OpSec &
InfoSec
OpSec & InfoSec
Cilj OpSec-a u kontekstu privatnosti je sprječavanje identifikacije, zaštita fizičke privatnosti, minimiziranje digitalnog otiska i ometanje/prevencija opozicije.
InfoSec se fokusira na zaštitu digitalnih informacija i IT sistema. Bavi se povjerljivošću, cjelovitosti i dostupnošću podataka. Njegov je opseg prvenstveno digitalan, obuhvatajući mreže, baze podataka i elektronsku pohranu.
Operativna sigurnost (OpSec) je proces identificiranja ključnih informacija o aktivnosti/misiji/operaciji koje bi mogle biti meta protivnika koji želi te iste aktivnosti obustaviti. Cilj je zaštititi i osigurati informacije kako bi se spriječilo da ih opozicija pribavi. U konekstu privatnosti, to se može opisati kao proces sprječavanja napadača da uspješno pribavi informacije potrebne za vašu deanonimizaciju i ometanje ili manipulisanje vašim aktivnostima. Npr. instalacija adblockera kako bi se spriječilo praćenje online aktivnosti i pojavljivanje manipulativnih reklama.
Sigurnost informacija (InfoSec) razlikuje se po tome što provodi sveobuhvatne tehničke kontrole za osiguranje svih informacijskih sistema i podataka. Prvenstveno se usredotočuje na zaštitu digitalne imovine putem enkripcije, firewalla, kontrola pristupa i politika usklađenosti. Dok OpSec određuje šta treba zaštititi i ciljeve opozicije, InfoSec pruža tehnička sredstva i “brave i alarme” za zaštitu.
Ako želite ostati “anonimni”, potrebna vam je neka vrsta OpSec-a i InfoSec-a kako biste spriječili većinu korisničkih grešaka ili poznatih tehnika koje se koriste za deanonimizaciju nekoga. Važno je napomenuti da ne postoji 100-postotna anonimnost ili sigurnost. Najbolje što možete učiniti jeste biti razumno osigurani od napada i tehnika koje bi mogao koristiti vaš protivnik. Iako OpSec na papiru može izgledati komplicirano, zapravo je vrlo jednostavan i vjerojatno ste ga mnogo puta praktikovali, a da to niste ni shvatili.
Za početak, bitno je odrediti lični threat model. Nekoliko primjera možete pogledati na Profili Privatnosti. Pored datih primjera, postoji više metodologija određivanja threat modela od kojih su najpoznatiji: LINDDUN, STRIDE, OWASP, CVSS i DREAD. Neovisno koju metodologiju izaberete, osnovni zahtjevi su da znate što pokušavate zaštititi i ko je vaš protivnik. Od te tačke možete proučavati i učiti o svom protivniku, uključujući koje će napade i tehnike pokušati koristiti kako bi došli do onoga što pokušavate zaštititi. Nakon toga, možete pronaći protumjere kako biste usporili ili u potpunosti zaustavili svog protivnika. U kontekstu anonimnosti, ono što pokušavate zaštititi najvjerojatnije će biti vaš identitet. Međutim, to se može razlikovati od osobe do osobe ovisno o situaciji. Nakon određivanja vašeg threat modela i shvatanja ko je vaš protivnik, pogledajte Najbolje Preporuke.
|
Objavljivanje fotografija s odmora na društvenim mrežama |
Lopovima daje do znanja da je vaša kuća prazna i stvara prilike za provalu |
Pričekajte s objavljivanjem sadržaja nakon povratka kući ili ne objavljujte uopšte |
|
Objave na LinkedInu o radnoj poziciji / lokaciji / rasporedu |
Daje uhodama / opoziciji dodatne informacije za potencijalnu zloupotrebu |
Izostavite specifične detalje, umjesto toga generalizirajte funkciju kompanije ili ne koristite LinkedIn |
|
Pretpostavljanje i očekivanje da jedan alat rješava sve |
Probijanje jedne tačke rezultira u kompletnom porazu |
Primijenite višeslojnu, duboko promišljenu odbranu |
|
Zanemarivanje metapodataka poruka |
Informacije o tome s kim stupate u kontakt otkrivaju više nego sami sadržaj poruke |
Minimizirajte uzorak i učestalost kontakta i strateški koristite burner brojeve, naloge i uređaje |
|
Zanemarivanje EXIF metapodataka unutar fotografija |
Skriveni exif tagovi otkrivaju tačnu lokaciju i model uređaja s kojeg je fotografija uslikana |
Uklonite metapodatke prije dijeljenja slika |
|
Zanemarivanje izloženosti fingerprintinga uređaja |
Canvas / WebGL / fontovi u browseru otkrivaju jedinstvene identifikatore |
Koristite virtualizirane browsere ili fingerprint spoofing alate |
|
Povezivanje naloga putem telefonskog broja |
SMS recovery otkriva čitav lanac identiteta povezanih s brojem telefona |
Koristite virtualne brojeve ili metode registracije ili potvrde koje izbjegavaju telefonske veze |
Mit 1: “Neće se dogoditi meni / Previše sam nebitan da bi bio vrijedna meta.”
Automizirani alati za napade ne biraju. Ransomware kampanje svakodnevno masovno ciljaju hiljade organizacija bez obzira na veličinu. Napadači unovčuju bilo kakve ranjive podatke. Razmišljajte preventivno ne reaktivno.
Mit 2: “Prijetnje iznutra nisu ozbiljne u usporedbi s vanjskim hakerskim napadima”
Incidenti uzrokovani internim napadima nanose štetu jednaku ili veću od one uzrokovane vanjskim probojima. Nezadovoljni zaposlenici, nemarno osoblje i kompromitirane vjerodajnice sve se računaju kao prijetnje iznutra. Naravno, nemaju svi budžet za edukaciju i trening ili vrijeme za sumnju u svoje kolege i uposlenike, no kompanije koje imaju šta izgubiti i kojima je stalo do sigurnosti informacija će uložiti ozbiljna sredstva u zaštitu istih.
Mit 3: “Korištenje VPN-a skriva sve online aktivnosti”
VPN-ovi su doživjeli ogroman boom u popularnosti prvenstveno zbog sve veće zabrinutosti za privatnost, usvajanja rada na daljinu i pojačane cenzure. Uz tu popularnost došao je i ogroman val lažnog marketinga gdje su mnogi obećavali nemoguće, poput “potpuna anonimnost” ili “vojna enkripcija” i “one-click sigurnost” predstavljajući VPN-ove kao neku magičnu alatku koja garantuje potpunu sigurnost i privatnost. No, realnost je drugačija.
VPN-ovi štite od: ISP špijuniranja, nadzora lokalne mreže, regionalne cenzure, osnovne analize prometa i prisluškivanje Wi-Fi hotspota.
VPN-ovi NE štite od: Praćenja web-stranica putem kolačića, browser fingerprintinga, kompromitiranja endpoint uređaja, korelacije računa između usluga, malicioznog softvera i hakera
Mit 4: Telegram i WhatsApp su sigurni, enkriptovani messengeri.
Telegramovi obični razgovori pohranjuju se u nešifriranom obliku na njihovim serverima, što znači da ih kompanija može čitati u bilo kojem trenutku. Imaju tajne chatove koji koriste enkripciju, ali ona nije uključena prema zadanim postavkama i većina ljudi čak ni ne zna da postoje. Pored toga, nakon uhićenja osnivača Telegrama, Pavela Durova, Telegram sve češće ispunjava zahtjeve koje mu vlast nalaže. WhatsApp koristi Signalovu enkripciju ali s obzirom da iza njega stoji Meta kojoj je poslovni model zastupljen na invaziji privatnosti korisnika, WhatsApp prikuplja: kontakte, vremenske oznake, učestalost, podatke o uređaju, obrasce lokacije i još mnogo toga. Ako želiš messenger zbog privatnosti (ne anonimnosti), koristi Signal. Za anonimnost, neki preporučuju XMPP i OMEMO preko Tora no izvedba je izazovna.
Mit 5: ProtonMail je anoniman.
ProtonMail nije anonimna usluga. Više puta su sarađivali sa državnim organima i predavali dostupne informacije o svojim korisnicima, primarno jer su su dužni poštovati Švicarske zakone i zahtjeve. Ne biste se trebali oslanjati na kompaniju ili proizvod da bi vas održali anonimnima. ProtonMail također ne enkriptuje metapodatke, kao što su naslovi e-poruka, sender/recipient headers i timestamps, iako to podržava veliki broj klijenata e-pošte koji podržavaju PGP. Opet, daleko je bolji od Gmaila, Outlooka i iClouda ali je za maksimalnu privatnost neophodno sprovođenje najboljih OpSec i InfoSec praksi.