Com todo o desenvolvimento em debate retenção de dados da Austrália, surge a pergunta: "como posso parar o governo recebendo suas mãos na minha metadados?"
Rotineiramente, os jornalistas muitas vezes não técnicos dar a resposta simplista para "uso de criptografia", recitar sua lista de favoritos de tecnologias, e sobre-simplificar as coisas ao ponto de perigo.
A verdade deprimente é que a maioria das pessoas não estão preparadas para fazer um bom trabalho de proteger ou seus metadados ou o seu conteúdo, e é irresponsável para qualquer um dizer o contrário, sem cobrir todos os riscos.
A noção de que tudo o que você precisa é de tecnologias de criptografia e anonimato para contornar a aplicação da lei é perigosamente simplista.
Poucas pessoas têm colocado isso melhor do que Cryptome, site de queda mais antiga do mundo, http://ift.tt/1zr4qE3 aqui: "Considere que as chances são muito elevadas que Cryptome ou qualquer outra iniciativa de divulgação (anonymizer, local da fuga , pasta, doc-drop, torrent) é uma operação de engano, consciente ou inconsciente, e evitar a sua utilização ", e" nunca confie em qualquer método proposto por um receptor de seu material ".
Tenha em mente que Cryptome tem sido lidar com documentos vazados por um longo tempo - desde 1996 - e seus fundadores (John Young e Deborah Natsios) permanecem fora da cadeia. É pelo menos provável que eles entendem o que eles estão dizendo.
No entanto, uma vez que ainda há uma crença de que, mesmo que o usuário não-técnico pode adotar uma abordagem "One Trick Weird" para se locomover regime de retenção de dados do governo australiano, Abutre do Sul gostaria de explicar os riscos em cada etapa.
Usando Tor: Tor fornece anonimato limitado. Os ataques mais bem documentados e best-testadas contra Tor tem um requisito exigente - que o atacante tem acesso à infra-estrutura de rede que transporta o tráfego.
De-anonimato tráfego Tor funciona ainda melhor se você é capaz de ver o tráfego em ambas as extremidades - onde entra uma rede, e onde ele deixa a rede.
Enquanto ele é paranóico a pensar que qualquer governo se incomodaria de-anonimato Tor em uma escala de massa, é justo dizer que, se você, como um indivíduo, acabam por ser de interesse para os sustos, você pode ser identificado - pelo menos em teoria.
WiFi Pública: Um hotspot WiFi pública, prossegue o argumento, não estará entregando seus metadados para o governo, porque não há uma isenção das sortes na legislação.
O primeiro problema aqui é que apenas uma camada de dados - a sua ligação a um ISP - está protegida.
Se você fosse tolo o suficiente (por exemplo) para usar essa conexão para enviar um e-mail através de uma conta de baunilha SMTP, os logs do servidor ainda vai reter parte do tipo de dados que o governo quer.
Se você fez ou tomou um telefonema do café, o seu número e localização (ao que quer que granularidade a transportadora captura) serão mantidos.
Além disso: o que você pode ter confiança na segurança do próprio hotspot público?
Por exemplo, você sabe qual o modelo de roteador Wi-Fi da rede pública está usando? Qual o nível de firmware do hotspot está funcionando? Que manchas deveria ter sido instalado, mas não tem?
Criptografar seus e-mails: Abundância de jornalistas acreditam que uma ferramenta como o PGP é uma resposta ao regime de retenção de dados do governo, quando não é.
Deveria ser óbvio dizer isso, mas não é: PGP protege o conteúdo do e-mail, não o "dados não-conteúdo" o governo australiano quer mantida.
É um exemplo de pensamento perigosamente-lanoso, porque poderia incentivar alguém sem nous técnico para pensar "ok, tenho PGP, agora é seguro para vazar".
Na verdade, o simplista "o uso de criptografia" conselho poderia aumentar o risco tanto para a jornalista e fonte. E se, por exemplo, um tribunal tomou a capacidade de um jornalista para abrir um documento criptografado por um delator como indicando conluio entre os dois?
Sim, existem maneiras de mitigar os riscos - mas a simplificação ao longo de segurança operacional em "uso de criptografia, usar o Tor, você está protegido" é o que me interessa aqui.
Vazamento através de um site de queda seguro: Isso também é problemática.
Ao dar este conselho, conselheiros de segurança são mais uma vez os dados de conteúdo confuso e não de conteúdo. O drop-site seguro é projetado para proteger a sua identidade e conteúdo no final do servidor, mas não intrinsecamente proteger os dados não-conteúdo em seu final - sua conexão com a Internet, a sua localização, o fato de que você fez uma conexão com um endereço IP associado com o sítio de gota, e assim por diante.
O negócio de proteger os dados não-conteúdo é baixo para você.
E, tanto quanto a segurança do drop-site: é apenas tão boa como a base de código. Em um mundo que é experiente Heartbleed, Poodle e FREAK no espaço de um ano, confiando a segurança de um drop-site parece rash, para dizer o mínimo.
Onde é que isso deixa-me perigosamente inseguro, como você sempre foi?; ou, talvez, menos seguro do que você pode ser.
Enquanto The Register não é um assinante para "nada a esconder, nada a temer" teoria, as preocupações de segurança operacional que discutimos aqui partem do pressuposto de que você já do interesse das autoridades é. Se você não for, então os dados coletados sobre você provavelmente não vai ser utilizado.
É que a palavra "provavelmente" que destaca, em parte, por que Vulture Sul permanece infeliz sobre a passagem apressada da legislação, o debate político inadequada que o rodeia, e as proteções lamentavelmente inadequadas oferecidas ao cidadão comum.
Em particular, a exposição resulta da legislação de dados armazenados para litígios civis, mesmo que o governo tem tentado dizer o contrário. O governo tem protegido os dados recolhidos "para os efeitos da legislação" - o que deixa muita margem para os advogados de escolher uma vítima de um caso de teste. ®
Nenhum comentário:
Postar um comentário