Русская жизнь-цитаты-21-31.08.2021

Facebook,"Манифест про информационную безопасность (и шапочки из фольги). В твиттере и на хабре третий день жаркие дискуссии про подходы к информационной безопасности (TL;DR: команда Навального все делает не так и теоретически из-за этого Путин может получить списки всех сторонников Навального в пределах его досягаемости). Мне бы очень хотелось закрыть эту тему высказыванием по существу подходов в целом, а не по каждой конкретной реальной или воображаемой потенциальной уязвимости. Но сделать это в твиттере, даже длинным тредом, затруднительно — поэтому напишу здесь. Будет очень много букв, но вы, пожалуйста, прочитайте.  1. Не стоит, никогда не стояла и не может стоять задача ""сделать так, чтобы у Путина в руках не оказалось списков сторонников Навального"". Такая постановка задачи начисто лишена смысла. (И даже, как постараюсь показать ниже, вредна).  Судите сами:  1.1. За последние несколько лет мы много раз сами и добровольно отдавали государству большие массивы данных наших сторонников. Мы собирали подписи на РОИ через портал Госуслуг (несколько раз по 100 тысяч подписей). Мы собирали и сдавали в избиркомы подписи за кандидатов на выборах в разных городах и регионах — десятками тысяч. Мы открыто и законно вели краудфандинг с использованием российской банковской системы — а это значит, что данные о миллионах (!) переводов от сотен тысяч сторонников хранятся в российских банках и доступны Росфинмониторингу. Мы постоянно призывали сторонников делиться нашим контентом в социальных сетях (а только так и работают социальные сети, в этом их смысл!), и любые механизмы автоматического анализа соцсетей без проблем найдут сотни тысяч пользователей, которые лайкали или шерили расследования ФБК, и миллионы пользователей, подписанных на Навального, ФБК, штабы, Навальный LIVE, Жданова, Волкова, Соболь и так далее. Короче говоря, у Кремля есть сколько угодно каких угодно ""списков сторонников Навального"", в любых разрезах — и, благодаря тому, что они беззастенчиво занимаются ""обогащением"" баз данных по всяким там ""Госуслугам"" — любой степени полноты.  И это совершенно нормально: без взаимодействия с государством невозможна политическая деятельность, а мы на протяжении многих лет вели легальную, публичную политическую работу с опорой на многие сотни тысяч сторонников по всей стране. Мы не делали ничего плохого и неправильного; наоборот — и мы, и наши сторонники можем и должны гордиться этой работой.  1.2. Помимо законных способов составления списков наших сторонников, в распоряжении Кремля есть бесконечное число полузаконных и незаконных. Уже давно стало (увы) нормой использование камер с распознаванием лиц на протестных митингах. Про анализ банковских проводок я уже выше говорил. Сайт ""Умного голосования"", единственный из всех наших сайтов, не заблокирован Роскомнадзором — и это значит, что 95% пользователей заходят на него, не используя VPN, что позволяет средствами СОРМ через провайдеров составить списки всех посетителей сайта ""Умного голосования"" буквально одним нажатием на кнопку. Добавлю к этому, что не меньше половины наших сторонников до сих пор регистрируются с использованием ящиков электронной почты на сервисах типа mail.ru (и подобных), а не меньше 3/4 — активно делятся политическим контентом, в том числе, ВКонтакте и в ""Одноклассниках"".  1.3. Это Кремль переворачивает все с ног на голову, когда пытается объявить участие в законной оппозиционной политической деятельности чем-то незаконным, наказуемым и плохим. Это чистой воды психическая атака. Так, располагая огромным количеством законно и незаконно полученных данных о наших сторонниках, Кремль может хоть каждый день выкладывать правдоподобно выглядящие ""очередной слив данных ФБК"", ""утечку базы Умного голосования"" и т.п. Или может каждый день отправлять бездельников в погонах по сотням адресов сторонников, чтобы их запугивать. Собственно, почему ""может""? Выкладывает и отправляет.  У Кремля нет репрессивного инструментария, чтобы как-то затруднить жизнь миллионов людей; он может проводить репрессии только точечно — поэтому ни выкладывание ""списков"", ни обход ментами никакой угрозы в себе не несут, они рассчитаны только на психологический эффект. На то, что очень многие поведутся и испугаются. А им того и нужно. Не ведитесь!  2. Поэтому-то любые разговоры про то, что ""а вот тут у вас дырочка, через которую, теоретически, можно представить, как в таком-то сценарии кто-то у вас что-то скачает"" являются непродуктивными и непрофессиональными. 2.1. Один базовый принцип информационной безопасности заключается в том, что модель защиты должна быть адекватна модели угроз. Другой базовый принцип информационной безопасности заключается в том, что уровень защищенности системы определяется уровнем защищенности самого слабого его места; укреплять надо только самое слабое место, а все другие — не надо. Нет смысла убиваться и хранить за семью замками информацию, которая легко доступна злоумышленнику через другие каналы — ставить дорогущую сейф-дверь на комнату с картонными стенами. Нет смысла тратить на защиту определенной информации больше денег и ресурсов, чем злоумышленнику стоит ее получение косвенными путями.  2.2. Про все это, кажется, полностью забыли эксперты из твиттера: их послушать, так нам надо полностью отказаться от стандартных, проверенных, доступных на рынке инструментов для работы с данными, а написать с нуля полностью свои (из-за кажущейся или реальной небезопасности стандартных инструментов); их послушать — так нам надо самим заблокировать все наши сайты для доступа без VPN или запрещать регистрироваться с почтой на mail.ru. Уйти, так сказать, в криптоподполье. Ну да, можно, конечно, уйти — только туда с нами уйдет хорошо если 3% пользователей. Путин очень хочет отрезать нас от массовой аудитории, сделать наше движение маргинальным, лишить нас связи с миллионами сторонников — но, по сути, и доморощенные эксперты по информационной безопасности призывают нас буквально к тому же самому. Надеть пресловутые шапочки из фольги, и в полной безопасности ползти в сторону ближайшего кладбища. Нет уж, простите, но этого не будет.  3. На более философском уровне, мы не должны забывать, что, напротив, единственной защитой от преследований для каждого конкретного сторонника являются массовость и публичность.  3.1. Пять или десять миллионов человек, которые публично и открыто заявляют о своих политических взглядах, находятся в куда большей безопасности, чем 50 тысяч человек, которые ушли в ""криптоподполье"". Чем больше людей, тем сложнее их репрессировать, тем меньше индивидуальные риски. И, напротив, в любом ""подполье"" все равно будут крысы; любую ""надежно законспирированную"" сеть сторонников быстро инфильтрируют изнутри агенты охранки (это-то они как раз обучены делать) с плачевными последствиями для малочисленных ""подпольщиков"".  3.2. Путин очень хочет добиться, чтобы люди, напугавшись, перестали публично поддерживать Навального, перестали лайкать и комментировать (тем самым продвигая) наш контент, перестали скачивать наше приложение, заходить на наши сайты, подписываться на наши рассылки — хотя это все остается совершенно безопасным даже в рамках нынешнего драконовского законодательства, даже с учетом клейма ""экстремистов"", которое Путин на нас навесил. Ну нет статьи в УК за ""подписку на рассылку Умного голосования"" (а если появится — мы, обязательно, расскажем и предупредим, и сами всех отпишем, как, например, сами всех отписали от автоматических ежемесячных донатов в ФБК через российскую банковскую систему, как только это стало потенциально опасно для жертвователей).  3.3. Но вот этими вот показательными выступлениями — когда дуболомы ходят по домам москвичей и просят их ""написать заявления о защите персональных данных"", когда помоечные телеграм-каналы публикуют якобы ""слитые базы ФБК"" — Путин пытается создать атмосферу страха, и, увы, мы видим, что ему удается. Такой вот грустный пример: два последних наших расследования не попали в топ YouTube, хотя набрали гораздо больше просмотров, чем те видео, которые в те дни были в топе. Почему? Потому что существенно снизился процентов лайков и шеров. Люди боятся. (А алгоритмы YouTube видят падение доли реакций и ""думают"": видимо, контент стал хуже, не надо его рекомендовать к просмотру). Ну вот твиттер-эксперты в шапочках из фольги — которые, безусловно, хотят как лучше и ведут свой крестовый поход за ""полную безопасность"" (полной безопасности, если что, не бывает; точнее бывает, но только у выключенной информационной системы) — они невольно играют здесь абсолютно на руку Путину. 4. Сказав все это, я подчеркну, что мы ни на секунду не забываем про вопросы информационной безопасности и не относимся к ним пренебрежительно. Мы относимся к ним рационально.  4.1. Так, есть элементы критической инфраструктуры, которые надо охранять и мы их охраняем всеми доступными средствами: чтобы никто не мог, скажем, делать рассылки от нашего имени, или взломать наши сервера и выдать фальшивые рекомендации Умного голосования.  4.2. Последние законодательные ""инновации"", действительно, поставили в зону риску многих законопослушных и замечательных людей, которые хотят поддерживать нас финансово: статья УК за ""финансирование экстремистской деятельности"" очень опасная, и мы пытаемся сделать все возможное, чтобы обезопасить наших доноров, которые продолжают поддерживать нас из России. (Еще раз повторю, что надежнее всего — криптовалюта. Мы также постараемся в ближайшие недели предложить еще некоторые простые, но безопасные инструменты пожертвований в наш адрес).  4.3. И, разумеется, мы всегда читаем и слушаем все, что нам пишут, признаем ошибки и стараемся работать лучше в условиях жесткого прессинга и цейтнота. Но важно также различать между реальными ошибками и вымышленными. Для этого надо опираться на здравый смысл и смотреть на большую картинку.",Facebook,https://www.facebook.com/leonid.m.volkov/posts/4358802630809003,2021-08-23 04:27:49 -0400