Почтовые сервисы
С мессенджерами мы более или менее разобрались. Но вряд ли у тебя нет старого доброго e-mail. Про почтовые сервисы нужно поговорить отдельно, потому что для многих углубление в эту банальную, казалось бы, тему оказывается дивным новым миром.
Для начала разберемся, какую почту выбрать. Очень формально разделим все популярные почтовые сервисы на три категории: совсем небезопасные, условно безопасные и сервисы, обеспечивающие продвинутую безопасность.
Для начала разберемся, какую почту выбрать. Очень формально разделим все популярные почтовые сервисы на три категории: совсем небезопасные, условно безопасные и сервисы, обеспечивающие продвинутую безопасность.
1. Небезопасные
К категории совсем небезопасных я бы отнес любые сервисы, базирующиеся в автократиях. В том числе популярные Mail.ru и Яндекс, подпадающие под действие «пакета Яровой». Не буду сейчас повторяться, почему все-таки не стоит доверять этим корпорациям любые данные, требующие конфиденциальности, вот здесь проговаривали подробно и с конкретными ссылками. Но если кратко:
И даже когда ты не российский пользователь, а живешь в стране, в которую регулярно с дружескими визитами прилетают люди из ФСБ России, это повод задуматься и перейти к другому поставщику услуг.
Кстати, если владеешь почтой на таких сервисах и активно ею пользуешься, представь, что произойдет, если указать подобный e-mail в качестве резервного для восстановления пароля от тех же условно безопасных Telegram, Facebook, Google или совсем уж безопасных сервисов. Иногда люди заводят здесь почту для спама и регистрации на «не очень ответственных» сервисах. Но тогда ты передаешь информацию как минимум о сфере своих интересов, что для авторитарных правительств может стать достаточным поводом доставить неприятности. Поэтому не рекомендую использовать небезопасную почту даже в таких целях, учитывая, что завести условно безопасную или одноразовую не составит никакого труда.
Кстати, если владеешь почтой на таких сервисах и активно ею пользуешься, представь, что произойдет, если указать подобный e-mail в качестве резервного для восстановления пароля от тех же условно безопасных Telegram, Facebook, Google или совсем уж безопасных сервисов. Иногда люди заводят здесь почту для спама и регистрации на «не очень ответственных» сервисах. Но тогда ты передаешь информацию как минимум о сфере своих интересов, что для авторитарных правительств может стать достаточным поводом доставить неприятности. Поэтому не рекомендую использовать небезопасную почту даже в таких целях, учитывая, что завести условно безопасную или одноразовую не составит никакого труда.
2. Условно безопасные
Условно безопасными можно назвать очень популярные сервисы, находящиеся под юрисдикцией демократий. Например, те же Google, Yahoo, Hotmail или Outlook. Почему безопасные? Потому что такая почта не превратится в проходной двор для товарищей в штатском из автократий по щелчку пальцев. Почему они все же условно безопасные? Потому что, как бы цинично это ни звучало, они часто зарабатывают на продаже твоих незашифрованных и должным образом не защищенных политикой конфиденциальности данных. И имеют свойство их выдавать по запросу властей.
Тот же Google и вовсе обвиняют в чтении электронной почты пользователей с целью продажи релевантной рекламы. Замечал, что до недавнего времени стоило получить письмо от какой-нибудь авиакомпании, как тут же появлялась реклама сервиса для бронирования жилья с твоими датами? Вот оно. Возможно, рекламные механизмы для тебя и не самая большая проблема, но могут произойти утечки со всеми вытекающими. Тем более письма в этих почтовых ящиках по умолчанию защищены не надежным сквозным шифрованием, как это реализовано у более заточенных на конфиденциальность и безопасность почтовых сервисах, а транспортным шифрованием TLS, да и то не всегда.
Тот же Google и вовсе обвиняют в чтении электронной почты пользователей с целью продажи релевантной рекламы. Замечал, что до недавнего времени стоило получить письмо от какой-нибудь авиакомпании, как тут же появлялась реклама сервиса для бронирования жилья с твоими датами? Вот оно. Возможно, рекламные механизмы для тебя и не самая большая проблема, но могут произойти утечки со всеми вытекающими. Тем более письма в этих почтовых ящиках по умолчанию защищены не надежным сквозным шифрованием, как это реализовано у более заточенных на конфиденциальность и безопасность почтовых сервисах, а транспортным шифрованием TLS, да и то не всегда.
При этом популярные сервисы все чаще вводят какие-то фишечки, которые в теории могут так или иначе усилить твою защиту. У Gmail, например, есть Конфиденциальный режим, который ввели, чтобы повысить безопасность и конфиденциальность переписок. С одной стороны, звучит здорово: можно настроить автоудаление сообщений и защищать письма отдельным паролем. С другой стороны, большие корпорации с высокодоходными акциями – это больше про удобство массового пользователя, а не про ту безопасность, которая необходима жителю автократии. Смотри: тот же пароль открытия письма, отправляемый гуглом твоему собеседнику через СМС – удобно для многих, но с точки зрения безопасности банальный перехват СМС сводит усилия на нет.
При этом популярные сервисы все чаще вводят какие-то фишечки, которые в теории могут так или иначе усилить твою защиту. У Gmail, например, есть Конфиденциальный режим, который ввели, чтобы повысить безопасность и конфиденциальность переписок. С одной стороны, звучит здорово: можно настроить автоудаление сообщений и защищать письма отдельным паролем. С другой стороны, большие корпорации с высокодоходными акциями – это больше про удобство массового пользователя, а не про ту безопасность, которая необходима жителю автократии. Смотри: тот же пароль открытия письма, отправляемый гуглом твоему собеседнику через СМС – удобно для многих, но с точки зрения безопасности банальный перехват СМС сводит усилия на нет.
Проблема незашифрованного целиком почтового ящика еще и в том, что авторитарные (да и любые другие) правительства могут написать официальный запрос на раскрытие твоей информации. И при определенных условиях получить ее, в том числе содержимое незашифрованных писем. Google об этом сообщает так: «Ряд законов наделяет государственные учреждения по всему миру полномочиями запрашивать личные данные пользователей в целях расследования гражданских, административных и уголовных дел, а также обеспечения национальной безопасности. В этом отчете мы публикуем информацию о количестве и типах запросов, которые приходят от государственных учреждений».
Многие крупные корпорации публикуют Transparency Report. На примере того же Google он выглядит вот так. Здесь есть интересные данные о количестве запросов госорганов на разглашение пользовательских данных, о количестве затронутых аккаунтов и о доле запросов, по которым были предоставлены некоторые данные. Правда, заметим здесь нет данных о том, выдает ли Google непосредственно содержимое незашифрованных писем.
Вот как выглядит ситуация с Беларусью
Вот как выглядит ситуация с Россией
Вот как выглядит ситуация с Казахстаном
Возможно, через условно безопасные почтовые сервисы все же не стоит вести коммуникации, из-за которых можно получить пожизненное с расстрелом? К тому же, есть более безопасные альтернативы.
3. Безопасные почтовые сервисы
Безопасные почтовые сервисы не такие массовые, но они вполне успешно существуют, даже если ты про них слышал только краем уха. Это не ультрасложные в освоении сервисы из фильмов про мегашпионов, а очень даже user-friendly, разобраться в которых не составит никакого труда, если уже имел опыт работы хотя бы в Gmail.
Как выбрать: почитать профессиональные обзоры по теме. Если же ищешь простой совет, держи: ProtonMail или Tutanota – сервисы, которым, кажется, действительно можно доверять. Полное шифрование ящика, а не просто транспортное шифрование до сервера, открытые исходные коды сервисов, ориентированные на приватность и безопасность, и множество других фишечек, непосредственно влияющих на твою безопасность. Например, ранее ProtonMail заявлял, что все накопители зашифрованы с несколькими уровнями паролей и находятся в швейцарских горах на месте бывших военных бункеров (теперь информация про бункеры пропала), что минимизирует риски в случае физической атаки. А Tutanota особенно подчеркивает защиту от рекламной слежки. Полный список пунктов, почему эти сервисы можно считать безопасными, есть здесь и здесь. А если до сих пор не веришь, что начать пользоваться защищенными e-mail легко, вот обзор Tutanota с пошаговой инструкцией по созданию и использованию ящика.
Кстати, юрисдикция при выборе почтового сервиса тоже играет большую роль. Дело в том, что так или иначе даже безопасные сервисы обязаны подчиняться законам своей страны. Они тоже получают запросы от властей на сбор и/или выдачу информации и иногда ее выдают, это касается даже ProtonMail (их Transparency Report интересное чтиво, рекомендую) и Tutanota . Однако одно дело, если «безопасный» почтовый сервис находится в автократии, другое – в ЕС и США с их бюрократией, а третье – в стране постоянного нейтралитета, коей является Швейцария. При чем здесь юрисдикция? ProtonMail соблюдает только юридически обязывающие распоряжения, одобренные швейцарскими властями, да еще может эти распоряжения и обжаловать.
Правда, не всегда получается. Одна из самых громких свежих историй по этой теме: ProtonMail раскрыл IP-адрес активиста правоохранительным органам. Рекомендую к прочтению как хороший пример важности именно комплексной защиты, включая VPN и/или TOR. Надежные сервисы, предоставляющие услуги полностью зашифрованной почты, не смогут выдать содержание писем, ведь даже разработчики не могут их прочитать, так как не знают твоих паролей шифрования. Но сервисы могут выдать информацию об IP-адресе пользователя, что для правоохранительных органов и без доступа непосредственно к письмам может стать весомым аргументом.
Как выбрать: почитать профессиональные обзоры по теме. Если же ищешь простой совет, держи: ProtonMail или Tutanota – сервисы, которым, кажется, действительно можно доверять. Полное шифрование ящика, а не просто транспортное шифрование до сервера, открытые исходные коды сервисов, ориентированные на приватность и безопасность, и множество других фишечек, непосредственно влияющих на твою безопасность. Например, ранее ProtonMail заявлял, что все накопители зашифрованы с несколькими уровнями паролей и находятся в швейцарских горах на месте бывших военных бункеров (теперь информация про бункеры пропала), что минимизирует риски в случае физической атаки. А Tutanota особенно подчеркивает защиту от рекламной слежки. Полный список пунктов, почему эти сервисы можно считать безопасными, есть здесь и здесь. А если до сих пор не веришь, что начать пользоваться защищенными e-mail легко, вот обзор Tutanota с пошаговой инструкцией по созданию и использованию ящика.
Кстати, юрисдикция при выборе почтового сервиса тоже играет большую роль. Дело в том, что так или иначе даже безопасные сервисы обязаны подчиняться законам своей страны. Они тоже получают запросы от властей на сбор и/или выдачу информации и иногда ее выдают, это касается даже ProtonMail (их Transparency Report интересное чтиво, рекомендую) и Tutanota . Однако одно дело, если «безопасный» почтовый сервис находится в автократии, другое – в ЕС и США с их бюрократией, а третье – в стране постоянного нейтралитета, коей является Швейцария. При чем здесь юрисдикция? ProtonMail соблюдает только юридически обязывающие распоряжения, одобренные швейцарскими властями, да еще может эти распоряжения и обжаловать.
Правда, не всегда получается. Одна из самых громких свежих историй по этой теме: ProtonMail раскрыл IP-адрес активиста правоохранительным органам. Рекомендую к прочтению как хороший пример важности именно комплексной защиты, включая VPN и/или TOR. Надежные сервисы, предоставляющие услуги полностью зашифрованной почты, не смогут выдать содержание писем, ведь даже разработчики не могут их прочитать, так как не знают твоих паролей шифрования. Но сервисы могут выдать информацию об IP-адресе пользователя, что для правоохранительных органов и без доступа непосредственно к письмам может стать весомым аргументом.
Если ты действительно заботишься о безопасности своих почтовых переписок и живешь в авторитарной стране, подумай вот о чем. Во-первых, как сделать так, чтобы товарищи из трехбуквенных ведомств, мониторящие трафик стране, не узнали, что у тебя в принципе есть защищенная/секретная почта. Здесь поможет VPN, который лучше бы использовать вообще для всех интернет-соединений, или более продвинутый вариант – TOR.
Во-вторых, как обеспечить дополнительную защиту ящику в случае физической атаки. Многие почтовые сервисы предлагают установить свои приложения на смартфон для удобства, но это вряд ли безопасно в твоем случае. Ведь сам представляешь что произойдет, если пришли нежданные гости, а ты почему-то не успел сбросить смартфон до заводских настроек. Что до работы на компьютере: личное окно в браузере Brave или режим инкогнито в Google Chrome для каждого входа в такую почту скроет следы того, что она у тебя в принципе существует. А с TOR-browser будешь чувствовать себя еще увереннее. Даже если недоброжелатели каким-то образом вынудят выдать пароль шифрования компьютера.
Во-вторых, как обеспечить дополнительную защиту ящику в случае физической атаки. Многие почтовые сервисы предлагают установить свои приложения на смартфон для удобства, но это вряд ли безопасно в твоем случае. Ведь сам представляешь что произойдет, если пришли нежданные гости, а ты почему-то не успел сбросить смартфон до заводских настроек. Что до работы на компьютере: личное окно в браузере Brave или режим инкогнито в Google Chrome для каждого входа в такую почту скроет следы того, что она у тебя в принципе существует. А с TOR-browser будешь чувствовать себя еще увереннее. Даже если недоброжелатели каким-то образом вынудят выдать пароль шифрования компьютера.
Если ты действительно заботишься о безопасности своих почтовых переписок и живешь в авторитарной стране, подумай вот о чем. Во-первых, как сделать так, чтобы товарищи из трехбуквенных ведомств, мониторящие трафик стране, не узнали, что у тебя в принципе есть защищенная/секретная почта. Здесь поможет VPN, который лучше бы использовать вообще для всех интернет-соединений, или более продвинутый вариант – TOR.
Во-вторых, как обеспечить дополнительную защиту ящику в случае физической атаки. Многие почтовые сервисы предлагают установить свои приложения на смартфон для удобства, но это вряд ли безопасно в твоем случае. Ведь сам представляешь что произойдет, если пришли нежданные гости, а ты почему-то не успел сбросить смартфон до заводских настроек. Что до работы на компьютере: личное окно в браузере Brave или режим инкогнито в Google Chrome для каждого входа в такую почту скроет следы того, что она у тебя в принципе существует. А с TOR-browser будешь чувствовать себя еще увереннее. Даже если недоброжелатели каким-то образом вынудят выдать пароль шифрования компьютера.
А если тебе вдруг и этого мало, если ищешь варианты на 146% безопасной и конфиденциальной почты, возможно, имеет смысл подумать со знакомым сисадмином про собственный почтовый сервер. Но, подозреваю, делать такой сервер в одиночку без должных навыков может стать хлопотным дельцем.
4. Одноразовая почта
Еще одна категория, не описанная выше, это сервисы, предоставляющие услуги одноразовой (временной) почты. Их можно использовать для того, чтобы защитить свои основные электронные почты от спама, ведь часто нам нужно зарегистрироваться где-то с помощью e-mail, но не очень хочется сходу скармливать свой настоящий адрес. Либо обеспечить себе условную конфиденциальность, чтобы было сложнее узнать реальное имя «Вася Пупкин» после того, как укажешь давно существующий адрес Vasya_Pupkin@gmail.com.
Можешь пользоваться, например этой, или подобрать для себя что-то более подходящее из этого списка. Но помни: хоть подобные почтовые сервисы и помогут повысить уровень твоей конфиденциальности, они не являются очень безопасными и теоретически могут хранить твои незашифрованные письма и другие данные. А данные, как мы помним, имеют свойство всплывать там, где мы этого не ждем.
В целом к вопросу использования одноразовой почты следует подходить с умом. Наверное, регистрировать на нее какой-то действительно важный аккаунт, доступ к которому нельзя потерять, не самая лучшая идея, ведь такой почтовый адрес пропадет очень быстро. И из-за этого в будущем могут быть неприятные последствия. В таком случае можно подумать, например, про второй гугл-аккаунт для спама.
Можешь пользоваться, например этой, или подобрать для себя что-то более подходящее из этого списка. Но помни: хоть подобные почтовые сервисы и помогут повысить уровень твоей конфиденциальности, они не являются очень безопасными и теоретически могут хранить твои незашифрованные письма и другие данные. А данные, как мы помним, имеют свойство всплывать там, где мы этого не ждем.
В целом к вопросу использования одноразовой почты следует подходить с умом. Наверное, регистрировать на нее какой-то действительно важный аккаунт, доступ к которому нельзя потерять, не самая лучшая идея, ведь такой почтовый адрес пропадет очень быстро. И из-за этого в будущем могут быть неприятные последствия. В таком случае можно подумать, например, про второй гугл-аккаунт для спама.
5. Настройка почты на безопасность и конфиденци-
альность
Какой бы почтовый сервис ни выбрал, следует уделить несколько минут на его настройку на безопасность. Потому что по умолчанию они удобны, но скорее всего, в твоем случае недостаточно безопасны.
Коротко про особые настройки безопасности аккаунта в популярной защищенной почте на примере ProtonMail (в браузерной версии нужно нажать на “Settings” – “Go to settings”)
Во-первых, вкладка «Recovery», то есть восстановление аккаунта через другой e-mail. Если считаешь это необходимым и готов другой почте обеспечить должную безопасность, можешь попробовать. А вот восстановление доступа через номер телефона точно выглядит крайне небезопасно в условиях автократий.
Во-вторых, вкладка «Account and password». Если Login password, я надеюсь, ты задал надежный и спрятал в надежное место, то с двухфакторной аутентификацией следует разобраться. Чуть ниже мы поговорим про нее подробнее на примере Google. Однако что предлагает ProtonMail? Это приложения Android, iOS и iPadOS, что в свою очередь влечет определенные риски в случае физической атаки на твой смартфон/планшет с установленным приложением. При этом после активации двухфакторной аутентификации через приложение тебе будут доступны одноразовые коды, и это уже выглядит интереснее, если эти одноразовые коды не хранить там же, где находятся логин и пароль от почтового ящика. Само приложение после получения одноразовых кодов можно и удалить со смартфона.
А вот «Two-password mode» на той же вкладке интересен тем, что тебе можно задать еще один пароль, теперь уже для расшифровки почтового ящика. Тогда придется кроме пары логин-пароль вводить еще один пароль, который тоже должен придумать сам. И хранить его лучше отдельно от основной пары.
В-третьих, в целях обеспечения очень-очень продвинутой безопасности можешь заглянуть на вкладку «Encryption keys». Если не понимаешь, что это и для чего нужно, лучше ознакомиться с официальным руководством здесь, здесь и здесь. Несколько слов про PGP/GPG будет в последней главе раздела.
В-четвертых. Не про настройки, а про отправку писем. Помни, что безопасность коммуникации – это двусторонний процесс. Поэтому, когда отправляешь письма, обрати внимание на значок замочка в нижнем левом углу окошка. Возможно, имеет смысл защищать письма паролями, а сами пароли для расшифровки писем передавать по другому каналу связи, например, вживую или через Signal? А за тремя точками рядом с замочком взгляни на пункт «Установите время истечения срока действия письма».
В-пятых, на вкладке «Безопасность» взгляни на «Управление сессиями» – открытые сессии. И там же на записи в «Журнале безопасности», если активирован пункт «Включить журнал аутентификации». Не видишь ничего странного? Если что-то из этих сессий и записей кажется подозрительным, срочно нажми «Прервать все другие сессии» и поменяй пароли от своего ящика! После этого подумай, что могло в твоей инфраструктуре безопасности быть той дырой, через которую злоумышленник мог пробраться в почту, и устрани дыру.
В-шестых, возможно, в твоей защищенной почте есть возможность установить автоматическую пересылку писем недоброжелателям. Достаточно лишь на несколько секунд получить доступ к e-mail, чтобы это настроить. Перепроверь настройки.
Коротко про настройки безопасности аккаунта в популярных условно безопасных сервисах на примере Gmail:
Во-первых, прямо сейчас проверь, не привязан ли номер телефона к твоим аккаунтам. Помнишь, что банальный перехват СМС может свести все усилия на нет? Это работает и с мессенджерами без двухфакторной аутентификации, и с почтой, и с соцсетями. Пожалуйста, перепроверь и удали, если номер телефона записан. В Google можно сделать на этой странице в разделе «Способы подтверждения личности».
Во-вторых, прямо сейчас перепроверь и резервную почту для восстановления пароля. Во многих сервисах это находится там же, где только что нашел номер телефона или окошко, куда его можно ввести. Представь: завел условно безопасный Gmail, но резервная почта на Mail.ru… Поздравляю. (сарказм) В резервной почте ты должен быть уверен не меньше, чем в основной.
В-третьих, двухэтапная аутентификация. Уж сколько про нее было сказано-пересказано… Зачем нужна? Чтобы если злоумышленник каким-то образом все же узнал твой логин и пароль, ему потребуется еще одна слагаемая для входа в аккаунт. Подробно об этом написано у самого Google. Но Google, как мы помним, скорее про удобство в демократии, чем про безопасность в автократии. Они предлагают в качестве второго этапа СМС, голосовой звонок, приложение для аутентификации и другие вещи.
Коротко про особые настройки безопасности аккаунта в популярной защищенной почте на примере ProtonMail (в браузерной версии нужно нажать на “Settings” – “Go to settings”)
Во-первых, вкладка «Recovery», то есть восстановление аккаунта через другой e-mail. Если считаешь это необходимым и готов другой почте обеспечить должную безопасность, можешь попробовать. А вот восстановление доступа через номер телефона точно выглядит крайне небезопасно в условиях автократий.
Во-вторых, вкладка «Account and password». Если Login password, я надеюсь, ты задал надежный и спрятал в надежное место, то с двухфакторной аутентификацией следует разобраться. Чуть ниже мы поговорим про нее подробнее на примере Google. Однако что предлагает ProtonMail? Это приложения Android, iOS и iPadOS, что в свою очередь влечет определенные риски в случае физической атаки на твой смартфон/планшет с установленным приложением. При этом после активации двухфакторной аутентификации через приложение тебе будут доступны одноразовые коды, и это уже выглядит интереснее, если эти одноразовые коды не хранить там же, где находятся логин и пароль от почтового ящика. Само приложение после получения одноразовых кодов можно и удалить со смартфона.
А вот «Two-password mode» на той же вкладке интересен тем, что тебе можно задать еще один пароль, теперь уже для расшифровки почтового ящика. Тогда придется кроме пары логин-пароль вводить еще один пароль, который тоже должен придумать сам. И хранить его лучше отдельно от основной пары.
В-третьих, в целях обеспечения очень-очень продвинутой безопасности можешь заглянуть на вкладку «Encryption keys». Если не понимаешь, что это и для чего нужно, лучше ознакомиться с официальным руководством здесь, здесь и здесь. Несколько слов про PGP/GPG будет в последней главе раздела.
В-четвертых. Не про настройки, а про отправку писем. Помни, что безопасность коммуникации – это двусторонний процесс. Поэтому, когда отправляешь письма, обрати внимание на значок замочка в нижнем левом углу окошка. Возможно, имеет смысл защищать письма паролями, а сами пароли для расшифровки писем передавать по другому каналу связи, например, вживую или через Signal? А за тремя точками рядом с замочком взгляни на пункт «Установите время истечения срока действия письма».
В-пятых, на вкладке «Безопасность» взгляни на «Управление сессиями» – открытые сессии. И там же на записи в «Журнале безопасности», если активирован пункт «Включить журнал аутентификации». Не видишь ничего странного? Если что-то из этих сессий и записей кажется подозрительным, срочно нажми «Прервать все другие сессии» и поменяй пароли от своего ящика! После этого подумай, что могло в твоей инфраструктуре безопасности быть той дырой, через которую злоумышленник мог пробраться в почту, и устрани дыру.
В-шестых, возможно, в твоей защищенной почте есть возможность установить автоматическую пересылку писем недоброжелателям. Достаточно лишь на несколько секунд получить доступ к e-mail, чтобы это настроить. Перепроверь настройки.
Коротко про настройки безопасности аккаунта в популярных условно безопасных сервисах на примере Gmail:
Во-первых, прямо сейчас проверь, не привязан ли номер телефона к твоим аккаунтам. Помнишь, что банальный перехват СМС может свести все усилия на нет? Это работает и с мессенджерами без двухфакторной аутентификации, и с почтой, и с соцсетями. Пожалуйста, перепроверь и удали, если номер телефона записан. В Google можно сделать на этой странице в разделе «Способы подтверждения личности».
Во-вторых, прямо сейчас перепроверь и резервную почту для восстановления пароля. Во многих сервисах это находится там же, где только что нашел номер телефона или окошко, куда его можно ввести. Представь: завел условно безопасный Gmail, но резервная почта на Mail.ru… Поздравляю. (сарказм) В резервной почте ты должен быть уверен не меньше, чем в основной.
В-третьих, двухэтапная аутентификация. Уж сколько про нее было сказано-пересказано… Зачем нужна? Чтобы если злоумышленник каким-то образом все же узнал твой логин и пароль, ему потребуется еще одна слагаемая для входа в аккаунт. Подробно об этом написано у самого Google. Но Google, как мы помним, скорее про удобство в демократии, чем про безопасность в автократии. Они предлагают в качестве второго этапа СМС, голосовой звонок, приложение для аутентификации и другие вещи.
Увы, двухэтапная аутентификация через СМС и звонки не имеет смысла, если мы защищаемся от товарищей, имеющих возможность перехватывать звонки и СМС. А приложение Authenticator в авторитарных странах вряд ли способно тебя защитить в случае физической атаки на не сброшенный до завода смартфон. «Попросили показать, как отключить планшет. Минут через 10 потребовали пароль от него. Я отказалась — не хотела подставлять людей. Они начали громить дом», – рассказывала экс-политзаключенная, которую шантажировали беременностью. Разблокированный смартфон – разблокированный Authenticator.
Увы, двухэтапная аутентификация через СМС и звонки не имеет смысла, если мы защищаемся от товарищей, имеющих возможность перехватывать звонки и СМС. А приложение Authenticator в авторитарных странах вряд ли способно тебя защитить в случае физической атаки на не сброшенный до завода смартфон. «Попросили показать, как отключить планшет. Минут через 10 потребовали пароль от него. Я отказалась — не хотела подставлять людей. Они начали громить дом», – рассказывала экс-политзаключенная, которую шантажировали беременностью. Разблокированный смартфон – разблокированный Authenticator.
Пожалуй, одним из наиболее надежных вторых факторов выглядят одноразовые (резервные) коды. Их ты можешь хранить в скрытых криптоконтейнерах, менеджерах паролей или где-то еще. Но хранить в таком месте, до которого недоброжелатель физически вряд ли доберется. Как минимум вне стен помещений (всех!), в которых может быть обыск. А обыски, судя по последним новостям, часто могут проводиться и у тебя дома, и у родителей, и на даче… Подумай, какое еще место в зоне твоей досягаемости может служить безопасным хранилищем. И может ли им служить облачное хранилище.
В-четвертых, на странице есть раздел «Ваши устройства». Нет ли там ничего лишнего? Если есть, срочно удаляй и меняй пароль от аккаунта! После этого подумай, что могло в твоей инфраструктуре безопасности быть той дырой, через которую злоумышленник мог пробраться в почту, и устрани дыру.
В-пятых, автоматическая пересылка твоих писем недоброжелателям. Достаточно лишь на несколько секунд получить доступ к e-mail, чтобы настроить пересылку почты. Проверь, не читает ли кто-то еще твои письма. Инструкция для Gmail здесь.
В-шестых, доступ различных приложений и сайтов к твоему Google (Facebook, Apple, других аккаунтов это тоже касается) нужно запретить прямо сейчас. Нажимал хоть раз на каком-нибудь сайте «Войти через Google»? Смотри, что об этом пишут разработчики: «Надежно храните и извлекайте учетные данные для имени пользователя и пароля, избавляя пользователей от необходимости повторно вводить учетные данные при повторных посещениях». Да, это удобно: не нужно каждый раз придумывать новые пароли и их вводить. Но совершенно небезопасно, ведь каждый раз регистрируясь в новом сервисе с помощью Google, Facebook или Apple, ты своими руками отдаешь сервисам информацию о себе и какой-никакой доступ к аккаунту, через который входишь. А там уже могут быть какие угодно поломки и утечки. То есть каждый раз нажимая «Войти с помощью Google/Facebook/Apple/Twitter/etc.», ты повышаешь риски утечки примерно в два раза! А ведь иногда можешь и вовсе по невнимательности разрешить шпионам слишком много знать про свои аккаунты…
В-четвертых, на странице есть раздел «Ваши устройства». Нет ли там ничего лишнего? Если есть, срочно удаляй и меняй пароль от аккаунта! После этого подумай, что могло в твоей инфраструктуре безопасности быть той дырой, через которую злоумышленник мог пробраться в почту, и устрани дыру.
В-пятых, автоматическая пересылка твоих писем недоброжелателям. Достаточно лишь на несколько секунд получить доступ к e-mail, чтобы настроить пересылку почты. Проверь, не читает ли кто-то еще твои письма. Инструкция для Gmail здесь.
В-шестых, доступ различных приложений и сайтов к твоему Google (Facebook, Apple, других аккаунтов это тоже касается) нужно запретить прямо сейчас. Нажимал хоть раз на каком-нибудь сайте «Войти через Google»? Смотри, что об этом пишут разработчики: «Надежно храните и извлекайте учетные данные для имени пользователя и пароля, избавляя пользователей от необходимости повторно вводить учетные данные при повторных посещениях». Да, это удобно: не нужно каждый раз придумывать новые пароли и их вводить. Но совершенно небезопасно, ведь каждый раз регистрируясь в новом сервисе с помощью Google, Facebook или Apple, ты своими руками отдаешь сервисам информацию о себе и какой-никакой доступ к аккаунту, через который входишь. А там уже могут быть какие угодно поломки и утечки. То есть каждый раз нажимая «Войти с помощью Google/Facebook/Apple/Twitter/etc.», ты повышаешь риски утечки примерно в два раза! А ведь иногда можешь и вовсе по невнимательности разрешить шпионам слишком много знать про свои аккаунты…
О том, как запретить доступ, есть неплохая пошаговая инструкция вот здесь. А можешь зайти сюда, доскроллить до раздела «Вход на другие сайты через аккаунт Google», и желательно выключить все. Да, тогда в отключенных сервисах придется зарегистрироваться заново и придумывать отдельные пароли. Но такова цена безопасности. Исключением могут служить, пожалуй, только сервисы, в которых ты уверен на все 99%. Особенно если они заточены на обеспечение безопасности и от надежного поставщика.
О том, как запретить доступ, есть неплохая пошаговая инструкция вот здесь. А можешь зайти сюда, доскроллить до раздела «Вход на другие сайты через аккаунт Google», и желательно выключить все. Да, тогда в отключенных сервисах придется зарегистрироваться заново и придумывать отдельные пароли. Но такова цена безопасности. Исключением могут служить, пожалуй, только сервисы, в которых ты уверен на все 99%. Особенно если они заточены на обеспечение безопасности и от надежного поставщика.
Кстати, один из таких кейсов – утечка паролей из популярного графического сервиса Canva. Вот что об этом писал сам сервис: «Сброс токенов OAuth: мы работали с нашими партнерами, чтобы убедиться, что все активные токены входа, существовавшие до взлома, сброшены. Этим пользователям будет предложено повторно подключить свою учетную запись Canva». И вот еще: «Обновите свою учетную запись Google/Facebook, если мы отключили ее: если вы входите в систему с помощью Facebook или Google, возможно, мы сбросили вашу учетную запись. Просто войдите еще раз, чтобы вернуться в свою учетную запись Canva». То есть Canva вроде бы и не просит обновить пароль от аккаунтов Google и Facebook, через которые можно было зарегистрироваться в сервисе. Однако специализированный сервис для проверки утечек при проверке Google-аккаунта, привязанного к Canva на момент утечки, сообщает: «Скомпрометированные данные: адреса электронной почты, географические местоположения, имена, пароли, имена пользователей».
Мораль: доступ различных приложений и сайтов к твоему Google (Facebook, Apple, Twitter, других аккаунтов это тоже касается) нужно запретить прямо сейчас. А регулярно менять пароли, особенно сразу после того, как запретишь доступ сторонним сервисам, тоже хорошая идея.
Мораль: доступ различных приложений и сайтов к твоему Google (Facebook, Apple, Twitter, других аккаунтов это тоже касается) нужно запретить прямо сейчас. А регулярно менять пароли, особенно сразу после того, как запретишь доступ сторонним сервисам, тоже хорошая идея.
6. Сторонние браузерные решения по шифрованию писем и дополнительной защите аккаунтов
В интернете можно найти обзоры с заголовками типа «Лучшие расширения для защиты учетной записи Gmail» или «Обзор расширений для отправки зашифрованных электронных писем». Так вот, любые браузерные расширения – палка о двух концах. С одной стороны, это может быть удобно. С другой – вовсе не безопасно. Ведь в таком случае ты своими руками разрешаешь сторонним программам получить доступ и к браузеру в целом, и к коммуникациям, требующим конфиденциальности в частности.
Рекомендую подходить к выбору таких расширений, как и к остальному, вдумчиво. Если любишь простые советы, держи: Mailvelope – сервис с открытым исходным кодом, обеспечивающее сквозное (end-to-end, оконечное) шифрование писем. Пошаговая инструкция с картинками здесь.
Вспомни, что мы уже говорили про браузерные расширения, и сделай правильные выводы.
Ну а теперь, если с почтой разобрались, давай перейдем к соцсетям. Это будет короткая глава, обещаю.
Рекомендую подходить к выбору таких расширений, как и к остальному, вдумчиво. Если любишь простые советы, держи: Mailvelope – сервис с открытым исходным кодом, обеспечивающее сквозное (end-to-end, оконечное) шифрование писем. Пошаговая инструкция с картинками здесь.
Вспомни, что мы уже говорили про браузерные расширения, и сделай правильные выводы.
Ну а теперь, если с почтой разобрались, давай перейдем к соцсетям. Это будет короткая глава, обещаю.
Содержание
Навигатор по энциклопедии ⏬
Содержание
Навигатор по энциклопедии ⏬