Кевин Митник - Искусство быть невидимым

• Название: Искусство быть невидимым
• Автор: Кевин Митник
• Жанр: Интернет
• Год: 2019
• ISBN: 978-5-04-094446-0

Думаете, ваши данные в Интернете хорошо защищены? Так глубоко вы никогда не заблуждались! Кевин Митник – самый разыскиваемый хакер планеты в прошлом, а ныне один из ведущих специалистов по кибербезопасности – знает, насколько опасна неосведомленность в вопросах защиты данных в Сети. Как сбить со следа Большого брата и не пасть жертвой таргетинга и навязчивых маркетинговых кампаний? Как сделать так, чтобы ваша личная информация принадлежала только вам и никому другому? Никто не расскажет об этом лучше всемирно известного экс-хакера номер один.

---

Хорошая новость заключается в том, что в системах IP-телефонии применяется шифрование, в частности нечто под названием SDES (англ. Session Description Protocol Security Descriptions – дескрипторы безопасности протокола SDP). Плохая новость в том, что сам по себе метод SDES не слишком безопасен.

Отчасти проблема SDES заключается в том, что ключ шифрования не передается по криптографическому протоколу SSL/TLS, обеспечивающему безопасную передачу данных. Если сторона не поддерживает SSL/TLS, то ключ отправляется в открытом виде. Вместо асимметричного шифрования используется симметричное шифрование, из чего следует, что генерируемый отправителем ключ необходимо каким-то образом сообщить получателю, чтобы тот мог дешифровать телефонное соединение.

Допустим, Боб хочет позвонить Элис, которая находится в Китае. IP-телефон Боба использует метод SDES для шифрования вызовов и сгенерировал новый ключ. Бобу нужно каким-то образом передать этот новый ключ Элис, чтобы ее устройство могло дешифровать телефонный вызов и разговор состоялся. SDES предлагает следующее решение: отправить ключ провайдеру Боба, который затем передаст его провайдеру Элис, который в свою очередь сообщит его самой Элис.

Вы видите слабое место? Помните, что говорилось о сквозном шифровании в предыдущей главе? Информация защищена до тех пор, пока получатель не примет ее со своей стороны. Но метод SDES предполагает, что ключ станет известен провайдеру Боба и, если его провайдер отличается от провайдера Элис, вызов будет зашифрован от провайдера Элис самой Элис. О значении этого разрыва можно спорить. Нечто подобное происходит и при общении через Skype или Google Voice. Новые ключи генерируются для каждого нового соединения, но эти ключи передаются в Microsoft и Google соответственно. Не слишком внушает доверие, если вам важно, чтобы беседа была приватной.

К счастью, существует возможность сквозного шифрования при пользовании IP-телефонией с мобильного телефона.

Компания Open Whisper Systems разработала приложение Signal, которое представляет собой бесплатную открытую систему IP-телефонии для мобильных телефонов. С его помощью пользователи Android и iOS получают возможность по-настоящему эффективно защитить телефонные переговоры с помощью сквозного шифрования.{55}

Главное преимущество приложения Signal – то, что ключами распоряжаются только тот, кто совершает вызов, и тот, кто его принимает, без участия каких-либо посредников. Иными словами, как и в ситуации с SDES, новые ключи генерируются для каждого вызова, но ключи существуют в единственном экземпляре и хранятся только на устройствах пользователей. Закон CALEA предоставляет правоохранительным органам доступ к информации по каждому конкретному соединению, но в этом случае они увидят лишь зашифрованный трафик, что совершенно неинформативно. А у разработчика приложения Signal, некоммерческой организации Open Whisper Systems, нет этих ключей, так что приходить к ним с судебным ордером бессмысленно. Ключи хранятся только на устройствах абонентов (совершающего вызов и принимающего его). По завершении соединения эти ключи уничтожаются.

В настоящий момент закон CALEA не распространяется на конечных пользователей или на их устройства.

Возможно, вы думаете, что из-за шифрования ваш сотовый телефон будет быстрее разряжаться. Будет, но ненамного. Приложение Signal отправляет пользователям push-уведомления, подобно WhatsApp или Telegram. Поэтому вас будут оповещать только о поступающих вызовах, что сводит к минимуму расход батареи. Также приложения для Android и iOS задействуют аудиокодеки и алгоритмы управления буфером, свойственные сотовой сети, поэтому опять же шифрование не будет сильно разряжать батарею во время разговора.

Помимо сквозного шифрования, в приложении Signal также реализовано свойство PFS (англ. Perfect Forward Secrecy – совершенная прямая секретность). Что это такое? Это свойство, благодаря которому ключ шифрования для каждого следующего вызова будет слегка отличаться от предыдущего, и если кто-то сумеет получить доступ к вашему конкретному зашифрованному телефонному соединению и ключу шифрования, он не сможет прослушивать все остальные соединения. Основой всех ключей остается исходный ключ, но если кто-то завладеет одним из ключей, это вовсе не значит, что потенциальный злоумышленник сможет прослушивать все ваши дальнейшие переговоры.

Глава 4 Зашифрован – значит вооружен!

Если бы кто-нибудь прямо сейчас взял ваш незаблокированный смартфон, он получил бы доступ ко всей вашей электронной переписке, к вашему аккаунту в социальной сети Facebook и, вероятно, даже к вашему личному кабинету на сайте Amazon. На смартфонах теперь не нужно вводить логин и пароль для каждого отдельного сервиса, как при работе на ноутбуке или настольном компьютере. Мы пользуемся мобильными приложениями, которые запоминают данные учетной записи, достаточно авторизоваться в них единожды. Помимо фотографий и музыки, смартфоны предлагают еще одну уникальную возможность – обмен текстовыми SMS-сообщениями. Если на вашем сотовом телефоне нет защиты и он попадет в чужие руки, то завладевший им человек получит доступ в том числе и к вашим SMS-сообщениям.

Рассмотрим следующую историю. В 2009 году житель города Лонгвью (штат Вашингтон) Дэниел Ли был арестован по подозрению в продаже наркотиков.{56} Пока он находился под стражей, полиция просмотрела данные на его сотовом телефоне (который не был защищен паролем) и сразу же нашла несколько текстовых сообщений о наркотиках. Одно из них было получено от человека под ником «Z-Jon».

Текст был следующим: «У меня на руках сто тридцать за одну шестидесятую, которую ты дал мне вчера вечером». Согласно протоколу судебного заседания, полиция города Лонгвью не просто читала сообщения от Z-Jon, но и активно на них отвечала, чтобы организовать собственную сделку. Полицейские отправили человеку, записанному как Z – Jon, сообщение от имени Дэниела Ли, спросив: «Нужно ли ему еще?» Контакт Z – Jon ответил: «Да, было бы круто». Когда Z-Jon (настоящее имя которого Джонатан Роден) пришел на встречу, полиция города Лонгвью арестовала его за попытку купить героин.

Также в телефоне Ли внимание полицейских привлекла еще одна переписка, и они аналогичным образом арестовали Шона Дэниела Хинтона.{57}

Оба арестованных подали апелляцию, и при содействии Американского союза защиты гражданских свобод им удалось добиться того, что Верховный суд штата Вашингтон в 2014 году отменил приговоры, вынесенные Родену и Хинтону судом более низкой инстанции. Основанием для отмены вердикта стало проявленное со стороны полиции злоупотребление уверенностью подсудимых в конфиденциальности переписки.

Судьи пояснили, что, если бы Ли первым прочитал сообщения от Родена и Хинтона или поручил полицейским ответить на них фразой: «Дэниела здесь нет», в обоих случаях ситуация была бы принципиально иной. «Текстовые сообщения можно рассматривать как часть того личного пространства, куда также входят телефонные разговоры, запечатанные письма и прочие традиционные формы общения, которые исторически строго защищаются законами штата Вашингтон», – написал судья Стивен Гонсалес в комментариях к делу Хинтона.{58}

Судьи постановили, что право на конфиденциальность должно распространяться не только на бумажную переписку, но и на цифровую сферу. В США органам правопорядка запрещено вскрывать запечатанные письма без разрешения адресата. Ожидание конфиденциальности является юридическим критерием. Этот критерий необходим, когда речь идет о соблюдении права на конфиденциальность, гарантированного четвертой поправкой к Конституции США. Время покажет, какие судебные решения будут приниматься в дальнейшем и будет ли применяться данный юридический критерий в будущем.

Технология обмена текстовыми сообщениями, известная как SMS (сокр. от англ. Short Message Service), появилась в 1992 году. Сотовые телефоны, даже самые простые (т. е. не смартфоны), позволяют отправлять короткие текстовые сообщения. Текстовые сообщения необязательно передаются по схеме «точка – точка», иными словами, нельзя сказать, что сообщение непосредственно перемещается с одного мобильного телефона на другой. Как и электронные письма, сообщения, которые вы набираете на телефоне, в незашифрованном виде отправляются в SMS-центр (SMSC), элемент сотовой сети, предназначенный для хранения, пересылки и доставки SMS-сообщений – иногда с задержкой в несколько часов.

Исходное текстовое сообщение (отправленное с мобильного телефона, а не через приложение) проходит через SMS-центр оператора сотовой связи, где оно может храниться, а может и нет. Операторы утверждают, что срок хранения сообщений не превышает нескольких дней. По истечении этого срока текстовые сообщения сохраняются только в мобильных телефонах отправителя и получателя, а количество сообщений зависит от модели телефона. Несмотря на эти заверения, я думаю, что все операторы сотовой связи в США хранят текстовые сообщения гораздо дольше, чем утверждают.{59}