Кевин Митник - Искусство быть невидимым

• Название: Искусство быть невидимым
• Автор: Кевин Митник
• Жанр: Интернет
• Год: 2019
• ISBN: 978-5-04-094446-0

Думаете, ваши данные в Интернете хорошо защищены? Так глубоко вы никогда не заблуждались! Кевин Митник – самый разыскиваемый хакер планеты в прошлом, а ныне один из ведущих специалистов по кибербезопасности – знает, насколько опасна неосведомленность в вопросах защиты данных в Сети. Как сбить со следа Большого брата и не пасть жертвой таргетинга и навязчивых маркетинговых кампаний? Как сделать так, чтобы ваша личная информация принадлежала только вам и никому другому? Никто не расскажет об этом лучше всемирно известного экс-хакера номер один.

---

В СМИ рассказывали о мошеннике, который узнал четыре последние цифры номера банковской карты своей жертвы, а затем использовал эту информацию как средство подтверждения личности во время телефонного разговора со службой поддержки. В поддержку он звонил, чтобы сменить электронный адрес, привязанный к учетной записи в одном из сервисов. Так злоумышленник может сменить пароль на свой собственный, а владелец аккаунта даже не будет об этом знать.

В 2008 году студент университета Теннесси Дэвид Кернелл решил посмотреть, получится ли у него взломать на сайте Yahoo! личный электронный ящик Сары Пэйлин, кандидата на пост вице-президента{18}. Кернелл мог бы попробовать подобрать пароль, но доступ к ящику был бы заблокирован после нескольких неудачных попыток. Вместо этого он воспользовался функцией сброса пароля – позже он описал этот процесс как «простой».{19}

Я уверен, что такое случалось с каждым из нас: сначала вы получаете странное письмо от друга и знакомого со ссылкой на иностранный порносайт, а потом выясняется, что его электронный ящик был взломан. Часто это происходит из-за слабого пароля. Или же кто-то просто узнал пароль – в результате утечки или использования функции сброса пароля.

В момент создания аккаунта – любого, например, почтового или на сайте банка – вам могут задать так называемые секретные вопросы. Обычно их три штуки. Часто сервис предлагает раскрывающийся список с вариантами вопросов, и вы можете выбрать, на какие из них отвечать. Как правило, эти вопросы довольно очевидны.

Где вы родились? В какой школе вы учились? Или институте? И вечный фаворит – девичья фамилия матери, вопрос, который используется в качестве секретного, наверное, минимум с 1882 года{20}. Как вы узнаете чуть позже, компании могут (и с удовольствием это делают) сканировать Интернет в поисках персональных даных, с помощью которых можно без труда ответить на любой распространенный секретный вопрос. Всего пара минут в Интернете – и у вас есть ответы на практически любой секретный вопрос конкретного человека.

Только недавно эти секретные вопросы стали понемногу обновляться. Например, вопрос «В каком городе родился ваш шурин?» довольно редкий (хотя правильно отвечая на такие «хорошие» вопросы, вы также рискуете, о чем я расскажу чуть ниже). Но множество так называемых секретных вопросов по-прежнему очень просты, например: «Кличка вашего домашнего животного?»

В целом, устанавливая секретные вопросы, постарайтесь избегать наиболее очевидных вариантов из раскрывающегося списка. Даже если сайт предлагает только распространенные вопросы, обратитесь к своему воображению. Кто сказал, что ответы обязательно должны быть честными? Проявите смекалку. Например, только для потокового видеосервиса вашим любимым цветом может стать «тутти-фрутти[5]». Кто узнает? Это же цвет, верно? Информация, которую вы указываете в качестве ответа, становится «правильным» ответом на секретный вопрос.

Когда вы придумываете ответы, обязательно записывайте и сам вопрос, и ответ на него и храните эту подсказку в надежном месте (или просто пользуйтесь менеджером паролей). Может так случиться, что когда-нибудь, обратившись в службу технической поддержки, вам нужно будет ответить на один из своих секретных вопросов. Носите с собой в кошельке карточку или блокнотик, который поможет вам вспомнить, что на вопрос: «Где вы родились?», вы ответили: «В роддоме» (или запомните и постоянно используйте один и тот же набор ответов). Эта простая хитрость собьет с толку того, кто собирал о вас информацию в Интернете и попытался дать более правдоподобный ответ, например: «Кировск, Мурманская область».

Отвечая правильно на редкие секретные вопросы, вы еще больше рискуете: вы выдаете личную информацию сверх той, что уже доступна. Например, сайт, на котором вы честно ответили на вопрос: «В каком городе родился ваш шурин?», теперь может продать этот ответ, и вполне возможно, вместе с другими данными. Или же с помощью этого ответа кто-то сможет восполнить пробелы в собранных сведениях. Например, по ответу на этот вопрос можно узнать, что вы женаты (или были женаты), что у вашей жены (или бывшей жены) есть брат, родившийся в указанном городе. Для одного простого ответа это очень много дополнительной персональной информации. С другой стороны, если у вас нет шурина, вперед – отвечайте с фантазией, например: «Пуэрто-Рико». Это собьет с толку любого, кто собирает на вас досье. Чем больше ложных данных вы предоставите, тем лучше защитите свою конфиденциальность в Интернете.

Отвечая на менее распространенные секретные вопросы, всегда взвешивайте, насколько тот или иной сайт ценен для вас (например, можно доверить дополнительные персональные сведения своему банку, но никак не потоковому видеосервису). Также обращайте внимание на политику конфиденциальности (ищите формулировки, которые прямо свидетельствуют или косвенно намекают на то, что сайт может продавать собранные данные третьим лицам).

Для сброса пароля электронной почты Сары Пэйлин потребовалась ее дата рождения, почтовый индекс и ответ на секретный вопрос: «Где вы познакомились с мужем?» Дату рождения и почтовый индекс Пэйлин без труда можно было найти в Интернете (в тот момент Пэйлин была губернатором штата Аляска). Чтобы ответить на секретный вопрос, пришлось приложить чуть больше усилий, но Кернелл сумел найти нужную информацию. Пэйлин давала множество интервью и из раза в раз повторяла, что в своего мужа она влюблена еще со старших классов школы. Таким образом, ответ на секретный вопрос: «Старшие классы школы».

Отгадав ответ на секретный вопрос Пэйлин, Кернелл смог сбросить пароль от ее ящика Yahoo! и сменить его на новый. Так ему удалось прочитать всю личную переписку политика. Снимок экрана с ее папкой «Входящие» был выложен на хакерском ресурсе. Сама же Пэйлин не могла войти в свою почту, пока не сбросила пароль.{21}

Поступок Кернелла был противозаконным, он нарушил закон «О компьютерном мошенничестве и злоупотреблении с использованием компьютеров». Его признали виновным по двум пунктам обвинения: препятствование правосудию путем уничтожения улик и незаконный доступ в компьютерную систему. В 2010 году его приговорили к тюремному заключению сроком один год и один день плюс три года профилактического наблюдения после освобождения.{22}

Если вашу почту взломали так же, как почту Пэйлин, в первую очередь необходимо сменить пароль, сбросив его (вы, наверное, уже догадались сами). Пусть новый пароль будет надежнее, как мы только что говорили. Далее проверьте папку с отправленными от вашего имени письмами. Возможно, вы найдете там письмо со спамом со множеством адресатов из вашего списка контактов. (Теперь-то вы понимаете, почему все эти годы ваши друзья шлют вам спам – кто-то взламывает их электронную почту.)

Также проверьте, вдруг кто-то связал свой аккаунт с вашим. Хакер, получивший доступ к вашему ящику, также может настроить переадресацию ваших писем на свою почту. Вы, как и прежде, будете пользоваться почтовым ящиком в обычном режиме, но другой человек тоже будет читать ваши письма. Если кто-то связал свой аккаунт с вашим, немедленно удалите ящик для переадресации.

Пароли и коды безопасности частично решают проблему безопасности, но мы только что видели, что их можно подобрать. Гораздо эффективнее сложных паролей вас защитит двухфакторная аутентификация.

Пароли и коды безопасности частично решают проблему безопасности, но мы только что видели, что их можно подобрать. Гораздо эффективнее сложных паролей вас защитит двухфакторная аутентификация. После скандала с утечкой фотографий обнаженной Дженнифер Лоуренс и других знаменитостей компания Apple разработала новый метод контроля доступа к сервисам iCloud – двухфакторную аутентификацию.

Что такое двухфакторная аутентификация?

При аутентификации пользователя на сайтах и сервисах необходимо подтверждение как минимум двух пунктов из трех. Обычно это: что-то, что у вас есть, что-то, что вы знаете, и что-то, чем вы являетесь. Этим чем-то может быть банковская карта с магнитной полосой или чипом. Чем-то, что вы знаете, чаще всего бывает PIN-код или ответ на секретный вопрос. А что-то, чем вы являетесь, включает в себя биометрические данные – сканер отпечатков пальцев, распознавание лиц, распознавание голоса и пр. Чем больше данных совпадает, тем выше вероятность того, что пользователь является именно тем, за кого себя выдает.

Ничего нового в этом нет. Уже более сорока лет большинство из нас пользуются двухфакторной аутентификацией, сами того не осознавая.

Каждый раз, снимая деньги в банкомате, вы проходите через двухфакторную аутентификацию. Как это? У вас есть выпущенная банком карта, вы знаете PIN-код. Сочетание этих двух факторов говорит уличному банкомату, что вы хотите получить доступ к счету, к которому привязана карта. В некоторых странах в банкоматах присутствуют дополнительные средства проверки, например, распознавание лиц и сканер отпечатка ладони. Это уже многофакторная аутентификация.