1. Моделирование угроз и Zero Trust: базовая гигиена, пароли и шифрование данных
Моделирование угроз и Zero Trust: базовая гигиена, пароли и шифрование данных
Вы хотите исчезнуть. Вы хотите, чтобы OSINT-специалисты видели пустоту вместо вашего цифрового портрета. Вы хотите, чтобы рекламные алгоритмы не знали о вашем существовании. У вас нет бюджета на дорогое оборудование, но у вас есть смартфон и ноутбук. Этого достаточно, если вы измените мышление.
Большинство курсов по анонимности начинаются с установки VPN или Tor. Это ошибка. Инструменты бесполезны, если вы не понимаете, от кого и что защищаете. Первая статья курса посвящена фундаменту: моделированию угроз, философии Zero Trust и математике паролей.
Моделирование угроз (Threat Modeling)
Абсолютной анонимности не существует. Существует лишь защита, достаточная для того, чтобы стоимость атаки на вас превысила ценность ваших данных для атакующего. Чтобы достичь этого баланса, необходимо построить модель угроз.
Согласно Privacy Guides, модель угроз — это список наиболее вероятных атак на вашу безопасность. Невозможно защититься от всего сразу. Если вы защищаетесь от «хакеров» вообще, вы не защищены ни от кого.
5 вопросов для построения модели
Возьмите лист бумаги (не цифровой заметки) и ответьте на вопросы:
Оценка рисков
В информационной безопасности риск можно выразить простой зависимостью. Чем выше вероятность и ущерб, тем серьезнее риск.
где — риск (Risk), — вероятность события (Probability), — влияние последствий (Impact).
Для Counter-OSINT ваша главная угроза — это сопоставление данных. Если OSINT-специалист найдет ваш никнейм на форуме любителей кошек и свяжет его с вашей рабочей почтой, ваша анонимность разрушена. В данном курсе мы исходим из модели угроз, где противник — это квалифицированный OSINT-специалист или автоматизированная система сбора данных (дата-брокер).
Концепция Zero Trust («Нулевое доверие»)
В корпоративном мире Zero Trust — это сложная архитектура. Для частного лица без бюджета — это паранойя, возведенная в принцип.
Традиционная безопасность похожа на замок: крепкие стены снаружи, но внутри все двери открыты. Zero Trust исходит из того, что злоумышленник уже внутри. По данным CISOClub, суть подхода заключается в полном отказе от неявного доверия к любым элементам системы.
Принципы Zero Trust для анонимности:
Как пишет Илья Сафронов на Habr, одна из идей Zero Trust — «Всегда проверяй явно». Для нас это значит: каждое приложение, запрашивающее доступ к камере или контактам, должно быть проверено и, по умолчанию, заблокировано.
Пароли и Энтропия: Математика взлома
Ваша первая линия обороны — это пароли. Большинство людей используют слабые пароли, потому что не понимают математику перебора (brute-force).
Сила пароля измеряется не в «сложности» для человека, а в энтропии (битах неопределенности). Формула расчета энтропии пароля:
где — энтропия в битах, — длина пароля (количество символов), — размер набора символов (мощность алфавита).
Пример расчета
Сравним два пароля.
Пароль А: Tr0ub4dor&3 (11 символов, используются большие, маленькие буквы, цифры и спецсимволы). .
Пароль Б: correct horse battery staple (4 случайных слова, 28 символов, только маленькие буквы и пробелы). .
Рассчитаем энтропию для Пароля А:
Рассчитаем энтропию для Пароля Б:
Каждый дополнительный бит энтропии удваивает время, необходимое для перебора. Разница между 71 и 133 битами колоссальна. Пароль Б, несмотря на простоту символов, на порядки надежнее из-за длины.
Правила гигиены паролей
Двухфакторная аутентификация (2FA)
Пароль могут украсть (кейлоггер, фишинг). 2FA — это второй замок.
ЗАПРЕЩЕНО: Использовать SMS для 2FA. Протокол SS7 уязвим, а SIM-карту можно клонировать или перевыпустить по поддельной доверенности (SIM swapping).
РЕКОМЕНДОВАНО: Использовать приложения для генерации TOTP (Time-based One-Time Password). * Android: Aegis Authenticator (Open Source, шифрование резервных копий). * iOS: Raivo OTP (или Ente Auth).
Эти приложения работают оффлайн и не передают ваши коды третьим лицам.
Шифрование данных: Последний рубеж
Если ваше устройство украдут или изымут, пароль на вход в систему (Windows/macOS) будет сброшен или обойден за считанные минуты. Единственная защита данных — полнодисковое шифрование (FDE).
Veracrypt и правдоподобное отрицание
Для ноутбука лучшим бесплатным решением является VeraCrypt. Это форк закрытого проекта TrueCrypt.
Главная фишка VeraCrypt для экстремальной анонимности — скрытые тома (Hidden Volumes). Это реализация концепции Plausible Deniability (правдоподобное отрицание).
Как это работает:
Если вас принуждают выдать пароль (терморектальный криптоанализ), вы выдаете Пароль №1. Атакующий видит файлы, убеждается, что пароль подошел, и технически не может доказать существование скрытого раздела.
Для смартфонов (Android/iOS) обязательно включите шифрование в настройках безопасности. На современных устройствах оно включено по умолчанию, но требует надежного пин-кода (минимум 6 цифр, лучше — буквенно-цифровой пароль).