hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

o

14

Ч асть I. Подготовка к анонимной работе, решение вопросов безопасностиNOW!

to

BUY

to

BUY

wClickпредложитo m

отправить его на сервер компании Apple. Теперь никто не сможет использоватьwClick

o m

w

w

w

.c

w

.c

.

g

.

g

p

p

df

n

e

df

n

e

-xcha

-x cha

прежний ключ для разблокирования заново зашифрованного диска. А при запросе восста­

новления компания Apple предоставит только новый ключ на основании серийного номера и номера записи, который вы отправите в запросе.

Шифрование данных в операционной системе iOS

Если пользуетесь мобильным устройством компании Apple — таким, как iPhone, iPod touch или iPad, — вы можете защитить его содержимое с помощью шифрования. Тогда кто бы ни получил физический доступ к устройству, ему понадобится пароль для расшифровки со­ держащейся в его памяти информации, включая контакты, сообщения, документы, историю звонков и электронные письма.

Для защиты устройства под управлением операционной системы iOS, перейдите на экран Настройки | Пароль (Settings | Passcode), коснитесь пункта Включить пароль (Enable passcode) и создайте пароль, коснувшись в открывшемся экране пункта Параметры пароля (Passcode Options), чтобы использовать пароль из 6 цифр или из "совокупности букв и цифр. После установки пароля коснитесь пункта Запрос пароля (Require passcode), и выберите вариант Немедленно (Immediately), чтобы устройство автоматически блокировалось сразу же после отключения экрана (рис. 1.4).

Вводить пароль, который состоит только из цифр, проще — при разблокировании устрой­ ства можно пользоваться цифровым набором. Если же кроме цифр в пароле используются

vk.com/dwdwtor

Рис. 1.4. Настройки пароля в операционной системе iOS

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

o

P

o

ГпаваNOW!1. Защ ита персональных данных

15NOW!

to

BUY

to

BUY

w

m

w

o

m

wClickбуквы иo

специальные символы, понадобится вызывать виртуальную клавиатуру, чтоwClickможет

w

w

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

-x cha

быть не очень удобно. В любом случае рекомендуется использовать пароль, состоящий из

не менее чем 6 цифр.

После установки пароля взгляните на нижнюю

часть экрана настроек пароля (см.

рис. 1.4)— вы увидите сообщение Защита данных включена (Data protection enabled).

Теперь устройство зашифровано паролем, который понадобится для разблокирования дан­

ных, хранящихся в памяти устройства.

Далее приведены некоторые особенности iOS, о

которых следует помнить, имея

дело

сконфиденциальными данными:

♦программа iTunes позволяет сохранять резервные копии содержимого памяти вашего устройства на сопряженный компьютер. Если вы установите флажок Зашифровать ре­ зервную копию (Encrypt backup) на вкладке Обзор (Summary) вашего устройства в окне iTunes, программа станет сохранять резервную копию таких конфиденциальных данных, как пароли к сетям Wi-Fi и электронной почте. При этом сохраняемая резервная копия будет полностью зашифрована. Убедитесь, что используемый вами пароль хранится в надежном месте. Восстановление данных из резервной копии приходится делать не­ часто, но возникнет огромная проблема, если пароль для разблокирования резервной ко­ пии окажется утерян;

♦если вы сохраняете резервные копии в облачном хранилище iCloud, для защиты своих данных нужно использовать длинный пароль и обеспечить его сохранность. Хотя боль­ шинство хранящихся в резервных копиях данных и шифруется, компании-владельцу хранилища, возможно, придется предоставить к ним доступ по требованию соответст­

vkвующих.com/dwdwtorорганов. В особенности это касается электронной почты и заметок, которые сохраняются в незашифрованном виде;

♦ если вы в рекомендованном здесь порядке защитите устройство паролем, то сможете при необходимости безопасно и быстро удалить с устройства свои данные. В настройках парольной защиты можно указать, чтобы устройство удаляло всю хранящуюся на нем информацию в случае десяти (подряд) неудачных попыток ввода пароля. Для этого сле­ дует установить переключатель Стереть, данные (Erase Data) в активное положение (см. рис. 1.4);

♦ согласно информации компании Apple, ее сотрудники не могут извлечь данные, храня­ щиеся непосредственно на вашем iOS-устройстве, но если вы активировали синхрониза­ цию с iCloud или сохраняете резервные копии в облачное хранилище, эти данные могут быть доступны сотрудникам компании. В большинстве случаев шифрование встроен­ ными средствами операционной системы iOS эффективно лишь тогда, когда устройство выключено или заблокировано. Имейте это в виду и, по возможности, старайтесь вы­ ключать или блокировать устройство, если подозреваете, что к нему может получить доступ злоумышленник;

♦ если вы оцениваете риск кражи своего устройства как высокий, то можете активировать функцию Найти iPhone (Find Му iPhone), чтобы удаленно стереть содержимое памяти устройства, если оно будет похищено. Кроме того, вы сможете определить местонахож­ дение похищенного устройства. Смартфоны и планшеты с поддержкой сотовой связи постоянно ^передают эту информацию операторам мобильной связи (при условии вклю­ чения на устройстве функции передачи данных через сотовую сеть). Однако устройства с поддержкой Wi-Fi — такие, как iPad без поддержки сотовой связи и iPod Touch, этого не делают.

Подробнее о шифровании мы поговорим в главе 6.

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

16

NOW!

o

P

o

Ч асть I. Подготовка к анонимной работе, решение вопросов безопасностиNOW!

to

BUY

to

BUY

w Click

m

w Click

m

w

Защитаdf n

портативных носителей данных

w

df

n

w

o

w

o

.

g

.c

.

g

.c

p

p

-xcha

e

-x cha

e

Обмен объемными данными часто производится с помощью USB-накопителей: внешних Flash-дисков и HDD. Это быстрее и удобнее, а часто и безопаснее, чем передавать гигабай­ ты информации через Интернет.

Но злоумышленник может попытаться похитить внешний накопитель, чтобы заполучить конфиденциальную информацию. А так как в большинстве случаев защиты данных на та­ ких устройствах не предусмотрено, злоумышленнику не потребуется никаких средств для превращения данных в читабельный вид. На этот случай многими производителями разра­ батываются защищенные накопители с шифрованием, требующие ввода программного или аппаратного пароля (ПИН-кода) или сканирования отпечатка пальца. На рис. 1.5 показаны Flash-накопители с защитой данных.

vk.com/dwdwtor

Рис. 1.5. Flash-накопитель с биометрической защитой (слева) и с помощью ПИН-кода (справа)

К таким накопителям относятся, к примеру, устройства Kingston DataTraveler (2000, Vault Privacy или 4000), IStorage datAshur, Samurai Nano Drive, GuardDo Touche и др.

Как правило, доступ к информации на накопителях с алфавитно-цифровой клавиатурой осуществляется с помощью ПИН-кода, представляющего собой число или слово, и для за­ щиты данных используется 25б-битное аппаратное AES-шифрование. Кроме того, после нескольких попыток подбора кода включается функция автоматической блокировки и ключ шифрования удаляется, что делает невозможным расшифровку данных.

На Flash-дисках с биометрической защитой (например, Transcend JetFlash 220) используется аналогичный алгоритм шифрования, только доступ к устройству открывается после скани­ рования отпечатка пальца, совпадающего с ранее сохраненным в памяти носителя. Подоб­ ные носители могут также предоставлять дополнительную защиту с помощью программно­ го пароля и самоуничтожения данных.

Несмотря на все достоинства защищенных Flash-накопителей, основным их недостатком является относительно небольшой объем памяти устройства— как правило, не более 64 Гбайт. Решение этой проблемы заключается в использовании внешних портативных дис­ ков, как HDD, так и SSD, емкость которых может достигать 4 Тбайт (рис. 1.6).

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P									o
		ГпаваNOW!1. Защ ита персональных данных
				to	BUY
w Click										m
w
	w								o
	.								.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P					17NOW!				o
				to	BUY
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Рис. 1.6. Внешний жесткий диск с биометрической защитой (слева) и с помощью ПИН-кода (справа)

Как и в случае с Flash-накопителями, в памяти внешних HDD и SSD-накопителей данные шифруются с помощью 256-битного аппаратного AES-шифрования и защищены функцией уничтожения при попытке подбора пароля методом перебора и взлома методом «грубой силы».

vkБезопасность.com/dwdwtorпри использовании сетей Wi-Fi

Наличие в каждом ноутбуке и нетбуке беспроводной сетевой карты Wi-Fi и довольно демо­ кратичные цены на соответствующие точки доступа и маршрутизаторы привели к тому, что многие общественные заведения: кафе, гостиницы, аэропорты и даже торговые центры — стали предоставлять посетителям бесплатный доступ к Интернету в качестве дополнитель­ ной услуги или как средство привлечения клиентов. Эта тенденция не могла пройти неза­ меченной мимо людей, имеющих возможность часто посещать такие заведения.

Разумеется, очень приятно пользоваться услугами, в данном случае, подключения к Интер­ нету, за чужой счет, но, тем не менее, не следует забывать об опасности, которую такой «сыр» таит. А именно — все данные, передаваемые через Интернет с вашего (и на ваш) компьютер или мобильное устройство, легко могут быть перехвачены злоумышленниками, подключившимися к той же сети Wi-Fi. Особенно это касается незашифрованных данных, передаваемых, к примеру, такими программами, как WhatsApp. Сети Wi-Fi по своей приро­ де уязвимы для взлома и «прослушки», однако на них вполне можно полагаться, если при­ менить необходимые меры безопасности.

Угрозы, возникающие

при подключении к открытой сети Wi-Fi

Злоумышленники, подключаясь к открытой или даже вашей (слабо защищенной) сети, мо­ гут выполнять следующие действия:

♦захватывать параметры соединения— с помощью специальных приложений (про­ граммных сетевых сканеров), установленных на смартфоне, планшете или ноутбуке, по-

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

t

P

D

o

P

D

o

NOW!

r

r

18

Ч асть I. Подготовка к анонимной работе, решение вопросов безопасностиNOW!

to

BUY

to

BUY

w

m

w

m

w

w

o

wClick

сторонниеo

могут без особых усилий собирать разнообразную информацию об активныхwClick

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

-x cha

точках доступа, их названиях, используемых базовых станциях, типе шифрования, под­ ключенных устройствах и просматриваемых на них сайтах, определять, открыт ли на устройствах общий доступ к файлам, и т. п. Эти сведения в комплексе могут использо­ ваться для планирования целенаправленных атак, подобных тем, что описаны далее.

Полностью обезопасить себя от сбора информации сетевыми сканерами невозможно — разве что отказаться от пользования точками беспроводного доступа или, хотя бы, включать адаптер Wi-Fi на своем устройстве только тогда, когда он действительно нужен;

♦ считывать трафик — при установке с устройством соединения Wi-Fi передача пакетов данных осуществляется на соответствующий IP-адрес. Если в точке доступа зарегистри­ ровано несколько устройств, то они игнорируют пакеты данных, предназначенные для других получателей, — так предотвращается хаос в сети Wi-Fi и поддерживается высо­ кая скорость работы. Однако, имея подходящее программное обеспечение, можно «вну­ шить» адаптеру Wi-Fi, что он должен принимать все пакеты вне зависимости от указан­ ных в сетевых пакетах IP-адресов. В этом случае злоумышленник может считывать весь трафик, проходящий через точку доступа, при этом оставаясь в тени, т. к. сам ничего не передает. Затем с помощью фильтров он может найти в записанных сведениях нужную информацию — например, изображения или адреса веб-сайтов.

Для защиты от такого считывания следует избегать точек доступа без парольной защи­ ты. Хотя это и не панацея, но тогда злоумышленнику надо будет как минимум знать па­ роль к точке доступа. Кроме того, на всех сайтах, где нужно проходить авторизацию и передавать персональные данные, следует использовать только защищенное соединение

через протокол HTTPS (см. далее разд. «Использование протокола HTTPS»), а не HTTP, vkи не.заходитьcom/dwdwtorна сайты, не поддерживающие шифрование. Осторожность также необхо­ дима при работе с мобильными приложениями, т. к. в этом случае пользователь практи­

чески не имеет доступа к тонким настройкам. Например, клиент Facebook шифрует только авторизацию, после чего передача данных производится в незащищенном виде. И хотя злоумышленник и не увидит вашего пароля, он сможет читать ваши статусные сообщения и переписку. Поэтому от использования таких приложений при подключении к публичной точке доступа следует полностью отказаться. Альтернативой может слу­ жить технология VPN, с помощью которой для вашего интернет-соединения создается защищенный туннель. В этом случае, если злоумышленник перехватит переданный с вашего устройства сетевой пакет, он получит просто беспорядочный набор данных. Для создания VPN-туннелей вы можете использовать утилиты наподобие Hotspot Shield, доступные и для мобильных устройств;

О б я з а т е л ь н а л и и д е н т и ф и к а ц и я в о б щ е с т в е н н ы х с е т я х W I -F I ?

Радость от возможности бесплатного и бесконтрольного подключения к общественным се­ тям Wi-Fi несколько скрадывает введенное летом 2014 года постановлением правительст­ ва РФ № 758 требование обязательной идентификации подключающегося к публичному Интернету пользователя по его удостоверению личности. Согласно документу, оператор связи перед разрешением кому-либо доступа в общественный Интернет обязан потребо­ вать у него ввести номер мобильного телефона, на который отправляется код для под­ тверждения идентификационных данных.

♦захватывать cookie-файлы для авторизации в аккаунтах— с помощью соответст­ вующего программного обеспечения злоумышленник может организовать сетевую атаку

с использованием протокола ARP (т. н. ARP-спуфинг) и легко перехватить сеансовые cookie-файлы, которые идентифицируют участника социальной сети (например, Facebook) после успешной в ней авторизации. Благодаря таким cookie-файлам вам не

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

t

P

D

o

P

D

o

r

r

лаваNOW!1. Защита персональных данных

19NOW!

to

BUY

to

BUY

вводить пароль каждый раз,

w

m

w

m

w

w

o

wClick

требуетсяo

когда вы хотите авторизоваться наwClickсайте

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

-x cha

Facebook. Специальные программы извлекают из трафика все сеансовые cookie-файлы и выводят их на экран в виде списка, после чего одним касанием злоумышленник может войти в ваши текущие сеансы Facebook, Twitter или eBay, после чего весь обмен данны­ ми проходит через устройство злоумышленника.

Для защиты от перехвата сеансовых cookie-файлов также можно использовать VPN-тун- нели;

♦подменять точки доступа — как вы могли обнаружить, по умолчанию после однократ­ ного входа в какую-либо беспроводную сеть устройство автоматически подключается к ней снова, если оказывается в зоне действия сети Wi-Fi с таким же именем. Простейший сценарий атаки выглядит так: из любого смартфона, планшета или ноутбука без особых усилий и дополнительных приложений злоумышленник может сделать точку доступа Wi-Fi с любым именем, после чего сможет считывать в своей поддельной сети все пере­ даваемые данные. Для защиты от таких атак следует удалять сохраненные сети Wi-Fi из списка в настройках устройства, оставляя там только домашние и рабочие;

♦взламывать механизмы шифрования — злоумышленники, желая получить доступ к важным сведениям (таким как банковские реквизиты, регистрационные данные PayPal или пароли к почте и веб-сервисам), делают ставку на различные уязвимости в реализа­ ции механизма шифрования и на промахи пользователей. Например, они могут попы­ таться перенаправить пакеты информации с помощью ложной точки доступа. А когда пользователь заходит через такую точку на защищенный сайт, злоумышленник может попробовать перенаправить его на незащищенную версию, чтобы узнать пароль или

vkпрослушать.com/dwdwtorвесь трафик. Распространены и атаки с применением фальшивых сертифи­ катов В этом случае мошенник использует защищенное соединение как с веб-сервисом,

так и, с другой стороны, с пользователем точки доступа. Но вследствие того, что SSLсертификаты сфальсифицированы, прослушивание трафика не составляет труда.

Если бы веб-сервисы полностью шифровали весь трафик, то у злоумышленников не бы­ ло бы возможности использовать прием с перенаправлением пользователей на незащи­ щенные веб-сайты. Однако SSL-соединение пока не получило повсеместного распро­ странения, хотя крупные сервисы и предлагают его по выбору. Поэтому необходимо всегда самим выбирать SSL-соединение, а также проверять, чтобы в адресной строке браузера указывалась информация о защищенном соединении. К сожалению, при работе с мобильными приложениями тип соединения часто не настраивается и не определяется. В этом случае нужно предварительно уточнить наличие таких возможностей в том или ином приложении у его разработчиков. О надежности соединения также свидетельству­ ет соответствующее указание в адресной строке браузера и наличие сертификата. С дру­ гой стороны, и это не является стопроцентной гарантией, т. к. можно столкнуться с фальшивыми сертификатами.

Для обеспечения безопасности устройств под управлением операционных систем Android, iOS и Windows Phone необходима регулярная установка системных и программных обнов­ лений. Кроме того, на них обязательно наличие антивирусной программы — к примеру, Kaspersky Internet Security для Android или Kaspersky Safe Browser. He допускайте также автоматического подключения устройства к сетям Wi-Fi без вашего ведома и, по возможно­ сти, используйте VPN-туннели для передачи данных.

На компьютерах под управлением операционной системы Windows и OS X следует отклю­ чить общий доступ к файлам и обязательно держать включенным брандмауэр. Проверить соответствующие настройки можно в Windows так: Панель управления | Брандмауэр