Privacy su Internet ed email in un paese "nemico di internet" [chiuso]

4

Qui dove vivo, si ritiene che tutto il traffico internet passi per le mani delle agenzie governative e l'ufficio delle telecomunicazioni sia effettivamente di proprietà del governo.

Data la situazione , ho alcune preoccupazioni:

  1. Le agenzie governative possono manomettere i siti Web che utilizzano HTTPS? Quanto sono sicuri i dati di accesso inviati tramite HTTPS?

  2. L'utilizzo di HTTPS è sufficiente per impedire loro di conoscere i dettagli delle nostre e-mail (vale a dire l'oggetto, i destinatari e il contenuto)?

  3. Ed ecco la domanda generale: quale conoscenza pratica sulla sicurezza dovrei cercare di ottenere per proteggere al meglio la mia privacy? Giusto sappi che conosco GnuPG, OTR, Tails e sto cercando di capire alcuni concetti di base come MitM attack, ecc.

posta Little moon 23.01.2014 - 02:59
fonte

2 risposte

2

SSL protegge la riservatezza dei tuoi dati se sia il client (la tua macchina) che il server (il sito Web con cui stai parlando) seguono il protocollo e sono esenti da modifiche dirette. Tuttavia, se (ad esempio) il tuo nemico è riuscito a installare una CA radice che controlla all'interno del tuo "negozio fidato", allora può produrre certificati falsi a volontà, per tutti i siti Web che contatti. Questo è un attacco Man-in-the-Middle : l'attaccante impersona il server, quindi i dati che spedisci vanno all'attaccante e ciò che vedi è ciò che ti invia l'attaccante; contemporaneamente, l'utente malintenzionato si connette al server originale, presentandosi come il normale client (utente) e trasferisce i dati avanti e indietro. Quindi le tue richieste alla fine vanno al server previsto, e le sue risposte tornano a te, e tutto sembra andare bene, ma l'attaccante può vedere tutti i dati non criptati.

Pertanto, se il sito target è fuori dalla portata del nemico e il computer è "pulito" (acquistato fuori dal paese, incluso il sistema operativo e nessun malware installato), allora potrebbe andare bene. Ma queste condizioni non sono così facili da ottenere.

Per email , non vengono trasmessi con HTTPS. Quando si accede alle e-mail "con HTTPS", si utilizza il browser Web per accedere a un'interfaccia basata su Web su un server in cui le e-mail ti aspettano. Ma nessun HTTPS era in vigore quando la suddetta email transitava dalla macchina del mittente a quel server. Le email saltano da un server all'altro e, di norma, viaggiano senza protezione (i server alcuni applicano opportunisticamente alcune protezioni SSL, ma questo non è garantito, non necessariamente fatto bene, e le e-mail sono ancora archiviate in modo non criptato, se non altro transitoriamente, sui server intermedi). Pertanto, se leggi e scrivi messaggi di posta elettronica tramite un'interfaccia basata sul Web a cui accedi solo con HTTPS e che HTTPS è pulito (vedi sopra) e il server che contiene la tua casella di posta è fuori dalla portata del tuo nemico e le persone con cui scambi le email sono anche fuori dalla portata del tuo nemico, quindi è pensabile che il tuo nemico non sarà in grado di leggere la tua email in entrata e in uscita, né indovinare con chi stai comunicando. Di nuovo, questi sono grandi se ...

La privacy non è riservatezza . Ad esempio, quando ti connetti a un sito Web HTTPS, il tuo nemico non sarà in grado di vedere i dati che invii a quel sito e ciò che il sito invia (assumendo un client pulito e un server pulito, come spiegato sopra). Tuttavia, il tuo nemico sarà perfettamente consapevole del fatto che stai scambiando dati con quel sito Web specifico. Non lo farà quando ci si connette e vedrà la dimensione di tutte le richieste e le risposte e quindi può fare alcune buone ipotesi su ciò che si sta facendo sul sito. Si chiama analisi del traffico . SSL garantisce riservatezza e integrità, non "privacy" in senso lato.

Inoltre, se il tuo nemico è un governo, è probabile che non gli importi della tua password effettiva. Ottenere la tua password ha senso solo per gli aggressori che desiderano impersonare tu , collegandoti ai tuoi account su server esterni. Questo lascia tracce; le agenzie di spionaggio, di regola, non gli piacciono. Le intercettazioni passive, o forse il MitM non tracciabile, hanno più carattere per loro.

Tutto quanto sopra presuppone che il tuo nemico sia estremamente potente ma limitato geograficamente; può dirottare infrastrutture di telecomunicazione a volontà in tutto il suo paese, ma diventa impotente al di là dei confini. Questa è un'ipotesi un po 'semplicistica. Se l'attaccante è intenzionato a svelare i tuoi segreti, allora può anche indulgere in hacking attivo in tutto il mondo, cercando di trovare e sfruttare vulnerabilità in server esterni come qualsiasi altro aggressore.

    
risposta data 23.01.2014 - 13:35
fonte
4

Here where I live, it is believed that all the internet traffic goes through the hands of government agencies, and the telecommunication office is actually owned by the government.

quindi presumo che tu sia in EU-europe o negli Stati Uniti di A? (SCNR)

alle tue domande:

  1. sì, la manomissione è possibile, sia come uomo nel mezzo che nella successiva decodifica del traffico registrato. i tuoi dati di accesso sono condotti

  2. no

3.

  • non ha fiducia nella privacy su Internet (no, no i2p, niente di niente)
  • tieni il traffico più lontano da Internet che puoi
  • sii consapevole del problema dei meta-dati (sono comunque memorizzati)
  • scopri come tieni traccia di
  • impara a rimanere invisibile (ad esempio, evita di essere monitorato dai grandi giocatori)
  • impara la crittografia end-to-end
  • tieniti informato
  • TBC

Mi dispiace essere pessimista, ma Internet è rotto e non verrà riparato presto: (

    
risposta data 23.01.2014 - 08:41
fonte

Leggi altre domande sui tag