Видео

Давайте пофантазируй вот заезжает или даже паркет мягкий диван напротив телека кухня вроде тоже удобная со всей техникой А ещё самое главное балкон Он выходит в тихий двор с красивым видом

вы радостно платите аренду и депозит перевозите все две Газели вещей и через месяц жизни в этой квартире оказывается что трубы в доме не меняли со врем жне и за 2 минуты до выхода на работу они радостно полопались и залили новый хозяйский ремонт и четверых соседей снизу так вот в мире компьютерной безопасности

тоже есть одна такая технология напоминающая вот эти самые брежневские трубы она примерно тех же времён такая же неудобная ненадёжная и слабо поддающаяся ремонту и тем не менее Она есть у всех Поэтому ей все пользуются и строят на её основе новые сервисы

потом ждт судьба того самого паркета Я говорю об электронной почте Это самый старый и самый примитивный из всех популярных способов общения в сети и по совместительству кладе для всех кто атакует пользователей для спецслужб для хакеров банковских мошенников И множество

других недоброжелателей Сегодня я расскажу Чем именно плоха электронная почта Почему ей не взирая на это продолжают пользоваться и можно ли наконец отправить на пенсию этот пережиток времён Холодной войны или альтернатив ему по-прежнему

[музыка] нет Интернет в его современным открытым для всеобщего пользования видео появился в девяностых первый интернет-браузер создал в 1990 году исследователь церн Тим бернер сли и он же несколькими годами ранее придумал протокол

обмена гипертекстов http и язык разметки гипертекстовых страниц HTML обеими технологиями мы пользуемся до сих пор А название браузера World Wide Web вскоре стало синонимом интернета одновременно с этим Всемирная сеть начала выбираться в коммерческую сферу появились первые коммерческие

узлы обмена интернет-трафика и первые онлайн банки а к девяносто пятому году интернет окончательно стал общедоступным таким каким мы привыкли его видеть но электронная почта появилась намного раньше Брежневу и холодную войну я упомянул не просто так первое

электронное письмо было отправлено ещё в начале семидесятых через arpanet компьютерную сеть соединивший научные учреждения представлявшие интерес для американского ВПК фактически предшественницы международной исследовательской сети которая позже стала Интернетом А в Восьмидесятых появились первые версии протоколов электронной

почты которые мы используем и сегодня Но несмотря на прогресс сфера кибербезопасности на тот момент только-только формировалась Так что технологии тех времён лишены многих средств защиты к которым мы с вами привыкли сегодня начнём с самого очевидного электронная

почта не зашифрована три основных протокола которые используются в работе с почтой smtp iMap и Pop 3 они не поддерживают шифрование сами по себе данные по этим протоколам передаются неизменными в виде обычного текста в том числе ваши пароли и содержимое всех ваших писем

большинство крупных email сервисов вроде того же Gmail решают эту проблему при помощи протокола tls когда вы подключаетесь к почтовому серверу через tls трафик между ним и вашим устройством шифруется Так что даже если вы отправляете обычный текст ничем не защищённый сторонние Наблюдатели всё равно не смогут

его прочесть точно также шифруется соединение между вашим почтовым сервером и сервером адресата если tls соединение с сервером адресата установить не удалось например потому что у него истёк срок действия сертификата безопасности то ваш почтовый сервис может либо отказаться

отправить письмо либо отправить его без шифрования сообщат ли вам об этом или нет зависит от конкретного сервиса Но в любом случае такое шифрование не является сквозным трафик шифруется не от вашего устройства до устройства получателя а сначала от вас до почтового сервера а потом от

него до сервера получателя И уже оттуда до конечного устройства другими словами ваш почтовый сервис сам может просматривать содержимое вашего ящика а почтовый сервис вашего собеседника может просматривать его ящик в том числе письма которые прислали Вы И это ни для кого не секрет

до 2017 года тот же Google к примеру внаглую сканировал все письма проходящие через бесплатные Gmail ящики чтобы настраивать таргетинговую рекламу потом компания вроде как отказалась от этой практики но спустя 3 года добавила таргетинговую Рекламу по почте Так что я не исключаю что переписку в рекламных

целях всё ещё сканируют Просто теперь тайком Кроме того в gmail встроен Спам фильтр отсеивать рекламу и органайзер раскладывающиеся

а какой-то набор обез личных метрик эти метрики всё равно должны быть Сначала составлены на основе текста письма и всё это не проблема одного только Гугла просто так работает электронная почта подавляющее большинство email сервисов не имеют механизмов защиты которые мешали бы

владельцам сервисов залезать в переписки своих клиентов конечно далеко не все таким грязным делом готовы заниматься но возможности для этого есть обычно Ваши письма защищают хотя бы от перехвата третьими сторонами при помощи всё того же протокола tls но чтобы защититься и от владельцев

сервиса нужно предпринимать дополнительные усилия Разумеется энтузиасты тут же мне возят что Никто не запрещает вам самостоятельно зашифровать письмо перед отправкой и тогда ни Google ни ФСБ с ФБР ни какая-либо другая заинтересованная сторона прочитать его не сможет и

я с вами не спорю технически этот вопрос решён уже очень давно существует стандарт шифрования openpgp который реализован во множестве почтовых клиентов и позволяет защитить переписку сквозным шифрованием и есть самостоятельная программа для шифрования переписки например GN privacy Guard

с их помощью можно зашифровать не только электронные письма но и вообще любые сообщения отправляемые по любому каналу связи Это замечательные инструменты которыми многим стоило бы научиться пользоваться но скажите мне честно когда вы в последний раз пользовались отдельным

почтовым клиентом Не веб клиентом в браузере или в приложении Гугла А например Thunderbird вы вообще помните как такие приложения Я подозреваю что не очень а консольными утилитами для шифрования писем вроде priv Guard и вовсе пользуются только те самые энтузиасты которые в любом

случае готовы тратить много сил на свою безопасность для тех кто многие годы работает в it сфере Эта мысль может быть не совсем очевидной но внимание среднестатистический пользователь не особо разбирается в способах защиты данных и чаще всего не хочет в них разбираться конфиденциальности

и безопасности наибольшего успеха добиваются те сервисы которые по умолчанию защищены от человеческих ошибок лени И неосведомлённость НР сил например по умолчанию шифрует все переписки и пользователю не надо разбираться в том как это шифрование устроено не надо самому создавать

ключи и где-то их хранить не надо запускать никаких дополнительных программ Ты просто пишешь сообщение и отправляешь его а получа его получает популярные почтовые сервисы такого функционала как правило не имеют Поэтому у большинства пользователей сквозного шифрования в почте нет

можно сколько угодно раз говорить что пользователь не прав что технические решения для этой проблемы давно придуманы и надо просто начать ими пользоваться но в жизни это зачастую так не работает К сожалению люди начинают думать о своей безопасности конфиденциальности в тот момент когда понимают что Им грозит

опасность А К тому моменту чувствительные данные уже скорее всего утекли потому что опасность познаётся в бою впрочем одним отсутствием шифрования проблемы почтовых протоколов не ограничиваются iMap и Pop 3 которые используются для подключения клиента к почтовым серверам не поддерживают

много факторную аутентификацию они появились задолго до того как многофакторная аутентификация в принципе стала входить в обе ход чтобы избежать всех этих сложностей многие крупные почтовые сервисы перешли на более новые протоколы в том числе проприетарные собственные и как правило поставляют

свои собственные почтовые приложения в которых с многофакторной аутентификацией всё в порядке тем не менее поддержка iMap и Pop 3 сохраняется повсеместно поскольку эти протоколы исторически поддерживают все почтовые клиенты

следующие проблемы реальных пользователей спам и Фишинг спам конечно рассылают не только через электронную почту но она к нему наиболее уязвима организовать массовую рассылку по почте гораздо проще и дешевле чем например в мессенджере В чём вы сами можете убедиться зайдя в свои входящие спамера доступны

и одноразовые адреса и сервисы рассылок и свои собственные почтовые сервера решения есть под любые нужды составить базу адресатов тоже тоже не составляет труда адреса регулярно утекают в сеть поскольку им пользуется для регистрации учётных записей в том числе на тех ресурсах которые очень халатно относятся к безопасности

или на ресурсах торгующих данными Так что большую базу адресов активных пользователей можно попросту купить за символическую сумму или составить самостоятельно собирая публично доступные адреса в сети Сравните вот это вот всё с тем как устроены популярные мессенджеры скажем чтобы рассылать

что-то через Telegram или синал нужно сначала создать аккаунт привязанный к номеру телефона это дополнительный шаг который затруднит автоматизацию рассылки и повысит издержки Особенно учитывая что номера будут регулярно банить и их потребуется много в мессенджере Session телефон не нужен Но в качестве идентификатора пользователя

используется публичный ключ на подбор которого требуется В буквальном смысле миллиарда лет то есть просто так написать кому попало у спамеров не выйдет а Симплекс чат вовсе не позволяет писать другим людям Если те сами не пригласили вас побеседовать Но если спам - это просто неприятность которая отнимает

время и нервы то Фишинг - это уже угроза посерьёзнее та же самая простота и доступность благодаря которым почта всегда завалена спамом делают её привлекательной и для фишинговых Атак в самой примитивной форме это может быть массовый Фишинг когда вместо рекламных объявлений рассылают ссылки на ресурсы

ворующий логины и пароли или платёжную информацию например под видом оповещений от банка или каких-нибудь скидочных купонов похожим образом в письмах рассылают вредоносное по под видом картинки или документа а неопытные пользователи их часто открывают почтовые аккаунты зачастую атакуют и прицельно

в попытке получить чувствительные данные о каких-то конкретных людях за примером далеко ходить не надо недавно мы рассказали о фишинговой Компани rish государственных хакерских групп C riv Ивел которые провели двузначное число в том числе успешных адресных фишинговых

Атак против представителей российского гражданского общества сотрудников НКО журналистов правозащитников политиков и активистов недавняя атака на фонд свободной России о которой вы вероятно слышали и в результате который Был похищен большой архив внутренней документации тоже может быть с ними связано Хотя На текущий момент

это нельзя утверждать наверняка и здесь я вновь предвижу комментарии наиболее опытных наших зрителей почта не виновата в том что через неё отправляют фишинговые письма их могут прислать через любой другой сервис надо просто не открывать что попало ставить пароли понадёжнее и менять их почаще и я с вами вновь

соглашусь это хорошие советы и мы к ним обязательно вернёмся в конце видео Но и вы согласитесь со мной почтовые аккаунты всё же уникально привлекательными целями электронная почта - это что-то среднее между сейфом и мусорным баком с одной стороны её регулярно заваливает автоматическими

уведомлениями рекламным спамом письмами от наследных принцев и прочим хламом с которым никому не хочется возиться из-за чего многие пользователи стараются Не открывать свой ящик без надобности и в целом относятся к почте небрежно а с другой стороны именно к почте привязывается большинство сер которыми вы пользуетесь

и через почту же на них можно менять пароли Так что цена этой небрежности невероятно высока один раз попавшись на Фишинг или допустив утечку вашего пароля вы рискуете компрометации сразу множества ваших учётных записей а заодно и всех рабочих документов на Google

доках Office 365 или другом облачном сервисе если они все в одной экосистеме по сути почта из инструмента для общения уже давно превратилась в своего рода центр доступа к другим аккаунтам данные из которых зачастую бывает гораздо ценнее самих переписок что самое

интересное почта может стать объектом атаки даже в том случае когда нападающий точно знает что в ней нет интересующей его информации ведь с её помощью можно подобраться к почте другого человека в которой такая информация содержится рассказываю адресные фишинговые атаки как правило совершают

с почтовых адресов похожих на подлинные адреса знакомых жертве людей они могут отличаться всего на один-два символа и невнимательный пользователь этого скорее всего не заметит Но более опытный может увидеть отсутствие общих переписок и заподозрят неладное ещё в письмах иногда указывают неверный обратный

адрес чтобы попытаться выдать себя за другого человека это так называемая спун атака которой мессенджеры Кстати как правило тоже но крупные почтовые сервисы научились неплохо от таких Атак защищаться А вот если злоумышленник получит доступ к почте одного из ваших знакомых и пришлёт

письмо через неё Вы скорее всего ничего не заподозрить адрес правильный следов подделки нет общая переписка есть изучив переписку нападающий может скопировать характерный стиль вашего собеседника чтобы вы ничего не заподозрили и выбрать Темой для разговора что-то что вы обсуждали

раньше так вы будете ещё больше уверены что общаетесь с реальным человеком а не с самозванцем поэтому даже если конкретно в вашей почте ничего интересного нет она всё равно может стать целью атаки как минимум из-за возможности с её помощью подобраться к другим людям например злоумышленники

могут увести почту рядового сотрудника какой-то коммерческой фирмы у которого нет доступа ни к каким важным документам а потом через неё атаковать руководителя у которого к почте могут быть привязаны и электронная бухгалтерия и Облачное хранилище с коммерческой тайной и резервные копии переписки из мессенджера

и что угодно ещё точно также выглядели Некоторые из Атак группы кол дривер против российских НКО Когда нужно было подобраться к крупной цели тогда фсбшник иногда начинали с кого-то из её окружения чтобы иметь возможность отправлять фишинговые письма с подлинных аре если

смотреть на перечисленные мной недостатки по отдельности то почта как будто бы не сильно отличается от многих мессенджеров А вот в сумме картина получается совсем другая печальная почта де-факто является централизованной точкой доступа к большинству ваших учётных записей в том числе содержащих крайне чувствительную информацию

в этом качестве она предлагает меньшую защиту чем другие инструменты для работы с учётными данными вроде менеджеров паролей зашифрованным хранилищем и при этом она всегда доступна онлайн почта сама по себе может содержать чувствительную переписку но как способ общения она как правило менее защищена

чем мессенджеры со встроенным сквозным шифрованием поскольку это наиболее массовый тип веб-сервисов почтой пользуются в том числе люди неопытные которые с высокой вероятностью могут стать жертвой даже не особо сложной атаки и при этом Многие даже не осознают насколько опасной может быть атака на почту и насколько велика

её вероятность Так что относятся к этим сервисам небрежно и не предпринимают серьёзных усилий для их защиты мне сложно назвать ещё хотя бы один другой тип сервисов обладающий этим уникальным сочетанием проблем с

безопасностью Итак мы выяснили что у почты Есть серьёзные недостатки которые можно исправить имея оден техническую подготовку но большинство пользователей этого просто не делают и таким образом оказываются в группе риска что же тогда остаётся нам просто перестать ей пользоваться

Мне очень хотелось бы ответить да и на этом поставить точку но к сожалению для большинства этот вариант не подойдёт у почты как и у любой старой технология есть преимущество Давайте поговорим о них теперь тоже она гораздо проще многих современных альтернатив

Её легко внедрить на неё не нужны никакие патенты шматенко любого успешного элемента инфраструктуры Давайте разовьёт примере вот лампа Под цоколь е27 всем знакомая как лампочка

Лича только эту лампу и этот цоколь придумал не Леонид ильч Брежнев и даже не Владимир ильч Ленин а американский изобретатель Томас Эди и было это не во время коллективизации А ещё в конце XIX века так вот технологии скоро исполнится 150 лет и она по многим параметрам безнадёжно устарела большие

неэффективные лампы накаливания требующие высокого напряжения уступили место крошечным светодиодом которые могут работать Даже от батарейки в вашем телефоне но практически в каждом доме на нашей планете уже есть светильники под лампочку эдисона и для них уже проложена проводка никто не будет всё

это переделывать просто потому что появилась альтернатива гораздо проще и дешевле адаптировать современную технологию под работу со старой инфраструктурой вкручивать полупроводниковые световые приборы из XXI века в цоколь времён Королевы Виктории с электронной почтой ситуация вот один в один Да ей действительно

есть хорошие альтернативы но на определённом этапе это был наиболее удобный и универсальный способ общения в сети поэтому сегодня свой почтовый ящик есть буквально у каждого это открытый простой в реализации стандарт которым может пользоваться кто угодно причём электронными письмами

могут обмениваться пользователи разных сервисов от разных поставщиков в то время как большинство мессенджеров не умеет говорить друг с другом и работает только в рамках экосистемы одного разработчика и как и в случае с цоколя Мэдисона никто не готов из своего кармана заплатить за то чтобы все почтовые сервера в мире разом перевести на

какую-то более новую технологию гораздо проще создавать новые сервисы параллельно с почтой А её саму оставить как общей знаменатель универсальный способ связи который есть у каждого так что отказаться от неё целиком скорее всего не выйдет всё что остаётся

нам с вами сделать работу с почтой максимально безопасной прежде всего стоит осознать что почта - это не мусорный ящик для спама а ключ к вашим учётным записям даже если Для важных переписок вы пользуетесь защищённым мессенджером к вашей почте

скорее всего привязано много других вещей которые Лучше бы не показывать кому попало Облачное хранилище с документами бухгалтерия или банкинг приложение с историй ваших поездок платёжные системы аккаунты в соцсетях Где у вас тоже Наверняка есть чувствительные данные переписки ну Ну и так далее так что

к безопасности почты надо подходить очень серьёзно во-первых Включите на почте многофакторное Если вы находитесь в России или в другой небезопасной стране то я не советую выбирать в качестве второго фактора SMS их легко перехватывают

лучше использовать Google authenticator или например одноразовые коды которые будут храниться в отдельном от пароля месте это существенно уменьшит вероятность утечки А самый надёжный вариант - аппаратный ключ но наличие многофакторной аутентификации в любом случае лучше её отсутствие Так что её следует

обязательно включить во-вторых Заведите привычку регулярно менять пароль на почте скажем каждые 3 месяца если ваш почтовый ящик был скомпрометирован своевременная смена пароля уменьшит время на которое у злоумышленника будет к ней доступ ещё советую время от времени заходить на сайт have

ip.com и проверять не засветился ли ваш адрес в каком-нибудь крупном сливе данных если засветился то пароль необходимо сменить сразу же и заодно завершить все незнакомые вам сессии их можно найти в настройках в списке подключённых устройств кстати проверять сессии тоже стоит регулярно

в-третьих Используйте для создания и хранения паролей Менеджер паролей многие пользователи используют один и тот же пароль для нескольких учётных записей Чтобы проще было запомнить это опасно поскольку одна утечка может скомпрометировать их все разом другая опасная привычка записывать пароли

в текстовые файлы в сохранёнки в телеграме или на листочке возле компьютера вместо всего этого стоит поставить Менеджер паролей с его помощью можно создать уникальный и надежный пароль для каждого сервиса и сохранить в зашифрованном контейнере я обычно дую медр Key Pass XC

он бесплатный с открытым исходным кодом и работает на Windows Linux и маках для мобильных устройств Apple можно использовать kum а для устройств на базе Android kps DX подробнее про то как выбирать надёжные пароли я рассказывал вот в этом видео и ссылка на него будет продублированы

в описании идём дальше шифрование сообщений Если вы не пользуетесь почтовым клиентом который поддерживает шифрование почт то мне скорее всего не удастся убедить вас на него перейти это многолетняя пользовательская привычка которую сложно выработать или тем более изменить легче просто

не пользоваться почтой для каких-либо обсуждений чувствительных конфиденциальных вопросов поставьте себе безопасный мессенджер из нашего списка например Signal Session simplex или Эмен вот в этом ролике я объясняю почему рекомендуем именно ими

Пусть общение будет в мессенджере а почта останется для регистрации аккаунтов Я искренне надеюсь что российскими почтовыми сервисами Никто из вас и так не пользуется это попросту опасно Но я на всякий случай скажу если вы всё-таки держите ящик на Яндексе или mail.ru или на Рамблере его

немедленно стоит заменить на что-то более надёжно как минимум пере привяжите свои учётные записи к Gmail А ещё лучше завести почту на на прон mail и привязать учётки к ней Протон поддерживает сквозное шифрование из коробки А в комплекте с почтой идёт VPN и Облачное хранилище и в отличие от продуктов американских it

гигантов прон не воюет с российскими пользователями если по какой-то причине вам всё же нужно использовать для общения обычную почту а Протон или месенджер не могут её заменить Я советую вс-таки разобраться как работает стандарт шифрования openpgp всех популярных платформах

есть на выбор несколько почтовых клиентов которые поддерживают его либо из коробки либо при помощи бесплатных плагинов на сайте openpgp org можно найти их список ещё можно попробовать сервис mailvelope это плагин для браузера который добавляет функцию шифрования в веб клиенты

многих популярных сервисов в том числе Gmail ещё одно решение которое Я рекомендую Дета Chat это Messenger со сквозным шифрованием который работает фактически поверх электронной почте на её базе возможно Для вас это будет наиболее удобный вариант Но если ваши контакты готовы

перейти на сигнал Это скорее всего будет проще как минимум вам не придётся объяснять им что такое сквозное шифрование и Как прикрутить его к почтовому ящику теперь последнее Фишинг это вечно Зелёная тема о которой я на этом канале говорил и буду говорить ещё очень много раз потому что Фишинг Реально работает

особенно адресный когда злоумышленник атакует конкретно вас и представляется не нигерийский принцем а сотрудником вашего банка коллегой или знакомым и хорошо понимает О чём нужно говорить чтобы Вы точно прочитали письмо а не отправили его в спам самое важное что от вас требуется в этой плоскости

перестать не глядя открывать ссылки в почте и вложенные файлы тоже открывать не нужно даже если их вам прислал хорошие знакомый с подлинного адреса это всё равно не повод их открывать не глядя для начала Убедитесь что ваш собеседник действительно тот за кого себя выдаёт Свяжитесь с ним по другому альтернативному

каналу лучше всего позвонить через мессенджер и спросить что и зачем он вам прислал и почему именно на почту А если связаться не вышло стоит перестраховаться и ничего не открывать если вопрос очень важный и очень срочный собеседник сам вам перезвонит ещё одна очень хорошая идея

завести несколько почтовых ящиков под разные цели как я уже говорил ранее одна из проблем почты заключается в том что на неё завязана и переписка и куча различных учётных записей поэтому компрометация грозит очень серьёзными последствиями если разграничить потоки информации и не привязывать

к одной почте сразу всё это существенно уменьшит издержки в случае утечки Например если вы Работайте над несколькими не связанными друг с другом проектами стоит Под каждый из них завести отдельную почту с отдельными документами и отдельным облачным хранилищем другой хороший вариант не регистрировать учётные записи

на ту почту которую вы даёте другим людям для обратной связи Пусть один адрес будет публичный для общения а второй непубличный для регистрации учётных записей Если на этот второй адрес придёт письмо якобы от друга коллеги или сотрудник банка вы будете точно знать

что это Фишинг Ведь вы никому этот адрес не давали а Хорошие друзья не пишут куда попало без спроса Меня зовут Дмитрий заирбек Я глава правозащитного проекта Первый отдел мы делаем не только интересно YouTube но и защищаем конкретных людей

по конкретным уголовным делам в сфере госбезопасности Отсюда и название проекта У нас есть другие соцсети Telegram канал Instagram Facebook Twitter и даже tiktok подпишитесь на нас и там ссылки будут в описании смотрите читайте и поддерживайте Первый отдел делитесь этим роликом

с друзьями и оставайтесь в безопасности [музыка]

E-mail — среднее между сейфом и помойкой. Как это исправить?