Поширені загрози приватності та безпеці
Не існує одного інструмента, який захистить від усіх загроз. Розберімо найпоширеніші сценарії та зрозуміємо, які з них можуть бути важливими саме для вас.
Не всі люди стикаються з однаковими загрозами.
Для когось головним ризиком є викрадення акаунта, для когось — масовий збір даних рекламними мережами, а для когось — цілеспрямована атака на пристрій.
Саме тому не існує універсального набору інструментів, який однаково добре захищає всіх.
Які загрози бувають?
Privacy Guides виділяє низку поширених загроз і цілей, які можуть бути важливими для користувачів: анонімність, цілеспрямовані атаки, атаки на ланцюг постачання, пасивні атаки, приватність від постачальників послуг, масове стеження, комерційне стеження, публічне розкриття інформації та цензура. citeturn0search0
Не обов’язково, що всі вони стосуються саме вас.
Ваша модель загроз визначає, які з них мають найбільше значення.
Анонімність
Анонімність — це можливість діяти в інтернеті без постійного ідентифікатора, який можна пов’язати з вашою реальною особою.
Це відрізняється від приватності.
Наприклад, ви можете використовувати зашифрований месенджер і мати приватне листування, але ваш акаунт усе одно буде пов’язаний із вашим номером телефону.
У такому випадку ви маєте певний рівень приватності, але не повну анонімність.
Анонімність може бути особливо важливою для журналістів, викривачів, активістів або людей, яким загрожують переслідування. Для більшості користувачів повна анонімність не є необхідною. citeturn0search5
Пасивні атаки
Пасивна атака не обов’язково спрямована саме на вас.
Вона може зачепити велику кількість людей одночасно.
Прикладами можуть бути:
- шкідливе програмне забезпечення;
- витік даних;
- масова кампанія фішингу;
- автоматизоване сканування вразливих систем;
- компрометація популярного сервісу.
Такі атаки особливо небезпечні тим, що вам не потрібно бути конкретною ціллю.
Достатньо користуватися вразливим програмним забезпеченням або сервісом.
Цілеспрямовані атаки
Цілеспрямована атака відрізняється тим, що атакувальник навмисно обирає саме вас або вашу організацію.
Наприклад:
- надсилає спеціально підготовлений документ;
- використовує фішингове повідомлення;
- намагається експлуатувати вразливість браузера;
- атакує ваші акаунти;
- отримує фізичний доступ до пристрою.
Для такого сценарію звичайних заходів безпеки може бути недостатньо.
Важливими стають:
- сильна автентифікація;
- оновлення програм;
- шифрування пристроїв;
- безпечний процес завантаження;
- розділення середовищ;
- обмеження доступу застосунків;
- резервні копії.
Privacy Guides окремо наголошує, що цілеспрямовані атаки можуть вимагати складніших стратегій захисту. citeturn0search0
Атаки на ланцюг постачання
Ви можете користуватися хорошою програмою, але це не гарантує, що весь ланцюг її створення та доставки безпечний.
Supply chain attack — це атака, під час якої зловмисник компрометує програму, бібліотеку, залежність або іншу частину ланцюга постачання.
Наприклад, шкідливий код може потрапити:
- безпосередньо в основний проєкт;
- через скомпрометованого розробника;
- через сторонню бібліотеку;
- на етапі збирання або розповсюдження програми.
Такі атаки складні для повного запобігання.
Тому важливими сигналами є:
- репутація проєкту;
- кількість незалежних розробників;
- прозорий процес розробки;
- підписані релізи;
- відтворювані або перевірювані збірки;
- активний аудит коду;
- тривала історія підтримки.
Приватність від постачальників послуг
Коли ви користуєтеся онлайн-сервісом, частина ваших даних часто проходить через його сервери.
Це стосується пошти, соціальних мереж, месенджерів, хмарних сховищ та багатьох інших сервісів.
Якщо сервіс зберігає ваші дані у відкритому для нього вигляді, постачальник потенційно може їх прочитати або передати іншій стороні відповідно до своїх політик та юридичних зобов’язань.
Наскрізне шифрування
End-to-End Encryption (E2EE) шифрує повідомлення на пристрої відправника так, щоб сервер не мав доступу до їхнього відкритого вмісту.
Це значно зменшує можливості постачальника сервісу прочитати ваші повідомлення.
Але E2EE не обов’язково приховує метадані.
Постачальник може знати, наприклад:
- хто з ким спілкується;
- коли відбувається спілкування;
- як часто ви користуєтеся сервісом;
- приблизний обсяг активності.
Privacy Guides окремо наголошує, що метадані часто залишаються доступними навіть при використанні E2EE. citeturn0search3
Масове стеження
Масове стеження — це збір або аналіз інформації про значну частину населення, а не лише про конкретних людей.
В інтернеті для цього можуть використовуватися:
- IP-адреси;
- cookies;
- дані, які користувач вводить на сайтах;
- відбиток браузера або пристрою;
- платіжна інформація;
- дані про використання сервісів.
Залежно від ситуації корисними можуть бути:
- мінімізація даних;
- розділення цифрових ідентичностей;
- зменшення кількості ідентифікаторів;
- шифрування;
- використання сервісів, які збирають менше даних.
Privacy Guides зазначає, що способи відстеження можуть включати IP-адреси, cookies, fingerprinting та кореляцію платіжної інформації. citeturn0search8
Комерційне стеження
Велика частина цифрової економіки побудована на зборі інформації про користувачів.
Рекламні мережі можуть відстежувати активність людини далеко за межами одного сайту.
Це дозволяє створювати профілі на основі:
- відвіданих сайтів;
- пошукових запитів;
- інтересів;
- покупок;
- приблизного місцезнаходження;
- взаємодії з рекламою.
Зменшити такий збір можуть допомогти:
- блокувальники контенту та трекерів;
- обмеження сторонніх cookies;
- мінімізація дозволів;
- вибір сервісів із кращою політикою приватності;
- розділення різних цифрових ідентичностей.
Але жоден окремий інструмент не гарантує повного припинення відстеження. citeturn0search0
Публічне розкриття інформації
Іноді найбільша загроза приватності виникає не через складну технічну атаку, а через інформацію, яку ми самі залишили публічною.
Наприклад:
- номер телефону;
- домашня адреса;
- місце роботи;
- фотографії;
- профілі в соціальних мережах;
- старі оголошення;
- документи;
- історія публічних акаунтів.
Цензура та блокування доступу
Цензура може обмежувати доступ до інформації або можливість людини вільно висловлюватися онлайн.
Технічні способи обходу блокувань залежать від конкретної ситуації.
Наприклад, DNS-шифрування може допомогти проти простих DNS-блокувань, але саме по собі не приховує всю мережеву активність.
VPN або Tor можуть допомогти в інших сценаріях, але використання таких мереж може бути помітним для мережевого адміністратора.
Які загрози стосуються саме вас?
Список вище може здаватися великим.
Але не потрібно захищатися від усіх загроз одночасно.
Поверніться до своєї моделі загроз і визначте:
- які активи для вас найважливіші;
- хто може становити загрозу;
- які можливості має противник;
- наскільки ймовірна кожна загроза;
- якими будуть наслідки;
- скільки складності ви готові прийняти.
Після цього вибір інструментів стає значно простішим.
Висновок
Приватність і безпека — це не питання пошуку одного «найкращого» застосунку.
Різні інструменти захищають від різних сценаріїв.
Хороша стратегія починається з розуміння загроз, а не з колекціонування privacy-інструментів.
Якщо ви вже визначили власну модель загроз, наступним кроком має бути вибір конкретних заходів захисту для найважливіших ризиків.
Джерело
Матеріал підготовлено як україномовну адаптацію основних концепцій Privacy Guides — Common Threats.
Оригінал Privacy Guides — Common Threats
Privacy Guides зазначає, що перелік загроз не є універсальним: кожен користувач може мати власні ризики та цілі, а вибір інструментів має залежати від індивідуальної моделі загроз.