Ciko

Словосполучення "Безкоштовний Wi-Fi" радує всіх. Але насправді у вас можуть виникнути великі проблеми. Основна проблема суспільного Wi-Fi полягає у відсутності безпеки, коли йдеться про вашу конфіденційність та дані. Публічний Wi-Fi, як випливає з назви, є публічним, і доступ до нього може отримати будь-хто. І тепер будь-хто може легко зламати вас тільки тому, що ви знаходитесь з ним в одній мережі. 1️⃣Неавторизовані мережі Wi-Fi. Вас можуть обманом змусити використовувати шкідливу мережу Wi-Fi, створену зловмисником або чорним хакером. Ця мережа може мати дуже довірчу назву, наприклад Free Wi-Fi або GUEST-WIFI. Якщо ви знаходитесь в готелі, будь-хто може назвати свій Wi-Fi гостьовим або безкоштовним. У них можуть бути сніфери та шкідливі програми, які будуть відправлені на ваш пристрій та скомпрометують ваші дані та дані вашої компанії. 2️⃣Атаки типу "людина посередині". Атаки "людина посередині" зустрічаються набагато частіше, ніж ви думаєте, і оскільки вони пасивні за своєю природою, їх важко виявити. Ми написали статтю про те, як хакери здійснюють атаку "людина посередині" та як легко здійснити MITM на телефоні android. У світі хакерів вже є багато статей про те, як працює MITM. Обов'язково прочитайте їх, щоб зрозуміти, що таке MITM, якщо ви не знаєте як вони працюють. 3️⃣Шкідливе програмне забезпечення через незахищений Wi-Fi. Багато хакерів розсилають шкідливі програми по мережі, щоб створити бекдори та вкрасти ваші дані. У хакерів є багато способів зробити це, оскільки люди не вживають необхідних запобіжних заходів при використанні Wi-Fi і своїх пристроїв. Багато людей навіть не купують антивірус. 4️⃣Підглядання та підслуховування. Ця атака зазвичай використовується у поєднанні з атакою "людина посередині". Але це не обов'язково так. Особливо, якщо жертва використовує HTTP-сайти. Для їхнього злому навіть не потрібен MITM; вони безпосередньо видно будь-якому сніфферу в мережі. Багато людей не знають про ризики, пов'язані з невикористанням HTTPS-сайтів. Навіть світ хакерів використовує HTTPS лише для того, щоб убезпечити своїх читачів; для читачів немає логіну як такого, але навіщо ризикувати. 5️⃣Націлювання на компанії. Багато хакерів намагаються зламати компанії, отримуючи доступ до мережі компанії через зламаний пристрій. Хакери завжди шукають пристрої, які можна легко зламати. Якщо ви користуєтеся громадським Wi-Fi, вас можуть легко зламати. Тому, якщо ви не хочете втратити роботу через недбалість. Я рекомендував би повністю уникати публічних мереж Wi-Fi. 6️⃣Шкідливі атаки через мережі ad hoc. Ad hoc - це однорангові мережі, які дозволяють користувачам безпосередньо з'єднувати два або більше комп'ютерів. Коли працівник, чия система скомпрометована, використовує публічну мережу Wi-Fi, його пристрої, швидше за все, будуть налаштовані на виявлення нових мереж, що дасть можливість хакерам заразити і зламати інші комп'ютери в мережі. Це не той випадок, який ви хочете. 7️⃣Вразливість паролів та імен користувачів. Через те, що в мережі відбувається обмін такою конфіденційною інформацією, як ваші cookies або паролі імені користувача, доступ до якої може отримати будь-хто. Ви дійсно хочете, щоб ця мережа була загальнодоступною? 8️⃣Реклама. Реклами - це найчастіше використовуваний метод заробітку. Як легально, і нелегально. Багато хакерів встановлюють у мережі рекламні програми та оголошення, які при натисканні на них приносять гроші хакеру. Багато громадських Wi-Fi-мереж зламуються подібним чином, коли користувач, що зареєструвався в мережі, в результаті пришиває в систему набагато більше реклами. Якщо ви не бажаєте цього, уникайте публічного Wi-Fi.

Бути супер анонімним у цифровій епосі може бути складним завданням, але з певними кроками можна зробити свою онлайн-ідентичність більш недоступною для третіх осіб. Ось кілька рекомендацій, які допоможуть вам зміцнити вашу анонімність в Інтернеті: 1 Використовуйте віртуальні приватні мережі (VPN): VPN-сервіси маскують вашу IP-адресу і шифрують ваше інтернет-з'єднання, забезпечуючи підвищену приватність та анонімність. Вони перенаправляють ваш трафік через віддалені сервери, роблячи складніше відстеження ваших онлайн-активностей. 2 Використовуйте анонімні браузери: Існують спеціалізовані браузери, такі як Tor (The Onion Router), які допомагають зберегти вашу анонімність в Інтернеті. Вони маршрутизують ваш трафік через безліч вузлів, роблячи складним відстеження вашого розташування та активності. 3 Подумайте про приватні пошукові системи: Замість використання популярних пошукових систем, які збирають та зберігають ваші дані, розгляньте використання приватних альтернатив, таких як DuckDuckGo або Startpage. Вони не відстежують вас і не зберігають особисту інформацію про пошукові запити. 4 Використовуйте анонімні електронні поштові сервіси: Реєструйтеся на анонімні поштові сервіси, які не вимагають надати особисті дані під час створення облікового запису. Деякі з них, наприклад ProtonMail або Tutanota, пропонують шифрування листів і захист вашої приватності. 5 Будьте обережні з публічними Wi-Fi: Уникайте використання загальнодоступних Wi-Fi мереж для здійснення фінансових транзакцій або доступу до чутливої інформації. Ці мережі можуть бути вразливими для атак і можуть використовуватися для відстеження вашої активності. Якщо потрібно використовувати відкриту Wi-Fi, використовуйте VPN для шифрування вашого з'єднання. 6 Керуйте своїми соціальними профілями: Обмежте кількість особистої інформації, яку ви ділитеся у соціальних мережах. Будьте уважні до своїх налаштувань приватності та обмежте доступ до ваших профілів лише довіреним людям. 7 Уникайте збору даних: Будьте уважні при наданні особистої інформації онлайн. Уникайте реєстрації на підозрілих сайтах або мінімальна кількість інформації, необхідна для виконання необхідних завдань. Важливо розуміти, що повна анонімність в Інтернеті може бути практично недосяжною. Дотримуючись наведених вище рекомендацій, ви можете підвищити свій рівень анонімності, але необхідно пам'ятати, що деякі рівні відстеження можуть бути неможливими повністю уникнути. Завжди будьте пильні та обережні при взаємодії в онлайн-середовищі.

Вступ OpenVPN і WireGuard – це дві з найпопулярніших технологій VPN на сьогоднішній день. Вони забезпечують високий рівень безпеки та конфіденційності під час використання інтернету. У цій статті ми розглянемо, як створити свій власний VPN-сервер на Ubuntu та Debian, використовуючи OpenVPN та WireGuard. Створення сервера OpenVPN на Ubuntu та Debian Крок 1: Встановлення OpenVPN Першим кроком є встановлення OpenVPN на ваш сервер. Це можна зробити за допомогою наступної команди: sudo apt-get update sudo apt-get install openvpn Крок 2: Генерація сертифікатів та ключів Для роботи OpenVPN необхідно згенерувати сертифікати та ключі. Для цього виконайте такі команди: cd /etc/openvpn/easy-rsa/ source ./vars ./clean-all ./build-ca ./build-key-server server ./build-dh Крок 3: Налаштування сервера Тепер потрібно настроїти сервер OpenVPN. Створіть файл /etc/openvpn/server.conf з таким вмістом: port 1194 proto udp dev tun ca /etc/openvpn/easy-rsa/keys/ca.crt cert /etc/openvpn/easy-rsa/keys/server.crt key /etc/openvpn/easy-rsa/keys/server.key dh /etc/openvpn/easy-rsa/keys/dh2048.pem server 10.8.0.0 255.255.255.0 ifconfig-pool-persist ipp.txt push "redirect-gateway def1" push "dhcp-option DNS 8.8.8.8" push "dhcp-option DNS 8.8.4.4" keepalive 10 120 comp-lzo user nobody group nogroup persist-key persist-tun status openvpn-status.log verb 3 Крок 4: Налаштування маршрутизації Для того, щоб весь трафік йшов через VPN-сервер, необхідно налаштувати маршрутизацію. Для цього виконайте такі команди: echo 1 > /proc/sys/net/ipv4/ip_forward iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE Крок 5: Запуск сервера Тепер можна запустити сервер OpenVPN за допомогою наступної команди: sudo systemctl start openvpn@server Створення сервера WireGuard на Ubuntu та Debian Крок 1: Встановлення WireGuard Першим кроком є встановлення WireGuard на ваш сервер. Це можна зробити за допомогою наступної команди: sudo apt-get update sudo apt-get install wireguard Крок 2: Генерація ключів Для роботи WireGuard необхідно згенерувати ключі. Для цього виконайте таку команду: wg genkey | tee privatekey | wg pubkey > publickey Крок 3: Налаштування сервера Тепер потрібно настроїти сервер WireGuard. Створіть файл /etc/wireguard/wg0.conf з таким вмістом: [Interface] PrivateKey = <server_private_key> Address = 10.0.0.1/24 ListenPort = 51820 [Peer] PublicKey = <client_public_key> AllowedIPs = 10.0.0.2/32 Замініть <server_private_key> на приватний ключ, згенерований на кроці 2, та <client_public_key> на публічний ключ клієнта. Крок 4: Запуск сервера Тепер можна запустити сервер WireGuard за допомогою наступної команди: sudo wg-quick up wg0

Дізнатися твоє місто чи область Дудос Відкриті порти Посадити Підсумок: IP нічого майже не дає. Щоб мінімально захистити себе, просто встановіть FireWall і скажіть щоб блокував будь-які запити і тд. Про використовувати впн і так всім зрозуміло і також не трапляйтеся на айпілогери (просто переходьте по дивним посиланням тільки з впном або взагалі не переходите). Не забувайте, що всі сайти логують про вас дані і будь-якої миті ці дані можуть злити хакери. Наприклад: Ви зареєструвалися на (держ) послугах з пк і ваші дані були злиті у відкритий доступ - айпі, номер, ПІБ, снілс. Тобто, всякі роботи телеграм збережуть про вас інформацію що айпи 142.22.**.** належить Івану Іванову і тд. IP-адреса– це унікальна адреса, що ідентифікує пристрій в Інтернеті або локальній мережі. IP означає «Інтернет-протокол» Internet Protocol DDoS–атака– це спосіб заблокувати роботу сайту шляхом подання великої кількості запитів, що перевищують пропускну спроможність мережі. Порт- це числовий ідентифікатор програми або процесу, які обслуговують мережеві з'єднання на заданій адресі мережі (IP-адресі). FireWall -Міжмережевий екран — програмний елемент комп'ютерної мережі, що здійснює контроль і фільтрацію мережного трафіку, що проходить через нього, відповідно до заданих правил.

Для початку потрібно знати про видалення даних. З більшості пошукових систем можна видалити дані, але видалення з пошуку не видаляє саме посилання, де опублікована інформація про тебе, це лише видаляє посилання на сайт у пошуковій системі. Що пише Google? Що пише Google? Видалення даних із пошукових систем не гарантує тобі анонімність. Єдине що може це дати це більш тривалий термін пошуку інформації про тебе не виключайте того факту, якщо ви сильно образили знаючої людини, то вже ніяке видалення даних з пошуку тобі не допоможе. GOOGLE Перша форма - заповнюємо всі дані і також не забуваємо перекрашати всю проблему чому ми хочемо видалити дані Друга форма - форма яка призначена спеціально для росіян. Довідка Google - Дуже корисна річ, користуйтеся. Youtube - Тут вибираємо те, що нам потрібно і дані видаляються за 1 сек.

Багато хто користується TOR але як же його налаштувати і бути анонімним Перед установкою встановлюємо Налаштування VPN Orbot Налаштування самого Tor браузера Мости Тепер вас сайти не блокують Вузли Додатково

Давайте ознайомимося з основними анонімними мережами, що претендують на анонімність. Кожна з них по-своєму цікава. Насправді більшість справ найпростіше робити у TOR. Так як вона стала свого роду мейнстрімом. Однак якщо вам хочеться більшого занурення, відсутності тупих користувачів (яких у торі тепер дохера) та деякі унікальні фічі – welcome! 1. Короткий огляд та порівняння мереж. I2P - має розширений функціонал приховання трафіку в порівнянні з тор. Спочатку створювалася як закрита мережа без виходів у зовнішнє середовище. Має безліч налаштувань для захисту від таймінг атак та потужне часникове шифрування. Створивши eepsite(прихований сервіс) там, ви точно збережете інкогніто. Також має безліч внутрішніх сервісів типу пошти чи роздачі торентів. Але погано підходить для виходу у звичайну мережу. TOR - ідеально підходить для виходів у звичайний інтернет через систему exit. Також досить зручно та швидко зробити свій hidden сервіс. Який може використовуватися далеко не лише для створення власного анонімного веб-сайту. Нижче я розпишу, як використовувати тор для анонімного проксі ssh або доступу до внутрішньої мережі, минаючи будь-які NAT. Zeronet - це система, що базується на торрент подібної логіки, яка дозволяє вам хостити свій ресурс або файл без використання реальних серверів. Кожен користувач відвідуючи сайт, згодом роздає його іншим користувачам. За замовчуванням не анонімна, але можна налаштувати на роздачу через тор для приховання своєї айпі-адреси. Freenet – досить стара мережа для файлообміну. Має безліч налаштувань безпеки, але на жаль морально застаріла. Підтримує шифрування та обмеження по вузлам, які можуть до вас підключатися, якщо ви хочете створити свою закриту Friend To Friend мережу. Lokinet – відносне нове рішення. Яке в логіці копіює тор, тобто є системою нод і має свої приховані сервіси snapps, а також звичайний інтернет. Однак вони додали деякі фічі, які вирішують проблеми тор мережі. Єдиний недолік мала кількість нод на даний момент. До речі, месенджер Session розподілений заснований на їхній же системі. 2. Конкретні кроки щодо встановлення та використання. I2P Для встановлення існує два клієнти. Класичний на яві та сучасний i2pd, на сі. Рекомендую другий для використання. Найпростіша установка буде за допомогою використання i2pd-браузера - https://github.com/PurpleI2P/i2pdbrowser Завантажуємо реліз і після розпакування. Запускаємо скрипт, який скачає і налаштує firefox. Код: chmod a+x./build.sh; ./build.sh Далі заходимо до папки i2p і запускаємо демон. Код: cd i2pd; ./i2pd І можна стартувати браузер ./firefox-portable Також там лежить .desktop файл, який можна кинути на папку робочий стіл. Щоб у вас був ярлик для запуску на робочому столі. Після встановлення покаже одночасно купу цікавих російськомовних сайтів для відвідування. Побачите мене, пишіть вітання. До речі, для скачування торентів ви можете відредагувати файл i2pd, додавши в нього. Код: опцію --i2cp.enabled=true screen -Adm -S i2pd ./i2pd-amd64 --i2cp.enabled=true --datadir=. Тоді ви зможете качати/роздавати шифровані торенти в i2p за допомогою i2psnark standalone До речі найкращий торрент трекер - tracker2.postman.i2p Для Android можна завантажити i2pd з f-droid і встановити браузер Kiwi, в якому можна ставити плагіни і конкретно плагін для проксі proxyswitchyomega і в нього вписати socks5 проксі 127.0.0.1 4447 TOR Думаю, якщо ви читаєте це означає, ви вже встановили тор. До речі, не використовуйте ці дзеркала в клірнеті типу rutor.live та інші, це максимально не анонімно. Щодо установки найпростіше завантажити тор браузер з офіційного сайту або встановити в системах лінукс демон тор sudo apt install tor і у вас з'явиться socks5 проксі на порту 127.0.0.1 9050, яку ви можете вписати в будь-який браузер. Однак найкращим рішенням щодо використання тор буде системи типу Whonix. Розписувати не буду, мануалів на форумі вже багато. Саме я рекомендую KVM версію. Або ж темплейт whonix у рамках Qubes OS. Щодо цікавих моментів, в системах де у вас встановлена не браузерна версія, а демон тор ви можете створити прихований сервіс відредагувати конфіг тора по дорозі /etc/tor/torrc і прокоментувавши там рядки Код: HiddenServiceDir /var/lib/tor/hidden_service/ HiddenServicePort 22 127.0.0.1:22 Тепер зберігши файл, перезапускаємо тор sudo service tor restart 22 це порт ssh сервера. Щоб встановити його, вводимо sudo apt install openssh-server І тепер з будь-якого віддаленого комп'ютера ви можете підрубатися до вашого поточного за допомогою команди torsocks ssh login@address.onion Замість address.onion вводимо ваш згенерований сервіс, який лежить у файлі /var/lib/tor/hidden_service/hostname Таким чином, ви можете підключитися до консолі сервера. Також можна прокинути socks5 проксю за допомогою ssh або анонімно передавати файли за допомогою torsocks ssh file login@address.onion/root/ Код: torsocks ssh -f -N -D 1234 login@address.onion Тепер у вас на порту 1234 буде проксі, яка при використанні в браузері або ще де-небудь прокидає трафік тунелю тор до анонімного вашого сервісу і виходить вже з його інтернету. Це зручний та максимально анонімний спосіб мати доступ до ваших серверів або віддалених пк. Zeronet Щоб встановити лінукс робимо наступне. Зрозуміло, у нас повинен бути заздалегідь встановлений python. Так як ця мережа написана на ньому. Код: sudo apt-get update sudo apt-get install msgpack-python python-gevent wget https://github.com/HelloZeroNet/ZeroNet/archive/master.tar.gz tar xvpfz master.tar.gz cd ZeroNet-master Запускаємо командою python zeronet.укр Далі http://127.0.0.1:43110/ у вашому браузері. ZeroNet стартова сторінка http://127.0.0.1:43110/1HeLLo4uzjaLetFx6NH3PMwFP3qbRbTf3D Досить широкий функціонал для створення сайтів, проте всі вони не мають як таких можливостей написання клієнт-серверного додатка у звичному розумінні. Швидше тут усе заточено на html, css, javascript і вбудовані апі зі своєю бд. Можете вивчити ресурси, народу небагато, але дуже жваво виглядає. Є блоги, особисті сайти, форуми, мікроблоггінг та навіть розподілений відео-хостинг. Тільки пам'ятайте - заходячи на щось згодом ви роздаватимете цей ресурс/файл. Якщо не прибере вручну на панелі керування. Freenet У разі встановлення Freenet можуть виникати нюанси. Інструкції можна знайти тут - https://freenetproject.org/pages/download.html Як і I2P, Freenet використовує систему вашого комп'ютера як локальний сервер. Freenet також має індекси сервісів Freenet, які допомагають знайти сайти, що цікавлять. Зміст та послуги, доступні для користувачів, зазвичай обмежуються приватною комунікацією та обміном файлами. Freenet має «режим макимальної безпеки», що є справжнім з'єднанням F2F, яке може бути видимим тільки між довіреними бенкетами. Після налаштування http://127.0.0.1:8888/ заходимо сюди та виставляємо потрібні вам характеристики. Далі там знаходимо необхідні сайти або файли і завантажуємо їх. У цій системі все ґрунтується на файлах. Майже всі сайти статичні. Крім вбудованих сервісів типу мила, мікроблогів та пошти (можна отримувати зовнішню адресу з клірнету) Всі файли поділяються на частини та розподіляються між клієнтами у шифрованому вигляді, також відбувається дублювання. Швидкість завантаження досить повільна. Lokinet Для встановлення заходимо сюди і дивимося спосіб для вашої системи - https://git.lokinet.io/lokinet/lokinet Якщо лінкс debian-based (ubuntu,tails,whonix), то Код sudo curl -so /etc/apt/trusted.gpg.d/oxen.gpg https://deb.oxen.io/pub.gpg echo "deb https://deb.oxen.io $(lsb_release -sc) main" | sudo tee /etc/apt/sources.list.d/oxen.list sudo apt update sudo apt install lokinet Тепер для запуску лише lokinet-vpn --up Працює як впн, тільки по своїй децентралізованій мережі нод, з ланцюжком як у тор, тільки без єдиного централізованого вузла, на базі блокчейн логіки. У тор є вузький момент - це guard ноди. Щоб зробити свій шлюз exit на lokinet, робимо таке. Ставимо на сервері Код: sudo apt install docker docker-compose wget mkdir -p /usr/local/exit/ wget https://github.com/oxen-io/oxen-docker/raw/main/lokinet/docker-compose.yml -O /usr/local/exit/docker-compose.yml cd /usr/local/exit && docker-compose up -d Тепер отримуємо адресу ноди вихідної вашої. cd /usr/local/exit && docker-compose exec lokinet print-lokinet-address.sh І на вашій системі звичайної для підключення до вихідної ноди через систему локінет. lokinet-vpn --up --exit address Можете використовувати як анонімну заміну впн з виходом у потрібній вам точці. Також поки включений lokinet ви можете мати доступ до прихованих сервісів цієї мережі, наприклад http://dw68y1xhptqbhcm5s8aaaip6dbopykagig5q5u1za4c7pzxto77y.loki/wiki/ 3. Мости та дзеркала з однієї мережі в іншу. Ці сервіси не треба використовувати на стоянці. Тільки для короткого перегляду мереж, якщо у вас немає можливості встановити їх самостійно. Шлюз у мережу Zeronet - https://zero.acelewis.com/ Також можна підняти свій - https://github.com/d14na/zeronet-web-gateway Дзеркала в мережу тор - https://gist.github.com/adulau/5caf188bb1f63263bf7ac00c4a19f710 Дзеркало в мережу I2P - Були, але в даний час всі неактивні. Дзеркало у Freenet за ключом - https://www.mirrorservice.org/sites...aphy/apps/freenet/fcptools/linux/gateway.html

Навіщо це робити? Крок 1 : Використання анонімного телефонного номера Першим кроком для створення анонімного облікового запису в Telegram є використання анонімного номера телефону. І тому існує кілька способів: Використання приватного телефонного номера. Ви можете купити сім-карту з анонімним номером та використовувати її для створення нового облікового запису в Telegram. Крім того, існують програми, такі як Burner або Hushed, які надають тимчасові номери для використання як анонімний номер телефону. Використання віртуального номера телефону. Існує безліч онлайн-сервісів, таких як Google Voice, Twilio та інші, які надають віртуальні телефонні номери. Ви можете використовувати ці номери для створення нового облікового запису в Telegram. Купівля нової сім-картки у будь-якого провайдера з низькою абонентською платою. (Взагалі можна сплатити один раз і більше не платити, бо надалі номер не знадобиться) Крок 2 : Використання анонімних даних для реєстрації Після отримання анонімного номера телефону для створення анонімного облікового запису в Telegram необхідно використовувати анонімні дані для реєстрації. В якості імені користувача та імені облікового запису слід використовувати нікнейми, які не розкривають вашу особу. Крім того, необхідно використовувати надійний та унікальний пароль для захисту вашого облікового запису. Крок 3 : Використання анонімного браузера Для максимальної анонімності під час створення анонімного облікового запису в Telegram рекомендується використовувати анонімний браузер, такий як Tor Browser, i2p, DuckDuckGo або StartPage. Ці браузери забезпечують високий рівень анонімності та захисту приватності, приховуючи вашу IP-адресу та шифруючи ваш трафік. Крок 4 : Використання VPN-сервісу Для забезпечення додаткової анонімності під час створення анонімного облікового запису в Telegram рекомендується використовувати VPN-сервіс. VPN-сервіси маскують вашу IP-адресу і шифрують ваш трафік, що забезпечує додатковий захист вашої конфіденційності. Крок 5 : Не розкривайте особисту інформацію Нарешті важливо не розкривати свою особисту інформацію в Telegram та інших сервісах. Не варто використовувати своє ім'я, фото або іншу інформацію, яка може бути використана для вашої ідентифікації. Крім того, не варто довіряти незнайомим людям та не розкривати їм свою особисту інформацію. Загалом створення анонімного облікового запису в Telegram може бути досить простим, якщо будуть дотримані певні правила та використані відповідні інструменти. Для максимальної анонімності слід використовувати анонімний номер телефону, анонімний браузер, VPN-сервіс, а також не розкривати особисту інформацію в чатах та профілі. Крім того, слід пам'ятати, що Telegram може зберігати метадані, такі як IP-адреси, час відправки повідомлень та іншу інформацію, яка може бути використана для вашої ідентифікації (уряд у будь-який момент може запитати ці дані у телеграма). Тому, якщо вам потрібна максимальна анонімність, рекомендується використовувати інші анонімні месенджери, такі як Signal або Wickr, які надають більш високий рівень анонімності та захисту конфіденційності. Загалом, щоб забезпечити максимальну анонімність при створенні облікового запису в Telegram, необхідно використовувати анонімний номер телефону, анонімний браузер та VPN-сервіс, а також не розкривати особисту інформацію та бути обережним у спілкуванні у месенджері.

Чому прошивки це окремий рівень загрози Більшість думає про загрози на рівні операційної системи. Перевстановив систему – чистий. Але прошивки живуть нижче за ОС і переживають будь-яку переустановку. Заражений UEFI продовжує працювати після форматування, зміни жорсткого диска та навіть після заміни ОС. Це є принципово інший рівень персистентності. UEFI/BIOS атаки Як це працює UEFI це перше, що запускається при включенні комп'ютера - до завантажувача, до ядра ОС, до антивірусу. Код у UEFI має максимальний рівень привілеїв та повний доступ до заліза. Шкідливий код в UEFI може: впроваджувати payload в ОС при кожному завантаженні, перехоплювати дані перед тим, як ОС встигла завантажитися, відключати механізми захисту типу Secure Boot, виживати після повної переустановки системи та заміни накопичувача. Реальні випадки LoJax - перший задокументований UEFI руткіт використаний у реальних атаках. Виявлено ESET у 2018 році, приписано групі APT28. Модифікував SPI флеш пам'ять UEFI та виживав після будь-яких маніпуляцій з диском. MoonBounce - виявлено Kaspersky в 2022 році. Впроваджувався безпосередньо в CORE_DXE компонент UEFI, що робило його практично невидимим для стандартних інструментів. CosmicStrand - ще більш просунутий, виявлений у 2022 році. Був присутнім на материнських платах Gigabyte та ASUS, імовірно, впроваджувався ще на етапі виробництва або продажу. Вектори зараження Фізичний доступ до машини – найпряміший спосіб. Через вразливості в драйверах деякі драйвери мають доступ до SPI флешу де зберігається UEFI. Через supply chain – зараження на етапі виробництва чи логістики, задокументовані випадки є. Через оновлення прошивки з підроблених джерел. Як захиститися Secure Boot з кастомними ключами – не з дефолтними ключами Microsoft, а зі своїми. Дефолтні ключі широко відомі та скомпрометовані у ряді сценаріїв. Intel Boot Guard та AMD Platform Secure Boot – апаратна верифікація прошивки при старті. Якщо виробник увімкнув і правильно налаштував, модифікація UEFI стає вкрай складною. Регулярна перевірка прошивки. Інструмент chipsec – відкритий проект Intel для аудиту безпеки платформи. Перевіряє параметри захисту SPI флешу, конфігурацію Secure Boot, цілісність критичних компонентів. UEFI Capsule Updates тільки з офіційних джерел виробника, що верифіковані через офіційний сайт. Фізичний захист - якщо до машини був фізичний доступ сторонніх, довіряти їй не можна без повної перевірки. Thunderbolt та DMA атаки суміжна тема. Thunderbolt дає пристроям прямий доступ до пам'яті (DMA - Direct Memory Access) в обхід процесора та ОС. Під'єднаний пристрій може читати та писати будь-яку область пам'яті. Thunderspy – атака задокументована у 2020 році. При фізичному доступі на п'ять хвилин дозволяє обійти будь-який захист, включаючи BitLocker та екран блокування через перепрограмування контролера Thunderbolt. Захист: відключити Thunderbolt у UEFI, якщо не використовується. Увімкнути Kernel DMA Protection у Windows або аналог на Linux. Thunderbolt із режимом Security Level встановленим у User Authorization — пристрої потребують явного підтвердження. Апаратні кейлоггери Що це і чому небезпечно Апаратний кейлоггер це фізичний пристрій, який перехоплює натискання клавіш незалежно від ОС. Жодний антивірус його не бачить. Жодний форензик аналіз системи його не виявить. Він працює лише на рівні заліза. Види USB кейлоггери – вставляються між клавіатурою та комп'ютером. Виглядають як невеликий адаптер, що часто маскуються під USB хаб або зарядний пристрій. Накопичують дані у внутрішній пам'яті, потім фізично витягуються. Деякі моделі передають дані WiFi в реальному часі. PS/2 кейлогери - для старих роз'ємів PS/2. Рідко зустрічаються зараз, але на промисловому устаткуванні зі старою периферією актуальні. Firmware кейлоггери – вбудовуються у прошивку самої клавіатури. Зовнішньо клавіатура виглядає штатно, ніяких фізичних ознак. Дані можуть зберігатися у флеш пам'яті клавіатури або передаватися бездротовим каналом. Акустичні кейлоггери - не пристрої, а метод. Різні клавіші видають трохи різні звуки при натисканні. Дослідження показали можливість відновлення тексту звуку клавіатури з точністю до 95% через мікрофон у приміщенні або через мікрофон ноутбука. Електромагнітні кейлоггери – перехоплення електромагнітного випромінювання від провідної клавіатури. Дослідники з EPFL у 2009 році показали, що PS/2 клавіатури можна перехоплювати на відстані до 20 метрів через стіни. Як виявити фізичний огляд. Регулярно перевіряти з'єднання клавіатури з комп'ютером. USB кейлоггер це зайвий елемент у ланцюжку - має бути видно при уважному огляді. Якщо клавіатура раніше підключалася безпосередньо, а тепер є проміжний адаптер — питання. Довжина кабелю та вага. USB кейлоггер додає кілька сантиметрів до довжини підключення та має вагу. На знайомому устаткуванні зміни помітні. Аналіз USB-пристроїв. У Windows через Device Manager або USBDeview — дивитися список підключених пристроїв USB. Кейлоггер з'являється як окремий пристрій. На Linux через lsusb - будь-який невідомий пристрій у ланцюжку підозрілий. Поведінкові ознаки. Невелика затримка між натисканням клавіші та появою символу може вказувати на перехоплення, хоча це ненадійна ознака. Перевірка прошивки клавіатури. Складніше, але можливо для технічно підготовлених. Порівняння хеш прошивки з офіційним значенням від виробника. Захист Фізичний контроль доступу – основне. Якщо до робочого місця був доступ сторонніх, перевіряти обладнання перед роботою. Бездротові клавіатури – окремий ризик. Багато хто використовують слабке шифрування або не використовують його взагалі. Дослідження MouseJack показало вразливості у більшості бездротових клавіатур, що не використовують Bluetooth. Краще провідна клавіатура з регулярним візуальним оглядом. Екранна клавіатура для критично важливого введення – паролів, ключових фраз. Апаратний кейлоггер її не перехопить, але це захищає лише від конкретного вектора. Загальний висновок Ці вектори об'єднує одне — вони працюють нижче рівня, на якому більшість людей думають про безпеку. Переустановка ОС, зміна паролів, шифрування диска не допомагають, якщо загроза на рівні прошивки або фізичного пристрою. Захист від цих векторів починається з фізичного контролю доступу до обладнання та закінчується апаратною верифікацією на рівні UEFI.

Що таке Subgraph OS Subgraph OS — дистрибутив Linux, заснований на Debian, розроблений канадською компанією Subgraph. Головна ідея – кожна програма запускається в ізольованому sandbox-контейнері з обмеженим доступом до системи та мережі. Весь трафік примусово маршрутизується через Tor. Архітектура ізоляції Ключовий компонент - Oz, власна система ізоляції додатків. Кожна програма отримує власний простір імен (namespace) через механізми Linux kernel: окрему файлову систему, окремі мережеві інтерфейси, обмежений доступ до системних викликів через seccomp-bpf фільтри. Практичний ефект такий: якщо браузер скомпрометований через вразливість — атакуючий виявляється всередині ізольованого контейнера браузера без доступу до файлів інших програм, до домашньої директорії користувача та мережі безпосередньо. Ядро з посиленим захистом Subgraph використовує патчене ядро Linux з кількома додатковими механізмами захисту. grsecurity та PaX патчі (у більш старих версіях) додають рандомізацію адресного простору, захист від переповнення стека та обмеження на виконання коду. Це закриває цілий клас експлойтів, які працюють проти стандартного ядра Linux. Tor інтеграція На відміну від Tails де Tor реалізований через прозорий проксі на рівні мережі - Subgraph інтегрує Tor глибше. Кожен контейнер програми отримує свій Tor circuit що означає, що різні програми не ділять один і той же circuit і не можуть корелюватися через нього. Meaproxy Цікавий компонент, який є в Subgraph і якого немає в більшості аналогів - Metaproxy. Це прозорий проксі, який перехоплює вихідні з'єднання програм і автоматично направляє їх через Tor без необхідності налаштовувати кожну програму окремо. Додаток, який не вміє працювати через SOCKS-проксі, все одно отримує свій трафік загорнутим у Tor автоматично. CoyIM - вбудований месенджер Subgraph йде в комплекті з CoyIM - месенджером, написаним з нуля на Go спеціально з фокусом на безпеку. Підтримує XMPP з OTR-шифруванням, працює лише через Tor, написаний без використання небезпечних компонентів типу електронної пошти чи браузерного двигуна. Де Subgraph виграє у Tails Ізоляція на рівні додатків - Tails не ізолює програми один від одного. Якщо один процес скомпрометований в Tails, він потенційно має доступ до всієї сесії користувача. У Subgraph компрометація однієї програми обмежена його контейнером. Персистентність - Subgraph можна встановити як постійну систему зі зберіганням даних між сесіями, що Tails принципово не підтримує за своєю концепцією. Зручність повсякденного використання як повноцінно встановлена система Subgraph зручніше для роботи на постійній основі ніж завантаження з USB щоразу. Де Subgraph програє Tails Амнезія - Subgraph як постійна система залишає сліди на диску. Якщо потрібна гарантована амнезія після сесії, Tails залишається найкращим вибором. Статус розробки — це чесне та важливе застереження. Subgraph OS тривалий час перебував у статусі alpha та розробка була відносно повільною порівняно з Tails та Qubes. Перед використанням варто перевірити актуальний статус проекту та коли було останнє оновлення. Аудити безпеки - Tails пройшов значно більше незалежних аудитів за свою історію. Subgraph менш перевірений сторонніми дослідниками. Спільнота – значно менше користувачів та документації порівняно з Tails. Для кого Subgraph підходить Для людини якій потрібна постійна встановлена система з ізоляцією додатків та примусовим Tor, і яка готова миритися з менш зрілим проектом заради архітектурних переваг ізоляції. Хороша альтернатива Qubes для слабкішого заліза — Qubes потребує значних ресурсів через віртуалізацію, Subgraph працює на звичайному ноутбуці. Зв'язування з іншими інструментами Subgraph добре поєднується з фізичними ключами безпеки (YubiKey/Nitrokey) для автентифікації, VeraCrypt для зашифрованих контейнерів із чутливими даними та Feather Wallet або Monerujo через емулятор для роботи з Monero.

Ми звикли мислити категоріями мережі - IP, метадані, fingerprinting браузера, кореляція трафіку. Але є цілий клас атак, що взагалі не стосується мережі як такої, а працює через фізичні побічні ефекти пристрою. Їх прийнято називати side-channel атаками, і в контексті деанонімізації вони набагато цікавіші, ніж здається на перший погляд. Візьмемо для початку аналіз електроспоживання. Ідея не нова, вона родом із криптоаналізу — атаки типу differential power analysis застосовувалися ще проти смарт-карток для вилучення криптографічних ключів через коливання енергоспоживання чіпа під час обчислень. Але та ж логіка масштабується і на рівень цілого пристрою: характер енергоспоживання ноутбука або телефону змінюється в залежності від того, які процеси виконуються, які програми активні, який тип навантаження йде на CPU і GPU. Теоретично за профілем енергоспоживання можна з достатньою точністю реконструювати патерн активності користувача, навіть не маючи доступу до самих даних. Другий вектор, який мене особисто зачепив найбільше, це акустичний аналіз звуку клавіатури. Існують дослідження, що показують, що кожна клавіша має злегка унікальний акустичний підпис через положення щодо мікрофона і механіки самого перемикача. З навчанням моделі на достатньому обсязі даних можна відновлювати текст, що набирається, просто по звуку набору, записаному через мікрофон ноутбука, телефону, що лежить поряд, або навіть через дзвінок в Zoom. Це повністю обходить будь-яке шифрування трафіку, тому що атака відбувається до того, як дані взагалі потрапляють до мережі. Третій момент – це аналіз вібрації та даних акселерометра. Сучасні смартфони набиті сенсорами, які формально не вимагають дозволів користувача так само, як камера або мікрофон. Але акселерометр здатний фіксувати мікровібрації від натискань на екран або фізичну клавіатуру, що лежить на тій самій поверхні. Відомі дослідження, де за даними гіроскопа та акселерометра відновлювали PIN-коди та навіть окремі слова при наборі тексту на сусідньому пристрої. Що поєднує всі ці вектори і чому я вважаю їх недооціненими в контексті анонімності конкретно. Людина може побудувати ідеальну мережеву модель захисту - Tor, компартменталізація, окремі віртуальні машини, нічого зайвого в трафіку. Але якщо фізичний пристрій, на якому все це відбувається, знаходиться в середовищі зі сторонніми сенсорами — чи то скомпрометований додаток з доступом до акселерометра, чи розумна колонка в тій же кімнаті, чи просто загальний ноутбук на столі з іншим пристроєм — модель загроз повинна розширюватися за межі мережі. Мені здається, ця тема погано обговорюється саме тому, що вона вимагає фізичного доступу або близькості, на відміну від віддалених мережевих атак, і тому багато хто вважає її теоретичною екзотикою. Але з урахуванням того, скільки у нас навколо пристроїв із мікрофонами та сенсорами руху, недооцінювати цей клас атак мені здається помилкою.

Принципова різниця у призначенні Tor проектувався як інструмент анонімного виходу у звичайний відкритий інтернет. Він має exit-вузли, через які трафік залишає анонімну мережу і потрапляє в клірнет — це його основний сценарій, і саме під нього оптимізована вся інфраструктура. I2P спочатку спроектований як замкнуте середовище. Це не проксі в інтернет, а повноцінна окрема мережа зі своїми сервісами всередині. Базовий сценарій — анонімне спілкування між двома учасниками мережі I2P, а не анонімний візит на звичайний сайт. Вихід у клірнет через outproxy технічно є, але це побічна функція, що погано масштабується і не те, під що ця мережа заточена. Якщо потрібен анонімний вихід у звичайний інтернет – для цього Tor підходить краще. Якщо потрібна анонімна інфраструктура для спілкування, хостингу, файлообміну всередині закритого контуру, тут I2P виграє. Це Ключова архітектурна відмінність, і саме вона дає I2P реальну перевагу у стійкості до кореляційного аналізу. Tor використовує цибульну маршрутизацію (onion routing) з фіксованим ланцюжком із трьох вузлів. Цей ланцюжок симетричний - один і той же маршрут використовується і для відправки, і для отримання даних. Це зручно, але створює вразливість: якщо спостерігач контролює вхідний та вихідний вузол одночасно, у нього з'являється шанс на кореляцію трафіку таймінгом. I2P використовує часникову маршрутизацію (garlic routing) із принципово іншою моделлю тунелів. Тут використовуються роздільні тунелі: вихідний тунель (outbound tunnel), яким ви відправляєте дані, і тунель (inbound tunnel), яким ви їх отримуєте — це два повністю незалежних маршруту через різні вузли. Тобто навіть якщо спостерігач скомпрометує вузол на шляху вихідного трафіку, це не дає йому автоматичного доступу до маршруту, що входить того ж користувача. Додатково "часник" дозволяє упаковувати кілька зашифрованих повідомлень в одну капсулу, що ускладнює аналіз обсягу та таймінгу трафіку порівняно з прямолінійною моделлю Tor. Я вважаю, що саме ця асиметрія тунелів — найсильніше архітектурне рішення I2P, і вона недооцінена саме тому, що лежить на поверхні при поверхневому знайомстві. Децентралізація через NetDb Tor управляється через directory authorities — відносно невелику кількість довірених серверів, які містять актуальний список вузлів мережі. Це робоча модель, але вона створює точку, яку теоретично можна чинити тиск чи яку можна заблокувати. I2P використовує NetDb - розподілену хеш-таблицю (DHT), концептуально схожу на механізм, що використовується в торрент-мережах. Інформація про доступні вузли розмивається по мережі, а не зберігається централізовано. Практичний ефект — вища стійкість до точкового блокування інфраструктури на рівні держави чи провайдера, тому що немає єдиної точки відмови, яку можна відрізати. Зворотний бік цього рішення — відсутність централізованого списку вузлів робить початкове підключення до мережі (bootstrap) повільнішим і менш передбачуваним, особливо у першому запуску клієнта. Розмір мережі - головний практичний недолік Тут я буду чесний і не продаватиму I2P як ідеальне рішення. Мережа I2P історично і зараз значно менша за Tor за кількістю активних вузлів і користувачів. Це прямо впливає на анонімність через розмір anonymity set – чим менше людей у мережі, тим теоретично простіше звузити коло підозрюваних за цілеспрямованої деанонімізації. Це не критично для більшості побутових сценаріїв, але це об'єктивний фактор, який потрібно враховувати в моделі загроз, якщо йдеться про серйозного супротивника з ресурсами. Сервіси всередині мережі eepsites — аналог .onion-сайтів у Tor, тільки з доменом .i2p, доступні виключно всередині мережі I2PSnark — вбудований BitTorrent-клієнт для анонімного файлообміну прямо всередині I2P, без необхідності налаштовувати окремий торрент-клієнт через проксі Susimail – вбудована анонімна поштова система підтримка анонімних IRC-серверів у мережі Моя практична рекомендація Якщо завдання — анонімно вийти у звичайний відкритий інтернет, читати новини, заходити на клірнет-сайти без стеження — беріть Tor, він краще протестований і стабільніший саме під цей сценарій. Якщо завдання побудувати стійку до блокувань інфраструктуру всередині закритого контуру: анонімний файлообмін, хостинг сервісу, який не повинен бути прив'язаний до відкритого інтернету, спілкування без прив'язки до клірнету — тут I2P архітектурно сильніше саме за рахунок окремих тунелів і децентралізованого NetDb.

Снапшоти - це не просто "точка відновлення" Снапшот віртуальної машини - це повний зліпок стану оперативної пам'яті, диска та іноді навіть стану процесора на конкретний момент часу. Проблема в тому, що цей зліпок фізично зберігається на диску хост-системи у вигляді файлів (наприклад. Vmem для VMware або аналогічних файлів для VirtualBox), і в цих файлах буквально лежить дамп RAM гостьової системи на момент створення снапшота. Якщо ви робили снапшот під час активної сесії – там може бути все: розшифровані дані, ключі з оперативної пам'яті, відкриті сесії у браузері, навіть паролі, якщо вони на той момент перебували у пам'яті у відкритому вигляді. Найнеприємніше навіть якщо ви потім відкотили снапшот або видалили VM повністю, сам файл снапшота на хості не обов'язково видаляється безпечно. Стандартне видалення файлу просто видаляє запис із таблиці файлової системи, а дані фізично залишаються на диску до перезапису. Тобто форензик-фахівець із доступом до хост-машин може відновити ці файли стандартними інструментами відновлення даних. Гіпервізор веде Власні логи - VMware Workstation і VirtualBox пишуть файли конфігурації, логи запуску/зупинки VM, іноді навіть історію змін налаштувань мережі. Це метадані про факт існування та використання віртуальної машини, і ці логи лежать на хості, а не всередині гостьової системи — тобто шифрування диска всередині VM їх взагалі не захищає. Далі файл підкачки (swap/pagefile) хост-системи. Гіпервізор активно використовує оперативну пам'ять, і якщо у хоста недостатньо RAM, частина даних гостьової VM може вивантажуватись операційною системою хоста у файл підкачки на диску. Це означає, що фрагменти вмісту гостьової пам'яті теоретично можуть опинитися в page file хоста, повністю за межами вашого "захищеного" віртуального середовища. Схожа історія з файлом глибокого сну хост-системи (hiberfil.sys в Windows) — якщо хост йшов у сон або глибокий сну, поки VM була запущена, в цьому файлі може застрягти знімок всієї оперативної пам'яті, включаючи пам'ять, що відноситься до гостьової системи. Метадані файлової системи хоста Навіть без аналізу вмісту, самі тимчасові мітки створення, зміни та доступу до файлів VM (vmdk, vdi, vmem, конфігураційні файли) дають форензику тимчасову лінію активності - коли VM створювалася, коли останній раз використовувалася, скільки разів вносилися зміни. Це не розкриває змісту, але відновлює патерн поведінки, що часто буває достатньо в поєднанні з іншими даними. Чому Whonix і подібні рішення знижують, але не прибирають цю проблему повністю . Але вона вирішує проблему форензики лише на рівні хоста, описану вище. Якщо зловмисник чи слідство отримує фізичний чи віддалений доступ до самого хоста, а не до гостьової VM, вся ізоляція всередині гіпервізора не має значення – артефакти лежать зовні периметра, який ця ізоляція захищає. Практичні висновки, які я вважаю важливими Повнодискове шифрування хост-системи (а не тільки гостьовий VM) - це не опція, а необхідність, якщо модель загрози має фізичний доступ до пристрою. Без цього всі перелічені файли – снапшоти, page file, hiberfil.sys – лежать у відкритому вигляді на хості незалежно від того, як захищена сама VM. Відключення файлу глибокого сну на хості та налаштування достатнього об'єму RAM, щоб уникнути активного використання swap, знижує ймовірність витоку фрагментів пам'яті гостьової системи на диск хоста. Безпечне видалення снапшотів (з перезаписом, а не просто delete) є обов'язковим, якщо снапшот містив чутливу сесію — інакше відновлення стандартними форензик-інструментами тривіальне.

Принцип простий і старий - це клітина Фарадея в портативному виконанні. Корпус сумки зроблений із провідного матеріалу (зазвичай багатошарова металізована тканина), який перерозподіляє електромагнітне поле по своїй поверхні, не даючи сигналу пройти всередину або вийти назовні. При коректному виконанні блокує весь спектр, який цікавить нас у контексті OPSEC: стільниковий зв'язок (2G/3G/4G/5G), Wi-Fi, Bluetooth, GPS, NFC. Ключове слово тут - "при коректному виконанні". Ринок завалений дешевими сумками, які послаблюють сигнал, але не блокують його повністю, особливо по краях, де шви та застібки порушують безперервність екрануючого шару. Якщо ви реально розглядаєте це як частину моделі загроз, а не як гарний аксесуар, має сенс перевіряти конкретну сумку вимірюванням сигналу (навіть банально покласти телефон усередину і спробувати зателефонувати з другого пристрою). Сценарій 1 - захист від віддаленого трекінгу в реальному часі Це найочевидніший і найменш спірний кейс. Якщо у вашій моделі загроз є противник, здатний відслідковувати геолокацію пристрою віддалено - через скомпрометований додаток, через стільникового оператора, через шкідливе програмне забезпечення з доступом до GPS - фізичне екранування це єдиний метод, який гарантовано працює незалежно від того, наскільки глибоко скомпрометований сам пристрій програмно. Софтверний захист (відключення GPS у налаштуваннях, режим польоту) залежить від довіри до операційної системи. Faraday-сумка не залежить ні від чогось програмного — вона працює на рівні фізики, а не довіри до коду. Тут екранування реально необхідне у вузькому, але конкретному випадку: коли є обґрунтовані причини вважати, що пристрій вже скомпрометований (або може бути скомпрометований) на рівні, який ви не можете перевірити та не можете довіряти програмним засобам відключення зв'язку. Сценарій 2 — захист від geofencing warrants та масових запитів локації Це більш тонкий та юридично цікавий випадок. Geofencing warrant — це запит правоохоронців до оператора або Google/Apple про видачу даних про всі пристрої, що знаходилися в певній геозоні за період часу, без прив'язки до конкретної людини. Якщо пристрій фізично не передає сигнал у момент знаходження в зоні інтересу, він технічно не може потрапити в такий запит, тому що даних про його присутність просто не виникає на стороні оператора чи агрегатора локації. Важливий нюанс – це захищає лише від майбутнього збору даних. Якщо пристрій вже передавав сигнал до того, як ви його екранували, ці дані вже зафіксовані інфраструктурою і екранування заднім числом їх не видаляє. Сценарій 3 — захист від примусового розблокування на кордоні або під час затримання Тут тема стає по-справжньому цікавою юридично. У багатьох сучасних пристроїв є функція, яка стирає або перешифровує дані, якщо пристрій довго не підключався до мережі, або вимагає додаткової аутентифікації після тривалого офлайну (наприклад, після перезавантаження телефон вимагає пароль, а не біометрію, до першого розблокування). Якщо пристрій фізично ізольований від мережі, на ньому може спрацювати механізм, що вимагає повний пароль замість відбитка/особи — а це важливо, тому що юридично в ряді юрисдикцій пароль захищений правом не свідчити проти себе сильніше, ніж біометрія, яку можуть змусити фізично застосувати без вашої згоди. Тобто Faraday-сумка в цьому контексті не блокує сигнал заради самого блокування - вона використовується як тригер для переведення пристрою в більш захищений режим автентифікації перед потенційною взаємодією з силовими структурами. Де це надмірно Якщо у вашій моделі погроз немає противника, здатного на віддалений доступ до пристрою, і ви не перетинаєте кордону з пристроєм, що містить щось по-справжньому чутливе, і ви не берете участі в активності, яка може потрапити під geofencing-запит - постійне використання Faraday-сумки в побуті це чистий Це незручно (ви втрачаєте повідомлення, дзвінки, навігацію), створює хибне почуття тотального захисту і відволікає від реальних, вірогідніших векторів витоку — тих самих метаданих у файлах, fingerprinting браузера, банальної OPSEC-дисципліни у поведінці. Також варто розуміти обмеження методу - екранування захищає від віддаленого радіосигналу, але не захищає від форензики, якщо пристрій фізично вилучено та відкрито офлайн. Це інструмент проти мережного вектора, а не універсальний захист. Практичний висновок Я розглядаю Faraday-сумку як інструмент для конкретних, заздалегідь продуманих моментів — перетин кордону з чутливим пристроєм, участь у заході з високим ризиком геозонного запиту, транспортування пристрою, на якому є підстави підозрювати компрометацію. Чи не як постійний аксесуар на кожен день.

Чому базовий Tor детектується і блокується Перше, що потрібно зрозуміти - Tor ніколи не був спроектований як інструмент, що приховує факт свого використання. Його завдання – анонімізувати зміст та маршрут трафіку, а не маскувати протокол. Проблема в тому, що стандартний Tor-хендшейк має впізнавану сигнатуру на рівні протоколу — конкретну структуру TLS-сертифікатів, патерни розмірів пакетів, специфічні байтові послідовності при установці з'єднання з вузлом мережі. Системи Deep Packet Inspection (DPI), які масово розгорнуті в країнах з державним контролем трафіку, не потребують розшифрування вмісту, щоб заблокувати Tor – їм достатньо розпізнати саму сигнатуру протоколу на льоту та скинути з'єднання. Додатково списки IP-адрес публічних Tor-вузлів відкриті (це частина архітектури - directory authorities публікують consensus з адресами relay-вузлів), тому блокування IP теж тривіальна для державного провайдера. Виходить подвійна проблема: блокування за сигнатурою протоколу та блокування за відомими адресами вхідних вузлів. Bridges – вирішення проблеми відомих адрес Bridge-вузли – це вхідні точки в мережу Tor, які не публікуються у відкритому consensus-каталозі. Замість того, щоб тягнути список вхідних вузлів з публічного джерела, який так само доступний і цензору, користувач отримує адреси мостів через альтернативні закриті канали — запит по email з певного поштового домену, через сайт із captcha-захистом від масового скрейпінгу, або через закриті канали розповсюдження всередині довірених спільнот. Це вирішує проблему блокування IP, але не вирішує проблему сигнатури протоколу — DPI все ще може розпізнати сам факт використання Tor-протоколу, навіть якщо не знає заздалегідь, що конкретний IP відноситься до Tor-мережі, просто аналізуючи характер трафіку в реальному часі. Pluggable transports — маскування самого протоколу Ось тут починається по-справжньому цікава частина, тому що різні pluggable transports вирішують завдання маскування абсолютно різними методами, і я вважаю важливим розуміти різницю, а не сприймати їх як взаємозамінні опції у списку. obfs4— це обфускація лише на рівні випадкового шуму. Протокол додає криптографічний шар поверх Tor-трафіку, роблячи його статистично схожим на випадкові байти без відомої структури. Для DPI-системи, яка шукає конкретні сигнатури протоколів, такий трафік не матчиться під один відомий шаблон — він просто виглядає як незрозумілий шум. Слабке місце такого підходу — сам факт наявності трафіку, який виглядає як чистий шум без видимої структури, в деяких конфігураціях DPI теж може вважатися підозрілим патерном, тому що легітимний звичайний трафік (HTTP, відео, звичайний TLS) має впізнавану статистичну структуру, а чистий шум на неї не походить. meek - принципово інший підхід, заснований на маскування через domain fronting. Ідея в тому, щоб сховати Tor-трафік усередині звичайного HTTPS-з'єднання до великого хмарного провайдера (історично використовувалися Google App Engine, Amazon CloudFront, Microsoft Azure). З погляду цензора зовні видно лише TLS-з'єднання до домену великої хмарної платформи — а такі домени цензор фізично не може заблокувати повністю, тому що на тій же інфраструктурі висять тисячі легітимних сервісів, і блокування означало б відрізати доступ до величезного шматка звичайного інтернету. Реальний Tor-трафік всередині тунелюється через цю хмарну інфраструктуру до цього bridge-вузла. Слабкість цього методу – великі хмарні провайдери періодично закривають domain fronting як фічу на рівні інфраструктури саме тому, що її одночасно використовують і для обходу цензури, і для маскування шкідливого трафіку, і компаніям не хочеться бути посередині цього конфлікту. Snowflake — на мій погляд, найвитонченіший із сучасних підходів. Замість постійної інфраструктури на стороні хмарних провайдерів, Snowflake використовує тимчасові WebRTC-з'єднання через браузери звичайних добровольців по всьому світу, які встановили розширення або просто тримають відкриту вкладку з проксі-кодом. Трафік користувача в країні, що цензурується, встановлює WebRTC-з'єднання до випадкового добровольчого "сноуфлейку", який і прокидає його далі в мережу Tor. З погляду DPI це виглядає як звичайний WebRTC-трафік - той же протокол, що використовується у відеодзвінках, і блокувати його цілком означало б заблокувати значну частину легітимних відеосервісів. Додаткова перевага – немає постійної інфраструктури, яку можна методично заблокувати, бо пул добровольчих вузлів постійно змінюється. Чому важливо комбінувати, а не вибирати один інструмент назавжди Практичний висновок, який мені здається недооціненим — цензурні системи теж розвиваються та адаптуються, особливо в країнах із серйозними ресурсами на це завдання (Китай із його Great Firewall — найпросунутіший приклад). Те, що працювало рік тому, може бути детектовано сьогодні через оновлені моделі машинного навчання, що аналізують тонкі статистичні аномалії трафіку, а не лише явні сигнатури. Тому в реальних умовах активної цензури розумна стратегія мати під рукою кілька pluggable transports одночасно і перемикатися за перших ознак деградації з'єднання, а не закладатися на єдиний метод як постійне рішення.

Повний стек анонімності 2026: месенджери, VPN, Tor, ОС та duress-інструменти МесенджериSimpleX Chat — без ідентифікаторів взагалі, без телефону та облікового запису, контакти через одноразові посилання Session – без телефону, маршрутизація через onion-мережу Oxen Briar - P2P через Tor, Wi-Fi або Bluetooth, працює навіть без інтернету Cwtch - побудований поверх Tor, заточений на стійкість до аналізу метаданих Threema - швейцарська юрисдикція, без обов'язкового номера телефону Wire - без прив'язки до номера, також Швейцарія Olvid — Франція, без центрального каталогу користувачів Tox - повністю P2P, без серверів Jami – проект GNU, децентралізований, без сервера Status - побудований на Ethereum, децентралізований, без телефону Element та інші клієнти Matrix (FluffyChat, SchildiChat, Cinny, Nheko) - відкритий протокол, можна вибрати клієнт під завдання БраузериTor Browser – основний інструмент для реальної анонімності у мережі Mullvad Browser - спільна розробка Tor Project і Mullvad, антифінгерпринтінг без мережі Tor LibreWolf - форк Firefox без телеметрії Ungoogled Chromium — Chromium без сервісів та стеження Google Privacy Browser – легка альтернатива для повсякденного використання VPNMullvad - оплата без прив'язки до особи, мінімум даних IVPN — схожа модель, можна зареєструватись взагалі без email ProtonVPN – незалежний аудит, Швейцарія OVPN – шведський провайдер, сервери працюють лише в оперативній пам'яті AirVPN - італійський провайдер, традиційно популярний у технічної аудиторії Tor та обхід цензуриTor - сама анонімна мережа Orbot – маршрутизація трафіку Android через Tor obfs4 / meek / Snowflake - обхід блокувань Tor у країнах з активною цензурою I2P - окрема анонімна мережа, заточена під сервіси в собі Lokinet - окрема onion-мережа від команди Session, можна використовувати незалежно від месенджера Операційні системиTails - live-система з флешки, не залишає слідів на хості Whonix - Gateway + Workstation, ізоляція реального IP Qubes OS - компартменталізація через віртуалізацію GrapheneOS - деgoogleфікований Android з посиленим шифруванням CalyxOS - схожа модель, трохи м'якше за налаштування /e/OS — ще один деgoogleфікований форк для менш технічної аудиторії Шифрування, паролі, двофакторкаVeraCrypt - шифровані контейнери та диски, є приховані томи Cryptomator — шифрування папок перед завантаженням у звичайну хмару LUKS – повнодискове шифрування на рівні ядра Linux KeePassXC - менеджер паролів з локальною базою Aegis Authenticator - відкритий генератор 2FA-кодів із зашифрованим локальним сховищем Bitwarden / Vaultwarden - менеджер паролів, можна підняти повністю на своїй інфраструктурі Метадані та зйомкаScrambled Exif - стирає метадані фото перед відправкою одним натисканням ObscuraCam – автоматично замазує обличчя на фото та відео перед збереженням БекапиSeedvault - вбудований шифрований бекап у GrapheneOS і CalyxOS Borg/restic - консольні інструменти дедуплікованого зашифрованого бекапу ПоштаProtonMail — Швейцарія, шифрування за промовчанням Tutanota — Німеччина, схожа модель K-9 Mail / Thunderbird для Android - з підтримкою PGP через OpenKeychain Встановлення додатків без прив'язки до особистостіF-Droid — каталог відкритого програмного забезпечення без облікового запису Aurora Store – анонімний доступ до каталогу Google Play Obtainium — автооновлення прямо з GitHub-релізів, минаючи стор. DNS та мережеві утилітиNextDNS — блокування трекерів, що настроюється, на рівні DNS RethinkDNS - DNS і firewall в одному додатку InviZible Pro - Tor, I2P і DNSCrypt в одному пакеті NetGuard — контроль доступу додатків до мережі ПошуковикиDuckDuckGo – без персоналізації за умовчанням SearXNG - відкритий метапошуковик, можна хостити самому Brave Search – незалежний індекс КриптовалютиMonero – обфускація сум та адрес за промовчанням Cake Wallet / Feather - гаманці для Monero Wasabi Wallet - CoinJoin для Bitcoin Sparrow Wallet – акцент на PayJoin та повний контроль UTXO Окреме важливе застереження: якщо десь бачите в старих списках Samourai Wallet – забудьте про нього, сервіс закритий після арешту засновників, а домен зараз у руках шахраїв і роздає фішинг. Duress та інструменти для параноїків Це окремий, по-справжньому важливий пласт — що робити, якщо пристрій намагаються розблокувати проти вашої волі: на кордоні, при затриманні, пограбуванні, домашньому насильстві. Duress PIN/Password в GrapheneOS — вбудована в саму систему функція, а не сторонній софт, і саме тому надійніше за будь-яку програму поверх звичайного Android. Ви задаєте окремий код, і якщо ввести його в будь-якому місці, де система просить розблокування, миттєво і без можливості перервати процес знищуються апаратні ключі шифрування (включаючи ключі диска), видаляються eSIM, пристрій вимикається. Після цього можна зробити звичайне заводське скидання і користуватися телефоном заново - він не "цегла", просто старі дані вже принципово недоступні. Робочий прийом - зробити duress-код максимально простим (1234, 0000) або взагалі написати його на папірці в чохлі: розрахунок на те, що випадкова людина або недосвідчений атакуючий введе саме його першим. Додатково GrapheneOS має автоматичне перезавантаження пристрою після заданого періоду без розблокування (за замовчуванням 18 годин) – після нього всі дані знову повністю зашифровані і недоступні без PIN. Це пряма протидія саме тій форензиці через холодну пам'ять пристрою, яку розбирали раніше. Ripple — відкритий додаток типу "панічна кнопка", який робить щось саме, а розсилає сигнал іншим додаткам-респондерам: заблокуватися, замаскуватися, стерти приватні дані. Сценарій - у вас є невелике вікно часу до того, як пристрій потрапить не в ті руки, і одне натискання запускає ланцюгову реакцію у всіх потрібних програмах відразу. Amarok - ховає файли та програми: плаваюча panic-кнопка моментально приховує все, є перемикач прямо в шторці швидких налаштувань, можна замаскувати саму програму під звичайний календар. Чесне застереження від розробників це інструмент саме для приховування, а не шифрування, використовувати його як єдиний захист не варто. Valv – зашифрована галерея з підтримкою кількох окремих сховищ під різні паролі. Класична plausible deniability: один пароль відкриває безневинний набір файлів, другий реально чутливий. F-Droid сам по собі підтримує панічні тригери - може приховати себе або по команді видалити будь-який обраний додаток разом з його даними, що зручно, якщо в панічний набір входить відразу весь стек приватних інструментів.

Чому TOTP-коди не захищають від фішингу Коли ви використовуєте генератор одноразових кодів - Aegis або будь-який інший - ця схема має фундаментальну вразливість: код можна перехопити в реальному часі. Атакуючий робить точну копію сторінки входу, ви вводите логін, пароль і шестизначний код - атакуючий моментально використовує всі три на цьому сайті, поки код ще діє. Називається це real-time phishing, і проти нього TOTP не захищає ніяк, тому що код валідний 30 секунд, а автоматизована атака працює за частки секунди. Фізичний ключ безпеки працює принципово інакше. Протокол FIDO2/WebAuthn криптографічно прив'язує аутентифікацію до конкретного домену під час реєстрації ключа. Коли ви намагаєтеся увійти, ключ перевіряє домен сторінки, на якій відбувається вхід - і якщо домен не збігається з тим, на якому ключ був зареєстрований, автентифікація просто не відбувається, навіть якщо сайт виглядає ідентично. Жодного коду, який можна перехопити, не існує в принципі — вся криптографія відбувається між ключем та браузером локально. Три основні гравці YubiKey - найвідоміше ім'я в цьому сегменті, виробляється шведсько-американською компанією Yubico. Лінійка широка: є версії USB-A, USB-C, NFC для телефонів, версія для Lightning під старі iPhone. Підтримує FIDO2, WebAuthn, TOTP, OpenPGP, PIV та низку інших протоколів залежно від моделі. Прошивка закрита — це чесна претензія YubiKey, яку варто позначити: ви не можете перевірити, що саме виконується всередині пристрою. Nitrokey — німецький відкритий альтернативний ключ із відкритою прошивкою та відкритим залізом. Це важлива відмінність від YubiKey - можна перевірити вихідний код, можна зібрати прошивку самостійно. Підтримує OpenPGP, FIDO2, зберігання ключів шифрування. Окрема модель Nitrokey HSM орієнтована корпоративне використання. Для людей, у яких у моделі загроз є закладки на рівні прошивки, це єдиний розумний вибір у цьому сегменті. OnlyKey - американський ключ з відкритою прошивкою, має унікальну функцію, якої немає у конкурентів: PIN вводиться безпосередньо на самому ключі через вбудовані кнопки, а не на комп'ютері. Це захищає від кейлоггерів - навіть якщо пристрій заражений, PIN, введений на самому ключі, не може бути перехоплений програмно. Також підтримує зберігання паролів прямо на ключі із введенням через кнопки без необхідності вводити будь-що з клавіатури. Практичні сценарії використання Для захисту облікових записів через FIDO2/WebAuthn — всі три ключі працюють однаково добре з сервісами, які підтримують цей протокол. Більшість великих платформ уже підтримують його. Для зберігання PGP-ключів і підпису коммітів у Git - Nitrokey і YubiKey, причому ключ генерується прямо на пристрої і ніколи не залишає його у відкритому вигляді, що принципово сильніше зберігання ключа у файлі на диску. Для SSH-автентифікації на серверах - всі три підтримують зберігання SSH-ключів з обов'язковим фізичним торканням ключа під час кожного підключення, що унеможливлює автоматичне використання вкрадених облікових даних. Що важливо враховувати у моделі загроз Фізичний ключ вирішує конкретну проблему – захист від віддалених атак, фішингу та компрометації паролів. Він не захищає від сценарію, де атакуючий має фізичний доступ до вашого комп'ютера в момент активної сесії, і не захищає від ситуації, коли вас змушують фізично аутентифікуватися. Важливий практичний момент завжди потрібен другий резервний ключ на випадок втрати основного, зареєстрований на тих же сервісах. Втрата єдиного ключа без резервних кодів відновлення означає повну втрату доступу до облікових записів, що за наслідками не краще злому.

Чому TOTP-коди не захищають від фішингу Коли ви використовуєте генератор одноразових кодів - Aegis або будь-який інший - ця схема має фундаментальну вразливість: код можна перехопити в реальному часі. Атакуючий робить точну копію сторінки входу, ви вводите логін, пароль і шестизначний код - атакуючий моментально використовує всі три на цьому сайті, поки код ще діє. Називається це real-time phishing, і проти нього TOTP не захищає ніяк, тому що код валідний 30 секунд, а автоматизована атака працює за частки секунди. Фізичний ключ безпеки працює принципово інакше. Протокол FIDO2/WebAuthn криптографічно прив'язує аутентифікацію до конкретного домену під час реєстрації ключа. Коли ви намагаєтеся увійти, ключ перевіряє домен сторінки, на якій відбувається вхід - і якщо домен не збігається з тим, на якому ключ був зареєстрований, автентифікація просто не відбувається, навіть якщо сайт виглядає ідентично. Жодного коду, який можна перехопити, не існує в принципі — вся криптографія відбувається між ключем та браузером локально. Три основні гравці YubiKey - найвідоміше ім'я в цьому сегменті, виробляється шведсько-американською компанією Yubico. Лінійка широка: є версії USB-A, USB-C, NFC для телефонів, версія для Lightning під старі iPhone. Підтримує FIDO2, WebAuthn, TOTP, OpenPGP, PIV та низку інших протоколів залежно від моделі. Прошивка закрита — це чесна претензія YubiKey, яку варто позначити: ви не можете перевірити, що саме виконується всередині пристрою. Nitrokey — німецький відкритий альтернативний ключ із відкритою прошивкою та відкритим залізом. Це важлива відмінність від YubiKey - можна перевірити вихідний код, можна зібрати прошивку самостійно. Підтримує OpenPGP, FIDO2, зберігання ключів шифрування. Окрема модель Nitrokey HSM орієнтована корпоративне використання. Для людей, у яких у моделі загроз є закладки на рівні прошивки, це єдиний розумний вибір у цьому сегменті. OnlyKey - американський ключ з відкритою прошивкою, має унікальну функцію, якої немає у конкурентів: PIN вводиться безпосередньо на самому ключі через вбудовані кнопки, а не на комп'ютері. Це захищає від кейлоггерів - навіть якщо пристрій заражений, PIN, введений на самому ключі, не може бути перехоплений програмно. Також підтримує зберігання паролів прямо на ключі із введенням через кнопки без необхідності вводити будь-що з клавіатури. Практичні сценарії використання Для захисту облікових записів через FIDO2/WebAuthn — всі три ключі працюють однаково добре з сервісами, які підтримують цей протокол. Більшість великих платформ уже підтримують його. Для зберігання PGP-ключів і підпису коммітів у Git - Nitrokey і YubiKey, причому ключ генерується прямо на пристрої і ніколи не залишає його у відкритому вигляді, що принципово сильніше зберігання ключа у файлі на диску. Для SSH-автентифікації на серверах - всі три підтримують зберігання SSH-ключів з обов'язковим фізичним торканням ключа під час кожного підключення, що унеможливлює автоматичне використання вкрадених облікових даних. Що важливо враховувати у моделі загроз Фізичний ключ вирішує конкретну проблему – захист від віддалених атак, фішингу та компрометації паролів. Він не захищає від сценарію, де атакуючий має фізичний доступ до вашого комп'ютера в момент активної сесії, і не захищає від ситуації, коли вас змушують фізично аутентифікуватися. Важливий практичний момент завжди потрібен другий резервний ключ на випадок втрати основного, зареєстрований на тих же сервісах. Втрата єдиного ключа без резервних кодів відновлення означає повну втрату доступу до облікових записів, що за наслідками не краще злому.

До від'їзду — підготовка пристроїв Перше рішення, яке потрібно прийняти заздалегідь, які пристрої взагалі брати із собою. Ідеальний варіант для поїздки в країну з високим ризиком - окремий "чистий" пристрій, який не містить нічого чутливого та використовується лише для поїздок. На ньому немає історії, немає облікових записів, немає особистих даних - це просто інструмент. Якщо ви берете основний пристрій, мінімальний чекіст до виїзду виглядає так. Зробити повний зашифрований бекап і залишити його вдома. Видалити з пристрою все, що не потрібно в поїздці, чим менше даних на пристрої, тим менше можна втратити при вилученні. Вимкнути біометричне розблокування та перейти тільки на PIN – це важливо юридично, тому що в ряді юрисдикцій відбиток пальця або обличчя можна використовувати для примусового розблокування без вашої згоди, тоді як знання PIN захищене правом не свідчити проти себе сильніше. На GrapheneOS активувати duress-PIN, про який говорили в минулому пості, і налаштувати auto-reboot на короткий інтервал – наприклад, 4-6 годин. Це означає, що навіть якщо пристрій вилучили, поки ви спали або відволіклися, після перезавантаження він вимагає повного PIN, а не біометрії. Перетин кордону — найгостріший момент Митні та прикордонні служби у багатьох країнах мають широкі повноваження щодо огляду пристроїв без ордера та без пояснення причин. Це не гіпотетичний сценарій — практика огляду пристроїв на кордонах США, Великобританії, Австралії та багатьох інших країн добре задокументована. Найважливіша річ, яку потрібно розуміти: вимкнений пристрій із повнодисковим шифруванням значно складніше розкрити, ніж пристрій у режимі сну або з увімкненим екраном. Перед проходженням контролю пристрій варто вимкнути повністю — після ввімкнення він вимагатиме PIN до першого розблокування, що дає значно вищий рівень захисту даних навіть при фізичному вилученні. Якщо пристрій вимагатиме розблокування — залежно від юрисдикції у вас можуть бути права відмовитися, але це може призвести до затримання або конфіскації пристрою. Це юридично складна зона, яка сильно залежить від країни та від того, громадянин ви чи іноземець. Наперед вивчити конкретну правову ситуацію в країні призначення — не зайве. У країні мережева безпека Публічний Wi-Fi у готелях, кафе та аеропортах – це потенційно вороже мережеве середовище. Базове правило — VPN завжди увімкнений при підключенні до будь-якої незнайомої мережі. Але є нюанс: у країнах із активною цензурою самі VPN можуть бути заблоковані чи детектуватись. У таких випадках потрібні pluggable transports для Tor (obfs4, Snowflake), про які говорили раніше, - вони маскують факт використання захищеного з'єднання. Мобільні дані через місцеву SIM-карту загалом надійніші за публічний Wi-Fi з погляду MITM-атак від сусідніх пристроїв у мережі, але створюють іншу проблему — реєстрація SIM за паспортом у більшості країн означає, що оператор знає вашу особу і прив'язує всі з'єднання до неї. Заряджання через публічні USB-порти в аеропортах та готелях — окремий вектор атаки, відомий як juice jacking. Через USB можна передавати як живлення, а й дані, і скомпрометований зарядний порт теоретично може взаємодіяти з пристроєм. Просте рішення - використовувати тільки свій власний зарядний кабель і адаптер, або USB data blocker - недорогий перехідник, що фізично відключає контакти даних і залишає лише живлення. Готель — фізична безпека Вашого приладу Ваш номер без нагляду може бути доступний для персоналу або інших зацікавлених сторін. Класичний сценарій називається evil maid attack - фізичний доступ до незахищеного пристрою навіть на короткий час дозволяє встановити апаратний кейлоггер або скомпрометувати завантажувач системи. Мінімальні заходи: пристрій завжди вимкнено, коли ви виходите з номера, критично важливі речі з собою, а не в сейфі готелю — сейф закривається персоналом. Для параноїдального рівня захисту — Haven, програма від команди Сноудена, про яку говорили раніше, перетворює другий телефон на детектор присутності в кімнаті за вашої відсутності. Комунікації у поїздці Для чутливих розмов — лише зашифровані месенджери зі списку, який розбирали раніше, через Tor чи VPN. Звичайні дзвінки та SMS повністю прозорі для місцевого оператора та потенційно для місцевих спецслужб. У країнах з активним стеженням це не параноя, а базова гігієна. Окремий момент – соціальна інженерія. У деяких країнах місцеві контакти або знайомі можуть бути джерелом інформації для третіх сторін. Це не означає параноїдально уникати всіх контактів, але означає обережність у тому, що і кому ви розповідаєте про свою діяльність, маршрут і цілі поїздки. Після повернення Якщо поїздка була в країну з високим ризиком і пристрій міг бути скомпрометований фізично – найчистіший варіант це повне скидання до заводських налаштувань та відновлення з бекапу, зробленого до поїздки. Це радикально, але це єдиний спосіб гарантовано прибрати потенційні імпланти на рівні операційної системи. Зміна паролів і ключів, які використовувалися в поїздці — розумний захід на випадок, якщо вони були перехоплені способами, які ви не можете перевірити.

Чому звичайні ноутбуки проблема Стандартний ноутбук будь-якого великого виробника - Dell, Lenovo, HP - містить кілька рівнів закритого пропрієтарного коду, який працює нижче операційної системи і який неможливо перевірити. BIOS/UEFI прошивка, Intel Management Engine або AMD Platform Security Processor, контролери пристроїв - все це закриті бінарники, яким ви змушені довіряти сліпо. Purism Librem 14 Librem 14 це ноутбук американської компанії Purism, спроектований з явним пріоритетом безпеки, що верифікується, на апаратному рівні. Ключова особливість – нейтралізація Intel Management Engine. IME це окремий процесор всередині процесора, який працює незалежно від основної системи, має доступ до пам'яті, мережі і може працювати навіть коли комп'ютер вимкнено. На Librem 14 IME нейтралізовано через офіційний механізм HAP bit – це не повне видалення, але значне скорочення функціональності та поверхні атаки. Відкрита прошивка - Librem 14 поставляється з coreboot замість пропрієтарного BIOS і PureBoot замість стандартного завантажувача. PureBoot використовує TPM чіп та фізичний ключ безпеки (Librem Key – модифікований Nitrokey) для верифікації цілісності прошивки та завантажувача при кожному старті. Якщо хтось модифікував прошивку, поки пристрій був не під вашим контролем — система при наступному завантаженні покаже попередження через зміну індикатора на ключі. Фізичні перемикачі - окремі апаратні перемикачі для камери та мікрофона, і окремі для Wi-Fi та Bluetooth. Це не програмне відключення, яке можна обійти через вразливість — фізичний розрив ланцюга на рівні заліза. Камера і мікрофон фізично відключені поки перемикач у положенні off незалежно від того, що робить операційна система. Підтримувані операційні системи - PureOS (власний дистрибутив Purism заснований на Debian), але працює з будь-яким Linux, включаючи Tails, Qubes OS, NixOS про який говорили раніше. Чесні обмеження — Librem 14 значно дорожчий за звичайний ноутбук аналогічних характеристик, продуктивність не видатна, і компанія невелика що створює ризики довгострокової підтримки. System76 System76 - американська компанія з Денвера, спочатку спеціалізувалася на ноутбуках з Linux, але в останні роки рухається у бік відкритого заліза. Coreboot - System76 активно переводить свої ноутбуки на coreboot, і це вже реалізовано на декількох моделях, включаючи Galago Pro і Lemur Pro. Відкрита прошивка перевіряється та аудується на відміну від пропрієтарного BIOS. System76 Open Firmware — компанія розробляє власну надбудову над coreboot, яку називає System76 Open Firmware, публікує вихідний код і бере активну участь у розробці coreboot upstream. PopOS – власний дистрибутив Ubuntu з додатковими налаштуваннями, але ноутбуки System76 працюють із будь-яким Linux. Thelio — окрім ноутбуків, компанія виробляє десктопи з відкритою прошивкою і навіть публікує механічні креслення корпусів як відкрите залізо. Чесні обмеження System76 не нейтралізує Intel ME на відміну від Purism, фізичних перемикачів немає на більшості моделей. Це швидше "максимально відкритий Linux ноутбук", ніж "параноїдальна безпека". Порівняння двох підходів Purism йде глибше на рівень заліза – нейтралізація IME, фізичні перемикачі, апаратна верифікація завантаження. Це максимальний захист від загроз на рівні прошивки. System76 йде ширше – відкрита прошивка, відкрите залізо, активна участь у open source екосистемі. Це практичніший варіант для повсякденного використання без жертви зручністю. Альтернативи, які варто знати Тhinkpad з coreboot - класичні моделі Lenovo ThinkPad X230, T430, X220 мають зрілу підтримку coreboot через проект Skulls і libreboot. Це старе залізо але з найперевіренішим часом відкритим стеком прошивок і значно дешевше. Framework Laptop — модульний ноутбук із замінними компонентами, що рухається у бік відкритої прошивки. Не досягає рівня Purism але значно краще за звичайних виробників за прозорістю. Практичний висновок Якщо в моделі загроз є противник, здатний на атаку рівня прошивки (evil maid атака на BIOS, компрометація IME) - Librem 14 з PureBoot і Librem Key це єдиний комерційно доступний варіант з апаратною верифікацією цілісності при кожному завантаженні. Якщо потрібний просто хороший Linux ноутбук з відкритою прошивкою без екзотичних вимог - System76 або Framework з coreboot дають хороше співвідношення відкритості та практичності.

Що таке шифрування і навіщо воно потрібно Шифрування це математичне перетворення даних на нечитаний вид за допомогою ключа. Без ключа дані виглядають як довільний набір байт. Із ключем читаються нормально. За цим стоїть сторіччя математики та криптографії. Важливо зрозуміти з самого початку — шифрування захищає дані у спокої та русі. Дані спокою це файли на диску. Дані руху є трафік між пристроями. Різні інструменти вирішують різні завдання та плутати їх небезпечно.Симетричне шифрування Один і той же ключ використовується для шифрування та розшифровки. Швидко та ефективно для великих обсягів даних. AES– стандарт де-факто. Прийнятий урядом США після відкритого конкурсу 2001 року. Використовується скрізь – у LUKS для шифрування дисків, у TLS для веб-трафіку, у месенджерах. AES-128 є достатнім для більшості завдань. AES-256 використовується там, де потрібний захист на десятиліття вперед у тому числі від майбутніх квантових комп'ютерів. ChaCha20- сучасна альтернатива AES. Використовується у TLS 1.3, WireGuard, Signal. Швидше за AES на пристроях без апаратного прискорення. Однаково надійна за правильної реалізації. Головна проблема симетричного шифрування – як безпечно передати ключ іншій стороні? Цю проблему вирішує асиметричне шифрування. Асиметричне шифрування Використовує пару ключів – публічний та приватний. Публічний роздаєш усім. Приватний зберігаєш лише у себе. RSA- класичний алгоритм заснований на складності факторизації великих чисел. Використовується у PGP, SSL, SSH. Потребує великих ключів - щонайменше 2048 біт, рекомендується 4096 біт. Elliptic Curve Cryptography (ECC)– сучасна альтернатива RSA. Дає той же рівень безпеки за значно меншого розміру ключа. 256-бітний ключ ECC еквівалентний 3072-бітному ключу RSA. Використовується у сучасних месенджерах, TLS 1.3, Signal Protocol. Асиметричне шифрування повільніше за симетричне тому на практиці використовується гібридний підхід - асиметричне шифрування для обміну ключами, симетричне для шифрування самих даних. Захист ключів - найважливіше Алгоритм шифрування математики. Зламати брутфорсом AES-256 неможливо при будь-якому існуючому залозі. Але сам ключ потрібно звідкись взяти – зазвичай із пароля користувача. Тут з'являється функція виведення ключа (KDF). Вона бере твій пароль і перетворює його на криптографічний ключ так, щоб перебір паролів був максимально дорогим. PBKDF2– старий стандарт. Прості ітерації хешування. Добре паралелізується на GPU – вразливий до атак із відеокартами. bcrypt— вимагає більше пам'яті, ніж PBKDF2. Найкраще захищає від GPU атак. Argon2id– переможець Password Hashing Competition 2015 року. Потребує величезної кількості RAM на кожну спробу. Робить атаки через GPU та спеціалізоване залізо економічно невигідними. Це найкращий вибір для захисту ключів у 2026 році. LUKS vs VeraCrypt - докладне порівняння Це два інструменти, які часто порівнюють, але вони вирішують трохи різні завдання. LUKS (Linux Unified Key Setup) LUKS – це стандарт повнодискового шифрування на Linux. Не окрема програма, а специфікація формату зашифрованого розділу підтримується ядром Linux безпосередньо. Що робить LUKS добрим. Інтеграція з ядром Linux на рівні dm-crypt означає максимальну продуктивність - шифрування та розшифрування відбуваються прозоро без помітної втрати швидкості на сучасному залізі з апаратним AES. До 8 ключових слотів можна додати кілька паролів для різних цілей, включаючи duress пароль який знищує дані. LUKS2 підтримує Argon2id – найсильніший захист ключа від брутфорсу. Для чого LUKS найкращий вибір. Шифрування системного диска на Linux – це єдиний правильний інструмент для цього завдання. Шифрування зовнішніх дисків та флешок під Linux. Ситуації, де потрібна максимальна продуктивність та інтеграція з операційною системою. Слабка сторона LUKS. Метадані заголовка видно - сам факт, що диск зашифрований через LUKS можна визначити без знання пароля. Немає нативної підтримки прихованих томів. Прив'язаний до екосистеми Linux. VeraCrypt VeraCrypt це форк TrueCrypt розроблений після того, як проект TrueCrypt був закритий за підозрілих обставин у 2014 році. Кросплатформовий – працює на Windows, macOS, Linux. Що робить VeraCrypt унікальним. Приховані томи - це головна особливість якої немає у LUKS. Створюєш зашифрований контейнер із двома паролями. Один відкриває звичайний том із невинними даними. Другий відкриває прихований том із реально важливими даними. Математично довести існування прихованого тому неможливо без знання другого пароля — це називається plausible deniability. Зашифровані контейнери у вигляді файлів - можна створити зашифрований файл-контейнер, який зберігається всередині вже зашифрованого диска, створюючи додатковий шар захисту. Кросплатформенність - контейнер VeraCrypt можна відкрити на Windows, macOS і Linux одним і тим самим паролем. Для чого VeraCrypt найкращий вибір. Зберігання чутливих файлів усередині зашифрованої системи — подвійний шар захисту. Ситуація де потрібна plausible deniability — прихований том захищає при примусі до видачі пароля. Кросплатформні контейнери, які потрібно відкривати на різних операційних системах. Зберігання файлів на хмарних сервісах – шифруєш контейнер локально та завантажуєш зашифрований файл у хмару. Слабка сторона VeraCrypt. Повільніше LUKS через роботу в просторі користувача, а не на рівні ядра. Ітерації при введенні пароля займають кілька секунд - це навмисно для захисту від брутфорсу, але незручно. Як вибрати правильний інструмент Питання не в тому який інструмент є кращим — питання в тому яку загрозу потрібно закрити. Шифруєш системний диск Linuxлише LUKS. Це його рідне середовище. Максимальна продуктивність та інтеграція. Зберігаєш чутливі файли всередині зашифрованої системи— VeraCrypt контейнер. Подвійний шар. Якщо хтось отримав доступ до системи, файли в контейнері все одно зашифровані окремим ключем. Потрібна plausible deniability- тільки VeraCrypt із прихованим томом. LUKS цього не вміє. Шифруєш флешку для перенесення даних між пристроями, включаючи Windows— VeraCrypt. LUKS флешку не відкриєш Windows без додаткових інструментів. Максимальна зв'язка для параноїка- LUKS на системному диску плюс VeraCrypt контейнер всередині особливо чутливих даних. Два незалежні шари шифрування з різними паролями. Практичні рекомендації Перше — сила пароля важливіша за вибір алгоритму. AES-256 із паролем "password" зламується за секунди. AES-128 з паролем із шести випадкових слів через Diceware незламуємо за розумний час. Друге - Argon2id в LUKS2 обов'язковий. Якщо встановлено LUKS зі стандартними налаштуваннями, параметри KDF можуть бути слабшими, ніж потрібно. Перевірити і посилити можна через cryptsetup. Третє — фізична безпека важливіша за криптографію. Увімкнений пристрій із розшифрованим диском нівелює будь-яке шифрування. Ключі у RAM доступні при cold boot атаці. Вимкнений пристрій з LUKS та сильним паролем – математично захищений. Четверте – шифрування це не анонімність. Зашифрований диск приховує вміст даних, але не приховує сам факт їх існування, час створення та метадані файлової системи. Для анонімності необхідні окремі інструменти.

Проблема із звичайними способами передачі файлів Більшість людей передають файли через месенджери, хмарні сховища або email, не замислюючись про те, що відбувається з файлом на шляху від відправника до одержувача. Email – провайдер бачить все. Gmail сканує вміст листів. Вкладення зберігаються на серверах роками. Telegram — якщо файл надсилається як документ, він завантажується на сервери Telegram. Компанія має повний доступ до незашифрованих файлів у звичайних чатах. Google Drive та Dropbox – файл зберігається на серверах компанії. За юридичного запиту компанія видасть його без питань. Зашифровані месенджери типу Signal — вміст зашифрований, але метадані про те, хто з ким і коли спілкувався, зберігаються. Загальна проблема всіх цих способів одна – файл проходить через сервери третьої сторони. Третя сторона може бути зламана, отримати юридичний запит або просто зберігати дані довше, ніж потрібно. Що таке OnionShare OnionShare створює пряме з'єднання між відправником та одержувачем через мережу Tor без проміжних серверів. Технічно це працює так - OnionShare запускає тимчасовий веб-сервер прямо на твоєму комп'ютері і робить його доступним через адресу onion в мережі Tor. Отримувач відкриває цю адресу Tor Browser і завантажує файл безпосередньо з твого комп'ютера. Коли передача завершена onion адреса зникає назавжди. Архітектурний результат такий - файл ніколи не залишає пряме з'єднання між двома комп'ютерами. Жодних проміжних серверів. Жодних корпорацій які зберігають копії. Жодних логів на сторонніх серверах. Чотири режими роботи Режим відправки – класичний варіант. Додаєш файли, натискаєш Почати, отримуєш унікальну onion адресу. Надсилаєш адресу одержувачу будь-яким способом. Отримувач відкриває Tor Browser і скачує. За замовчуванням адреса зникає після першого завантаження. Режим отримання – найцінніший режим для журналістів та активістів. OnionShare створює onion адресу, куди інші люди можуть завантажувати файли тобі анонімно. Публікуєш адресу та джерела передають документи не розкриваючи своєї особистості. Ти не знаєш джерела IP. Джерело не знає твоє IP. Спрощений аналог SecureDrop без необхідності налаштовувати окремий сервер. Режим чату - створює анонімну чат кімнату, яка існує тільки поки запущений OnionShare. Усі учасники підключаються через Tor Browser. Жодних акаунтів, жодної історії, жодних слідів. Після закриття програми кімната зникає назавжди. Режим сайту дозволяє опублікувати будь-який контент анонімно через Tor без хостингу і реєстрації. Твоя особистість та місцезнаходження повністю приховані. Що саме ховається Приховує твій реальний IP від одержувача. IP отримувача від тебе. Вміст передачі від будь-яких третіх сторін. Метадані про те, хто з ким спілкувався. Не приховує - метадані всередині самого файлу. Якщо в документі є ім'я автора або у фотографії GPS координати, це потрібно очищати окремо через MAT2 або Metadata Cleaner перед відправкою. Правильна зв'язка інструментів OnionShare працює найкраще у комбінації з іншими інструментами. Перед надсиланням будь-якого файлу очищай метадані через MAT2. Після отримання файлу від джерела відкривай через Dangerzone перед тим, як дивитися вміст — файл може містити експлойт, який при відкритті розкриє реальний IP. Для максимальної анонімності використовуй OnionShare з Whonix Workstation - тоді навіть якщо програма скомпрометована реальний IP фізично недоступний. Обмеження Комп'ютер повинен бути увімкнений доки передача. Швидкість через Tor нижче за звичайний інтернет. Для постійного прийому документів у довгостроковій перспективі краще настроїти повноцінний SecureDrop. OnionShare є ідеальним для разових передач. Підсумок OnionShare це один з небагатьох інструментів, який забезпечує справжню анонімність при передачі файлів без компромісів. Жодних акаунтів. Жодних серверів. Жодних третіх сторін. Тільки пряме з'єднання через Tor між двома комп'ютерами. Для журналіста режим отримання файлів є особливо цінним — джерела передають документи анонімно без складної інфраструктури.

Що таке Kodachi Linux Kodachi це дистрибутив Linux заснований на Ubuntu та Debian, розроблений однією людиною на ім'я Warith Al Maawali з Оману. Існує з 2015 року та позиціонується як операційна система для анонімної роботи в інтернеті із коробки. Головна ідея — всі інструменти приватності вже налаштовані та працюють одразу після завантаження без додаткового налаштування. Плюси Kodachi Все з коробки – головна перевага Kodachi перед іншими дистрибутивами. VPN, Tor та DNSCrypt працюють одночасно відразу після завантаження. Не потрібно нічого налаштовувати вручну. Для новачка, який хоче швидко отримати захищене середовище, це серйозний аргумент. Зручний інтерфейс - Kodachi використовує робочий стіл Cinnamon, який візуально зрозумілий користувачам Windows і macOS. На робочому столі є віджети, що показують статус VPN, Tor, DNS, поточний IP та іншу інформацію в реальному часі. Великий набір встановлених інструментів — VeraCrypt, KeePassXC, Tor Browser, Metadata Cleaner, OnionShare, Ricochet та багато інших інструментів приватності вже встановлені та готові до роботи. AnonSurf інтеграція - весь системний трафік загортається через Tor через iptables правила однією кнопкою. Не треба знати команди терміналу. Працює як live система – завантажується з флешки без встановлення на диск. Можна використовувати будь-який комп'ютер. Російськомовне співтовариство є активною спільнотою в Telegram і на форумах де допомагають з налаштуванням. Десять років існування – дистрибутив не новий. Десять років без публічних скандалів та задокументованих інцидентів – це певний знак якості. Мінуси Kodachi Один розробник – це головний та важливий мінус. Весь дистрибутив тримається однією людині. Якщо він захворіє, втратить інтерес чи потрапить під тиск — проект може зникнути чи скомпрометуватися без попередження. Tails, Whonix та Qubes OS розробляються командами з відкритими процесами та фінансуванням. Kodachi – ні. Відсутність публічних аудитів безпеки – жодної задокументованої незалежної перевірки коду. Tails проходив аудити від німецької компанії Cure53. Whonix перевіряли незалежні дослідники. Для Kodachi такої інформації немає. Це не означає, що в коді є проблеми — це означає, що ми не знаємо, є вони чи ні. Програмна анонімізація через iptables AnonSurf використовує правила брандмауера для перенаправлення трафіку через Tor. Це програмне блокування, яке теоретично можна обійти через вразливість в ядрі або додаток з правами root. Whonix закриває це архітектурно - фізично неможливий витік IP. Kodachi такої гарантії не дає. Закриті компоненти – частина конфігурації та скриптів непрозора. Для серйозної моделі загроз довіра до закритих компонентів є неприйнятною. Застаріла база – Ubuntu та Debian основа іноді отримує оновлення безпеки із затримкою. Один розробник не встигає швидко реагувати на критичні вразливості. Невідоме походження VPN — у Kodachi встановлений VPN, але докладної інформації про провайдера, юрисдикцію та політику логів немає в публічному доступі. Для приватності це серйозне питання. Кому Kodachi підходить Новачок, який хоче базовий захист без вивчення Linux команд. Людина, якій потрібно швидко отримати захищене середовище без тривалого налаштування. Користувач із низьким рівнем загроз – приховати трафік від провайдера, обійти блокування, базову приватність. Той, хто вже розуміє обмеження інструменту і використовує його усвідомлено. Кому Kodachi не підходить? Користувач якого переслідують державні структури. Людина з серйозною моделлю загроз, де противник має технічні ресурси. Будь-хто потребує архітектурної гарантії анонімності, а не програмної. Той, для кого ціна помилки надто висока. Порівняння з альтернативами Проти Tails Kodachi програє по амнезії та аудитам. Tails залишає нульові сліди при вимкненні - Kodachi цього не гарантує. Проти Whonix програє за архітектурною надійністю. Whonix фізично не може допустити витоку IP - Kodachi може за певних умов. Проти звичайного Linux з правильним налаштуванням Kodachi виграє за зручністю для новачка, але програє за прозорістю та контролем. Чи варто користуватися Чесна відповідь залежить від моделі загроз. Якщо потрібний базовий захист і ти розумієш обмеження – Kodachi нормальний інструмент. Якщо життя чи свобода залежать від анонімності — лише Tails, Whonix або Qubes OS із незалежними аудитами та прозорою розробкою. Kodachi це як замок на дверях - захищає від випадкового злодія, але не від професійного зломщика з потрібними інструментами. Знай, що саме ти захищаєш і від кого — тоді рішення очевидне.

Навіщо це потрібно, якщо є Element із звичайним Matrix Element за замовчуванням підключається до сервера matrix.org або будь-якого іншого публічного сервера. Цей сервер бачить реальний IP при кожному підключенні, бачить метадані - хто з ким у якому чаті перебуває, коли був онлайн, навіть якщо вміст повідомлень зашифрований наскрізним шифруванням. Свій сервер через onion-адресу закриває саме це. Сервер бачить лише IP вихідного вузла Tor. Власник сервера повністю контролює залізо та логи, і ніхто крім нього не вирішує, як довго зберігаються дані. Що потрібно перед початком VPS-сервер, оплачений анонімно — наприклад, через Njalla, 1984 Hosting або Frantech, оплата криптовалютою, реєстрація через Tor Browser з тимчасовим email. Для тесту вистачить мінімальної конфігурації – 1-2 ГБ RAM, 20 ГБ диска. Доступ до сервера SSH. Будь-яка машина з Linux для керування та подальшого підключення через Element. Крок 1 — підключення до сервера та базова підготовка Підключаєшся до VPS по SSH з терміналу: ssh root@ip_адреса_сервера Обнови систему: apt update && apt upgrade -y Крок 2 — встановлення Synapse (серверна частина Matrix) apt install -y lsb-release wget apt-transport-https<br> Додай офіційний репозиторій Matrix: wget -O /usr/share/keyrings/matrix-org-archive-keyring.gpg https://packages.matrix.org/debian/matrix-org-archive-keyring.gpg <br>echo "deb [signed-by=/usr/share/keyrings/matrix-org-archive-keyring.gpg] https://packages.matrix.org/debian/ $(lsb_relea tee /etc/apt/sources.list.d/matrix-org.list<br> Встанови: apt update<br>apt install matrix-synapse-py3<br> У процесі установки запитає server name - це важливий момент, про який нижче. Крок 3 - встановлюємо Tor і налаштовуємо HiddenServicePort 443 127.0.0.8.0.8.0 . 8448 127.0.0.1:8448<br> Зберігаємо, перезапускаємо Tor: systemctl restart tor<br> Дивимося свою onion-адресу: cat /var/lib/tor/matrix/hostname<br> Отримаєш щось на кшталт abcdefghijklmnop.onion сервіс. Крок 4 — критично важливий момент для server_name Відкриваємо головний конфіг Synapse: nano /etc/matrix-synapse/homeserver.yaml Знаходимо рядок: server_name: "..." Тут вписуємо саме ту onion-адресу, яку отримали на попередньому кроці: server_name: "ab: " змінити після створення першого користувача — якщо змінити server_name пізніше, всі облікові записи стануть недійсними і доведеться починати з нуля. Перш ніж рухатися далі, переконайся, що вписав правильно. Крок 5 - налаштування TLS і портів У тому ж homeserver.yaml знаходимо розділ listeners: listeners:<br> - port: 8448 tls: false type: http<br> federation] compress: false Зверни увагу - tls: false. Це нормально і правильно в даній схемі, тому що весь трафік вже йде через зашифрований Tor-тунель, додатковий TLS поверх надмірний і лише ускладнює налаштування. Крок 6 — реєстрація користувачів Відключаємо відкриту реєстрацію, щоб сторонні не могли створити обліковий запис на сервері: enable_registration : false<br> Створюємо першого користувача вручну: register_new_matrix_user -c /etc/matrix-synapse/homeserver.yaml адміністратора - так/ні. Крок 7 - запуск сервісу systemctl enable matrix-synapse<br>systemctl start matrix-synapse<br>systemctl status matrix-synapse Перевіри, що статус active (running), без помилок. Крок 8 - підключення через Element Підключатися потрібно обов'язково через Tor, інакше весь зміст втрачається. Відкрий Element через Orbot на телефоні або через torsocks на десктопі: torsocks element-desktop<br> При вході не вибирай стандартний matrix.org, натисніть Змінити сервер домашнього простору (Edit → Homeserver URL) і введи: http://abcdefghijklmnop.onion:848 - Готово, аккаунт у приватній Matrix-мережі активний. Запрошення інших учасників Кожному новому учаснику потрібно: створити обліковий запис на сервері (реєстрація відключена для сторонніх, тому створює тільки адміністратор через ту саму команду register_new_matrix_user), передати йому onion-адресу та логін безпечним каналом - наприклад через OnionShare або Signal. Що це архітектурно дає Ніякий сторонній сервер не бачить метадані листування. IP всіх учасників прихований через Tor з обох сторін. Повний контроль над retention policy - скільки зберігаються повідомлення вирішує лише власник сервера. Логування можна вимкнути повністю лише на рівні сервера. Що варто знати наперед Сервер повинен бути постійно онлайн щоб учасники могли отримувати повідомлення - на відміну від разових інструментів передачі файлів, тут потрібна інфраструктура, яка живе постійно. Якщо сервер конфіскують або загубиться доступ - всі повідомлення, якщо retention включений, фізично зберігаються там, значить, варто налаштувати мінімальне зберігання через redaction і retention policy окремо. Оновити Synapse потрібно регулярно - вразливості в серверному програмному забезпеченні закривають швидко, але тільки якщо стежити за оновленнями. Підсумок Це не найпростіший вечір налаштування, але результат є повністю незалежним приватним чат-сервером без жодної точки довіри третій стороні. Для команди з кількох осіб, координації редакції, чи просто закритого кола людей, яким важлива приватність без компромісів, — це принципово сильніша позиція, ніж будь-який публічний месенджер, яким би зашифрованим він не був.

Проблема зі звичайною хмарою Google Drive, Dropbox, iCloud без додаткових налаштувань - всі вони мають доступ до вмісту твоїх файлів технічно. Навіть якщо компанія заявляє, що не читає файли вручну, вона має технічну можливість це робити: автоматичне сканування, індексацію для пошуку, аналіз для рекламних алгоритмів, і, що важливіше, видавати вміст за юридичним запитом. Більшість людей розуміють цю проблему, але вирішують її надто радикально - або взагалі відмовляються від хмари, втрачаючи зручність синхронізації між пристроями, або просто миряться з тим, що провайдер бачить все. Що робить Cryptomator Інструмент шифрує файли локально на вашому пристрої ще до того, як вони потраплять у хмару. Створюєш зашифроване сховище (vault), кладеш туди файли - Cryptomator шифрує кожен файл окремо і передає зашифровані дані до папки, яка вже синхронізується з будь-яким хмарним сервісом, яким користуєшся. Хмарний провайдер у результаті бачить лише набір файлів з випадковими іменами та нечитаним вмістом. Розшифровка відбувається лише локально, на пристрої, який має правильний пароль — сам сервіс зберігання фізично не може прочитати, що всередині. Чим це відрізняється від вбудованого шифрування хмар У деяких провайдерів (Proton Drive, Tresorit) наскрізне шифрування вбудоване спочатку - це теж надійно, але прив'язує до конкретного сервісу з обмеженим безкоштовним об'ємом і зазвичай вищою ціною за платний тариф. Cryptomator працює поверх будь-якої хмари - Google Drive, Dropbox, Яндекс.Диск, OneDrive, локальна мережа, взагалі будь-яка папка, яка синхронізується. Це дає можливість використовувати дешеві тарифи з великим обсягом місця у звичайних провайдерів, додаючи шифрування самостійно, а не переплачуючи за вбудовану приватність у нішевих сервісів. Технічно, що відбувається всередині Кожен файл шифрується алгоритмом AES-256 - тим же стандартом, який використовується в LUKS і більшості серйозних інструментів шифрування. Імена файлів теж шифруються, а не лише вміст – хмарний провайдер не бачить навіть назв документів, лише випадковий набір символів. Структура папок при цьому зберігається логічно на твоїй стороні – відкриваєш Cryptomator, вводиш пароль, бачиш звичайну файлову структуру з нормальними назвами, працюєш як із будь-якою папкою, а все шифрування відбувається прозоро на тлі. Як це виглядає на практиці? Встановлюєш Cryptomator на комп'ютер. Створюєш нове сховище, вказуєш, де фізично лежатиме зашифрована папка — наприклад, усередині папки, яку синхронізує Google Drive або Dropbox. Вигадуєш пароль для сховища. Cryptomator створює зашифровану структуру в цій папці і одночасно "відкриває" віртуальний диск у системі - з погляду будь-яких інших програм це виглядає як звичайна папка, куди можна перетягувати файли стандартним способом. Все, що кладеш у цей віртуальний диск, автоматично шифрується і потрапляє в реальну папку, що хмара синхронізується. Хмарний клієнт бачить лише зашифровані файли та завантажує саме їх — ти працюєш із розшифрованою версією лише локально, доки сховище відкрито з правильним паролем Мобільні програми Є версії під Android і iOS — можна відкривати те саме зашифроване сховище з телефону, вводячи той же пароль. Це дає доступ кросплатформи без необхідності довіряти вміст жодному пристрою або сервісу окремо — розшифровка відбувається на кожному пристрої локально. Відкритий вихідний код як ключова перевага На відміну від закритих хмарних рішень із вбудованим шифруванням, де доводиться вірити компанії на слово, що вона реалізувала шифрування правильно, код Cryptomator відкритий і може бути перевірений незалежно. Регулярні незалежні аудити безпеки публікуються — це не голослівна заява про приватність, а те, що можна верифікувати самому чи довіритися людям, які це вже зробили. Що Cryptomator не вирішує Метадані про сам факт використання хмари - провайдер все одно бачить, що обліковий запис активний, скільки місця зайнято, коли відбуваються завантаження файлів, навіть не знаючи їхнього вмісту. Це не анонімність використання хмари, саме захист вмісту від прочитання. Якщо потрібний додатковий захист від відстеження самого факту синхронізації - варто комбінувати з VPN або Tor при завантаженні, але це вже окремий рівень завдання, не те, що вирішує сам Cryptomator. Практичні сценарії використання Резервне копіювання чутливих документів у дешеву хмару без ризику, що провайдер матиме доступ до вмісту. Синхронізація файлів між кількома пристроями без необхідності довіряти хмарному сервісу. Зберігання особистих архівів, фотографій, фінансових документів — там, де формально потрібна доступність із будь-якої точки, але вміст не повинен бути помітним навіть гіпотетично провайдеру. Підсумок Cryptomator закриває конкретний і дуже частий компроміс між зручністю хмари і довірою третій стороні. Не потрібно вибирати між "зберігаю все локально і втрачаю зручність синхронізації" і "довіряю вміст корпорації" - є третій варіант, де хмара залишається просто транспортним шаром для вже зашифрованих даних, а реальний доступ до вмісту є тільки у того, хто знає пароль.