Предисловие
Данный материал был написан в начале 2023 года на личном сайте автора проекта PoridgeClub, однако после автор проекта передал все права сообществу, после чего закрыл свой личный сайт.
На момент августа 2024 года актуальные ссылки на автора статьи:
- Fediverse - https://shitpost.poridge.club/@noth1ng01
- Паблик VK - https://vk.com/hy1p01
- Страница на Dzen - https://dzen.ru/hy1p
- Канал на YouTube - https://www.youtube.com/@hy1p01
В данном материале сохранено всё (даже не смотря на то, что позиция автора несколько изменилась по некоторым вопросам), исключения - были актуализированы ссылки.
Стоит также обратить внимнаие, что данная статья - первая большая статья автора и может нести за собой все проблемы «пробы пера». Прошу понять и простить.
Вы также можете давать какие-либо советы и рекомендации, а так же устраивать споры и другим интересные приколы в комментариях под статьями - это бесплатно.
Кто такие криптошизы/криптопанки?
Тут же нам нужно разобраться с терминологией для того, чтобы не путаться во всём этом. Для начала может показаться, что терминов чрезмерно много, но это необходимый минимум, необходимо понимать чем эти термины отличаются друг от друга, чтобы мы с вами могли дискутировать и понимать друг друга при этой самой дискуссии.
Крипто (от др.-греч. κρυπτός)- скрытый.
Конфиденциальность (от лат. confidentia — доверие) — необходимость предотвращения разглашения, утечки какой-либо информации. Грубо говоря - конфедецальные данные это данные, которые не должны утечь.
Криптография — наука о методах обеспечения конфиденциальности, шифрования, целостности данных (невозможности незаметного изменения информации), аутентификации (проверки подлинности авторства или иных свойств объекта).
Цифровой след — это уникальный набор действий в Интернете или на цифровых устройствах.
Существуют два основных типа цифровых следов: пассивные и активные.
- Пассивный цифровой след — это данные, собранные без ведома владельца. Пассивный цифровой след также называют выхлопными данными.
- Активный цифровой след появляется, когда пользователь намеренно публикует свои персональные данные, чтобы рассказать о себе на веб-сайтах и в социальных медиа.
Пользователь может оставлять информацию намеренно или неосознанно; заинтересованные стороны пассивно или активно собирают эту информацию. В зависимости от объёма этой информации можно без усилий собрать много данных о пользователе с помощью простых поисковых систем.
Американский маркетолог Тони Фиш писал о возможных опасностях цифровых следов ещё в 2007 году. Анализ электронного следа, по мнению Фиша, позволит выяснить, что, как и почему покупают интернет-пользователи. В 2017 году исследовательница Каталин Фехер подметила в своей научной статье о личных онлайн-стратегиях, что пользователи оставляют после себя цифровые следы в онлайн-системах и новых медиа. Последствия этого могут быть непредсказуемы. Фехер также подчеркивала, что «универсальные шаблоны персональных онлайн-стратегий подчинены в основном осознанным решениям, в результате чего пользователи сохраняют 70 % контроль над своими цифровыми следами. Однако оставшиеся 30 % действий в интернете пользователи совершают неосознанно, и это приводит к непредвиденным последствиям от кражи личных данных до похищения».
Какие виды криптошизов бывают?
Такого разделения я не встречал, потому всё, что я тут опишу - моя придумка
Нормисы - среднестатистический пользователь, который не задумывется о своём цифровом следе.
Панки/Панк-идеалогия - абсолютно противоречивая херня, говорить о которой можно бесконечно и никогда не попасть в нужное определение. Что уж говорить - панков грызут как извне, так и внутри самого сообщества, потому будет проще, если я опишу что такое панк для меня, как я это вижу, и в рамках дискусса попрошу придерживаться именно моих определений.
- Панк - хулиган, отброс.
- Панк-идеология - идеалогия протеста против чего-то. Протест против экономической ситуации, политического движения, стиля музыки, (нон)конформизма, консьюмеризма, протест против протестов и т.д. и т.п. Сам протест и есть панк.
Криптоанархизм:
- Если кратко - это философия, которая призывает к использованию сильной криптографии для защиты приватности (неприкосновенность частной жизни) и личной свободы (права человека).
- Если полно - совершенствование методов слежки и расширение интернет-коммуникаций открывает огромные возможности для компьютерной слежки за людьми. Криптоанархисты считают, что защитой от этого явления может быть разработка и использование криптографии. Криптоанархизм ищет способы для создания и развёртывания информационной инфраструктуры, которая никаким образом не может быть подвержена авторитарному воздействию или вмешательству в тайну переписки.
Шифропанки - группа людей, заинтересованных в сохранении анонимности с использованием криптографии. Целью данной группы было достижение анонимности и безопасности посредством активного использования криптографии. Одна из идей шифропанков - частные лица должны сами принимать меры по сохранению личного пространства. В период своего расцвета сеть шифропанков пестрила обсуждениями мер, принимаемых общественной политикой в отношении криптографии наряду с практическими разговорами на математические, вычислительные, технологические и криптографические темы как таковые.
Криптошизы - по большей мере юмористический образ радикальных шифропанков, который постепенно выходит в отдельный термин, как я считаю.
Почему криптопанковость в малом количестве - это важно
Но сейчас выходит так, что кто угодно вторгается в эту приватную сферу, да и мы сами, иногда не замечая и игнорируя последствия, продаём свою самую ценную информацию за скидку или, чего доброго, сомнительный итог игрового теста в Facebook или подписавшись на паблик в VK. И это ужасно, а главное, в любой ситуации работает против вас.
Пора паниковать?
Нет, паниковать точно не нужно. В общем и целом совокупность персональных данных среднестатистического человека больше всего интересна маркетологам и рекламщикам компаний, которые с помощью глубокой (а чаще не очень) аналитики предложат вам адресную рекламу. Но нужно анализировать риски: если вы работаете, ваша информация может оказаться полезной для конкурентов и мошенников, если занимаете высокую должность — тем более. Если у вас есть автомобиль, своя квартира, акции, капитал — ставки растут. Иногда риск накапливается до серьёзного уровня.
Надо понимать, что в сфере информационной безопасности и защиты персональных данных самое дорогое — реактивные мероприятия, которые проводятся уже после инцидента и редко могут вернуть ситуацию к исходной точке. А вот проактивная работа в этой области гораздо дешевле, а то и вообще бесплатная.
А сколько случаев утечки информации вы знаете? Например, слив Яндекса или mail ru? Может слышали о старом и новом сливе в Tinkoff (они уже год как отвечают по нему), сбера и альфы? Может о сливе telegram или discord слышали? А ГосУслуги? Instagram, WhatsApp, Google и Microsoft (новое), практически всё в этом мире взламывается. Уверен, что сервиса 3-4 и вас зацепило тоже.
Шутка про то, что человека можно найти по IP, перестала быть шуткой и стала нашей повседневной реальностью. Сегодня уже и фильмы онлайн смотришь с опаской: а вдруг за тобой идёт суровый Роскомнадзор? Про Глаз Бога, я думаю, вы тоже слышали. А наберите прямо сейчас в интернете “Купить аккаунт в вконтакте” - вы удивитесь количеству предложений. И большинство этих аккаунтов - это аккаунты реальных людей, которых взломали и они даже не подозревают этого.
Цель криптопанковости - обеспечить минимальный информационный след в сети, который может вывести к вам или вашему окружению. И не разбрасываться своими данными - это хорошая практика даже для нормиса. Надоели спам-звонки от службы безопасности сбербанка? По WhatsApp так же пишут всякие неуместные вещи? Не хотите однажды оказаться в ситуации, где вам придётся объяснятся за сделанные давным (или не очень) давно интим-фотографии и уж тем более платить мошенникам за то, чтобы они их не сливали? Не хотите подставлять своих пожилых родственников под всякого рода разводил? Ваш выход - криптопанк.
Поговорим о сервисах
Сервисы - это программы/сайты, которые мы пользуемся на постоянной основе и которые вошли в наш обиход как нечто обычное и само-собой подразумивающее. Севрисы бывают как этичные, так и не этичные по отношению к конфедециальным данным нормисов.
Что сделаю я в рамках рубрики “Криптошиза - для чего, зачем и как?”? Я попробую заменить все неэтичные массовые сервисы на более этичный их аналоги и буду рассказывать о том, с какими трудностями я буду сталкиваться (если вообще сталкнусь).
Стоит оговориться и разъяснить, что я считаю себя чуть более увереным пользователем ПК, чем нормисы, но писать я буду с точки зрения нормиса. Или, по крайне-мере, попытаюсь это сделать.
Давайте же разделим все сервисы на несколько категорий:
Социальное
Мессенджеры и социальные сети. Здесь всё очевидно - места где мы общаемся, выкладываем какую-либо информацию о себе и хранится всё это в неких больших компаниях (иначе говоря - корпорациях), которые могут вертеть этимми данными как хотят.
Думаю не стоит объяснять, что именно от сюда у нас идёт основной поток слива информации, что не есть хорошо. А корпорация, зная ваши интересы (паблики в вк, лайки на постах) и имея доступ к вашим перепискам может без особых проблем продавать вам абсолютно ненужные вещи, но которые вы купите просто потому что вам их грамотно преподнесли. Чуть подробнее об этом тут (а это было еще в 2010-ых годах!)
Потребление контента
Видосы и музыка, само собой - YouTube, Twitch, TikTok Spotify и т.д. и т.п. Благодаря искуственному интелекту и грамотному подбору рекомендаций приложенией, по сути, заставляет вас сидеть в нём как можно дольше и как можно дольше потребять контент (и рекламу, само собой). Например тут достаточно популистки рассказывают о зависимости от TikTok, а тут про алгоритмы впринципе.
Городская жизнь
Такси, карты, заказ еды и вот это вот всё. Вы же знаете о том, что это всё от Яндекса, который уже был замечен в сливе данных Я.Еды (с номерами телефона, ФИО и полным адресом), а так же Я.Такси, а вы продолжаете им свои гео-метки отдавать, эх…
Ксати, вы же вкурсе про сливы с приложений Пятёрочка и подобных приложений, да?
Личное государство в кармане
Банки и гос. услуги - я про их слив писал выше по тексту.
Живые примеры популярных сервисов, пользоваться которыми я не рекомендую
- Discord - кратко
почему - Telegram
- WhatsApp - кратко
почему - VK/Facebook/Dzen - иронично, не правда ли?)
- TikTok/Likee
- YouTube/Twitch
- Twitter (X)
- Yandex browser/Google Chrome
- Gmail/Yandex Mail/Mail.ru
Почему доебывать мучать родственников/друзей своей криптошизой - не самая хорошая идея
Пример из жизни, когда просто отваливались контакты
Мой юз кейс
Для того, чтобы можно было спокойно пользоваться этичным сервисом и переводить на него своих друзей и родственников сервис, помимо этичности, должен соответствовать трём главным базисам нормального адекватного сервиса, без которых рассматривать тот или иной сервис даже не имеет смысла. Эти три базиса - визуал, стабильность, функциональность.
- Визуал - Сервис и приложения на его основе не должны выглядеть как архаичное нечто из 90-ых годов. Когда мы пользуемся сервисами - наш глаз должен если не радоваться, то хотя бы не напрягаться от плохого дизайна. Так же визуал обязан быть такой, чтобы в нём мог разобраться даже человек далёкий от компьютеров.
- Стабильность - Сервис и приложения на его основе не должны кушать огромное количество ресурсов. Отсутствие постоянных вылетов это тоже большой плюс к стабильности. Своевременные обновления для закрытия уязвимостей мы тоже запишем в плюс.
- Функциональность - Сервис и приложения на его основе должны иметь схожий, если не идентичный набор возможностей и умений по сравнению с неэтичным сервисом и его приложениями. Самый банальный пример - в мессенджере обязательно должны быть звонки и по возможности стикеры
Это если кратко о том, что я жду от этичных сервис и приложения на их основе, которыми я буду заменять неэтичные - соблюдений трёх базисов поставленных выше + конфедециальность моих данных.
Ниже я перечислю то, чем я стараюсь пользоваться вместо проприетарной неэтичной всячины. Понимаю, что полностью отказаться от проприетарных неэтичных сервисов у меня не выйдет, но в следующей статье мы разберёмся с этим чуть более подробно (а пока можете почитать небольшое откровение, которое было написано по моей просьбе одним хорошим товарищем)
Для себя
Xmpp - расширяемый протокол для обмена сообщениями. XMPP создавался как универсальное средство взаимодействия между разными месенджерами. Предполагалось, что крупные компании могут добавить свои расширения и безболезненно интегрировать свои месенджеры и сервера в единую сеть. XMPP не требует полной совместимости, за исключение базового обмена сообщениями и поэтому никто не может всем навязать определенный стек технологий. И так оно и было, пока крупные компании не стали на основе XMPP делать свои неэтичные аналоги - WhatsApp, Gtalk, Hangout и тому-подобное.
XMPP протокол входит во все три базиса, которые были поставлены мной выше, а так же он отлично подходит для этичного пользования. Основные плюсы xmpp:
- Для регистрации на серверах не нужна ни почта ни номер телефона.
- Приложения есть для всех устройств (Windows, Linux, BSD, Andorid, IOS).
- Приложения легкие и не нагружают систему от слова совсем.
- Шифрование на любой вкус (встроенное во многие клиенты шифрование OMEMO, возможность использовать OTR, GPG, OpenPGP)
Минусы, конечно же, тоже есть:
- Хоть тут есть звонки, но отсутствуют эмодзи
- Вся информация будет хранится не на серверах корпорации, а человека, поднявшего сервер (хоть она и будет зашифрована тем, что вы выберите)
- Т.к. сервера держат случайные люди, они также могут закрыть свои сервера.
Идеальный пример использования XMPP - поднять свой сервер и приглашать туда своих друзей, но это накладывает многие обязательства на администратора. При желании вы можете попробовать мой xmpp сервер, но такой вариант врятли может подойти обычному нормису, который “не в теме”.
Fediverse - социальная сеть, благодаря которому пользователи разных социальных сетей (аналогов инстаграмма, ВК и т.д.) могут общаться между собой. Вы только представьте — из вашей ленты в ВК Вы смогли прокомментировать ролик с YouTube, лайкнуть пост из Instagram, написать своему другу из Twitter. Думаете это невозможно? Тут это реально!
Основные плюсы Fediverse:
- Для регистрации на серверах не нужна ни почта (в некоторых местах нужна, но не на моём сайте) ни номер телефона.
- Приложения есть для всех устройств (Windows, Linux, BSD, Andorid, IOS).
Минусы:
- Некоторые “движки” могут работать друг с другом не корректно (например: твиттер не может “скушать” различные реакции, он всё это воспринимает как “лайк”.
- Вся информация будет хранится не на серверах корпорации, а человека, поднявшего сервер.
- Т.к. сервера держат случайные люди, они также могут закрыть свои сервера.
Подробнее прочиать про Fediverse от меня можно тут
Firefox - достаточно этичный(по сравнению с остальными) современный браузер.
Invidious - YouTube, но с другого сайта. Все видео с youtube вы без проблем сможете найти (и скачать), но алгоритмы не будут знать о вас ничего. Пример такого сайта - тык и тык.
Дополнительно стоит отметить, что при просмотре видео через InVidious вы не отправляете интернет запросы алгоритмам и рекламам = на просмотр ролика вы будете тратить меньше интернета, чем с того-же youtube, что для некоторых пользователей - критично.
Nitter - как и Invidious, но для твиттера. Да, этим можно пользоваться для обхода блокировок в РФ. Примеры - тык и тык
Я рассказал в основном о том, чем уже пользуюсь какое-то время. До следующей статьи я буду сидеть ещё и на аналоге карт - OpenStreetMap и альтернативных почтовых клиентах.
Для родственников
То, чем я буду пользоваться как дополнительные каналы связи на случай чп и куда не сложно затащить далеких от компьютера пользовтаелей.
Signal - WhatsApp|Telegram для нормальных людей. Плюсы:
- Для регистрации требуется только номер телефона.
- Самый понятный интерфейс из всех мессенджеров.
- Встроенное автоматическое шифрование, которое РЕАЛЬНО работает.
- На Andoid есть возможность использовать его как приемник SMS, что превращает его из “ещё одно ненужное приложение от моего друга криптошиза” в “приемник смс, где я могу бесплатно пообщаться с моим другом криптошизом”.
- Приложения есть для всех устройств (Windows, Linux, Andorid, IOS).
- Сервер держит компания, которая живёт на донаты, а значит резкое отключение серверов практически невозможно.
- Signal уже взламывали, но достать ничего не смогли, что ещё раз говорит о его достаточной приватности.
Минусы:
- Мы не можем быть на 100% увереными, что сервер именно тот, который лежит на github (но мы и используем его как запасной вариант, так что..).
- Вся информация будет хранится на серверах компании, хоть и в зашифрованом виде.
Чем Signal лучше Telegram
Signal часто сравнивают с Telegram — мессенджером, создатели которого тоже заявляют о невероятной приватности и безопасности. Но на этом поле последний всё-таки проигрывает своему конкуренту.
Например, в Telegram E2E-шифрование можно включать только в секретных чатах, где присутствуют только два человека. В обычных диалогах и групповых переписках эта возможность просто отсутствует, шифрование выполняет сервер. Если владельцу Telegram понадобится узнать, о чём вы там пишете, он это сделает. В Signal же E2EE принудительное, в том числе и в групповых чатах.
Telegram хранит всю вашу переписку на своих серверах, синхронизируя её между всеми устройствами. Это удобно и позволяет легко выполнять поиск нужных сообщений. Но это небезопасно. Signal же хранит переписку только на вашем устройстве, никуда её не передавая. Кроме того, он принципиально не сохраняет на своём сервере списки контактов пользователей.
Этот мессенджер имеет полностью открытый исходный код. Как уже говорилось выше, код для клиентов Signal и для серверов можно найти на GitHub. Код приложений Telegram тоже открыт, но вот серверное программное обеспечение — нет, и что там делают с вашими данными, предугадать нельзя.
Кроме того, некоторые исследователи информационной безопасности утверждают Signal vs Telegram in terms of protocols? , что протокол шифрования Signal надёжнее, чем MTProto в Telegram, хотя это пока спорный вопрос.
Стоит учесть, что в прошлом Telegram взламывали. Уязвимость в Telegram позволяет скомпрометировать секретные чаты . Хакер под псевдонимом ne555 сумел получить доступ к секретному чату в Telegram, обойдя шифрование E2E.
В чём Signal уступает Telegram
Signal проигрывает в плане удобства и практичности. Например, в групповом чате Telegram у вас может быть до 200 000 человек, а в Signal — не более 1 000. В Telegram можно передавать файлы размером до 2 ГБ, в Signal — только до 100 МБ.
Telegram позволяет держать всю вашу переписку в облаке. Вы можете общаться в нём просто из браузера, если под рукой нет клиента. В Signal же все разговоры хранятся локально на устройствах пользователей, поэтому веб-версии нет и не планируется.
Telegram известен своей коллекцией ботов, которые могут делать буквально всё что угодно. В Signal их нет и, скорее всего, не будет, поскольку для их создания нужно дать разработчикам доступ к перепискам пользователей, а это огромная дыра в безопасности. Аналогов Telegram-каналов в Signal тоже нет.
SMS - ну тут +- понятно.
Послесловия
Коммерческий сбор информации
- иметь отдельную дебетовую карту для онлайн-покупок и переводить деньги на неё только в небольших объёмах или использовать карты маркетплейсов (например, Ozon.Card — по сути, на неё можно просто перекидывать деньги за пару минут до покупки);
- внимательно читать соглашения (не может быть, правда?);
- завести для передачи персональных данных отдельную электронную почту (заодно будет меньше спама), а в идеале — ещё и отдельный номер телефона (можно виртуальный, сейчас это делается легко и просто);
- не озвучивать свои персональные данные вслух в толпе на кассе;
- по возможности выписывать карты магазинов (это касается только малоценных для вас) на придуманное имя — но помните, что в любой «разборке» с товаром или сервисом это может сыграть злую шутку.
Территория интернет вещей
- Минимизируйте количество гаджетов: откажитесь от лишних и экспериментальных устройств;
- Выключайте гаджеты, которые вы подолгу не используете активно;
- Старайтесь не интегрировать гаджеты и приложения, связанные с жизнью и здоровьем (хотя автор статьи давно всё связал и считает это удобным);
- Вовремя обновляйте операционную систему, если обновления предлагаются;
- Не теряйте гаджеты;
Интернет активность
- Для регистрации в торговых сервисах и соцсетях имейте запасные почтовые ящики, не связанные с самой ценной приватной информацией.
- Не попадайтесь на фишинг — сейчас можно спокойно получить идеальное письмо от «маркетплейса» или зайти на сайт любимой доставки суши и потерять деньги из-за абсолютно незаметной подмены сайта в привычном интерфейсе. Перепроверьте сайт, на котором платите, не нажимайте на ссылки в письмах, которые вы не просили вам отправлять.
- В идеале — не регистрируйтесь в социальных сетях, а раз зарегистрировались, не используйте в постах и личных сообщениях геометки, не сообщайте ценную информацию: взломать могут, например, не вас, а ваших друзей. При большом желании злоумышленники могут воспользоваться моментом, пока вы постите фоточки с Кубы, и просто зайти в пустующую квартиру. А есть и более хитровыдуманные способы выманить деньги с помощью сетевых откровений.
- Не размещайте фото детей. Не буду писать пугающую простыню — вы сами понимаете, сколько здесь рисков. Да и хотели бы вы, будучи ребёнком, спустя время обнаружить в сети кучу информации о себе?
- Наклейте на камеру тёмную плёнку (пластырь или наклейку). Это позволит избежать неприятных и неожиданных сюрпризов, а заодно предохранит от внезапного появления в коллективном звонке (когда, например, думаете, что вы вышли, а на самом деле в эфире — лично у меня за время ковидной удалёнки такое произошло трижды, и один раз оказался стыдным, подвела случайно включенная камера FaceTime).
- Делайте бэкапы: храните данные на ПК, в облаке и ещё где-то, можно во втором облаке, например. Желательно, чтобы одно из облачных хранилищ было на серверах на территории той страны, где вы проживаете.
- А вот AdBlock — это уже ваше желание видеть или не видеть кучу рекламы и спама. Лично мне не мешает, даже интересно, как развивается сетевой креатив и как далеко он может зайти в изощрённой мимикрии и таргетинге.
Мобильные устройства
- По возможности отдавайте предпочтение OpenSource аналогу приложений из, например, магазина-приложенй F-Droid.
- НЕ ПОЛЬЗУЙТЕСЬ VPN! А конкректнее - не пользуйтесь бесплатными VPN сервисами, они просматривают ВЕСЬ ваш сетевой трафик, данные от которых потом продают / могут использоваться для мошеннечевства. Нужен VPN - купите у меня :-)
- Не устанавливайте на смартфоны простые пароли и графические ключи (среди моих знакомых, например, в топе начертание цифр, как на конвертах, причём лидирует 5). Пароли экрана блокировки в виде даты рождения — тоже намба ван.
- Обязательно используйте синхронизацию с облаком в нон-стоп режиме, а то есть любители отключать интернет из соображений экономии. Так вы сохраните свои данные и возможная утрата телефона не станет трагедией.
- Старайтесь ВООБЩЕ не хранить на телефоне какую-либо критичную информацию.
- Старайтесь избегать публичных сетей Wi-Fi (впрочем, это справедливо вообще для всех устройств) — это популярная среда для мошенников и просто юных кул хацкеров. Избегайте подозрительных приложений, приложений-следилок и шпионов.
- Не пытайтесь читать чужие списки контактов и SMS :)
- Ограничивайте приложениям доступы к камере, микрофону и местоположению, если это не критично (для прочих настраивайте режим «При использовании»).
- Выключайте сервисы карт и навигации, как только они становятся вам не нужны.
- В случае потери смартфона обязательно блокируйте SIM-карту в салоне оператора и используйте все возможности поиска и удалённого управления смартфоном.
- Ну и для гиков — ставьте чистый Android, а при первом запуске сбрасывайте систему до заводских настроек. Но это уже не настолько важно, как перечень предыдущих привычных ошибок.
Про пароли
- Пароли должны быть сложные.
- Пароли должны быть разные, особенно на критичных сервисах (типа Госуслуг и рабочих машин и рабочего ПО). Один и тот же пароль можно использовать только в сервисах, которые не имеют для вас особой ценности.
- Лучше всего тренировать память и хранить пароли в голове, а если не получается, то в специальных приложениях.
- Не писать пароли никогда и нигде, для временного подключения иметь отдельный пароль.
- Пароли не нужно менять с параноидальной частотой. Но если вы узнали о компрометации сервиса или получили уведомление о взломе, меняйте мгновенно!
- Не используйте в паролях предсказуемую информацию, связанную с вашей личностью, семьёй, друзьями.