Поделиться«Если вы до сих пор верите, что Telegram является безопасным мессенджером, я вас очень разочарую». «Фонтанка» поговорила с экспертом по кибербезопасности, который упрекнул Павла Дурова в сотрудничестве с властями РФ.
Эксперт по кибербезопасности против Павла Дурова и его «самого безопасного» мессенджера. Петербуржец о петербуржце про сотрудничество с властями. Есть ли вообще безопасные способы связи в современном Интернете, и как себя защитить от прослушки. Обо всём этом «Фонтанка» поговорила с руководителем отдела специальных разработок Технопарка Санкт-Петербурга, основателем и владельцем российской компании «Интернет-Розыск» Игорем Бедеровым.
Поделиться— Игорь, 18 марта на конференции в СПб вы сделали заявление, которое многих может обеспокоить. «Думаю, что Дурову надо уже ставить пилон, а рядом Владимира Владимировича. И он бы прекрасно станцевал вокруг пилона, так как он танцует сейчас вокруг правительства России, выполняя любую прихоть, предоставляя любые данные. Если вы до сих пор верите, что Telegram является безопасным мессенджером, я вас очень разочарую. Это не так». Очень сильное обвинение. На чём оно основано?
— Давайте слегка перефразируем... Стоит сказать, что Сергей Собянин поступил очень правильно, вмешавшись в конфликт попов и фээсбэшников о том памятнике, которому надлежит стоять на Лубянской площади. Площадь предусмотрительно оставили незанятой. Вероятно, это было сделано для того, чтобы установить на ней пилон, на котором чекисты могли бы наблюдать за пируэтами Павла Дурова, а также совать ему в стринги запросы на выдачу пользовательских данных.
— А это именно так и происходит, государство платит Дурову, а он выдает частную информацию пользователей? Нужен пример. Иначе звучит неубедительно.
— Telegram всегда сотрудничал с российскими властями. Он не делал это на том бытовом уровне, когда данные пользователей вываливают каждому подряд оперу по запросу. Он сотрудничал очень высоко, и результаты этой работы никогда не были публичны. Привести пример… Дело о подготовке теракта в Петербурге в канун нового 2020 года.
— Что именно опасного в Telegram?
— Если честно, то многое. Еще в начале 2020 года в отделе специальных разработок Петербургского технопарка нам показывали разработку по выделению и расшифровке трафика Telegram.
— Кто вам показывал и что? И насколько однозначны выводы из анализа этих инициатив?
— Ребята совершенно непубличны. Последний раз мы контактировали, когда они начинали общаться с ФСБ. Если у них все получилось и СМИ еще об этом не написали, то работа может быть секретной. И, честно, это дает основания надеяться на улучшение в работе органов. А вообще выделить трафик и расшифровать сообщения Telegram могут, в том числе, такие продукты, как EtherSensor от мордовской компании Microolap. Нужно только завести на него трафик пользователя, а сделать это может любой оператор связи по решению суда. Ещё в октябре 2020 года уже и рядовые специалисты начали публиковать данные о том, что сообщения мессенджера можно успешно перехватывать при помощи комбайна evilginx2.
— А что за человек описал эту схему перехвата? Что за «комбайн»? Вы сами перепроверяли?
— Схема понятна и вполне работоспособна. evilginx2 — это платформа для атаки человек-посередине для кражи учётных данных (логина и пароля) путём фишинга, умеет перехватывать cookie, которые, в свою очередь, позволяют обойти защиту двухфакторной аутентификацией. Другой пример перехвата. Перевыпустив сим-карту, что в даркнете стоит 8 — 10 тыс. руб., вы можете открыть переписку пользователя посредством восстановления сессии.
— Кто и насколько активно этим пользуется? Нужны понятные наглядные параметры, сравнения. Есть ли особенности региональные?
— Ну тут сложно. Статистика и маркетинговый анализ криминальных услуг ведется недостаточно прозрачно. Раньше (до 2018 года) пользовались повально. Но лишь в отношении целевой жертвы. Причина в относительной дороговизне подобного взлома. Гораздо дешевле и эффективнее рассылать по электронной почте стилеры, как тот же evilginx2, или фишинговые сообщения. Региональных особенностей нет. Все это работает по всему миру. Что касается перехвата посредством восстановления сессии, то даже в WhatsApp такого нет аж с 01.01.2018 года. Опасна привязка мессенджера к номеру телефона. Опасна возможность «нюхать» трафик при звонке в Telegram.
— Можно прослушивать и звонки? Кому и чем это выгодно чисто коммерчески, политически понятно?
— Нет, слушать звонки в Telegram параллельно нельзя. Пока я таких разработок не встречал. Но звонок можно логировать, чтобы видеть данные IP-адреса собеседника. Делать это можно через приложение Wireshark и даже штатный «Мониторинг Ресурсов» в Windows. Это достаточно большая проблема. Поэтому многие злоумышленники и закрывают возможность совершения им звонка через мессенджер. Опасны фишинг, стилеры и иные методы получения доступа к личному кабинету пользователя.
— То есть ты можешь годами пользоваться «самым защищенным мессенджером» и не знать, что тебя онлайн читают все эти годы? Пример?
— Ну из криминала такой пример не дам — там все достаточно динамично, и мало кто годами сидит на одном аккаунте или телефоне. А вот в сегменте корпоративного мошенничества встречается часто. При расследовании внутреннего мошенничества в компаниях мы запрашиваем данные из штатных DLP-систем. Они собирают, в том числе, сообщения мессенджеров внутри корпоративной сети. Бывает что и годами.
— Возвращаясь к Telegram. А как же «секретные чаты», которые и «оконечное шифрование», и «никаких следов на серверах», и «удаление по таймингу», и «запрет пересылки»?
— Секретные чаты, анонимизация администраторов, изменение прокси, возможность установить кучу иных ограничений — все это Telegram потребовалось ввести, чтобы хоть немного защититься от OSINT и бесконтрольного сбора пользовательских данных. В конце концов я сам публиковал на своем канале инструкцию о том, как сделать мессенджер более защищенным. Если мессенджер пойдет сейчас на полное сотрудничество с властями, то о какой безопасности может идти речь? В какой стране?
— «Полное сотрудничество» — это что? Опять же пример. Есть ли вообще приемлемый формат сотрудничества с государством в сфере, неприкосновенность которой гарантируется в базовых конституционных правах?
— Полное сотрудничество… Это как «ВКонтакте» или Mail.ru. Давайте не будем говорить о конституционных правах. Они нарушаются везде. Где-то относительно открыто, где-то такие нарушения тщательно маскируются секретными приказами и протоколами. Мне представляется наиболее «правильным» пример США. Американское АНБ выгребает данные почти всех онлайн-сервисов, провайдеров, операторов связи и т.п. Они анализируют цифровые следы пользователей, сопоставляют их. Если бы они, как в России, отягощали штаты IТ-компаний необходимостью держать отделы по обработке запросов и ответов спецслужб, то далеко бы не продвинулись в области расследования инновационных преступлений.
— Что можно сделать, чтобы не отказываться от Тelegram, но быть неподконтрольным?
— Давайте начнем с азов. Проверить, не утекал ли ранее ваш телефон через официальный бот @infoleakbot, и установить запрет на поиск пользователя по номеру его мобильного телефона в меню: Настройки > Конфиденциальность > Номер телефона. Установить пароль на вход в мессенджер и двухфакторную идентификацию в меню: Настройки > Конфиденциальность > Безопасность. Установить запрет на просмотр вашей последней активности, фотографии профиля, а также пересылки ваших сообщений, приглашений в группу и звонка на ваш аккаунт в меню: Настройки > Конфиденциальность. Установить на телефон и постоянно использовать качественный VPN-сервис. Не переходить по внешним ссылкам и не скачивать файлов из непроверенных источников. Отключите геолокацию на смартфоне и не используйте такие функции Telegram, как «геочаты» и «люди рядом». Для администраторов чатов установить возможность писать от имени сообщества в меню: Настройки чата > Администраторы > Анонимность.
— От чего конкретно пользователь тогда становится защищён и насколько?
— От действий внешних злоумышленников, впрочем, и расследователей. От передачи данных администрацией мессенджера это защитит, но не сильно. Тут можно обезопаситься лишь надежным внешним сервером (VPS, дедик), через который и заходить в мессенджер.
— Если Павел вернулся в лоно Родины, которая «слышит», значит, прав Володин? Мы «последний островок свободы», и на Западе всё ещё хуже?
— На Западе совершенно «по-другому». Вот это факт. Это принципиально иная система отношения к социуму, законам, религии, праву и ближним. Она имеет свои проблемы, которые нам понять трудно. Например, выйдя из системы на Западе (нарушив закон и т.п.), ты выпадаешь из социума, маргинализируешься в нем. В дальнейшем тебе очень сложно вернуть свой статус, а вместе с ним работу, доходы, кредиты и т.п. В СНГ... все несколько иначе, и мы можем наблюдать вполне успешных преступников, которые учат население покорности и раболепию. Раболепие на Западе, к слову, тоже не прокатит. Там насмотрелись на «незыблемые авторитеты» и активно отстаивают любые свои свободы и права. Сами государственные институции там настроены иначе. Но игнорирование исполнения законов приветствуется мало.
— Но согласитесь, что констатация наших «свобод» на нашем «острове» с улыбочкой от политика, под чьим началом штампуются все новые и новые нормы по выпиливанию контента и анонимности из Сети, звучит странновато? Какая инициатива властей по Интернету из обсуждаемых реально опасна для пользователей?
— Видите ли, в чем дело. Я не строю совершенно никаких иллюзий относительно политического строя и системы управления в нашей стране. Я совершенно точно знаю, какие меры следовало бы внедрить для борьбы с преступностью. Если Госдума захотела бы получить комментарий касательно тех или иных законопроектов или их реализации не только от тщательно отобранных представителей «экспертного сообщества», то я мог бы его дать.
— Вернёмся к Дурову. Какие действия Павла вас могли бы переубедить? Вы знаете людей, которые с ним лично общались в последнее время?
— А кто я такой для Дурова, чтобы меня в чем-то убеждать? Он сделал отличный продукт, и я честно об этом говорю. Продукт с колоссальными возможностями для разностороннего использования, для изменений и дополнений. Его проблема в чрезмерной криминализации аудитории мессенджера (последствия имиджа безопасного), а также активного использования его в политической и оппозиционной деятельности. Особенно на территории СНГ. А это значит, что не слезут силовики наши с Павла Валерьевича просто так.
— Но какие инструменты давления есть у нашей системы на Дурова? И вы не ответили по теме закрытости менеджмента мессенджера. Какой вопрос Дурову сегодня был бы самым интересным для пользователей?
— А какие есть инструменты давления у властей США на Цукерберга или Брина? Пока информация поступает исправно в спецслужбы, они закрывают глаза на «некоторые нарушения» в работе с пользовательскими данными и относительное самоуправство. Какие есть инструменты давления у властей России на «ВКонтакте» и «Одноклассники»? Полагаю, что схожие. С поправкой на национальные особенности.
— Как по факту сегодня выглядит приватность в сетевой переписке? Дайте свой список «топ-5 самых защищённых способов».
— Самыми защищенными мессенджерами считаются Jabber и Briar. Причем оба следует ставить на свое «железо», включать шифрование и отключать хранение архива переписки в открытом виде на смартфоне. Естественно, для регистрации мессенджера не рекомендуется использовать номер телефона, особенно ваш личный, а также адрес вашей общедоступной электронной почты. На худой конец и номер телефона, и адрес почты вы можете зарегистрировать себе на анонимных сервисах и за пределами нашей страны. Что еще следует сделать? Сетевой трафик следует пропускать через TOR, в крайнем случае — через качественный VPN. Например, Nord VPN.
— Почему этот? Друзья делали? Есть пример обретения пользователем проблем за использование ненадежного VPN?
— Главное, чтобы не бесплатный, данные с них регулярно текут и попадают в общий доступ. А это влечет за собой деанонимизацию юзеров. Ну и не отечественный, если мы наших спецслужб опасаемся. На самом деле Nord VPN порекомендуют на большинстве хакерских форумов. Ещё для безопасности не используйте свои никнеймы, контакты, не общайтесь со своими реальными знакомыми (если подобная переписка позволит вас идентифицировать). Совсем для параноиков: из телефона выкидываем сим-карту, операционную систему ставим альтернативную, выпаиваем камеру, микрофон, GPS-модуль; соединяться будем только через внешний 4G-модем. Для этого модем также зачищаем: убираем GPS, устанавливаем автоматическую замену IMEI после каждого звонка, шифруем трафик.
— Вы много таких людей знаете? Чем они зарабатывают на жизнь?
— Расскажу об одном. Он ломает аккаунты и магазины на Hydra. Достаточно хороший бизнес. Каждый средний магазин имеет счет и от полумиллиона рублей в виде вкладов. Кроме того, со взломанного аккаунта можно и помошенничать. В полицию-то никто заявлять не побежит. Большинству людей, коммерсантов, менеджеров проще купить себе iPhone и пребывать в уверенности о его безопасности.
— Насколько легко самому создать секретную переписку, которую можно вести через смартфон?
— Запросто. Террористы сегодня используют для общения Discord — мессенеджер, популярный среди школьников и любителей онлайн-игр. Причина — отсутствие внимания к нему со стороны силовиков и частных расследователей. Назовем несколько принципов, используя которые, можно сохранить приватность переписки. Во-первых, это использование СУВа (свод условных выражений). Нет, по фене ботать не обязательно. А вот начать называть вещи чужими именами вполне можно. Развитием этого направления будет криптография — шифровка сообщений (например, PGP-ключом), или стеганография — сокрытие самого сообщения в картинке, аудио- или видеофайле. Во-вторых, это использование для общения непопулярных в стране сервисов. Никто ведь не запрещает вести переписку даже через мессенджер в файлообменнике MEGA, до которого ничьи руки еще не дотянулись. Чем более массовым и доступным будет решение в стране, тем с большей вероятностью в ней будут вестись разработки по его расшифровке или прессинг его администрации, касающийся передачи данных пользователей. Дальше общие вещи: не называем имен, не используем свои никнеймы и реальные контакты. Разведка, на самом деле, родила один реально сверхнадежный способ шифрования сообщений — индивидуальный шифроблокнот. По одному у каждого собеседника. Каждый код в нем одноразовый и используется только для одного сообщения или в течение дня. Кстати, именно этот принцип стоит в основе всех современных программных и аппаратных аутентификаторов. Подтверждение входа через электронную почту или смс давным-давно не является надежным.
— Обязательная предустановка российского ПО на смартфоны и прочие гаджеты — это на самом деле риски для сохранения приватности?
— Предустановка ПО — это еще не есть его обязательное использование. Впрочем, России не удалось убедить разработчиков смартфонов делать неудаляемые приложения, как это бывает с приложением Facebook на большинстве моделей телефонов. Но даже и неудаляемые приложения можно приостановить. Наконец, можно сменить операционную систему на относительно безопасную. Стоит ли нам беспокоиться о возможной утечке сведений? Да. Любое установленное приложение, в зависимости от предоставленных разрешений, может отслеживать перемещения пользователей по всему миру, прослушивать переговоры в любой момент времени, в любое время включать камеру или микрофон устройства, изучать телефонную книжку, копаться в фотографиях и ином контенте, имеющемся на смартфоне.
— Последний громкий пример? Пример по СПб?
— Ну кто же такое расскажет. Хотя нет, помните в Play Market появилось типа официальное приложение оппозиционного в Беларуси Telegram-канала NEXTA?
— Не все не то что помнят, но и знают. Что там было и чем дело кончилось?
— Мобильное приложение крупнейшего белорусского протестного портала NEXTA Live оказалось фейком. Оно ворует личные данные пользователей. Юзеры предполагают, что за разработкой стоит белорусский КГБ. Автор программы использует телефонный номер формата РФ и США. В итоге приложение удалили.
— Спецслужбы и прочие адепты государства добиваются открытости мессенджеров и прочих средств коммуникации, часто прикрываясь борьбой с террористами и всевозможными лжеминёрами. Насколько это лукавство?
— О, это важный вопрос современной политики. Становится очевидным, что сегодня вообще происходит постепенный демонтаж 5-го и 6-го технологических укладов. Не только в нашей стране. Цифровая революция идет слишком быстро, слишком сложными становятся рычаги управления обществом, слишком часто правители национальных государств стали сталкиваться с необходимостью быть зависимыми от IТ-корпораций. Интернет-платформы изучают пользователей и подбрасывают то, что считают нужным, заявил Владимир Путин в начале 2021 года. Кароль Кадуалладр, журналист из Великобритании, ранее отмечала, что таргетизированная реклама угрожает демократии хотя бы потому, что нигде пока не существует поиска по тем новостям, которые показывались конкретному пользователю. То есть корпорации — это не друзья национальных лидеров. Любой их союз носит временный характер. И рано или поздно корпорации покажут не только зубки (как это было с удалением аккаунтов действующего президента США или блокировкой аккаунтов новостных порталов в Австралии). Они покажут клыки и смогут вырвать власть у достаточно пожилой и немощной национальной элиты. Элита вынуждена отвечать, требовать покорности, тормозить прогресс. Её спецслужбы делают примерно то же, но на своем уровне, — стучат ножками, требуют ключи шифрования, бэкдоры и ограничение длины ключей кодирования. Предлоги могут быть различными: минеры, террористы — вы упомянули только самые популярные.
— В этом смысле последние танцы с бубном вокруг «Яндекса» год назад закончились чем на самом деле?
— Да ничем… (Осенью 2020 года «Яндекс» впервые опубликовал отчет о выдаче данных россиян госорганам. — Прим. ред.)
— Бороться с лжеминёрами теперь решили через механизмы проверки пользователей. Минцифра обяжет операторов отдавать Роскомнадзору все возможные данные по абонентам сотовой связи. Метод?
— Сбор данных — это еще не метод. Нужно понять, как данные будут анализироваться. Пока видно, что собираемые данные явно чрезмерны для заявленных целей. Скорее это очередная попытка забрать у рынка и технологических компаний «все что есть», дабы попытаться потом это использовать в своих целях. Реальные цели мы уже обсудили выше. Необходимость контроля возникает из ощущения страха. Страха за власть, за личное будущее, деньги. К инициативе передачи всех данных пользователей мобильной связи Роскомнадзору отношусь негативно. Это чрезмерно может ограничить права и свободы граждан. Ограничить без санкции суда. Тем органом, который даже не уполномочен осуществлять оперативно-разыскную деятельность.
Нас привлекали к изучению работы по предупреждению виртуального терроризма с 2017 года. Сперва это были звонки, потом электронные письма, WEX-овский минер, группировки Sekhmet, Psyhles, Sollucide. Наконец, сваттинг — услуга по распространению угрозы минирования от лица жертвы. Методики и технологии для борьбы с такими преступлениями есть. Нет качественного взаимодействия с западными правоохранительными органами. Проблемы есть и в разработке технологических решений внутри страны. Государственные институты развития и частные инвесторы деньги в стартапы «правоохранительной направленности» не вкладывают. Существует большое число препон для их приобретения напрямую государственными органами. И это несмотря на гибкость стартапов, скорость их работы и то, что в стоимостном отношении они в сотни раз дешевле тех разработок, которые проводятся в ведомственных НИИ.
— Этими обстоятельствами объясняется отсутствие историй с регулярными минированиями в странах условного «Запада»?
— В том числе. Тут очень много причин. И замкнутость нашей страны, и относительно высокая коррупция, и кадровый голод…
— Другие усилия властей тоже беспокоят ценителей приватности. Те же требования по локализации данных пользователей на территории РФ. Но ведь никто пока не собирается открывать свои дата-центры в нашей юрисдикции. Ни Facebook, ни Google. Это проблема приватности чисто техническая? Ваш прогноз, когда и чем это закончится?
— Если система управления в стране не будет изменяться, то мы придем к усилению изоляции от общемирового Интернета и его сервисов. При этом, разумеется, эффективность изоляции будет слабая. Её основной задачей будет отсечь от тлетворного влияния Интернета обывателя, а также показать национальному лидеру факт того, что работа проводилась. Действительно, большинство указов и законов, которые сегодня принимаются в области кибербезопасности, защиты от телефонного мошенничества, цифровых валют, — они не только далеки от идеала и не имеют сопутствующей нормативной базы. Они еще и не контролируются толком в плане исполнения. Указ о борьбе с серыми сим-картами был в 2018 году, как и пакет Яровой... Фактически что-то было сделано, кроме строительства мега-дорогих ЦОДов (центр обработки данных)?
— Так ведь нас «пиндосы» душат санкциями, а некто травит коронавирусом! Тяжело нам, но справимся! Справимся?
— Вы знаете, как я отношусь к гадалкам или балаганным предсказателям. Я — аналитик. Работаю в области создания технологических решений, методик работы для правоохранительных органов. Я — за сильные, компетентные, прозрачные и профессиональные органы. За защиту прав и законных интересов граждан. А раз преступность «переезжает» в сеть, то и полиция должна это делать. Относительно санкций могу сказать, что ни один адекватный гражданин не может их желать и призывать. Все хотят развития, понятных правил игры, стабильности. И да, стабильность может быть разной.
— В каких слоях общества искать выгодоприобретателя реализации законов по причесыванию рунета? Нет журналистских расследований о лоббистах. Это вопрос времени?
— Да какие лоббисты… Интересант понятен. Вопросы могут возникать только по отдельным госкорпорациям, которым будет поручено заработать на бюджетных ассигнованиях в тот или иной проект.
— Как вы относитесь к такой логике: «Пользуюсь иностранными сервисами, потому что мне плевать, что про меня узнает западный спецслужбист, ведь я живу в России»? Это не так страшно, как если тебя слушает родной спецслужбист?
— Есть такое правило, чтобы не использовать для передачи критичной информации те сервисы, которые находятся в стране пребывания или аффилированы с ней. Есть несколько «но». Во-первых, любой трафик внутри страны можно задублировать и расшифровывать. Во-вторых, даже иностранный аккаунт можно попытаться взломать. Начиная от квалифицированной хакерской атаки и заканчивая выламыванием пальцев для обхода пароля.
— Чтобы пальцы выломать, еще поймать нужно. Или вы о чем?
— А мы о безопасности переписки беседуем, насколько я понимаю. Если собеседники известны или установлены, а тайной является лишь содержание их разговора, то все несколько упрощается, согласитесь. Кстати, если говорить о тотальной слежке за перемещениями пользователей по всему миру, то очень интересными представляются методы и приемы работы, собранные под аббревиатурой ADINT (от англ. advertising intelligence). Это возможность следить за людьми, используя их обезличенные рекламные идентификаторы. У меня таких только в «Яндексе» порядка восьми. И это позволяет поисковику знать мой пол, возраст, интересы, регион проживания и перемещения в пространстве. А приемы ADINT, которые мы апробируем уже более года, дают возможность всю эту информацию получать третьим лицам и совершенно легально. А вы все про какие-то утечки пишете — вот оно будущее пробива.
— Это реклама? У вас есть табу на предложения работодателей?
— Реклама чего? Первые приемы ADINT были опубликованы в конце 2017 года в США. Большинство профессионалов рынка интернет-рекламы и не такие вещи вам покажут. Работу я не ищу, работаю на себя. Клиенты — только корпоративные. А то, что я реально хочу победить преступность и качественно изменить правоохранительные органы... ну есть у человека идеалистическое желание, которое он пробует реализовать. Разве это проблема? Я не работаю на систему. Я не получил оттуда ни копейки денег. Разумеется, мы презентуем, в том числе чиновникам, наши разработки. Знаете, как это выглядит чаще всего? Приезжает в министерство один из ведущих в стране экспертов на такси. А там его пытают на предмет возможных коррупционных связей те люди, которые потом сядут в «роллс-ройсы» и разъедутся по своим виллам. Врагов, насколько я знаю, нет. Ни от кого не прячусь.
— К слову про кадры. Призыв иностранных айтишников системой (которых нужен миллион, по данным ведомства Максута Шадаева) — залог невозможности строительства цифрового концлагеря в РФ?
— Еще в 2019 году Владимир Путин говорил о том, что вузы выпускают недостаточное количество инфобезников. Более чем в 4 раза меньше, чем на них имеется потребность. При чем тут концлагерь? Откуда он в России появится? Путем сбора валежника под Москвой?
— Союзники властей РФ по цифровым проблемам — КНР и КНДР. Я об этом. Вы себе как представляете иностранного айтишника, который приедет работать в РФ, и насколько сама идея выглядит убедительной?
— В Китае с IТ все отлично. Они начинают успешно конкурировать с американцами. В Корее есть Интернет только у луноликого предводителя. Там тоже никакой проблемы нет. Да и союзники ли они России? Мы все — города-государства с временными друзьями и врагами. А хантить специалистов по IТ — это общемировой тренд. Схантят кого-то в Россию. А из России — в Англию.
Николай Нелюбин, специально для «Фонтанки.ру»
