Guia para o anonimato on-line (por https://anonymousplanet.org/)

Use por sua própria conta e risco. Não considere este guia como uma verdade definitiva para tudo, pois ele não é.
  • Introdução:
  • Compreender alguns princípios básicos de como algumas informações podem levar a você e como mitigar algumas delas:
    • Sua rede:
      • Seu endereço IP:
      • Suas solicitações de DNS e IP:
      • Seus dispositivos habilitados para RFID:
      • Os dispositivos Wi-Fi e Bluetooth ao seu redor:
      • Pontos de acesso Wi-Fi mal-intencionados/mal-intencionados:
      • Seu tráfego Tor/VPN anônimo:
      • Alguns dispositivos podem ser rastreados mesmo quando estão off-line:
    • Seus identificadores de hardware:
      • Seu IMEI e IMSI (e, por extensão, seu número de telefone):
      • Seu endereço MAC de Wi-Fi ou Ethernet:
      • Seu endereço MAC Bluetooth:
    • Sua *****U:
    • Seus sistemas operacionais e serviços de telemetria de aplicativos:
    • Seus dispositivos inteligentes em geral:
    • Você mesmo:
      • Seus metadados, incluindo sua localização geográfica:
      • Sua impressão digital, sua pegada e seu comportamento on-line:
      • Suas pistas sobre sua vida real e OSINT:
      • Seu rosto, voz, biometria e imagens:
      • Phishing e engenharia social:
    • Malware, exploits e vírus:
      • Malware em seus arquivos/documentos/e-mails:
      • Malware e exploits em seus aplicativos e serviços:
      • Dispositivos USB mal-intencionados:
      • Malware e backdoors no firmware do hardware e no sistema operacional:
    • Seus arquivos, documentos, fotos e vídeos:
      • Propriedades e metadados:
      • Marca d'água:
      • Informações pixelizadas ou desfocadas:
    • Suas transações com moedas criptográficas:
    • Seus serviços de backups/sincronização na nuvem:
    • Impressões digitais de seu navegador e dispositivo:
    • Vazamentos de dados locais e análise forense:
    • Criptografia ruim:
    • Políticas sem registro, mas com registro de qualquer forma:
    • Algumas técnicas avançadas direcionadas:
    • Alguns recursos de bônus:
    • Notas:
  • Preparações gerais:
    • Escolhendo sua rota:
      • Limitações de tempo:
      • Limitações de orçamento/material:
      • Habilidades:
      • Adversários (ameaças):
    • Etapas para todas as rotas:
      • Obter um número de telefone anônimo:
      • Obter uma chave USB:
      • Encontrar alguns locais seguros com Wi-Fi público decente:
    • A rota TAILS:
      • Negação plausível persistente usando o Whonix no TAILS:
    • Etapas para todas as outras rotas:
      • Obtenha um laptop dedicado para suas atividades confidenciais:
      • Algumas recomendações de laptops:
      • Configurações de BIOS/UEFI/Firmware de seu laptop:
      • Proteja fisicamente seu laptop contra violações:
    • A rota Whonix:
      • Escolhendo o sistema operacional host (o sistema operacional instalado no laptop):
      • Linux Host OS:
      • MacOS Sistema operacional host:
      • Sistema operacional Windows Host:
      • Virtualbox em seu sistema operacional host:
      • Escolha seu método de conectividade:
      • Obtenha uma VPN/Proxy anônima:
      • Whonix:
      • Tor sobre VPN:
      • Máquinas virtuais do Whonix:
      • Escolha a máquina virtual de sua estação de trabalho convidada:
      • Máquina virtual Linux (Whonix ou Linux):
      • Máquina virtual Windows 10:
      • Android Máquina virtual:
      • MacOS Máquina virtual:
      • KeepassXC:
      • Instalação do cliente VPN (pago em dinheiro/Monero):
      • (Opcional), permitindo que apenas as VMs acessem a Internet e cortando o sistema operacional host para evitar qualquer vazamento:
      • Etapa final:
    • A rota Qubes:
      • Escolha seu método de conectividade:
      • Obtenha uma VPN/Proxy anônima:
      • Instalação:
      • Comportamento de fechamento da tampa:
      • Conectar-se a um Wi-Fi público:
      • Atualizar o sistema operacional Qubes:
      • Fortalecimento do sistema operacional Qubes:
      • Configurar a VPN ProxyVM:
      • Configurar um navegador seguro no sistema operacional Qube (opcional, mas recomendado):
      • Configurar uma VM Android:
      • KeePassXC:
  • Criando suas identidades on-line anônimas:
    • Compreensão dos métodos usados para impedir o anonimato e verificar a identidade:
      • Captchas:
      • Verificação por telefone:
      • Verificação de e-mail:
      • Verificação de detalhes do usuário:
      • Verificação de comprovante de identidade:
      • Filtros de IP:
      • Impressão digital do navegador e do dispositivo:
      • Interação humana:
      • Moderação de usuários:
      • Análise comportamental:
      • Transações financeiras:
      • Login com alguma plataforma:
      • Reconhecimento facial ao vivo e biometria (novamente):
      • Revisões manuais:
    • Ficar on-line:
      • Criação de novas identidades:
      • O sistema de nomes reais:
      • Sobre serviços pagos:
      • Visão geral:
      • Como compartilhar arquivos ou bater papo anonimamente:
      • Redigindo documentos/fotos/vídeos/áudio com segurança:
      • Comunicação de informações confidenciais a várias organizações conhecidas:
      • Tarefas de manutenção:
  • Como fazer backup de seu trabalho com segurança:
    • Backups off-line:
      • Backups de arquivos selecionados:
      • Backups completos de disco/sistema:
    • Backups on-line:
      • Arquivos:
      • Informações:
    • Sincronização de seus arquivos entre dispositivos Online:
  • Cobrindo seus rastros:
    • Entendendo HDD vs. SSD:
      • Nivelamento de desgaste.
      • Operações de corte:
      • Coleta de lixo:
      • Conclusão:
    • Como limpar com segurança todo o laptop/drive se você quiser apagar tudo:
      • Linux (todas as versões, inclusive o Qubes OS):
      • Windows:
      • MacOS:
    • Como excluir com segurança arquivos/pastas/dados específicos em seu HDD/SSD e unidades Thumb:
      • Windows:
      • Linux (não Qubes OS):
      • Linux (Qubes OS):
      • MacOS:
    • Algumas medidas adicionais contra a ciência forense:
      • Remoção de metadados de arquivos/documentos/imagens:
      • TAILS:
      • Whonix:
      • MacOS:
      • Linux (Qubes OS):
      • Linux (não Qubes):
      • Windows:
    • Remoção de alguns rastros de suas identidades em mecanismos de pesquisa e várias plataformas:
      • Google:
      • Bing:
      • DuckDuckGo:
      • Yandex:
      • Qwant:
      • Yahoo Search:
      • Baidu:
      • Wikipedia:
      • Archive.today:
      • Arquivo da Internet:
  • Alguns truques de baixa tecnologia da velha escola:
    • Comunicações ocultas à vista de todos:
    • Como identificar se alguém está vasculhando seu material:
  • Algumas últimas considerações sobre OPSEC:
  • Se você acha que se queimou:
    • Se você tiver algum tempo:
    • Se você não tem tempo:
  • Uma pequena nota editorial final
 
Last edited by a moderator:

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Phishing e engenharia social.


Phishing é um tipo de ataque de engenharia social em que um adversário pode tentar extrair informações de você fingindo ou se passando por algo/alguém.


Um caso típico é o de um adversário que usa um ataque man-in-the-middle ou um e-mail/chamada falso para solicitar sua credencial para um serviço. Isso pode ser feito, por exemplo, por meio de e-mail ou personificação de serviços financeiros.


Esses ataques também podem ser usados para retirar o anonimato de alguém, induzindo-o a baixar malware ou a revelar informações pessoais ao longo do tempo.


Esses ataques foram usados inúmeras vezes desde os primórdios da Internet e o mais comum é o chamado "419 scam" ( consulte https://en.wikipedia.org/wiki/Advance-fee_scam [Wikiless] [Archive.org]).


Aqui está um bom vídeo se você quiser saber um pouco mais sobre os tipos de phishing: Black Hat, Ichthyology: Phishing como ciência
[ Invidious].
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Malware, exploits e vírus.


Malware em seus arquivos/documentos/e-mails.


Usando esteganografia ou outras técnicas, é fácil incorporar malware em formatos de arquivos comuns, como documentos do Office, imagens, vídeos, documentos PDF...


Eles podem ser tão simples quanto links de rastreamento HTML ou malwares complexos direcionados.


Podem ser simples imagens de tamanho de pixel ocultas em seus e-mails que chamariam um servidor remoto para tentar obter seu endereço IP.


Podem estar explorando uma vulnerabilidade em um formato desatualizado ou em um leitor desatualizado. Essas explorações podem ser usadas para comprometer seu sistema.


Veja estes bons vídeos para obter mais explicações sobre o assunto:



Você deve sempre usar de extrema cautela. Para atenuar esses ataques, este guia recomendará posteriormente o uso da virtualização (consulte Apêndice W: Virtualização) para atenuar o vazamento de qualquer informação, mesmo no caso de abertura de um arquivo malicioso.


Se quiser saber como tentar detectar esse tipo de malware, consulte o Apêndice T: Verificação de arquivos em busca de malware


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Malware e explorações em seus aplicativos e serviços.


Então, você está usando o Navegador Tor ou o Navegador Brave pelo Tor. Você pode usá-los por meio de uma VPN para aumentar a segurança. Mas lembre-se de que há explorações (hacks) que podem ser conhecidas por um adversário (mas desconhecidas pelo provedor do aplicativo/navegador). Essas explorações podem ser usadas para comprometer o seu sistema e revelar detalhes para tirar o seu anonimato, como o seu endereço IP ou outros detalhes.


Um caso real de uso dessa técnica foi o caso Freedom Hosting em 2013, em que o FBI inseriu malware usando uma exploração do navegador Firefox em um site Tor. Essa exploração permitiu que eles revelassem detalhes de alguns usuários. Mais recentemente, houve o notável hack da SolarWinds que violou várias instituições do governo dos EUA inserindo malware em um servidor oficial de atualização de software.


Em alguns países, o malware é simplesmente obrigatório e/ou distribuído pelo próprio Estado. Esse é o caso, por exemplo, do WeChat na China, que pode ser usado em combinação com outros dados para vigilância estatal.


Há inúmeros exemplos de extensões de navegador mal-intencionadas, aplicativos de smartphone e vários aplicativos que foram infiltrados com malware ao longo dos anos.


Aqui estão algumas etapas para atenuar esse tipo de ataque:


  • Você nunca deve confiar 100% nos aplicativos que está usando.
  • Você deve sempre verificar se está usando a versão atualizada desses aplicativos antes de usá-los e, de preferência, validar cada download usando a assinatura deles, se disponível.
  • Você não deve usar esses aplicativos diretamente de um sistema de hardware, mas sim usar uma máquina virtual para compartimentalização.

Para refletir essas recomendações, este guia o orientará posteriormente sobre o uso da virtualização (consulte o Apêndice W: Virtualização), de modo que, mesmo que seu navegador/aplicativos sejam comprometidos por um adversário habilidoso, esse adversário ficará preso em uma caixa de areia sem poder acessar informações de identificação ou comprometer seu sistema.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Dispositivos USB maliciosos.


Há dispositivos "badUSB" comerciais e baratos prontamente disponíveis que podem implantar malware, registrar sua digitação, localizá-lo geograficamente, ouvi-lo ou obter o controle do seu laptop apenas conectando-os. Aqui estão alguns exemplos que você já pode comprar.



Esses dispositivos podem ser implantados em qualquer lugar (cabo de carregamento, mouse, teclado, chave USB...) por um adversário e podem ser usados para rastreá-lo ou comprometer seu computador ou smartphone. O exemplo mais notável de tais ataques é provavelmente o Stuxnet em 2005.


Embora você possa inspecionar fisicamente uma chave USB, examiná-la com vários utilitários, verificar os vários componentes para ver se são genuínos, provavelmente nunca conseguirá descobrir um malware complexo incorporado em partes genuínas de uma chave USB genuína por um adversário habilidoso sem equipamento forense avançado.


Para atenuar isso, você nunca deve confiar nesses dispositivos e conectá-los a equipamentos confidenciais. Se você usar um dispositivo de carregamento, considere o uso de um dispositivo de bloqueio de dados USB que permita apenas o carregamento, mas não a transferência de dados. Esses dispositivos de bloqueio de dados estão agora prontamente disponíveis em muitas lojas on-line. Você também deve considerar a possibilidade de desativar completamente as portas USB no BIOS do seu computador, a menos que precise delas (se possível).
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Malware e backdoors no firmware do hardware e no sistema operacional.


Isso pode soar um pouco familiar, pois já foi parcialmente abordado anteriormente na seção Sua *****U.


Malware e backdoors podem ser incorporados diretamente em seus componentes de hardware. Às vezes, esses backdoors são implementados pelo próprio fabricante, como o IME no caso das *****Us Intel. Em outros casos, esses backdoors podem ser implementados por um terceiro que se coloca entre os pedidos de novo hardware e a entrega ao cliente.


Esses malwares e backdoors também podem ser implantados por um adversário usando exploits de software. Muitos deles são chamados de rootkits no mundo da tecnologia. Normalmente, esses tipos de malwares são mais difíceis de detectar e mitigar, pois são implementados em um nível mais baixo do que o espaço do usuário e, muitas vezes, no próprio firmware dos componentes de hardware.


O que é firmware? Firmware é um sistema operacional de baixo nível para dispositivos. Cada componente do seu computador provavelmente tem firmware, incluindo, por exemplo, as unidades de disco. O sistema BIOS/UEFI de sua máquina, por exemplo, é um tipo de firmware.


Eles permitem o gerenciamento remoto e são capazes de permitir o controle total em um sistema de destino de forma silenciosa e furtiva.


Como mencionado anteriormente, eles são mais difíceis de serem detectados pelos usuários, mas, mesmo assim, algumas medidas limitadas podem ser tomadas para atenuar alguns deles, protegendo o dispositivo contra adulterações e usando algumas medidas (como a atualização do BIOS, por exemplo). Infelizmente, se esse malware ou backdoor for implementado pelo próprio fabricante, será extremamente difícil detectá-lo e desativá-lo.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Seus arquivos, documentos, fotos e vídeos.


Propriedades e metadados.


Isso pode ser óbvio para muitos, mas não para todos. A maioria dos arquivos tem metadados anexados a eles. Um bom exemplo são as fotos que armazenam informações EXIF, que podem conter muitas informações, como coordenadas de GPS, qual modelo de câmera/telefone tirou a foto e quando ela foi tirada com precisão. Embora essas informações possam não revelar diretamente quem você é, elas podem dizer exatamente onde você estava em um determinado momento, o que pode permitir que outras pessoas usem fontes diferentes para encontrá-lo (CCTV ou outras filmagens feitas no mesmo local e ao mesmo tempo durante um protesto, por exemplo). É importante que você verifique qualquer arquivo que coloque nessas plataformas em busca de propriedades que possam conter informações que o levem até você.


Aqui está um exemplo de dados EXIF que podem estar em uma foto:
2021 07 22 17 11

A propósito, isso também funciona para vídeos. Sim, os vídeos também têm marcação geográfica e muitos não sabem disso. Aqui está, por exemplo, uma ferramenta muito conveniente para localizar geograficamente vídeos do YouTube: https://mattw.io/youtube-geofind/location [Archive.org]


Por esse motivo, você sempre terá que ter muito cuidado ao carregar arquivos usando suas identidades anônimas e verificar os metadados desses arquivos.


Mesmo que publique um arquivo de texto simples, você deve sempre verificar duas ou três vezes se há algum vazamento de informações antes de publicar. Você encontrará algumas orientações sobre isso na seção Algumas medidas adicionais contra a ciência forense no final do guia.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Marca d'água.


Fotos/Vídeos/Áudio.


As fotos/vídeos geralmente contêm marcas d'água visíveis que indicam quem é o proprietário/criador, mas também há marcas d'água invisíveis em vários produtos com o objetivo de identificar o próprio espectador.


Portanto, se você for um delator e estiver pensando em vazar algum arquivo de imagem/áudio/vídeo, pense duas vezes. Pense duas vezes. Há chances de que eles contenham marcas d'água invisíveis que incluam informações sobre você como visualizador. Essas marcas d'água podem ser ativadas com uma simples mudança no *****m (vídeo ou áudio) ou com extensões para aplicativos populares, como o Adobe Premiere Pro. Elas podem ser inseridas por vários sistemas de gerenciamento de conteúdo.


Um exemplo recente em que alguém vazou uma gravação de reunião do *****m foi pego porque ela tinha marca d'água: https://theintercept.com/2021/01/18/leak-*****m-meeting/ [Archive.org]


Essas marcas d'água podem ser inseridas por vários produtos usando esteganografia e podem resistir à compactação e à recodificação.


Essas marcas d'água não são facilmente detectáveis e podem permitir a identificação da fonte, apesar de todos os esforços.


Além das marcas d'água, a câmera usada para filmar (e, portanto, o dispositivo usado para filmar) um vídeo também pode ser identificada por meio de várias técnicas, como a identificação de lentes, o que pode levar à anonimização.


Seja extremamente cuidadoso ao publicar vídeos/imagens/arquivos de áudio de plataformas comerciais conhecidas, pois eles podem conter essas marcas d'água invisíveis, além de detalhes nas próprias imagens.

Impressão de marca d'água.


Você sabia que a sua impressora provavelmente também está espionando você? Mesmo que ela não esteja conectada a nenhuma rede? Isso geralmente é um fato conhecido por muitas pessoas da comunidade de TI, mas poucas pessoas de fora.


Sim... Suas impressoras podem ser usadas para tirar seu anonimato, conforme explicado pela EFF aqui https://www.eff.org/issues/printers [Archive.org]


Com este vídeo (antigo, mas ainda relevante) da EFF explicando como fazer isso também:
[Invidious]


Basicamente, muitas impressoras imprimem uma marca d'água invisível que permite a identificação da impressora em cada página impressa. Não há uma maneira real de mitigar isso, a não ser informar-se sobre sua impressora e certificar-se de que ela não imprime nenhuma marca d'água invisível. Isso é obviamente importante se você pretende imprimir anonimamente.


Aqui está uma lista (antiga, mas ainda relevante) de impressoras e marcas que não imprimem esses pontos de rastreamento fornecida pela EFF https://www.eff.org/pages/list-printers-which-do-or-do-not-display-tracking-dots [Archive.org]


Aqui estão também algumas dicas da documentação do Whonix(https://www.whonix.org/wiki/Printing_and_Scanning [Archive.org]):


Nunca imprima em cores, pois geralmente as marcas d'água não estão presentes nos toners/cartuchos coloridos.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Informações pixelizadas ou borradas.


Você já viu um documento com texto borrado? Você já tirou sarro daqueles filmes/séries em que eles "melhoram" uma imagem para recuperar informações aparentemente impossíveis de ler?


Bem, existem técnicas para recuperar informações de tais documentos, vídeos e imagens.


Aqui está, por exemplo, um projeto de código aberto que você mesmo pode usar para recuperar o texto de algumas imagens borradas: https://github.com/beurtschipper/Depix [Archive.org]
2021 07 22 17 15

É claro que esse é um projeto de código aberto disponível para todos. Mas você provavelmente pode imaginar que essas técnicas já foram usadas antes por outros adversários. Elas poderiam ser usadas para revelar informações borradas de documentos publicados, que poderiam ser usadas para tirar seu anonimato.


Há também tutoriais sobre o uso dessas técnicas em ferramentas de edição de fotos, como o GIMP, como: https://medium.com/@somdevsangwan/unblurring-images-for-osint-and-more-part-1-5ee36db6a70b [Archive.org] seguido por https://medium.com/@somdevsangwan/deblurring-images-for-osint-part-2-ba564af8eb5d [Archive.org]

2021 07 22 17 15 1

Por fim, você encontrará muitos recursos de remoção de manchas aqui: https://github.com/subeeshvasu/Awesome-Deblurring [Archive.org]


Alguns serviços on-line podem até mesmo ajudá-lo a fazer isso automaticamente até certo ponto, como a ferramenta de aprimoramento do MyHeritage.com:


https://www.myheritage.com/photo-enhancer [Archive.org]


Aqui está o resultado da imagem acima:
2021 07 22 17 16

Obviamente, essa ferramenta é mais uma "adivinhação" do que realmente uma remoção de distorções nesse ponto, mas pode ser suficiente para encontrá-lo usando vários serviços de pesquisa reversa de imagens.


Por esse motivo, é sempre extremamente importante redigir e selecionar corretamente qualquer documento que você queira publicar. O desfoque não é suficiente e você deve sempre ocultar/remover completamente todos os dados confidenciais para evitar qualquer tentativa de recuperação de dados por parte de qualquer adversário.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Suas transações com moedas criptográficas.


Ao contrário da crença popular, as transações de criptomoedas (como Bitcoin e Ethereum) não são anônimas. A maioria das moedas criptográficas pode ser rastreada com precisão por meio de vários métodos


Lembre-se do que eles dizem em sua própria página: https://bitcoin.org/en/you-need-to-know [Archive.org] e https://bitcoin.org/en/protect-your-privacy [Archive.org]:


"O Bitcoin não é anônimo"


O principal problema não é configurar uma carteira criptográfica aleatória para receber alguma moeda por trás de um endereço VPN/Tor (nesse ponto, a carteira é anônima). O problema é principalmente quando você deseja converter dinheiro da Fiat (euros, dólares...) em criptografia e, depois, quando deseja sacar sua criptografia. Você terá poucas opções realistas a não ser transferi-las para uma bolsa (como Coinbase/Kraken/Bitstamp/Binance). Essas bolsas têm endereços de carteira conhecidos e manterão registros detalhados (devido às regulamentações financeiras KYC) e poderão rastrear essas transações de criptografia até você usando o sistema financeiro.


Há algumas moedas criptográficas com privacidade/anonimato em mente, como o Monero, mas mesmo essas têm alguns avisos a serem considerados.


Mesmo que você use Mixers ou Tumblers (serviços especializados em "anonimizar" moedas criptográficas "misturando-as"), lembre-se de que isso é apenas ofuscação e não anonimato real. Eles não são apenas ofuscação, mas também podem colocá-lo em apuros, pois você pode acabar trocando sua criptografia por uma criptografia "suja" que foi usada em vários contextos questionáveis.


Isso não significa que você não possa usar o Bitcoin de forma anônima. Na verdade, você pode usar o Bitcoin anonimamente, desde que não o converta em moeda real e use uma carteira de Bitcoin de uma rede anônima segura. Isso significa que você deve evitar as regulamentações KYC/AML de várias bolsas e evitar usar a rede Bitcoin a partir de qualquer endereço IP conhecido. Consulte o Apêndice Z: Pagamento anônimo on-line com BTC.


De modo geral, na minha opinião, a melhor opção para usar criptomoedas com anonimato e privacidade razoáveis ainda é o Monero e, idealmente, você não deve usar nenhuma outra para transações confidenciais, a menos que esteja ciente das limitações e dos riscos envolvidos. Leia este aviso de isenção de responsabilidade do Monero.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Seus serviços de backups/sincronização na nuvem.


Todas as empresas estão anunciando seu uso de criptografia de ponta a ponta (E2EE). Isso se aplica a quase todos os aplicativos de mensagens e sites (HTTPS). A Apple e o Google estão anunciando o uso de criptografia em seus dispositivos Android e iPhones.


Mas e quanto aos seus backups? Aqueles backups automatizados do iCloud/google drive que você tem?


Bem, você provavelmente deve saber que a maioria desses backups não é totalmente criptografada de ponta a ponta e conterá algumas de suas informações prontamente disponíveis para terceiros. Você verá as afirmações de que os dados estão criptografados em repouso e protegidos de qualquer pessoa... Exceto que eles geralmente mantêm uma chave para acessar alguns dos dados. Essas chaves são usadas para indexar seu conteúdo, recuperar sua conta e coletar várias análises.


Há soluções forenses comerciais especializadas disponíveis (Magnet Axiom, Cellebrite Cloud) que ajudarão um adversário a analisar seus dados na nuvem com facilidade.


Exemplos notáveis:


  • Apple iCloud: https://support.apple.com/en-us/HT202303 [Archive.org]: "As mensagens no iCloud também usam criptografia de ponta a ponta. Se você tiver o Backup do iCloud ativado, seu backup incluirá uma cópia da chave que protege suas mensagens. Isso garante que você possa recuperar suas Mensagens se perder o acesso ao iCloud Keychain e aos seus dispositivos confiáveis. ".
  • Google Drive e WhatsApp: https://faq.whatsapp.com/android/chats/about-google-drive-backups/ [Archive.org]: "A mídia e as mensagens das quais você faz backup não são protegidas pela criptografia de ponta a ponta do WhatsApp enquanto estão no Google Drive. ".
  • Dropbox: https://www.dropbox.com/privacy#terms [Archive.org]: "Para oferecer esses e outros recursos, o Dropbox acessa, armazena e examina seus arquivos. Você nos dá permissão para fazer essas coisas, e essa permissão se estende a nossas afiliadas e a terceiros confiáveis com quem trabalhamos".
  • Microsoft OneDrive: https://privacy.microsoft.com/en-us/privacystatement [Archive.org]: Produtos de produtividade e comunicação, "Quando você usa o OneDrive, coletamos dados sobre seu uso do serviço, bem como sobre o conteúdo que você armazena, para fornecer, melhorar e proteger os serviços. Os exemplos incluem a indexação do conteúdo de seus documentos do OneDrive para que você possa pesquisá-los mais tarde e o uso de informações de localização para permitir que você pesquise fotos com base no local onde a foto foi tirada".

Você não deve confiar seus dados confidenciais (não criptografados previamente e localmente) aos provedores de nuvem e deve desconfiar das alegações de privacidade deles. Na maioria dos casos, eles podem acessar seus dados e fornecê-los a terceiros, se quiserem.


A única maneira de atenuar isso é criptografar seus dados por conta própria e carregá-los somente nesses serviços.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Impressões digitais de seu navegador e dispositivo.


As impressões digitais do navegador e do dispositivo são um conjunto de propriedades/capacidades do seu sistema/navegador. Elas são usadas na maioria dos sites para rastreamento invisível do usuário, mas também para adaptar a experiência do usuário do site dependendo do navegador. Por exemplo, os sites poderão fornecer uma "experiência móvel" se você estiver usando um navegador móvel ou propor uma versão específica de idioma/geografia dependendo da sua impressão digital. A maioria dessas técnicas funciona com navegadores recentes, como os baseados no Chromium (como o Chrome) ou o Firefox, a menos que sejam tomadas medidas especiais.


Você pode encontrar muitas informações e publicações detalhadas sobre isso nesses recursos:



Infelizmente, na maioria das vezes, essas impressões digitais serão exclusivas ou quase exclusivas de seu navegador/sistema. Isso significa que, mesmo que você saia de um site e faça login novamente usando um nome de usuário diferente, sua impressão digital poderá permanecer a mesma se você não tomar medidas de precaução.


Um adversário poderia usar essas impressões digitais para rastreá-lo em vários serviços, mesmo que você não tenha conta em nenhum deles e esteja usando o bloqueio de anúncios. Essas impressões digitais poderiam, por sua vez, ser usadas para torná-lo anônimo se você mantiver a mesma impressão digital entre os serviços.


Deve-se observar também que, embora alguns navegadores e extensões ofereçam resistência à impressão digital, essa resistência, por si só, também pode ser usada para tirar sua impressão digital, conforme explicado aqui https://palant.info/2020/12/10/how-...xtensions-tend-to-make-fingerprinting-easier/ [Archive.org]


Este guia atenuará esses problemas atenuando, ofuscando e randomizando muitos desses identificadores de impressões digitais por meio da virtualização (consulte o Apêndice W: Virtualização) e do uso de navegadores resistentes a impressões digitais.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Vazamentos de dados locais e análise forense.


A maioria de vocês provavelmente já assistiu a muitos dramas policiais na Netflix ou na TV para saber o que é ciência forense. Trata-se de técnicos (geralmente trabalhando para a polícia) que realizam várias análises de evidências. Isso, é claro, pode incluir seu smartphone ou laptop.


Embora essas análises possam ser feitas por um adversário quando você já está "queimado", elas também podem ser feitas aleatoriamente durante um controle de rotina ou uma verificação de fronteira. Essas verificações não relacionadas podem revelar informações secretas a adversários que não tinham conhecimento prévio de tais atividades.


Atualmente, as técnicas forenses são muito avançadas e podem revelar uma quantidade impressionante de informações de seus dispositivos, mesmo que eles estejam criptografados. Essas técnicas são amplamente utilizadas pelas autoridades policiais em todo o mundo e devem ser levadas em consideração.


Aqui estão alguns recursos recentes que você deve ler sobre seu smartphone:



Também recomendo fortemente que você leia alguns documentos do ponto de vista de um examinador forense, como:



E, finalmente, aqui está este documento detalhado e muito instrutivo sobre o estado atual da segurança do IOS/Android da Universidade John Hopkins: https://securephones.io/main.html.


No que se refere ao seu laptop, as técnicas forenses são muitas e abrangentes. Muitos desses problemas podem ser atenuados com o uso de criptografia total do disco, virtualização (consulte o Apêndice W: Virtualização) e compartimentalização. Este guia detalhará posteriormente essas ameaças e as técnicas para atenuá-las.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Criptografia ruim.


Há um ditado frequente na comunidade de infosec: "Não crie sua própria criptografia!".


E há razões para isso:


Pessoalmente, eu não gostaria que as pessoas fossem desencorajadas a estudar e inovar no campo da criptografia por causa desse ditado. Portanto, em vez disso, eu recomendaria que as pessoas fossem cautelosas com "Roll your own crypto" (crie sua própria criptografia), porque não é necessariamente uma boa criptografia.


  • Uma boa criptografia não é fácil e geralmente leva anos de pesquisa para ser desenvolvida e ajustada.
  • A boa criptografia é transparente e não é proprietária/fechada para que possa ser revisada por colegas.
  • A boa criptografia é desenvolvida com cuidado, lentamente e raramente sozinha.
  • Uma boa criptografia geralmente é apresentada e discutida em conferências e publicada em vários periódicos.
  • A boa criptografia é extensivamente revisada por pares antes de ser liberada para uso na natureza.
  • Usar e implementar corretamente a boa criptografia existente já é um desafio.

No entanto, isso não impede que algumas pessoas façam isso de qualquer maneira e publiquem vários aplicativos/serviços de produção usando sua própria criptografia ou métodos proprietários de código fechado.


  • Você deve ter cuidado ao usar aplicativos/serviços que utilizam métodos de criptografia de código fechado ou proprietários. Todos os bons padrões de criptografia são públicos e revisados por pares, e não deve haver nenhum problema em divulgar o que você usa.
  • Você deve ter cuidado com os aplicativos/serviços que usam um método criptográfico "modificado" ou proprietário.
  • Por padrão, você não deve confiar em nenhuma criptografia "Roll your own crypto" até que ela tenha sido auditada, revisada por pares, examinada e aceita pela comunidade de criptografia.
  • Não existe "criptografia de nível militar".

A criptografia é um tópico complexo e uma criptografia ruim pode facilmente levar à sua desanonimização.


No contexto deste guia, recomendo que você se atenha a aplicativos/serviços que usem métodos bem estabelecidos, publicados e revisados por pares.


Então, o que preferir e o que evitar a partir de 2021? Você terá que pesquisar por si mesmo para obter os detalhes técnicos de cada aplicativo e ver se eles estão usando "criptografia ruim" ou "criptografia boa". Depois de obter os detalhes técnicos, você pode consultar esta página para ver o que vale a pena: https://latacora.micro.blog/2018/04/03/cryptographic-right-answers.html [Archive.org]


Aqui estão alguns exemplos:


  • Hashes:
    • Preferir: SHA256 (amplamente usado), SHA512 (preferido) ou SHA-3
    • Evite: SHA-1, SHA-2, MD5 (infelizmente ainda é muito usado), CRC, MD6 (raramente usado)
  • Criptografia de arquivo/disco:
    • Preferir:
      • Acelerada por hardware: AES de 256 bits com HMAC-SHA-2 ou HMAC-SHA-3 (isso é o que o Veracrypt, o Bitlocker, o Filevault 2, o KeepassXC e o LUKS usam)
      • Não acelerado por hardware: O mesmo que o acelerado acima ou, se disponível, prefira o ChaCha20 ou o XChaCha20 (você pode usar o ChaCha20 com o Kryptor https://www.kryptor.co.uk, mas infelizmente ele não está disponível com o Veracrypt).
    • Evitar: Praticamente tudo o mais
  • Armazenamento de senhas:
    • Preferir: argon2, scrypt, bcrypt, SHA-3 ou, se não for possível, pelo menos PBKDF2 (somente como último recurso)
    • Evitar: SHA-2, SHA-1, MD5 sem nenhuma informação
  • Segurança do navegador (HTTPS):
    • Preferir: TLS 1.3 (de preferência TLS 1.3 com suporte a ECH/eSNI) ou pelo menos TLS 1.2 (amplamente usado)
    • Evite: Qualquer outra coisa (TLS =<1.1, SSL =<3)
  • Assinatura com PGP/GPG:
    • Prefira ECDSA (ed25519)+ECDH (ec25519) ou RSA 4096 Bits*
    • Evite: RSA 2048 bits
  • Chaves SSH:
    • ED25519 (preferencial) ou RSA 4096 Bits*
    • Evitar: RSA 2048 bits
  • Aviso: Infelizmente, o RSA e o ED25519 não são vistos como "resistentes ao quantum" e, embora ainda não tenham sido quebrados, provavelmente o serão algum dia no futuro. Provavelmente, é apenas uma questão de quando, e não se o RSA será quebrado. Portanto, eles são preferidos nesses contextos devido à falta de uma opção melhor.

Aqui estão alguns casos reais de problemas de criptografia ruim:


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Políticas sem registro, mas com registro de qualquer forma.


Muitas pessoas têm a ideia de que os serviços voltados para a privacidade, como os provedores de VPN ou de e-mail, são seguros devido às suas políticas de não registro ou aos seus esquemas de criptografia. Infelizmente, muitas dessas mesmas pessoas esquecem que todos esses provedores são entidades comerciais legais sujeitas às leis dos países em que operam.


Qualquer um desses provedores pode ser forçado a registrar silenciosamente (sem o seu conhecimento, usando, por exemplo, uma ordem judicial com uma ordem de mordaça ou uma carta de segurança nacional) a sua atividade para tirar o seu anonimato. Houve vários exemplos recentes disso:


  • 2021, servidores, registros e informações de contas da DoubleVPN apreendidos por agentes da lei
  • 2021, o provedor de e-mail Tutanota, com sede na Alemanha, foi forçado a monitorar contas específicas por 3 meses
  • 2020, o provedor de e-mail com sede na Alemanha, Tutanota, foi forçado a implementar um backdoor para interceptar e salvar cópias dos e-mails não criptografados de um usuário (eles não descriptografaram o e-mail armazenado).
  • 2017, a PureVPN foi forçada a divulgar informações de um usuário para o FBI.
  • 2014, um usuário da EarthVPN foi preso com base em registros fornecidos à polícia holandesa.
  • 2014, o usuário do HideMyAss foi desanonimizado e os registros foram fornecidos ao FBI.
  • 2013, o provedor de e-mail seguro Lavabit foi fechado depois de lutar contra uma ordem secreta de mordaça.

Alguns provedores implementaram o uso de um Warrant Canary que permitiria que seus usuários descobrissem se foram comprometidos por tais ordens, mas, até onde sei, isso ainda não foi testado.


Por fim, agora é sabido que algumas empresas podem estar patrocinando front-ends para alguns adversários estatais (veja a história da Crypto AG e a história da Omnisec).


Por esses motivos, é importante que você não confie em tais provedores para garantir sua privacidade, apesar de todas as alegações deles. Na maioria dos casos, você será a última pessoa a saber se alguma de suas contas foi alvo de tais ordens e talvez nunca venha a saber.


Para atenuar isso, nos casos em que você quiser usar uma VPN, recomendarei o uso de um provedor de VPN com pagamento em dinheiro/monetário em vez do Tor para evitar que o serviço de VPN saiba qualquer informação identificável sobre você.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Algumas técnicas avançadas direcionadas.

Há muitas técnicas avançadas que podem ser usadas por adversários habilidosos para contornar suas medidas de segurança, desde que eles já saibam onde estão seus dispositivos. Muitas dessas técnicas estão detalhadas aqui https://cyber.bgu.ac.il/advanced-cyber/airgap [Archive.org] (Air-Gap Research Page, Cyber-Security Research Center, Ben-Gurion University of the Negev, Israel) e incluem:


  • Ataques que exigem um malware implantado em algum dispositivo:
    • Exfiltração de dados por meio de um roteador infectado por malware:
      [Invidious]
    • Exfiltração de dados por meio da observação da variação de luz em um teclado retroiluminado com uma câmera comprometida:
      [Invidious]
      • Exfiltração de dados por meio de uma câmera de segurança comprometida (que poderia usar primeiro o ataque anterior)
        [Invidious (Invidioso)
      • Comunicação de alguém de fora com câmeras de segurança comprometidas por meio de sinais de luz infravermelha:
        [Invidious (Invidioso)
    • Exfiltração de dados de um computador comprometido com porta de ar por meio de análise acústica dos ruídos do FAN com um smartphone
      [Invidious]
    • Exfiltração de dados de um computador infectado por malware e com acesso aéreo por meio de leds HD com um drone
      [Invidious]
    • Exfiltração de dados de um malware USB em um computador com ar comprimido por meio de interferências eletromagnéticas
      [Invidious]
    • Exfiltração de dados de uma unidade de disco rígido infectada por malware por meio de ruído acústico oculto
      [Invidious (Invidioso)
    • Exfiltração de dados por meio de frequências GSM de um computador comprometido (com malware) em um computador com ar-condicionado
      [Invidious (Invidioso)
    • Exfiltração de dados por meio de emissões eletromagnéticas de um dispositivo de exibição comprometido
      [Invidious] (Invidioso)
    • Exfiltração de dados por meio de ondas magnéticas de um computador comprometido com porta de ar para um smartphone armazenado em uma bolsa de Faraday
      [Invidious] (Invidioso)
    • Comunicação entre dois computadores comprometidos com ar comprimido usando ondas sonoras ultrassônicas
      [Invidious]
    • Exfiltração da carteira de Bitcoin de um computador comprometido com ar comprimido para um smartphone
      [Invidious] (Invidioso)
    • Exfiltração de dados de um computador com ar comprometido usando o brilho da tela
      [Invidious]
    • Exfiltração de dados de um computador comprometido com ar comprimido por meio de vibrações
      [Invidious] (Invidioso)
    • Exfiltração de dados de um computador comprometido com ar transformando a RAM em um emissor de Wi-Fi
      [Invidious (Invidioso)
    • Exfiltração de dados de um computador comprometido com air-gap por meio de linhas de energia https://arxiv.org/abs/1804.04014 [Archive.org]
  • Ataques que não exigem malware:
    • Observação de uma lâmpada à distância para ouvir o som no ambiente sem nenhum malware: Demonstração:
      [Invidious]

Aqui também há um bom vídeo dos mesmos autores para explicar esses tópicos: Black Hat, The Air-Gap Jumpers
[Invidious]


Realisticamente, este guia será de pouca ajuda contra esses adversários, pois esses malwares podem ser implantados nos dispositivos por um fabricante ou qualquer pessoa no meio ou por qualquer pessoa com acesso físico ao computador com air-gap, mas ainda há algumas maneiras de atenuar essas técnicas:


  • Não realize atividades confidenciais enquanto estiver conectado a uma linha de energia não confiável/não segura para evitar vazamentos na linha de energia.
  • Não use seus dispositivos na frente de uma câmera que possa estar comprometida.
  • Use seus dispositivos em uma sala com isolamento acústico para evitar vazamentos de som.
  • Use seus dispositivos em uma gaiola de faraday para evitar vazamentos eletromagnéticos.
  • Não fale sobre informações confidenciais em locais onde as lâmpadas possam ser observadas do lado de fora.
  • Compre seus dispositivos em locais (lojas) diferentes, imprevisíveis e off-line, onde a probabilidade de serem infectados por esse tipo de malware é menor.
  • Não permita que ninguém acesse seus computadores com air-gap, exceto pessoas de confiança.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Alguns recursos de bônus.


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Observações.


Se você ainda não acha que essas informações podem ser usadas por vários agentes para rastreá-lo, você pode ver algumas estatísticas de algumas plataformas e ter em mente que elas estão contabilizando apenas as solicitações de dados legais e não contam coisas como PRISM, MUSCULAR, SORM ou XKEYSCORE explicadas anteriormente:


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Preparações gerais.


Pessoalmente, no contexto deste guia, também é interessante dar uma olhada no seu modelo de segurança. E, nesse contexto, só tenho um para recomendar:


Segurança Zero-Trust ("Nunca confie, sempre verifique").


Aqui estão alguns recursos diversos sobre o que é a segurança Zero-Trust:


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Escolhendo sua rota.


Aqui está um pequeno diagrama UML básico que mostra suas opções. Veja os detalhes abaixo.
2021 08 04 16 48
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666

Limitações de tempo.


  • Você tem um tempo muito limitado para aprender e precisa de uma solução que funcione rapidamente:
    • Sua melhor opção é seguir a rota Tails (excluindo a seção de negação plausível persistente).
  • Você tem tempo e, mais importante, vontade de aprender:
    • Opte por qualquer rota.
 
Top