Анонимность в сети

[Crocodile]

1. Полной анонимности вообще не существует в природе!

Для начала нам стоит понять, что "полная анонимность" нам не требуется. Достаточно запутать цифровой отпечаток так, чтобы распутывание было нерентабельным, а потраченные усилия и время не окупались результатом. Для создания подобного уровня не требуется никаких специальных знаний и умений, достаточно иметь голову на плечах и ознакомиться полностью с данным FAQ.

2. Зачем вообще все это надо?

Большую часть "киберпреступников" вычислили не благодаря следам, оставленным в сети.
Будет очень грустно, если тебя вычислят не по горячим следам, не сдадут близкие и так далее, а поймают тупо из-за твоей лени и пренебрежения элементарных основ безопасности.
Ты можешь спрятаться в бункер с ноутбуком и роутером, обзавестись кучей VPN сервисами, но какой смысл в безопасности, если ты с этого же ноутбука заказываешь пиццу?

3. Я не знаком с основами программирования, ничего в этом не понимаю и разбираться совсем не хочу! Что делать, чтобы не спалиться?

Для начала определимся с вашей деятельностью:

1) Я обычный рядовой пользователь, люблю шутить про мам/пап/дедушек/бабушек без каких либо противозаконных действий. Сижу на ******* вечерами, после того как сделаю уроки и клацаю по кнопкам.

- Тебя не найдут, потому что ты нах*й никому не нужен. Можешь снимать свой шлем из фольги.

2) Есть намерения некой противоправной деятельности в дальнейшем. К примеру - работа в шопе на онлайн должности.

- Купи левый ноутбук, лучше с рук, левый USB модем или роутер
- Установи Tails на флешку (в открытом доступе можно найти огромное количество материалов на эту тему)
- Прокачай настройки "Security settings..." Tor Browser на максимум
- Используй менеджер паролей для хранения и генерации сложных паролей
- Используйте шифрование сообщений OTR или GPG (например, в Jabber)
- Откажись от социальных сетей и никаких личных данных через вышеупомянутые устройства не передавайте

Этого будет вполне достаточно.

4. Что за Tails такой и с чем его едят?

Tails - уже настроенная операционная система, созданная для обеспечения приватности и анонимности. С ее помощью весь трафик направляется через сеть Tor.
Не оставляет следов на устройстве с которого используется, не хранит в себе никаких данных и после каждой перезагрузки возвращается в первозданный вид, после выключения стирается оперативная память. Очень удобная штука.

Вам не придется:

- мучиться с TrueCrypt'ом, ведь шифрованный раздел "Persistent" на ней создаётся в пару кликов
- ставить Tor Browser, так как он уже установлен с ещё большей защитой, прокачали его максимально
- устанавливать программы для хранения паролей, передачи файлов, удаления метаданных, работы с криптовалютой, шифрования файлов и сообщений, софт для редактирования фото/видео/аудиофайлов

Потому что всё это уже установлено и готово для использованию!

Скачай, запиши на флешку (минимум 2 Гб), загрузись с нее, установи на новую флешку (от 8 Гб) , загрузись с новой флешки, активируй Persistent.
Mission Complete! ОС готова к использованию!

5. Какими характеристиками должен обладать компьютер для Tails и что еще нужно?

Настоятельно рекомендую купить отдельный ноутбук, который никак не будет связан с Вашей личностью!

Что нужно для Tails:

- Оперативная память от 4 Гб. Можно запуститься и на 2 Гб, но возможны тормоза.
- 1 порт USB 3.0, для скорости работы с флешки
- процессор только 64бит (x86-64), конкретную модель советовать сложно.

Требования к флешке:

- Не SanDisk, PNY, Aegis
- USB 3.0
- обязательно на чипах MLC, это даст высокую живучесть
- от 8 Гб (обычно чем больше объём, тем выше скорость)

Рекомендую покупать 2 флешки сразу. Одну из них сделать резервной, на неё также установить Tails и время от времени копировать на неё все важные данные, на случай если одна из них выйдет из строя.

6. Что по поводу мессенджеров? Skype, WhatsАpp, Viber, Telegram там же есть шифрование?

Ими нельзя пользоваться по следующим причинам:

- Центральный сервер. Нельзя создать свой.
- Закрытый исходный код. Что на самом деле делают эти программы и куда всё сливают - неизвестно.
- Шифрование не по открытым проверенным алгоритмам (GPG/OTR), а по своим - Вас расшифруют, когда понадобиться.
- Привязка к сим-карте или устройству.

7. Почему бы просто не общаться в случайном онлайн чате и\или общаться заранее установленными словами, которые другим будут непонятны?

Скрыть предмет разговора недостаточно, так как остаётся ещё сам факт разговора: его стороны/время/место/с каких устройств он происходил и другие данные, которые останутся на сервере. И доверять шифрованию неких "онлайн чатов" нельзя.

8. Каким мессенджером тогда можно пользоваться?

Теми, что работают по протоколу jabber (XMPP), с открытыми исходниками. Они проверены временем и поддерживают шифрования переписки клиент-клиент GPG и\или OTR (то есть её не увидит никто посторонний, даже владельцы сервера):

- Psi+ (GPG, OTR) доведённый до ума Psi с дополнительными функциями
- Pidgin (OTR) старый проверенный клиент, встроен в Tails

Для Android:

- Conversations (GPG, OTR)
- Xabber (OTR)

9. В чем разница между OTR и GPG шифрованием, если на простом языке?

По-простому: OTR требует наличия собеседника онлайн, но даёт отрицаемость (после беседы ключи уничтожаются и сообщения уже никак нельзя расшифровать, даже если ключи были изъяты у обеих сторон).

GPG гораздо старее, надёжнее и функционал обширнее (можно шифровать файлы, подписывать сообщения, проверять подписи), держите ключи в шифрованном разделе, имейте сложные пароли и делайте резервные копии и проблем не будет.

10. Как хранить файлы и нужно ли их шифровать?

Ты конечно можешь зашифровать свой жёсткий диск TrueCrypt'ом, но сможешь ли ты его быстро уничтожить в случае чего? Легко ли его спрятать? Поэтому практичнее пользоваться легкоуничтожимым носителем. Например на флешке с Tails в разделе Persistent (это отдельная папка, в которой содержимое шифруется мгновенно).

11. Куда заливать фото/видео/аудиофайлы?

На зарубежные хостинги и лучше в .onion, метаданные с файлов удалять перед загрузкой.

12. Как удалять метаданные?

Можно воспользоваться программой МАТ.

13. Как безопасно передать\получить собеседнику фото, видео, аудиофайлы? Через jabber нельзя?

С помощью OnionShare - это безопасный файлообменник в Tor.
Через jabber напрямую файлы отправить нельзя, только через сторонние серверы, это небезопасно и так делать не нужно.

14. Что насчёт связи через левые телефоны с левыми симками? Проверенный метод!

Обратите внимание на пункт 7. Остается Ваше местоположение, голос, факт связи, предмет связи, отсутствует шифрование.

15. Что по поводу Tor Browser?

1) Это же разработка США и всё такое?
- Да, ровно как и процессоры, оперативная память и всё остальное. Но Tor имеет открытый исходный код и прошёл некоторую проверку временем.

2) Могут ли скрипты JS (JavaScript) привести к деанону если их разрешать?
- Да, включенные JS напрямую приводят к идентификации твоего устройства.

3) Что видит мой провайдер, когда я использую тор?
- Только сам факт использования Tor. Как именно вы им пользуетесь: какие сайты посещаете, какие мессенджеры используете, переписка и т.д. - ничего этого не видно.

То, что вы пользуетесь не просто Tor'ом, а Tails'ом, провайдер также может видеть.

4) Какие вообще есть правила использования Tor, которые нужно соблюдать?

- Не стоит принимать неподписанный сертификат (который может быть сертификатом выходной ноды)
- Желательно исключить из цепочки ip стран СНГ и России
- Чтобы не оставлять свою переписку на серверах стоит использовать шифрование клиент-клиент (OTR\GPG)
- Не качать торренты через Tor, желательно вообще не скачивать, что попало
- Использовать https:// версии сайтов
- Иметь повсюду сложные и разные пароли
- Всё остальное, что описано в этом FAQ. Не буду повторяться


16. Что с MAC-адресом устройства? Как быть?

Mac-адреса есть у Wi-Fi модуля, сетевой платы ноутбука, а также у роутера или модема.

Сайты НЕ видят твой mac-адрес. Но их видят ваш провайдер и соседские устройства (чужие роутеры и Wi-Fi точки) и сливают эту информацию например в Google/Яндекс для определения местоположения. Выход: отключить Wi-Fi модули и подключаться к роутеру по Ethernet кабелю.

Tails при каждом запуске сам автоматически меняет mac-адреса вашего Wi-Fi модуля и сетевой платы ноутбука.

17. Нужен ли VPN в связке с Тor? Разве одного Тора не хватит?

Tor - это экспериментальное ПО, которое потенциально может содержать уязвимости, хоть оно и постоянно обновляется. Кроме того, VPN скрывает от провайдера сам факт использования Tor, что очень важно. Ну и двойная защита ещё никогда не была лишней.

18. Какой VPN cервис лучше выбрать?

Хороший VPN ceрвис должен соответствовать нескольким критериям:

- сервера и сама компания находятся не в России и не в США
- поддерживать работу через OpenVPN (скачиваются только конфигурационные файлы, а не устанавливается какая-то программа с сервиса)
- оплата с помощью криптовалюты


Это лишь часть той информации, которая может быть тебе полезна для настройки анонимности.
Если не хочешь со всем этим мучиться, то просто обратись к специалисту по информационной безопасности. Их можно найти на многих даркнет площадках.

 

[ilovegrecha]

Узнайте, как вас отслеживают в интернете​

 

[ilovegrecha]

Знайте, что может отслеживать ваш интернет-провайдер. Ваш интернет-провайдер (ISP) — это компания, услугами которой вы пользуетесь для подключения к интернету. Когда ваш модем или маршрутизатор подключается к интернету, ему присваивается IP-адрес — этот адрес отслеживается в вашей учетной записи. Это означает, что, по крайней мере, любой, кто может увидеть ваш IP-адрес, может определить вашего интернет-провайдера. Если вы совершаете что-то незаконное с этого IP-адреса, государственные органы (например, местная полиция или даже ФБР) могут направить вашему интернет-провайдеру повестку с требованием сообщить, кто использовал этот IP-адрес в то время и к каким сайтам и сервисам был осуществлён доступ. Вот ещё что ваш интернет-провайдер может определить по вашему IP-адресу:

• Содержимое веб-сайта: если вы посещаете https:///www.wikiHow.com, находясь в сети, ваш интернет-провайдер регистрирует это доменное имя.<a href="https://www.wikihow.com/Be-Online-Anonymously#_note-3">[3]</a> Теоретически они могут узнать, как часто вы посещаете wikiHow, что вы скачиваете (если что-то скачиваете) и сколько времени вы проводите на сайте. Хотя они могут найти эту информацию, они не будут следить за вами, если только не получат повестку в суд, которая обязывает их это делать. Если вы часто посещаете сайты с нелегальным контентом, ваш интернет-провайдер может пометить вашу активность как подозрительную.<a href="https://www.wikihow.com/Be-Online-Anonymously#_note-4">[4]</a>
• Ваш MAC-адрес: MAC-адрес (Media Access Control) — это адрес, назначенный конкретно вашей Wi-Fi- или сетевой карте. Ваш интернет-провайдер может определить, какой MAC-адрес в вашей сети использовался с IP-адресом в определённое время. Это означает, что если вы находитесь в школьной, рабочей или домашней сети, администратор сети может определить сайты и сервисы, используемые вашим компьютером.
• Номера портов: если вы подключаетесь к определенным портам (или получаете подключения через определенные порты), ваш интернет-провайдер часто может определить, какие сервисы вы используете, например для просмотра веб-страниц (обычно порты 443 и 80) или отправки электронных писем (обычно порты 25, 587, 587 или 465).
• Ваш VPN-сервис: если вы используете VPN поверх интернет-соединения, чтобы скрыть свои действия в сети, ваш интернет-провайдер может видеть, какой VPN-сервис вы используете и когда вы подключаетесь. Однако он не может видеть, что именно вы делаете в VPN

 

[ilovegrecha]

Будьте осторожны с тем, что вы публикуете в интернете. В наши дни социальные сети повсюду. У каждого есть аккаунт в Facebook, Twitter, Instagram или TikTok, но помните о том, какую информацию о вас могут раскрыть эти сайты. Они не только отслеживают вашу личную информацию и используют ее для таргетированной рекламы, но и то, что вы публикуете, может многое рассказать о вашей личной жизни.

• Ваш профиль в социальных сетях часто содержит такую информацию, как ваше имя, образование, место работы и место жительства. Всю эту информацию можно использовать для отслеживания вас.
• Следите за тем, что ваши публикации говорят о вас в совокупности. Отдельный пост может показаться не таким уж важным, но все ваши публикации вместе могут многое рассказать о вас. Информация, которой вы делитесь, может дать представление о вашем характере и темпераменте. Хакеры и мошенники могут использовать эту информацию, чтобы выйти на вас. Работодатели могут использовать эту информацию, чтобы решить, хотят ли они вас нанять (или оставить на работе).
• Не публикуйте фотографии своих детей или семьи, а также их имена.
• Следите за тем, что вы публикуете на снимках и фотографиях. Они могут содержать информацию о вас, например номер вашего автомобиля или узнаваемые ориентиры, указывающие на район, в котором вы живёте.

 

[Merfi]

Инструкция по установке Tails с возможностью сохранением данных и программ (постоянным хранилищем)​

Tails — это дистрибутив Linux, главный приоритет авторов при его создании — конфиденциальность пользователей. Все соединения с внешним миром происходят через анонимную сеть Tor (дополнительно про Tor можно почтитать в статье "Повышаем свою анонимность в Интернете с Tor в Kali Linux"), все другие соединения блокируются. Подразумевается, что для загрузки системы должны использоваться LiveCD или LiveUSB. Систему нельзя установить на жёсткий диск компьютера, нельзя настроить двойную загрузку с флешки/жёсткого диска (т. е. нельзя установить второй системой). Но при этом возможно создание Persistent — областей, в которых можно хранить документы.

Ну и главным аргументом, который многими упоминается в качестве показателя качества Tails, это то, что эта система использовалась самым известным (после Президента, конечно) жителем России — Эдвардом Сноуденом.


Установка Tails

Скачиваем образ с
Ссылка скрыта от гостей


Прожигаем на болванку.

Загружаемся с DVD.

Устанавливаем на флешку. Флешка должна быть минимум на 4Gb.

Applications->Tails->Tails Installer

Перезагружаемся с флешки.


Создаём постоянное хранилище в Tails

Создаем Persistent Volume

Applications->Tails->Configure persistent volume

Выбираем все пункты.

Перезагружаемся еще раз.

Заходим, задав пароль и включив persistent volume.

Tails уже готовая к использованию. Далее будет рассказано как установить дополнительные программы GPG4USB (для шифрования сообщений), Psi (для безопасного общения в чатах) и Electrum (кошелёк валюты Bitcoin, которая обеспечивает анонимность при использовании).

Дополнительную информацию о Psi и GPG4USB вы можете найти в статье «Как передавать зашифрованные сообщения по почте и в чате».


Устанавливаем GPG4USB и Psi в Tails

Вводим в терминале команды:
Bash:
<span>sudo</span> -i <span>[</span>пароль<span>]</span><br><span>apt-get</span> update<br><span>apt-get</span> <span>install</span> psi-plus<br><span>apt-get</span> <span>install</span> psi-plus-plugins<br><span>apt-get</span> <span>install</span> libqca2-plugin-ossl<br><span>apt-get</span> <span>install</span> libqca2-plugin-gnupg<br><span>echo</span> psi-plus <span>&gt;&gt;</span> /live/persistence/TailsData_unlocked/live-additional-software.conf<br><span>echo</span> psi-plus-plugins <span>&gt;&gt;</span> /live/persistence/TailsData_unlocked/live-additional-software.conf<br><span>echo</span> libqca2-plugin-ossl <span>&gt;&gt;</span> /live/persistence/TailsData_unlocked/live-additional-software.conf<br><span>echo</span> libqca2-plugin-gnupg <span>&gt;&gt;</span> /live/persistence/TailsData_unlocked/live-additional-software.conf


Создаем папки на Persistent:

а) Persistent/Jabber/Psi+— для переноса настроек, аккаунтов и ключей OTR/GPG из вашей текущей Psi+ в новую вам нужны файлы:
Код:
/Psi+/profiles/default/options.xml<br>/Psi+/profiles/default/accounts.xml<br>/Psi+/Psi+/profiles/default/otr.keys<br>/Psi+/Psi+/profiles/default/otr.fingerprints<br>/gpg4usb/keydb/secring.gpg<br>/gpg4usb/keydb/pubring.gpg


б) Persistent/Jabber— распаковываем сюда
Ссылка скрыта от гостей
.

в) Persistent/Jabber— здесь жмём Create New Document -> Empty Document ->открываем его и вводим:
Bash:
<span>#!/bin/sh</span><br><span>HERE</span><span>=</span><span>"$(dirname "<span><span>$(</span>readlink -f <span>"<span>${0}</span>"</span><span>)</span></span>"</span><span>)</span><span>"<br>export GNUPGHOME="</span><span>$HERE</span>/gpg4usb/keydb<span>"<br>export PSIPLUSDATADIR="</span><span>$HERE</span>/Psi+<span>"<br>export PSIDATADIR="</span><span>$HERE</span>/Psi+<span>"<br>psi-plus --profile=default "</span><span>$@</span>" <span>&amp;</span>
Сохраняем и выходим. Переименовываем созданный файл в psi.sh и в свойствах отмечаем разрешение на выполнение. По этому скрипту будет запускаться Psi+ с GPG и OTR


Устанавливаем Electrum в Tails

г) Persistent/Electrum— распаковываем сюда Sources
Ссылка скрыта от гостей

Создаём скрипт Electrum.sh (жмём Create New Document -> Empty Document ->открываем его и вводим):
Bash:
<span>#!/bin/sh</span><br><span>cd</span> /home/amnesia/Persistent/Electrum/Electrum-НОМЕР СКАЧАННОЙ ВЕРСИИ<br>./electrum -p socks5:127.0.0.1:9150 -w /home/amnesia/Persistent/Electrum/wallet.dat

Также в свойствах отмечаем разрешение на выполнение. Запускаем, создаем или восстанавливаем кошелёк. Перезапускаем Electrum.

После перезагрузки всё останется на своих местах.

P.S.: OTR в Psi+ реализован через неофициальный плагин который никто не проверял, выводы и использование остаётся за вами.


Как использовать Tails

1. Как установить свои программы в Tails?

Устанавливать также как и в обычном Debian Linux, любым способом:

– в терминале от суперпользователя root
Bash:
<span>apt-get</span> update<br><span>apt-get</span> <span>install</span> <span>[</span>название пакета<span>]</span>
– через менеджер пакетов Synaptic

2. Как сделать, чтобы установленные программы сохранялись после перезапуска?

Открываем файл /live/persistence/TailsData_unlocked/live-additional-software.conf, вносим туда строки с названием пакетов по порядку в столбик. Или тоже самое командой из терминала:
Bash:
<span>echo</span> <span>[</span>название пакета<span>]</span> <span>&gt;&gt;</span> /live/persistence/TailsData_unlocked/live-additional-software.conf


3. Как сохранять настройки программ? | Как сделать чтобы настройки программ сохранялись после перезапуска?

Путём переноса конфигов в папку /dotfiles, находящуюся на persistent-разделе

На примере FileZilla: настраиваем как надо, затем копируем /home/amnesia/.filezilla в
Код:
/live/persistence/TailsData_unlocked/dotfiles


4. Надо ли обновлять Tails? | Как обновить Tails?

Обновлять крайне важно и строго рекомендуется!

 

[ilovegrecha]

Узнайте, что веб-сайты и приложения для телефонов могут узнать о вас. Большинство веб-сайтов зарабатывают на показе рекламы. Многие мобильные приложения (особенно бесплатные) также собирают информацию о вас. Чтобы успешно привлекать посетителей к кликам (и покупкам) по рекламе, владельцам сайтов и рекламным сетям необходимо знать, чем вы интересуетесь и как вы используете Интернет, чтобы показывать вам релевантную рекламу. Веб-сайты и приложения для телефонов собирают данные, устанавливая файлы cookie для отслеживания на вашем компьютере или мобильном телефоне. С их помощью они могут узнать, какие сайты вы посещаете, ваше местоположение, браузер и операционную систему, которые вы используете, как долго вы находитесь на их сайте, по каким ссылкам вы перешли, вошли ли вы в определённые социальные сети, такие как Facebook, что вы ищете и даже уровень заряда батареи вашего ноутбука. <a href="https://www.wikihow.com/Be-Online-Anonymously#_note-5">[5]</a> Всё это происходит автоматически при посещении сайтов, которые занимаются сбором данных, и вы этого не замечаете.

• Чтобы понять, что веб-сайт может узнать о вас, просто посетив его один раз, загляните на https://webkay.robinlinus.com. Как только вы загрузите страницу, вы увидите поразительную информацию.
• Не все файлы cookie вредны. На самом деле, важно разрешать использование некоторых файлов cookie. Файлы cookie используются для хранения данных на вашем компьютере, чтобы упростить просмотр веб-страниц. Например, файлы cookie позволяют входить в учётные записи, для которых требуются пароли, добавлять товары в корзину и многое другое. Однако некоторые файлы cookie, называемые «файлами cookie для отслеживания» или «сторонними файлами cookie», предназначены для отслеживания вашей активности на всех веб-сайтах, а не только на том, который вы посещаете.
• При установке нового приложения на свой телефон обратите внимание на запрашиваемые им разрешения. Не предоставляйте ему доступ к информации, которая ему не нужна. Например, если приложение запрашивает доступ к вашим данным о местоположении, спросите, зачем ему эта информация. Если вы считаете, что эта информация ему не нужна, не предоставляйте ему доступ к вашим данным о местоположении

 

[ilovegrecha]

Знайте свою точку доступа к беспроводной сети. Вы подключаетесь к общедоступным точкам доступа Wi-Fi, например, в кафе? А в домах ваших друзей? Дело в том, что каждый раз, когда вы подключаетесь к общедоступному Wi-Fi (или точке доступа Wi-Fi, которой вы не управляете самостоятельно), есть вероятность, что кто-то активно отслеживает ваши данные. Если злоумышленник получит доступ к общедоступной точке доступа Wi-Fi, подключив ваш компьютер, телефон, планшет или смарт-часы к этой беспроводной сети, он сможет видеть почти всё, что вы делаете во время входа в систему, включая ввод паролей, просмотр банковских данных и получение вашей контактной информации.<a href="https://www.wikihow.com/Be-Online-Anonymously#_note-6">[6]</a>

 

[Merfi]

Что нужно знать хакеру​

С чего начинали мы? С желания! Хакерство это в 1 очередь хобби. Запомните это хобби, хотя с этим хоби можно зарабатывать денег больше чем на основной работе так как в наши дни это востребованное знание.

Кто такой хакер?

Идут мифы что хакеры гениальные люди или программисты какого-то высокого уровня, но это не так! Хотите быть хакерами то вам сначала нужно делать маленькие шажки к этому. И так внимание с чего нужно начинать:

1. Нужно владеть компом как минимум на продвинутом уровне и знать все как работает в нем!
2. Обязательно изучите сеть! Узнайте все как работает откуда течет интернет и что это такое интернет.

Изучение программирования необязательна, но нужно знать элементарно что такое языки программирования, их базовые функции и как они работают.
Пособие начинающим хакерам

• Изучите наизусть что такое сеть TCP/IP.
• Обязательно знать Linux и Unix системы и их команды. Знать как использовать их в терминале.
• (Советую вместо Windows перейти на Linux)
• В первую очередь установите Kali Linux

И как же без книжек. Вот литература которую надо обязательно прочитать:

Пособие для начинающих хакеров

DNS и BIND

TCP/IP для профессионала

Искусство взлома и защита систем

Взлом и настройка Линукс. 100 профессиональных советов

Взлом программного обеспечения. Анализ и использование кода

TCP/IP крупным планом

Для начала думаю, хватит. После прочтения немногих книг вы поймете что как работает и сами уже будете понимать какую литературу читать и что нужно делать. Будьте терпеливы и экспериментируйте как можно больше.

 

[ilovegrecha]

Советы​

• При работе в интернете вам придётся выбирать между удобством и анонимностью. Оставаться анонимным в интернете не так-то просто, и это требует значительных усилий. При просмотре веб-сайтов вы столкнётесь с гораздо более медленным соединением, и вам придётся пройти через множество проверок, прежде чем вы сможете выйти в сеть. Если для вас важна анонимность, будьте готовы пойти на некоторые жертвы.
  
  Полезный 3 Не помогает 3
• Независимо от того, насколько хорошо вы заметаете следы, всегда остаётся некоторое количество информации, которая потенциально может быть использована для составления вашего профиля и возможной идентификации. Цель использования инструментов анонимизации — уменьшить объём доступной информации, но из-за особенностей интернета вы никогда не сможете быть по-настоящему анонимным.

 

[ilovegrecha]

Использование Общих правил Конфиденциальности​

1. 
   1
   По возможности используйте только защищенные сети.Как бы ни было заманчиво пользоваться незащищенными общедоступными сетями, это делает вас невероятно уязвимым для других пользователей этой сети. Находясь вне дома, пользуйтесь только своей домашней сетью или другими защищенными сетями.
   • Большинство общественных мест, таких как кафе и аэропорты, предлагают защищённые сети.

 

[Merfi]

Сам себе пентестер: пошаговое руководство для разработчика по самостоятельной проверке безопасности веб-приложения​

Стремление как можно быстрее завершить рабочий процесс, будь то деплой ответственного проекта в пятницу или окончание разработки критически важного модуля к концу рабочего дня, часто требует максимальной концентрации и времени. В этой спешке разработчик может случайно упустить из виду критически важные аспекты кибербезопасности веб-приложения. Однако даже незначительная уязвимость способна открыть злоумышленникам несанкционированный доступ к конфиденциальным данным пользователей или нарушить стабильную работу вашего сайта.

Если у вашей команды нет возможности обратиться к услугам профессиональных команд по тестированию на проникновение, базовый анализ уязвимостей вполне можно провести собственными силами. Предлагаем вашему вниманию детальное пошаговое руководство по самостоятельной проверке безопасности и ключевые инструменты, которые помогут выявить наиболее распространенные веб-угрозы.

Для начинающих разработчиков: Если вы только начинаете свой путь в веб-разработке и вопросы безопасности кажутся вам сложными, не волнуйтесь! Эта статья – ваш первый шаг к пониманию основных угроз. Мы постараемся объяснить все простым языком и показать, что основы безопасности может освоить каждый.

Ваш веб-проект на момент проведения security-аудита может находиться на любом этапе жизненного цикла: от активной разработки до уже запущенного production-окружения. В последнем случае любое падение сервера или временная неработоспособность сервиса может серьезно повредить его репутации и вызвать недовольство пользователей.

Именно поэтому при самостоятельной проверке работающего веб-сайта настоятельно рекомендуется развернуть изолированную тестовую среду. Некоторые инструменты для пентеста могут быть достаточно агрессивны и способны нарушить работу основной системы. Далее необходимо составить подробный чек-лист потенциальных уязвимостей, которые вы планируете протестировать. Для обеспечения максимального уровня защиты рекомендуется исследовать проект на предмет всех известных классов угроз, используя разнообразный инструментарий. В качестве отправной точки проведите исследование на наличие уязвимостей, входящих в актуальный список OWASP TOP 10 (ежегодно обновляемый перечень десяти наиболее критичных рисков безопасности веб-приложений).

На основе детального анализа OWASP TOP 10 и с учетом специфики современной веб-разработки, предлагаем следующий расширенный список для первоначальной проверки:

• SQL-инъекции (SQL injection): Эксплуатация небезопасной обработки SQL-запросов для получения нелегитимного доступа к базе данных и выполнения произвольных команд. Подробнее о методах защиты от SQL-инъекций можно прочитать в статье: SQL-инъекции и методы их предотвращения.
• Межсайтовое выполнение сценариев (Cross-site scripting, XSS): Внедрение вредоносного JavaScript-кода на веб-страницы, который выполняется в браузере конечного пользователя. Рекомендуем ознакомиться с обсуждением на форуме codeby.net: Защита от XSS-уязвимостей в веб-приложениях.
• Подделка межсайтовых запросов (Cross-site request forgery, CSRF): Эксплуатация уязвимости, позволяющая злоумышленнику выполнять несанкционированные действия от имени аутентифицированного пользователя без его ведома. Подробности о механизмах защиты от CSRF-атак представлены в статье: CSRF: механизмы защиты и лучшие практики.
• Обеспечение безопасности учетных записей администрации и пользователей: Проведение брутфорс-атак (метод грубой силы) и эксплуатация IDOR-уязвимостей
• Использование потенциально опасных функций: Наличие в программном коде функций, использование злоумышленником которых позволит нанести максимальный ущерб вашему веб-приложению.

Почему мы начинаем с SQL-инъекций, XSS и CSRF? Эти три типа уязвимостей входят в число наиболее распространенных и опасных угроз для веб-приложений согласно отчету OWASP Top 10. Понимание принципов их работы и методов обнаружения позволит вам значительно повысить безопасность своих проектов на начальном этапе.
В современном киберпространстве активно функционируют многочисленные автоматизированные боты злоумышленников, которые круглосуточно сканируют интернет-ресурсы в поисках наиболее часто встречающихся уязвимостей. Такие вредоносные программы зачастую не различают крупные корпоративные порталы и небольшие личные проекты, поэтому вопросам обеспечения информационной безопасности необходимо уделять пристальное внимание с самых ранних этапов разработки вашего веб-приложения.

С чего же начать самостоятельное исследование защищенности вашего веб-приложения?

Если в исходном коде вашего приложения отсутствует надлежащая санитаризация входящих данных (например, некорректная или недостаточная обработка специальных символов, таких как апострофы и кавычки), вредоносный SQL-запрос, внедренный в уязвимый параметр URL или форму, будет успешно интерпретирован сервером базы данных.

Различные виды инъекций традиционно занимают одну из лидирующих позиций в списке OWASP TOP 10, что свидетельствует об их высокой распространенности и потенциальной опасности для веб-безопасности.

• Ручное тестирование: Попробуйте вводить в различные интерактивные элементы веб-сайта (формы поиска, авторизации, фильтрации товаров и т.д.) одинарные (') и двойные (") кавычки, а также другие специальные SQL-операторы (например, UNION SELECT). Неожиданные сообщения об ошибках базы данных или изменения в отображении контента могут указывать на наличие SQLi.
• Автоматизированный анализ уязвимостей:Используйте специализированные инструменты для автоматического поиска SQL-инъекций:
  • SQLmap: Бесплатная утилита с открытым исходным кодом, предназначенная для автоматизации процесса обнаружения и эксплуатации SQL-инъекций. После сканирования веб-приложения SQLmap предоставляет подробный отчет о найденных уязвимых параметрах.
  • Burp Suite: Профессиональный инструмент для комплексного тестирования веб-безопасности. Бесплатная (Community) версия также обладает достаточным функционалом для базовой проверки на SQLi путем перехвата и модификации HTTP-запросов.

Простой пример SQL-инъекции: Представьте себе форму поиска на сайте, которая отправляет запрос в базу данных вида: SELECT * FROM products WHERE name = '$search_term'. Если пользователь в поле поиска введет ' OR '1'='1', то запрос может превратиться в SELECT * FROM products WHERE name = '' OR '1'='1', что может вернуть все записи из таблицы products. Это – очень простой пример, но он иллюстрирует суть проблемы.

 

[ilovegrecha]

Используйте безопасный браузер. Например, в Firefox есть встроенные настройки безопасности, которые предотвращают отслеживание и другие проблемы с безопасностью, которые вы обнаружите в большинстве других браузеров. Если вы хотите использовать более специализированный браузер, попробуйте Tor.

• Другой вариант — Opera, которая включает в себя встроенный VPN, который можно включить, чтобы скрыть ваш трафик.

 

[ilovegrecha]

Удалите файлы cookie-трекеров. Удаление файлов cookie, отслеживающих вашу активность, сократит количество целевой рекламы и электронных писем, которые вы видите в своих браузерах.

• В статье по ссылке также приведены инструкции по отправке запросов «Не отслеживать», которые ваш браузер отправляет на сайты, чтобы предотвратить использование вашей информации.

 

[Merfi]

Сам себе пентестер: пошаговое руководство для разработчика по самостоятельной проверке безопасности веб-приложения​

2. Тестирование на уязвимости межсайтового скриптинга (Cross-site scripting, XSS)

XSS представляет собой тип уязвимости веб-приложений, который позволяет злоумышленнику внедрять и выполнять произвольный вредоносный код JavaScript в браузере другого пользователя при просмотре скомпрометированной страницы вашего веб-ресурса.

Эффективными мерами противодействия XSS являются корректная настройка строгой политики безопасности контента (Content Security Policy, CSP), обязательная санитаризация всех получаемых от пользователя и отображаемых на странице данных, а также экранирование потенциально опасных символов (например, &lt;, &gt;, ", ').

Как выявить XSS-уязвимости?

• Ручная проверка: Попробуйте ввести произвольный код JavaScript в различные поля ввода на сайте (например, поля для комментариев, поиска, обратной связи), предварительно заключив его в теги &lt;script&gt;. Для быстрой проверки работоспособности можно использовать простой скрипт alert('XSS'). Если после отправки формы или при загрузке страницы появляется всплывающее окно с данным сообщением, это свидетельствует о наличии XSS-уязвимости.
• Инструменты для поиска XSS:
  • Ссылка скрыта от гостей
    : Предоставляет широкие возможности для ручного и автоматизированного поиска XSS-уязвимостей путем анализа HTTP-трафика и внедрения тестовых полезных нагрузок.
  • OWASP ZAP (
    Ссылка скрыта от гостей
    ): Бесплатный и многофункциональный инструмент для аудита безопасности веб-приложений, включающий в себя активный и пассивный сканеры для обнаружения XSS.
  • XSS Hunter: Удобный веб-сервис, специально разработанный для обнаружения и отслеживания эксплуатации XSS-уязвимостей, особенно полезный для начинающих специалистов по безопасности.

Простой пример XSS: Если на сайте есть поле для комментариев, которое не фильтрует введенный пользователем HTML-код, злоумышленник может ввести &lt;script&gt;alert('Привет!');&lt;/script&gt;. Когда другой пользователь просмотрит этот комментарий, в его браузере выполнится JavaScript-код, и появится всплывающее окно. В реальных атаках вместо alert() может использоваться код для кражи cookie или перенаправления на вредоносный сайт.
Уязвимость CSRF позволяет злоумышленнику выполнять нежелательные действия на вашем веб-сайте от имени уже авторизованного пользователя, при этом последний может даже не подозревать о происходящем.

Основными методами защиты от CSRF являются корректная настройка HTTP-заголовков безопасности (например, SameSite) и обязательная генерация и последующая проверка CSRF-токенов для всех критически важных действий пользователя (например, отправка форм, изменение личных настроек, совершение платежей). Внимательно проанализируйте исходный код вашего веб-приложения в таких ключевых местах, как обработка авторизации, регистрации новых пользователей и другие действия, требующие аутентификации, на предмет наличия надежной защиты от CSRF. В процессе тестирования используйте Burp Suite для перехвата и детального анализа HTTP-запросов и ответов сервера.

Как работает CSRF (простой пример): Представьте, что вы авторизованы в своем онлайн-банке и нажимаете кнопку "Перевести 100$ другу". Браузер отправляет на сервер банка запрос с вашими учетными данными и суммой перевода. Злоумышленник может отправить вам по электронной почте ссылку на поддельную страницу с незаметной формой, которая автоматически отправит на сервер вашего банка запрос на перевод денег на счет злоумышленника. Если вы в этот момент авторизованы в банке, этот запрос может быть выполнен без вашего ведома. Защита CSRF предотвращает такие ситуации с помощью специальных токенов, которые злоумышленник не может получить.
Не следует забывать и о комплексной безопасности учетных записей пользователей вашего веб-приложения. Внедрите двухфакторную аутентификацию (2FA) для повышения уровня защиты, настройте эффективные механизмы защиты от брутфорс-атак (блокировка после нескольких неудачных попыток входа), своевременно удалите или заблокируйте все неиспользуемые административные аккаунты, принудительно используйте стойкие и уникальные пароли и тщательно протестируйте механизмы контроля доступа к ресурсам (Insecure Direct Object References, IDOR). Для имитации атак методом перебора паролей можно использовать такой инструмент, как Hydra (интегрированный в дистрибутив Kali Linux).
Существует ряд функций, которые могут позволить злоумышленнику выполнять произвольные команды, например, в операционной системе сервера. Рассмотрим примеры из языка PHP:
PHP:
Данные функции при неверной настройке и отсутствии санитизации несут уязвимость Command Injection или, если код выполняется удаленно, RCE (Remote Code Execution). Их эксплуатация злоумышленником может привести к полной компрометации сервера. Рекомендуется отказаться от использования данных функций или отключить их в php.ini (disable_functions).
Предположим, вы успешно выполнили сканирование вашего веб-приложения, выявили и устранили определенное количество потенциальных уязвимостей. Однако важно помнить, что некоторые последствия эксплуатации брешей в безопасности могут сохраняться в системе даже после их формального исправления.

 

[ilovegrecha]

Не вводите свой адрес электронной почты на сайтах, которые вы посещаете. Помимо социальных сетей, не указывайте свой адрес электронной почты и другую личную информацию на сайтах, которые вы посещаете.

• Если для доступа к сайту, на который вы хотите зайти, требуется адрес электронной почты, создайте адрес электронной почты для спама, на который не будет приходить ваша личная информация, и используйте его для входа в систему.

 

[Merfi]

2. Тестирование на уязвимости межсайтового скриптинга (Cross-site scripting, XSS)

Уязвимости, относящиеся к типам File Upload, Remote Code Execution (RCE), Local File Inclusion (LFI) или Remote File Inclusion (RFI), могут предоставить злоумышленнику возможность загрузить на сервер вредоносные исполняемые файлы или выполнить произвольный системный код. После устранения подобных уязвимостей крайне важно выполнить следующие действия:

• Проведите тщательную проверку файловой системы веб-сервера на наличие недавно появившихся подозрительных скриптов с небезопасными расширениями (.php, .js, .py и другие) или незаметно подмененных системных библиотек, которые могли быть внедрены в результате эксплуатации уязвимости.
• Проанализируйте настройки планировщика задач cron, системные службы и параметры автозагрузки на предмет обнаружения вредоносных или подозрительных заданий, которые могли быть добавлены злоумышленником для обеспечения постоянного присутствия в системе.

Замена злоумышленником хранящихся на сервере библиотек / внедрение в них вредоносного кода, подключение собственных вредоносных библиотек, подмена ссылок, подключающих библиотеки, а также угроза от эксплутации старых, необновленных библиотек с известными уязвимостями. Рекомендуется:

• Проверить участки кода, отвечающие за подключение зависимостей
• Обновить используемые библиотеки
• Проверить хеши файлов (md5sum, sha1sum)

При обнаружении уязвимых для SQL-инъекций мест необходимо удостовериться, что злоумышленник не эксплуатировал данную уязвимость. Для этого проведите следующие процедуры:

• Проверьте наличие подозрительных записей в базе данных (содержащих участки SQL-запросов, js-кода). Обратите внимание - вредоносный код может быть зашифрован злоумышленником для усложнения его поиска.
• Удостоверьтесь, что не появилось новых учетных записей, или не изменились данные уже имеющихся аккаунтов (изменение логина/пароля, прав).
• Проверьте триггеры, для этого воспользуйтесь командой SHOW TRIGGERS

Изменение учетных данных аккаунтов с административным доступом или создание таковых несут прямую угрозу безопасности вашего веб-приложения.
Обновите все пароли и ключи, проверьте учетные записи:

• Баз данных (см. пункт 3)
• SSH
• CMS (если используете)
• Аккаунтов администраторов в самом веб-приложении
• FTP (если не используете - рекомендуется отключить)
• Паролей управления, например, ispmanager (если используете)

Совет: Проведите антивирусное сканирование файлов вашего веб-приложения, по возможности восстановите файлы из "чистого" бекапа.

Обеспечение высокого уровня безопасности вашего веб-приложения представляет собой непрерывный и многогранный процесс. Даже если вы не являетесь сертифицированным специалистом по тестированию на проникновение или опытным экспертом в области информационной безопасности, регулярное проведение базовых самостоятельных проверок поможет вам своевременно выявить и устранить наиболее критичные уязвимости до того, как они станут объектом эксплуатации со стороны злоумышленников.

• Регулярно обновляйте все используемые в проекте зависимости, библиотеки сторонних разработчиков и фреймворки до самых свежих версий, которые часто содержат важные исправления безопасности, устраняющие известные уязвимости.
• Тщательно валидируйте и экранируйте все без исключения пользовательские входные данные на каждом этапе их обработки для предотвращения инъекций и других атак.
• Неукоснительно применяйте принцип наименьших привилегий для всех учетных записей и запущенных процессов в системе, а также осуществляйте строгий контроль за учетными записями с повышенными правами доступа.
• Внедрите и поддерживайте в актуальном состоянии надежную политику безопасности контента (CSP) для минимизации рисков, связанных с межсайтовым скриптингом.
• Используйте современные ORM (Object-Relational Mapping) и другие безопасные методы взаимодействия с базами данных для предотвращения SQL-инъекций.
• Реализуйте надежные механизмы защиты от CSRF для всех критически важных действий пользователей.

 

[ilovegrecha]

Способ 2 из 3:

Использование веб-прокси​

1. 
   1
   Откройте предпочитаемый вами браузер. Chrome, Firefox, Edge (Windows) и Safari (Mac) — все это надежные, поддерживаемые браузеры

 

[ilovegrecha]

Поиск онлайн-прокси. Введите free online proxies 2025 в строку поиска вашего браузера и нажмите ↵ Enter. Вот некоторые авторитетные прокси-сервисы: <a href="https://www.wikihow.com/Surf-the-Web-Anonymously-with-Proxies#_note-1">[1]</a>

• Анонимный пользователь
• VPN - книга
• ФильтрBypass

 

[ilovegrecha]

Откройте прокси-сайт. Нажмите на ссылку сайта, чтобы открыть прокси-сайт.

• Прежде чем использовать выбранный вами прокси-сервер, изучите его. Если вы не доверяете владельцу прокси-сервера, по возможности настройте веб-прокси на своём веб-хостинге (обратите внимание, что прокси-серверы могут создавать большую нагрузку на ваш веб-хостинг).

 

[ilovegrecha]

1. Введите название сайта в строку поиска прокси-сервера. Обычно в центре страницы прокси-сервера вы видите строку поиска.
   
   
   
2. 

 

[ilovegrecha]

Нажмите кнопку «Поиск» или «Перейти». Обычно эта кнопка находится под полем поиска. После этого поиск в Facebook будет выполняться через прокси-сервер, что позволит избежать подключения к сети вашей школы.