На волне террористических актов в Париже в 2015 году правительства нескольких стран обсуждали инструменты обхода подобных систем защиты или другие методы, с помощью которых чиновники могли бы расшифровывать закодированные электронные письма, текстовые сообщения или SMS — якобы защищаясь от иностранных террористов. Конечно, это противоречит самой сути и предназначению шифрования. Однако, как вы увидите далее, правительствам на самом деле не нужно видеть содержимое ваших писем, чтобы знать, с кем и как часто вы общаетесь.
Как я уже говорил ранее, зашифровать — значит закодировать сообщение так, чтобы раскодировать его мог только человек, который знает ключ. То, насколько легко человек без ключа сможет взломать ваш код, зависит и от сложности математической операции, и от длины самого ключа шифрования.
Распространенные сегодня алгоритмы шифрования общедоступны. Это хорошо.28 Бойтесь закрытых, не общедоступных алгоритмов шифрования. Общедоступные алгоритмы прошли проверку на слабые места — в том смысле, что люди намеренно пытались взломать их.
Когда в одном из общедоступных алгоритмов появляются уязвимости или его взламывают, он остается в прошлом и вместо него появляются новые, более надежные алгоритмы. Устаревшие алгоритмы никуда не исчезают, но пользоваться ими настоятельно не рекомендуется.
Ключи (в той или иной степени) являются зоной вашего контроля, поэтому, как вы могли догадаться, очень важно следить за ними. Если вы генерируете ключ шифрования, вы — и только вы — будете хранить этот ключ на своем устройстве. Если вы поручите шифрование какой-нибудь компании, например, через облачный сервис, то она сможет сохранить у себя ваш ключ. Главная причина для беспокойства заключается в том, что по закону эта компания может быть обязана передавать ваш ключ органам правопорядка или спецслужбам, при этом вас могут не поставить в известность о происходящем. Вам нужно читать политику конфиденциальности каждого сервиса, которым вы пользуетесь для шифрования, чтобы понимать, у кого будут ваши ключи.
Когда вы зашифровываете сообщение — электронное письмо, текстовое сообщение или телефонные переговоры, — предпочтительно сквозное (оконечное) шифрование. При этом ваше сообщение невозможно будет прочитать до тех пор, пока оно не дойдет до своего адресата. При сквозном шифровании только у вас и у получателя будут ключи, с помощью которых расшифровывается послание. Никто, кроме вас, не сможет этого сделать — ни телекоммуникационная компания, ни владелец веб-сайта, ни разработчик приложения — т. е. никто из тех, к кому обращаются органы правопорядка или спецслужбы, чтобы получить информацию о вас. Как узнать, использует ли выбранный вами сервис сквозное шифрование? Введите в поисковой строке Google запрос «почтовая служба со сквозным шифрованием». Выбрав сервис, проверьте, чтобы генерируемые ключи сохранялись только на вашем устройстве и на устройстве получателя и больше нигде. Если на сайте об этом не говорится, ищите другой.
Если все это кажется вам сложным, то только потому, что так оно и есть. Но существуют специальные PGP-плагины для браузеров Chrome и Firefox, которые значительно упрощают процесс шифрования. Один из них, под названием Mailvelope, отлично справляется с созданием и хранением открытых и закрытых ключей шифрования PGP. Просто напечатайте кодовую фразу, на основе которой генерируются открытый и закрытый ключи. Затем, когда в следующий раз вы будете писать письмо, пользуясь веб-почтой, выберите получателя, и, зная его открытый ключ, вы сможете отправить ему зашифрованное письмо.29
Даже если вы шифруете свои электронные письма с помощью PGP, небольшую, но очень информативную часть вашей почты все равно может прочитать кто угодно. Пытаясь защититься от разоблачительных заявлений Сноудена, правительство США снова и снова твердило, что не занимается перехватом фактического содержимого электронной почты, которое при PGP-шифровании прочитать невозможно. Вместо этого правительство заявляло о том, что оно собирает только метаданные.
Что собой представляют метаданные электронной почты? Это значения полей «кому», «от кого» и адреса всех серверов, через которые проходило письмо по пути от отправителя к получателю. Также сюда входит строка с темой письма, которая иногда может очень многое сказать о его зашифрованном содержимом. Метаданные, пережиток ранних этапов развития Интернета, до сих пор являются частью каждого электронного письма, но в современных почтовых сервисах эта информация скрыта.30
Какой бы плагин PGP вы ни выбрали, программа не шифрует метаданные — информацию в полях «кому» и «от кого», а также дату отправления. Все это останется в виде открытого текста, независимо от того, видите вы эти данные или нет.
Какой бы плагин PGP вы ни выбрали, программа не шифрует метаданные — информацию в полях «кому» и «от кого», а также дату отправления. Все это останется в виде открытого текста, независимо от того, видите вы эти данные или нет. Посторонние лица смогут прочитать метаданные зашифрованного послания, и они узнают, что такого-то числа вы отправили письмо такому-то получателю, а через два дня — снова, и так далее.
Может быть, в этом нет ничего страшного, поскольку эти посторонние люди не смогут прочитать, что именно вы написали, и вам, вероятно, не представляются важными технические детали пересылки письма, через какие серверы и в какое время оно проходило, но вы удивитесь, как много можно узнать только на основании маршрута писем и частоты их отправления.
Еще в 90-е, до того как я пустился в бега от ФБР, я занимался так называемым «анализом метаданных» распечаток телефонных соединений. Сначала я взломал сервер PacTel Cellular, оператора сотовой связи в Лос-Анджелесе, и получил полную детализацию соединений всех, кто разговаривал по телефону с информатором, от которого ФБР получало сведения обо мне и моих действиях.
Детализация соединений очень напоминает метаданные, о которых мы говорили ранее. Там отмечено время соединения, набранный номер, длительность соединения, а также сколько раз звонили с того или иного номера, все это очень важно.
Просмотрев все вызовы, совершенные с помощью оператора PacTel Cellular на городской номер информатора, я сумел составить список мобильных номеров всех людей, которые ему звонили. Проанализировав биллинговую информацию звонивших, я смог определить, что они были сотрудниками ФБР и совершали вызовы из офиса Бюро в Лос-Анджелесе. Вполне очевидно, что некоторые из набранных этими людьми номеров принадлежали офису ФБР в Лос-Анджелесе, прокуратуре США и другим государственным структурам. Некоторые вызовы были очень длительными. На некоторые номера звонили очень часто.
Когда информатора переселяли в новое безопасное место, я узнавал его городской номер телефона, поскольку агенты звонили туда, если им не удавалось связаться с информатором по пейджеру. Получив номер телефона информатора, я посредством социальной инженерии легко определял адрес дома — я притворялся сотрудником телекоммуникационной компании Pacific Bell, обслуживавшей этот район.
Социальная инженерия — это метод несанкционированного доступа к информации путем психологического воздействия, манипулирования и управления действиями человека с целью заставить его выполнить желаемое. Часто из человека обманным путем выуживают конфиденциальную информацию. В данном случае мне были известны служебные номера телефонной компании, и я, представившись техническим специалистом на выезде, оперировал соответствующей ситуации терминологией и профессиональной лексикой, чтобы получить от компании конфиденциальные сведения.
