіх аккаунтів. Для самого ж KeePass зроби пароль з чотирьох-п'яти слів, які зможеш запам'ятати.

• Вмикати 2FA, якщо сайт його підтримує. В ідеалі скачати на телефон Aegis, або купити фізичний ключ безпеки. 2FA через SMS ненадійне.
• Користуватись alias сервісом для електронної пошти. Рекомендую SimpleLogin. Він приховуватиме вашу справжню електронну адресу, якщо раптом один з ваших аккаунтів взломають.
• Регулярно оновлювати програми, тобто не сидіти на Віндовс ХР, бо розробники постійно виправляють якісь нові вразливості безпеки.
• Ніколи в месенджерах та в електронній пошті не нажимати на посилання окрім як на сайти, що знаєте та не скачувати будь-які файли окрім зображень (навіть у .pdf чи .docx документі можуть бути скрипти, що взламають твій комп'юктер, хоч і наразі більшість офісних програм відмикають такий функціонал)
• За можливості відключати джаба скрипт. Це ламає 99% сучасних сайтів, але деякі з них як YouTube, або Twitter можна переглядати без джава скрипт через спеціальні сайти. Список і розширення для автоматичного перенаправлення тут - https://libredirect.github.io/
• В усіх ОС що підтримують багатокористувацкість робити окремий профіль для юзера з правами адміністратора, і окремий для повсякденного використання без прав адміністратора.

для приватності

довго розказувати

для анонімності

Мережа "Тор". Найкраще використовувати через Tails OS, або у віртуальній машині Whonix OS. Пам'ятай про OPSEC: не поширювати особисту інфу, не міксувати реальну і віртуальну особистості і так далі.

Цифровий мінімалізм

Видаляйте аккаунти, якщо думаєте що більше не будете ними користуватись. Те ж саме і з програмами - чим менше програм на телефоні, чи комп'ютері, тим менша поверхня атаки (attack surface) і менше шансів, що через вразливість безпеки в якомусь клеш оф кленс, в який ти два роки не грав, хтось отримає рут доступ до твого телефона і злиє фото члена в мережу.

Від ґуґла

Easy Level, зробити можна за вечір. Список сервісів ґуґла і хороших конфіденційних альтернатив для кожної з них вже складено

Від рекламщиків

Перестати користуватись Монобанком, чи іншим банком з кешбеками, в ідеалі більше платити готівкою, і менше карткою. Бо кешбеки не з пустого місця беруться, а з продажів особистих данних маркетологам магазинів, яким дуже хочеться знати, скільки гривень в місяць ти на них тратиш, твій вік (який банк знає, завдяки тому, що ти дав їм копію своїх документів) і т.д., підбирати кращу рекламу та в інших цілях. Те саме стосується і бонусних карток Фора та інших магазинів.

На бравзер постав uBlock Origin, за можливості користуйся програмним забезпеченням, що розробляється некомерційними організаціями та/або спільнотою (Firefox, хоч і до нього є свої питання Signal, Linux Mint) Якщо ж програма комерційна, то треба дивитись на бізнес-модель компанії. Чи заробляє вона гроші з реклами і продажі особистих данних, чи власне з продажу цієї програми, чи додаткових фіч в неї. Наприклад шифровані(напевно) месенджери Threema, чи Wire розробляються комерційними компаніями, але вони заробляють не з пордажі особистих данних(напевно), а з платності програми (як Трема), або з додаткових фіч в ній (як Вайр). Проте все ж ця порада не стовідсоткова, бо некомерційні компанії теж можуть продавати інфу, а комерційна компанія може не обмежуватись платними додатковими фічами (Вайбер, Телеграм) і теж продавати інфу.

Тут не гріх згадати цитату з Крпвча:

«	Якщо щось бесплатно, то товар - це ти (с)	»
	— Цитата, яку написав анон, якому відповів інший анон, і потім цей другий анон став одним з перших відвідувачів Бару "Кропивач"

На телефон можна поставити програму Tracker Control, або DuckDuckGo Privacy Browser (в беті), щоб вони блокували програмам можливість підключатись до ґуґла і зливати інформацію. Іноді програма може від цього поламатись, але що в Tracker Control, що в DDG Browser є можливість відключати блокування реклами і трекерів для конкретної програми, що ламається.

Від ФСБ для партизан на окупованих територіях

Список неповний, тому прошу, якщо ви все ж опинились в такій ситуації, досліджувати тему самостійно детальніше. Від цього може залежати ваше життя.

• Сім-карта відстежує твоє місцезнаходження з точністю до 6 метрів, а також може слухати всі телефонні розмови і читати всі СМС, бо технологія телефонних розмов і СМС дуже застаріла і не має шифрування. Тож якщо йдеш малювати графіті, чи на мітинг, то телефон ліпше вимкмнути, або покласти в сумку Фарадея (можна зробити самому, почергово обмотавши телефон декількома шарами фольги і паперу), або залишити вдома. Хоч і з іншого боку, якщо вас спіймають і попросять телефон, а його у вас з собою не буде (або ще гірше, замотаний у фольгу) то вам пизда на місці. Відсутність телефону може сказати про вас навіть більше (щось приховуєте, ймовірно партизанин і йдете на мітинг), чим його наявність.
• Також провайдер (і ФСБ разом з ним) може бачити ваш трафік, хоч і зашифрований. Тому за можливості використовуйте інтернет з публічних Вай-Фай мереж, з VPN (Clear VPN бесплатний для тих, хто зареєструється через Дію). Також можна скачати "Тор Браузер", або "Orbot - Tor для Андроїд", що шифруватиме одразу весь трафік телефона. Тільки у випадку з Тор скачуйте його лише з ВПН (щоб приховати те, що ви знаєте про Тор) і додатково почитайте про те, як увімкнути мости Tor або Tor Snowflake, щоб приховати від ФСБ факт використання Тор. Таокж ліпше видаляйте Тор, щойно йдете на вулицю на випадок якщо попросять телефон. По поверненню знову скачуйте, але не забувайте скачувати його тільки з ВПН і одразу вмикати Snowflake або Tor Bridges.
• Звісно ж готівка більш анонімна чим карта.

Загалом писати можна довго, тому для таких екстремальних ситуацій краще читайте https://anonymousplanet.org/guide.html, але лише з ВПН, інакше служби можуть побачити, що ви зацікавлені в темі і певно хочете щось утнути.

Для телефону

• По-перше найбезпечніший телефон той, яким не користуються.
• По-друге найбезпечніший телефон той, яким не користуються.
• Забрати в усіх програм (сервісів ґуґлу, дрібном'якого тощо, а також тіндера) усі дозволи в налаштуваннях. Ця функція є в налаштуваннях усіх андроїдів починаючи з шостої версії андроїда незалежно від виробника. У IOS ніби теж щось таке є.
• Скачати F-Droid з їх офіційного сайту. Це магазин перевірених програм для Андроїда. Якщо у тебе айфон, то співчуваю, цей пункт доведеться пропустити. За можливості видали всі програми, що не з Ф-Дроіда і заміни їх на альтернативи з Ф-Дроіда.
• За можливістю користуватись прогресивними веб-аблікаціями (progressive web apps) у Хроміум бравзерах (Bromite, Ungoogled Chromium, інші), а не повноцінними програмами. Багато хто, наприклад ФСБґрам, Твіттер, Discord цю функцію вже підтримують. Програма, що встановлена як веб-аплікація з Chromium бравзеру буде мати дуже обмежений доступ до вашого телефону і не зможе збирати так багато інфи, як може звичайна встановлена програма. Коротка інструкція:
  1) Відкрий на телефоні у Chromium бравзері (наприклад Bromite) web.telegram.org, або twitter.com.
  2) Залогінся в акаунт. Потім натисни три крапки справа зверху і знайди "додати на головний екран"
  3) ???
  4) Profit
• За можливості телефон використовувати в режимі польоту, або без сім-карти як Wi-Fi only гаджет.
• За можливості купити OEM (або Carrier) Unlocked телефон, що підтримує один з degoogled F(L)OSS форків андроїда. Якщо чесно поняття не маю як їх знайти, але зазвичай це телефони Google Pixel. Одні з форків це Lineage OS, Graphene OS, Calyx OS, iode OS, /e/ OS, і так далі. Тільки увага, не варто пробувати ставити їх на свій Ксяомі, бо телефон це не ПК, і більшість виробників банять можливість встановлювати альтернативні ОС. Також на мобілках без ґуґл сервісів можуть не працювати деякі банківські програми та інші програми з ґуґлом. Якщо не хочеться паритись з прошиванням телефону, то є готові варіанти, наприклад з iode OS.

Міфи і срачі

У темі кібербезпеки-приватності-анонімності дуже поширені срачі. Найпопулярніші:

«	Навіщо мені приватність? Я не терорист - мені нічого приховувати.	»
	—

Відповідь: має значення не твоя чи чиясь інша особиста приватність, а системна приватність. Бо жахливий той світ, де у 99% людей нема приватності. Захищаючи свою приватність від стеження ти робиш невеликий внесок у те, щоб світ де за більшістю людей не стежать знову став нормою.

«	Сенс від того, щоб не користуватись Віндовсом чи Ґуґлом, якщо у спецслужб є способи дивитись крізь стіни(це правда), підслуховувати розмови через кілометри(теж правда), брати віддалений контроль над будь-яким комп'ютером(і навіть це) і т.д.	»
	—

Відповідь: це факт, що у спецслужб є технології, майже схожі на магію. Але 1) У кожного різна модель загрози і різні інструменти. Хтось не користується ґуґол хромом не тому що проти відстеження служб, а тому що проти монополії Ґуґла 2) ці технології дуже дорогі, і ними вкрай рідко користуються, бо переважну більшість людей можна "знайти" й без цих вундервафль 2) так, ти не зможеш досягнути 100% анонімності-приватності і тебе знайдуть якщо захочуть, але тут більше задача в тому щоб уникнути пасивного (автоматичного) відстеження, коли стежать за всіма і без особливої причини, а не коли спецслужба справді розслідує якусь важливу справу і намагається знайти винного.

Для подальшого ознайомлення

• https://anonymousplanet.org/guide.html - дуже хороший ґайд по анонімності і приватності в інтернеті. Створений українкою з Києва, після її смерті у 2022 від раку посібник поволі оновлюється спільнотою, але залишається актуальним.
  
  
• https://techlore.tech/goincognito - величезна серія відео від ТиТруба-каналу Techlore по кіберзбезпеці, приватності та анонімності. Можна вмикати й слухати на фоні.
  
• https://www.privacytools.io/ - оригінальний сайт-список з рекомендаціями приватних сервісів. Кажуть, що деякі позиції в ньому проплачені.
• https://www.privacyguides.org/en/tools/ - сучасна версія попереднього сайту, його засновниками вважається кращим, і єдиним трушним списком.
• https://restoreprivacy.com Більш загальний сайт присвячений протистоянню втручанням в приватне життя.
• https://thenewoil.org/ Ще один загальний сайт.
• https://digdeeper.club/articles/ninja.xhtml - ніндзя гайд по інтернету. Не дуже якісний і трохи суперечливий, але якщо геть нудно то можна почитати.

Ютуп-канали по темі

• The Hated One.
• Mental Outlaw.
• Luke Smith.
• Rob Braxxman Tech.