faq.texi

   1 @node FAQ
   2 @unnumbered Часто задаваемые вопросы
   3
   4 @table @strong
   5
   6 @item @anchor{Warez} @ref{Warez, Как бесплатно качать софт музыку и фильмы?}
   7
   8 Если автор хочет получать материальную выгоду от своего творчества, то
   9 это его право требовать денежную компенсацию при распространении. Если
  10 вас не устраивает цена: договаривайтесь с ним, ищите компромиссные
  11 варианты, которые бы удовлетворили обе стороны. В противном случае,
  12 скорее всего, распространение такого рода будет считаться воровством.
  13 Шифропанки решают технические задачи.
  14
  15 @item @anchor{Censorship} @ref{Censorship, Как мне обойти цензуру?}
  16
  17 Если кто-то поставил ограничения, то возможно неспроста, а ваше желание
  18 их обойти это нарушение закона? Если мы дадим ответ, то значит поможем
  19 именно вам, значит признаем косвенно что вы более правы чем цензор.
  20 Политические игры и решения -- не наш удел.
  21
  22 Однако, намекнём что есть такое понятие как цензуроустойчивые (censorship
  23 resistant) сети и технологии, такие как @url{https://gnunet.org/,
  24 GNUnet} и @url{https://freenetproject.org/, Freenet}.
  25
  26 @item @anchor{Cryptoanarchy} @ref{Cryptoanarchy, Как мне используя технологии шифропанков достичь криптоанархии?}
  27
  28 Шифропанки заинтересованы в решении исключительно технических задач.
  29 Анархия -- это политические и социальные вопросы.
  30
  31 @item @anchor{Software} @ref{Software, Какие критерии выбора программ для защиты приватности имеются?}
  32
  33     @itemize
  34
  35     @item Убедиться что вам предоставляют полноценную программу,
  36     @url{https://www.gnu.org/philosophy/who-does-that-server-really-serve.ru.html, а не услугу}
  37     требующую участие сторонних лиц. Используя терминологию маркетинга:
  38     остерегайтесь облачных сервисов.
  39
  40     @item Программа @strong{должна} быть
  41     @url{https://www.gnu.org/philosophy/free-sw.ru.html, свободным}
  42     программным обеспечением. Проприетарное ПО не даёт возможность
  43     контролировать ваш же собственный компьютер. Без контроля не может
  44     быть речи о безопасности, следовательно и о приватности.
  45
  46     @item Остерегайтесь любой криптографии реализованной и исполняемой
  47     внутри Web-броузера. Web-технологии являются неимоверно
  48     переусложнёнными и никто не в состоянии адекватно проанализировать и
  49     исправить недостатки связанные с безопасностью. Web создавался как
  50     распределённая система документов, затем как платформа запуска
  51     скачиваемых приложений, в основном для показа рекламы и сбора
  52     приватной информации. В вашей приватности практически никто в
  53     Web-мире не заинтересован.
  54
  55     @item Не поддавайтесь на
  56     @url{https://www.gnu.org/philosophy/javascript-trap.ru.html, западню}
  57     связанную с JavaScript: технически код может и исполняется внутри
  58     вашего броузера, но, на данный момент, Web-броузеры не дают
  59     возможность контролировать и аутентифицировать код который
  60     загружается для исполнения.
  61
  62     @item Оцените серьёзность программы: не является ли она, так
  63     называемым, marketing bullshit,
  64     @url{https://www.schneier.com/crypto-gram/archives/1999/0215.html#snakeoil,
  65     шарлатанской криптографией}. Сильно должны настораживать следующие
  66     фразы:
  67
  68         @itemize
  69         @item собственные, уникальные, революционные, проприетарные
  70         алгоритмы;
  71         @item новейшая математика;
  72         @item невзламываемый, миллион бит вместо 128, "сильный как
  73         One-Time-Pad";
  74         @item быстрый: подходит для сервера и для обычного ПК.
  75         @end itemize
  76
  77     @item Наличие криптографических конкурсов это
  78     @url{https://www.schneier.com/crypto-gram/archives/1998/1215.html#contests,
  79     очень плохой знак}. Конкурсы практически никогда не работают:
  80
  81         @itemize
  82         @item у них нечестные условия: предлагают проверять танк,
  83         разрешая стрелять только из автомата -- не дают возможность
  84         использовать весь арсенал известных атак;
  85         @item цена выигрыша конкурса банально может не окупить затраты
  86         на анализ;
  87         @item порог вхождения для получения конкретного результата, а не
  88         математического доказательства возможности его получения,
  89         довольно высок -- вопрос экономической целесообразности участия.
  90         @end itemize
  91
  92     @end itemize
  93
  94 @item @anchor{Windows} @ref{Windows, Как мне добиться приватности в Microsoft Windows или Apple macOS?}
  95
  96 В общем случае -- никак. Вы не знаете что делают эти операционные
  97 системы с данными, не знаете где и какие они имеют лазейки, не можете
  98 гарантировать качественную работу генератора псевдослучайных чисел. В
  99 некоторых случаях, например когда компьютер не подключён к сетям
 100 передачи данных (airgap mode), риски не так велики. Прежде чем
 101 затрачивать силы на то, чтобы повысить безопасность работы в этих
 102 системах, стоит оценить затраты на переход на свободное ПО -- как
 103 правило, они будут ниже.
 104
 105 Что вам дороже: безопасность и приватность, или удобство? Как правило,
 106 достичь одновременно обе эти цели технически невозможно. Безопасные
 107 решения требуют ответственности пользователей, более высокий порог
 108 вхождения. Или вы принимаете решения о вашей же собственной безопасности
 109 и приватности -- или их примут за вас, вряд ли в вашу пользу.
 110
 111 @item @anchor{Whytrust} @ref{Whytrust, Почему я должен доверять советам и ответам автора этого ресурса?}
 112
 113 Не должны. Мы такие же люди как и маркетологи, пиарщики и психологи. Наш
 114 перевес в том, что мы увлекаемся и интересуемся криптографией и пытаемся
 115 давать объективные технические оценки, а не полагаться на красивые
 116 презентации. Наш искренний совет: доверяйте криптографам.
 117
 118 @item @anchor{Encryption} @ref{Encryption, Чем лучше зашифровать файл перед отправкой?}
 119
 120 @url{https://gnupg.org/, GnuPG}.
 121
 122 @item @anchor{Email} @ref{Email, Чем шифровать электронную почту?}
 123
 124 GnuPG.
 125
 126 @item @anchor{Signatures} @ref{Signatures, Чем осуществлять аутентификацию ПО или документов при скачивании?}
 127
 128 GnuPG, @url{https://man.openbsd.org/signify, signify}
 129
 130 @item @anchor{Diskencryption} @ref{Diskencryption, Чем полностью зашифровать диск?}
 131
 132 Большинство операционных систем предлагают вполне сносные решения из
 133 коробки:
 134 @url{https://gitlab.com/cryptsetup/cryptsetup/blob/master/README.md,
 135 LUKS} под GNU/Linux,
 136 @url{http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man4/softraid.4?query=softraid&sec=4&arch=i386,
 137 softraid} под OpenBSD,
 138 @url{https://www.freebsd.org/doc/en/books/handbook/disks-encrypting.html,
 139 GELI} под FreeBSD. Важно использовать @strong{XTS} режим шифрования во
 140 всех перечисленных системах.
 141
 142 Операционные системы Microsoft Windows и Apple OS X не имеют средств
 143 шифрования из коробки которым можно было бы доверять.
 144
 145 @item @anchor{Chats} @ref{Chats, Чем обеспечить приватность real-time переписки?}
 146
 147 Instant messaging клиентами поддерживающими
 148 @url{https://otr.cypherpunks.ca/, Off-the-Record (OTR)} или
 149 @url{https://conversations.im/omemo/, OMEMO}. А также стандартом
 150 @url{https://matrix.org/, Matrix}, проектом
 151 @url{https://secushare.org/, secushare}.
 152
 153 @item @anchor{Anonymization} @ref{Anonymization, Как анонимизироваться в Web и вообще в Интернете?}
 154
 155 В общем случае ответа на этот вопрос нельзя дать. Очень много зависит не
 156 только от вас, но и от тех кто предоставляет сайт. Векторов для вашей
 157 деанонимизации настолько много, что быстро оценить все риски и возможные
 158 утечки информации -- очень сложно.
 159
 160 Проще всего использовать сети/программы изначально задумывающиеся как
 161 уважающие приватность:
 162 @url{https://gnunet.org/, GNUnet},
 163 @url{https://freenetproject.org/, Freenet},
 164 @url{https://geti2p.net/en/, I2P},
 165 @url{https://en.wikipedia.org/wiki/RetroShare, RetroShare},
 166 @url{https://secushare.org/, secushare}.
 167
 168 И не забывать оценивать риски! Обеспечить анонимность при real-time
 169 коммуникациях (пытающихся гарантировать минимальные задержки при
 170 передаче данных) -- практически невозможно. Так называемые
 171 store-and-forward решения (GNUnet, Freenet, другие) гораздо надёжнее, но
 172 Web в них работать не сможет.
 173
 174 @item @anchor{Slownet} @ref{Slownet, Но сеть анонимизации XXX медленная!}
 175
 176 Во-первых, в отличии от шифрования (то что обеспечивает приватность
 177 передаваемых @strong{данных}), анонимизация требует использование
 178 большой группы участников (так называемый anonymity set) -- так как
 179 анонимизация это обеспечение приватности @strong{метаданных}.
 180
 181 Во-вторых, anonymity set создают @strong{только} энтузиасты, только
 182 добровольцы, только простые люди. Никакая корпорация не заинтересована в
 183 обеспечении вашей приватности. Это исключительно личная потребность.
 184 Поэтому ресурсы на создание anonymity set могут появится только за счёт
 185 кооперации людей.
 186
 187 Пока вы не начнёте кооперировать, поднимать у себя программы делающие
 188 ваш компьютер участником anonymity set какой-либо сети -- она не будет
 189 работать, не будет существовать. Поэтому вопрос почему сеть XXX такая
 190 медленная адресован к обычным людям: почему вы не участвуете в
 191 предоставлении части ресурсов вашего компьютера для того чтобы сделать
 192 XXX быстрее, лучше и безопаснее? У преобладающего большинства
 193 компьютеров простаивают процессоры, имеется свободное место на жёстких
 194 дисках, многие имеют дешёвые высокоскоростные выделенные Интернет-каналы.
 195
 196 @item @anchor{Advices} @ref{Advices, Общие советы по использованию сетевых ресурсов?}
 197
 198     @itemize
 199
 200     @item Избегайте слежки! Никто не заставляет вас использовать
 201     @emph{google.com} -- есть альтернативы типа
 202     @url{https://duckduckgo.com/, DuckDuckGo},
 203     @url{https://ixquick.com/, Ixquick}. Никто не заставляет вас
 204     создавать почту на @emph{gmail.com} -- вы можете сами поднять
 205     почтовый сервер, можете использовать помощь более опытных знакомых,
 206     можете использовать сервисы типа @url{https://help.riseup.net/,
 207     Riseup}, хотя и в этом случае вы не можете получить технические
 208     гарантии приватности вашей почтовой переписки. Никто не заставляет
 209     использовать только пару социальных сетей -- есть возможность
 210     запустить свою собственную, независимую от рекламы, корпораций или
 211     государств: @url{http://gnu.io/, GNU social},
 212     @url{https://diasporafoundation.org/, diaspora*}.
 213
 214     @item Не "сорите" данными! Включайте cookie в вашем броузере только
 215     для нужных доменов и только когда это действительно требуется.
 216     Отключите JavaScript по умолчанию: в 99% случаев он не нужен для
 217     путешествия по Web-у. Большинство ресурсов требующих его
 218     использование в обязательном порядке -- априори не ставят задачи
 219     уважить вашу приватность. Используйте анонимные средства оплаты,
 220     (на данный момент это только "наличка"): нет надобности сообщать
 221     ваше имя при покупке хлеба расплачиваясь банковской картой.
 222
 223     @item Блокируйте слежку (сбор вашей приватной информации)! Шифруйте
 224     передаваемые данные (OpenPGP, TLS, OTR, XTS, и тому подобные).
 225     Анонимизируйте метаданные.
 226
 227     @end itemize
 228
 229 @item @anchor{Telegram} @ref{Telegram, Безопасен ли Telegram?}
 230
 231 Ни в коем случае, так как его @code{MTProto} протокол уязвим к CCA
 232 атакам и не аутентифицирует шифротекст. Подробнее можно прочитать:
 233 @url{https://eprint.iacr.org/2015/1177.pdf, "On the CCA insecurity of MTProto"},
 234 @url{http://unhandledexpression.com/crypto/general/security/2013/12/17/telegram-stand-back-we-know-maths.html, "Telegram AKA Stand back we have Math PhDs!"},
 235 @url{http://www.cryptofails.com/post/70546720222/telegrams-cryptanalysis-contest, "Telegram’s Cryptanalysis Contest"},
 236 @url{http://cs.au.dk/~jakjak/master-thesis.pdf, "A practical cryptoanalysis of the Telegram messaging protocol"},
 237 @url{https://habr.com/ru/post/472970/, Техническая критика протокола Telegram}.
 238
 239 @item @anchor{Socialnets} @ref{Socialnets, Почему на сайте нет ссылок на группы в соцсетях по теме?}
 240
 241 Это не правильно давать дань внимания ресурсам которые абсолютно не
 242 уважают приватность пользователей, осуществляют цензуру, поступают
 243 неэтично, манипулируют мнением людей, используют их как продукт.
 244
 245 @item @anchor{HSTS} @ref{HSTS, Почему этот сайт не HTTPS по умолчанию?}
 246
 247 HTTP версия обслуживается двумя географически разделёнными независимыми
 248 серверами, тогда как HTTPS версия всего-лишь одним.
 249
 250 @item @anchor{TLSCA} @ref{TLSCA, Почему у многих людей HTTPS версия сайта не доверенная?}
 251
 252 Потому что все бесплатные CA производители ОС и броузеров исключили из
 253 своего состава, взамен активно предлагая использовать Let's Encrypt,
 254 которому автор данного сайта не доверяет. Поэтому был создан
 255 @url{http://ca.cypherpunks.ru/, ca.cypherpunks.ru} CA для ресурсов
 256 данного сайта.
 257
 258 @item @anchor{Simplicity} @ref{Simplicity, Почему этот сайт выглядит как унылое говно и никакого Web 2.0?}
 259
 260 Мы заботимся о максимальной доступности, совместимости, большей
 261 вероятности и возможности донести информацию до любого пользователя. Web
 262 2.0, CSS, JavaScript и прочая мода коммерциализованного мира вредят
 263 людям с ограниченными возможностями, пользователям у которых нет
 264 броузеров с графическим интерфейсом, у кого нет современного компьютера,
 265 у кого дорогой трафик Интернета.
 266
 267 @end table