Про державне регулювання доступу до інформації

Довший час хотів узагальнити свої думки щодо блокування веб-сайтів та інших форм “регулювання інтернету”, ось нарешті дійшли руки.
По-перше, забудьте про те, що є хороше та погане саме по собі, адже у всього є контекст. І догматичні ствердження про те, що щось є добром, а щось злом – причина більшості страждань на планеті. Тому будь-яке твердження або принцип треба завжди розглядати в контексті та оцінювати яке благо та яке зло вони можуть спричинити.

Довший час хотів узагальнити свої думки щодо блокування вебсайтів та інших форм “регулювання інтернету”, ось нарешті дійшли руки.

По-перше, забудьте про те, що є хороше та погане саме по собі, адже у всього є контекст. І догматичні ствердження про те, що щось є добром, а щось злом – причина більшості страждань на планеті. Тому будь-яке твердження або принцип треба завжди розглядати в контексті та оцінювати яке благо та яке зло вони можуть спричинити.

Ось вам класичний приклад: твердження про цінність людського життя. В будь-якої нормальної людини його правильність сумнівів не викликає. Але якщо звести його у догму, то починаються проблеми, адже неможливо чітко визначити коли свідоме життя розпочинається та коли воно закінчується. Звідси – заборона контрацептивів в певних культах та віруваннях, священні війни проти абортів, та кримінальна відповідальність за згоду на евтаназію.

Ще один приклад: вільний доступ до інформації. Тут у нас просто повний безлад, адже й сама інформація, і її використання, можуть бути дуже й дуже різноманітними. Не будемо вдаватися до суперечок щодо приватності або вільного поширення інформації в інтернеті, краще візьмемо екстремальну точку. Уявіть, що одного дня вчені дізнаються, що на Землю летить астероїд, та людству залишилося існувати лічені дні, і немає жодного шансу щось змінити. Чи повинні вони розголосити цю інформацію? З етичної точки зору – ні, адже це лише призведе до неймовірного збільшення страждань, через які людство пройде в фіналі свого існування. Але якщо сприймати “вільну інформацію” як догму…

Думаю, я склав потрібне враження, ідемо далі. Отже, все залежить від контексту. Тому перед тим як засуджувати або схвалювати щось, треба розібратися в деталях: що взагалі відбувається.

Коли в нашого уряду лише почали проявлятися схильності до регулювання поширення інформації в інтернеті, я спостерігав виникнення трьох таборів. Перший вважає, що це добре, адже блокувати планується лише “погані” вебсайти, які поширюють російську пропаганду. Другий вважає, що це погано, адже інформація повинна бути вільною, а вільний доступ до інформації – це одна з основ вільного демократичного суспільства. І треті, найменш чисельні, до яких я відношу себе та багато однодумців, вважають, що “добре” або “погано” тут не канає: просто уряд це не та категорія людей, які повинні це визначати. Уряд не має ані морального, ані юридичного права вирішувати, що і як приховувати в інтернеті від народу. Адже уряд не є компетентним вирішувати, що є добре, що є погано, та яку користь або шкоду знання або незнання може спричинити. Уряд складається з політиків та чиновників, які аж ніяк не є моральним компасом суспільства. Ось чому довіряти уряду вирішувати що блокувати – це погана, дуже погана ідея. Тому що така функція неодмінно буде використана урядом не за призначенням.

З цим розібралися, ідемо далі. А що ж тоді робити? Тут теж є варіанти. Можна спробувати створити для цього “компетентний орган”, який складатиметься з найкращих представників суспільства, вчених, філософів, філантропів, соціологів та митців, які колегіально будуть вирішувати морально-етичні дилеми. Я не в курсі, щоб десь таке спрацювало. Або – можна дати урядові по руках та просто не дозволити перетворити доступ до інформації на політичний інструмент, тобто надати проблемі можливість саморегулюватися. Власне, другий спосіб і пропонували активні критики блокувань, більшість з яких далекі від ідей безумовного вільного поширення інформації, – просто вони в курсі, в якій країні ми живемо, та хто нею керує.

Хороші ідеї можуть мати погані наслідки та погану реалізацію. Погані ідеї можуть мати короткочасні позитивні наслідки, які спокушатимуть вас погодитися з їхніми авторами. Щоб не помилитися, треба розглядати будь-які ідеї в контексті їхнього використання. А догми та популістські заклики – завжди сприймати критично.

WhatsApp як заміна Skype

у бізнес-середовищі

Часто запитують, яка є заміна Skype у бізнес-середовищі. Здається, тепер я маю відповідь. Якщо колеги мене підтримають, можемо зробити це фірмовою порадою.

TL;RD: WhatsApp group chats.

Тепер докладніше: чому не Skype, та чому саме WhatsApp.

Не Skype з багатьох причин, але назву дві. По-перше, у Microsoft ну дуже високий профіль загроз, адже їхні продукти використовуються чи не усіма компаніями та урядами на планеті. Тому, зважаючи на сучасний геополітичний клімат в кібер-просторі, сподіватися на те, що мережі цього вендора не заражені імплантатами основних учасників кібер-війни — що найменше наївно. По-друге, у Microsoft дуже широка та лояльна програма співпраці з правоохоронними органами тих держав, де у вендора є ключові сегменти ринку. Продовжуйте думку.

Чому ж WhatsApp, а не, скажімо, Telegram, Slack або Signal чи ще щось? Не Telegram, тому ж чому й не Skype. Закритий код, сумнівне походження, тісні зв’язки з геополітичними гравцями. Не Slack, тому що, вибачте, але старші люди до нього звикають дуже болісно. Молода команда користується залюбки, олдфаги — лише страждають. Не Signal, тому що, при всій повазі до рівня захисту, десктопний клієнт у вигляді Chrome-розширення — це жалюгідно. Розумію, що в противному випадку треба йти на компроміси між безпекою та зручністю, але ми хлопці дорослі і до цього готові.

Тому, WhatsApp. Достатній рівень захисту (шифрування з кінця в кінець, двохетапна автентифікація, використання Signal API тощо) + достатній рівень зручності (нормальний десктопний застосунок). З особливостей — ваш смартфон завжди повинен бути поруч, але куди зараз без нього?

Сподіваюся, це допоможе комусь позбавитися залежності від Skype в корпоративному середовищі та почати використовувати більш цивілізовані засоби спілкування. Бережіться.


Originally published at blog.styran.com on September 22, 2017.

Приватність та бізнес-модель

найбільших світових корпорацій

Дуже цікава ілюстрація, яку багато вже хто бачив, але ця тема досить часто виникає в дискусіях, тому ще раз:

Подивіться на цей чарт. Бачите, дві з п’яти найбагатших компаній планети основним своїм прибутком мають рекламу. Це означає, що вони збирають та систематизують дані про нас, про наші дії, наші пересування, наші вподобання тощо, а потім продають отримані знання тим, хто заплатить за це гроші — рекламодавцям.

Саме рекламодавці є їхніми справжніми клієнтами. Ми з вами для них — товар. Тому, власне, аналогічні продукти (скажімо iPhone vs an Android phone) у компаній, які не приторговують рекламою, зазвичай “трохи” дорожчі. Вони не закладають в бізнес-модель слідкування за користувачами, тому не можуть собі дозволити зробити їм знижку. Але повернемося до кібер-безпеки: які тут треба зробити висновки?

По-перше, якщо ви хочете залишати в базах даних цих компаній менше слідів, змушений вас розчарувати: це майже неможливо. Для цього не достатньо менше користуватися або зовсім не користуватися Google або Facebook. Навіть якщо у вас нема аккаунтів в їх системах, вони все одно будуть отримувати дані про вас від веб-сайтів, на яких розміщений їхній код.

І по-друге, кібер-безпека Google, Facebook та інших інтернет-гігантів відбивається на всіх нас, тих, хто користується цим інтернетом. Тому будьте пильні, слідкуйте за новинами, звертайте увагу на атаки, рапортуйте підозрілі веб-сайти та електронні листи, беріть участь в Bug Bounty. Тому що безпека інтернету це задача не лише Google, Facebook, Вови Стирана та його друзів по пубкам — це справа всіх і кожного.

Бережіться.

P.S. Посилання на абсолютно нерелевантну, але дуже цікаву статтю, в якій наведено цей чарт: https://www.businessinsider.com/how-google-apple-facebook-amazon-microsoft-make-money-chart-2017-5

Як зберегти приватність відвідувань вебсайтів від власного інтернет-провайдера

від власного інтернет-провайдера

Останнім часом, зважаючи на неприємні новини з-за океану про відміну Конгресом США вимог щодо приватності метаданих відвідування інтернету, досить часто постає питання “а що ж робити?” Відклавши політичні та суспільні компоненти проблеми, якими най опікуються резиденти та громадяни Штатів, перейду до суто технічного розв’язання. Коли мова йде про вашого інтернет-сервіс провайдера (ISP), є два популярні та дієві способи приховати від нього практично всю вашу активність в мережі. Це Tor та VPN.

Tor здійснює трошки більше ніж просто приховування вашого трафіку. По суті це величезна розподілена мережа, яка шифрує трафік від вашого пристрою до точки виходу з неї (але не за її межами), та при цьому додає вашим діям відносної анонімності. Відносної, тому що абсолютної анонімності в інтернеті немає, проте Tor це непоганий варіант, якщо вашим опонентом є “вичіслітєль по ІР”, а не FBI чи ФСБ. Хоча щодо ФСБ в мене сумніви, але я б не радив ризикувати.

Віртуальна приватна мережа (VPN) анонімності не гарантує, але від прослуховування на обладнанні інтернет-провайдера захистить. Під’єднуючись до VPN, ви встановлюєте зашифрований тунель від вашого пристрою до серверу VPN-провайдера (або вашого власного VPN-серверу, якщо аж настільки припекло). Звісно ж, VPN-провайдери теж не янголи, але більшість з них отримує за послуги ваші гроші, а не гроші рекламодавців, жадібних до журналів ваших відвідувань. Отже, є VPN-провайдери з гарною репутацією, яких не соромно й друзям порадить.

Важливе зауваження. Ані Tor, ані VPN не гарантують вам приватності за межами мережі/тунелю. Отже, використовуючи ці технології, переконайтеся, що “завертаєте” в них лише комунікації, які самі по собі захищені шифруванням. Тобто, що відвідуєте веб-сайти по протоколу HTTPS та спілкуєтеся з друзями в програмах, які здійснюють шифрування даних. В противному випадку, особливо коли мова йде про Tor, ваші дані можуть опинитися навіть в більшій небезпеці, ніж зазвичай.

Список рекомендованих VPN-провайдерів міститься в настановах щодо персональної кібербезпеки під кодовою назвою Don’t Click Shit: https://github.com/sapran/dontclickshit#Користуйтеся-vpn

Охочім отримати досвід з використання Tor — сюди: https://www.torproject.org

Бережіться.


Оновлено 21 грудня 2018 р.

Очевидно, тепер до переліку суб’єктів, від нам яких слід приховувати метадані, треба додати й постачальників послуг, якими ми користуємось. Таких як, наприклад, Slack, що заблокував цілу купу користувачів, які нещодавно побували на підсанкціних територіях.



Originally published at blog.styran.com on April 8, 2017.

Чому небезпечно надавати доступ до вашого профілю в Facebook

та в інших соціальних мережах

Напевно, всім знайомі оці прикольні “тести”, які видають вам правду жізні лишень отримавши “доступ до вашого профілю у Facebook та списку друзів”. Дехто навіть підозрює, що вони становлять загрозу приватності. Але більшість вважає, що їхнє ім’я та email не є великою таємницею, а список друзів можна подивитися в профілі, отже… в мене нема чого красти.

Розбазарювати чи ні список друзів, це окрема цікава тема, але сьогодні давайте поговоримо про ваш профіль. Якщо ви вважаєте, що творців подібних “тестів” цікавить хто ви є і як з вами зв’язатися — ви наївно помиляєтесь. Насправді їх цікавить, які сайти ви відвідуєте, які посилання на них клікаєте, та які дані в них вводите. “Але ж Фейсбук про це не знає!” — скажете ви. І це буде помилкою.

Кожен раз, коли ви заходите на веб-сайт, який має на ньому видиму (або не дуже) порцію коду з Facebook, ви ділитися з ним даними про це відвідування. Цей код може виглядати як кнопка поширення сторінки в ФБ, але для того, щоб ваш візит був зареєстрований в ФБ, вам не потрібно поширювати сторінку. Вам досить просто її відвідати. Щоб картинка була повною, додам, що для збирання цих даних ФБ зовсім не обов’язково, щоб ви були в ньому залогінені або навіть зареєстровані.

Дані про наші відвідування збираються та систематизуються у великих-превеликих базах даних, користуватись якими потім можуть клієнти Facebook — тобто ті, хто платить за це гроші. (Якщо ви вважали, що є клієнтами ФБ, мушу вас розчарувати: ви в цій схемі — товар. У вас навіть артикул є — це ваш рекламний ідентифікатор.) Отримавши доступ до цих даних, клієнти можуть тонко настроювати параметри реклами, яку вони поширюють через ФБ. Наприклад, націлюючи її на чоловіків у віці 18–35 років, які неодружені та полюбляють мотоцикли. Тобто відвідують веб-сайти мотоклубів та ділерів і не дай боже колись клікали посилання на весільні агентства або лайкали весільні фотки із своїм обличчям десь по центрі. Якщо ви колись опинялися в ситуації, коли шукали певний товар в інтернеті, а потім заходили в ФБ та одразу ж натикалися на рекламу цього товару — ось вона, магія таргетованої реклами.

Але це ще пів біди: вся ця кухня відбувається в межах ФБ та більш-менш контрольована. “Соціальна мережа” (а насправді — величезний оператор персональних даних про наші дії в інтернеті та не тільки) виступає ніби посередником між нами (товаром) та рекламодавцями (клієнтами). А тепер уявіть собі, що хтось крім ФБ “сидить” на тих самих вебсайтах та збирає ту саму інформацію, але не в змозі її співставити з вашою персоною. Аж раптом він отримує ваші персональні дані та рекламний ідентифікатор, причому майже безкоштовно. На цьому в мене все.

Бережіться.