conteúdo
1 F.A.Q. Básico
1.1 O que é criptografia?
1.2 Existe uma grande diferença entre o armazenamento ea criptografia de comunicação?
1.3 Devo usar a criptografia?
1.4 Qual é a negação plausível?
1.5 Preciso de negação plausível?
1.6 É claro que a polícia pode quebrar a criptografia, certo?!
1.7 E a NSA?
1.8 Mas nada pode ser cortado, certo? Por que não a criptografia?
1.9 Utilizar programas de criptografia de mim é difícil, mas Hushmail, Safe-mail ou (Inserir o nome aqui) irá gerenciá-lo para mim!
1.10 O que exatamente é o anonimato?
1.11 Por que eu preciso anonimato?
1.12 Eu já uso de criptografia por isso não há necessidade de me ser anônimo!
1,13 Nodes de saida podem espionar os meus fluxos de comunicação para que eu não deveria usá-lo!
1.14 Se eu usar o Tor I pode ser rastreada pelos federais?
1.15 Se eu usar o Tor I pode ser rastreada pela NSA?
1.16 Se eu usar modems de cabo cortado estou indetectável?
1.17 Se eu usar cortado ou aberto WiFi estou indetectável?
1.18 Se eu enviar um pacote nacional para os EUA com USPS que eles precisam de uma autorização para abrir o pacote?
1.19 Devo usar aromas de mascaramento, como perfumes etc?
2 Applied Security Guide
2.1 Passo Zero: criptografar seus anfitriões HDD
2.2 Passo: Configurar o sistema base, endurecer OS
2.3 Segundo Passo: Configurar Tor e GPG, endurecer Firefox
2.4 Terceiro Passo: Esconda sua adesão (muito importante para os fornecedores)
2.5 Passo Quatro: Saiba como fazer a transferência de produto seguro, lidar com as finanças seguras
O que é criptografia?
A criptografia é um método de codificação de informação de tal forma que é difícil para eavesdroppers computacionalmente para descodificar, mas computacionalmente fácil para o destinatário pretendido para descodificar. Em termos práticos, a criptografia torna quase impossível para você ser grampeado com sucesso. A criptografia também pode torná-lo praticamente impossível para as equipes de informática forense para recolher todos os dados do seu disco rígido. Criptografia é o processo de tornar difícil ou impossível a informação para recuperar com uma chave. A chave é tanto uma senha ou um número enorme aleatória protegido por uma senha. Os algoritmos de criptografia se dividem em duas categorias principais: comunicações e armazenamento. Se você usar um programa como o GPG para criptografar suas mensagens de e-mail, você está usando criptografia para comunicações. Se você usar um programa como o TrueCrypt para criptografar seu disco rígido, você está usando criptografia para armazenamento.
Existe uma grande diferença entre o armazenamento ea criptografia de comunicação?
Sim. Criptografia de armazenamento de dados, muitas vezes usa apenas algoritmos simétricos. Criptografia comunicação tipicamente utiliza uma combinação de algoritmos assimétricos e simétricos. Algoritmos assimétricos são geralmente muito mais fácil de quebrar do que algoritmos simétricos. Na prática, isso não é significativa, o poder de computação necessário para quebrar tanto fortes algoritmos simétricos ou assimétricos forte não é provável no alcance de qualquer agência.
Devo usar a criptografia?
Yes! Se você participar da Internet no subsolo é essencial para o seu contínuo liberdade que você aprender a usar programas de criptografia. Todas as comunicações deverá ser codificado, bem como todos os dados armazenados. Para criptografia de comunicação em tempo real sugerimos que seja ou mensagens instantâneas Pidgin Adium com o OTR plug-in. Para criptografia de comunicação em tempo não-real, sugerimos GPG. Truecrypt faz um ótimo trabalho de criptografar dados armazenados e também pode criptografar a partição do sistema operacional, se você usa o Windows. Vários sabores de Linux e Unix também permitir a partição do sistema operacional a ser criptografado, embora o programa específico utilizado irá variar. Se um CD de instalação alternativo é usado Ubuntu permite OS criptografia partição durante o processo de instalação.
Qual é a negação plausível?
Quando se discute a encriptação de dados armazenados negação plausível significa que um contêiner criptografado pode decifrar em dois conjuntos diferentes de dados, dependendo da chave utilizada. Negação plausível permite que você fingir cooperar com as autoridades com a deles ser capaz de dizer que você não está cooperando. Por exemplo, talvez eles exigem que você desistir de sua senha para que eles possam decifrar algumas de suas comunicações ou dados armazenados. Se você usou um sistema com uma negação plausível que você seria capaz de dar-lhes uma senha que seria de fato descriptografar os dados criptografados. No entanto, os dados descriptografados podem ver agora serão dados não sensíveis lhe permitiu-lhes intencionalmente para descriptografar. Eles não podem ver suas informações confidenciais e eles não podem provar que você não cooperar.
Preciso de negação plausível?
Possivelmente. Ela realmente depende de onde você mora. No Reino Unido, é um crime de se recusar a dar a aplicação da lei as suas chaves de criptografia on demand. Recusa a revelar as chaves de criptografia é punível com vários anos de prisão, mas isso é muito possivelmente muito menos tempo do que você obteria se revelou suas chaves de criptografia. Nos EUA, o assunto ainda não foi para o Supremo Tribunal e os juízes inferiores têm governado nos dois sentidos. Em geral, é uma boa idéia usar a criptografia deniable plausível quando possível. Truecrypt suporta negação plausível para todas as funções do Windows. Para Linux, não há software atual apoiar out-of-the-box negação plausível da partição do sistema operacional. Com o Linux você pode ser capaz de atingir um tipo de negação plausível, criptografando toda a unidade e colocar o bootloader em outro dispositivo. Depois, você pode argumentar a unidade foi recentemente limpo com um PRNG e não há chave para descriptografar.
Claro que a polícia pode quebrar a criptografia, certo?!
Se você estiver usando um programa de criptografia forte (como o GPG, OTR, Truecrypt, etc) e uma senha longa e aleatória (ou chave de sessão gerada automaticamente, como OTR) a polícia não vai ser capaz de quebrar a criptografia diretamente. Isso não quer dizer que eles não podem obter a sua chave de outras maneiras! Por exemplo, eles poderiam instalar um keylogger no seu teclado ou usar vários ataques de sinais transitórios para capturar sua chave, enquanto você digita. Um método emergente de compromisso da chave de criptografia utiliza camada exploits aplicação remotamente para pegar as chaves de RAM. Estes ataques ‘do canal lado “precisa ter medidas activas tomadas contra eles (o melhor do que está usando uma solução anonimato forte e endurecido OS).
E sobre a NSA?
A NSA não vai ser capaz de quebrar os algoritmos de criptografia de armazenamento de dados fortes (simétrica). Eles também provavelmente não são capazes de quebrar fortes algoritmos de criptografia de comunicação (assimétrica). Computadores quânticos muito potentes podem ser utilizados para reduzir grandemente a resistência de um algoritmo de codificação de bits. Algoritmos simétricos têm a sua força de corte pouco no meio. Algoritmos assimétricos são facilmente quebrados por tais computadores poderosos. Se você estiver usando AES-256 de um computador quântico poderoso irá reduzir sua força pouco para o 128 ainda inquebrável. Se você estiver usando até mesmo uma chave RSA de 4096 bits com GPG, um poderoso computador quântico pode quebrar a criptografia. No entanto, tenha em mente duas coisas, mas não é provável que a NSA ou qualquer outra pessoa tem esse computador, e qualquer pessoa sensata vai garantir-lhe que, a menos que você é um estrangeiro militar ou maior terrorista da NSA não vai agir em qualquer inteligência se reúnem por por quebrar sua criptografia de comunicação.
Mas nada pode ser cortado, certo? Por que não a criptografia?
Os algoritmos de criptografia não são cortadas, eles são cryptanalyzed. Não cada coisa feita com um computador pode realmente ser considerado hacking. Hackers podem ser capazes de explorar o código implementado de um programa usando um algoritmo de criptografia, mas mesmo os melhores hackers tendem a saber pouco sobre criptografia. Hacking e criptografia não estão no mesmo campo ea maioria dos hackers que pensam que sabem muito sobre criptografia, na verdade, sei muito pouco sobre isso. Criptografia é um campo da matemática pura e bons algoritmos de criptografia se baseiam firmemente as leis da matemática como são actualmente entendida. A menos que haja alguma descoberta muito improvável no campo da matemática a segurança alegações feitas sobre a maioria dos algoritmos de criptografia permanecerá firme mesmo que os melhores hackers (ou mesmo mais impressionante criptógrafos) no mundo e tentar atacá-los.
Usando programas de criptografia de mim é difícil, mas Hushmail, Safe-mail
Totalmente serviços baseados na web não pode realmente oferecer criptografia forte. Eles gerenciam suas chaves para você e por isso eles têm acesso a suas chaves. Não importa o que a empresa tem o nome ou o que eles prometem, todos eles são mentirosos e alguns são provavelmente honeypots. Esses serviços não irá oferecer-lhe a criptografia forte e aplicação da lei será capaz de obter acesso a suas comunicações. Se você brincar com fogo você precisa aprender a proteger-se ou você será queimado. Ele não é muito difícil de gerir sua própria criptografia e é a única forma possível para você manter sua segurança.
O que exatamente é o anonimato?
O anonimato é a propriedade de ser indistinguível de um determinado tamanho do conjunto (número de outros). Na forma como o termo é comumente usado anonimato é a incapacidade de ser rastreado. Um traço poderia significar que um atacante segue seu fluxo de comunicação com você até o destino final, você está se comunicando. Um traço também pode significar que um atacante segue uma trilha de registros do destino final, você se comunica com as costas para a sua localização. Soluções anonimato tornam difícil traçar suas comunicações e por isso também torná-lo mais difícil de mapear as redes que você participar pol anonimato também pode ser usado para evitar a censura. Se um servidor está hospedado como parte de uma rede de anonimato e sua localização não pode ser determinada depois que um atacante é incapaz de exigir a censura dos serviços hospedados pelo servidor.
Por que eu preciso anonimato?
Se você não estiver usando uma solução de anonimato a sua presença na Internet pode ser trivialmente rastreada até sua presença na vida real. Se você estiver participando de atividades na internet que você não gostaria de ser atribuída a sua identidade na vida real, você precisa de anonimato. Se você está participando de uma rede você precisa anonimato para se proteger de análise de rede. Se ninguém na sua rede está usando as soluções anonimato eo busto polícia um deles, eles vão ser capazes de ver que todos eles se comunicavam com, bem como que todas as pessoas se comunicavam com etc muito rapidamente e com alta precisão a polícia será capaz de mapear toda a rede, vai “fora” para muitos graus. Isto pode ser útil para a evidência (para uso em tribunal) e é certamente útil para a inteligência (para que eles saibam onde procurar a seguir).
Eu já uso de criptografia por isso não há necessidade de me ser anônimo!
Embora a criptografia e anonimato altamente cumprimentar uns aos outros que servem dois objetivos diferentes. A criptografia é utilizada para proteger a sua privacidade, o anonimato é usado para esconder a sua localização e protegê-lo de análise de rede. Strong anonimato requer criptografia e criptografia é grandemente beneficiado quando combinado com o anonimato (afinal, é difícil instalar um keylogger se você não sabe para onde o alvo está localizado!). Se você usar criptografia forte, mas nenhuma solução anonimato os federais podem não ser capazes de ver o que você diz, mas eles vão saber quem você é e quem você está falando. Dependendo da estrutura e propósito da sua rede, um único nó comprometido pode muito bem retirar todos os benefícios da utilização de comunicações criptografadas. Muitos dos ataques mais realistas e devastador sobre os sistemas de criptografia exigem o atacante para ganhar uma presença física, se você não estiver usando uma solução anonimato é trivial para eles fazerem. Se os federais não sei de onde você é, eles não podem bug do teclado com um keylogger. Qualquer um que diz que você não precisa de anonimato, se você usar a criptografia deve ser olhado com muita desconfiança.
Nodes de saida podem espionar os meus fluxos de comunicação para que eu não deveria usá-lo!
Se você usar o Tor para conectar-se à Internet aberta (. Com em vez de. Cebola), é verdade que o nó de saída pode espionar suas comunicações. Você pode reduzir o risco de este, certificando-se que você só conectar a sites SSL (https:// em vez de http://). Você pode reduzir ainda mais o risco de isso sempre verificando a impressão digital do certificado SSL e certificando-se que não se altera com a uma razão adequada que está sendo apresentado pelo administrador do site. É possível eliminar o risco de um nó de saída de espionagem em alguns contextos. Por exemplo, se você criptografar uma mensagem se com GPG antes de enviá-lo, o nó de saída não será capaz de quebrar a criptografia, mesmo que eles estão espionando.
Tor não é destinado a privacidade (a menos que você acessa somente. Cebolas) que se destina o anonimato! Se você quer privacidade ao usar o Tor você terá que quer apenas o acesso. Cebola ou você vai precisar para a camada lo em si mesmo usando GPG, SSL, OTR ou outro criptografia em cima dela. Usando o Tor para conectar-se à Internet aberta com a utilização de quaisquer ferramentas de privacidade se pode realmente reduzir a sua privacidade a partir de alguns atacantes. Lembre-se, Tor à Internet aberta é para manter o anonimato, não é para a privacidade. O anonimato é tão importante quanto a privacidade. Além disso, ferramentas de rede com um foco maior na privacidade do anonimato (como VPNs), não irá oferecer-lhe a privacidade de aplicação da lei mais do que Tor vontade e eles também tendem a oferecer substancialmente pior anonimato!
Se eu usar o Tor I pode ser rastreada pelos federais?
Até agora, provavelmente não, a menos que você tem algo muito azarado ou misconfigure. Os federais estão ficando cada vez melhor em rastreamento de pessoas mais rápido do que o Tor está ficando melhor a evitar deixar vestígios. Tor é de baixa latência (rápido) o anonimato, e soluções de baixa latência nunca vai ter a capacidade de ser tão anônimo como alta latência (muito lento) soluções. Tão recentemente quanto 2008, têm documentado prova que FBI trabalhando com várias outras agências federais internacionais via Interpol não poderia rastrear alvos de alta prioridade através da rede Tor. Há uma grande quantidade de informações, indicando que este ainda é o caso. Este não será o caso para sempre e soluções melhores do que Tor vão ser necessários em algum momento no futuro. Isso não significa que você deve parar de usar o Tor! É bem possível que nenhuma solução VPN oferece melhor anonimato do Tor, ea rede só baixa latência que pode ser comparado a Tor em termos de anonimato é I2P. Freenet é um armazenamento de dados anônimo que possivelmente oferece melhor anonimato do Tor ou I2P. No fim das contas, é muito difícil dizer qual a melhor solução é ou quem irá realizar-se, mas a maioria das pessoas dos círculos acadêmicos anonimato dizer Tor, I2P ou Freenet são as três melhores opções. JAP é considerada pior do que as três soluções sugeridas anteriormente, mas melhor do que a maioria dos serviços de VPN. Você deve pelo menos usar uma solução criptografada duas hop se você quer uma chance de manter o anonimato dos federais.
Rastreado é um termo muito particular. Isso significa que o atacante seja possível observar o tráfego de saída e segui-lo de volta ao seu ponto de entrada ou de que o atacante pode ver o seu tráfego de entrar em uma rede e segui-lo ao seu ponto de saída. Tor faz um bom trabalho de proteger deste tipo de ataque, especialmente se você não tiver puto todas as agências de inteligência de sinais. Tor não protege contra ataques revealment adesão! É vital que você entenda este ataque e tomar medidas para combatê-lo se você é um vendedor. Para saber mais sobre como combater este ataque continue lendo este documento, discutimos mais na seção de conselhos de segurança aplicada nesta página.
Se eu usar o Tor I pode ser rastreada pela NSA?
Provavelmente. Se você quer uma chance de ser anônimo da NSA você deve pesquisar as redes Mixminion remailer Mixmaster e. NSA geralmente os traços de pessoas cortando-os e fazendo um ataque de canal lateral. Eles têm dezenas de exploits de dia zero para todos os principais aplicativos. Esta é também a forma como eles comprometer GPG e FDE. Sua melhor aposta para permanecer anônimo / secure da NSA é utilizar ASLR com um processador de 64 bits para proteger da pirataria + Tor + aleatórias airgaps location.Using WiFi pode protegê-los de roubar as chaves de criptografia. Isso envolve o uso de uma máquina com acesso à internet para receber os dados, transferir os dados criptografados para outra máquina com um CD que você, em seguida, destruir, e decifrar em uma máquina sem acesso à internet. Não reutilizar dispositivos de transferência ou então eles podem atuar como vetores de compromisso para a comunicação entre a máquina sem conexão com a internet ea máquina com conexão à internet. Mixminion é melhor do que mixmaster.
Se eu usar modems de cabo cortado estou indetectável?
Não, a empresa de cabo pode segui-lo e por isso pode a polícia e federais. No entanto, vai tornar mais difícil para eles a fazê-lo. As pessoas têm sido pego usando esta técnica por si só!
Se eu usar cortado ou aberto WiFi estou indetectável?
O grau de não rastreamento que você começa a usar pontos de acesso WiFi depende muito de como você está usando. Se você sempre usar sua conexão de vizinhos, o rastreio vai para o seu vizinho antes que ele vai para você. No entanto, se a aplicação da lei fazê-lo até sua casa vizinhos antes de parar o padrão de comportamento, eles podem usar equipamentos de análise de Wi-Fi para rastrear o sinal wireless do seu roteador e vizinhos de volta para você. Muitas pessoas têm sido preso dessa maneira. Além disso, se você usar muitos pontos de acesso WiFi diferentes, mas eles se encaixam em um modus operandi (como sempre a partir de um determinado tipo de localização, talvez café), você pode, eventualmente, ser identificados, se a aplicação da lei se esforçar o suficiente para fazê-lo. Algumas pessoas têm sido pego usando esta técnica. Se você usar um novo local aleatório (mais difícil do que parece) a cada vez que você faz uma ligação de sua identidade ainda pode ser comprometida, mas a quantidade de esforço necessário aumenta tremendamente (supondo que você está protegido de canal lateral ataca qualquer maneira, sejam eles câmeras de CFTV ou infecções WPS remoto). Nós não ouvimos de alguém ser preso se eles usaram um novo selecionados aleatoriamente ponto de acesso Wi-Fi para cada conexão.
Se eu enviar um pacote nacional para os EUA com USPS eles precisam de uma autorização para abrir o pacote?
Sim, se for enviado, de tal forma que ele pode conter comunicações. Por exemplo, uma carta irá requerer uma autorização, mas talvez uma caixa muito grande e pesado não. Para a maior parte, eles precisam de um mandado. Nenhuma outra empresa de discussão exige uma autorização para abrir qualquer tipo de pacotes. Pacotes internacionais podem ser inspecionados pela alfândega sem a necessidade de um mandado.
Devo usar aromas de mascaramento, como perfumes etc?
Não, aromas de máscara não vai impedir que um cão de bater na embalagem. Perfumes mascaramento vai, porém, fazer o pacote parecer mais suspeito para os seres humanos. Vácuo selar o produto e ter muito cuidado para não deixar resíduos.
Guia de Segurança Aplicada
Passo Zero: criptografar seus anfitriões HDD
Se você usa o Windows isso pode ser feito com o Truecrypt
Se você usa Linux, existem várias maneiras de se fazer isso, geralmente uma opção momento da instalação
Passo: Configurar o sistema base, endurecer OS
Ataques na camada de aplicação exploram falhas de programação ou desenho dos programas que você usa, em geral, o objetivo de tais ataques é assumir o seu sistema. Para um olhar mais profundo na camada de aplicação exploits confira a página. Estes ataques são muito perigosos porque podem contornar um monte de outro segurança que você usa, como soluções de criptografia e anonimato. A boa notícia é que o Open Source funciona como um firewall de camada de aplicação entre você e todos que você se comunicar com através de Open Source. Tomamos muito cuidado para endurecer o nosso servidor de ataque e mesmo se você não tomar precauções se não deve ser trivial para você ser cortado através do nosso servidor. No entanto, ainda é uma boa idéia para você endurecer seu próprio sistema. Você não sabe com certeza se você pode confiar em nós e não há nenhuma razão para ser um pato sentado, se o nosso servidor está comprometido.
O primeiro passo que você deve tomar é com o sistema operacional que você usa para se conectar ao Open Source em uma máquina virtual. Nós sugerimos que você use Virtualbox. As máquinas virtuais como o VirtualBox criar hardware virtual e permite que você execute um sistema operacional neste hardware virtual. Parece complexo, mas você realmente não precisa saber muito sobre a teoria, Virtualbox faz todo o trabalho para você. Existem algumas razões pelas quais você deve usar uma máquina virtual. A principal razão é que, se o navegador em sua máquina virtual é cortado o atacante está preso dentro da máquina virtual. A única maneira que eles possam chegar ao seu sistema operacional normal é se encontrar uma vulnerabilidade nas máquinas virtuais hypervisor, isso aumenta a complexidade para o ataque. A segunda razão que você deve usar uma máquina virtual é porque ele faz com que seja mais fácil de usar Linux, se você está acostumado com o Windows ou Mac OSX. Linux é muito mais fácil de garantir que esses sistemas operacionais, mas também é mais difícil de usar. Usando uma máquina virtual você pode usar o seu normal, OS e Linux ao mesmo tempo, o Linux funciona como um sistema operacional convidado em uma janela no seu normal (host) OS.
É muito simples de configurar uma máquina virtual. Baixe e instale o Virtualbox. Depois de iniciá-lo você terá que criar uma nova VM. É muito simples eo programa irá orientá-lo através dos passos. Certifique-se de criar uma grande unidade virtual suficiente para instalar um sistema operacional, sugiro cerca de dez gigabytes. Você vai precisar de uma imagem de instalação para que você possa colocar o sistema operacional de sua escolha no VM. Faça o download do mais recente Ubuntu ISO e usar isso. Lembre-se, isso realmente não importa se você não sabe como usar o Linux. Tudo o que você está usando para esta VM está usando o Firefox para navegar Open Source, a segurança vem antes de facilidade de uso! Agora que a máquina virtual foi criado você precisa apontá-lo para o seu CD de instalação do Ubuntu. Você pode fazer isso, vá para a aba de armazenamento de máquinas no gerenciador Virtualbox e apontando a unidade de CD para sua instalação ISO. Você possivelmente será necessário para configurar sua máquina virtual para se conectar à internet se as configurações padrão não funcionam para você, mas as chances são altas de que eles vão. Agora você precisa inicializar a máquina virtual e instalar o Ubuntu. Instalando o Ubuntu tem um pouco mais de meia hora e é muito fácil, você pode simplesmente optar por usar as opções padrão para quase todas as etapas.
Agora que o Ubuntu foi instalado em uma máquina virtual, é hora de começar a endurecer-lo. O primeiro passo é certificar-se de que esteja totalmente corrigido e atualizado. Você pode fazer isso indo até Sistema -> Administração -> Gerenciador de atualização da barra no topo da tela. Certifique-se de instalar todas as novas atualizações, pois as atualizações incluem correções de segurança importantes. Vai demorar um pouco para atualizar o seu sistema.
Agora é hora de fazer algumas etapas mais avançadas de endurecimento. Estes passos podem parecer ser difícil se você não está muito avançado tecnicamente, mas não se preocupe, é só seguir todas as instruções e você só tem que fazer isso uma vez. Vá para Aplicativos -> Acessórios -> Terminal da barra superior da tela. Isto irá lançar uma interface de linha de comando. Agora digite os seguintes comandos pressionando enter após cada uma:
sudo aa-enforce / etc / apparmor.d / *
Este comando permite que cada perfil AppArmor que vem com o Ubuntu, incluindo uma para o Firefox. AppArmor é um firewall de camada de aplicação e faz com que seja muito mais difícil para um hacker comprometer uma aplicação configurada com um perfil.
sudo apt-get install bastilha
Este download de um script de endurecimento genérico que irá orientá-lo através de algumas etapas automatizadas para tornar seu sistema mais seguro.
sudo bastilha-c
Isso inicia o script endurecimento Bastilha. Ele irá orientá-lo através de cada passo, em geral, você deve selecionar a opção padrão. Certifique-se de ler pelo menos a cada passo, pode haver algumas coisas que você não quer que ele faça, mas, em geral, as opções padrão são bons.
Passo dois: Configurar Tor e GPG, endurecer Firefox
Siga estes simplesmente guias passo a passo a fim
Passo dois: Configurar Tor e GPG, endurecer Firefox
Siga estes simplesmente guias passo a passo a fim
Instale Tor … Instale GPG … Configurar o Firefox com Tor e Harden ele
Embora não seja necessário para que os clientes sabem como usar GPG devem ainda. Nosso sistema irá proteger as suas comunicações em alguns aspectos. Suas mensagens são armazenadas em recipientes codificados definidos para desmontar se uma intrusão é detectada. O nosso servidor é altamente endurecido e resistente ao hackers infiltrando-lo e espionando suas mensagens. Somos também um serviço oculto Tor e criptografia oferta de si mesmos para nós e de nós para as pessoas que você se comunica. Nosso servidor ainda é o ponto fraco desse sistema, um hacker particularmente hábil pode comprometer o servidor e gerenciar para espionar as comunicações sem ser detectado. O servidor pode ser rastreada por um atacante que poderia, então, congelar a piscar RAM e despejar as chaves de contêineres criptografados. Na medida em que você sabe que poderia até mesmo ser a aplicação da lei, ou a aplicação da lei pode comprometer-nos em uma data posterior (a primeira não é verdade eo segundo não é provável, mas você realmente sabe isso?). Nosso sistema não esconde as suas comunicações a partir de nós, se é o seu adversário, o mesmo é verdadeiro para Hushmail e seguro-mail. Você pode proteger suas comunicações com algoritmos de criptografia de alta qualidade simplesmente por aprender a usar GPG e não é difícil por isso sugiro que você fazê-lo. Os vendedores são obrigados a aceitar encomendas GPG criptografados!
Terceiro Passo: Esconda sua adesão (muito importante para fornecedores)
Usando o Tor, por si só, não é suficiente para protegê-lo, especialmente se você é um vendedor. Ataques revealment sociedade combinada com inteligência geolocalização áspero pode levar a um compromisso! A essência de um ataque revealment adesão é fácil de entender. O atacante apenas determina a todos que está se conectando a uma rede particular, mesmo se eles são incapazes de determinar onde o tráfego está sendo enviada através da rede é destinada. Tor faz um bom trabalho de prevenção de um atacante que pode ver o tráfego de saída de seguir o fluxo de volta para a sua localização. Infelizmente, se você enviar o produto o atacante pode determinar a sua geolocalização áspero apenas por determinar onde você enviar o produto de. Se o atacante já sabe o seu geolocalização áspero e eles são capazes de fazer um ataque revealment adesão para determinar que todos em sua área está ligado a Tor, que provavelmente pode afinar a sua possível identidade a um tamanho muito pequeno set, possivelmente até um tamanho de conjunto de um.
Isto não é provável que seja útil para a prova, mas proporcionará inteligência forte. A inteligência é o primeiro passo para a coleta de provas. O atacante pode colocar todo mundo em sua área, que eles detectam se conectando à rede Tor sob vigilância meatspace procurando evidências de atividade tráfico de drogas. Por esta razão, é muito importante que você se proteger de ataques revealment adesão!
Ataques revealment adesão é menos uma preocupação para os clientes (desde inteligência financiall é devidamente combatida para evitar que um atacante encontrar geolocations clientes difíceis!) Do que para os vendedores. Existem algumas razões pelas quais isso é verdade. Primeiro de tudo, um cliente é susceptível de revelar mais sobre sua identidade quando colocar um fim que o atacante será capaz de determinar com geolocalização + adesão ataque revealment. Por outro lado, os fornecedores autorizados para operar em Open Source foram altamente rastreados para reduzir significativamente a probabilidade de que qualquer uma delas são agentes federais, mas os clientes em Aberto não são apenas anónimo, mas também não são rastreados em tudo. Terceiro de tudo, a estrutura organizacional reduz o risco para os clientes, um cliente pode trabalhar com alguns fornecedores, mas cada fornecedor é provável de estar trabalhando com centenas ou milhares de clientes. Os clientes de terceirização de Open Source estão em risco mínimo, mesmo que tenham produtos entregues diretamente para lá própria residência, os vendedores que trabalham com Open Source na particularmente vulnerável a ataques revealment adesão, devido à natureza aberta do site.
A principal preocupação para os clientes é que eles carregam finanças anonimamente eo vendedor descentraliza a sua rede financeira. Se um vendedor está usando uma rede em estrela (centralizado) topologia financeira há um risco de que um invasor pode mapear as localizações geográficas onde os clientes carregados fundos. Depois de determinar onde o financiamento foi carregado os atacantes poderiam fazer ataques revealment adesão Anonymizer em uma área ao redor do ponto de carga e filtrar todos que não está usando um anonymizer. Isso provavelmente vai deixar o cliente e alguns outros. O atacante pode até mesmo ser capaz de comparar as imagens do circuito interno da carga para os usuários do anonymizers na área e procurar um jogo de reconhecimento facial. Para contrariar esta situação, é importante que os clientes façam uso de boas técnicas de inteligência contra financeiros (camadas E-moeda ser um). Os clientes também podem optar por utilizar transientes, pagando-lhes uma taxa de carregar moeda, desta forma o cliente evita estar em CCTV em qualquer ponto. Se os fornecedores descentralizar pontos financiamento (vala a topologia de rede em estrela), os clientes serão fortemente protegidos contra esses ataques, no entanto, é impossível para um cliente para garantir que um fornecedor está usando um cliente 1:1 a relação de identificação de conta / pseudônimo.
Existem várias maneiras que você pode se proteger de um ataque revealment adesão, se você é um vendedor que seria insensato não aproveitar uma dessas contramedidas. A principal maneira de proteger de um ataque revealment adesão é certificar-se você não entrar tráfego através da mesma rede que você sair tráfego. Como todo o tráfego para Open Source ‘saídas’ através da rede Tor, digitando o seu tráfego através de uma primeira VPN irá reduzir a sua vulnerabilidade aos ataques revealment adesão. O atacante terá que determinar que todos em sua área usa toda a tecnologia de anonimato e colocar todos eles sob vigilância meatspace, não são susceptíveis de ser muito mais pessoas em sua área que utilizam algum tipo de sistema de proxy que existem pessoas que usam Tor em particular. Isto irá aumentar substancialmente o custo de colocar todos os “alvos potenciais sob vigilância.
Usando uma VPN é útil, mas não é a solução mais ideal. Seu espaço multidão contra um ataque revealment adesão vai aumentar, mas talvez não por muito, dependendo da área específica você trabalha de fora. Além disso, um atacante particularmente hábil pode ser capaz de determinar que você está usando uma VPN para se conectar ao Tor por impressões digitais fluxos de tráfego. Tráfego Tor é preenchido com 512 pacotes de tamanho em bytes, o tráfego VPN normal não é. Com a filtragem para 512 fluxos de bytes, um atacante pode determinar que tudo está usando o Tor em uma determinada área. VPN de proteger contra ataques baseados revealment adesão de roteamento IP, mas não de impressões digitais ataques revealment adesão de trânsito. No entanto, é menos provável que um atacante será capaz de fazer um fingerprinting ataque revealment adesão tráfego. Os serviços de inteligência chineses, aparentemente, ainda está usando ataques baseados em endereços IP para bloquear o acesso à rede Tor. Esta não é tão eficaz como ataques baseados impressões digitais de trânsito. Esta poderia ser uma indicação de que fingerprinting ataques revealment adesão de tráfego são mais difíceis de realizar (provável), no entanto, também poderia ser devido a uma falta de habilidade por parte dos serviços de informações Chinas. Também poderia ser que a China não está particularmente interessado no bloqueio / detectar todo o tráfego de Tor e ataques baseados em endereços IP satisfazer as suas necessidades.
Uma opção melhor do que usar uma VPN seria a criação de um VPS privados e, em seguida, digite todo o seu tráfego Tor por isso. Fazendo isso irá torná-lo muito mais resistente a ataques baseados revealment associação de endereços IP, porque agora o atacante não vai mesmo ser capaz de reduzir para baixo a todas as pessoas em sua área utilizando qualquer tecnologia anonimato. Este ainda é fraco para impressões digitais ataques revealment adesão de tráfego!
Talvez a melhor opção para evitar ataques revealment adesão é usar aberto ou rachado Wi-Fi a partir de um local diferente + Tor cada vez que se conectar. Você poderia até usar aberto Wifi + VPN / VPS + Tor de segurança muito elevado de ataques revealment adesão. Usando aleatório (não os seus vizinhos) aberto / rachado WiFi increaces muito a sua resistência a uma grande variedade de ataques revelar a identidade. Um atacante ainda pode fazer ataques revealment adesão em usuários de Wi-Fi aberta, mas eles não podem mais obter informações úteis a partir do ataque. Se detectar que uma conexão WiFi aberta relacionada a você está usando o Tor não pode ser usado para colocá-lo sob vigilância meatspace a menos que eles conseguem identificá-lo (reconhecimento facial a partir de câmeras de vigilância, etc.)
Se você estiver operando como parte de um grupo, você pode evitar os ataques revealment adesão via política organizacional inteligente. A pessoa responsável pela comunicação com os clientes devem ser diferentes das ordens de transporte pessoa. Agora, os clientes são incapazes de determinar onde a sua geolocalização bruto real é porque o produto é enviado a partir de uma área geográfica diferente você se comunicar a partir de. Seu carregador devem estar cientes de que eles vão potencialmente sob escrutínio por meio de uma associação de geolocalização + ataque revealment, especialmente se eles usam Tor para entrar tráfego.
utro opção é configurar o Tor de usar uma ponte. Pontes Tor são projetados para permitir que as pessoas em países como a China a capacidade de se conectar à rede Tor. China usa o endereço IP base de bloqueio para evitar que os usuários se conectem a nós Tor conhecidos. Pontes são guardas entrada Tor que não estão cotadas em bolsa e tem um mecanismo de distribuição limitada. Você pode obter alguns endereços IP ponte Tor a partir do site Tor. Nós não recomendamos que você use pontes Tor porque substituir o seu guarda entrada e eles estão sob lotado. Isto levará a muito menos de multiplexação em seu circuito Tor e pode prejudicar o seu anonimato de outras formas, embora ele de fato oferecer algum nível de proteção contra ataques revealment adesão. China conseguiu detectar cerca de 80% de pontes Tor, é provável que a NSA sabe todos eles. Agências policiais no Ocidente são, provavelmente, ainda não particularmente preocupado com a localização de nós ponte, mas que provavelmente pode fazê-lo com quase a mesma precisão China. Em nossa opinião, não é inteligente para confiar em uma ponte Tor para protegê-lo de ataques revealment adesão na maioria dos casos.
Passo Quatro: Saiba como fazer a transferência de produto seguro, lidar com as finanças seguro
Nota: Embora os clientes de terceirização de Open Source são incentivados a tomar as melhores medidas de segurança que pode, não é provável necessário para que eles utilizam avançados de segurança operacional em relação mail (tais como caixas de identidade falsa, utechniques picareta táticos, etc.) Porque os vendedores autorizados para a lista foram altamente selecionados é provável seguro para os clientes a ter o produto diretamente para suas casas. Se você só trabalha com fornecedores altamente confiáveis e confiável a sua maior preocupação será um pacote que está sendo interceptado!