Видання описує всі способи, якими можна зламати акаунти й телефони, а також дає поради, як від цього вберегтися.
Днями вибухнув великий скандал довкола заяв директора Національного антикорупційного бюро України Артема Ситника щодо можливості прослуховувати популярні месенджери WhatsApp і Viber. Ситник сказав, що спецслужбам це цілком під силу. На це твердження одразу відреагував засновник WhatsApp Ян Кум, який категорично заперечив можливість несанкціонованого доступу до месенджера. «Страна» вирішила з’ясувати, хто і як може прослуховувати месенджери.
Акаунти не горять
Перше правило, яке має пам’ятати користувач будь-якого публічного інтернет-сервісу, — ні листування, ні акаунт ніколи не видаляються. У дата-центрах однаково зберігаються бекапи, які роблять на випадок збою. Вартість зберігання даних сьогодні настільки мала, що корпораціям на кшталт Google це не коштує нічого. Тому краще взагалі не писати в інтернеті нічого зайвого, якщо ваша персона хоч якось цікава спецслужбам чи хакерам. Адже навіть якщо доступу до даних не було сьогодні, вони можуть «спливти» через роки. Так само й з інформацією про пересування користувача (її записують і сервіс-провайдери на кшталт Google, і оператори зв’язку) — вона зберігається назавжди.
Загалом є два найпоширеніші способи прослуховування.
Спосіб 1. Злам
Прослухати (зламати) можна що завгодно. Питання лише в складності доступу, ціні, а також витраченому часі. Важливе зауваження. Більшість публічних інтернет-сервісів використовують так звані класичні алгоритми шифрування (RSA і Діффі — Геллмана), які вже не є надійними відтоді, як хакерам стали доступні потужні сервери. Спецслужбам, оснащеним потрібною апаратурою, зламати акаунт ще простіше, особливо якщо в цьому допомагає сервіс-провайдер.
«Алгоритми на кшталт RSA стають менш придатними для шифрування. Річ у тім, що сучасних обчислювальних потужностей вистачає для атаки методом перебору, — вважає Дмитро Дніпровський, експерт консорціуму Intecracy Group. — Оскільки RSA ґрунтується на складності факторизації великих чисел, щойно ця складність зникає, алгоритм перестає бути надійним для серйозного застосування. Тому для захисту справді важливих даних від зловмисників, які мають такі обчислювальні потужності, потрібно або використовувати інші алгоритми, або збільшувати довжину ключа».
Якщо СБУ (чи інша спецслужба) не справляється, вона залучає фахівців приватних компаній. Наприклад, на злам «невразливих» реєстрів Мін’юсту 2013 року їм знадобилося лише три дні. Інша річ, що на це було витрачено значні фінансові та інтелектуальні ресурси.
Нинішні можливості спецслужб не дають змоги здійснювати тотальний контроль — збирати дані нескладно, а от обробляти їх поки що як слід не навчилися. Тому в багатьох країнах IT-компанії на законодавчому рівні зобов’язують надавати спецслужбам доступ до даних клієнтів за конкретним запитом. У РФ, наприклад, щоб спростити завдання, ще й зобов’язали всіх перенести сервери на територію Росії, а провайдерів — надавати безперешкодний доступ, щойно спецслужба зацікавиться. У США ФБР отримує доступ через суд. Відомі випадки, коли було отримано доступ до кодів Skype і до месенджера Facebook. Іноді це призводить до конфліктів, як-от недавній судовий спір Apple з ФБР. 16 лютого суд зобов’язав Apple надати спецслужбам доступ до інформації на iPhone 5c одного з тих, хто влаштував стрілянину в Сан-Бернардіно (Каліфорнія). Від компанії вимагали створити спеціальне програмне забезпечення, яке дало б змогу обійти пароль без втрати даних, що зберігаються на смартфоні. Apple оскаржила це рішення в суді. Великого резонансу набув і арешт віцепрезидента Facebook Дієго Дзодана (Diego Dzodan) після того, як компанія не виконала повторного судового розпорядження про надання доступу до листування у WhatsApp.
Як в Україні
Український КПК (глава 21) дозволяє проводити з десяток різних негласних слідчих (розшукових) дій (НСРД). Основні з них — встановлення місцезнаходження радіоелектронного засобу (простіше кажучи, де перебуває мобільний телефон, ноутбук чи планшет), візуальне спостереження за особою чи річчю, аудіо- та відеоконтроль особи, зняття інформації з телекомунікаційних систем (електронна пошта, акаунти в соцмережах, листування в телефоні), негласне проникнення до житла тощо.
Однак КПК виписано так, що легально провести будь-яку з «негласок» слідчий не може без погодження з прокурором та отримання дозволу суду. Єдина НСРД, яку можна провести лише з дозволу прокурора, — це контроль за вчиненням злочину. Тут ухвала суду не потрібна. До того ж МВС не може самостійно проводити, скажімо, аудіоконтроль, тобто прослуховування, оскільки всі технічні комплекси для цього виду НСРД ще 2005 року міністр Луценко передав СБУ. Тому СБУ передає поліції записи вже розшифрованих розмов. Отже, під час проведення НСРД часто задіяно кілька відомств, і ймовірність витоку інформації висока.
Якщо ж ідеться про проведення НСРД без санкції прокурора й суду — це посадовий злочин. Так було кілька років тому, коли до клопотання про прослуховування у справі про інший злочин вписали номер Сергія Ківалова. Майор міліції, який це провернув, отримав умовний строк в одеському суді. Якщо процедуру не дотримано, легко потрапити під статтю, або ж здобута спецслужбами інформація не вважатиметься допустимим доказом у суді. Є рішення Конституційного Суду щодо плівок майора Мельниченка: високий суд визнав, що прослуховування без санкції суду — недопустимий доказ.
Спосіб 2. Доступ до пристрою
Найчастіше на злам методом перебору (пошук уразливостей, отримання доступу через провайдера тощо) у силовиків немає часу. Тому, щоб читати повідомлення в месенджерах, вони користуються необачністю самих користувачів і отримують доступ до пристрою.
По-перше, слід розуміти, що жоден месенджер, клієнт якого можна встановити на двох-трьох і більше пристроях, не є безпечним з погляду конфіденційності. Завжди можна читати повідомлення через другу копію акаунта.
Наприклад, простий спосіб отримати доступ до інформації у Viber — встановити його на ноутбуці, а для авторизації позичити в користувача смартфон на 20–30 секунд (отримати SMS і ввести код на ноутбуці). Ще поширеніший спосіб — домовитися з працівником компанії-оператора (або схитрувати: сказати йому, що це ваша картка, і назвати номери, на які з неї найчастіше телефонують) чи випустити сімку за допомогою спецапаратури, яка є в спецслужб.
Існує кілька способів (без допомоги хакера) отримати доступ і до скайпу. Зазвичай він автоматично запускається під час входу в Windows на комп’ютері та під час завантаження смартфона (тобто достатньо отримати доступ до одного з пристроїв). Часто акаунт Skype пов’язаний із соцмережами (досить отримати пароль від соцмережі, а його зберігає браузер). До того ж паролі в більшості людей прості, а дівчата часто люблять записувати їх на папірці й зберігати в шухляді робочого столу (щоб не забути). Дуже часто для доступу до чужого акаунта використовують функцію нагадування пароля — контрольним словом є або дівоче прізвище матері, або марка першого автомобіля, або кличка собаки. Тобто це дані, які нескладно здобути.
По-друге, для доступу до чужих даних використовують спеціально написані програми. Зловмиснику чи співробітнику спецслужби достатньо просто заразити пристрій користувача. Зазвичай йому надсилають поштою (або у Viber, Skype, Facebook Messenger) файл із вірусом, замаскований під фотографію, відео чи оновлення улюбленої гри.
По-третє, практично неможливо вберегтися, якщо хакер чи співробітник спецслужби співпрацює з кимось із колег або членів родини користувача. Тобто з людиною, яка має безпосередній доступ до пристрою (і може сама встановити на нього вірус), а також володіє потрібною для зламу інформацією (модель смартфона, номер, ПІБ і додаткові дані — які месенджери встановлено). Софт, написаний під конкретну модель смартфона, пройде перевірку антивірусом.
По-четверте, популярним способом зламу є зараження пристрою через публічну мережу Wi-Fi, особливо якщо користувач сам на запрошення програми (щоб отримати безкоштовний інтернет) вводить дані про себе чи входить у соцмережі.
Що хотів сказати Ян Кум
У своєму твітері засновник сервісу WhatsApp натякнув директору НАБУ Ситнику, що використовує технологію криптографічних ключів E2EE. Її суть у тому, що контроль над листуванням здійснюють безпосередньо користувачі, а розшифрувати повідомлення не можуть ні ті, хто їх перехоплює, ні навіть сервери, які передають дані. Тобто повідомлення шифрується локально на пристрої відправника й може бути розшифроване виключно на пристрої одержувача.
Ідеологія абсолютно правильна. От тільки сам алгоритм шифрування досить простий — ключ шифрування, який використовує застосунок WhatsApp для Android, є MD5-хешем номера IMEI телефону у зворотному порядку. Крім того, на пристроях iOS (iPad/iPhone) WhatsApp створює свій ключ шифрування простим дублюванням MAC-адреси інтерфейсу Wi-Fi і генеруванням з неї MD5-хешу. Тому дані для зламу хакер може отримати, щойно власник смартфона вирішить скористатися публічною мережею Wi-Fi.
Як себе захистити: 5 головних порад
- Не користуйтеся безкоштовним публічним Wi-Fi. Вимикайте цю функцію (а також GPS), коли вона не потрібна. Наприклад, коли ви вийшли з офісу.
- Паролі мають бути складними й різними на всіх акаунтах. Тобто щоб не виникало ситуації, коли, дізнавшись один пароль, зловмисник отримує доступ до всього.
- Функцію відновлення пароля потрібно налаштувати так, щоб зловмисник не міг підібрати відповідь на контрольне запитання.
- На всіх пристроях (комп’ютер, телефон, планшет, смарт-ТВ) має бути встановлено антивірус. Бажано платний.
- Серед усіх поширених месенджерів єдиними захищеними є Telegram, і лише в режимі secret chat, а також iMessage. Про це свідчить дослідження Electronic Frontier Foundation. Серед лідерів також ще кілька програм (ChatSecure, Cryptocat тощо), але оскільки про них мало хто знає, то, найімовірніше, вам не буде з ким «захищено спілкуватися».
Джерело: «Страна.ua»