Старший брат следит за тобой. Как защитить себя в цифровом мире

■ Без особой необходимости не допускайте синхронизации социальной сетью вашей адресной книги (контактов) с вашим профилем. При этом система также свяжет все контакты ваших друзей между собой и разошлет им приглашения с запросом: «Возможно, вы знакомы». Такая ситуация может угрожать вашей конфиденциальности и безопасности. Тем более вряд ли вы (и некоторые ваши респонденты, с которыми вы обменивались SMS-сообщениями или говорили по телефону) хотели бы раскрыть в социальной сети некие персональные данные о себе, например фото.

При поиске данных о контактах из списка социальная сеть (в частности, Facebook) может собирать такую информацию, как метаданные[537] электронных сообщений, звонков и SMS-сообщений, и обрабатывать даже такие контактные данные, которые не сохранены в списке пользователя (т. е. контакты тех, с кем пользователь связывался когда-то, но не сохранял в своем списке их номер или адрес либо удалил контакт из списка)[538].

Защита доступа

При общении двух людей через интернет самое важное, чтобы каждый из них мог подтвердить личность собеседника. К сожалению, даже при соблюдении многих правил безопасности это не всегда возможно: время от времени злоумышленники взламывают чужие аккаунты и создают фейковые учетные записи. Даже если установлен надежный пароль, злоумышленники могут скомпрометировать его при утечке базы данных с сайта социальной сети; восстановить пароль, подобрав ответы на контрольные вопросы или взломав ящик электронной почты. При использовании номера телефона для многофакторной аутентификации и восстановления доступа (а номер обязателен для регистрации на подавляющем большинстве сайтов соцсетей) риск взлома ниже, но все же есть, так как злоумышленник может перевыпустить SIM-карту и перехватывать сообщения с одноразовыми паролями[539].

КЕЙС Эксперт по кибербезопасности Лаксман Мутийя обнаружил способ, позволяющий взломать любую систему, для восстановления доступа в которую следует указать одноразовый цифровой код, отправляемый в SMS-сообщении или генерируемый в приложении-аутентификаторе. Лаксману удалось сделать это на примере сайта Instagram. После ввода телефонного номера жертвы для восстановления доступа на данный номер высылается шестизначный цифровой код. Система была защищена от брутфорс-атак: скорость передачи данных ограничивалась после 250 попыток авторизации с использованием одноразовых кодов. Но она была бессильна против ротации IP-адресов[540] (когда адреса отправителя запроса циклически меняются сервером для усложнения обнаружения атаки) и зависела от порядка исполнения фрагментов кода (была в состоянии гонки). Кроме того, одноразовый код действовал только 10 минут. В своем исследовании Лаксман привлек 1000 разных IP-адресов, чтобы отправить с каждого по 200 запросов до срабатывания защиты от перебора. Для перебора миллиона всех возможных комбинаций потребовалось ли 5000 IP-адресов, которые легко получить, используя облачный сервис, например Amazon или Google. Затраты на атаку Лаксман оценил в 150 долларов[541].