Кроме того, в Интернете используется не один тип сертификатов, а несколько. Самый известный из них, который вы встречаете практически повсеместно, подтверждает только то, что доменное имя принадлежит тому, кто запросил сертификат, пройдя верификацию по электронной почте. Это может быть кто угодно, но это совершенно неважно — у сайта есть сертификат, знакомый вашему браузеру. То же самое можно сказать и про второй вид сертификатов — подтверждающих подлинность организации в целом. Это означает, что у всех сайтов на данном домене один сертификат с остальными — т. е. у всех поддоменов на сайте mitnicksecurity.com будет один и тот же сертификат.
Однако лучшими считаются сертификаты с расширенной проверкой. Все браузеры при входе на сайт с таким сертификатом в адресной строке отмечают часть доменного имени зеленым цветом (во всех других случаях весь URL-адрес показан серым цветом). Кроме того, при наведении курсора мыши на адрес — https://www.mitnicksecurity.com — отобразится дополнительная информация о сертификате и его владельце (как правило, для США это город и штат, где размещен сервер). Прохождение реальной проверки указывает на то, что компания, которой принадлежит данный URL-адрес, легитимна и этот факт подтвержден независимым центром сертификации.
Возможно, вы догадываетесь, что браузер на смартфоне отслеживает ваше местонахождение, но, вероятно, вы удивитесь, узнав, что браузер на компьютере делает то же самое. Да, это так. Но как именно это происходит?
Помните, я рассказывал, что в метаданных электронного письма содержатся IP-адреса всех серверов, через которые прошло письмо по пути к получателю? Что ж, снова напомню вам, что IP-адрес, который можно узнать через ваш браузер, может подсказать заинтересованному лицу, какой у вас интернет-провайдер, и сузить область поиска вашего местоположения на карте.
При первом посещении сайта, который специально запрашивает, где вы находитесь (например, сайт с прогнозом погоды), браузер должен спросить у вас, готовы ли вы делиться своим местонахождением с данным сайтом. Если вы согласитесь, то сайт будет автоматически под вас подстраиваться, что очень удобно. Например, сайт WashingtonPost.com будет показывать рекламу компаний, расположенных в вашем городе, а не в округе Колумбия
[11].
Не помните, что вы выбрали в прошлый раз? Попробуйте зайти на страницу benwerd.com/lab/geo.php. Это один из множества сайтов, позволяющих проверить, сообщает ли ваш браузер геолокационные данные. Если сообщает, а вы хотите быть невидимым, отключите эту опцию. К счастью, в браузере можно отключить отслеживание местоположения. В адресной строке браузера Firefox нужно набрать about: config. Выполните поиск, найдите пункт geo.enabled и присвойте ему значение false. Закройте вкладку. В браузере Chrome нажмите кнопку: и выберите команду Настройки (Options). Щелкните мышью по строке Дополнительные (Under the Hood) и выберите пункт Настройки контента — > Геоданные (Content Settings — > Location). На этой вкладке вы найдете переключатель Спрашивать разрешение на доступ (Do not allow any site to track my physical location). Установите переключатель в неактивное положение, чтобы отключить геолокацию. В других браузерах присутствует аналогичная возможность.
Также вы, возможно, захотите сфальсифицировать данные о своем местоположении — разумеется, исключительно ради забавы. Если вы хотите предоставить ложные координаты — например, Белого дома — браузеру Firefox, можно скачать и установить расширение под названием Change Geolocation. В браузере Google Chrome существует встроенная функция изменения геоданных. Откройте Chrome и нажмите сочетание клавиш Ctrl+Shift+I (Windows) или
(macOS), чтобы открыть окно Инструменты разработчика (Developer Tools). Нажмите кнопку
в верхнем правом углу появившейся панели, чтобы открыть меню (не основное меню браузера, а меню панели с инструментами разработчика!). В открывшемся меню выберите пункт More Tools —> Sensors. Перейдите на открывшуюся вкладку Sensors и найдите раскрывающийся список Geolocation. Выполнив эти действия, можно указать точную широту и долготу. Можно взять известную географическую точку или выбрать координаты посреди океана. В любом случае сайт не узнает, где вы на самом деле находитесь.
Можно скрывать не только физическое местонахождение, но и IP-адрес. Ранее я говорил про программу Tor Browser, которая меняет IP-адрес, передаваемый просматриваемому сайту. Но не все сайты можно посетить через Tor. До недавних пор нельзя было зайти на Facebook. Если вы хотите скрыть свой IP-адрес от сайтов, не поддерживающих соединения через Tor, воспользуйтесь прокси-сервером.
Открытый прокси-сервер — это посредник между вами и Интернетом. В главе 2 я рассказывал о том, что прокси-сервер похож на переводчика с иностранного языка — вы разговариваете с переводчиком, а тот в свою очередь разговаривает с иностранцем, — с той лишь разницей, что ваше сообщение никак не меняется.
Я упоминал прокси-сервер, объясняя, как некий злоумышленник из враждебной страны может попытаться отправить вам электронное письмо, притворяясь сотрудником компании-партнера.
С помощью прокси-сервера также можно заходить на веб-сайты, запрещенные на той или иной территории: например, если вы живете в стране, где запрещен поисковый сайт Google. Или если вы хотите скрыть свою личность, скачивая через пиринговые сети незаконный или защищенный авторским правом контент.
Однако прокси-сервер не обеспечивает стопроцентной защиты. Каждый браузер необходимо вручную настроить на обращение к прокси-серверу. Разработчики даже лучших прокси признаются, что с помощью определенных трюков, использующих Flash или JavaScript, можно вычислить реальный IP-адрес — т. е. тот, с которого вы подключаетесь к прокси-серверу. Чтобы избежать этого, можно заблокировать или ограничить поддержку Flash и JavaScript в браузере. Лучший способ помешать JavaScript-сценарию отследить вас через браузер — пользоваться расширением HTTPS Everywhere (см. выше).
Существует множество платных прокси-серверов. Но необходимо внимательно читать политику конфиденциальности любого сервиса, на котором вы регистрируетесь. Обращайте внимание, как сервис шифрует передаваемые данные и насколько скрупулезно соблюдает законы и выполняет государственные требования, связанные с предоставлением информации.
Можно найти бесплатные прокси-серверы, но вам придется иметь дело с лавиной бесполезной рекламы.
Что касается меня, то я советую вам избегать бесплатных прокси. В ходе своей презентации на конференции DEF CON20 мой друг и специалист по безопасности Чема Алонсо создал собственный прокси-сервер, чтобы наглядно продемонстрировать, как он может пригодиться злоумышленникам, и прорекламировал его адрес на форуме http://www.xroxy.com. Через несколько дней этим бесплатным «анонимным» прокси пользовались уже свыше 5000 человек. К сожалению, большинство из них были мошенниками.
