.png){kind=logo}
המדריך נכתב על ידי
יובל אדם ונעם רותם | 2020 CryptoParty
איורים: דורון פלם
אבטחת מידע לאקטיביסטיות
מדריך מידע שימושי
איך לעשות את החיים של מי שעוקב אחרינו לקצת יותר קשים
מוכנות לצלול פנימה?
מה זה אומר לשמור על הפרטיות ברשת?
אין פתרון קסם לשמירה על פרטיות, ואין כזה דבר 100% הגנה. מדובר בתהליך של אימוץ הרגלים, שיהפכו את המעקב אחרינו לקשה יותר. אנחנו צריכות לבחון את האיומים הספציפיים שרלבנטיים לנו, ולהתאים את ההתנהגות שלנו כדי להתמודד
אל מולם.
במדריך זה נמליץ על מספר כלים שימושיים וקלים לשימוש (בחלקם, לא כולם) שיכולים לעזור לנו לשמור על הפרטיות שלנו ברשת. ננסה להסביר אותם בשפה פשוטה, מתוך מחשבה שככל שיהיו ברשותנו יותר כלים, שאנו מכירות את החסרונות והיתרונות שלהם, הסיכויים שלנו להגנה על המידע שלנו תגדל.
למי המדריך הזה מיועד?
כפעילות חברתיות ופוליטיות אנחנו מבלות חלקים נרחבים מחיינו ברשת האינטרנט, ומשאירות שם מידע אישי רב, שעלול להתגלגל לגורמים לא רצויים, ולסכן אותנו ואת פעולותינו. במדריך הזה ננסה לעשות קצת סדר בדברים ולתת כמה המלצות לשינויים קטנים בהתנהלות שלנו, שיהפכו את המעקב אחרינו לקשה באופן משמעותי.
חשוב להדגיש שתוכן המדריך יכול לתת מושג ראשוני בלבד, ושאם אתם מרגישים מאוימים חשוב להתייעץ עם מומחים.
ניהול סיסמאות
אסור להשתמש באותה סיסמה פעמיים. אם השתמשתן בסיסמה מסוימת באתר אחד, לעולם אל תשתמשו בה באתר אחר. סיסמאות דולפות באופן קבוע מאתרים רבים, ושימוש כפול בסיסמאות הוא פתח לגניבה של הסיסמה שלנו.
אין צורך לזכור את כל הסיסמאות שאנחנו מייצרות, אפשר ורצוי להשתמש ב"מנהל סיסמאות", שהופך את החיים לקלים הרבה יותר. מנהל סיסמאות מותקן בתוך הדפדפן וגם
כאפליקציה בטלפון ושומר לנו בצורה מוצפנת על כל הסיסמאות. יותר מזה, הוא גם ממלא במקומנו את הסיסמאות בצורה אוטומטית כאשר אנחנו גולשות לאתרים.
מנהלי סיסמאות מומלצים
אימות דו שלבי
אימות דו שלבי (Two-Factor Authentication) הוא מנגנון שנועד להבטיח שגם אם מישהו גנב לכן את הסיסמה – הוא לא יצליח להיכנס באמצעותה לחשבון שלכן. המחשבה מאחורי המנגנון הזה היא, שעל מנת להיכנס למקום מסוים צריך שילוב של "משהו שאני יודעת" (כמו סיסמה) יחד עם "משהו שיש לי" (כמו טלפון נייד שנמצא איתי).
קל ומומלץ מאוד להפעיל אימות דו שלבי בחשבון הדוא"ל או בחשבונות ברשתות החברתיות, כך שגם אם מישהו השיג את הסיסמה שלכם – החשבונות שלכם יישארו מוגנים.
חסימת פרסומות
כמעט בכל אתר בו אנו גולשות יש עשרות ולעיתים גם
מאות מנגנוני ניטור, שחלקם מופיעים כפרסומות ואת
חלקם אנחנו בכלל לא רואים. מנגנונים אלה אוספים
מידע אישי שבעזרתו ניתן לקטלג ולתייג אותנו, ולעקוב
אחר כל פעולה שנעשה ברשת.
על ידי הפעלה של חוסם פרסומות אנחנו יכולות להבטיח שמידע אודותינו לא ישלח למסדי נתונים שונים ולא יימכר לחברות שסוחרות במידע האישי שלנו.
טיפ מאיתנו
להתקין uBlock Origin בדפדפן שלכן
המנעות מרוגלות (Spyware)
ורושעות (Malware)
רוגלות ורושעות הינן תוכנות עם כוונה זדונית.
תוכנות אלה יכולות לגנוב מידע אישי ורגיש ולנטר את הפעילות שלנו ברשת. אחת הדרכים הפופולריות לעקוב אחרי משתמשים היא להתקין במכשיריהם רוגלות שישלחו לעוקב עדכון על כל הקשה של הקורבן על המקלדת, על כל מסך שנפתח, ועל כל מידע שנכנס ויוצא מהמכשיר – כאילו הוא עומד ומציץ מעבר לכתפו של הקרבן.
הדרך הטובה ביותר לצמצם את הסיכון להידבק ברושעה שכזו היא להתקין רק דברים נחוצים ממקורות אמינים, ולא להתפתות להתקין תוכנות או אפליקציות מיותרות ממקורות מפוקפקים.
03
קוד פתוח/סגור
חשוב להשתמש כמה שיותר בקוד פתוח. שימוש בתכנה עם קוד פתוח מאפשר לנו לדעת היכן הפרטיות שלנו בסכנה.
קוד סגור הוא קוד תוכנה שחשוף רק בפני החברה שמפיצה את התוכנה, כך שלנו אין דרך לדעת כיצד בנויה התוכנה (או האפליקציה), האם יש בה דלתות אחוריות המאפשרות לחברה או לאחרים גישה למידע שלנו, אם המידע שלנו מוצפן ומוגן, וכו'.
קוד פתוח הוא קוד שנבנה באופן שיתופי על ידי מפתחים מכל העולם. הוא גלוי ברשת ולכן מאפשר לקהילת אבטחת המידע הבינלאומית לבדוק אותו ולוודא שלא הוכנסו בו חורים שיאפשרו לגורמים זרים לגשת אליו בלי רשותנו.
כשאנו משתמשים בקוד פתוח אנחנו לא חייבים לסמוך על המילה של חברה מסחרית, שבשבילה שורת הרווח חשובה הרבה יותר מפרטיות משתמשיה.
02
מידע ומטא-מידע
אז אם המידע מוצפן הכול בסדר? כמובן שלא. הצפנה מגינה על התוכן של התקשורת, אבל לא על הפרטים האחרים על התקשורת (Metadata). למשל, אם אדם שולח הודעה מוצפנת, מי שמנסה לעקוב אחריו לא יוכל לדעת מה נאמר בהודעה, אבל הוא כן ידע למי הוא נאמר, איך הוא נאמר, מתי, ועוד הרבה מאוד נתוני תקשורת שיכולים לגלות עלינו מידע רב ולפגוע בפרטיות שלנו.
ראש הסוכנות לביטחון לאומי בארה"ב
(ה־ NSA) לשעבר מייקל היידן אמר: "אנחנו הורגים אנשים בהתבסס על מטא־מידע". מספיק לדעת שהתקיימה תקשורת בין שני גורמים, גם בלי לדעת בדיוק מה נאמר, כדי להביא לפגיעה משמעותית בהם.
01
הצפנה
הצפנה מאפשרת לנו להגן על מידע
בדומה לשמירה של חפץ כלשהו בכספת:
בלי שיש לנו את המפתח או את הקוד הסודי, אין שום דרך לדעת מה יש בפנים. הצפנה מאפשרת לנו לנעול מידע אישי או סודי מאחורי מנעול, וכך לאפשר גישה רק למי שאנחנו סומכות עליו.
הצפנה מקצה לקצה הוא תהליך הצפנה שבו מפתחות ההצפנה מיוצרים ונשמרים אך ורק על ידי מכשירי הקצה (הסמארטפונים או המחשבים) של המשתמשים. זאת בניגוד לצורך להסתמך על שרת כלשהו שיושב בתווך בין המשתמשים, מייצר עבורם את המפתחות, אבל גם מאפשר הצצה
לתעבורה ה"מוצפנת".
שימו לב
Whatsapp ו- Telegram אינן נחשבות בטוחות
החברות המפעילות את האפליקציות WhatsApp ו-Telegram טוענות שההודעות מוצפנות מקצה לקצה, אולם מכיוון שמדובר בתוכנות קוד סגור שאין לנו גישה אליהן, אי אפשר לבדוק את הטענה הזאת. בכל מקרה, עדיין יש להן גישה למטא־מידע של כל הודעה, והן שומרות אותו לנצח, כך שאפשר לדעת מי מדבר עם מי ומתי. זה יכול להספיק כדי לחבר בין אדם אחד לאחר ולהביא לפגיעה חמורה בפרטיותו ובזכויותיו.
בנוסף, השיחות הרגילות והקבוצתיות ב־ Telegram כלל לא מוצפנות. כדי לקבל הצפנה מקצה לקצה ב־ Telegram צריך לפתוח חלון שיחה מיוחד.
אפליקציות הודעות
יש כמה אפליקציות פופולריות לשליחת הודעות, אבל רק אחת שבאמת שומרת על פרטיות המשתמשים בה.
Signal אפליקציה הכתובה כקוד פתוח אשר מצפינה את ההודעות מקצה לקצה, ולא שומרת מידע או מטא־מידע. במקרים שבהם רשויות אכיפה בארה"ב הוציאו צו שיפוטי שהורה לסיגנל לחשוף מידע על התקשורת בחשבוןמסוים, הן קיבלו בחזרה דף ריק, כיוון ששום מידע לא נשמר אצל סיגנל מלכתחילה.
המנעות מאיכון סלולרי
המכשירים הסלולריים שאנחנו מחזיקים בכיס שלנו הם ללא ספק כלים שימושיים, אבל מתוקף צורת התקשורת שלהם עם אנטנות הסלולר שמותקנות סביבנו, חברות הסלולר יודעות בכל רגע נתון את המיקום הגיאוגרפי המדויק שלנו. האיכון הזה מתבצע בכל מקרה – ללא כל קשר לפונקציית ה־ GPS בטלפון. מידע פרטי זה יכול לזלוג לשלל גורמים, ולספר עלינו סיפור שאנחנו לא מעוניינים לחשוף.
טיפ מאיתנו
מומלץ שלא לקחת את המכשיר הקבוע שלכם לסביבות רגישות. במידת הצורך אפשר להשתמש במכשיר טלפון זול
עם כרטיס סים חד פעמי שלא
מקושר אליכם.
הסמארטפונים הקיימים היום מציעים מספר דרכים שונות לנעילת המכשיר. שימו לב שנעילה שמתבצעת באמצעות טביעת אצבע או זיהוי פנים היא נעילה שאפשר לכפות עליכן לפתוח באמצעות כוח פיזי. הנעילה המומלצת ביותר לכלל המכשירים היא נעילה על ידי קוד סודי ארוך ומורכב.
שימו לב
נעילת המכשיר
למרות שהמילה "הצפנה" נשמעת מסובכת מאוד, כל הדפדפנים המודרניים תומכים בה בלי שום פעולה נוספת מצידנו. אם הכתובת בדפדפן מתחילה ב- https (במקום ב- http) ואם יש לידה מנעול ירוק - זה אומר שהתעבורה בין הדפדפן לשרת האינטרנט שאיתו אנחנו מתקשרים מוצפנת למשעי.
העובדה שהתעבורה מוצפנת מונעת מהאקרים לקרוא את המידע, אבל לא אומרת שהמידע בטוח לגמרי. למשל, למרות שבשירות הדוא"ל שלנו יש מנעול, לעובדי החברה שמפעילה אותו יש גישה לתוכן ההודעות, וכך גם לכל גוף שיקבל גישה למערכות שבהן ההודעות מאוחסנות.
גלישה מוצפנת (HTTPS)
גלישה אנונימית TOR
אם התקשורת שלנו מנוטרת כל הזמן, איך בכל זאת אפשר לשמור על אנונימיות ברשת? בשביל זה הוקם פרויקט Tor - דפדפן הדומה מאד לפיירפוקס אך מאפשר גלישה אנונימית ובטוחה. הגלישה ב- Tor עובדת כמו המשחק הפופולרי "חבילה עוברת", שבה כל חוליה בשרשרת יודעת רק ממי היא קיבלה ואל מי היא שולחת, אבל לא מה שהיה קודם ולא מה שיהיה אחר כך. בדרך זו, גם אם האקרים או מרגלים אחרים יחשפו את אחת החוליות, המקור והיעד עדיין בטוחים ובלתי ידועים.
שירות של Virtual Private Network, או בשמו המוכר יותר VPN, מוצע לא פעם ככלי לגלישה אנונימית. שירות VPN לרוב מסופק על ידי חברה מסחרית שמציעה את השירות בתשלום או בחינם, ובעצם מציעה לנתב את הגלישה שלכם בצורה מאובטחת דרך שרתי החברה שנמצאים בד"כ במדינה אחרת.
בעוד ש־ VPN יכול לעזור לדמות גלישה ממדינה אחרת, ישנן שתי בעיות מהותיות בשימוש בו. הראשונה היא ששוק חברות ה־ VPN ידוע לשמצה בכך שהוא מוכר באופן חופשי מידע אישי של המשתמשים. השנייה והחמורה יותר היא ש־ VPN אינו מבטיח אנונימיות: בעוד ברשת Tor הגלישה מתבצעת דרך שלושה שרתים שונים, ב־ VPN החיבור מתבצע דרך שרת אחד בלבד, וזה לא מספיק כדי להבטיח אנונימיות אמיתית.
שימו לב
למה VPN אינו נחשב בטוח?
Tails - סביבת עבודה חד פעמית
Tails היא סביבת עבודה חד פעמית ומוצפנת, שמאפשרת למשתמשים בה לעבוד על מחשב "נקי" גם אם הותקנו אצלם רוגלות ורושעות. מערכת ההפעלה הזו מופעלת על ידי הדלקת המחשב עם דיסק־און־קי מיוחד, שגם מוחק את כל העקבות אחריו.
מדובר בפתרון מתקדם שנותן עדיפות לאבטחה מקסימלית על פני נוחות השימוש. לכן, פחות מומלץ לעבוד עם הפתרון הזה באופן קבוע, אבל אם יש עניין שדורש פרטיות רבה, כמו כתיבה או שליחה של מסמך רגיש במיוחד שלא הייתם רוצים שיפול לידיים הלא נכונות – Tails הוא הפתרון בשבילכם.
הצפנת מסמכים
כאשר אנחנו עובדים עם מסמכים רגישים באופן קבוע, ייתכן שלא נרצה שמסמכים אלה יהיו נגישים על המחשב שלנו בכל רגע נתון. במצב כזה נרצה להשתמש בתוכנת הצפנה בשם VeraCrypt, אשר מאפשרת לנו ליצור תיקייה מוצפנת של קבצים, ולפתוח אותה כמובן רק כאשר בידנו הסיסמה המתאימה. כאשר התיקייה נעולה, אף גורם זר לא יוכל לעיין בקבצים או לשנות אותם, ואפילו לא יוכל לראות אילו קבצים נמצאים בתוך התיקייה המוצפנת.
שימו לב שפתרון הצפנה כזה מצפין את הקבצים מקומית, על המחשב שלנו בלבד, ולכן כל שליחה של הקבצים הפתוחים או העלאתם לשירות ענן עלולה להוביל לזליגת המידע.
