BEZPIECZECSTWO INFORMACYJNE BEZPIECZECSTWO INFORMACYJNE BEZPIECZECSTWO INFORMACYJNE BEZPIECZECSTWO INFORMACYJNE wersja 1.0 [21/07/2010] 1. WSTP Niniejszy poradnik napisałem specjalnie dla Ciebie, aby zapoznać Cię z bardzo istotnym, z punktu widzenia dzisiejszego społeczeństwa informacyjnego, problemem jakim jest bezpieczeństwo informacyjne. Mam na myśli przede wszystkim Twoją prywatność i anonimowość, do których masz pełne prawo, a których System (w postaci państwa, korporacji lub innych nieprzychylnych Tobie instytucji i grup) chciałby Cię zupełnie pozbawić, w zamian oferując co najwy\ej złudne poczucie bezpieczeństwa lub dobra konsumpcyjne... 2. ANTYWIRUS, ANTYSPYWARE I FIREWALL Antywirus i antyspyware mają za zadanie chronić Twój komputer przed wirusami, trojanami i innymi szkodnikami. Dostępnych jest wiele programów tego typu, ale jeśli z jakiegoś powodu nie masz jeszcze zainstalowanych \adnych, to polecam: Avast http://www.avast.com/pl-pl/free-antivirus-download Darmowy do u\ytku domowego program antywirusowy. SpyBot Search & Destroy http://www.safer-networking.org/pl/spybotsd/index.html Darmowy do u\ytku domowego program do usuwania spyware. Zapora sieciowa chroni przed atakami z zewnątrz oraz m. in. wyciekiem danych (np. haseł) i stanowi uzupełnienie antywirusa i antyspyware'a. Domyślny firewall dostępny w Windowsie jest dość ubogi, dlatego polecam Comodo Firewall (http://personalfirewall.comodo.com/free-download.html) darmowy firewall (z polską wersją językową) nale\ący do ścisłej czołówki. Opis instalacji oraz konfiguracji krok po kroku wraz z przeglądem rozbudowanych mo\liwości znajdziesz na stronie http://comodo.andgird.webd.pl. Sprawdz jaki jest Twój obecny poziom zabezpieczeń sieciowych. Test dostępny pod adresem https://www.grc.com/x/ne.dll?bh0bkyd2 określa mo\liwości ataku z zewnątrz. Kliknij Proceed a następnie All Service Ports zostaną sprawdzone pierwsze 1024 tzw. porty (kanały komunikacyjne) specjalnego przeznaczenia. Idealna sytuacja będzie wtedy, kiedy wszystkie pola będą koloru zielonego, co oznacza \e Twój komputer jest niewidoczny z zewnątrz, tzn. tak jakby nie był w ogóle połączony z internetem. Kolor niebieski oznacza równie\ zamknięty port, ale który jednocześnie pozwala stwierdzić, \e Twój komputer jest połączony z internetem (obrazowo mówiąc: do środka nie wpuści, ale się przywita). Kolor czerwony oznacza port w pełni otwarty, przez który mo\na nawiązać połączenie z komputerem z zewnątrz (tzw. tryb nasłuchiwania albo serwera bo tak jak w przypadku serwera czeka się a\ jakiś inny komputer się połączy). Praktycznie ka\dy firewall dobrze radzi sobie z atakami z zewnątrz test ten jednak pozwoli sprawdzić, czy jest on dobrze skonfigurowany. Wbrew pozorom, du\o większe zagro\enie stanowi niekontrolowany wyciek danych, stąd te\ firewalle dobrej jakości (a takim jest wymieniony wy\ej Comodo Firewall) oferują w tym zakresie znacznie większe mo\liwości. 1 3. PROXY Proxy to specjalna usługa, która pośredniczy w wymianie danych między Twoim komputerem a komputerem (serwerem), z którym chcesz się połączyć. Szczególną odmianą jest tzw. web proxy strona internetowa, na której wpisujesz adres innej strony, którą chcesz odwiedzić. Nie wymaga \adnej konfiguracji, ale działa tylko w przeglądarce internetowej. To dobre rozwiązanie w prostych przypadkach, np. kiedy jakaś strona normalnie nie jest dostępna, bo nało\ona jest na nią blokada. Lepiej jednak nie stosować web proxy kiedy wymagane jest logowanie nigdy nie ma pewności jakie dane są zbierane. Jedno z web proxy dostępne jest pod adresem http://www.zend2.com (zrzut poni\ej). Dostępne są opcje: Encode URL: adres strony, z którą chcesz się połączyć zostanie zamieniony na ciąg liter i cyfr. Encode Page: proste szyfrowanie zawartości strony dla utrudnienia filtrowania. Zawartość strony zostanie odszyfrowana dopiero w przeglądarce (przez JavaScript). Czasem mo\e to spowodować niepoprawne działanie strony. Allow Cookies: ciasteczka będą dozwolone. Remove Scripts: skrypty JavaScript zostaną usunięte. Niektóre strony mogą działać wtedy nieprawidłowo, ale będzie bezpieczniej. Remove Objects: obiekty Flash, Java i inne podobne zostaną usunięte. Niektóre strony mogą działać wtedy nieprawidłowo, ale będzie bezpieczniej. Zwykłe proxy jest znacznie bardziej elastyczne. Mo\e współpracować z wieloma ró\nymi programami i usługami, zazwyczaj jednak trzeba skonfigurować je oddzielnie. Taki pośrednik mo\e oferować znacznie więcej funkcji, dla nas jednak kluczowe będą dwie: anonimowość i prywatność. Anonimowość, podobnie jak w przypadku web proxy, polega na ukryciu Twojego prawdziwego adresu IP (który identyfikuje sprzęt podłączony do sieci) i zastąpieniu go innym adresem IP tak, \e komputer (serwer) z którym się ostatecznie komunikujesz (w praktyce dane tzw. pakiety między Twoim komputerem a komputerem docelowym przechodzą przez wiele komputerów pośrednich) zarejestruje podmieniony adres IP. O ile anonimowość uniemo\liwia identyfikację Twojego komputera przez komputer, z którym chcesz się połączyć, to prywatność oznacza bezpieczny szyfrowany kanał przesyłu danych. Jeśli dane nie są szyfrowane, to zanim dotrą do celu, mogą być przechwycone (sprawdzone pod kątem zawartości, w całości skopiowane lub zablokowane, tzn. nie zostaną przesłane dalej) przez administratorów sieci lokalnej (jeśli do niej nale\ysz) lub dostawcę internetu oraz przez ka\dy inny komputer, który pośredniczy w wymianie danych. Co więcej, w ka\dym miejscu mogą pojawić się Smutni Panowie "! (przy okazji: pozdrawiamy serdecznie nie dość \e praca niewdzięczna, to jeszcze kiedy nadejdzie Czas Rozliczeń mogą wystąpić liczne problemy z oświetleniem ulicznym). Je\eli korzystasz z proxy szyfrującego, to dane zostaną odszyfrowane dopiero po opuszczeniu serwera proxy (ostatniego w przypadku tzw. kaskady, czyli łańcucha wielu serwerów proxy komunikujących się ze sobą) który zazwyczaj znajduje się w innym kraju a nawet na innym kontynencie lub na Twoim komputerze (pamiętaj, \e nie tylko wysyłasz, ale tak\e odbierasz pakiety). Szyfrowanie jest równie\ stosowane w przypadku tzw. bezpiecznych połączeń (adres rozpoczynający się od https://). Połączenia takie objęte są standardem, w związku z czym dane mogą zostać odszyfrowane dopiero przez serwer, z którym się ostatecznie łączysz. Połączenia takie mają jednak kilka wad. Po pierwsze: niewiele serwerów je obsługuje (koszty uzyskania i odnawiania oficjalnych certyfikatów są znaczne) zazwyczaj dotyczy to stron banków, dostawców poczty elektronicznej itp. Po drugie: szyfrowana jest tylko zawartość stron adresy stron, z którymi się łączysz nadal są przesyłane w jawnej postaci (w przypadku proxy dostawca internetu mo\e stwierdzić jedynie, \e korzystasz z proxy, ale nie w jakich celach, czyli np. jakie strony odwiedzasz). I po trzecie wreszcie: bezpieczne połączenie samo w sobie nie 2 zapewnia anonimowości. Nic nie stoi jednak na przeszkodzie, aby korzystać jednocześnie z bezpiecznych połączeń oraz proxy. Istnieją dwie popularne sieci proxy: Tor oraz JonDonym. Oprogramowanie, które pozwala się łączyć z tymi sieciami dostępne jest dla wielu systemów operacyjnych, jest równie\ darmowe i co wa\ne otwarte. Otwartość ma kluczowe znaczenie w przypadku bezpieczeństwa. Ka\dy mo\e sprawdzić kod zródłowy, co w praktyce oznacza, \e zaszycie szkodliwego fragmentu kodu jest niemo\liwe a dodatkowo ewentualne błędy są szybciej wykrywane. Inna wymierna korzyść to niemo\ność zamknięcia kodu zródłowego oraz niskie prawdopodobieństwo zaprzestania rozwoju zawsze znajdą się osoby, które zechcą kontynuować prace. Na początek polecam sieć JonDonym. W sieci Tor ka\dy komputer mo\e pośredniczyć w wymianie danych i nigdy nie masz pewności do kogo nale\y być mo\e nawet do Smutnych Panów "!. Chocia\ złamanie zabezpieczeń Tora jest trudne, mo\e to stanowić problem, tym bardziej \e istnieją sposoby, aby dany komputer koncentrował znacznie większy ruch w sieci Tor ni\ powinien. Z drugiej strony operatorzy, którzy chcą udostępnić swoje serwery w sieci JonDonym muszą upublicznić swoją to\samość (siedziba i inne szczegółowe informacje). Co więcej, w umowach, które podpisują z administratorami sieci (niemiecką spółką JonDos GmbH, politechniką z Drezna oraz uniwersytetem z Regensburga), zobowiązują się do nieprzechowywania logów z adresami IP ani innych danych oraz do niewymieniania informacji z innymi operatorami. Po drugie, co wynika z pierwszego faktu, przez Twój komputer przechodzą dane innych u\ytkowników sieci Tor, stąd te\ jesteś (teoretycznie) współodpowiedzialny za ich działania. Z drugiej strony, w sieci JonDonym dane przepływają tylko między serwerami operatorów, a więc ka\dy u\ytkownik odpowiada za siebie. Po trzecie, co równie\ wynika z pierwszego faktu, transfer w sieci Tor jest dość zmienny i zazwyczaj niewysoki wszystko zale\y od tego jakimi łączami dysponują u\ytkownicy (wcią\ popularne są łącza asynchroniczne, czyli takie gdzie wysyłanie danych jest kilkakrotnie wolniejsze ni\ pobieranie). Z drugiej strony, mimo \e transfer w sieci JonDonym standardowo równie\ jest dość wolny (ale stabilny), to jednak za dodatkową opłatą mo\esz go znacznie zwiększyć. JonDo (wym. D\on Dou od John Doe, ang. odpowiednika Jana Kowalskiego), program który umo\liwi dostęp do sieci JonDonym, pobierz ze strony http://anonymous-proxy-servers.net/en/jondo/download. Po uruchomieniu go powinieneś zobaczyć okno jak na zrzucie poni\ej. Lista rozwijana Services pozwala wybrać kaskadę, którą tworzą 2 lub 3 serwery. Sekcja Current service wyświetla więcej informacji na temat wybranej kaskady: Number of users: darmowe kaskady obsługują ograniczoną liczbę u\ytkowników. Pole wskazuje ilu u\ytkowników aktualnie korzysta z kaskady, a ile mo\e maksymalnie. Speed: szacunkowy transfer. Dla darmowych kaskad wynosi trochę mniej ni\ 10 kB/s. Response time: czas reakcji, opóznienie w przesyłaniu danych. Operators: o ile lista Services wyświetla państwa, na terenie których znajdują się serwery, tutaj widoczne są państwa, na terenie których znajdują się ich operatorzy (nie zawsze jest to ten sam kraj). Animowany rysunek pokazuje czy połączenie zostało ustanowione (Connected), a jeśli tak, to jakie są jego parametry pod względem bezpieczeństwa. Wskaznik Distribution określa rozproszenie wyznaczany jest na podstawie liczby serwerów w kaskadzie oraz lokalizacji państw, na terenie których znajdują się te serwery oraz ich operatorzy. Wskaznik Users określa skupienie u\ytkowników im więcej osób korzysta z kaskady, tym dodatkowo trudniejsze staje się ich rozró\nienie mają identyczny adres IP (ostatniego serwera kaskady). Przełącznik Anonimity powinien być na pozycji On (włączony). Sekcja Encrypted data transferred zawiera informacje o tym, ile zaszyfrowanych danych zostało przesłanych (w obie strony) od momentu połączenia. Sekcja Remaining credit zawiera informacje o pozostałym limicie (dotyczy płatnego konta). Sekcja Anti censorship service pozwala włączyć tryb podobny do Tora, tzn. inni uczestnicy mogą się połączyć z Twoim komputerem, dzięki czemu uzyskają dostęp do sieci JonDonym, nawet jeśli w ich kraju jest ona blokowana. Przycisk Help wyświetla pomoc, a Config opcje. Jeśli pojawi się asystent, zamknij go. Domyślne ustawienia są wystarczające. 3 Po uruchomieniu JonDo spróbuje połączyć się pierwszą dostępną kaskadą. Je\eli to się nie uda, będzie próbował połączyć się z kolejnymi, a\ do skutku. Czasem jednak wszystkie darmowe kaskady mogą być nieosiągalne (np. z powodu przekroczenia limitu u\ytkowników). Zazwyczaj dostępna jest równie\ specjalna kaskada Dresden, która składa się wyłącznie z jednego serwera nale\ącego do politechniki z Drezna. Kaskada ta nie ma limitu u\ytkowników, ale została udostępniona głównie w celach testowych i badawczych politechnika zastrzega sobie m. in. mo\liwość analizy danych. Stąd te\, chocia\ zapewnia anonimowość i prywatność, lepiej uwa\ać z przesyłaniem poufnych lub prywatnych informacji, tym bardziej, \e istnieje niebezpieczeństwo ujawnienia Twojej to\samości w przypadku uzyskania kontroli (poprzez nakaz sądowy, przekupienie, włamanie, zbytnią koncentrację ruchu na serwerze to ostatnie dotyczy tylko sieci Tor, itp.) jednocześnie nad wszystkimi komputerami sieci proxy, które pośredniczą w przesyłaniu Twoich danych (jest to łatwiejsze jeśli jest tylko jeden serwer proxy). Chocia\ jest to raczej mało prawdopodobne, na wszelki wypadek w sieci JonDonym operatorzy i serwery większości kaskad pochodzą z ró\nych krajów, a wiarygodność poszczególnych operatorów jest regularnie weryfikowana. Jak wspomniałem, korzystanie z sieci JonDonym jest darmowe. Jednak utrzymanie serwerów i reszty infrastruktury oraz obsługa prawna są bardzo kosztowne. Istnieje więc mo\liwość wykupienia płatnego konta (sekcja Payment w opcjach). Najtańsze kosztuje 2 Ź i pozwala wykorzystać 200 MB przez 3 miesiące. W zamian za opłatę otrzymujesz gwarancję: " dostępności przynajmniej jednej kaskady, " znacznie wy\szego transferu (ok. 15x), " 3 serwerów w kaskadzie. Poza tym będziesz mógł wykorzystać wszystkie porty, dzięki czemu proxy będzie działać nie tylko z przeglądarką. 4 4. PRZEGLDANIE STRON INTERNETOWYCH Przeglądarka internetowa to Twoje okno na świat, okno przez które patrzysz na internet. Je\eli jednak nie zabezpieczysz się odpowiednio, to internet będzie mógł zajrzeć przez to samo okno do Twojego komputera. Samo korzystanie z proxy nie zabezpieczy Cię w pełni. W tym rozdziale dowiesz się, jak bezpiecznie korzystać z przeglądarki (nawet jeśli nie będziesz u\ywać proxy). Jest wiele przeglądarek, ale polecam przeglądarkę Mozilla Firefox (http://www.mozilla-europe.org/pl). Warto jej u\ywać m. in. z tego względu, \e kod zródłowy jest otwarty (jak bardzo jest to wa\ne, wyjaśniłem Ci ju\ wcześniej). Poza tym autorzy bardzo szybko łatają dziury i usuwają wykryte błędy a program mo\na dostosować w szerokim zakresie dostępnych jest wiele przydatnych rozszerzeń. Na początek wejdz na stronę http://anonymous-proxy-servers.net/en/anontest. Powinieneś zobaczyć m. in.: " Publiczny oraz prywatny adres IP. " Informacje o dostawcy internetu oraz Twojej przybli\onej lokalizacji. " Dokładne informacje o przeglądarce internetowej. " Dokładne informacje o systemie operacyjnym. " Informacje o środowisku Java. " Informacje o karcie sieciowej. " Język, jakim się posługujesz. " Rozdzielczość ekranu. " Czas lokalny. Te informacje (oraz du\o innych) standardowo mogą być dostępne dla ka\dej odwiedzanej przez Ciebie strony i mogą zostać wykorzystane do identyfikacji oraz śledzenia Twojej aktywności w internecie. Niektóre z tych informacji ukryje proxy, resztę odpowiednio skonfigurowana przeglądarka. Dygresja: Być mo\e zaciekawiło Cię, czym ró\ni się publiczny adres IP od prywatnego. W rzeczywistości publiczny adres IP, tzn. ten który rozpoznają serwery, z którymi się łączysz, nie jest adresem Twojego komputera, ale adresem Twojego dostawcy internetu, który jeden adres przydziela wielu swoim klientom. Jest tak dlatego, \e pula adresów IP jest ograniczona. Adres IP ma postać A.B.C.D, gdzie A, B, C i D to liczby od 0 do 255, stąd te\ teoretycznie adresów mo\e być nie więcej ni\ ok. 4 miliardów (256 ^ 4), w praktyce jednak do wykorzystania jest ich mniej. Prywatne adresy IP rozwiązują ten problem. Na ich podstawie jest izolowany i rozdzielany przepływ pakietów między abonentami z przydzielonym identycznym adresem (dlatego te\ mo\liwe jest np. korzystanie z neostrady na kilku komputerach jednocześnie). Na zewnątrz, tzn. poza siecią operatora, adres prywatny nie ma konkretnego znaczenia. Mo\na go jednak wykorzystać np. do śledzenia, bo mo\esz zmienić publiczny adres IP poprzez zmianę proxy, ale adres prywatny będzie dalej ten sam. Aby korzystać z JonDo będziesz musiał utworzyć nowy profil przeglądarki (zbiór izolowanych ustawień w tym np. zakładki i rozszerzenia). Mo\esz te\ utworzyć jeszcze jeden profil, który będzie Ci słu\ył tylko do logowania na strony banku, poczty lub podobne. Natomiast profil podstawowy będzie wykorzystywany do codziennego przeglądania internetu. Mo\esz mieć uruchomionych kilka profili jednocześnie, co jest bardzo przydatne, np. kiedy będą wczytywać się strony w profilu korzystającym z proxy (co trwa zdecydowanie dłu\ej), w innym profilu mo\esz normalnie przeglądać pozostałe strony. Po zainstalowaniu przeglądarki wybierz z Menu Start polecenie Uruchom.... Wpisz w oknie: "C:\Program Files\Mozilla Firefox\firefox.exe" -ProfileManager. Wyświetli się okno zarządzania profilami. Kliknij Utwórz nowy profil... i wpisz nazwę, np. JonDo. Od tej pory przy ka\dym uruchamianiu przeglądarki będziesz mógł wybrać profil. Chocia\ w dalszej części rozdziału skupimy się na profilu korzystającym z proxy, to większość porad dotyczy równie\ pozostałych profili. Wywołaj opcje poleceniem Narzędzia Opcje .... Na karcie Ogólne jako stronę startową wpisz adres 5 http://anonymous-proxy-servers.net/en/anontest. Dzięki temu po uruchomieniu profilu będziesz mógł szybko zweryfikować czy wszystko jest w porządku. Na karcie Prywatność lista rozwijania Program Firefox powinna wskazywać będzie u\ywał ustawień historii u\ytkownika. Odznacz pole Akceptuj ciasteczka a ciasteczka będą domyślnie zablokowane będziesz nimi zarządzał osobnym rozszerzeniem (ciasteczka powinieneś wyłączyć w ka\dym profilu). Na karcie Zaawansowane wybierz zakładkę Sieć i kliknij Ustawienia.... W oknie wprowadz wartości jak na poni\szym zrzucie, dzięki czemu będziesz mógł korzystać z proxy (localhost oznacza usługę działającą na komputerze). Poleceniem Narzędzia Dodatki wywołaj okno zarządzania dodatkami. Na karcie Rozszerzenia zaznacz i wyłącz wszystkie rozszerzenia a na karcie Wtyczki zaznacz i wyłącz wszystkie wtyczki (czasami tylko na podstawie listy wtyczek ich nazw i wersji mo\liwe jest dość dokładne rozró\nienie u\ytkowników). W innych profilach powinieneś wyłączyć przynajmniej wtyczki, które mają w nazwie Windows lub Microsoft, mo\esz te\ wyłączyć wtyczki z nazwą zawierającą PDF (pliki PDF lepiej ściągać na dysk i dopiero wtedy je przeglądać) i ewentualnie Flash oraz Java jeśli chcesz na stałe wyłączyć ich obsługę, w innym przypadku będziesz mógł to określić przez jedno z rozszerzeń. Poni\ej znajdziesz wykaz rozszerzeń, które powinieneś zainstalować. Rozszerzenia instaluje się w konkretnym profilu jeśli więc chcesz mieć je w kilku profilach, musisz je dodać w ka\dym z nich z osobna na karcie Dodaj dodatki w oknie zarządzania dodatkami, wpisując ich nazwy (w razie problemów podałem adresy stron, z których mo\esz ściągnąć rozszerzenia i dowiedzieć się o nich więcej). Dostęp do opcji rozszerzenia mo\na uzyskać w tym oknie, wskazując na karcie Rozszerzenia konkretne rozszerzenie i klikając Opcje (nie ka\de rozszerzenie posiada mo\liwość konfiguracji). Je\eli istnieje inny (szybszy) sposób na zmianę opcji lub dostęp do specjalnych funkcji, to przedstawię go. ProfileSwitcher http://nic-nac-project.de/~kaosmos/profileswitcher-en.html Domyślnie Firefox mo\e uruchomić tylko jeden profil jednocześnie. To rozszerzenie pozwoli uruchomić więcej profili na raz. Nazwa profilu wyświetlana będzie na pasku stanu. Skrót: Plik Uruchom profil (uruchomienie dodatkowego profilu). 6 Uwagi: W związku z tym, \e to rozszerzenie nie jest dostępne w katalogu rozszerzeń (addons.mozilla.org), przy instalacji pojawi się ostrze\enie o tym, \e strona próbuje zainstalować rozszerzenie. Oczywiście powinieneś zezwolić na instalację. WOT (Web of Trust) https://addons.mozilla.org/pl/firefox/addon/3456 Rozszerzenie WOT dla ka\dego odnośnika (ikonka obok) oraz dla bie\ącej strony (ikonka obok paska adresu) wyświetla informacje o bezpieczeństwie strony według 4 kategorii (plus podsumowanie): Zaufanie, Wiarygodność operatora, Prywatność, Bezpieczeństwo dzieci. Skrót: Narzędzia WOT Ustawienia. Konfiguracja: Zmiana domyślnych ustawień nie jest konieczna. Uwagi: Powinieneś mieć na uwadze, \e oceny przyznają u\ytkownicy tego rozszerzenia. Ka\dy mo\e oceniać nieco inaczej i niekoniecznie zgodnie ze stanem faktycznym tę samą stronę, ale pod uwagę brana jest średnia ocen. NoScript https://addons.mozilla.org/pl/firefox/addon/722 Rozszerzenie pozwala określać uprawnienia stron do wykonywania aktywnej zawartości (JavaScript, Flash, Java). Chroni tak\e przed innymi zagro\eniami. Skrót: Pasek stanu: Ustawienia. Konfiguracja: Zakładka Ogólne: Automatycznie odświe\aj stronę po zmianie uprawień powoduje przeładowanie strony po zmianie uprawnień. Pozwalaj na wykonywanie skryptów JavaScript ta opcja powinna być wyłączona, będziesz przydzielać uprawnienia ka\dej stronie z osobna. Zakładka Zaufane witryny: Tu mo\esz przejrzeć witryny, którym przyznałeś uprawienia, usunąć je lub dodać nowe. Zakładka Osadzenia: Tu mo\esz dokładnie określić co będzie blokowane na niezaufanych stronach (domyślnie wszystkie) patrz zrzut poni\ej. Blokuj Java / Flash / Silverlight / inne wtyczki określa, czy obiekty te będą blokowane. Blokuj aplety