Questa pagina web è la traduzione italiana della guida The Hitchhiker’s Guide to Online Anonymity

Questa guida è stata tradotta e messa in rete in questo sito per evitare che gli utenti italiani la aprano sul browser Chrome per farsela tradurre in italiano da Google traduttore esponendosi così al tracciamento di Google e delle multinazionali a cui rivende i dati. La pagina web di questa guida è stata leggermente modificata per ospitare la guida in una unica pagina web.

Questa guida è stata creata da Alex, un semplice attivista per l'anonimato e la privacy, che dopo sfortunati eventi recenti, ho ripreso la manutenzione di questa guida per continuare il progetto avviato da AnonyPla. Al momento non è chiaro se AnonyPla tornerà, quindi sta cercando di continuare il suo progetto rimanendo il più fedele possibile alle sue intenzioni.
Non può garantire che farà tutto bene, o come l'avrebbe fatto lei, ma sta facendo del suo meglio.

Credo fermamente che la privacy dovrebbe essere un diritto universale e che l'anonimato non dovrebbe mai diventare illegale. Non voglio che le nostre vite si trasformino in Gattaca, Minority Report, Black Mirror o 1984 (troppo tardi per quello, temo). Non voglio che le nostre leggi e i nostri diritti diventino termini di servizio.

Il mio obiettivo è portare la conoscenza accessibile su questi argomenti a molti e, si spera, raggiungere le poche brave persone che ne hanno davvero bisogno. In questo caso specifico, penso che i bisogni di pochi prevalgano su quelli di molti.

Questa guida è un lavoro in corso . Mentre sto facendo del mio meglio per correggere problemi, imprecisioni e migliorare il contenuto, la struttura generale e la leggibilità; probabilmente non sarà mai “finito”.

Potrebbero esserci alcune informazioni sbagliate o obsolete in questa guida perché nessun essere umano è onnisciente e gli umani commettono errori. Per favore, non prendere questa guida come un vangelo definitivo o verità perché non lo è. Gli errori sono stati scritti nella guida nelle versioni precedenti e corretti in seguito quando scoperti. Probabilmente ci sono ancora alcuni errori in questa guida in questo momento (si spera pochi). Quelli vengono risolti il prima possibile quando vengono scoperti.

Questa guida è stata spostata, a causa di recenti sfortunati eventi. La vecchia guida era su anonymousplanet.org , ma da allora è stata spostata su https://anonymousplanet-ng.org

La tua esperienza può variare. Ricordarsi di controllare regolarmente una versione aggiornata di questa guida.

Questa guida è un'iniziativa open source senza scopo di lucro, con licenza Creative Commons Attribution-NonCommercial 4.0 International ( cc-by-nc-4.0 ^{[Archive.org]} ).

Ci sono diversi modi per leggere questa guida:

Vuoi capire lo stato attuale della privacy online e dell'anonimato non necessariamente diventare troppo tecnico al riguardo: leggi l' introduzione , i requisiti , la comprensione di alcune nozioni di base su come alcune informazioni possono ricondurti a te e come mitigarle e le sezioni di una nota editoriale finale .
Vuoi fare quanto sopra ma anche imparare a rimuovere alcune informazioni online su di te: leggi quanto sopra e aggiungi la rimozione di alcune tracce delle tue identità sui motori di ricerca e sulle varie piattaforme.
Vuoi fare quanto sopra e creare identità online anonime online in modo sicuro e protetto: leggi l'intera guida.

Precauzioni durante la lettura di questa guida e l'accesso ai vari link:

I documenti/file hanno un collegamento [Archive.org] accanto a loro per accedere al contenuto tramite Archive.org per una maggiore privacy e nel caso in cui il contenuto scompaia. Alcuni link non sono ancora archiviati o non sono aggiornati su archive.org nel qual caso ti consiglio di chiedere un nuovo salvataggio, se possibile.
I video di YouTube hanno un collegamento [Invidious] accanto per accedere ai contenuti tramite un'istanza Invidious (in questo caso yewtu.be ospitato nei Paesi Bassi) per una maggiore privacy. Si consiglia di utilizzare questi collegamenti quando possibile. Vedere https://github.com/iv-org/invidious ^{[Archive.org]} per ulteriori informazioni.
I link di Twitter hanno accanto un link [Nitter] per accedere ai contenuti tramite un'istanza Nitter (in questo caso nitter.net) per una maggiore privacy. Si consiglia di utilizzare questi collegamenti quando possibile. Per ulteriori informazioni, vedere https://github.com/zedeus/nitter ^{[Archive.org]} .
I collegamenti di Wikipedia hanno un collegamento [Wikiless] accanto a loro per accedere ai contenuti tramite un'istanza Wikiless (in questo caso Wikiless.org) per una maggiore privacy. Si consiglia di utilizzare questi collegamenti quando possibile. Per ulteriori informazioni, vedere https://codeberg.org/orenom/wikiless ^{[Archive.org]} .
I link medi hanno accanto il link [Scribe.rip] per accedere al contenuto tramite un'istanza Scribe.rip per una maggiore privacy. Ancora una volta, si consiglia di utilizzare questi collegamenti quando possibile. Per ulteriori informazioni, vedere https://scribe.rip/ ^{[Archive.org]} .
Se stai leggendo questo in formato PDF o ODT, noterai un sacco di ``` al posto delle doppie virgolette (""). Questi ``` sono lì per facilitare la conversione in formato Markdown/HTML per la visualizzazione online dei blocchi di codice sul sito web.

Se non vuoi la seccatura e utilizza uno dei browser seguenti, puoi anche installare la seguente estensione sul tuo browser: https://github.com/SimonBrazell/privacy-redirect ^{[Archive.org]} :

Firefox: https://addons.mozilla.org/en-US/firefox/addon/privacy-redirect/
Browser basati su Chromium (Chrome, Brave, Edge): https://chrome.google.com/webstore/detail/privacy-redirect/pmcmeagblkinmogikoikkdjiligflglb

Se hai problemi ad accedere a uno qualsiasi dei tanti articoli accademici a cui si fa riferimento in questa guida a causa dei paywall, sentiti libero di usare Sci-Hub ( https://en.wikipedia.org/wiki/Sci-Hub ^[Wikiless] ^{[Archive.org ]} ) o LibGen ( https://en.wikipedia.org/wiki/Library_Genesis ^[Wikiless] ^{[Archive.org]} ) per trovarli e leggerli. Perché la scienza dovrebbe essere libera. Tutto. Se ti trovi di fronte a un paywall che accede ad alcune risorse, considera l'utilizzo di https://12ft.io/ .

Infine, nota che questa guida menziona e persino raccomanda vari servizi commerciali (come VPN, CDN, provider di posta elettronica, provider di hosting...) ma non è in alcun modo approvato o sponsorizzato da nessuno di essi. Non ci sono link di riferimento e nessun legame commerciale con nessuno di questi fornitori. Questo progetto è al 100% senza scopo di lucro e si basa solo su donazioni.

Contenuti:

Prerequisiti e limitazioni:

Prerequisiti:

Comprensione della lingua inglese (in questo caso inglese americano).
Essere un residente permanente in Germania, dove i tribunali hanno confermato la legalità di non utilizzare nomi reali su piattaforme online (§13 VI del German Telemedia Act del 2007 ¹ ' ² ). In alternativa, risiedi in qualsiasi altro paese in cui puoi confermare e verificare tu stesso la legalità di questa guida.
Questa guida presuppone che tu abbia già accesso ad alcuni computer portatili (Windows/Linux/macOS) (idealmente non un dispositivo di lavoro/condiviso) e una conoscenza di base di come funziona.
Abbi pazienza perché questo processo potrebbe richiedere diverse settimane per essere completato se vuoi esaminare tutto il contenuto.
Avrai un po' di tempo libero da dedicare a questo processo (o molto a seconda del percorso che scegli).
Preparati a leggere molti riferimenti (leggili), guide (non saltarli) e segui a fondo molti tutorial pratici (non saltarli nemmeno).
Non essere malvagio (per davvero questa volta) ³ .

Limitazioni:

Questa guida non è destinata a:

Creazione di account macchina di qualsiasi tipo (bot).
Creazione di account di rappresentazione di persone esistenti (come il furto di identità).
Aiutare gli attori malintenzionati a condurre attività non etiche, criminali o illecite (come trolling, stalking, disinformazione, disinformazione, molestie, bullismo...).
Uso da parte di minorenni.

Introduzione:

TLDR per tutta la guida: “Un gioco strano. L'unica mossa vincente è non giocare” ⁴ .

Creare un account sui social media con uno pseudonimo o un artista/marchio è facile. Ed è sufficiente nella maggior parte dei casi d'uso per proteggere la tua identità come il prossimo George Orwell. Ci sono molte persone che usano pseudonimi su Facebook/Instagram/Twitter/LinkedIn/TikTok/Snapchat/Reddit/... Ma la stragrande maggioranza di queste sono tutt'altro che anonime e possono essere facilmente ricondotte alla loro vera identità dai tuoi agenti di polizia locali, casualmente persone all'interno della comunità OSINT ⁵ (Open-Source Intelligence) e troll ⁶ su 4chan ⁷ .

Questa è una buona cosa poiché la maggior parte dei criminali/troll non sono esperti di tecnologia e di solito vengono identificati facilmente. Ma anche questa è una cosa terribile poiché la maggior parte dei dissidenti politici, degli attivisti per i diritti umani e degli informatori possono essere rintracciati piuttosto facilmente.

Questa guida mira a fornire un'introduzione a varie tecniche di de-anonimizzazione, tecniche di tracciamento, tecniche di verifica dell'identità e indicazioni facoltative per creare e mantenere identità anonime ragionevolmente e veramente online, inclusi gli account dei social media in modo sicuro. Ciò include le piattaforme tradizionali e non solo quelle rispettose della privacy.

È importante capire che lo scopo di questa guida è l'anonimato e non solo la privacy, ma gran parte della guida che troverai qui ti aiuterà anche a migliorare la tua privacy e sicurezza anche se non sei interessato all'anonimato. Esiste un'importante sovrapposizione nelle tecniche e negli strumenti utilizzati per la privacy, la sicurezza e l'anonimato, ma a un certo punto differiscono:

La privacy riguarda le persone che sanno chi sei ma non sanno cosa stai facendo.
L'anonimato riguarda le persone che sanno cosa stai facendo ma non sanno chi sei ⁸ .

ciao

(Illustrazione da ⁹ )

Questa guida ti aiuterà a proteggerti dall'NSA, dall'FSB, da Mark Zuckerberg o dal Mossad se vogliono trovarti? Probabilmente no... Il Mossad farà le "cose del Mossad" ¹⁰ e probabilmente ti troverà, non importa quanto tu cerchi di nasconderti ¹¹ .

Devi considerare il tuo modello di minaccia ¹² prima di andare oltre.

ciao

(Illustrazione di Randall Munroe, xkcd.com, licenza CC BY-NC 2.5)

Questa guida ti aiuterà a proteggere la tua privacy dai ricercatori OSINT come Bellingcat ¹³ , Doxing ¹⁴ troll su 4chan ¹⁵ e altri che non hanno accesso alla cassetta degli attrezzi della NSA? Più probabilmente. Anche se non sarei così sicuro di 4chan.

Ecco un modello di minaccia semplificato di base per questa guida:

(Nota che le battute "amuleti magici/sottomarino/fai la tua stessa morte" sono citate dall'eccellente articolo "This World of Ours" di James Mickens, 2014 sopra ¹⁰ )

Disclaimer: Scherzi a parte (amuleto magico...). Naturalmente, ci sono anche metodi avanzati per mitigare gli attacchi contro avversari così avanzati e abili, ma questi sono appena fuori dallo scopo di questa guida. È di fondamentale importanza comprendere i limiti del modello di minaccia di questa guida. E quindi, questa guida non raddoppierà le dimensioni per aiutare con quelle mitigazioni avanzate poiché è troppo complessa e richiederà una conoscenza e un livello di abilità estremamente elevati che non ci si aspetta dal pubblico mirato di questa guida.

L'EFF fornisce alcuni scenari di sicurezza di ciò che dovresti considerare a seconda della tua attività. Sebbene alcuni di questi suggerimenti potrebbero non rientrare nell'ambito di questa guida (più sulla privacy che sull'anonimato), vale comunque la pena leggerli come esempi. Vedi https://ssd.eff.org/en/module-categories/security-scenarios ^{[Archive.org]} .

Per approfondire la modellazione delle minacce, vedere l' Appendice B3: Risorse per la modellazione delle minacce .

Potresti pensare che questa guida non abbia un uso legittimo ma ci sono molti ¹⁶ ' ¹⁷ ' ¹⁸ ' ¹⁹ ' ²⁰ ' ²¹ ' ²² come:

Evadere la censura online ²³
Evadere l'oppressione online
Eludere lo stalking online, il doxxing e le molestie
Eludere la sorveglianza governativa illegale online
Segnalazione anonima online
Attivismo online anonimo
Giornalismo online anonimo
Pratica legale online anonima
Attività accademiche online anonime (ad esempio l'accesso alla ricerca scientifica in cui tali risorse sono bloccate). Vedi nota sotto.
…

Questa guida è stata scritta con speranza per quelle persone di buone intenzioni che potrebbero non essere abbastanza informate per considerare il quadro generale dell'anonimato e della privacy online.

Infine, usalo a tuo rischio. Qualsiasi cosa qui contenuta non è una consulenza legale e dovresti verificare la conformità con la tua legge locale prima dell'uso (IANAL ²⁴ ). “Fidati ma verifica” ²⁵ tu stesso tutte le informazioni (o meglio ancora “Non fidarti mai, verifica sempre” ²⁶ ). Vi incoraggio vivamente a informarvi e non esitate a verificare tutte le informazioni contenute in questa guida con fonti esterne in caso di dubbio. Per favore, segnalami qualsiasi errore che noti perché accetto le critiche. Anche critiche dure ma valide sono benvenute e porteranno a fare le necessarie correzioni il più rapidamente possibile.

Comprendere alcune nozioni di base su come alcune informazioni possono ricondurre a te e come mitigarne alcune:

Ci sono molti modi in cui puoi essere rintracciato oltre ai cookie e agli annunci del browser, alla tua e-mail e al tuo numero di telefono. E se pensi che solo il Mossad o l'NSA/FSB possano trovarti, ti sbagli.

Innanzitutto, potresti anche prendere in considerazione queste risorse più generali sulla privacy e la sicurezza per apprendere più nozioni di base:

The New Oil: https://thenewoil.org/ ^{[Archive.org]}
Techlore videos: https://www.youtube.com/c/Techlore ^[Invidious]
Privacy Guides: https://privacyguides.org/ ^{[Archive.org]}
Privacy Tools: https://privacytools.io ^{[Archive.org]}
Tieni presente che questi siti Web potrebbero contenere contenuti affiliati/sponsorizzati e/o merchandising. Questa guida non avalla e non è sponsorizzata in alcun modo da alcuna entità commerciale.

Se li hai saltati, dovresti comunque considerare di visualizzare questa playlist di YouTube dal progetto Techlore Go Incognito ( https://github.com/techlore-official/go-incognito ^{[Archive.org]} ) come introduzione prima di andare oltre: https://github.com/techlore-official/go-incognito [ Archive.org ] ://www.youtube.com/playlist?list=PL3KeV6Ui_4CayDGHw64OFXEPHgXLkrtJO ^[Invidioso] . Questa guida tratterà molti degli argomenti nei video di questa playlist con maggiori dettagli e riferimenti, nonché alcuni argomenti aggiunti non trattati in quella serie. Ci vorranno solo 2 o 3 ore per guardarlo tutto.

Ora, ecco un elenco non esaustivo di alcuni dei molti modi in cui potresti essere rintracciato e anonimizzato:

La tua rete:

Il tuo indirizzo IP:

Dichiarazione di non responsabilità: l'intero paragrafo riguarda il tuo IP Internet pubblico e non l'IP della tua rete locale.

Il tuo indirizzo IP ²⁷ è il modo più noto e ovvio per essere rintracciato. Quell'IP è l'IP che stai usando alla fonte. Qui è dove ti connetti a Internet. Quell'IP è solitamente fornito dal tuo ISP (Internet Service Provider) (xDSL, Mobile, Cable, Fiber, Cafe, Bar, Friend, Neighbor). La maggior parte dei paesi ha normative sulla conservazione dei dati ²⁸che obbliga a tenere registri di chi sta utilizzando quale IP a una certa ora/data per diversi anni o indefinitamente. Il tuo ISP può dire a una terza parte che stavi utilizzando un IP specifico in una data e ora specifica, anni dopo il fatto. Se quell'IP (quello originale) perde in qualsiasi momento per qualsiasi motivo, può essere utilizzato per rintracciarti direttamente. In molti paesi, non sarai in grado di accedere a Internet senza fornire una qualche forma di identificazione al provider (indirizzo, ID, nome reale, e-mail ...).

Inutile dire che la maggior parte delle piattaforme (come i social network) manterrà (a volte indefinitamente) anche gli indirizzi IP che hai utilizzato per registrarti e accedere ai loro servizi.

Ecco alcune risorse online che puoi utilizzare per trovare alcune informazioni sul tuo attuale IP pubblico in questo momento:

Trova il tuo IP:
- https://resolve.rs/
- https://www.dnsleaktest.com/ (Bonus, controlla il tuo IP per perdite DNS)
Trova la tua posizione IP o la posizione di qualsiasi IP:
- https://resolve.rs/ip/geolocation.html
Scopri se un IP è "sospetto" (nelle liste di blocco) o ha scaricato "cose" su alcune risorse pubbliche:
- https://mxtoolbox.com/blacklists.aspx
- https://www.virustotal.com/gui/home/search
- https://iknowwhatyoudownload.com (prendilo con le pinze, potrebbe non mostrare nulla di interessante e ha fonti di dati limitate. Questo è più per divertimento che per qualcosa di serio.)
Informazioni di registrazione di un IP (molto probabilmente il tuo ISP o l'ISP della tua connessione che molto probabilmente sa chi sta usando quell'IP in qualsiasi momento):
- https://whois.domaintools.com/
Verifica la presenza di servizi aperti o dispositivi aperti su un IP (soprattutto se sono presenti dispositivi intelligenti che perdono su di esso):
- https://www.shodan.io/host/185.220.101.134 (sostituisci l'IP con il tuo IP o qualsiasi altro, o cambia nella casella di ricerca, questo IP di esempio è un nodo Tor Exit)
Vari strumenti per controllare il tuo IP, come block-list checker e altro:
- https://browserleaks.com/ip
- https://www.whatismyip.com
Vuoi sapere se sei connesso tramite Tor?
- https://check.torproject.org

Per questi motivi, dovremo offuscare e nascondere quell'IP di origine (quello legato alla tua identificazione) o nasconderlo il più possibile attraverso una combinazione di vari mezzi:

Utilizzo di un servizio Wi-Fi pubblico (gratuito).
Utilizzo della rete Tor Anonymity ²⁹ (gratuito).
Utilizzo dei servizi VPN ³⁰ in modo anonimo (pagato in modo anonimo in contanti o Monero).

Tieni presente che, sfortunatamente, queste soluzioni non sono perfette e riscontrerai problemi di prestazioni ³¹ .

Tutti quelli verranno spiegati più avanti in questa guida.

Le tue richieste DNS e IP:

DNS sta per "Domain Name System" ³² ed è un servizio utilizzato dal browser (e da altre app) per trovare gli indirizzi IP di un servizio. È un'enorme “lista dei contatti” (rubrica telefonica per gli anziani) che funziona come chiedergli un nome e restituisce il numero da chiamare. Tranne che restituisce invece un IP.

Ogni volta che il tuo browser vuole accedere a un determinato servizio come Google tramite www.google.com. Il tuo browser (Chrome o Firefox) interrogherà un servizio DNS per trovare gli indirizzi IP dei server web di Google.

Ecco un video che spiega visivamente il DNS se ti sei già perso: https://www.youtube.com/watch?v=vrxwXXytEuI ^[Invidious]

Di solito, il servizio DNS è fornito dal tuo ISP e configurato automaticamente dalla rete a cui ti stai connettendo. Questo servizio DNS potrebbe anche essere soggetto a normative sulla conservazione dei dati o manterrà i log solo per altri motivi (raccolta di dati per scopi pubblicitari, ad esempio). Pertanto, questo ISP sarà in grado di raccontare tutto ciò che hai fatto online semplicemente guardando quei registri che possono, a loro volta, essere forniti a un avversario. Convenientemente, questo è anche il modo più semplice per molti avversari di applicare la censura o il controllo parentale utilizzando il blocco DNS ³³ . I server DNS forniti ti daranno un indirizzo diverso (rispetto a quello reale) per alcuni siti Web (come il reindirizzamento di thepiratebay.org a un sito Web del governo). Tale blocco è ampiamente applicato in tutto il mondo per alcuni siti ³⁴ .

L'utilizzo di un servizio DNS privato o del proprio servizio DNS mitigherebbe questi problemi, ma l'altro problema è che la maggior parte di tali richieste DNS viene inviata per impostazione predefinita ancora in chiaro (non crittografato) sulla rete. Anche se navighi su PornHub in una finestra di navigazione in incognito, utilizzando HTTPS e un servizio DNS privato, è molto probabile che il tuo browser invii una richiesta DNS non crittografata in chiaro ad alcuni server DNS chiedendo fondamentalmente "Quindi qual è l'indirizzo IP di www.pornhub .com?”.

Poiché non è crittografato, il tuo ISP e/o qualsiasi altro avversario potrebbe comunque intercettare (usando un attacco Man-in-the-middle ³⁵ ) la tua richiesta saprà ed eventualmente registrerà ciò che il tuo IP stava cercando. Lo stesso ISP può anche manomettere le risposte DNS anche se si utilizza un DNS privato. Rendendo inutile l'uso di un servizio DNS privato.

Come bonus, molti dispositivi e app utilizzeranno server DNS hardcoded bypassando qualsiasi impostazione di sistema che potresti impostare. Questo è ad esempio il caso della maggior parte (70%) delle Smart TV e di gran parte (46%) delle console di gioco ³⁶ . Per questi dispositivi, dovrai forzarli ³⁷ a smettere di usare il loro servizio DNS hardcoded che potrebbe farli smettere di funzionare correttamente.

Una soluzione a questo è utilizzare DNS crittografato utilizzando DoH (DNS su HTTPS ³⁸ ), DoT (DNS su TLS ³⁹ ) con un server DNS privato (questo può essere ospitato localmente in modo autonomo con una soluzione come pi-hole ⁴⁰ , ospitato in remoto con una soluzione come nextdns.io o utilizzando il provider di soluzioni dal tuo provider VPN o dalla rete Tor). Ciò dovrebbe impedire al tuo ISP oa qualche intermediario di spiare le tue richieste... tranne che potrebbe non esserlo.

Piccola dichiarazione di non responsabilità intermedia: questa guida non approva o raccomanda necessariamente i servizi Cloudflare anche se è menzionata più volte in questa sezione per la comprensione tecnica.

Sfortunatamente, il protocollo TLS utilizzato nella maggior parte delle connessioni HTTPS nella maggior parte dei browser (tra cui Chrome/Brave) perderà nuovamente il nome di dominio tramite l'handshake SNI ⁴¹ (può essere verificato qui su Cloudflare: https://www.cloudflare.com/ssl /encrypted-sni/ ^{[Archive.org]} ). Al momento della stesura di questa guida, solo i browser basati su Firefox supportano ECH (Encrypted Client Hello ⁴² precedentemente noto come eSNI ⁴³ ) su alcuni siti Web che crittograferanno tutto da un capo all'altro (oltre a utilizzare un DNS privato sicuro su TLS/HTTPS) e ti permetterà di nascondere le tue richieste DNS a terzi ⁴⁴ . E anche questa opzione non è abilitata per impostazione predefinita, quindi dovrai abilitarla tu stesso.

Oltre al supporto limitato del browser, solo i servizi Web e le CDN ⁴⁵ dietro Cloudflare CDN supportano ECH/eSNI in questa fase ⁴⁶ . Ciò significa che ECH ed eSNI non sono supportati (al momento della stesura di questa guida) dalla maggior parte delle piattaforme tradizionali come:

Amazon (incluso AWS, Twitch...)
Microsoft (inclusi Azure, OneDrive, Outlook, Office 365...)
Google (incluso Gmail, Google Cloud...)
Apple (inclusi iCloud, iMessage...)
Reddit
Youtube
Facebook
Instagram
Twitter
GitHub
…

Alcuni paesi come Russia ⁴⁷ e China ⁴⁸ potrebbero (non verificati nonostante gli articoli) bloccare le strette di mano ECH/eSNI a livello di rete per consentire lo snooping e impedire di aggirare la censura. Ciò significa che non sarai in grado di stabilire una connessione HTTPS con un servizio se non consenti loro di vedere di cosa si trattava.

I problemi non finiscono qui. Parte della convalida HTTPS TLS si chiama OCSP ⁴⁹ e questo protocollo utilizzato dai browser basati su Firefox perderà i metadati sotto forma del numero di serie del certificato del sito Web che stai visitando. Un avversario può quindi trovare facilmente quale sito web stai visitando abbinando il numero di certificato ⁵⁰ . Questo problema può essere mitigato utilizzando la pinzatura OCSP ⁵¹ . Sfortunatamente, questo è abilitato ma non applicato per impostazione predefinita in Firefox/Tor Browser. Ma anche il sito Web che stai visitando deve supportarlo e non tutti lo fanno. I browser basati su Chromium d'altra parte utilizzano un sistema diverso chiamato CRLSet ⁵² ' ⁵³ che è probabilmente migliore.

Ecco un elenco di come si comportano i vari browser con OCSP: https://www.ssl.com/blogs/how-do-browsers-handle-revoked-ssl-tls-certificates/ ^{[Archive.org]}

Ecco un'illustrazione del problema che potresti riscontrare sui browser basati su Firefox:

Infine, anche se si utilizza un server DNS crittografato personalizzato (DoH o DoT) con supporto ECH/eSNI e pinzatura OCSP, potrebbe non essere ancora sufficiente poiché gli studi di analisi del traffico ⁵⁴ hanno dimostrato che è ancora possibile eseguire in modo affidabile l'impronta digitale e bloccare le richieste indesiderate. Solo DNS su Tor è stato in grado di mostrare un'efficiente privacy DNS in studi recenti, ma anche questo può ancora essere sconfitto con altri mezzi (vedi Il tuo traffico Tor/VPN anonimizzato ).

Si potrebbe anche decidere di utilizzare un Tor Hidden DNS Service o ODoH (Oblivious DNS over HTTPS ⁵⁵ ) per aumentare ulteriormente la privacy/anonimato ma sfortunatamente , per quanto ne so, questi metodi sono forniti solo da Cloudflare al momento della stesura di questo articolo ( https:/ /blog.cloudflare.com/welcome-hidden-resolver/ ^{[Archive.org]} , https://blog.cloudflare.com/oblivious-dns/ ^{[Archive.org]} ). Si tratta di opzioni tecniche praticabili e ragionevolmente sicure, ma esiste anche una scelta morale se si desidera utilizzare o meno Cloudflare (nonostante il rischio rappresentato da alcuni ricercatori ⁵⁶ ).

Infine, c'è anche questa nuova possibilità chiamata DoHoT che sta per DNS su HTTPS su Tor che potrebbe anche aumentare ulteriormente la tua privacy/anonimato e che potresti prendere in considerazione se sei più esperto con Linux. Vedi https://github.com/alecmuffett/dohot ^{[Archive.org]} . Questa guida non ti aiuterà con questo in questa fase, ma potrebbe arrivare presto.

Ecco un'illustrazione che mostra lo stato attuale della privacy DNS e HTTPS in base alle mie attuali conoscenze.

Per quanto riguarda il tuo normale utilizzo quotidiano (non sensibile), ricorda che finora solo i browser basati su Firefox supportano ECH (ex eSNI) e che in questa fase è utile solo con i siti Web ospitati dietro Cloudflare CDN. Se preferisci una versione basata su Chrome (che è comprensibile per alcuni a causa di alcune funzionalità meglio integrate come la traduzione al volo), consiglierei invece l'uso di Brave che supporta tutte le estensioni di Chrome e offre una privacy molto migliore rispetto a Cromo.

Ma la storia non si ferma qui. Ora perché dopo tutto questo, anche se crittografi il tuo DNS e usi tutte le mitigazioni possibili. Semplici richieste IP a qualsiasi server probabilmente consentiranno a un avversario di rilevare comunque quale sito stai visitando. E questo è semplicemente perché la maggior parte dei siti Web ha IP univoci ad essi collegati, come spiegato qui: https://blog.apnic.net/2019/08/23/what-can-you-learn-from-an-ip-address / ^{[Archivio.org]}. Ciò significa che un avversario può creare un set di dati di siti Web noti, ad esempio includendo i loro IP e quindi confrontare questo set di dati con l'IP richiesto. Nella maggior parte dei casi, ciò si tradurrà in un'ipotesi corretta del sito Web che stai visitando. Ciò significa che nonostante la graffatura OCSP, nonostante ECH/eSNI, nonostante utilizzi il DNS crittografato … Un avversario può comunque indovinare il sito Web che stai visitando.

Pertanto, per mitigare tutti questi problemi (per quanto possibile e nel miglior modo possibile), questa guida consiglierà in seguito due soluzioni: l'utilizzo di Tor e una soluzione multilivello virtualizzata (vedi Appendice W: Virtualizzazione ) di VPN su Tor ( DNS su VPN su Tor o DNS su TOR). Verranno spiegate anche altre opzioni (Tor su VPN, solo VPN, No Tor/VPN) ma sono meno consigliate.

I tuoi dispositivi abilitati RFID:

RFID sta per Identificazione a radiofrequenza ⁵⁷ , è la tecnologia utilizzata ad esempio per pagamenti contactless e vari sistemi di identificazione. Naturalmente, il tuo smartphone è tra questi dispositivi e ha funzionalità di pagamento contactless RFID tramite NFC ⁵⁸ . Come per tutto il resto, tali capacità possono essere utilizzate per il monitoraggio da vari attori.

Ma sfortunatamente, questo non è limitato al tuo smartphone e probabilmente porti sempre con te anche una certa quantità di dispositivi abilitati RFID come:

Le tue carte di credito/debito abilitate al contactless
Le tue carte fedeltà del negozio
Le tue carte di pagamento per il trasporto
Le tue carte di accesso al lavoro
Le chiavi della tua macchina
La tua carta d'identità o patente di guida
Il tuo passaporto
Il prezzo/targhette antifurto su oggetto/abbigliamento
…

Sebbene tutti questi non possano essere utilizzati per renderti anonimo da un avversario online remoto, possono essere utilizzati per restringere una ricerca se è nota la tua posizione approssimativa in un determinato momento. Ad esempio, non si può escludere che alcuni negozi scansionino (e registreranno) in modo efficace tutti i chip RFID che passano attraverso la porta. Potrebbero cercare le loro carte fedeltà ma ne stanno anche registrando altre lungo la strada. Tali tag RFID potrebbero essere ricondotti alla tua identità e consentire la de-anonimizzazione.

Maggiori informazioni su Wikipedia: https://en.wikipedia.org/wiki/Radio-frequency_identification#Security_concerns ^[Wikiless] ^{[Archive.org]} e https://en.wikipedia.org/wiki/Radio-frequency_identification#Privacy ^{[ Wikiless]} ^{[Archive.org]}

L'unico modo per mitigare questo problema è non avere tag RFID su di te o schermarli di nuovo usando un tipo di gabbia di Faraday. Potresti anche utilizzare portafogli/sacchetti specializzati che bloccano in modo specifico le comunicazioni RFID. Molti di questi sono ora realizzati da noti marchi come Samsonite ⁵⁹ . Non dovresti portare tali dispositivi RFID mentre svolgi attività sensibili.

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

I dispositivi Wi-Fi e Bluetooth intorno a te:

La geolocalizzazione non viene effettuata solo utilizzando la triangolazione delle antenne mobili. Viene anche fatto utilizzando i dispositivi Wi-Fi e Bluetooth intorno a te. I produttori di sistemi operativi come Google (Android ⁶⁰ ) e Apple (IOS ⁶¹ ) mantengono un comodo database della maggior parte dei punti di accesso Wi-Fi, dei dispositivi Bluetooth e della loro posizione. Quando il tuo smartphone Android o iPhone è acceso (e non in modalità aereo), eseguirà la scansione attiva (a meno che tu non disabiliti specificamente questa funzione nelle impostazioni) punti di accesso Wi-Fi e dispositivi Bluetooth intorno a te e sarà in grado di geolocalizzarti con maggiore precisione rispetto a quando si utilizza un GPS.

Questo rilevamento attivo e continuo può quindi essere rispedito a Google/Apple/Microsoft come parte della loro telemetria. Il problema è che questo sondaggio è unico e può essere utilizzato per identificare in modo univoco un utente e tracciare tale utente. I negozi, ad esempio, possono utilizzare questa tecnica per rilevare le impronte digitali dei clienti, incluso quando tornano, dove vanno nel negozio e per quanto tempo rimangono in un determinato luogo. Ci sono diversi documenti ⁶² ' ⁶³ e articoli ⁶⁴ che descrivono questo problema in modo approfondito.

Ciò consente loro di fornire posizioni precise anche quando il GPS è disattivato, ma consente loro anche di tenere un comodo registro di tutti i dispositivi Bluetooth Wi-Fi in tutto il mondo. A cui possono quindi accedere da loro o da terze parti per il tracciamento.

Nota: se hai uno smartphone Android, Google probabilmente sa dove si trova, qualunque cosa tu faccia. Non puoi davvero fidarti delle impostazioni. L'intero sistema operativo è costruito da un'azienda che vuole i tuoi dati. Ricorda che se è gratuito, allora il prodotto sei tu.

Ma non è quello che possono fare tutti quei punti di accesso Wi-Fi. Le tecnologie sviluppate di recente potrebbero persino consentire a qualcuno di tracciare i tuoi movimenti con precisione solo in base alle interferenze radio. Ciò significa che è possibile tracciare i propri movimenti all'interno di una stanza/edificio in base ai segnali radio che passano. Potrebbe sembrare un'affermazione della teoria della cospirazione del cappello di carta stagnola, ma ecco i riferimenti ⁶⁵ con dimostrazioni che mostrano questa tecnologia in azione: http://rfpose.csail.mit.edu/ ^{[Archive.org]} e il video qui: https:// www.youtube.com/watch?v=HgDdaMy8KNE ^[Invidioso]

Altri ricercatori hanno trovato un modo per contare le persone in uno spazio definito utilizzando solo il Wi-Fi, vedere https://www.news.ucsb.edu/2021/020392/dont-fidget-wifi-will-count-you ^{[Archive .org]}

Potresti quindi immaginare molti casi d'uso per tecnologie come la registrazione di chi entra in edifici/uffici specifici (hotel, ospedali o ambasciate per esempio) e poi scoprire chi incontra chi e quindi rintracciarli dall'esterno. Anche se non hanno smartphone su di loro.

Ancora una volta, un problema del genere potrebbe essere mitigato solo trovandosi in una stanza/edificio che fungerebbe da gabbia di Faraday.

Ecco un altro video dello stesso tipo di tecnologia in azione: https://www.youtube.com/watch?v=FDZ39h-kCS8 ^[Invidious]

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

Non c'è molto che puoi fare su questi. Oltre ad essere non identificabile in primo luogo.

Punti di accesso Wi-Fi dannosi/rogue:

Questi sono stati utilizzati almeno dal 2008 utilizzando un attacco chiamato "Jasager" ⁶⁶ e possono essere eseguiti da chiunque utilizzi strumenti autocostruiti o dispositivi disponibili in commercio come Wi-Fi Pineapple ⁶⁷ .

Ecco alcuni video che spiegano di più sull'argomento:

HOPE 2020, https://archive.org/details/hopeconf2020/20200725_1800_Advanced_Wi-Fi_Hacking_With_%245_Microcontrollers.mp4
YouTube, Hak5, Wi-Fi Pineapple Mark VII https://www.youtube.com/watch?v=7v3JR4Wlw4Q ^[Invidious]

Questi dispositivi possono stare in una piccola borsa e possono occupare l'ambiente Wi-Fi di qualsiasi luogo all'interno della loro portata. Ad esempio, una lobby di un bar/ristorante/caffetteria/hotel. Questi dispositivi possono forzare i client Wi-Fi a disconnettersi dal Wi-Fi corrente (usando la deautenticazione, attacchi di dissociazione ⁶⁸ ) mentre effettuano lo spoofing delle normali reti Wi-Fi nella stessa posizione. Continueranno a eseguire questo attacco fino a quando il tuo computer o non deciderai di provare a connetterti all'AP canaglia.

Questi dispositivi possono quindi simulare un captive portal ⁶⁹ con lo stesso layout del Wi-Fi a cui si sta tentando di accedere (ad esempio un portale di registrazione Wi-Fi di un aeroporto). Oppure potrebbero semplicemente darti un accesso illimitato a Internet che otterranno loro stessi dallo stesso posto.

Una volta connesso tramite l'AP Rogue, questo AP sarà in grado di eseguire vari attacchi man-in-the-middle per eseguire analisi sul tuo traffico. Questi potrebbero essere reindirizzamenti dannosi o semplice sniffing del traffico. Questi possono quindi identificare facilmente qualsiasi client che, ad esempio, proverebbe a connettersi a un server VPN o alla rete Tor.

Questo può essere utile quando sai che qualcuno che vuoi anonimizzare si trova in un luogo affollato, ma non sai chi. Ciò consentirebbe a un tale avversario di rilevare eventuali impronte digitali su qualsiasi sito Web visitato nonostante l'uso di HTTPS, DoT, DoH, ODoH, VPN o Tor utilizzando l'analisi del traffico come indicato sopra nella sezione DNS.

Questi possono anche essere utilizzati per creare e fornire con cura pagine Web di phishing avanzate che raccoglierebbero le tue credenziali o cercherebbero di farti installare un certificato dannoso che consenta loro di vedere il tuo traffico crittografato.

Come mitigarli? Se ti connetti a un punto di accesso Wi-Fi pubblico, usa Tor o usa una VPN e poi Tor (Tor su VPN) o anche (VPN su Tor) per offuscare il tuo traffico dall'AP canaglia mentre lo usi ancora.

Il tuo traffico Tor/VPN anonimizzato:

Tor e VPN non sono proiettili d'argento. Molte tecniche avanzate sono state sviluppate e studiate per de-anonimizzare il traffico Tor crittografato nel corso degli anni ⁷⁰ . La maggior parte di queste tecniche sono attacchi di correlazione che correlano il traffico di rete in un modo o nell'altro a registri o set di dati. Ecco alcuni esempi:

Attacco di impronte digitali di correlazione: come illustrato (semplificato) di seguito, questo attacco impronterà il tuo traffico Tor crittografato (come i siti Web che hai visitato) in base all'analisi del tuo traffico crittografato senza decrittografarlo. Alcuni di questi metodi possono farlo con una percentuale di successo del 96% in un ambiente chiuso . L'efficacia di questi metodi in un ambiente open world reale non è stata ancora dimostrata e probabilmente richiederebbe enormi risorse di potenza di calcolo, rendendo molto improbabile che tali tecniche vengano utilizzate da un avversario locale nel prossimo futuro.Tali tecniche potrebbero tuttavia essere ipoteticamente utilizzate da un avversario avanzato e probabilmente globale con accesso alla tua rete di origine per determinare parte della tua attività. Esempi di tali attacchi sono descritti in diversi documenti di ricerca ⁷¹ ' ⁷² ' ⁷³ così come i loro limiti ⁷⁴ . Lo stesso Tor Project ha pubblicato un articolo su questi attacchi con alcune mitigazioni: https://blog.torproject.org/new-low-cost-traffic-analysis-attacks-mitigations ^{[Archive.org]} .

Attacchi sui tempi di correlazione: come illustrato (semplificato) di seguito, un avversario che ha accesso ai log di connessione di rete (ad esempio IP o DNS, ricorda che la maggior parte dei server VPN e la maggior parte dei nodi Tor sono noti ed elencati pubblicamente) all'origine e alla destinazione potrebbe essere correlato i tempi per renderti anonimo senza richiedere alcun accesso alla rete Tor o VPN nel mezzo. Un vero caso d'uso di questa tecnica è stato fatto dall'FBI nel 2013 per anonimizzare ⁷⁵ una bufala di minaccia di bomba all'Università di Harvard.

Attacchi di conteggio delle correlazioni: come illustrato (semplificato) di seguito, un avversario che non ha accesso ai registri di connessione dettagliati (non può vedere che hai utilizzato Tor o Netflix) ma ha accesso ai registri di conteggio dei dati potrebbe vedere che hai scaricato 600 MB in un momento specifico/ data che corrisponde ai 600 MB di caricamento nella destinazione. Questa correlazione può quindi essere utilizzata per renderti anonimo nel tempo.

Ci sono modi per mitigare questi come:

Non utilizzare Tor/VPN per accedere a servizi che si trovano sulla stessa rete (ISP) del servizio di destinazione. Ad esempio, non connetterti a Tor dalla tua Rete di Ateneo per accedere a un Servizio di Ateneo in modo anonimo. Utilizzare invece un punto di origine diverso (come un Wi-Fi pubblico) che non può essere facilmente correlato da un avversario.
Non utilizzare Tor/VPN da una rete ovviamente molto monitorata (come una rete aziendale/governativa), ma cerca invece di trovare una rete non monitorata come un Wi-Fi pubblico o un Wi-Fi residenziale.
Considera l'uso di più livelli (come quello che verrà consigliato in questa guida in seguito: VPN su Tor) in modo che un avversario possa vedere che qualcuno si è connesso al servizio tramite Tor ma non sarà in grado di vedere che eri tu perché eri connesso a una VPN e non alla rete Tor.

Siate ancora consapevoli che questo potrebbe non essere sufficiente contro un avversario globale motivato ⁷⁶ con ampio accesso alla sorveglianza di massa globale. Un tale avversario potrebbe avere accesso ai log indipendentemente da dove ti trovi e potrebbe usarli per renderti anonimo. Di solito, questi attacchi fanno parte di quello che viene chiamato Sybil Attack ⁷⁷ . Questi avversari non rientrano nell'ambito di questa guida.

Tieni inoltre presente che tutti gli altri metodi descritti in questa guida, come l'analisi comportamentale, possono essere utilizzati anche per deanonimizzare gli utenti Tor indirettamente (vedi più avanti La tua impronta digitale, Impronta e Comportamento online ).

Consiglio vivamente anche di leggere questa guida molto buona, completa e completa (e più dettagliata) sui vettori di attacco più conosciuti su Tor: https://github.com/Attacks-on-Tor/Attacks-on-Tor ^{[Archive.org ]} così come questa recente pubblicazione di ricerca https://www.researchgate.net/publication/323627387_Shedding_Light_on_the_Dark_Corners_of_the_Internet_A_Survey_of_Tor_Research ^{[Archive.org]}

Oltre a questa fantastica serie di post sul blog: https://www.hackerfactor.com/blog/index.php?/archives/906-Tor-0day-The-Management-Vulnerability.html ^{[Archive.org]}

Recentemente, uno di questi attacchi è stato tentato alla rete Tor con maggiori informazioni qui: https://arstechnica.com/information-technology/2014/07/active-attack-on-tor-network-tried-to-decloak-users -per-cinque-mesi/ ^{[Archive.org]}

Infine, ricorda che l'utilizzo di Tor può già essere considerato un'attività sospetta ⁷⁸ , e il suo utilizzo potrebbe essere considerato dannoso da alcuni ⁷⁹ .

Questa guida proporrà in seguito alcune mitigazioni a tali attacchi modificando la tua origine dall'inizio (utilizzando ad esempio Wi-Fi pubblici). Ricorda che tali attacchi sono di solito sferrati da avversari altamente qualificati, pieni di risorse e motivati e non rientrano nell'ambito di questa guida.

Disclaimer: va anche notato che Tor non è progettato per proteggere da un avversario globale. Per ulteriori informazioni, vedere https://svn-archive.torproject.org/svn/projects/design-paper/tor-design.pdf ^{[Archive.org]} e in particolare, "Parte 3. Obiettivi e ipotesi di progettazione".

Alcuni Dispositivi possono essere tracciati anche offline:

Hai visto questo in film e spettacoli d'azione/spia/fantascienza, i protagonisti rimuovono sempre la batteria dei loro telefoni per assicurarsi che non possa essere utilizzata. La maggior parte delle persone penserebbe che sia eccessivo. Ebbene, sfortunatamente no, ora questo sta diventando vero almeno per alcuni dispositivi:

iPhone e iPad (IOS 13 e versioni successive) ⁸⁰ ' ⁸¹
Telefoni Samsung (Android 10 e versioni successive) ⁸²
MacBook (macOS 10.15 e versioni successive) ⁸³

Tali dispositivi continueranno a trasmettere informazioni sull'identità ai dispositivi vicini anche quando offline utilizzando Bluetooth Low-Energy ⁸⁴ . Non hanno accesso diretto ai dispositivi (che non sono connessi a Internet) ma utilizzano invece BLE per trovarli tramite altri dispositivi vicini ⁸⁵ . Stanno usando la comunicazione Bluetooth a corto raggio peer-to-peer per trasmettere il loro stato attraverso dispositivi online vicini.

Ora potrebbero trovare tali dispositivi e mantenere la posizione in alcuni database che potrebbero quindi essere utilizzati da terze parti o da se stessi per vari scopi (inclusi analisi, pubblicità o raccolta di prove/intelligence).

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

TLDR: non portare con sé tali dispositivi durante lo svolgimento di attività sensibili.

I tuoi identificatori hardware:

Il tuo IMEI e IMSI (e, per estensione, il tuo numero di telefono):

L'IMEI (International Mobile Equipment Identity ⁸⁶ ) e l'IMSI (International Mobile Subscriber Identity ⁸⁷ ) sono numeri univoci creati dai produttori di telefoni cellulari e dagli operatori di telefoni cellulari.

L'IMEI è legato direttamente al telefono che stai utilizzando. Questo numero è conosciuto e rintracciato dagli operatori di telefonia cellulare e conosciuto dai produttori. Ogni volta che il tuo telefono si connette alla rete mobile, registrerà l'IMEI sulla rete insieme all'IMSI (se è inserita una scheda SIM ma non è nemmeno necessaria). Viene inoltre utilizzato da molte applicazioni (ad esempio app bancarie che abusano del permesso del telefono su Android ⁸⁸ ) e sistemi operativi per smartphone (Android/IOS) per l'identificazione del dispositivo ⁸⁹ . È possibile ma difficile (e non illegale in molte giurisdizioni ⁹⁰) per cambiare l'IMEI su un telefono, ma probabilmente è più facile ed economico trovare e acquistare un vecchio telefono Burner (funzionante) per pochi euro (questa guida è per la Germania ricorda) in un mercatino delle pulci o in qualche piccolo negozio a caso.

L'IMSI è legato direttamente all'abbonamento mobile o al piano prepagato che stai utilizzando ed è legato al tuo numero di telefono dal tuo gestore di telefonia mobile. L'IMSI è codificato direttamente sulla scheda SIM e non può essere modificato. Ricorda che ogni volta che il tuo telefono si connette alla rete mobile, registrerà anche l'IMSI sulla rete insieme all'IMEI. Come l'IMEI, anche l'IMSI viene utilizzato da alcune applicazioni e dai sistemi operativi degli smartphone per l'identificazione e viene monitorato. Alcuni paesi dell'UE, ad esempio, mantengono un database di associazioni IMEI/IMSI per una facile consultazione da parte delle forze dell'ordine.

Oggi, dare via il tuo numero di telefono (reale) è lo stesso o meglio che dare via il tuo numero di previdenza sociale/carta d'identità/carta d'identità nazionale.

L'IMEI e l'IMSI possono essere ricondotti a te in almeno sei modi:

I registri degli abbonati dell'operatore mobile di solito memorizzeranno l'IMEI insieme all'IMSI e al relativo database di informazioni sugli abbonati. Se utilizzi una SIM anonima prepagata (IMSI anonimo ma con un IMEI noto), potrebbero vedere che questo cellulare ti appartiene se hai utilizzato quel cellulare in precedenza con una scheda SIM diversa (IMSI anonimo diverso ma stesso IMEI noto).
I registri dell'antenna dell'operatore mobile conserveranno convenientemente un registro di cui IMEI e IMSI conservano anche alcuni dati di connessione. Sanno e registrano, ad esempio, che un telefono con questa combinazione IMEI/IMSI collegato a un set di antenne mobili e quanto potente il segnale a ciascuna di queste antenne consentisse una facile triangolazione/geolocalizzazione del segnale. Sanno anche quali altri telefoni (il tuo vero per esempio) si sono collegati contemporaneamente alle stesse antenne con lo stesso segnale, il che consentirebbe di sapere con precisione che questo "telefono bruciatore" è sempre stato collegato nello stesso luogo/ora di questo altro "telefono noto" che appare ogni volta che viene utilizzato il telefono del masterizzatore. Queste informazioni possono essere utilizzate da varie terze parti per geolocalizzare/tracciare l'utente in modo abbastanza preciso ⁹¹ ' ⁹² .
Il produttore del telefono può risalire alla vendita del telefono utilizzando l'IMEI se quel telefono è stato acquistato in modo non anonimo. Avranno infatti i registri di ogni vendita di telefoni (compreso il numero di serie e l'IMEI), a quale negozio/persona a cui è stato venduto. E se stai utilizzando un telefono che hai acquistato online (o da qualcuno che ti conosce). Può essere ricondotto a te utilizzando tali informazioni. Anche se non ti trovano su CCTV ⁹³ e hai acquistato il telefono in contanti, possono comunque trovare quale altro telefono (il tuo vero in tasca) c'era (in quel negozio) a quell'ora/data utilizzando i registri dell'antenna .
Anche l'IMSI da solo può essere utilizzato per trovarti perché la maggior parte dei paesi ora richiede ai clienti di fornire un ID quando acquistano una carta SIM (abbonamento o prepagata). L'IMSI è quindi legato all'identità dell'acquirente della carta. Nei paesi in cui la SIM può ancora essere acquistata in contanti (come il Regno Unito), sanno ancora dove (in quale negozio) è stata acquistata e quando. Queste informazioni possono quindi essere utilizzate per recuperare informazioni dal negozio stesso (come filmati CCTV come per il caso IMEI). O ancora, i registri dell'antenna possono essere utilizzati anche per capire quale altro telefono era presente al momento della vendita.
I produttori di sistemi operativi per smartphone (Google/Apple per Android/IOs) conservano anche i registri delle identificazioni IMEI/IMSI legati agli account Google/Apple e quale utente li ha utilizzati. Anche loro possono risalire alla storia del telefono ea quali conti era legato in passato ⁹⁴ .
Le agenzie governative di tutto il mondo interessate al tuo numero di telefono possono e utilizzano ⁹⁵ dispositivi speciali chiamati "ricevitori IMSI" ⁹⁶ come Stingray ⁹⁷ o, più recentemente, Nyxcell ⁹⁸ . Questi dispositivi possono impersonare (per falsificare) l'antenna di un telefono cellulare e forzare un IMSI specifico (il tuo telefono) a connettersi ad esso per accedere alla rete cellulare. Una volta fatto, potranno utilizzare vari MITM ³⁵ (Man-In-The-Middle Attacks) che consentiranno loro di:
- Tocca il tuo telefono (chiamate vocali e SMS).
- Annusa ed esamina il tuo traffico dati.
- Impersona il tuo numero di telefono senza controllare il tuo telefono.
- …

Ecco anche un buon video di YouTube su questo argomento: Modalità provvisoria DEFCON - Cooper Quintin - Rilevazione di stazioni base 4G false in tempo reale https://www.youtube.com/watch?v=siCk4pGGcqA ^[Invidious]

Per questi motivi è fondamentale farsi dedicare un numero di telefono anonimo e/o un bruciatore anonimo con una sim prepagata anonima che non sia legata a te in alcun modo (passata o presente) per lo svolgimento di attività sensibili (Vedi di più guida pratica nella sezione Ottenere un numero di telefono anonimo ).

Sebbene ci siano alcuni produttori di smartphone come Purism con la loro serie Librem ⁹⁹ che affermano di avere in mente la tua privacy, non consentono ancora la randomizzazione dell'IMEI che credo sia una funzione anti-tracciamento chiave che dovrebbe essere fornita da tali produttori. Sebbene questa misura non impedisca il tracciamento IMSI all'interno della scheda SIM, ti consentirebbe almeno di mantenere lo stesso "telefono master" e cambiare solo le schede SIM invece di dover cambiare entrambe per la privacy.

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

Il tuo indirizzo MAC Wi-Fi o Ethernet:

L'indirizzo MAC ¹⁰⁰ è un identificatore univoco legato alla tua interfaccia di rete fisica (Ethernet cablata o Wi-Fi) e potrebbe ovviamente essere utilizzato per rintracciarti se non è randomizzato. Come nel caso dell'IMEI, i produttori di computer e schede di rete di solito tengono i registri delle loro vendite (di solito includendo cose come numero di serie, IMEI, indirizzi Mac, ...) ed è ancora possibile per loro tenere traccia di dove e quando il computer con l'indirizzo MAC in questione è stato venduto ea chi. Anche se l'hai acquistato in contanti in un supermercato, il supermercato potrebbe avere ancora telecamere a circuito chiuso (o una telecamera a circuito chiuso appena fuori da quel negozio) e ancora una volta l'ora/data di vendita potrebbe essere utilizzata per scoprire chi c'era utilizzando i registri dell'antenna del provider di telefonia mobile su quella volta (IMEI/IMSI).

I produttori di sistemi operativi (Google/Microsoft/Apple) manterranno anche i registri dei dispositivi e i loro indirizzi MAC nei loro registri per l'identificazione del dispositivo (ad esempio, trova i servizi del tipo di dispositivo). Apple può dire che il MacBook con questo specifico indirizzo MAC era già stato collegato a un account Apple specifico. Forse il tuo prima che decidessi di utilizzare il MacBook per attività delicate. Forse a un altro utente che te l'ha venduto ma ricorda la tua e-mail/numero di quando è avvenuta la vendita.

Il tuo router di casa/punto di accesso Wi-Fi conserva i registri dei dispositivi registrati sul Wi-Fi e anche questi sono accessibili per scoprire chi ha utilizzato il tuo Wi-Fi. A volte questo può essere fatto in remoto (e silenziosamente) dall'ISP a seconda che quel router/punto di accesso Wi-Fi sia "gestito" in remoto dall'ISP (cosa che spesso accade quando forniscono il router ai propri clienti).

Alcuni dispositivi commerciali manterranno un registro degli indirizzi MAC in roaming per vari scopi come la congestione stradale ¹⁰¹ .

Quindi, è ancora una volta importante non portare il telefono con sé quando/dove si svolgono attività sensibili. Se utilizzi il tuo laptop, è fondamentale nascondere quell'indirizzo MAC (e l'indirizzo Bluetooth) ovunque lo usi e fare molta attenzione a non divulgare informazioni. Per fortuna molti sistemi operativi recenti ora dispongono o consentono la possibilità di randomizzare gli indirizzi MAC (Android, IOS, Linux e Windows 10) con la notevole eccezione di macOS che non supporta questa funzione anche nella sua ultima versione di Big Sur.

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

Il tuo indirizzo MAC Bluetooth:

Il tuo MAC Bluetooth è come l'indirizzo MAC precedente tranne per il Bluetooth. Ancora una volta, può essere utilizzato per rintracciarti poiché i produttori e i produttori di sistemi operativi tengono registri di tali informazioni. Potrebbe essere legato a un luogo/ora/data o account di vendita e quindi potrebbe essere utilizzato per rintracciarti con tali informazioni, le informazioni di fatturazione del negozio, la CCTV o i registri dell'antenna mobile in correlazione.

I sistemi operativi dispongono di protezioni per randomizzare tali indirizzi, ma sono comunque soggetti a vulnerabilità ¹⁰² .

Per questo motivo, ea meno che tu non abbia davvero bisogno di quelli, dovresti semplicemente disabilitare completamente il Bluetooth nelle impostazioni BIOS/UEFI se possibile o nel sistema operativo altrimenti.

In Windows 10, dovrai disabilitare e abilitare il dispositivo Bluetooth in Gestione dispositivi stesso per forzare la randomizzazione dell'indirizzo per l'uso successivo e impedire il tracciamento.

In generale, questo non dovrebbe essere troppo preoccupante rispetto agli indirizzi MAC. Gli indirizzi BT sono randomizzati abbastanza spesso.

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

La tua CPU:

Tutte le moderne CPU ¹⁰³ stanno ora integrando piattaforme di gestione nascoste come l'ormai famigerato Intel Management Engine ¹⁰⁴ e l'AMD Platform Security Processor ¹⁰⁵ .

Queste piattaforme di gestione sono piccoli sistemi operativi che funzionano direttamente sulla tua CPU fintanto che sono alimentati. Questi sistemi hanno pieno accesso alla rete del tuo computer e potrebbero essere raggiunti da un avversario per renderti anonimo in vari modi (usando l'accesso diretto o usando il malware, ad esempio) come mostrato in questo video illuminante: BlackHat, How to Hack a Turned-Off Computer o esecuzione di codice non firmato in Intel Management Engine https://www.youtube.com/watch?v=9fhNokIgBMU ^[Invidious] .

Questi sono già stati colpiti da diverse vulnerabilità di sicurezza in passato ¹⁰⁶ che hanno consentito al malware di ottenere il controllo dei sistemi di destinazione. Questi sono anche accusati da molti attori della privacy, tra cui EFF e Libreboot, di essere una backdoor in qualsiasi sistema ¹⁰⁷ .

Ci sono alcuni modi non così semplici ¹⁰⁸ per disabilitare Intel IME su alcune CPU e dovresti farlo se puoi. Per alcuni laptop AMD, puoi disabilitarlo nelle impostazioni del BIOS disabilitando PSP.

Si noti che, a difesa di AMD, finora e AFAIK, non sono state rilevate vulnerabilità di sicurezza per ASP e nemmeno backdoor: vedere https://www.youtube.com/watch?v=bKH5nGLgi08&t=2834s ^[Invidious] . Inoltre, AMD PSP non fornisce funzionalità di gestione remota contrarie a Intel IME.

Se ti senti un po' più avventuroso, puoi installare il tuo BIOS usando Libreboot o Coreboot ¹⁰⁹ se il tuo laptop lo supporta (tieni presente che Coreboot contiene del codice di proprietà a differenza del suo fork Libreboot).

Inoltre, alcune CPU hanno difetti non risolvibili (soprattutto CPU Intel) che potrebbero essere sfruttati da vari malware. Ecco un buon elenco aggiornato di tali vulnerabilità che interessano le recenti CPU diffuse: https://en.wikipedia.org/wiki/Transient_execution_CPU_vulnerability ^[Wikiless] ^{[Archive.org]}

Controllati:

Se stai usando Linux puoi controllare lo stato di vulnerabilità della tua CPU agli attacchi Spectre/Meltdown usando https://github.com/speed47/spectre-meltdown-checker ^{[Archive.org]} che è disponibile come pacchetto per la maggior parte di Linux distribuzioni tra cui Whonix.
Se stai usando Windows, puoi controllare lo stato di vulnerabilità della tua CPU usando inSpectre https://www.grc.com/inspectre.htm ^{[Archive.org]}

Alcuni di questi possono essere evitati utilizzando le impostazioni del software di virtualizzazione che possono mitigare tali exploit. Consulta questa guida per ulteriori informazioni https://www.whonix.org/wiki/Spectre_Meltdown ^{[Archive.org]} (attenzione: possono influire gravemente sulle prestazioni delle tue VM).

In questa guida, quindi, ridurrò alcuni di questi problemi raccomandando l'uso di macchine virtuali su un laptop anonimo dedicato per le tue attività sensibili che verranno utilizzate solo da una rete pubblica anonima.

Inoltre, consiglierò l'uso di CPU AMD rispetto a CPU Intel.

I tuoi servizi di telemetria dei sistemi operativi e delle app:

Che si tratti di Android, iOS, Windows, macOS o persino Ubuntu. I sistemi operativi più popolari ora raccolgono le informazioni di telemetria per impostazione predefinita anche se non hai mai accettato o annullato l'iscrizione ¹¹⁰ dall'inizio. Alcuni come Windows non consentiranno nemmeno di disabilitare completamente la telemetria senza alcune modifiche tecniche. Questa raccolta di informazioni può essere ampia e includere un numero impressionante di dettagli (metadati e dati) sui tuoi dispositivi e sul loro utilizzo.

Ecco una buona panoramica di ciò che viene raccolto da quei cinque sistemi operativi popolari nelle loro ultime versioni:

Android/Google:
- Basta leggere la loro politica sulla privacy https://policies.google.com/privacy ^{[Archive.org]}
- School of Computer Science & Statistics, Trinity College Dublin, Irlanda Privacy dei cellulari: misurare i dati iOS e Android Invia ad Apple e Google https://www.scss.tcd.ie/doug.leith/apple_google.pdf ^{[Archive.org
  ]}
iOS/Apple:
- Maggiori informazioni su https://www.apple.com/legal/privacy/en-ww/ ^{[Archive.org]} e https://support.apple.com/en-us/HT202100 ^{[Archive.org]}
- School of Computer Science & Statistics, Trinity College Dublin, Irlanda Privacy dei cellulari: misurare i dati iOS e Android Invia ad Apple e Google https://www.scss.tcd.ie/doug.leith/apple_google.pdf ^{[Archive.org
  ]}
- Apple afferma ¹¹¹ di rendere anonimi questi dati utilizzando la privacy differenziale ¹¹² , ma su questo dovrai fidarti di loro.
Windows/Microsoft:
- Elenco completo dei dati diagnostici richiesti: https://docs.microsoft.com/en-us/windows/privacy/required-windows-diagnostic-data-events-and-fields-2004 ^{[Archive.org]}
- Elenco completo dei dati diagnostici opzionali: https://docs.microsoft.com/en-us/windows/privacy/windows-diagnostic-data ^{[Archive.org]}
Mac OS:
- Maggiori dettagli su https://support.apple.com/guide/mac-help/share-analytics-information-mac-apple-mh27990/mac ^{[Archive.org]}
Ubuntu:
- Ubuntu nonostante sia una distribuzione Linux al giorno d'oggi raccoglie anche dati di telemetria. Questi dati sono però piuttosto limitati rispetto agli altri. Maggiori dettagli su https://ubuntu.com/desktop/statistics ^{[Archive.org]}

Non solo i sistemi operativi raccolgono servizi di telemetria, ma anche le app stesse come browser, client di posta e app di social network sono installate sul tuo sistema.

È importante capire che questi dati di telemetria possono essere collegati al tuo dispositivo e aiutarti a renderti anonimo e in seguito possono essere utilizzati contro di te da un avversario che avrebbe accesso a questi dati.

Ciò non significa ad esempio che i dispositivi Apple siano scelte terribili per una buona Privacy (anche se questo potrebbe cambiare ¹¹³ ), ma non sono certamente le scelte migliori per l'anonimato (relativo). Potrebbero proteggerti da terze parti che sanno cosa stai facendo ma non da se stesse. Con ogni probabilità, sicuramente sanno chi sei.

Più avanti in questa guida, utilizzeremo tutti i mezzi a nostra disposizione per disabilitare e bloccare quanta più telemetria possibile per mitigare questo vettore di attacco nei sistemi operativi supportati in questa guida. Questi includeranno Windows, macOS e persino Linux in qualche modo.

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

I tuoi dispositivi Smart in generale:

Avete capito bene; il tuo smartphone è un dispositivo di spionaggio/tracciamento avanzato che:

Registra tutto ciò che dici in qualsiasi momento ("Ehi Siri", "Ehi Google").
Registra la tua posizione ovunque tu vada.
Registra sempre altri dispositivi intorno a te (dispositivi Bluetooth, punti di accesso Wi-Fi).
Registra le tue abitudini e i dati sulla salute (passi, tempo di utilizzo, esposizione a malattie, dati dei dispositivi connessi)
Registra tutte le posizioni della tua rete.
Registra tutte le tue foto e video (e molto probabilmente dove sono stati presi).
Molto probabilmente ha accesso alla maggior parte dei tuoi account conosciuti, inclusi social media, messaggistica e account finanziari.

I dati vengono trasmessi anche in caso di rinuncia ¹¹⁰ , elaborati e archiviati a tempo indeterminato (molto probabilmente non crittografati ¹¹⁴ ) da varie terze parti ¹¹⁵ .

Ma non è tutto, questa sezione non si chiama “Smartphone” ma “Dispositivi Smart” perché non è solo il tuo smartphone a spiarti. È anche qualsiasi altro dispositivo intelligente che potresti avere:

Il tuo orologio intelligente? (Apple Watch, Smartwatch Android…)
I tuoi dispositivi e app per il fitness ¹¹⁶ ' ¹¹⁷ ? (Strava ¹¹⁸ ' ¹¹⁹ , Fitbit ¹²⁰ , Garmin, Polar ¹²¹ , …)
Il tuo altoparlante intelligente? (Amazon Alexa ¹²² , Google Echo, Apple Homepod…)
Il tuo trasporto intelligente? (Auto? Scooter?)
I tuoi smart tag? (Apple AirTag, Galaxy SmartTag, Tile...)
La tua auto? (Sì, la maggior parte delle auto moderne ha funzionalità di registrazione/tracciamento avanzate al giorno d'oggi ¹²³ )
Qualche altro dispositivo Smart? Ci sono anche dei comodi motori di ricerca dedicati a trovarli online:

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

Conclusione: non portare con te i tuoi dispositivi intelligenti quando svolgi attività sensibili.

Te stesso:

I tuoi metadati inclusa la tua posizione geografica:

I tuoi metadati sono tutte le informazioni sulle tue attività senza il contenuto effettivo di tali attività. Ad esempio, è come sapere di aver ricevuto una chiamata da un oncologo prima di chiamare successivamente la tua famiglia e i tuoi amici. Non sai cosa è stato detto durante la conversazione, ma puoi intuire di cosa si trattava solo dai metadati ¹²⁴ .

Questi metadati spesso includeranno anche la tua posizione che viene raccolta da smartphone, sistemi operativi (Android ¹²⁵ /IOS), browser, app, siti web. È probabile che diverse aziende sappiano esattamente dove ti trovi in qualsiasi momento ¹²⁶ grazie al tuo smartphone ¹²⁷ .

Questi dati di localizzazione sono stati utilizzati in molti casi giudiziari ¹²⁸ già nell'ambito dei “mandati di geofencing” ¹²⁹ che consentono alle forze dell'ordine di chiedere alle aziende (come Google/Apple) un elenco di tutti i dispositivi presenti in un determinato luogo in un determinato momento. Inoltre, questi dati sulla posizione vengono persino venduti da società private ai militari che possono quindi utilizzarli comodamente ¹³⁰ . Questi mandati stanno diventando ampiamente utilizzati dalle forze dell'ordine ¹³¹ ' ¹³² ' ¹³³ .

Se vuoi provare tu stesso come sarebbe un "mandato di geofencing", ecco un esempio: https://wigle.net/ .

Ora diciamo che stai usando una VPN per nascondere il tuo IP. La piattaforma di social media sa che eri attivo su quell'account il 4 novembre dalle 8:00 alle 13:00 con quell'IP VPN. La VPN presumibilmente non tiene registri e non può risalire a quell'IP VPN sul tuo IP. Il tuo ISP tuttavia sa (o almeno può sapere) che eri connesso allo stesso provider VPN il 4 novembre dalle 7:30 alle 14:00 ma non sa cosa stavi facendo con esso.

La domanda è: c'è qualcuno da qualche parte che avrebbe entrambe le informazioni disponibili ¹³⁴ per la correlazione in un comodo database?

Hai sentito parlare di Edward Snowden ¹³⁵ ? Ora è il momento di cercarlo su Google e leggere il suo libro ¹³⁶ . Leggi anche XKEYSCORE ¹³⁷ ' ¹³⁸ , MUSCULAR ¹³⁹ , SORM ¹⁴⁰ , Tempora ¹⁴¹ e PRISM ¹⁴² .

Vedi "Uccidiamo persone in base ai metadati" ¹⁴³ o questo famoso tweet dell'IDF https://twitter.com/idf/status/1125066395010699264 ^{[Archive.org]} ^[Nitter] .

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

Impronta digitale, impronta e comportamento online:

Questa è la parte in cui dovresti guardare il documentario "The Social Dilemma" ¹⁴⁴ su Netflix poiché tratta questo argomento molto meglio di chiunque altro IMHO.

Ciò include il modo in cui scrivi (stilometria) ¹⁴⁵ ' ¹⁴⁶ , il modo in cui ti comporti ¹⁴⁷ ' ¹⁴⁸ . Il modo in cui fai clic. Il modo in cui navighi. I caratteri che utilizzi sul tuo browser ¹⁴⁹ . L'impronta digitale viene utilizzata per indovinare chi è qualcuno dal modo in cui si comporta quell'utente. Potresti utilizzare parole pedanti specifiche o commettere errori di ortografia specifici che potrebbero tradirti utilizzando una semplice ricerca su Google per funzionalità simili perché hai digitato in modo simile su alcuni post di Reddit 5 anni fa utilizzando un account Reddit non così anonimo ¹⁵⁰ . Le parole che digiti in un motore di ricerca da sole possono essere utilizzate contro di te poiché le autorità ora hanno mandati per trovare utenti che hanno utilizzato parole chiave specifiche nei motori di ricerca ¹⁵¹.

Le piattaforme di social media come Facebook/Google possono fare un ulteriore passo avanti e possono registrare il tuo comportamento nel browser stesso. Ad esempio, possono registrare tutto ciò che digiti anche se non lo invii / lo salvi. Pensa a quando elabori un'e-mail in Gmail. Viene salvato automaticamente durante la digitazione. Possono anche registrare i tuoi clic e i movimenti del cursore.

Tutto ciò di cui hanno bisogno per raggiungere questo obiettivo nella maggior parte dei casi è Javascript abilitato nel tuo browser (che è il caso nella maggior parte dei browser, incluso Tor Browser per impostazione predefinita). Anche con Javascript disabilitato, ci sono ancora modi per acquisire le impronte digitali ¹⁵² .

Sebbene questi metodi vengano solitamente utilizzati per scopi di marketing e pubblicità, possono anche essere uno strumento utile per il rilevamento delle impronte digitali degli utenti. Questo perché il tuo comportamento è unico o abbastanza unico che nel tempo potresti essere anonimizzato.

Ecco alcuni esempi:

Le aziende specializzate stanno vendendo, ad esempio, alle forze dell'ordine prodotti per l'analisi delle attività dei social network come https://mediasonar.com/ ^{[Archive.org]}
Ad esempio, come base per l'autenticazione, la velocità di battitura di un utente, le pressioni sui tasti, i modelli di errore (ad esempio, premere accidentalmente una "l" anziché una "k" su tre transazioni su sette) e i movimenti del mouse stabiliscono il modello unico di quella persona di comportamento ¹⁵³ . Alcuni servizi commerciali come TypingDNA ( https://www.typingdna.com/ ^{[Archive.org]} ) offrono persino tale analisi in sostituzione delle autenticazioni a due fattori.
Questa tecnologia è anche ampiamente utilizzata nei servizi CAPTCHAS ¹⁵⁴ per verificare che tu sia "umano" e può essere utilizzata per impronte digitali di un utente.
Vedi Appendice A4: Contrastare la linguistica forense .

Gli algoritmi di analisi potrebbero quindi essere utilizzati per abbinare questi modelli ad altri utenti e abbinarti a un altro utente noto. Non è chiaro se tali dati siano già utilizzati o meno dai governi e dalle forze dell'ordine, ma potrebbe esserlo in futuro. E mentre questo è principalmente utilizzato per scopi pubblicitari/marketing/captcha ora. Potrebbe e probabilmente sarà utilizzato per indagini a breve o medio termine per deanonimizzare gli utenti.

Ecco un esempio divertente in cui provi tu stesso a vedere alcune di queste cose in azione: https://clickclickclick.click (nessun collegamento all'archivio per questo, scusa). Vedrai che diventerà interessante nel tempo (questo richiede Javascript abilitato).

Ecco anche un esempio recente che mostra solo ciò che Google Chrome raccoglie su di te: https://web.archive.org/web/https://pbs.twimg.com/media/EwiUNH0UYAgLY7V?format=jpg&name=4096x4096

Ecco alcune altre risorse sull'argomento se non riesci a vedere questo documentario:

2017, Analisi del comportamento nei social network, https://link.springer.com/10.1007/978-1-4614-7163-9_110198-1 ^{[Archive.org]}
2017, Reti sociali e affetti positivi e negativi https://www.sciencedirect.com/science/article/pii/S1877042811013747/pdf?md5=253d8f1bb615d5dee195d353dc077d46&pid=1-s2.0-S1877042811013747-main.pdf ^{[Archive.org]}
2015, Utilizzo dei dati dei social network per l'analisi del comportamento e del sentimento https://www.researchgate.net/publication/300562034_Using_Social_Networks_Data_for_Behavior_and_Sentiment_Analysis ^{[Archive.org]}
2016, un'indagine sull'analisi del comportamento degli utenti nei social network https://www.academia.edu/30936118/A_Survey_on_User_Behaviour_Analysis_in_Social_Networks ^{[Archive.org]}
2019, Analisi dell'influenza e del comportamento nei social network e nei social media https://sci-hub.se/10.1007/978-3-030-02592-2 ^{[Archive.org]}

Quindi, come puoi mitigarli?

Questa guida fornirà alcune mitigazioni tecniche utilizzando strumenti resistenti alle impronte digitali, ma potrebbero non essere sufficienti.
Dovresti applicare il buon senso e cercare di trovare i tuoi modelli nel tuo comportamento e comportarti in modo diverso quando usi identità anonime. Ciò comprende:
- Il modo in cui digiti (velocità, precisione...).
- Le parole che usi (attenzione con le tue solite espressioni).
- Il tipo di risposta che usi (se sei sarcastico per impostazione predefinita, prova ad avere un approccio diverso con le tue identità).
- Il modo in cui usi il mouse e fai clic (prova a risolvere i captcha in modo diverso dal solito)
- Le abitudini che hai quando utilizzi alcune App o visiti alcuni Siti (non utilizzare sempre gli stessi menu/pulsanti/link per raggiungere i tuoi contenuti).
- …

Devi recitare e adottare pienamente un ruolo come farebbe un attore per una performance. Devi diventare una persona diversa, pensare e agire come quella persona. Questa non è una mitigazione tecnica ma umana. Puoi fare affidamento solo su te stesso per questo.

In definitiva, sta principalmente a te ingannare quegli algoritmi adottando nuove abitudini e non rivelando informazioni reali quando usi le tue identità anonime. Vedi Appendice A4: Contrastare la linguistica forense .

I tuoi indizi sulla tua vita reale e OSINT:

Questi sono indizi che potresti fornire nel tempo e che potrebbero indicare la tua vera identità. Potresti parlare con qualcuno o postare su qualche bacheca/forum/Reddit. In quei post, nel tempo potresti far trapelare alcune informazioni sulla tua vita reale. Potrebbero essere ricordi, esperienze o indizi che hai condiviso che potrebbero quindi consentire a un avversario motivato di costruire un profilo per restringere la ricerca.

Un vero uso e un caso ben documentato di questo è stato l'arresto dell'hacker Jeremy Hammond ¹⁵⁵ che ha condiviso nel tempo diversi dettagli sul suo passato ed è stato poi scoperto.

Ci sono anche alcuni casi che coinvolgono OSINT a Bellingcat ¹⁵⁶ . Dai un'occhiata al loro toolkit molto informativo (ma leggermente obsoleto) qui: https://docs.google.com/spreadsheets/d/18rtqh8EG2q1xBo2cLNyhIDuK9jrPGwYr9DI2UncoqJQ/edit#gid=930747607 ^{[Archive.org]}

Puoi anche visualizzare alcuni comodi elenchi di alcuni strumenti OSINT disponibili qui se vuoi provarli su te stesso, ad esempio:

Oltre a questa interessante playlist su YouTube: https://www.youtube.com/playlist?list=PLrFPX1Vfqk3ehZKSFeb9pVIHqxqrNW8Sy ^[Invidious]

Oltre a quei podcast interessanti:

https://www.inteltechniques.com/podcast.html

Non dovresti mai condividere esperienze/dettagli individuali reali usando le tue identità anonime che potrebbero in seguito portare a trovare la tua vera identità. Vedrai maggiori dettagli su questo nella sezione Creazione di nuove identità .

Il tuo viso, voce, dati biometrici e immagini:

“L'inferno sono altre persone”, anche se eludi ogni metodo sopra elencato, non sei ancora fuori dai guai grazie all'uso diffuso del Riconoscimento facciale avanzato da parte di tutti.

Aziende come Facebook hanno utilizzato il riconoscimento facciale avanzato per anni ¹⁵⁷ ' ¹⁵⁸ e hanno utilizzato altri mezzi (immagini satellitari) per creare mappe di "persone" in tutto il mondo ¹⁵⁹ . Questa evoluzione è andata avanti per anni al punto che ora possiamo dire “Abbiamo perso il controllo delle nostre facce” ¹⁶⁰ .

Se stai camminando in un luogo turistico, molto probabilmente apparirai nel selfie di qualcuno in pochi minuti senza saperlo. Quella persona potrebbe quindi andare avanti e caricare quel selfie su varie piattaforme (Twitter, Google Foto, Instagram, Facebook, Snapchat …). Tali piattaforme applicheranno quindi algoritmi di riconoscimento facciale a quelle immagini con il pretesto di consentire un tagging migliore/più semplice o di organizzare meglio la tua libreria di foto. Oltre a ciò, la stessa foto fornirà un timestamp preciso e nella maggior parte dei casi la geolocalizzazione del luogo in cui è stata scattata. Anche se la persona non fornisce un timestamp e una geolocalizzazione, può comunque essere indovinata con altri mezzi ¹⁶¹ ' ¹⁶² .

Ecco alcune risorse per provare anche tu stesso:

Bellingcat, Guida all'utilizzo della ricerca inversa delle immagini per le indagini: https://www.bellingcat.com/resources/how-tos/2019/12/26/guide-to-using-reverse-image-search-for-investigations/ ^{[ Archivio.org]}
Bellingcat, utilizzando il nuovo sito russo di riconoscimento facciale SearchFace https://www.bellingcat.com/resources/how-tos/2019/02/19/using-the-new-russian-facial-recognition-site-searchface-ru/ ^{[Archivio.org]}
Bellingcat, Dali, Warhol, Boshirov: Determinare l'ora di una presunta fotografia dal sospetto Skripal Chepiga https://www.bellingcat.com/resources/how-tos/2018/10/24/dali-warhol-boshirov-determining-time -presunta-fotografia-skripal-suspect-chepiga/ ^{[Archive.org]}
Bellingcat, Guida avanzata sulla verifica dei contenuti video https://www.bellingcat.com/resources/how-tos/2017/06/30/advanced-guide-verifying-video-content/ ^{[Archive.org]}
Bellingcat, Using the Sun and the Shadows for Geolocation https://www.bellingcat.com/resources/2020/12/03/using-the-sun-and-the-shadows-for-geolocation/ ^{[Archive.org]}
Bellingcat, Navalny Poison Squad implicati negli omicidi di tre attivisti russi https://www.bellingcat.com/news/uk-and-europe/2021/01/27/navalny-poison-squad-implicated-in-murders-of- tre-attivisti-russi/ ^{[Archive.org]}
Bellingcat, Assassinio di Berlino: nuove prove sul sospetto killer dell'FSB passati a investigatori tedeschi https://www.bellingcat.com/news/2021/03/19/berlin-assassination-new-evidence-on-susspected-fsb-hitman-passed -to-german-investigators/ ^{[Archive.org]}
Bellingcat, Tutorial di ricerca digitale: indagine su un bombardamento della coalizione a guida saudita di un ospedale dello Yemen https://www.youtube.com/watch?v=cAVZaPiVArA ^[Invidious]
Bellingcat, Tutorial di ricerca digitale: utilizzo del riconoscimento facciale nelle indagini https://www.youtube.com/watch?v=awY87q2Mr0E ^[Invidious]
Bellingcat, Tutorial di ricerca digitale: geolocalizzazione (presumibilmente) di funzionari venezuelani corrotti in Europa https://www.youtube.com/watch?v=bS6gYWM4kzY ^[Invidious]

Riconoscimento dell'andatura e altri dati biometrici a lungo raggio

Anche se non stai guardando la telecamera, possono comunque capire chi sei ¹⁶³ , distinguere le tue emozioni ¹⁶⁴ , analizzare la tua andatura ¹⁶⁵ ' ¹⁶⁶ ' ¹⁶⁷ , leggere le tue labbra ¹⁶⁸ , analizzare il comportamento dei tuoi occhi ¹⁶⁹ e probabilmente indovina la tua appartenenza politica ¹⁷⁰ ' ¹⁷¹ .

Contrariamente alla credenza popolare e alla cultura pop, i moderni sistemi di riconoscimento dell'andatura non si lasciano ingannare semplicemente cambiando il modo in cui cammini (ad es. con qualcosa di scomodo nella scarpa), poiché analizzano il modo in cui i muscoli del tuo corpo si muovono su tutto il tuo corpo, mentre ti esibisci determinate azioni. Il modo migliore per ingannare il moderno riconoscimento dell'andatura è indossare abiti larghi che oscurano il modo in cui i muscoli si muovono mentre esegui le azioni.

Altre cose che possono essere utilizzate per identificarti includono i tuoi lobi delle orecchie, che in realtà sono più identificabili delle impronte digitali, o persino la forma del tuo cranio. In quanto tali, i copricapi morbidi come i passamontagna non sono raccomandabili per oscurare la tua identità: ti fanno sembrare incredibilmente sospettoso, mentre si adattano anche alla forma del tuo cranio.

(Illustrazione tratta da https://www.nature.com/articles/s41598-020-79310-1 ^{[Archive.org]} )

(illustrazione tratta da https://rd.springer.com/chapter/10.1007/978-3-030-42504-3_15 ^{[Archive.org]} )

Quelle piattaforme (Google/Facebook) sanno già chi sei per alcuni motivi:

Perché hai o avevi un profilo con loro e ti sei identificato.
Anche se non hai mai creato un profilo su quelle piattaforme, ne hai comunque uno senza nemmeno saperlo ¹⁷² ' ¹⁷³ ' ¹⁷⁴ ' ¹⁷⁵ ' ¹⁷⁶ .
Perché altre persone ti hanno taggato o identificato nelle loro foto di feste/feste.
Perché altre persone hanno inserito una tua foto nella loro lista dei contatti che hanno poi condiviso con loro.

Ecco anche una demo approfondita di Microsoft Azure che puoi provare tu stesso all'indirizzo https://azure.microsoft.com/en-us/services/cognitive-services/face/#demo dove puoi rilevare le emozioni e confrontare i volti di diverse immagini .

I governi sanno già chi sei perché hanno le foto del tuo documento di identità/passaporto/patente di guida e spesso hanno aggiunto dati biometrici (impronte digitali) nel loro database. Quegli stessi governi stanno integrando quelle tecnologie (spesso fornite da società private come l'israeliana AnyVision ¹⁷⁷ , Clearview AI ¹⁷⁸ ' ¹⁷⁹ o NEC ¹⁸⁰ ) nelle loro reti CCTV per cercare “persone di interesse” ¹⁸¹ . E alcuni stati pesantemente sorvegliati come la Cina hanno implementato un uso diffuso del riconoscimento facciale per vari scopi ¹⁸² ' ¹⁸³ inclusa la possibile identificazione di minoranze etniche ¹⁸⁴ . Un semplice errore di riconoscimento facciale da parte di un algoritmo può rovinarti la vita¹⁸⁵ '¹⁸⁶ .

Ecco alcune risorse che descrivono in dettaglio alcune tecniche utilizzate dalle forze dell'ordine oggi:

Video CCC che spiega le attuali capacità di sorveglianza delle forze dell'ordine: https://media.ccc.de/v/rc3-11406-spot_the_surveillance#t=761 ^{[Archive.org]}
EFF SLS: https://www.eff.org/sls ^{[Archive.org]}

Apple sta rendendo FaceID mainstream e ne sta spingendo l'uso per accedere a molti servizi, inclusi i sistemi bancari.

Lo stesso vale con l'autenticazione delle impronte digitali integrata da molti produttori di smartphone per autenticarsi. Una semplice immagine in cui appaiono le tue dita può essere utilizzata per anonimizzare ¹⁸⁷ ' ¹⁸⁸ ' ¹⁸⁹ ' ¹⁹⁰ .

Lo stesso vale per la tua voce che può essere analizzata per vari scopi come mostrato nel recente brevetto Spotify ¹⁹¹ .

Anche l'iride può essere utilizzata per l'identificazione in alcuni luoghi ¹⁹² .

Possiamo tranquillamente immaginare un futuro prossimo in cui non sarai in grado di creare account o accedere da nessuna parte senza fornire dati biometrici unici (Un momento adatto per rivedere Gattaca ¹⁹³ , Persona di interesse ¹⁹⁴ e Rapporto di minoranza ¹⁹⁵ ). E puoi tranquillamente immaginare quanto possano essere utili questi grandi database biometrici per alcune terze parti interessate.

Inoltre, tutte queste informazioni possono essere utilizzate anche contro di te (se sei già de-anonimizzato) utilizzando deepfake ¹⁹⁶ creando informazioni false (Immagini, Video, Registrazioni vocali ¹⁹⁷ …) e sono già state utilizzate per tali scopi ¹⁹⁸ ' ¹⁹⁹ . Ci sono anche servizi commerciali per questo prontamente disponibili come https://www.respeecher.com/ ^{[Archive.org]} e https://www.descript.com/overdub ^{[Archive.org]} .

Guarda questa demo: https://www.youtube.com/watch?v=t5yw5cR79VA ^[Invidious]

Al momento, ci sono alcuni passaggi ²⁰⁰ che puoi utilizzare per mitigare (e solo mitigare) il riconoscimento facciale durante lo svolgimento di attività sensibili in cui potrebbe essere presente la CCTV:

Indossa una maschera facciale poiché è stato dimostrato che sono in grado di sconfiggere alcune tecnologie di riconoscimento facciale ²⁰¹ ma non tutte ²⁰² .
Indossa un berretto da baseball o un cappello per mitigare l'identificazione da telecamere a circuito chiuso ad alto angolo (riprese dall'alto) dalla registrazione del tuo viso. Ricorda che questo non aiuterà contro le fotocamere frontali.
Indossa occhiali da sole oltre alla maschera facciale e al berretto da baseball per mitigare l'identificazione dai lineamenti dei tuoi occhi.
Considera di indossare occhiali da sole speciali (costosi, purtroppo) chiamati "Reflectacles" https://www.reflectacles.com/ ^{[Archive.org]} . C'è stato un piccolo studio che mostrava la loro efficacia contro il riconoscimento facciale di IBM e Amazon ²⁰³ .
Tutto ciò potrebbe essere ancora inutile a causa del riconoscimento dell'andatura menzionato in precedenza, ma potrebbe esserci speranza qui se hai una stampante 3D: https://gitlab.com/FG-01/fg-01 ^{[Archive.org]}

(vedi [Riconoscimento dell'andatura e altri dati biometrici a lungo raggio])

(Nota che se intendi utilizzarli dove sono stati installati sistemi avanzati di riconoscimento facciale, queste misure potrebbero anche contrassegnarti come sospetto e attivare un controllo umano)

Il phishing ²⁰⁴ è un tipo di attacco di ingegneria sociale ²⁰⁵ in cui un avversario potrebbe tentare di estrarre informazioni da te fingendo o impersonando qualcos'altro/qualcun altro.

Un caso tipico è un avversario che usa un attacco man-in-the-middle ³⁵ o una falsa e-mail/chiamata per chiedere le tue credenziali per un servizio. Ciò potrebbe ad esempio avvenire tramite e-mail o impersonando servizi finanziari.

Tali attacchi possono anche essere utilizzati per rendere anonimo qualcuno inducendolo a scaricare malware o a rivelare informazioni personali nel tempo. L'unica difesa contro quelli è non innamorarsi di loro e del buon senso.

Questi sono stati usati innumerevoli volte sin dai primi giorni di Internet e il solito è chiamato "419 scam" (vedi https://en.wikipedia.org/wiki/Advance-fee_scam ^[Wikiless] ^{[Archive.org]} ) .

Ecco un buon video se vuoi saperne di più sui tipi di phishing: Black Hat, Ichthyology: Phishing as a Science https://www.youtube.com/watch?v=Z20XNp-luNA ^[Invidious] .

Malware, exploit e virus:

Malware nei tuoi file/documenti/e-mail:

Utilizzando la steganografia o altre tecniche, è facile incorporare malware in formati di file comuni come documenti di Office, immagini, video, documenti PDF...

Questi possono essere semplici come collegamenti di tracciamento HTML o malware mirati complessi.

Potrebbero essere semplici immagini di dimensioni pixel ²⁰⁶ nascoste nelle tue e-mail che chiamerebbero un server remoto per cercare di ottenere il tuo indirizzo IP.

Questi potrebbero sfruttare una vulnerabilità in un formato obsoleto o un lettore obsoleto ²⁰⁷ . Tali exploit potrebbero quindi essere utilizzati per compromettere il tuo sistema.

Guarda questi buoni video per ulteriori spiegazioni sull'argomento:

Che cos'è un formato di file? https://www.youtube.com/watch?v=VVdmmN0su6E ^[Invidioso]
Ange Albertini: formati di file funky: https://www.youtube.com/watch?v=hdCs6bPM4is ^[Invidious]

Dovresti sempre usare la massima cautela. Per mitigare questi attacchi, questa guida consiglierà in seguito l'uso della virtualizzazione (vedi Appendice W: Virtualizzazione ) per mitigare la fuga di informazioni anche in caso di apertura di un file dannoso.

Se vuoi imparare come provare a rilevare tale malware, consulta l' Appendice T: Verifica della presenza di malware nei file

Malware ed exploit nelle tue app e servizi:

Quindi stai usando Tor Browser o Brave Browser su Tor. Potresti usarli su una VPN per una maggiore sicurezza. Ma dovresti tenere presente che ci sono exploit ²⁰⁸ (hack) che potrebbero essere conosciuti da un avversario (ma sconosciuti al provider dell'app/browser). Tali exploit potrebbero essere utilizzati per compromettere il tuo sistema e rivelare dettagli per renderti anonimo come il tuo indirizzo IP o altri dettagli.

Un caso d'uso reale di questa tecnica è stato il caso Freedom Hosting ²⁰⁹ nel 2013 in cui l'FBI ha inserito malware ²¹⁰ utilizzando un exploit del browser Firefox su un sito Web Tor. Questo exploit ha permesso loro di rivelare i dettagli di alcuni utenti. Più recentemente, c'è stato il notevole hack di SolarWinds ²¹¹ che ha violato diverse istituzioni del governo degli Stati Uniti inserendo malware in un server ufficiale di aggiornamento del software.

In alcuni paesi, il malware è solo obbligatorio e/o distribuito dallo stato stesso. È il caso, ad esempio, della Cina con WeChat ²¹² che può quindi essere utilizzato in combinazione con altri dati per la sorveglianza statale ²¹³ .

Esistono innumerevoli esempi di estensioni del browser dannose, app per smartphone e varie app che sono state infiltrate con malware nel corso degli anni.

Ecco alcuni passaggi per mitigare questo tipo di attacco:

Non dovresti mai avere il 100% di fiducia nelle app che stai utilizzando.
Dovresti sempre verificare di utilizzare la versione aggiornata di tali app prima dell'uso e idealmente convalidare ogni download utilizzando la loro firma, se disponibile.
Non dovresti utilizzare tali app direttamente da un sistema hardware, ma utilizzare invece una macchina virtuale per la compartimentazione.

Per riflettere questi consigli, questa guida ti guiderà quindi in seguito nell'uso della virtualizzazione (vedi Appendice W: Virtualizzazione ) in modo che anche se il tuo browser o le tue app vengono compromessi da un avversario esperto, quell'avversario si troverà bloccato in una sandbox ²¹⁴ senza essere in grado di accedere a informazioni identificative o compromettere il tuo sistema.

Dispositivi USB dannosi:

Esistono dispositivi "badUSB" ²¹⁵ commerciali ed economici prontamente disponibili che possono accettare il deployment di malware, registrare la digitazione, geolocalizzarti, ascoltarti o ottenere il controllo del tuo laptop semplicemente collegandoli. Ecco alcuni esempi che puoi già acquistare tu stesso :

Hak5, USB Rubber Ducky https://shop.hak5.org/products/usb-rubber-ducky-deluxe ^{[Archive.org]}
Hak5, cavo O.MG https://www.youtube.com/watch?v=V5mBJHotZv0 ^[Invidioso]
Keelog https://www.keelog.com/ ^{[Archive.org]}
AliExpress https://www.aliexpress.com/i/4000710369016.html ^{[Archive.org]}

Tali dispositivi possono essere impiantati ovunque (cavo di ricarica, mouse, tastiera, chiavetta USB…) da un avversario e possono essere utilizzati per rintracciarti o compromettere il tuo computer o smartphone. L'esempio più notevole di tali attacchi è probabilmente Stuxnet ²¹⁶ nel 2005.

Sebbene tu possa ispezionare fisicamente una chiave USB, scansionarla con varie utilità, controllare i vari componenti per vedere se sono autentici, molto probabilmente non sarai mai in grado di scoprire malware complessi incorporati in parti originali di una chiave USB originale da un avversario esperto senza attrezzature forensi avanzate ²¹⁷ .

Per mitigare questo, non dovresti mai fidarti di tali dispositivi e collegarli ad apparecchiature sensibili. Se utilizzi un dispositivo di ricarica, dovresti considerare l'uso di un dispositivo di blocco dei dati USB che consentirà solo la ricarica ma non il trasferimento dei dati. Tali dispositivi di blocco dei dati sono ora prontamente disponibili in molti negozi online. Dovresti anche considerare di disabilitare completamente le porte USB all'interno del BIOS del tuo computer a meno che tu non ne abbia bisogno (se puoi).

Malware e backdoor nel firmware hardware e nel sistema operativo:

Questo potrebbe suonare un po' familiare in quanto è già stato parzialmente trattato in precedenza nella sezione La tua CPU .

Malware e backdoor possono essere incorporati direttamente nei componenti hardware. A volte queste backdoor sono implementate dal produttore stesso, come l'IME nel caso delle CPU Intel. E in altri casi, tali backdoor possono essere implementate da una terza parte che si inserisce tra gli ordini di nuovo hardware e la consegna al cliente ²¹⁸ .

Tali malware e backdoor possono anche essere implementati da un avversario utilizzando exploit software. Molti di questi sono chiamati rootkit ²¹⁹ nel mondo tecnologico. Di solito, questi tipi di malware sono più difficili da rilevare e mitigare poiché sono implementati a un livello inferiore rispetto allo spazio utente ²²⁰ e spesso nel firmware ²²¹ dei componenti hardware stessi.

Che cos'è il firmware? Il firmware è un sistema operativo di basso livello per i dispositivi. Ogni componente del tuo computer probabilmente ha un firmware incluso, ad esempio, le tue unità disco. Il sistema BIOS ²²² /UEFI ²²³ della tua macchina, ad esempio, è un tipo di firmware.

Questi possono consentire la gestione remota e sono in grado di consentire il controllo completo di un sistema di destinazione in modo silenzioso e invisibile.

Come accennato in precedenza, questi sono più difficili da rilevare dagli utenti, ma alcuni passaggi limitati possono essere presi per mitigarne alcuni proteggendo il tuo dispositivo dalla manomissione e utilizzando alcune misure (come ad esempio il re-flash del BIOS). Sfortunatamente, se tale malware o backdoor viene implementato dal produttore stesso, diventa estremamente difficile rilevarli e disabilitarli.

I tuoi file, documenti, immagini e video:

Proprietà e metadati:

Questo può essere ovvio per molti ma non per tutti. Alla maggior parte dei file sono allegati metadati. Buoni esempi sono le immagini che memorizzano informazioni EXIF ²²⁴ che possono contenere molte informazioni come le coordinate GPS, quale modello di fotocamera/telefono le ha scattate e quando è stata scattata con precisione. Sebbene queste informazioni potrebbero non rivelare direttamente chi sei, potrebbero dire esattamente dove ti trovavi in un determinato momento, il che potrebbe consentire ad altri di utilizzare varie fonti per trovarti (TVCC o altri filmati ripresi nello stesso posto nello stesso momento durante un protesta per esempio). È necessario verificare qualsiasi file che inseriresti su quelle piattaforme per eventuali proprietà che potrebbero contenere informazioni che potrebbero ricondurti a te.

Ecco un esempio di dati EXIF che potrebbero trovarsi su un'immagine:

(Illustrazione da Wikipedia)

Questo funziona anche per i video. Sì, anche i video hanno il geo-tagging e molti ne sono molto ignari. Ecco ad esempio uno strumento molto conveniente per geolocalizzare i video di YouTube: https://mattw.io/youtube-geofind/location ^{[Archive.org]}

Per questo motivo, dovrai sempre essere estremamente attento quando carichi file utilizzando le tue identità anonime e controlla i metadati di quei file.

Anche se pubblichi un file di testo normale, dovresti sempre ricontrollarlo due o tre volte per eventuali perdite di informazioni prima della pubblicazione. Troverai alcune indicazioni al riguardo nella sezione Alcune misure aggiuntive contro la scientifica alla fine della guida.

Filigrana:

Immagini/Video/Audio:

Immagini/video spesso contengono filigrane visibili che indicano chi è il proprietario/creatore, ma ci sono anche filigrane invisibili in vari prodotti che mirano a identificare lo spettatore stesso.

Quindi, se sei un informatore e stai pensando di far trapelare qualche file immagine/audio/video. Pensa due volte. Ci sono possibilità che quelli possano contenere filigrane invisibili al loro interno che includerebbero informazioni su di te come spettatore. Tali filigrane possono essere abilitate con un semplice interruttore come Zoom (Video ²²⁵ o Audio ²²⁶ ) o con estensioni ²²⁷ per app popolari come Adobe Premiere Pro. Questi possono essere inseriti da vari sistemi di gestione dei contenuti.

Per un esempio recente in cui qualcuno che ha fatto trapelare una registrazione di una riunione Zoom è stato catturato perché era contrassegnato da una filigrana: https://theintercept.com/2021/01/18/leak-zoom-meeting/ ^{[Tor Mirror]} ^{[Archive.org]}

Tali filigrane possono essere inserite da vari prodotti ²²⁸ ' ²²⁹ ' ²³⁰ ' ²³¹ utilizzando la steganografia ²³² e possono resistere alla compressione ²³³ e ricodificare ²³⁴ ' ²³⁵ .

Queste filigrane non sono facilmente rilevabili e potrebbero consentire l'identificazione della fonte nonostante tutti gli sforzi.

Oltre alle filigrane, la telecamera utilizzata per le riprese (e quindi il dispositivo utilizzato per le riprese) un video può anche essere identificata utilizzando varie tecniche come l'identificazione dell'obiettivo ²³⁶ che potrebbe portare alla de-anonimizzazione.

Fai molta attenzione quando pubblichi video/immagini/file audio da piattaforme commerciali note in quanto potrebbero contenere tali filigrane invisibili oltre ai dettagli nelle immagini stesse. Non esiste una protezione garantita al 100% contro quelli. Dovrai usare il buon senso.

Filigrana di stampa:

Sapevi che molto probabilmente anche la tua stampante sta spiando te? Anche se non è connesso a nessuna rete? Questo è di solito un fatto noto a molte persone nella comunità IT ma a poche persone esterne.

Sì ... Le tue stampanti possono essere utilizzate per renderti anonimo così come spiegato dall'EFF qui https://www.eff.org/issues/printers ^{[Archive.org]}

Con questo video (vecchio ma ancora rilevante) che spiega come anche dall'EFF: https://www.youtube.com/watch?v=izMGMsIZK4U ^[Invidious]

Molte stampanti stamperanno una filigrana invisibile consentendo l'identificazione della stampante su ogni pagina stampata. Questo è chiamato Steganografia della stampante ²³⁷ . Non esiste un modo tangibile per mitigare questo problema, ma informarti sulla tua stampante e assicurarti che non stampi alcuna filigrana invisibile. Questo è importante se intendi stampare in modo anonimo.

Ecco un elenco (vecchio ma ancora rilevante) di stampanti e marchi che non stampano tali punti di tracciamento fornito dall'EFF https://www.eff.org/pages/list-printers-which-do-or-do-not -display-tracking-dots ^{[Archive.org]}

Ecco anche alcuni suggerimenti dalla documentazione Whonix ( https://www.whonix.org/wiki/Printing_and_Scanning ^{[Archive.org]} ):

Non stampare mai a colori, in genere le filigrane non sono presenti senza toner/cartucce a colori ²³⁸ .

Informazioni pixelate o sfocate:

Hai mai visto un documento con testo sfocato? Hai mai preso in giro quei film/serie in cui "migliorano" un'immagine per recuperare informazioni apparentemente impossibili da leggere?

Bene, ci sono tecniche per recuperare informazioni da tali documenti, video e immagini.

Ecco ad esempio un progetto open source che potresti usare tu stesso per recuperare il testo da alcune immagini sfocate: https://github.com/beurtschipper/Depix ^{[Archive.org]}

Questo è ovviamente un progetto open source disponibile per tutti. Ma puoi immaginare che tali tecniche siano state probabilmente utilizzate in precedenza da altri avversari. Questi potrebbero essere utilizzati per rivelare informazioni sfocate da documenti pubblicati che potrebbero quindi essere utilizzati per renderti anonimo.

Esistono anche tutorial per l'utilizzo di tali tecniche utilizzando strumenti di fotoritocco come GIMP come https://medium.com/@somdevsangwan/unblurring-images-for-osint-and-more-part-1-5ee36db6a70b ^{[Archive.org]} seguito da https://medium.com/@somdevsangwan/deblurring-images-for-osint-part-2-ba564af8eb5d ^[Scribe.rip] ^{[Archive.org]}

Infine, troverai molte risorse per il deblurring qui: https://github.com/subeeshvasu/Awesome-Deblurring ^{[Archive.org]}

Alcuni servizi online potrebbero anche aiutarti a farlo automaticamente in una certa misura come lo strumento di miglioramento di MyHeritage.com:

https://www.myheritage.com/photo-enhancer ^{[Archive.org]}

Ecco il risultato dell'immagine sopra:

Naturalmente, questo strumento è più simile a un "indovinare" che a un vero sfocatura a questo punto, ma potrebbe essere sufficiente per trovarti utilizzando vari servizi di ricerca di immagini inverse.

Per questo motivo, è sempre estremamente importante redigere e curare correttamente qualsiasi documento che si desidera pubblicare. La sfocatura non è sufficiente e dovresti sempre annerire/rimuovere completamente tutti i dati sensibili per evitare qualsiasi tentativo di recupero dei dati da qualsiasi avversario. Non pixelizzare, non sfocare, basta inserire un rettangolo nero duro per oscurare le informazioni.

Le tue transazioni in criptovalute:

Contrariamente alla credenza diffusa, le transazioni Crypto (come Bitcoin ed Ethereum) non sono anonime ²³⁹ . La maggior parte delle criptovalute può essere tracciata accuratamente attraverso vari metodi ²⁴⁰ ' ²⁴¹ .

Ricorda cosa dicono sulla loro pagina: https://bitcoin.org/en/you-need-to-know ^{[Archive.org]} e https://bitcoin.org/en/protect-your-privacy ^{[Archive.org ]} : “Bitcoin non è anonimo”

Il problema principale non è configurare un portafoglio Crypto casuale per ricevere valuta dietro un indirizzo VPN/Tor (a questo punto, il portafoglio è anonimo). Il problema è principalmente quando vuoi convertire denaro Fiat (Euro, Dollari ...) in Crypto e poi quando vuoi incassare il tuo Crypto. Avrai poche opzioni realistiche ma trasferirle su uno scambio (come Coinbase/Kraken/Bitstamp/Binance). Tali scambi hanno indirizzi di portafoglio noti e manterranno registri dettagliati (a causa delle normative finanziarie KYC ²⁴² ) e potranno quindi risalire a quelle transazioni crittografiche utilizzando il sistema finanziario ²⁴³ .

Ci sono alcune criptovalute con in mente privacy/anonimato come Monero, ma anche quelle ne hanno alcune e avvertenze da considerare ²⁴⁴ ' ²⁴⁵ .

Anche se utilizzi Mixers o Tumblers ²⁴⁶ (servizi specializzati nell'"anonimizzare" le criptovalute "mescolandole"), tieni presente che si tratta solo di offuscamento ²⁴⁷ e non di vero anonimato ²⁴⁸ . Non solo sono solo offuscamento, ma potrebbero anche metterti nei guai perché potresti finire per scambiare le tue criptovalute con criptovalute "sporche" che sono state utilizzate in vari contesti discutibili ²⁴⁹ .

Ciò non significa che non puoi utilizzare Bitcoin in modo anonimo. Puoi effettivamente utilizzare Bitcoin in modo anonimo purché non lo converta in valuta reale e utilizzi un portafoglio Bitcoin da una rete anonima sicura. Ciò significa che dovresti evitare le normative KYC/AML da parte di vari scambi ed evitare di utilizzare la rete Bitcoin da qualsiasi indirizzo IP noto. Vedi Appendice Z: Pagare in modo anonimo online con BTC (o qualsiasi altra criptovaluta) .

Nel complesso, l'opzione migliore per utilizzare Crypto con ragionevole anonimato e privacy è ancora Monero e idealmente non dovresti usarne altre per transazioni sensibili a meno che tu non sia consapevole dei limiti e dei rischi coinvolti. Si prega di leggere l'Appendice B2: Dichiarazione di non responsabilità di Monero .

TLDR: Usa Monero!

I tuoi servizi di backup/sincronizzazione cloud:

Tutte le aziende pubblicizzano il loro uso della crittografia end-to-end (E2EE). Questo è vero per quasi tutte le app di messaggistica e i siti Web (HTTPS). Apple e Google stanno pubblicizzando il loro uso della crittografia sui loro dispositivi Android e sui loro iPhone.

Ma per quanto riguarda i tuoi backup? Quei backup automatici di iCloud/Google Drive che hai?

Bene, dovresti sapere che la maggior parte di questi backup non sono completamente crittografati end-to-end e manterranno alcune delle tue informazioni prontamente disponibili per terze parti. Vedrai le loro affermazioni secondo cui i dati sono crittografati a riposo e al sicuro da chiunque ... Tranne che di solito conservano una chiave per accedere ad alcuni dei dati stessi. Queste chiavi vengono utilizzate per indicizzare i tuoi contenuti, recuperare il tuo account, raccogliere varie analisi.

Sono disponibili soluzioni forensi commerciali specializzate (Magnet Axiom ²⁵⁰ , Cellebrite Cloud ²⁵¹ ) che aiuteranno un avversario ad analizzare facilmente i tuoi dati cloud.

Esempi notevoli:

Apple iCloud: https://support.apple.com/en-us/HT202303 ^{[Archive.org]} : “Anche i messaggi in iCloud utilizzano la crittografia end-to-end. Se hai attivato Backup iCloud , il backup include una copia della chiave che protegge i tuoi Messaggi . Ciò ti assicura di poter recuperare i tuoi messaggi se perdi l'accesso al portachiavi iCloud e ai tuoi dispositivi fidati. “.
Google Drive e WhatsApp: https://faq.whatsapp.com/android/chats/about-google-drive-backups/ ^{[Archive.org]} : “ I media e i messaggi di cui esegui il backup non sono protetti da WhatsApp end-to- termina la crittografia mentre sei in Google Drive . “. Si noti tuttavia che Facebook/Whatsapp hanno annunciato il lancio dei backup crittografati il 14 ottobre 2021 ( https://about.fb.com/news/2021/10/end-to-end-encrypted-backups-on- whatsapp/ ^{[Archive.org]} ) che dovrebbe risolvere questo problema.
Dropbox: https://www.dropbox.com/privacy#terms ^{[Archive.org]} “Per fornire queste e altre funzionalità, Dropbox accede, archivia ed esegue la scansione dei tuoi contenuti . Ci dai il permesso di fare queste cose e questo permesso si estende ai nostri affiliati e alle terze parti fidate con cui lavoriamo”.
Microsoft OneDrive: https://privacy.microsoft.com/en-us/privacystatement ^{[Archive.org]} : prodotti per la produttività e la comunicazione, "Quando utilizzi OneDrive, raccogliamo dati sull'utilizzo del servizio da parte dell'utente, nonché il contenuto memorizzi, fornisci, migliori e proteggi i servizi. Gli esempi includono l'indicizzazione dei contenuti dei tuoi documenti OneDrive in modo da poterli cercare in seguito e l'utilizzo delle informazioni sulla posizione per consentirti di cercare le foto in base al luogo in cui è stata scattata la foto ”.

Non dovresti fidarti dei fornitori di servizi cloud con i tuoi dati sensibili (non crittografati in precedenza e localmente) e dovresti diffidare delle loro rivendicazioni sulla privacy. Nella maggior parte dei casi, possono accedere ai tuoi dati e fornirli a terzi se lo desiderano ²⁵² .

L'unico modo per mitigare questo è crittografare i tuoi dati dalla tua parte e quindi caricarli solo su tali servizi o semplicemente non usarli affatto.

Impronte digitali del browser e del dispositivo:

Il tuo browser e le impronte digitali del dispositivo ²⁵³ sono un insieme di proprietà/capacità del tuo sistema/browser. Questi sono utilizzati sulla maggior parte dei siti Web per il monitoraggio invisibile degli utenti, ma anche per adattare l'esperienza dell'utente del sito Web a seconda del browser. Ad esempio, i siti Web saranno in grado di fornire un'"esperienza mobile" se si utilizza un browser mobile o se si propone una lingua/versione geografica specifica a seconda della propria impronta digitale. ^{La maggior parte di
queste tecniche funziona con browser recenti come i
browser} basati su Chromium (come Chrome/Edge) o Firefox ²⁵⁵ a meno che non vengano prese misure specifiche.

Puoi trovare molte informazioni dettagliate e pubblicazioni su questo su queste risorse:

Il più delle volte, quelle impronte digitali saranno, sfortunatamente, uniche o quasi uniche per il tuo browser/sistema. Ciò significa che anche se ci si disconnette da un sito Web e quindi si accede nuovamente utilizzando un nome utente diverso, l'impronta digitale potrebbe rimanere la stessa se non si adottassero misure precauzionali.

Un avversario potrebbe quindi utilizzare tali impronte digitali per tracciarti su più servizi anche se non hai alcun account su nessuno di essi e stai utilizzando il blocco degli annunci. Queste impronte digitali potrebbero a loro volta essere utilizzate per renderti anonimo se mantieni la stessa impronta digitale tra i servizi.

Va anche notato che mentre alcuni browser ed estensioni offriranno una certa resistenza alle impronte digitali, questa resistenza di per sé può anche essere utilizzata per impronte digitali come spiegato qui https://palant.info/2020/12/10/how-anti-fingerprinting -extensions-tend-to-make-fingerprinting-easy/ ^{[Archive.org]}

Questa guida mitigherà questi problemi mitigando, offuscando e randomizzando molti di questi identificatori di impronte digitali utilizzando la virtualizzazione (consultare l' appendice W: virtualizzazione ), utilizzando raccomandazioni specifiche (consultare l' appendice A5: precauzioni aggiuntive per il browser con JavaScript abilitato e l'appendice V1: potenziamento dei browser ) e utilizzando browser resistenti alle impronte digitali (Brave e Tor Browser).

Perdite di dati locali e analisi forensi:

La maggior parte di voi ha probabilmente visto abbastanza drammi gialli su Netflix o TV per sapere cosa sono le scienze forensi. Si tratta di tecnici (di solito che lavorano per le forze dell'ordine) che eseguiranno varie analisi delle prove. Questo ovviamente potrebbe includere il tuo smartphone o laptop.

Mentre questi potrebbero essere fatti da un avversario quando sei già stato "bruciato", potrebbero anche essere eseguiti casualmente durante un controllo di routine o un controllo di frontiera. Questi controlli non correlati potrebbero rivelare informazioni segrete ad avversari che non erano a conoscenza di tali attività.

Le tecniche forensi sono ora molto avanzate e possono rivelare un'incredibile quantità di informazioni dai tuoi dispositivi anche se sono crittografati ²⁵⁶ . Queste tecniche sono ampiamente utilizzate dalle forze dell'ordine in tutto il mondo e dovrebbero essere prese in considerazione.

Ecco alcune risorse recenti che dovresti leggere sul tuo smartphone:

UpTurn, il potere diffuso delle forze dell'ordine statunitensi per la ricerca sui telefoni cellulari https://www.upturn.org/reports/2020/mass-extraction/ ^{[Archive.org]}
New York Times, la polizia può probabilmente entrare nel tuo telefono https://www.nytimes.com/2020/10/21/technology/iphone-encryption-police.html ^{[Archive.org]}
Vice, i poliziotti di tutto il paese possono ora sbloccare gli iPhone, i record mostrano https://www.vice.com/en/article/vbxxxd/unlock-iphone-ios11-graykey-grayshift-police ^{[Archive.org]}

Consiglio vivamente anche di leggere alcuni documenti dal punto di vista di un esaminatore forense come:

Guida per l'utente di EnCase Forensic, http://encase-docs.opentext.com/documentation/encase/forensic/8.07/Content/Resources/External%20Files/EnCase%20Forensic%20v8.07%20User%20Guide.pdf ^{[Archive.org ]}
Toolkit forense FTK, https://accessdata.com/products-services/forensic-toolkit-ftk ^{[Archive.org]}
SANS Digital Forensics e video di risposta agli incidenti, https://www.youtube.com/c/SANSDigitalForensics/videos

E infine, ecco questo documento dettagliato molto istruttivo sullo stato attuale della sicurezza IOS/Android della John Hopkins University: https://securephones.io/main.html ²⁵⁷ .

Quando si tratta del tuo laptop, le tecniche forensi sono molte e diffuse. Molti di questi problemi possono essere mitigati utilizzando la crittografia completa del disco, la virtualizzazione (consultare l' Appendice W: Virtualizzazione ) e la compartimentazione. Questa guida in seguito descriverà in dettaglio tali minacce e le tecniche per mitigarle.

Crittografia errata:

C'è un adagio frequente nella comunità di infosec: "Non lanciare le tue criptovalute!".

E ci sono ragioni ²⁵⁸ ' ²⁵⁹ ' ²⁶⁰ ' ²⁶¹ per questo:

Non vorrei che le persone scoraggiassero lo studio e l'innovazione nel campo delle criptovalute a causa di questo adagio. Quindi, invece, consiglierei alle persone di essere cauti con "Roll your own crypto" perché non è necessariamente una buona crittografia:

Una buona crittografia non è facile e di solito richiede anni di ricerca per essere sviluppata e messa a punto.
Una buona crittografia è trasparente e non proprietaria/chiusa, quindi può essere rivista dai colleghi.
Una buona crittografia viene sviluppata con attenzione, lentamente e raramente da sola.
Una buona crittografia viene solitamente presentata e discussa in conferenze e pubblicata su varie riviste.
Una buona crittografia è ampiamente sottoposta a peer-review prima di essere rilasciata per l'uso in natura.
Usare e implementare correttamente la buona crittografia esistente è già una sfida.

Tuttavia, questo non impedisce ad alcuni di farlo comunque e di pubblicare varie app/servizi di produzione utilizzando la propria crittografia o metodi proprietari chiusi:

È necessario prestare attenzione quando si utilizzano app/servizi utilizzando metodi di crittografia proprietari o chiusi. Tutti i buoni standard crittografici sono pubblici e sottoposti a revisione paritaria e non dovrebbero esserci problemi nel rivelare quello che usi.
È necessario diffidare di app/servizi che utilizzano un metodo crittografico "modificato" o proprietario ²⁶² .
Per impostazione predefinita, non dovresti fidarti di nessun "Roll your own crypto" fino a quando non è stato verificato, sottoposto a revisione paritaria, verificato e accettato dalla comunità di crittografia ²⁶³ ' ²⁶⁴ .
Non esiste una "criptovaluta di livello militare" ²⁶⁵ ' ²⁶⁶ ' ²⁶⁷ .

La crittografia è un argomento complesso e una cattiva crittografia potrebbe facilmente portare alla tua de-anonimizzazione.

Nel contesto di questa guida, consiglio di attenersi ad app/servizi utilizzando metodi consolidati, pubblicati e sottoposti a revisione paritaria.

Quindi, cosa preferire e cosa evitare a partire dal 2021? Dovrai cercare te stesso per ottenere i dettagli tecnici di ciascuna app e vedere se stanno usando "crittografia cattiva" o "crittografia buona". Una volta ottenuti i dettagli tecnici, puoi controllare questa pagina per vedere quanto vale: https://latacora.micro.blog/2018/04/03/cryptographic-right-answers.html ^{[Archive.org]}

Ecco alcuni esempi:

Hash:
- Preferisci: SHA-3 o BLAKE2 ²⁶⁸
- Ancora relativamente ok da usare: SHA-2 (come SHA256 o SHA512 ampiamente utilizzato)
- Da evitare: SHA-1, MD5 (purtroppo ancora ampiamente utilizzato), CRC, MD6 (usato raramente)
Crittografia file/disco:
- Preferire:
  - Accelerazione hardware ²⁶⁹ : AES (Rijndael) 256 bit con HMAC-SHA-2 o HMAC-SHA-3 (questo è ciò che Veracrypt, Bitlocker, Filevault 2, KeepassXC e LUKS usano per impostazione predefinita). Preferisci SHA-3.
  - Accelerato non hardware: come accelerato sopra o, se disponibile, considerare:
    - ChaCha20 ²⁷⁰ o XChaCha20 (puoi usare ChaCha20 con Kryptor https://www.kryptor.co.uk , sfortunatamente non è disponibile con Veracrypt).
    - Serpente ²⁷¹
    - TwoFish ²⁷²
- Evita: praticamente qualsiasi altra cosa
Memorizzazione password:
- Preferire: argon2, scrypt, bcrypt o, se non possibile, almeno PBKDF2 (solo come ultima risorsa)
- Evitare: SHA-3, SHA-2, SHA-1, MD5
Sicurezza del browser (HTTPS):
- Preferire: TLS 1.3 (idealmente TLS 1.3 con supporto ECH/eSNI) o almeno TLS 1.2 (ampiamente utilizzato)
- Evita: qualsiasi altra cosa (TLS =<1.1, SSL =<3)
Firma di messaggi/file con PGP/GPG:
- Preferisci ECDSA (ed25519)+ECDH (ec25519) o RSA 4096 bit*
  - Considera un'alternativa ²⁷³ più moderna a PGP/GPG: Minisign https://jedisct1.github.io/minisign/ ^{[Archive.org]}
- Da evitare: RSA 2048 bit
Chiavi SSH:
- ED25519 (preferito) o RSA 4096 bit*
- Da evitare: RSA 2048 bit
Avvertenza: sfortunatamente RSA e ED25519 non sono visti come "Quantum Resistant" ²⁷⁴ e sebbene non siano ancora stati rotti, probabilmente lo saranno un giorno in futuro. È solo una questione di quando, piuttosto che se la RSA verrà mai interrotta. Quindi, questi sono preferiti in quei contesti a causa della mancanza di una migliore possibilità.

Ecco alcuni casi reali di problemi di cattiva crittografia:

Telegram: https://democratic-europe.eu/2021/07/20/cryptographers-uncover-four-vulnerabilities-in-telegram/ ^{[Archive.org]}
Telegram: https://buttondown.email/cryptography-dispatches/archive/cryptography-dispatches-the-most-backdoor-looking/ ^{[Archive.org]}
Cryptocat: https://web.archive.org/web/20130705051050/https://blog.crypto.cat/2013/07/new-critical-vulnerability-in-cryptocat-details/
Alcuni altri esempi possono essere trovati qui: https://www.cryptofails.com/ ^{[Archive.org]}

In seguito questa guida non consiglierà la "crittografia errata" e si spera che questo dovrebbe essere sufficiente per proteggerti?

Nessuna registrazione ma registrazione comunque politiche:

Molte persone hanno l'idea che i servizi orientati alla privacy come VPN o provider di posta elettronica siano sicuri grazie alle loro politiche di non registrazione o ai loro schemi di crittografia. Sfortunatamente, molte di quelle stesse persone dimenticano che tutti quei fornitori sono entità commerciali legali soggette alle leggi dei paesi in cui operano.

Ognuno di questi fornitori può essere costretto a registrare silenziosamente (a tua insaputa (usando ad esempio un'ingiunzione del tribunale con un ordine di bavaglio ²⁷⁵ o una lettera di sicurezza nazionale ²⁷⁶ ) la tua attività per renderti anonimo. Ci sono stati diversi esempi recenti di questi:

2021, ProtonMail, ProtonMail ha registrato l'indirizzo IP dell'attivista francese su ordine delle autorità svizzere ²⁷⁷ .
2021, WindScribe, I server non sono stati crittografati poiché avrebbero dovuto consentire attacchi MITM da parte delle autorità ²⁷⁸ .
2021, server DoubleVPN, registri e informazioni sull'account sequestrati dalle forze dell'ordine ²⁷⁹ .
2021, il provider di posta con sede in Germania Tutanota è stato costretto a monitorare account specifici per 3 mesi ²⁸⁰ .
2020, il provider di posta con sede in Germania Tutanota è stato costretto a implementare una backdoor per intercettare e salvare copie delle e-mail non crittografate di un utente ²⁸¹ (non hanno decrittografato l'e-mail memorizzata).
Nel 2017, PureVPN è stata costretta a divulgare le informazioni di un utente all'FBI ²⁸² .
2014, un utente EarthVPN è stato arrestato in base al fornitore di log della polizia olandese ²⁸³ .
2013, il provider di posta elettronica sicura Lavabit chiude dopo aver combattuto un ordine segreto di bavaglio ²⁸⁴ .
2011, l'utente di HideMyAss è stato anonimizzato e i registri sono stati forniti all'FBI ²⁸⁵ .

Alcuni fornitori hanno implementato l'uso di un Warrant Canary ²⁸⁶ che consentirebbe ai loro utenti di scoprire se sono stati compromessi da tali ordini, ma questo non è stato ancora testato per quanto ne so.

Infine, è ormai risaputo che alcune aziende potrebbero essere sponsorizzate front-end per alcuni avversari statali (vedi la storia di Crypto AG ²⁸⁷ e la storia di Omnisec ²⁸⁸ ).

Per questi motivi, non devi fidarti di tali fornitori per la tua privacy nonostante tutte le loro affermazioni. Nella maggior parte dei casi, sarai l'ultima persona a sapere se qualcuno dei tuoi account è stato preso di mira da tali ordini e potresti non saperlo mai.

Per mitigare ciò, nei casi in cui desideri utilizzare una VPN, consiglierò l'uso di un provider VPN pagato in contanti/monero su Tor per impedire al servizio VPN di conoscere qualsiasi informazione identificabile su di te.

Se il provider VPN non sa nulla di te, dovrebbe mitigare qualsiasi problema dovuto al fatto che non si registrano ma si registrano comunque.

Alcune tecniche mirate avanzate:

(Illustrazione: un film eccellente che consiglio vivamente: Das Leben der Anderen ²⁸⁹ )

Molte tecniche avanzate possono essere utilizzate da avversari esperti ²⁹⁰ per aggirare le tue misure di sicurezza a condizione che sappiano già dove si trovano i tuoi dispositivi. Molte di queste tecniche sono dettagliate qui https://cyber.bgu.ac.il/advanced-cyber/airgap ^{[Archive.org]} (Air-Gap Research Page, Cyber-Security Research Center, Ben-Gurion University of the Negev, Israele) ma anche in questo rapporto https://www.welivesecurity.com/wp-content/uploads/2021/12/eset_jumping_the_air_gap_wp.pdf ^{[Archive.org]} (ESET, JUMPING

THE AIR GAP: 15 anni di impegno dello stato-nazione) e comprendono:

Attacchi che richiedono l'impianto di malware:
- Esfiltrazione di dati attraverso un router infetto da malware: https://www.youtube.com/watch?v=mSNt4h7EDKo ^[Invidious]
- Esfiltrazione dei dati attraverso l'osservazione della variazione della luce in una tastiera retroilluminata con una telecamera compromessa: https://www.youtube.com/watch?v=1kBGDHVr7x0 ^[Invidious]
  - Esfiltrazione di dati attraverso una telecamera di sicurezza compromessa (che potrebbe utilizzare per prima l'attacco precedente) https://www.youtube.com/watch?v=om5fNqKjj2M ^[Invidious]
  - Comunicazione dall'esterno alle telecamere di sicurezza compromesse tramite segnali luminosi IR: https://www.youtube.com/watch?v=auoYKSzdOj4 ^[Invidious]
- Esfiltrazione di dati da un computer con intercapedine d'aria compromesso attraverso l'analisi acustica dei rumori FAN con uno smartphone https://www.youtube.com/watch?v=v2_sZIfZkDQ ^[Invidious]
- Esfiltrazione di dati da un computer air gap infetto da malware tramite LED HD con un drone https://www.youtube.com/watch?v=4vIu8ld68fc ^[Invidious]
- Esfiltrazione di dati da un malware USB su un computer con traferro attraverso interferenze elettromagnetiche https://www.youtube.com/watch?v=E28V1t-k8Hk ^[Invidious]
- Esfiltrazione di dati da un'unità HDD infetta da malware tramite rumore acustico nascosto https://www.youtube.com/watch?v=H7lQXmSLiP8 ^[Invidious]
- Esfiltrazione di dati attraverso le frequenze GSM da un computer con air gap compromesso (con malware) https://www.youtube.com/watch?v=RChj7Mg3rC4 ^[Invidious]
- Esfiltrazione di dati tramite emissioni elettromagnetiche da un dispositivo Display compromesso https://www.youtube.com/watch?v=2OzTWiGl1rM&t=20s ^[Invidious]
- Esfiltrazione di dati attraverso onde magnetiche da un computer con traferro compromesso a uno smartphone archiviato all'interno di una borsa di Faraday https://www.youtube.com/watch?v=yz8E5n1Tzlo ^[Invidious]
- Comunicazione tra due computer compromessi con traferro utilizzando onde sonore ultrasoniche https://www.youtube.com/watch?v=yz8E5n1Tzlo ^[Invidious]
- Esfiltrazione di Bitcoin Wallet da un computer con traferro compromesso a uno smartphone https://www.youtube.com/watch?v=2WtiHZNeveY ^[Invidious]
- Esfiltrazione di dati da un computer con traferro compromesso utilizzando la luminosità del display https://www.youtube.com/watch?v=ZrkZUO2g4DE ^[Invidious]
- Esfiltrazione di dati da un computer con traferro compromesso tramite vibrazioni https://www.youtube.com/watch?v=XGD343nq1dg ^[Invidious]
- Esfiltrazione di dati da un computer con traferro compromesso trasformando la RAM in un emettitore Wi-Fi https://www.youtube.com/watch?v=vhNnc0ln63c ^[Invidious]
- Esfiltrazione di dati da un computer con traferro compromesso attraverso linee elettriche https://arxiv.org/abs/1804.04014 ^{[Archive.org]}
Attacchi che non richiedono malware:
- Osservare da lontano un muro bianco in una stanza per capire quante persone ci sono in una stanza e cosa stanno facendo ²⁹¹ . Pubblicazione con dimostrazione: http://wallcamera.csail.mit.edu/ ^{[Archive.org]}
- Osservare da lontano un sacchetto riflettente di snack in una stanza per ricostruire l'intera stanza ²⁹² . Pubblicazione con esempi fotografici: https://arxiv.org/abs/2001.04642 ^{[Archive.org]}
- Misurare le vibrazioni del pavimento per identificare gli individui e determinarne le condizioni di salute e l'umore ²⁹³ . Pubblicazione con dimostrazione: https://engineering.cmu.edu/news-events/news/2020/02/17-mauraders-map.html ^{[Archive.org]}
- Osservare una lampadina da lontano per ascoltare il suono nella stanza ²⁹⁴ senza alcun malware : Dimostrazione: https://www.youtube.com/watch?v=t32QvpfOHqw ^[Invidious] . Va notato che questo tipo di attacco non è affatto nuovo e ci sono stati articoli su tali tecniche già nel 2013 ²⁹⁵ e che puoi persino acquistare dispositivi per eseguirlo tu stesso come qui: http://www.gcomtech .com/ccp0-prodshow/laser-surveillance-laser-listening.html ^{[Archive.org]}

Ecco anche un buon video degli stessi autori per spiegare questi argomenti: Black Hat, The Air-Gap Jumpers https://www.youtube.com/watch?v=YKRtFgunyj4 ^[Invidious]

Realisticamente, questa guida sarà di scarso aiuto contro tali avversari in quanto tale malware potrebbe essere impiantato sui dispositivi da un produttore, chiunque si trovi nel mezzo ²⁹⁶ , o da chiunque abbia accesso fisico al computer con air gap, ma ci sono ancora alcuni modi per mitigare tali tecniche:

Non condurre attività sensibili mentre si è collegati a una linea elettrica non affidabile/non protetta per evitare perdite di linea.
Non utilizzare i dispositivi davanti a una fotocamera che potrebbe essere compromessa.
Usa i tuoi dispositivi in una stanza insonorizzata per evitare perdite di suono.
Usa i tuoi dispositivi in una gabbia di Faraday per prevenire perdite elettromagnetiche.
Non parlare di informazioni sensibili in cui le lampadine potrebbero essere viste dall'esterno.
Acquista i tuoi dispositivi da luoghi (negozi) diversi/imprevedibili/offline in cui la probabilità che vengano infettati da tale malware è inferiore.
Non consentire a nessuno di accedere ai tuoi computer con air gap tranne le persone fidate.

Alcune risorse bonus:

Dai un'occhiata alla documentazione Whonix relativa alle tecniche di raccolta dei dati qui: https://www.whonix.org/wiki/Data_Collection_Techniques ^{[Archive.org]}
Potresti anche divertirti a guardare questo servizio https://tosdr.org/ ^{[Archive.org]} (Termini di servizio, Non letti) che ti darà una buona panoramica dei vari ToS di molti servizi.
Dai un'occhiata a https://www.eff.org/issues/privacy ^{[Archive.org]} per ulteriori risorse.
Dai un'occhiata a https://en.wikipedia.org/wiki/List_of_government_mass_surveillance_projects ^[Wikiless] ^{[Archive.org]} per avere una panoramica di tutti i progetti di sorveglianza di massa noti, attuali e passati.
Dai un'occhiata a https://www.gwern.net/Death-Note-Anonymity ^{[Archive.org]} (anche se non conosci Death Note).
Prendi in considerazione la possibilità di trovare e leggere il libro di Michael Bazzell "Open-Source Intelligence Techniques" (ottava edizione al momento della stesura di questo articolo per saperne di più sulle recenti tecniche OSINT) https://inteltechniques.com/book1.html
Infine, controlla https://www.freehaven.net/anonbib/date.html ^{[Archive.org]} per gli ultimi articoli accademici relativi all'anonimato online.

Appunti:

Se ancora non pensi che tali informazioni possano essere utilizzate da vari attori per tracciarti, puoi vedere alcune statistiche per te stesso per alcune piattaforme e tenere presente che tengono conto solo delle richieste di dati legittime e non conteranno cose come PRISM, MUSCULAR , SORM o XKEYSCORE spiegato in precedenza:

Rapporto sulla trasparenza di Google https://transparencyreport.google.com/user-data/overview ^{[Archive.org]}
Rapporto sulla trasparenza di Facebook https://transparency.facebook.com/ ^{[Archive.org]}
Rapporto sulla trasparenza di Apple https://www.apple.com/legal/transparency/ ^{[Archive.org]}
Rapporto sulla trasparenza di Cloudflare https://www.cloudflare.com/transparency/ ^{[Archive.org]}
Rapporto sulla trasparenza di Snapchat https://www.snap.com/en-US/privacy/transparency ^{[Archive.org]}
Rapporto sulla trasparenza di Telegram https://t.me/transparency ^{[Archive.org]} (richiede l'installazione di telegramma)
Rapporto Microsoft sulla trasparenza https://www.microsoft.com/en-us/corporate-responsibility/law-enforcement-requests-report ^{[Archive.org]}
Rapporto sulla trasparenza di Amazon https://www.amazon.com/gp/help/customer/display.html?nodeId=GYSDRGWQ2C2CRYEF ^{[Archive.org]}
Rapporto sulla trasparenza di Dropbox https://www.dropbox.com/transparency ^{[Archive.org]}
Rapporto sulla trasparenza di Discord https://blog.discord.com/discord-transparency-report-jan-june-2020-2ef4a3ee346d ^{[Archive.org]}
Rapporto sulla trasparenza di GitHub https://github.blog/2021-02-25-2020-transparency-report/ ^{[Archive.org]}
Rapporto sulla trasparenza di Snapchat https://www.snap.com/en-US/privacy/transparency/ ^{[Archive.org]}
Rapporto sulla trasparenza di TikTok https://www.tiktok.com/safety/resources/transparency-report?lang=en ^{[Archive.org]}
Rapporto sulla trasparenza di Reddit https://www.reddit.com/wiki/transparency ^{[Archive.org]}
Rapporto sulla trasparenza di Twitter https://transparency.twitter.com/ ^{[Archive.org]}

Preparativi generali:

Personalmente, nel contesto di questa guida, è anche interessante dare un'occhiata al tuo modello di sicurezza. E in questo contesto, ne ho solo uno da consigliare:

Zero-Trust Security ²⁶ ("Non fidarti mai, verifica sempre").

Ecco alcune varie risorse su cosa sia Zero-Trust Security:

DEFCON, Zero Trust una visione per la sicurezza del cloud, https://www.youtube.com/watch?v=euSsqXO53GY ^[Invidious]
Dalla stessa NSA, Embracing a Zero Trust Security Model, https://media.defense.gov/2021/Feb/25/2002588479/-1/-1/0/CSI_EMBRACING_ZT_SECURITY_MODEL_UOO115131-21.PDF ^{[Archive.org]}

Scegli il tuo percorso:

Innanzitutto, ecco un piccolo diagramma UML di base che mostra le opzioni disponibili in base alle tue capacità/budget/tempo/risorse.

Limiti di tempo:

Non hai proprio tempo:
- Scegli il percorso Tor Browser.
Hai un tempo estremamente limitato per imparare e hai bisogno di una soluzione rapida:
- La tua migliore opzione è quella di seguire il percorso di Tails (esclusa la sezione di negazione plausibile persistente).
Hai tempo e soprattutto motivazione per imparare:
- Vai con qualsiasi percorso.

Limiti di budget/materiale:

Non hai budget e anche accedere a un laptop è complicato o hai solo il tuo smartphone:
- Scegli il percorso Tor Browser.
Hai solo un laptop disponibile e non puoi permetterti nient'altro. Usi questo laptop per lavoro, famiglia o cose personali (o entrambi):
- La tua migliore opzione è quella di scegliere il percorso di Tails.
Puoi permetterti un laptop di riserva dedicato non supervisionato/non monitorato per le tue attività sensibili:
- Ma è vecchio, lento e ha specifiche scadenti (meno di 6 GB di RAM, meno di 250 GB di spazio su disco, CPU vecchia/lenta):
  - Dovresti scegliere il percorso di Tails.
- Non è così vecchio e ha specifiche decenti (almeno 6 GB di RAM, 250 GB di spazio su disco o più, CPU decente):
  - Potresti optare per le rotte Tails, Whonix.
- È nuovo e ha ottime specifiche (più di 8 GB di RAM,> 250 GB di spazio su disco, CPU veloce recente):
  - Potresti seguire qualsiasi percorso, ma consiglierei il sistema operativo Qubes se il tuo modello di minaccia lo consente.
- Se si tratta di un Mac M1 basato su ARM:
  - Attualmente non è possibile per questi motivi:
    - La virtualizzazione delle immagini x86 sui Mac ARM M1 è ancora limitata al software commerciale (Parallels) che non è ancora supportato da Whonix.
    - Virtualbox non è ancora disponibile per l'architettura ARM.
    - Whonix non è ancora supportato sull'architettura ARM.
    - Tails non è ancora supportato sull'architettura ARM.
    - Il sistema operativo Qubes non è ancora supportato sull'architettura ARM.

La tua unica opzione sui Mac M1 è probabilmente quella di restare con Tor Browse per ora. Ma direi che se puoi permetterti un Mac M1 dovresti probabilmente ottenere un laptop x86 dedicato per attività più sensibili.

Abilità:

Non hai competenze informatiche, il contenuto di questa guida ti sembra una lingua aliena? Ritenere:
- Il percorso Tor Browser (il più semplice di tutti)
- Il percorso di Tails (esclusa la sezione di negazione plausibile persistente).
Hai alcune competenze informatiche e per lo più capisci questa guida finora, considera:
- Il percorso di Tails (con la sezione opzionale di negazione plausibile persistente).
- Il percorso Whonix.
Hai competenze informatiche da moderate ad elevate e hai già familiarità con alcuni dei contenuti di questa guida, considera:
- Qualsiasi percorso (il sistema operativo Qubes è preferito se te lo puoi permettere).
Sei un hacker l33T, "non c'è cucchiaio", "la torta è una bugia", usi "doas" da anni e "tutta la tua base appartiene a noi" e hai opinioni forti su systemd.
- Questa guida non è pensata per te e non ti aiuterà con HardenedBSD sul tuo laptop Libreboot rinforzato ;-)

Considerazioni contraddittorie:

Ora che sai cosa è possibile fare, dovresti anche considerare minacce e avversari prima di scegliere la strada giusta.

Minacce:

Se la tua preoccupazione principale è un esame forense dei tuoi dispositivi, dovresti considerare:
- Il percorso Tor Browser.
- Il percorso di Tails.
Se le tue preoccupazioni principali sono avversari remoti che potrebbero scoprire la tua identità online su varie piattaforme, dovresti considerare:
- Il percorso di Tails.
- Il percorso Whonix.
- Il percorso del sistema operativo Qubes (il migliore ma richiede budget/tempo e alcune competenze).
Se vuoi negabilità plausibile a livello di sistema ²⁹⁷ ' ²⁹⁸ nonostante i rischi ²⁹⁹ ' ³⁰⁰ , considera:
- Il percorso di Tails, inclusa la sezione sulla negazione plausibile persistente (vedi Deniability plausibile persistente usando Whonix all'interno di Tails ).
- The Whonix Route (questo è possibile sia su Windows che su Linux ma richiederà più competenze per essere raggiunto su Linux).
Se ti trovi in un ambiente ostile in cui l'utilizzo di Tor/VPN da solo è impossibile/pericoloso/sospetto, considera:
- Il percorso di Tails (senza effettivamente utilizzare Tor).
- Il percorso Whonix (senza utilizzare Whonix).
- Il percorso del sistema operativo Qubes (senza effettivamente utilizzare Whonix).

Avversari:

Competenze basse:
- Risorse scarse:
  - Qualsiasi motivazione: qualsiasi percorso
- Risorse medie:
  - Motivazione da bassa a media: qualsiasi percorso
  - Alta motivazione: percorsi TAILS, Whonix, Qubes OS
- Risorse elevate:
  - Bassa motivazione: qualsiasi percorso
  - Motivazione medio-alta: TAILS, Whonix, Qubes OS Routes
Abilità intermedie:
- Risorse scarse:
  - Bassa motivazione: qualsiasi percorso
  - Motivazione medio-alta: TAILS, Whonix, Qubes OS Routes
- Risorse medie:
  - Bassa motivazione: qualsiasi percorso
  - Motivazione medio-alta: TAILS, Whonix, Qubes OS Routes
- Risorse elevate:
  - Motivazione da bassa ad alta: percorsi TAILS, Whonix, Qubes OS
Altamente qualificato:
- Risorse scarse:
  - Bassa motivazione: qualsiasi percorso
  - Motivazione medio-alta: TAILS, Whonix, Qubes OS Routes
- Risorse medie:
  - Motivazione da bassa ad alta: percorsi TAILS, Whonix, Qubes OS
- Risorse elevate:
  - Motivazioni da basse ad alte: TAILS, Whonix, Qubes OS Routes (ma probabilmente fuori dall'ambito di questa guida poiché questo è probabilmente un avversario globale)

In ogni caso, dovresti leggere queste due pagine della documentazione Whonix che ti daranno un'idea approfondita delle tue scelte:

Potresti chiederti: "Come faccio a sapere se mi trovo in un ambiente online ostile in cui le attività sono attivamente monitorate e bloccate?"

Per prima cosa leggi di più a riguardo all'EFF qui: https://ssd.eff.org/en/module/understanding-and-circumventing-network-censorship ^{[Archive.org]}
Controlla tu stesso alcuni dati qui sul sito web Tor Project OONI ³⁰¹ (Open Observatory of Network Interference): https://explorer.ooni.org/
Dai un'occhiata a https://censoredplanet.org/ e vedi se hanno dati sul tuo paese.
Specifico per la Cina, guarda https://gfwatch.org/ e https://www.usenix.org/system/files/sec21-hoang.pdf ^{[Archive.org]}
Mettiti alla prova usando OONI (questo può essere rischioso in un ambiente ostile).

Passi per tutti i percorsi:

Abituarsi a utilizzare password migliori:

Vedere Appendice A2: Linee guida per password e passphrase .

Ottenere un numero di telefono anonimo:

Salta questo passaggio se non hai intenzione di creare account anonimi sulla maggior parte delle piattaforme tradizionali ma desideri solo una navigazione anonima o se le piattaforme che utilizzerai consentono la registrazione senza un numero di telefono.

Fisico Burner Telefono e SIM prepagata:

Prendi un telefono con masterizzatore:

Questo è piuttosto facile. Lascia il tuo smartphone acceso ea casa. Prendi un po' di soldi e vai in qualche mercatino delle pulci o in un piccolo negozio a caso (idealmente uno senza telecamere a circuito chiuso all'interno o all'esterno ed evitando di essere fotografato/filmato) e compra il telefono più economico che puoi trovare con contanti e senza fornire alcuna informazione personale. Deve solo essere funzionante.

Una nota sul tuo attuale telefono: il punto di lasciare lo smartphone acceso è evitare di far trapelare il fatto che non stai utilizzando il dispositivo. Se uno smartphone è spento, viene creata una traccia di metadati che può essere utilizzata per correlare l'ora in cui lo smartphone è stato spento con l'attivazione del masterizzatore. Se possibile, lascia che il tuo telefono faccia qualcosa (ad esempio, guardando YouTube con la riproduzione automatica) per oscurare ulteriormente il percorso dei metadati. Ciò non renderà impossibile correlare la tua inattività, ma potrebbe rendere più difficile se i modelli di utilizzo del tuo telefono possono sembrare convincenti mentre acquisti il tuo masterizzatore.

Consiglierei di acquistare un vecchio "telefono fisso" con una batteria rimovibile (il vecchio Nokia se le tue reti mobili consentono ancora a quelle di connettersi poiché alcuni paesi hanno gradualmente eliminato completamente 1G-2G). Questo per evitare l'invio/raccolta automatico di eventuali dati di telemetria/diagnostica sul telefono stesso. Non dovresti mai connettere quel telefono a nessun Wi-Fi.

Nota sul sito: fai attenzione ad alcuni venditori come mostrato qui https://therecord.media/malware-found-preinstalled-in-classic-push-button-phones-sold-in-russia/ ^{[Archive.org]}

Sarà inoltre fondamentale non accendere mai quel telefono bruciatore (nemmeno senza la scheda SIM) in nessuna posizione geografica che potrebbe portare a te (a casa/lavoro per esempio) e mai nella stessa posizione del tuo altro smartphone conosciuto (perché quello ha un IMEI/IMSI che ti porterà facilmente). Potrebbe sembrare un grosso onere, ma non lo è perché questi telefoni vengono utilizzati solo durante il processo di configurazione/registrazione e per la verifica di tanto in tanto.

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

È necessario verificare che il telefono funzioni correttamente prima di passare al passaggio successivo. Ma mi ripeto e dichiaro che è importante lasciare lo smartphone a casa quando si va (o spegnerlo prima di partire se è necessario tenerlo) e testare il telefono in una posizione casuale che non può essere ricondotta a te ( e ancora, non farlo davanti a una CCTV, evita le telecamere, sii consapevole di ciò che ti circonda). Non c'è nemmeno bisogno del Wi-Fi in questo posto.

Quando sei certo che il telefono funzioni, disattiva il Bluetooth, quindi spegnilo (rimuovere la batteria se possibile) e tornare a casa e riprendere le normali attività. Vai al passaggio successivo.

Ottenere una SIM prepagata anonima:

Questa è la parte più difficile di tutta la guida. È uno SPOF (Single Point of Failure). I posti in cui è ancora possibile acquistare SIM prepagate senza registrazione ID stanno diventando sempre più limitati a causa di vari regolamenti di tipo KYC ³⁰² .

Quindi ecco un elenco di luoghi in cui puoi ancora ottenerli ora: https://prepaid-data-sim-card.fandom.com/wiki/Registration_Policies_Per_Country ^{[Archive.org]}

Dovresti riuscire a trovare un posto "non troppo lontano" e semplicemente andarci fisicamente per acquistare alcune carte prepagate e buoni ricarica in contanti. Verifica che non sia stata approvata alcuna legge prima di procedere che renderebbe obbligatoria la registrazione (nel caso in cui il wiki di cui sopra non fosse aggiornato). Cerca di evitare telecamere a circuito chiuso e telecamere e non dimenticare di acquistare un voucher Ricarica con la scheda SIM (se non è un pacchetto) poiché la maggior parte delle carte prepagate richiede una ricarica prima dell'uso.

Vedi Appendice N: Avvertenze su smartphone e dispositivi intelligenti

Verificare che gli operatori mobili che vendono le SIM prepagate accettino l'attivazione e la ricarica della SIM senza alcuna registrazione di ID di alcun tipo prima di recarsi lì. Idealmente, dovrebbero accettare l'attivazione e la ricarica della SIM dal paese in cui vivi.

Consiglierei GiffGaff nel Regno Unito in quanto sono "abbordabili", non richiedono l'identificazione per l'attivazione e la ricarica e ti permetteranno persino di cambiare il tuo numero fino a due volte dal loro sito web. Una SIM prepagata GiffGaff ti garantirà quindi tre numeri da utilizzare per le tue esigenze.

Spegnere il telefono dopo l'attivazione/ricarica e prima di tornare a casa. Non accenderlo mai più a meno che non ti trovi in un luogo che può essere utilizzato per rivelare la tua identità e idealmente lasciare il tuo telefono reale acceso ma a casa prima di andare in un luogo sicuro solo con il tuo telefono masterizzatore.

Numero di telefono in linea:

DISCLAIMER: non tentare di farlo finché non hai finito di configurare un ambiente sicuro secondo uno dei percorsi selezionati. Questo passaggio richiederà l'accesso online e dovrebbe essere eseguito solo da una rete anonima. Non farlo da nessun ambiente noto/non protetto. Salta questo finché non hai terminato uno dei percorsi.

Esistono molti servizi commerciali che offrono numeri per ricevere messaggi SMS online, ma la maggior parte di questi non ha anonimato/privacy e non può essere di alcun aiuto poiché la maggior parte delle piattaforme di social media pone un limite al numero di volte in cui un numero di telefono può essere utilizzato per la registrazione.

Ci sono alcuni forum e subreddit (come r/phoneverification/) in cui gli utenti offriranno il servizio di ricevere tali messaggi SMS per te a un piccolo costo (usando PayPal o qualche pagamento crittografico). Purtroppo questi sono pieni di truffatori e molto rischiosi in termini di anonimato. Non dovresti usarli in nessuna circostanza.

Ad oggi, non conosco alcun servizio affidabile che offra questo servizio e accetti pagamenti in contanti (per posta, ad esempio) come alcuni provider VPN. Ma alcuni servizi forniscono numeri di telefono online e accettano Monero che potrebbe essere ragionevolmente anonimo (ma meno consigliato di quello fisico nel capitolo precedente) che potresti prendere in considerazione:

Consigliato : Non è richiesta alcuna identificazione (anche e-mail):
- (con sede in Islanda, accetta Monero) https://crypton.sh ^{[Tor Mirror]} ^{[Archive.org]}
- (con sede in Ucraina, accetta Monero) https://virtualsim.net/ ^{[Archive.org]}
Richiedere l'identificazione (e-mail valida):
- (con sede negli Stati Uniti in California, accetta Monero) https://mobilesms.io ^{[Archive.org]}
- (con sede in Germania, accetta Monero) https://www.sms77.io/ ^{[Archive.org]}
- (con sede in Russia, accetta Monero) https://onlinesim.ru/ ^{[Archive.org]}

Ci sono alcune altre possibilità elencate qui https://cryptwerk.com/companies/sms/xmr/ ^{[Archive.org]} . Utilizzare a proprio rischio.

E se non avessi soldi? Bene, in tal caso, dovrai tentare la fortuna con servizi gratuiti e sperare per il meglio. Ecco alcuni esempi, da utilizzare a proprio rischio :

DISCLAIMER: non posso garantire per nessuno di questi fornitori e quindi consiglierò comunque di farlo da solo fisicamente. In questo caso, dovrai fare affidamento sull'anonimato di Monero e non dovresti utilizzare alcun servizio che richieda alcun tipo di identificazione utilizzando la tua vera identità. Si prega di leggere l'Appendice B2: Dichiarazione di non responsabilità di Monero .

Pertanto, IMHO, è semplicemente più conveniente, più economico e meno rischioso ottenere semplicemente una scheda SIM prepagata da uno dei luoghi fisici che le vendono ancora in contanti senza richiedere la registrazione di un documento d'identità. Ma almeno c'è un'alternativa se non hai altra scelta.

Ottieni una chiavetta USB:

Ottieni almeno una o due chiavi USB generiche di dimensioni decenti (almeno 16 GB ma consiglierei 32 GB).

Si prega di non acquistare o utilizzare dispositivi ingannevoli con crittografia automatica come questi: https://syscall.eu/blog/2018/03/12/aigo_part1/ ^{[Archive.org]}

Alcuni potrebbero essere molto efficienti ³⁰³ ma molti sono gadget ingannevoli che non offrono una reale protezione ³⁰⁴ .

Trova alcuni luoghi sicuri con Wi-Fi pubblico decente:

Devi trovare luoghi sicuri dove potrai svolgere le tue attività sensibili utilizzando alcuni Wi-Fi accessibili al pubblico (senza alcuna registrazione di account/ID, evita le telecamere a circuito chiuso).

Questo può essere ovunque che non sarà direttamente collegato a te (casa/lavoro) e dove puoi utilizzare il Wi-Fi per un po' senza essere disturbato. Ma anche un luogo dove puoi farlo senza essere "notato" da nessuno.

Se pensi che Starbucks sia un'idea intelligente, puoi riconsiderare:

Probabilmente hanno telecamere a circuito chiuso in tutti i loro negozi e conservano quelle registrazioni per un periodo di tempo sconosciuto.
Dovrai comprare un caffè per ottenere il codice di accesso Wi-Fi nella maggior parte dei casi. Se paghi questo caffè con un metodo elettronico, saranno in grado di collegare il tuo accesso Wi-Fi alla tua identità.

La consapevolezza della situazione è fondamentale e dovresti essere costantemente consapevole di ciò che ti circonda ed evitare i luoghi turistici come se fosse afflitto da Ebola. Vuoi evitare di apparire su qualsiasi foto/video di qualcuno mentre qualcuno sta facendo un selfie, realizzando un video su TikTok o pubblicando alcune foto di viaggio sul proprio Instagram. Se lo fai, ricorda che è molto probabile che quelle immagini finiscano online (pubblicamente o privatamente) con tutti i metadati allegati (ora/data/geolocalizzazione) e il tuo volto. Ricorda che possono e saranno indicizzati da Facebook/Google/Yandex/Apple e probabilmente da tutte e tre le agenzie di lettere.

Anche se questo non sarà ancora disponibile per i tuoi agenti di polizia locali, potrebbe esserlo nel prossimo futuro.

Idealmente, avrai bisogno di un set di 3-5 posti separati come questo per evitare di usare lo stesso posto due volte. Saranno necessari diversi viaggi nel corso delle settimane per i vari passaggi di questa guida.

Potresti anche considerare di connetterti a questi luoghi da una distanza di sicurezza per una maggiore sicurezza. Vedere l'Appendice Q: Utilizzo dell'antenna a lungo raggio per connettersi a Wi-Fi pubblici da una distanza di sicurezza.

Il percorso Tor Browser:

Questa parte della guida ti aiuterà a impostare il modo più semplice e veloce per navigare sul web in modo anonimo. Non è necessariamente il metodo migliore e ci sono metodi più avanzati di seguito con una sicurezza (molto) migliore e mitigazioni (molto) migliori contro vari avversari. Tuttavia, questo è un modo semplice per accedere alle risorse in modo anonimo e rapido senza budget, tempo, competenze e utilizzo limitato.

Allora, cos'è Tor Browser? Tor Browser ( https://www.torproject.org/ ^{[Archive.org]} ) è un browser web come Safari/Firefox/Chrome/Edge/Brave progettato pensando alla privacy e all'anonimato.

Questo browser è diverso dagli altri browser in quanto si collegherà a Internet tramite la rete Tor utilizzando Onion Routing. Per prima cosa ti consiglio di guardare questo bellissimo video introduttivo dello stesso Tor Project: https://www.youtube.com/watch?v=JWII85UlzKw ^[Invidious] . Dopodiché, dovresti probabilmente andare sulla loro pagina per leggere la loro rapida panoramica qui: https://2019.www.torproject.org/about/overview.html.en ^{[Archive.org]} . Senza entrare in troppi dettagli tecnici, Tor Browser è una soluzione "spara e dimentica" facile e semplice per navigare sul Web in modo anonimo praticamente da qualsiasi dispositivo. Probabilmente è sufficiente per la maggior parte delle persone e può essere utilizzato da qualsiasi computer o smartphone.

Ecco diversi modi per configurarlo per tutti i principali sistemi operativi.

Windows, Linux e macOS:

Si prega di consultare l'Appendice Y: Installazione e utilizzo di Tor Browser desktop .

Android:

Vai a:
- Play Store: https://play.google.com/store/apps/details?id=org.torproject.torbrowser
- F-Droid Store: non è ancora disponibile ma puoi aggiungerlo manualmente seguendo le istruzioni su https://support.torproject.org/tormobile/tormobile-7/ ^{[Archive.org]}
Installare
Avvia Tor Browser
Dopo l'avvio, fare clic sull'icona Impostazioni in alto a destra
Seleziona "Config Bridge" e leggi l'Appendice X: Utilizzo dei bridge Tor in ambienti ostili
Se necessario (dopo aver letto l'appendice sopra) , attivare l'opzione e selezionare il tipo di ponte che si desidera:
- Obfs4
- Meek-Azure
- Snowflake

Personalmente, se devi usare un Bridge (questo non è necessario per un ambiente non ostile), dovresti scegliere un Meek-Azure. Probabilmente funzioneranno anche se sei in Cina e vuoi bypassare il Great Firewall. Probabilmente è l'opzione migliore per offuscare le tue attività Tor se necessario e i server Microsoft di solito non sono bloccati.

Hai quasi finito

Come per la versione desktop, devi sapere che ci sono livelli di sicurezza in Tor Browser. Su Android, puoi accedervi seguendo questi passaggi:

Fare clic sul menu (in basso a destra)
Fare clic su Impostazioni
Vai alla sezione Privacy e sicurezza
Fare clic su Impostazioni di sicurezza

Troverai i dettagli su ciascun livello qui: https://tb-manual.torproject.org/security-settings/ ^{[Archive.org]} ma ecco un riassunto:

Standard (l'impostazione predefinita):
- Tutte le funzionalità sono abilitate (incluso JavaScript)
Più sicuro:
- JavaScript è disabilitato sui siti Web non HTTPS
- Alcuni caratteri e simboli sono disabilitati
- Qualsiasi riproduzione multimediale è "fai clic per riprodurre" (disabilitato per impostazione predefinita)
Più sicuro:
- Javascript è disabilitato ovunque
- Alcuni caratteri e simboli sono disabilitati
- Qualsiasi riproduzione multimediale è "fai clic per riprodurre" (disabilitato per impostazione predefinita)

Tuttavia, il livello più sicuro dovrebbe essere utilizzato con alcune precauzioni aggiuntive durante l'utilizzo di alcuni siti Web: vedere l' Appendice A5: Ulteriori precauzioni del browser con JavaScript abilitato .

Ora hai davvero finito e ora puoi navigare sul Web in modo anonimo dal tuo dispositivo Android.

iOS:

Sebbene il Tor Browser ufficiale non sia ancora disponibile per iOS, esiste un'alternativa chiamata Onion Browser approvata dal Tor Project ³⁰⁵ .

Vai su https://apps.apple.com/us/app/onion-browser/id519296448
Installare
Disabilita Wi-Fi e dati mobili
Avvia Browser cipolla
Dopo l'avvio, fare clic sull'icona Impostazioni in alto a destra (la disabilitazione di Wi-Fi e dati mobili in precedenza impediva a Onion Browser di connettersi automaticamente e consentire l'accesso a queste opzioni).
Seleziona "Configurazione bridge" e leggi l'Appendice X: Utilizzo dei bridge Tor in ambienti ostili
Se necessario (dopo aver letto l'appendice sopra) , attivare l'opzione e selezionare il tipo di ponte che si desidera:
- Obfs4
- Snowflake
- (Sfortunatamente, Meek-Azure non è disponibile su Onion Browser per iOS per qualche motivo)

Personalmente, se devi usare un Bridge (questo non è necessario per un ambiente non ostile), dovresti sceglierne uno Snowflake (poiché i bridge Meek-Azure non sono disponibili). Probabilmente funzioneranno anche se sei in Cina e vuoi bypassare il Great Firewall. Probabilmente è l'opzione migliore che hai su iOS.

Hai quasi finito

Come con la versione desktop, devi sapere che ci sono livelli di sicurezza in Onion Browser. Su iOS, puoi accedervi seguendo questi passaggi:

Fare clic sull'icona dello scudo (in alto a sinistra)
Avrai tre livelli tra cui scegliere
- 1. Oro: ideale se sei sospettoso, paranoico o accedi a quelle che ritieni siano risorse pericolose.
  - JavaScript è disabilitato
  - WebSocket, Geolocalizzazione e XHR sono disabilitati
  - Nessun video o audio
  - I collegamenti non possono aprire le app
  - WebRTC è bloccato
  - HTTP/HTTPS misto è bloccato
  - Annunci e pop-up sono bloccati
- 1. Argento:
  - JavaScript parzialmente consentito
  - WebSocket, Geolocalizzazione e XHR sono disabilitati
  - Nessun video o audio
  - I collegamenti non possono aprire le app
  - WebRTC è bloccato
  - HTTP/HTTPS misto è bloccato
  - Annunci e pop-up sono bloccati
- 1. Bronzo (non consigliato):
  - JavaScript consentito
  - Audio e video consentiti
  - I collegamenti non possono aprire le app
  - WebRTC non è bloccato
  - HTTP/HTTPS misto non è bloccato
  - Annunci e pop-up sono bloccati

Consiglierei il livello "Argento" per la maggior parte dei casi. Il livello Gold dovrebbe essere abilitato solo se ritieni di accedere a siti Web sospetti o pericolosi o se sei particolarmente paranoico. La modalità Gold molto probabilmente interromperà anche molti siti Web che si basano attivamente su JavaScript.

Poiché JavaScript è abilitato nella modalità Silver, vedere l' Appendice A5: Ulteriori precauzioni per il browser con JavaScript abilitato .

Ora hai davvero finito e ora puoi navigare sul Web in modo anonimo dal tuo dispositivo iOS.

Avviso importante:

Questo percorso è il più semplice ma non è progettato per resistere ad avversari altamente qualificati. È comunque utilizzabile su qualsiasi dispositivo indipendentemente dalla configurazione. Questo percorso è anche vulnerabile agli attacchi di correlazione (Vedi il tuo traffico Tor/VPN anonimizzato ) ed è cieco a tutto ciò che potrebbe essere sul tuo dispositivo (potrebbe trattarsi di malware, exploit, virus, software di amministrazione remota, controllo genitori...). Tuttavia, se il tuo modello di minaccia è piuttosto basso, è probabilmente sufficiente per la maggior parte delle persone.

Se hai tempo e vuoi imparare, ti consiglio invece di scegliere altri percorsi in quanto offrono una sicurezza molto migliore e mitigano molti più rischi, abbassando notevolmente la superficie di attacco.

Il percorso di Tails:

Questa parte della guida ti aiuterà a configurare Tails se si verifica una delle seguenti condizioni:

Non puoi permetterti un laptop dedicato
Il tuo laptop dedicato è semplicemente troppo vecchio e troppo lento
Hai competenze informatiche molto basse
Decidi comunque di andare con Tails

Tails ³⁰⁶ sta per The Amnesic Incognito Live System . È un sistema operativo live avviabile eseguito da una chiave USB progettata per non lasciare tracce e forzare tutte le connessioni attraverso la rete Tor.

Inserisci la chiave USB di Tails nel tuo laptop, esegui l'avvio da esso e hai un sistema operativo completo in esecuzione tenendo conto della privacy e dell'anonimato. Non appena spegni il computer, tutto sparirà a meno che tu non lo abbia salvato da qualche parte.

Tails è un modo incredibilmente semplice per iniziare in pochissimo tempo con ciò che hai e senza molto apprendimento. Ha un'ampia documentazione e tutorial.

ATTENZIONE: Tails non è sempre aggiornato con il loro software in bundle. E non sempre aggiornato nemmeno con gli aggiornamenti di Tor Browser. Dovresti sempre assicurarti di utilizzare l'ultima versione di Tails e dovresti prestare estrema attenzione quando utilizzi app in bundle all'interno di Tails che potrebbero essere vulnerabili agli exploit e rivelare la tua posizione ³⁰⁷ .

Presenta però alcuni inconvenienti:

Tails usa Tor e quindi utilizzerai Tor per accedere a qualsiasi risorsa su Internet. Questo da solo ti renderà sospettoso per la maggior parte delle piattaforme in cui desideri creare account anonimi (questo sarà spiegato più dettagliatamente in seguito).
Il tuo ISP (che sia il tuo o un Wi-Fi pubblico) vedrà anche che stai usando Tor e questo potrebbe renderti sospettoso di per sé.
Tails non include (nativamente) alcuni dei software che potresti voler utilizzare in seguito, il che complicherà un po' le cose se desideri eseguire alcune cose specifiche (ad esempio gli emulatori Android).
Tails utilizza Tor Browser che, sebbene sia molto sicuro, verrà rilevato anche dalla maggior parte delle piattaforme e ti ostacolerà nella creazione di identità anonime su molte piattaforme.
Tails non ti proteggerà più dalla chiave inglese da 5$ ¹¹ .
Tor di per sé potrebbe non essere sufficiente per proteggerti da un avversario con risorse sufficienti, come spiegato in precedenza.

Nota importante: se il tuo laptop è monitorato/supervisionato e sono in vigore alcune restrizioni locali, leggi l' Appendice U: Come aggirare (alcune) restrizioni locali sui computer supervisionati .

Dovresti anche leggere la documentazione, gli avvisi e le limitazioni di Tails prima di andare oltre https://tails.boum.org/doc/about/warnings/index.it.html ^{[Archive.org]}

Tenendo conto di tutto questo e del fatto che la loro documentazione è ottima, ti reindirizzerò semplicemente verso il loro tutorial ben fatto e ben mantenuto:

https://tails.boum.org/install/index.en.html ^{[Archive.org]} , scegli il tuo gusto e procedi.

Se riscontri problemi con l'accesso a Tor a causa della censura o di altri problemi, puoi provare a utilizzare Tor Bridges seguendo questo tutorial di Tails: https://tails.boum.org/doc/anonymous_internet/tor/index.en.html ^{[ Archive.org]} e trova maggiori informazioni su questi su Tor Documentation https://2019.www.torproject.org/docs/bridges ^{[Archive.org]}

Se ritieni che l'utilizzo di Tor da solo sia pericoloso/sospetto, consulta l'Appendice P: Accedere a Internet nel modo più sicuro possibile quando Tor/VPN non è un'opzione

Impostazioni Tor Browser su Tails:

Quando usi Tor Browser, dovresti fare clic sulla piccola icona dello scudo (in alto a destra, accanto alla barra degli indirizzi) e selezionare il tuo livello di sicurezza (vedi https://tb-manual.torproject.org/security-settings/ ^{[Archive.org]} per dettagli). Fondamentalmente sono tre.

Standard (l'impostazione predefinita):
- Tutte le funzionalità sono abilitate (incluso JavaScript)
Più sicuro:
- JavaScript è disabilitato sui siti Web non HTTPS
- Alcuni caratteri e simboli sono disabilitati
- Qualsiasi riproduzione multimediale è "fai clic per riprodurre" (disabilitato per impostazione predefinita)
Più sicuro:
- Javascript è disabilitato ovunque
- Alcuni caratteri e simboli sono disabilitati
- Qualsiasi riproduzione multimediale è "fai clic per riprodurre" (disabilitato per impostazione predefinita)

Consiglierei il livello "più sicuro" per la maggior parte dei casi. Il livello più sicuro dovrebbe essere abilitato solo se ritieni di accedere a siti Web sospetti o pericolosi o se sei particolarmente paranoico. La modalità più sicura molto probabilmente interromperà anche molti siti Web che si basano attivamente su JavaScript.

Infine, mentre usi Tor Browser on Tails al livello "Più sicuro", considera l' Appendice A5: Ulteriori precauzioni del browser con JavaScript abilitato

Quando hai finito e hai un Tails funzionante sul tuo laptop, vai al passaggio Creazione delle tue identità online anonime molto più avanti in questa guida o se desideri persistenza e negabilità plausibile, continua con la sezione successiva.

Negabilità plausibile persistente usando Whonix all'interno di Tails:

Prendi in considerazione la possibilità di controllare il progetto https://github.com/aforensics/HiddenVM ^{[Archive.org]} per Tails.

Questo progetto è un'idea intelligente di una soluzione VM autonoma con un clic che puoi archiviare su un disco crittografato utilizzando la negazione plausibile ²⁹⁷ (vedi The Whonix route: primi capitoli e anche per alcune spiegazioni sulla negazione plausibile, nonché il modo per eliminare in modo sicuro file/cartelle/dati specifici su HDD/SSD e Thumb drive: sezione alla fine di questa guida per una maggiore comprensione).

Ciò consentirebbe la creazione di un sistema ibrido che mescola Tails con le opzioni di virtualizzazione del percorso Whonix in questa guida.

Nota: vedere Scegli il metodo di connettività nel percorso Whonix per ulteriori spiegazioni sull'isolamento del flusso

In breve:

Potresti eseguire Tails non persistente da una chiave USB (seguendo i loro consigli)
È possibile archiviare VM persistenti all'interno di un contenitore secondario che potrebbe essere crittografato normalmente o utilizzando la funzione di negazione plausibile di Veracrypt (potrebbero essere VM Whonix, ad esempio o qualsiasi altro).
Trai vantaggio dalla funzione di isolamento del flusso Tor aggiunta (consulta Tor su VPN per maggiori informazioni sull'isolamento del flusso).

In tal caso, come delinea il progetto, non dovrebbero esserci tracce di nessuna delle tue attività sul tuo computer e il lavoro sensibile potrebbe essere svolto da VM archiviate in un contenitore nascosto che non dovrebbe essere facilmente individuabile da un avversario soft.

Questa opzione è particolarmente interessante per "viaggiare leggeri" e per mitigare gli attacchi forensi mantenendo la persistenza sul lavoro. Hai solo bisogno di 2 chiavi USB (una con Tails e una con un contenitore Veracrypt contenente Whonix persistente). La prima chiave USB sembrerà contenere solo Tails e la seconda USB sembrerà contenere solo spazzatura casuale ma avrà un volume esca che puoi mostrare per una plausibile negazione.

Potresti anche chiederti se ciò comporterà una configurazione "Tor over Tor", ma non lo farà. Le VM Whonix accederanno alla rete direttamente tramite clearnet e non tramite Tails Onion Routing.

In futuro, questo potrebbe essere supportato anche dal progetto Whonix stesso, come spiegato qui: https://www.whonix.org/wiki/Whonix-Host ^{[Archive.org]} ma non è ancora raccomandato per la fine- utenti.

Ricorda che la crittografia con o senza plausibile negazione non è un proiettile d'argento e sarà di scarsa utilità in caso di tortura. In effetti, a seconda di chi sarebbe il tuo avversario (il tuo modello di minaccia), potrebbe essere saggio non usare Veracrypt (ex TrueCrypt) come mostrato in questa dimostrazione: https://defuse.ca/truecrypt-plausible -deniability-useless-by-game-theory.htm ^{[Archive.org]}

La negazione plausibile è efficace solo contro avversari legali morbidi che non ricorreranno a mezzi fisici.

Vedi https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis ^[Wikiless] ^{[Archive.org]}

ATTENZIONE: consultare l'Appendice K: Considerazioni sull'utilizzo di unità SSD esterne e Comprensione delle sezioni HDD e SSD se si considera l'archiviazione di tali VM nascoste su un'unità SSD esterna:

Non utilizzare volumi nascosti su unità SSD poiché non è supportato/consigliato da Veracrypt ³⁰⁸ .
Utilizzare invece contenitori di file anziché volumi crittografati.
Assicurati di sapere come pulire correttamente i dati da un'unità SSD esterna.

Ecco la mia guida su come raggiungere questo obiettivo:

Prima corsa:

Scarica l'ultima versione di HiddenVM da https://github.com/aforensics/HiddenVM/releases ^{[Archive.org]}
Scarica l'ultima versione di Whonix XFCE da https://www.whonix.org/wiki/VirtualBox/XFCE ^{[Archive.org]}
Prepara una chiave/unità USB con Veracrypt
- Crea un volume nascosto sull'unità USB/chiave (raccomanderei almeno 16 GB per il volume nascosto)
- Nel volume esterno, posiziona alcuni file esca
- In Hidden Volume, posiziona il file di immagine dell'app HiddenVM
- Nel volume nascosto, posiziona il file ova Whonix XFCE
Avvia in Tails
Imposta il layout della tastiera come desideri.
Seleziona Impostazioni aggiuntive e imposta una password di amministratore (root) (necessaria per l'installazione di HiddenVM)
Inizia Tails
Connettiti a un Wi-Fi sicuro (questo è un passaggio necessario affinché il resto funzioni)
Vai in Utilità e sblocca il tuo volume Veracrypt (nascosto) (non dimenticare di selezionare la casella del volume nascosto)
Avvia l'immagine dell'app HiddenVM
Quando viene richiesto di selezionare una cartella, selezionare la radice del volume nascosto (dove si trovano i file immagine dell'app Whonix OVA e HiddenVM).
Lascia che faccia le sue cose (questo installerà Virtualbox all'interno di Tails con un clic)
Al termine, dovrebbe avviare automaticamente Virtualbox Manager.
Importa i file Whonix OVA (vedi Whonix Virtual Machines: )

Nota, se durante l'importazione si verificano problemi come "NS_ERROR_INVALID_ARG (0x80070057)", è probabilmente perché non c'è abbastanza spazio su disco sul volume nascosto per Whonix. Whonix stesso consiglia 32 GB di spazio libero, ma probabilmente non è necessario e 10 GB dovrebbero essere sufficienti per cominciare. Puoi provare a aggirare questo errore rinominando il file Whonix *.OVA in *.TAR e decomprimendolo all'interno di Tails. Al termine della decompressione, eliminare il file OVA e importare gli altri file con l'Importazione guidata. Questa volta potrebbe funzionare.

Corse successive:

Avvia in Tails
Connettiti al Wi-Fi
Sblocca il tuo volume nascosto
Avvia l'app HiddenVM
Questo dovrebbe aprire automaticamente VirtualBox Manager e mostrare le tue VM precedenti dalla prima esecuzione

Passi per tutti gli altri percorsi:

Ottieni un laptop dedicato per le tue attività sensibili:

Idealmente, dovresti procurarti un laptop dedicato che non ti sarà legato in alcun modo (idealmente pagato in contanti in modo anonimo e usando le stesse precauzioni menzionate in precedenza per il telefono e la scheda SIM). È consigliato ma non obbligatorio perché questa guida ti aiuterà a rafforzare il più possibile il tuo laptop per prevenire perdite di dati in vari modi. Ci saranno diverse linee di difesa tra le tue identità online e te stesso che dovrebbero impedire alla maggior parte degli avversari di renderti anonimo oltre agli attori statali/globali con risorse considerevoli.

Questo laptop dovrebbe idealmente essere un laptop pulito appena installato (con Windows, Linux o macOS), pulito dalle normali attività quotidiane e offline (non ancora connesso alla rete). Nel caso di un laptop Windows, e se lo hai utilizzato prima di un'installazione così pulita, non dovrebbe nemmeno essere attivato (reinstallato senza un codice Product Key). In particolare, nel caso dei MacBook, non avrebbe mai dovuto essere legato alla tua identità prima in alcun modo. Quindi, compra l'usato in contanti da uno sconosciuto sconosciuto che non conosce la tua identità

Questo per mitigare alcuni problemi futuri in caso di perdite online (inclusa la telemetria dal tuo sistema operativo o app) che potrebbero compromettere eventuali identificatori univoci del laptop durante l'utilizzo (indirizzo MAC, indirizzo Bluetooth e codice prodotto...). Ma anche per evitare di essere rintracciati se è necessario smaltire il laptop.

Se hai già utilizzato questo laptop per scopi diversi (come le tue attività quotidiane), tutti i suoi identificatori hardware sono probabilmente noti e registrati da Microsoft o Apple. Se in seguito uno di questi identificatori viene compromesso (da malware, telemetria, exploit, errori umani...) potrebbero ricondurti a te.

Il laptop dovrebbe avere almeno 250 GB di spazio su disco , almeno 6 GB (idealmente 8 GB o 16 GB) di RAM e dovrebbe essere in grado di eseguire un paio di macchine virtuali contemporaneamente. Dovrebbe avere una batteria funzionante che duri alcune ore.

Questo laptop potrebbe avere un HDD (7200 rpm) o un'unità SSD/NVMe. Entrambe le possibilità hanno i loro vantaggi e problemi che verranno descritti in dettaglio in seguito.

Tutti i futuri passaggi online eseguiti con questo laptop dovrebbero idealmente essere eseguiti da una rete sicura come il Wi-Fi pubblico in un luogo sicuro (vedi Trova alcuni luoghi sicuri con Wi-Fi pubblico decente ). Ma prima dovranno essere eseguiti diversi passaggi offline.

Alcuni consigli per il laptop:

Consiglio vivamente di acquistare un laptop "business grade" (che significa non laptop consumer/gaming-grade), se possibile. Ad esempio, alcuni ThinkPad di Lenovo (il mio preferito).

Questo perché quei laptop aziendali di solito offrono funzionalità di sicurezza migliori e più personalizzabili (soprattutto nelle impostazioni BIOS/UEFI) con un supporto più lungo rispetto alla maggior parte dei laptop consumer (Asus, MSI, Gigabyte, Acer...). Le caratteristiche interessanti da cercare sono IMHO:

Migliori impostazioni personalizzate di Secure Boot (dove puoi gestire selettivamente tutte le chiavi e non solo quelle Standard)
Password HDD/SSD oltre alle sole password BIOS/UEFI.
I laptop AMD potrebbero essere più interessanti in quanto alcuni offrono la possibilità di disabilitare AMD PSP (l'equivalente AMD di Intel IME) dalle impostazioni BIOS/UEFI per impostazione predefinita. E, poiché AFAIK, AMD PSP è stata verificata e, contrariamente a IME, non è stata trovata alcuna funzionalità "malvagia" ³⁰⁹ . Tuttavia, se stai optando per Qubes OS Route, considera le CPU Intel poiché Qubes OS non supporta AMD con il loro sistema anti-evil-maid ³¹⁰ .
Strumenti di cancellazione sicura dal BIOS (particolarmente utile per le unità SSD/NVMe, vedere l' Appendice M: Opzioni BIOS/UEFI per cancellare i dischi di varie marche ).
Migliore controllo sulla disabilitazione/abilitazione di determinate periferiche (porte USB, Wi-Fi, Bluetooth, Fotocamera, Microfono...).
Migliori funzionalità di sicurezza con la virtualizzazione.
Protezioni antimanomissione native.
Supporto più lungo con aggiornamenti BIOS/UEFI (e successivi aggiornamenti di sicurezza BIOS/UEFI).
Alcuni sono supportati da Libreboot

Impostazioni BIOS/UEFI/Firmware del tuo laptop:

PC:

È possibile accedere a queste impostazioni tramite il menu di avvio del laptop. Ecco un buon tutorial di HP che spiega tutti i modi per accedere al BIOS su vari computer: https://store.hp.com/us/en/tech-takes/how-to-enter-bios-setup-windows-pcs ^{[Archivio.org]}

Di solito come accedervi è premendo un tasto specifico (F1, F2 o Canc) all'avvio (prima del tuo sistema operativo).

Una volta che sei lì, dovrai applicare alcune impostazioni consigliate:

Disattiva completamente il Bluetooth se puoi.
Disabilita la biometria (scanner di impronte digitali), se ne hai, se puoi. Tuttavia, è possibile aggiungere un controllo biometrico aggiuntivo solo per l'avvio (pre-avvio) ma non per l'accesso alle impostazioni BIOS/UEFI.
Disattiva la webcam e il microfono se puoi.
Abilita la password BIOS/UEFI e usa una passphrase lunga invece di una password (se possibile) e assicurati che questa password sia richiesta per:
- Accesso alle impostazioni BIOS/UEFI stesse
- Modifica dell'ordine di avvio
- Avvio/Accensione del dispositivo
Abilita la password HDD/SSD se la funzione è disponibile. Questa funzione aggiungerà un'altra password sull'HDD/SSD stesso (non nel firmware BIOS/UEFI) che impedirà l'utilizzo di questo HDD/SSD in un altro computer senza la password. Tieni presente che questa funzione è specifica anche per alcuni produttori e potrebbe richiedere un software specifico per sbloccare questo disco da un computer completamente diverso.
Impedire l'accesso alle opzioni di avvio (l'ordine di avvio) senza fornire la password BIOS/UEFI, se possibile.
Disabilita USB/HDMI o qualsiasi altra porta (Ethernet, Firewire, scheda SD...) se puoi.
Disabilita Intel ME se puoi (le probabilità sono molto alte che non puoi).
Disabilita AMD PSP se puoi (AMD è equivalente a IME, vedi La tua CPU )
Disabilita Secure Boot se intendi utilizzare Qubes OS in quanto non lo supportano immediatamente ³¹¹ . Tienilo acceso se intendi usare Linux/Windows.
Controlla se il BIOS del tuo laptop ha un'opzione di cancellazione sicura per il tuo HDD/SSD che potrebbe essere conveniente in caso di necessità.

Abilitare solo quelli in base alla "necessità dell'uso" e disabilitarli nuovamente dopo l'uso. Questo può aiutare a mitigare alcuni attacchi nel caso in cui il tuo laptop venga sequestrato mentre è bloccato ma ancora acceso OPPURE se dovessi spegnerlo piuttosto rapidamente e qualcuno ne prendesse possesso (questo argomento verrà spiegato più avanti in questa guida).

Informazioni sull'avvio protetto:

Allora, cos'è Secure Boot ³¹² ? In breve, è una funzionalità di sicurezza UEFI progettata per impedire al computer di avviare un sistema operativo da cui il bootloader non è stato firmato da chiavi specifiche memorizzate nel firmware UEFI del laptop.

Quando il sistema operativo (o Bootloader ³¹³ ) lo supporta, puoi memorizzare le chiavi del tuo bootloader nel tuo firmware UEFI e questo impedirà l'avvio di qualsiasi sistema operativo non autorizzato (come un sistema operativo USB live o qualcosa di simile).

Le impostazioni di avvio protetto sono protette dalla password impostata per accedere alle impostazioni BIOS/UEFI. Se disponi di quella password, puoi disabilitare l'avvio protetto e consentire ai sistemi operativi non firmati di avviarsi sul tuo sistema. Questo può aiutare a mitigare alcuni attacchi di Evil-Maid (spiegati più avanti in questa guida).

Nella maggior parte dei casi, Secure Boot è disabilitato per impostazione predefinita o è abilitato ma in modalità "setup" che consentirà l'avvio di qualsiasi sistema. Affinché Secure Boot funzioni, il tuo sistema operativo dovrà supportarlo, quindi firmare il suo bootloader e inviare quelle chiavi di firma al tuo firmware UEFI. Dopodiché, dovrai accedere alle impostazioni del BIOS/UEFI e salvare quelle chiavi premute dal tuo sistema operativo e modificare l'avvio protetto dalla configurazione alla modalità utente (o in alcuni casi alla modalità personalizzata).

Dopo aver eseguito questo passaggio, solo i sistemi operativi da cui il firmware UEFI può verificare l'integrità del bootloader potranno avviarsi.

La maggior parte dei laptop avrà alcune chiavi predefinite già memorizzate nelle impostazioni di avvio protetto. Di solito, quelli provengono dal produttore stesso o da alcune aziende come Microsoft. Quindi, questo significa che per impostazione predefinita sarà sempre possibile avviare alcuni dischi USB anche con l'avvio sicuro. Questi includono Windows, Fedora, Ubuntu, Mint, Debian, CentOS, OpenSUSE, Tails, Clonezilla e molti altri. L'avvio protetto, tuttavia, non è affatto supportato dal sistema operativo Qubes a questo punto.

In alcuni laptop, puoi gestire quelle chiavi e rimuovere quelle che non desideri con una "modalità personalizzata" per autorizzare solo il tuo bootloader che potresti firmare tu stesso se lo desideri.

Quindi, da cosa ti protegge Secure Boot? Proteggerà il tuo laptop dall'avvio di bootloader non firmati (dal provider del sistema operativo) con ad esempio malware iniettato.

Da cosa Secure Boot non ti protegge?

Secure Boot non sta crittografando il tuo disco e un avversario può comunque semplicemente rimuovere il disco dal tuo laptop ed estrarre i dati da esso utilizzando una macchina diversa. Secure Boot è quindi inutile senza la crittografia completa del disco.
Secure Boot non ti protegge da un bootloader firmato che verrebbe compromesso e firmato dal produttore stesso (Microsoft ad esempio nel caso di Windows). La maggior parte delle distribuzioni Linux tradizionali sono firmate in questi giorni e si avviano con Secure Boot abilitato.
Secure Boot può avere difetti ed exploit come qualsiasi altro sistema. Se stai utilizzando un vecchio laptop che non beneficia dei nuovi aggiornamenti BIOS/UEFI, questi possono essere lasciati non corretti.

Inoltre, potrebbero essere possibili diversi attacchi contro Secure Boot, come spiegato (approfondito) in questi video tecnici:

Defcon 22, https://www.youtube.com/watch?v=QDSlWa9xQuA ^[Invidioso]
BlackHat 2016, https://www.youtube.com/watch?v=0fZdL3ufVOI ^[Invidioso]

Quindi, può essere utile come misura aggiuntiva contro alcuni avversari ma non tutti. Secure Boot di per sé non sta crittografando il tuo disco rigido. È un livello aggiunto ma questo è tutto.

Ti consiglio comunque di tenerlo acceso se puoi.

Mac:

Prenditi un momento per impostare una password del firmware secondo il tutorial qui: https://support.apple.com/en-au/HT204455 ^{[Archive.org]}

Dovresti anche abilitare la protezione per la reimpostazione della password del firmware (disponibile da Catalina) secondo la documentazione qui: https://support.apple.com/en-gb/guide/security/sec28382c9ca/web ^{[Archive.org]}

Questa funzione mitigherà la possibilità per alcuni avversari di utilizzare hack hardware per disabilitare/bypassare la password del firmware. Tieni presente che ciò impedirà anche alla stessa Apple di accedere al firmware in caso di riparazione.

Proteggi fisicamente il tuo laptop:

Ad un certo punto, lascerai inevitabilmente questo laptop da solo da qualche parte. Non dormirai con esso e lo porterai ovunque ogni singolo giorno. Dovresti rendere il più difficile possibile per chiunque manometterlo senza che tu te ne accorga. Questo è per lo più utile contro alcuni avversari limitati che non useranno una chiave inglese da 5 $ contro di te ¹¹ .

È importante sapere che è banalmente facile per alcuni specialisti installare un key logger nel tuo laptop, o semplicemente fare una copia clone del tuo disco rigido che potrebbe in seguito consentire loro di rilevare la presenza di dati crittografati al suo interno utilizzando tecniche forensi (ne parleremo più avanti).

Ecco un buon metodo economico per rendere il tuo laptop a prova di manomissione usando lo smalto per unghie (con glitter) https://mullvad.net/en/help/how-tamper-protect-laptop/ ^{[Archive.org]} ³¹⁴ (con immagini) .

Sebbene questo sia un buon metodo economico, potrebbe anche sollevare sospetti in quanto è abbastanza "percettibile" e potrebbe semplicemente rivelare che "hai qualcosa da nascondere". Quindi, ci sono modi più sottili per ottenere lo stesso risultato. Ad esempio, potresti anche fare una fotografia macro ravvicinata delle viti posteriori del tuo laptop o semplicemente usare una piccola quantità di cera di candela all'interno di una delle viti che potrebbe sembrare semplicemente sporco. Si potrebbe quindi verificare la presenza di manomissioni confrontando le fotografie delle viti con quelle nuove. Il loro orientamento potrebbe essere leggermente cambiato se il tuo avversario non è stato abbastanza attento (stringendoli esattamente come lo erano prima). Oppure la cera all'interno della parte inferiore della testa di una vite potrebbe essere stata danneggiata rispetto a prima.

Le stesse tecniche possono essere utilizzate con le porte USB in cui potresti semplicemente inserire una piccola quantità di cera di candela all'interno della spina che verrebbe danneggiata inserendo una chiave USB al suo interno.

In ambienti più rischiosi, controlla che il tuo laptop non sia manomesso prima di usarlo regolarmente.

Il percorso Whonix:

Scegli il tuo sistema operativo host (il sistema operativo installato sul tuo laptop):

Questo percorso farà ampio uso di macchine virtuali ³¹⁵ , richiederanno un sistema operativo host per eseguire il software di virtualizzazione. Hai tre scelte consigliate in questa parte della guida:

La tua distribuzione Linux preferita (escluso Qubes OS)
Windows 10 (preferibilmente Home edition per l'assenza di Bitlocker)
- Windows 11 non è ancora supportato da questa guida
macOS (Catalina o superiore fino a Monterey)

Inoltre, è molto probabile che il tuo Mac sia o sia stato collegato a un account Apple (al momento dell'acquisto o dopo l'accesso) e quindi i suoi identificatori hardware univoci potrebbero ricondurti a te in caso di perdite di identificatori hardware.

Linux non è necessariamente la scelta migliore per l'anonimato a seconda del modello di minaccia. Questo perché l'utilizzo di Windows ci consentirà di utilizzare comodamente Plausible Deniability ²⁹⁷ (aka Deniable Encryption ³¹⁶ ) facilmente a livello di sistema operativo. Windows è anche sfortunatamente allo stesso tempo un incubo per la privacy ³¹⁷ , ma è l'unica opzione facile da configurare per utilizzare la negabilità plausibile a livello di sistema operativo. Anche la telemetria di Windows e il blocco della telemetria sono ampiamente documentati, il che dovrebbe mitigare molti problemi.

Allora, cos'è la negazione plausibile? Puoi collaborare con un avversario che richiede l'accesso al tuo dispositivo/dati senza rivelare il tuo vero segreto. Tutto questo utilizzando Deniable Encryption ³⁰⁰ .

Un avversario legale morbido potrebbe richiedere la password del tuo laptop crittografato. In un primo momento, potresti rifiutarti di fornire qualsiasi password (usando il tuo "diritto di rimanere in silenzio", "diritto di non incriminarti") ma alcuni paesi stanno implementando le leggi ³¹⁸ ' ³¹⁹ per esentarla da tali diritti (perché terroristi e "pensano dei bambini”). In tal caso, potresti dover rivelare la password o rischiare il carcere per oltraggio alla corte. È qui che entrerà in gioco la negazione plausibile.

Potresti quindi rivelare una password, ma quella password darà accesso solo a "dati plausibili" (un sistema operativo esca). La scientifica sarà ben consapevole del fatto che è possibile che tu abbia dati nascosti ma non dovrebbe essere in grado di dimostrarlo (se lo fai bene) . Avrai collaborato e gli investigatori avranno accesso a qualcosa ma non a ciò che in realtà vuoi nascondere. Dal momento che l'onere della prova dovrebbe gravare sulla loro parte, non avranno altra scelta che crederti a meno che non abbiano la prova che hai dei dati nascosti.

Questa funzione può essere utilizzata a livello di sistema operativo (un sistema operativo plausibile e un sistema operativo nascosto) o a livello di file in cui avrai un contenitore di file crittografato (simile a un file zip) in cui verranno mostrati file diversi a seconda della password di crittografia che hai utilizzo.

Ciò significa anche che puoi configurare la tua configurazione avanzata di "negabilità plausibile" utilizzando qualsiasi sistema operativo host archiviando, ad esempio, macchine virtuali su un contenitore del volume nascosto Veracrypt (fai attenzione alle tracce nel sistema operativo host che dovrebbero essere ripulite se l'host Il sistema operativo è persistente, vedere la sezione Alcune misure aggiuntive contro la scientifica più avanti). Esiste un progetto per raggiungere questo obiettivo all'interno di Tails ( https://github.com/aforensics/HiddenVM ^{[Archive.org]} ) che renderebbe il tuo sistema operativo host non persistente e utilizzerebbe una negabilità plausibile all'interno di Tails.

Nel caso di Windows, la negazione plausibile è anche il motivo per cui dovresti idealmente avere Windows 10 Home (e non Pro). Questo perché Windows 10 Pro offre nativamente un sistema di crittografia dell'intero disco (Bitlocker ³²⁰ ) in cui Windows 10 Home non offre alcuna crittografia dell'intero disco. In seguito utilizzeremo software open source di terze parti per la crittografia che consentirà la crittografia dell'intero disco su Windows 10 Home. Questo ti darà una buona scusa (plausibile) per usare questo software. Durante l'utilizzo di questo software su Windows 10 Pro sarebbe sospetto.

Nota su Linux: quindi, che dire di Linux e della plausibile negazione? Sì, è possibile ottenere una negazione plausibile anche con Linux. Maggiori informazioni nella sezione Sistema operativo host Linux più avanti.

Sfortunatamente, la crittografia non è magica e ci sono alcuni rischi coinvolti:

Minacce con crittografia:

La chiave da 5$:

La negazione plausibile è efficace solo contro avversari legali e morbidi che non ricorreranno a mezzi fisici. Evita, se possibile, l'uso di software plausibile con capacità di negazione (come Veracrypt) se il tuo modello di minaccia include avversari duri. Quindi, gli utenti Windows dovrebbero in tal caso installare Windows Pro come sistema operativo host e utilizzare invece Bitlocker.

Vedi https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis ^[Wikiless] ^{[Archive.org]}

Attacco della cameriera malvagia:

La cameriera malvagia attacca ³²¹vengono condotti quando qualcuno manomette il tuo laptop mentre sei via. Per installare per clonare il tuo disco rigido, installa malware o un key logger. Se riescono a clonare il tuo disco rigido, possono confrontare un'immagine del tuo disco rigido nel momento in cui l'hanno presa mentre eri via con il disco rigido quando te lo sequestrano. Se hai utilizzato di nuovo il laptop nel frattempo, gli esaminatori forensi potrebbero essere in grado di dimostrare l'esistenza dei dati nascosti osservando le variazioni tra le due immagini in quello che dovrebbe essere uno spazio vuoto/inutilizzato. Ciò potrebbe portare a prove convincenti dell'esistenza di dati nascosti. Se installano un key logger o un malware all'interno del tuo laptop (software o hardware), potranno semplicemente ottenere la password da te per un uso successivo quando la sequestreranno. Tali attacchi possono essere fatti a casa tua, nel tuo hotel, a un valico di frontiera,

Puoi mitigare questo attacco procedendo come segue (come consigliato in precedenza):

Avere una protezione antimanomissione di base (come spiegato in precedenza) per impedire l'accesso fisico all'interno del laptop a tua insaputa. Ciò impedirà loro di clonare i tuoi dischi e installare un key logger fisico a tua insaputa.
Disabilita tutte le porte USB (come spiegato in precedenza) all'interno di un BIOS/UEFI protetto da password. Ancora una volta, non saranno in grado di accenderli (senza accedere fisicamente alla scheda madre per ripristinare il BIOS) per avviare un dispositivo USB che potrebbe clonare il disco rigido o installare un malware basato su software che potrebbe fungere da key logger.
Configura password BIOS/UEFI/firmware per impedire qualsiasi avvio non autorizzato di un dispositivo non autorizzato.
Alcuni sistemi operativi e software di crittografia hanno una protezione anti-EvilMaid che può essere abilitata. Questo è il caso di Windows/Veracrypt e QubeOS.

Attacco a stivale freddo:

Gli attacchi Cold Boot ³²² sono più complicati dell'Evil Maid Attack, ma possono far parte di un attacco Evil Maid poiché richiede che un avversario entri in possesso del tuo laptop mentre stai utilizzando attivamente il tuo dispositivo o poco dopo.

L'idea è piuttosto semplice, come mostrato in questo video ³²³ , un avversario potrebbe teoricamente avviare rapidamente il tuo dispositivo su una chiave USB speciale che copierebbe il contenuto della RAM (la memoria) del dispositivo dopo averlo spento. Se le porte USB sono disabilitate o se sentono di aver bisogno di più tempo, potrebbero aprirla e "raffreddare" la memoria usando uno spray o altre sostanze chimiche (azoto liquido per esempio) impedendo alla memoria di decadere. Potrebbero quindi essere in grado di copiarne il contenuto per l'analisi. Questo dump della memoria potrebbe contenere la chiave per decrittografare il tuo dispositivo. In seguito applicheremo alcuni principi per mitigarli.

Nel caso di Plausible Deniability, ci sono stati alcuni studi forensi ³²⁴ per provare tecnicamente la presenza dei dati nascosti con un semplice esame forense (senza un Cold Boot/Evil Maid Attack) ma questi sono stati contestati da altri studi ³²⁵ e dal manutentore di Veracrypt ³²⁶ quindi non mi preoccuperei ancora troppo di quelli.

Le stesse misure utilizzate per mitigare gli attacchi di Evil Maid dovrebbero essere in atto per gli attacchi Cold Boot con alcune aggiunte:

Se il tuo sistema operativo o software di crittografia lo consente, dovresti considerare di crittografare anche le chiavi all'interno della RAM (questo è possibile con Windows/Veracrypt e verrà spiegato più avanti). Vedi ancora https://sourceforge.net/p/veracrypt/discussion/technical/thread/3961542951/ ^{[Archive.org]}
Abilita l'opzione per cancellare le chiavi dalla memoria se un dispositivo è inserito in Veracrypt.
È necessario limitare l'uso della modalità Stand-by di sospensione e utilizzare invece Spegnimento o Sospensione per impedire che le chiavi di crittografia rimangano nella RAM quando il computer va in modalità di sospensione. Questo perché il sonno manterrà il potere nella tua memoria per riprendere la tua attività più velocemente. Solo l'ibernazione e lo spegnimento cancelleranno effettivamente la chiave dalla memoria ³²⁷ .

Vedi anche https://www.whonix.org/wiki/Cold_Boot_Attack_Defense ^{[Archive.org]} e https://www.whonix.org/wiki/Protection_Against_Physical_Attacks ^{[Archive.org]}

Ecco anche alcuni strumenti interessanti da considerare per gli utenti Linux per difendersi da questi:

https://github.com/0xPoly/Centry ^{[Archive.org]} (purtroppo non mantenuto sembra quindi ho fatto un fork e una richiesta pull di aggiornamento per Veracrypt https://github.com/AnonymousPlanet/Centry ^{[Archive.org]} che dovrebbe ancora lavoro)
https://github.com/hephaest0s/usbkill ^{[Archive.org]} (purtroppo sembra anche non mantenuto)
https://github.com/Lvl4Sword/Killer ^{[Archive.org]}
https://askubuntu.com/questions/153245/how-to-wipe-ram-on-shutdown-prevent-cold-boot-attacks ^{[Archive.org]}
(solo sistema operativo Qubes, CPU Intel) https://github.com/QubesOS/qubes-antievilmaid ^{[Archive.org]}

Informazioni su Sonno, Ibernazione e Spegnimento:

Se desideri una maggiore sicurezza, dovresti spegnere completamente il laptop ogni volta che lo lasci incustodito o chiudi il coperchio. Questo dovrebbe pulire e/o rilasciare la RAM e fornire mitigazioni contro gli attacchi di avvio a freddo. Tuttavia, questo può essere un po' scomodo in quanto dovrai riavviare completamente e digitare un sacco di password in varie app. Riavvia varie macchine virtuali e altre app. Quindi, invece, potresti anche usare l'ibernazione (non supportata su Qubes OS). Poiché l'intero disco è crittografato, l'ibernazione di per sé non dovrebbe rappresentare un grande rischio per la sicurezza, ma spegnerà comunque il laptop e cancellerà la memoria consentendoti di riprendere comodamente il tuo lavoro in seguito.Quello che non dovresti mai fare è usare la funzione di sospensione standard che manterrà il tuo computer acceso e la memoria alimentata. Questo è un vettore di attacco contro gli attacchi della cameriera malvagia e degli stivali a freddo discussi in precedenza. Questo perché la tua memoria accesa contiene le chiavi di crittografia sul tuo disco (crittografato o meno) e potrebbe quindi essere accessibile da un avversario esperto.

Questa guida fornirà indicazioni in seguito su come abilitare l'ibernazione su vari sistemi operativi host (tranne Qubes OS) se non si desidera arrestare ogni volta.

Perdite di dati locali (tracce) ed esame forense:

Come accennato brevemente in precedenza, si tratta di perdite di dati e tracce dal tuo sistema operativo e dalle app quando esegui qualsiasi attività sul tuo computer. Questi si applicano principalmente ai contenitori di file crittografati (con o senza plausibile negazione) rispetto alla crittografia a livello di sistema operativo. Tali perdite sono meno "importanti" se l'intero sistema operativo è crittografato (se non sei obbligato a rivelare la password).

Diciamo ad esempio che hai una chiave USB crittografata Veracrypt con la negazione plausibile abilitata. A seconda della password utilizzata durante il montaggio della chiave USB, si aprirà una cartella esca o la cartella sensibile. All'interno di queste cartelle, avrai documenti/dati esca all'interno della cartella esca e documenti/dati sensibili all'interno della cartella sensibile.

In tutti i casi, aprirai (molto probabilmente) queste cartelle con Esplora risorse, macOS Finder o qualsiasi altra utilità e farai tutto ciò che hai pianificato di fare. Forse modificherai un documento all'interno della cartella sensibile. Forse cercherai un documento all'interno della cartella. Forse ne cancellerai uno o guarderai un video sensibile usando VLC.

Bene, tutte quelle app e il tuo sistema operativo potrebbero conservare registri e tracce di tale utilizzo. Ciò potrebbe includere il percorso completo della cartella/file/unità, l'ora in cui è stato effettuato l'accesso, le cache temporanee di tali file, gli elenchi "recenti" in ciascuna app, il sistema di indicizzazione dei file che potrebbe indicizzare l'unità e persino le miniature che potrebbero essere generato

Ecco alcuni esempi di tali perdite:

Finestre:

ShellBag di Windows che sono archiviati all'interno del registro di Windows che memorizzano silenziosamente varie cronologie di volumi/file/cartelle a cui si accede ³²⁸ .
L'indicizzazione di Windows tiene traccia dei file presenti nella cartella utente per impostazione predefinita ³²⁹ .
Elenchi recenti (aka Jump List) in Windows e in varie app che tengono traccia dei documenti a cui si accede di recente ³³⁰ .
Molte altre tracce in vari registri, si prega di consultare questo comodo poster interessante per ulteriori informazioni: https://www.sans.org/security-resources/posters/windows-forensic-analysis/170/download ^{[Archive.org]}

Mac OS:

Gatekeeper ³³¹ e XProtect tengono traccia della cronologia dei download in un database locale e degli attributi dei file.
Indicizzazione dei riflettori
Elenchi recenti in varie app che tengono traccia dei documenti a cui si accede di recente.
Cartelle temporanee che mantengono varie tracce dell'utilizzo dell'app e dell'utilizzo dei documenti.
Registri di macOS
…

Linux:

Indicizzazione del tracker
Storia di Bash
Registri USB
Elenchi recenti in varie app che tengono traccia dei documenti a cui si accede di recente.
Registri Linux
…

La scientifica potrebbe utilizzare tutte quelle fughe di notizie (vedi Perdite di dati locali e analisi forense ) per dimostrare l'esistenza di dati nascosti e sconfiggere i tuoi tentativi di utilizzare la negazione plausibile e per scoprire le tue varie attività sensibili.

Sarà quindi importante applicare vari passaggi per impedire alla scientifica di farlo prevenendo e pulendo queste perdite/tracce e, soprattutto, utilizzando la crittografia, la virtualizzazione e la compartimentazione dell'intero disco.

La scientifica non può estrarre fughe di dati locali da un sistema operativo a cui non possono accedere. E sarai in grado di pulire la maggior parte di quelle tracce cancellando l'unità o cancellando in modo sicuro le tue macchine virtuali (che non è così facile come pensi sulle unità SSD).

Alcune tecniche di pulizia saranno comunque trattate nella parte "Cover your Tracks" di questa guida alla fine.

Perdite di dati online:

Sia che tu stia utilizzando una crittografia semplice o una crittografia di negazione plausibile. Anche se hai coperto le tue tracce sul computer stesso. C'è ancora il rischio di fughe di dati online che potrebbero rivelare la presenza di dati nascosti.

La telemetria è il tuo nemico . Come spiegato in precedenza in questa guida, la telemetria dei Sistemi Operativi ma anche delle App può inviare online quantità sbalorditive di informazioni private.

Nel caso di Windows, questi dati potrebbero, ad esempio, essere utilizzati per dimostrare l'esistenza di un sistema operativo/volume nascosto su un computer e sarebbero prontamente disponibili presso Microsoft. Pertanto, è di fondamentale importanza disabilitare e bloccare la telemetria con tutti i mezzi a tua disposizione. Non importa quale sistema operativo stai utilizzando.

Conclusione:

Non dovresti mai condurre attività sensibili da un sistema non crittografato. E anche se è crittografato, non dovresti mai condurre attività sensibili dal sistema operativo host stesso. Dovresti invece usare una macchina virtuale per poter isolare e compartimentare in modo efficiente le tue attività e prevenire perdite di dati locali.

Se hai poca o nessuna conoscenza di Linux o se vuoi utilizzare la negabilità plausibile a livello di sistema operativo, ti consiglio di utilizzare Windows (o tornare al percorso di Tails) per comodità. Questa guida ti aiuterà a indurirlo il più possibile per prevenire perdite. Questa guida ti aiuterà anche a rafforzare il più possibile macOS e Linux per prevenire perdite simili.

Se non sei interessato alla negazione plausibile a livello di sistema operativo e vuoi imparare a usare Linux, ti consiglio vivamente di utilizzare Linux o il percorso del sistema operativo Qubes se il tuo hardware lo consente.

In tutti i casi, il sistema operativo host non dovrebbe mai essere utilizzato per condurre direttamente attività sensibili. Il sistema operativo host verrà utilizzato solo per la connessione a un punto di accesso Wi-Fi pubblico. Rimarrà inutilizzato mentre svolgi attività sensibili e idealmente non dovrebbe essere utilizzato per nessuna delle tue attività quotidiane.

Considera anche la lettura di https://www.whonix.org/wiki/Full_Disk_Encryption#Encrypting_Whonix_VMs ^{[Archive.org]}

Sistema operativo host Linux:

Come accennato in precedenza, non consiglio di utilizzare il tuo laptop quotidiano per attività sensibili. O almeno non consiglio di utilizzare il tuo sistema operativo sul posto per questi. Ciò potrebbe comportare perdite di dati indesiderate che potrebbero essere utilizzate per renderti anonimo. Se hai un laptop dedicato per questo, dovresti reinstallare un nuovo sistema operativo pulito. Se non vuoi cancellare il tuo laptop e ricominciare da capo, dovresti considerare il percorso di Tails o procedere a tuo rischio.

Ti consiglio inoltre di eseguire l'installazione iniziale completamente offline per evitare perdite di dati.

Dovresti sempre ricordare che, nonostante la reputazione, le distribuzioni mainstream Linux (Ubuntu per esempio) non sono necessariamente migliori in termini di sicurezza rispetto ad altri sistemi come macOS e Windows. Vedi questo riferimento per capire perché https://madaidans-insecurities.github.io/linux.html ^{[Archive.org]} .

Crittografia del disco completo:

Ci sono due percorsi qui con le distribuzioni basate su Ubuntu o Debian:

Usando LUKS:
- Senza plausibile negazione:
  - (Consigliato e facile) Crittografa come parte del processo di installazione: https://ubuntu.com/tutorials/install-ubuntu-desktop ^{[Archive.org]}
    - Questo processo richiede la cancellazione completa dell'intera unità (installazione pulita).
    - Basta controllare "Crittografa la nuova installazione di Ubuntu per sicurezza"
  - (Noioso ma possibile) Crittografa dopo l'installazione: https://help.ubuntu.com/community/ManualFullSystemEncryption ^{[Archive.org]}
- Con plausibile negazione: vedere la sezione successiva The Detached Headers Way
Usando Veracrypt:
- Con o senza smentita plausibile: vedere la sezione successiva The Veracrypt Way

Per altre distribuzioni, dovrai documentarti, ma probabilmente sarà simile. La crittografia durante l'installazione è molto più semplice nel contesto di questa guida.

Nota sulla negazione plausibile su Linux:

Esistono diversi modi per ottenere una negazione plausibile su Linux ³³² ed è possibile ottenerla. Ecco alcuni dettagli in più su alcuni dei modi che consiglierei. Tutte queste opzioni richiedono un livello superiore di abilità nell'uso di Linux.

Il modo delle intestazioni staccate:

Sebbene non sia ancora supportato da questa guida, è possibile ottenere una forma di negazione su Linux utilizzando LUKS utilizzando intestazioni LUKS separate. Per ora, ti reindirizzerò verso questa pagina per ulteriori informazioni: https://wiki.archlinux.org/title/Dm-crypt/Specialties#Encrypted_system_using_a_dependent_LUKS_header ^{[Archive.org]}

Il modo di Veracrypt:

È tecnicamente possibile non solo utilizzare Veracrypt, ma anche ottenere una negazione plausibile su un sistema operativo host Linux utilizzando Veracrypt per la crittografia dell'intero disco del sistema (invece di LUKS). Questo non è supportato da Veracrypt (la crittografia del sistema è supportata solo su Windows) e richiede alcuni armeggiare con vari comandi. Questo non è affatto raccomandato per utenti inesperti e dovrebbe essere utilizzato solo a proprio rischio.

I passaggi per raggiungere questo obiettivo non sono ancora integrati in questa guida, ma possono essere trovati qui: http://dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicoxknyazubrad.onion/post/5779e55aae7fc06e4758 (questo è un indirizzo .onion e richiede Tor Browser).

Rifiuta/Disabilita qualsiasi telemetria:

Durante l'installazione, assicurati di non consentire alcuna raccolta di dati se richiesto.
Se non sei sicuro, assicurati di non aver abilitato alcuna telemetria e segui questo tutorial se necessario https://vitux.com/how-to-force-ubuntu-to-stop-collecting-your-data-from-your -pc/ ^{[Archivio.org]}
Qualsiasi altra distribuzione: dovrai documentarti e scoprire tu stesso come disabilitare la telemetria, se presente.

Disabilita tutto ciò che non è necessario:

Disabilita il Bluetooth se abilitato seguendo questa guida https://www.addictivetips.com/ubuntu-linux-tips/disable-bluetooth-in-ubuntu/ ^{[Archive.org]} o emettendo il seguente comando:
- sudo systemctl disable bluetooth.service --force
Disabilita l'indicizzazione se abilitata di default (Ubuntu >19.04) seguendo questa guida https://www.linuxuprising.com/2019/07/how-to-completely-disable-tracker.html ^{[Archive.org]} o emettendo i seguenti comandi :
- sudo systemctl --user mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service
  - Puoi tranquillamente ignorare qualsiasi errore se dice che alcuni servizi non esistono
- sudo tracker reset -hard

Ibernazione:

Come spiegato in precedenza, non dovresti usare le funzioni di sospensione ma spegnere o ibernare il tuo laptop per mitigare alcuni attacchi di malvagità e avvio a freddo. Sfortunatamente, questa funzione è disabilitata per impostazione predefinita su molte distribuzioni Linux, incluso Ubuntu. È possibile abilitarlo, ma potrebbe non funzionare come previsto. Segui queste informazioni a tuo rischio. Se non si desidera eseguire questa operazione, non utilizzare mai la funzione di spegnimento e spegnimento (e impostare il comportamento di chiusura del coperchio su spegnimento anziché su spegnimento).

Segui uno di questi tutorial per abilitare l'ibernazione:

Dopo aver abilitato l'ibernazione, modifica il comportamento in modo che il tuo laptop vada in letargo quando chiudi il coperchio seguendo questo tutorial per Ubuntu 20.04 http://ubuntuhandbook.org/index.php/2020/05/lid-close-behavior-ubuntu- 20-04/ ^{[Archive.org]} e questo tutorial per Ubuntu 18.04 https://tipsonubuntu.com/2018/04/28/change-lid-close-action-ubuntu-18-04-lts/ ^{[Archive.org]} . Non esiste ancora un tutorial per Ubuntu 21.04 o 21.10, ma probabilmente anche il precedente per 20.04 dovrebbe funzionare.

Sfortunatamente, questo non pulirà la chiave direttamente dalla memoria durante l'ibernazione. Per evitarlo a scapito di alcune prestazioni, potresti considerare di crittografare il file di scambio seguendo questo tutorial: https://help.ubuntu.com/community/EnableHibernateWithEncryptedSwap ^{[Archive.org]}

Queste impostazioni dovrebbero mitigare gli attacchi di avvio a freddo se riesci a ibernare abbastanza velocemente.

Abilita la randomizzazione dell'indirizzo MAC:

Ubuntu, segui questi passaggi https://help.ubuntu.com/community/AnonymizingNetworkMACAddresses ^{[Archive.org]} .
Qualsiasi altra distribuzione: dovrai trovare tu stesso la documentazione, ma dovrebbe essere abbastanza simile al tutorial di Ubuntu.
Considera questo tutorial che dovrebbe ancora funzionare: https://josh.works/shell-script-basics-change-mac-address ^{[Archive.org]}

Rafforzamento di Linux:

Come introduzione leggera per i nuovi utenti Linux, considera https://www.youtube.com/watch?v=Sa0KqbpLye4 ^[Invidious]

Per opzioni più approfondite e avanzate, fare riferimento a:

Questa eccellente guida: https://madaidans-insecurities.github.io/guides/linux-hardening.html ^{[Archive.org]}
Questa eccellente risorsa wiki: https://wiki.archlinux.org/title/Security ^{[Archive.org]}
Questi eccellenti script si basano sulla guida e sul wiki sopra: https://codeberg.org/SalamanderSecurity/PARSEC ^{[Archive.org]}
Questi strumenti che possono aiutarti a rafforzare il tuo kernel Linux:
- Lynis: https://github.com/CISOfy/lynis
- Kconfig-hardened-check: https://github.com/a13xp0p0v/kconfig-hardened-check
Considera l'uso di KickSecure quando usi Debian: https://www.whonix.org/wiki/Kicksecure ^{[Archive.org]}
Questo articolo interessante: http://0pointer.net/blog/authenticated-boot-and-disk-encryption-on-linux.html ^{[Archive.org]}

Configurazione di un browser sicuro:

Vedere Appendice G: Browser sicuro sul sistema operativo host

Sistema operativo host macOS:

Nota: al momento, questa guida non supporterà (ancora) i MacBook ARM M1. A causa di Virtualbox non supporta ancora questa architettura. Potrebbe tuttavia essere possibile se utilizzi strumenti commerciali come VMWare o Parallels, ma questi non sono trattati in questa guida.

Ti consiglio inoltre di eseguire l'installazione iniziale completamente offline per evitare perdite di dati.

Non accedere mai con il tuo account Apple utilizzando quel Mac.

Durante l'installazione:

Rimani offline
Disattiva tutte le richieste di condivisione dei dati quando richiesto, inclusi i servizi di localizzazione
Non accedere con Apple
Non abilitare Siri

Rafforzamento di macOS:

Come introduzione leggera per i nuovi utenti di macOS, considera https://www.youtube.com/watch?v=lFx5icuE6Io ^[Invidious]

Ora, per approfondire la protezione e il rafforzamento del tuo macOS, ti consiglio di leggere questa guida GitHub che dovrebbe coprire molti dei problemi: https://github.com/drduh/macOS-Security-and-Privacy-Guide ^{[Archive. org]}

Di seguito sono riportati i passaggi di base da eseguire dopo l'installazione offline:

Abilita la password del firmware con l'opzione "disable-reset-capability":

Innanzitutto, dovresti impostare una password del firmware seguendo questa guida di Apple: https://support.apple.com/en-us/HT204455 ^{[Archive.org]}

Sfortunatamente, alcuni attacchi sono ancora possibili e un avversario potrebbe disabilitare questa password, quindi dovresti anche seguire questa guida per evitare di disabilitare la password del firmware da chiunque, inclusa Apple: https://support.apple.com/en-gb/guide/security/ sec28382c9ca/web ^{[Archive.org]}

Abilita l'ibernazione invece del sonno:

Ancora una volta, questo serve a prevenire alcuni attacchi di avvio a freddo e diabolica spegnendo la RAM e pulendo la chiave di crittografia quando si chiude il coperchio. Dovresti sempre ibernare o spegnere. Su macOS, la funzione di ibernazione ha anche un'opzione speciale per cancellare in modo specifico la chiave di crittografia dalla memoria durante l'ibernazione (mentre potresti dover attendere che la memoria decada su altri sistemi operativi). Ancora una volta non ci sono opzioni facili per farlo all'interno delle impostazioni, quindi dovremo farlo eseguendo alcuni comandi per abilitare l'ibernazione:

Apri un terminale
Correre:sudo pmset -a destroyfvkeyonstandby 1
- Questo comando indicherà a macOS di distruggere la chiave Filevault in standby (sospensione)
Correre:sudo pmset -a hibernatemode 25
- Questo comando indicherà a macOS di spegnere la memoria durante la sospensione invece di eseguire un'ibernazione ibrida che mantiene accesa la memoria. Si tradurrà in scia più lente ma aumenterà la durata della batteria.

Ora, quando chiudi il coperchio del tuo MacBook, dovrebbe andare in letargo invece di dormire e mitigare i tentativi di eseguire attacchi di avvio a freddo.

Inoltre, dovresti anche impostare una sospensione automatica (Impostazioni> Energia) in modo che il tuo MacBook si iberna automaticamente se lasciato incustodito.

Disabilita i servizi non necessari:

Disabilita alcune impostazioni non necessarie all'interno delle impostazioni:

Disabilita Bluetooth
Disabilita la fotocamera e il microfono
Disabilita i servizi di localizzazione
Disabilita Airdrop
Disabilita l'indicizzazione

Impedisci le chiamate OCSP di Apple:

Queste sono le famigerate chiamate di "telemetria non bloccabile" di macOS Big Sur divulgate qui: https://sneak.berlin/20201112/your-computer-isnt-yours/ ^{[Archive.org]}

Puoi bloccare la segnalazione OCSP emettendo il seguente comando nel Terminale:

sudo sh -c 'echo "127.0.0.1 ocsp.apple.com" >> /etc/hosts'

Ma dovresti documentarti sul problema reale prima di agire. Questa pagina è un buon punto di partenza: https://blog.jacopo.io/en/post/apple-ocsp/ ^{[Archive.org]}

Dipende da te davvero. Lo bloccherei perché non voglio alcuna telemetria dal mio sistema operativo alla nave madre senza il mio specifico consenso. Nessuno.

Abilita la crittografia del disco completo (Filevault):

Dovresti abilitare la crittografia completa del disco sul tuo Mac utilizzando Filevault secondo questa parte della guida: https://github.com/drduh/macOS-Security-and-Privacy-Guide#full-disk-encryption ^{[Archive.org]}

Fai attenzione quando abiliti. Non archiviare la chiave di ripristino su Apple se richiesto (non dovrebbe essere un problema poiché in questa fase dovresti essere offline). Non vuoi che una terza parte abbia la tua chiave di ripristino.

Randomizzazione dell'indirizzo MAC:

Sfortunatamente, macOS non offre un modo conveniente nativo per randomizzare il tuo indirizzo MAC e quindi dovrai farlo manualmente. Questo verrà ripristinato ad ogni riavvio e dovrai farlo di nuovo ogni volta per assicurarti di non utilizzare il tuo indirizzo MAC effettivo quando ti connetti a vari Wi-Fi

Puoi farlo emettendo i seguenti comandi nel terminale (senza parentesi):

(Disattiva il Wi-Fi)networksetup -setairportpower en0 off
(Cambia l'indirizzo MAC)sudo ifconfig en0 ether 88:63:11:11:11:11
(Riattiva il Wi-Fi)networksetup -setairportpower en0 on

Configurazione di un browser sicuro:

Vedere Appendice G: Browser sicuro sul sistema operativo host

Sistema operativo host Windows:

Ti consiglio inoltre di eseguire l'installazione iniziale completamente offline per evitare perdite di dati.

Installazione:

Dovresti seguire l'Appendice A: Installazione di Windows

Come introduzione leggera, considera di guardare https://www.youtube.com/watch?v=vNRics7tlqw ^[Invidious]

Abilita la randomizzazione dell'indirizzo MAC:

Dovresti randomizzare il tuo indirizzo MAC come spiegato in precedenza in questa guida:

Vai in Impostazioni > Rete e Internet > Wi-Fi > Abilita indirizzi hardware casuali

In alternativa, puoi utilizzare questo software gratuito: https://technitium.com/tmac/ ^{[Archive.org]}

Configurazione di un browser sicuro:

Vedere Appendice G: Browser sicuro sul sistema operativo host

Abilita alcune impostazioni di privacy aggiuntive sul tuo sistema operativo host:

Vedere Appendice B: Impostazioni aggiuntive sulla privacy di Windows

Crittografia del sistema operativo host Windows:

Se intendi utilizzare la negazione plausibile a livello di sistema:

Veracrypt ³³³ è il software che consiglierò per la crittografia dell'intero disco, la crittografia dei file e la negazione plausibile. È un fork del noto ma deprecato e non mantenuto TrueCrypt. Può essere utilizzato per:

Crittografia semplice del disco completo (il tuo disco rigido è crittografato con una passphrase).
Crittografia del disco completo con negabilità plausibile (questo significa che, a seconda della passphrase inserita all'avvio, avvierai un sistema operativo esca o un sistema operativo nascosto).
Crittografia semplice del contenitore di file (è un file di grandi dimensioni che potrai montare all'interno di Veracrypt come se fosse un'unità esterna in cui archiviare i file crittografati).
Contenitore di file con plausibile negabilità (è lo stesso file di grandi dimensioni ma a seconda della passphrase utilizzata durante il montaggio, monterai un "volume nascosto" o il "volume esca").

^{Per quanto ne so, è
l'unico software di crittografia} gratuito (comodo e utilizzabile da chiunque) gratuito, open source e apertamente controllato che fornisce anche una negazione plausibile per un uso diffuso e funziona con Windows Home Edition.

Vai avanti e scarica e installa Veracrypt da: https://www.veracrypt.fr/en/Downloads.html ^{[Archive.org]}

Dopo l'installazione, prenditi un momento per esaminare le seguenti opzioni che aiuteranno a mitigare alcuni attacchi:

Crittografa la memoria con un'opzione Veracrypt ³³⁵ (impostazioni > prestazioni/opzioni driver > crittografa RAM) al costo del 5-15% di prestazioni. Questa impostazione disabiliterà anche l'ibernazione (che non cancella attivamente la chiave durante l'ibernazione) e crittograferà invece del tutto la memoria per mitigare alcuni attacchi di avvio a freddo. Maggiori dettagli su questa funzione qui: https://sourceforge.net/p/veracrypt/discussion/technical/thread/3961542951/ ^{[Archive.org]}
Abilita l'opzione Veracrypt per cancellare le chiavi dalla memoria se viene inserito un nuovo dispositivo (sistema > impostazioni > sicurezza > cancella chiavi dalla memoria se viene inserito un nuovo dispositivo). Questo potrebbe aiutare nel caso in cui il tuo sistema venga sequestrato mentre è ancora acceso (ma bloccato).
Abilita l'opzione Veracrypt per montare i volumi come volumi rimovibili (Impostazioni > Preferenze > Monta volume come supporto rimovibile). Ciò impedirà a Windows di scrivere alcuni registri sui tuoi montaggi nei registri eventi ³³⁶ e impedirà alcune perdite di dati locali.
Fai attenzione e abbi una buona consapevolezza della situazione se senti qualcosa di strano. Spegni il tuo laptop il più velocemente possibile.

Se non si desidera utilizzare la memoria crittografata (perché le prestazioni potrebbero essere un problema), è necessario abilitare almeno l'ibernazione anziché la sospensione. Questo non cancellerà le chiavi dalla memoria (sei ancora vulnerabile agli attacchi di avvio a freddo) ma almeno dovrebbe mitigarle se la tua memoria ha abbastanza tempo per decadere.

Maggiori dettagli più avanti in Route A e B: Simple Encryption using Veracrypt (esercitazione di Windows) .

Se non si intende utilizzare la negazione plausibile a livello di sistema:

In questo caso, consiglierò l'uso di BitLocker invece di Veracrypt per la crittografia dell'intero disco. Il ragionamento è che BitLocker non offre una possibilità di negazione plausibile contraria a Veracrypt. Un duro avversario non ha quindi alcun incentivo a perseguire il suo interrogatorio "potenziato" se riveli la passphrase.

Normalmente, in questo caso dovresti aver installato Windows Pro e l'installazione di BitLocker è abbastanza semplice.

Fondamentalmente, puoi seguire le istruzioni qui: https://support.microsoft.com/en-us/windows/turn-on-device-encryption-0c453637-bc88-5f74-5105-741561aae838 ^{[Archive.org]}

Ma ecco i passaggi:

Fare clic sul menu di Windows
Digita "Bitlocker"
Fai clic su "Gestisci BitLocker"
Fai clic su "Attiva Bitlocker" sull'unità di sistema
Seguire le istruzioni
- Non salvare la chiave di ripristino su un account Microsoft se richiesto.
- Salva la chiave di ripristino solo su un'unità crittografata esterna. Per aggirare questo problema, stampa la chiave di ripristino utilizzando la stampante Microsoft Print to PDF e salva la chiave nella cartella Documenti. Elimina quel file più tardi.
- Crittografa l'intera unità (non crittografare solo lo spazio su disco utilizzato).
- Usa "Nuova modalità di crittografia"
- Esegui il controllo di BitLocker
- Riavviare
La crittografia dovrebbe ora essere avviata in background (puoi controllare facendo clic sull'icona Bitlocker nella parte in basso a destra della barra delle applicazioni).

Sfortunatamente, questo non è abbastanza. Con questa configurazione, la tua chiave Bitlocker può essere semplicemente archiviata così com'è nel chip TPM del tuo computer. Questo è piuttosto problematico in quanto la chiave può essere estratta in alcuni casi con facilità ³³⁷ ' ³³⁸ ' ³³⁹ ' ³⁴⁰ .

Per mitigare ciò, dovremo abilitare alcune opzioni in più secondo le raccomandazioni di Microsoft ³⁴¹ :

Fare clic sull'icona di Windows
Digita Esegui
Digita "gpedit.msc" (questo è l'editor dei criteri di gruppo)
Passare a Configurazione computer > Modelli amministrativi > Componenti di Windows > BitLocker > Unità del sistema operativo
- Fare doppio clic su "Richiedi autenticazione aggiuntiva all'avvio"
  - Fare clic su "Configura PIN di avvio TPM" e impostarlo su "Richiedi PIN di avvio con TPM"
- Fare doppio clic su "Consenti PIN avanzati per l'avvio"
  - Fare clic su "Abilita" (questo ci consentirà di impostare una password anziché un PIN)
Chiudere l'Editor criteri di gruppo
Fare clic sull'icona di Windows
Digita Command per visualizzare il "Prompt dei comandi"
Fare clic destro su di esso e fare clic su "Esegui come amministratore"
Esegui manage-bde -protectors -delete c:(questo cancellerà la protezione corrente: la chiave di ripristino non ci servirà)
Esegui manage-bde -protectors -add c: -TPMAndPIN(questo ti chiederà una password di pre-avvio)
- Inserisci una password o una passphrase a tua scelta (buona)
Correremanage-bde -status
- Ora dovresti vedere sul tuo C: guidare sotto "Key Protectors" l'opzione "TPM e PIN"
Hai fatto

Ora quando riavvii il computer, dovresti idealmente essere richiesto per:

Una password di avvio BIOS/UEFI
Una password di sblocco SSD/HDD (se la funzione è disponibile nel BIOS)
Una schermata Pin di pre-avvio di Bitlocker in cui è necessario inserire la password/passphrase appena impostata
E infine, la schermata di accesso di Windows in cui puoi inserire le credenziali che hai impostato in precedenza

Abilita ibernazione (opzionale):

Ancora una volta, come spiegato in precedenza. Non dovresti mai usare la funzione di sospensione/stand-by per mitigare alcuni attacchi di avvio a freddo e cameriera malvagia. Invece, dovresti spegnere o ibernare. Dovresti quindi cambiare il tuo laptop dalla modalità di sospensione alla modalità di ibernazione quando chiudi il coperchio o quando il tuo laptop va in modalità di sospensione.

( Si noti che non è possibile abilitare l'ibernazione se in precedenza è stata abilitata la crittografia della RAM all'interno di Veracrypt)

Il motivo è che l'ibernazione spegnerà completamente il laptop e pulirà la memoria. Il sonno, d'altra parte, lascerà la memoria accesa (inclusa la chiave di decrittazione) e potrebbe rendere il tuo laptop vulnerabile agli attacchi di avvio a freddo.

Per impostazione predefinita, Windows 10 potrebbe non offrirti questa possibilità, quindi dovresti abilitarla seguendo questo tutorial Microsoft: https://docs.microsoft.com/en-us/troubleshoot/windows-client/deployment/disable-and-re- abilita-ibernazione ^{[Archive.org]}

Apri un prompt dei comandi dell'amministratore (fai clic con il tasto destro del mouse su Prompt dei comandi e "Esegui come amministratore")
Esegui: powercfg.exe /hibernate on
Ora esegui il comando aggiuntivo:**powercfg /h /type full**
- Questo comando assicurerà che la tua modalità di ibernazione sia piena e pulirà completamente la memoria (non in modo sicuro).

Dopodiché dovresti entrare nelle impostazioni di alimentazione:

Apri il pannello di controllo
Sistema aperto e sicurezza
Apri Opzioni risparmio energia
Apri "Scegli cosa fa il pulsante di accensione"
Cambia tutto, dalla sospensione alla sospensione o allo spegnimento
Torna alle Opzioni risparmio energia
Seleziona Modifica impostazioni piano
Seleziona Impostazioni di alimentazione avanzate
Cambia tutti i valori del sonno per ogni piano di alimentazione su 0 (mai)
Assicurati che la sospensione ibrida sia disattivata per ogni piano di alimentazione
Abilita l'ibernazione Dopo il tempo che desideri
Disabilita tutti i timer Wake

Decidere quale sub-percorso prendere:

Ora dovrai scegliere il tuo prossimo passo tra due opzioni:

Percorso A: crittografia semplice del tuo attuale sistema operativo
- Professionisti:
  - Non richiede di pulire il tuo laptop
  - Nessun problema con le perdite di dati locali
  - Funziona bene con un'unità SSD
  - Funziona con qualsiasi sistema operativo
  - Semplice
- Contro:
  - Potresti essere costretto da un avversario a rivelare la tua password e tutti i tuoi segreti e non avrai alcuna plausibile negazione.
  - Il pericolo di fughe di dati online
Percorso B: crittografia semplice del tuo attuale sistema operativo con uso successivo di una negazione plausibile sui file stessi:
- Professionisti:
  - Non richiede di pulire il tuo laptop
  - Funziona bene con un'unità SSD
  - Funziona con qualsiasi sistema operativo
  - La negazione plausibile è possibile con avversari "morbidi".
- Contro:
  - Il pericolo di fughe di dati online
  - Il pericolo di perdite di dati locali (che porteranno a più lavoro per ripulire tali perdite)
Percorso C: Crittografia plausibile negabilità del tuo sistema operativo (avrai un "sistema operativo nascosto" e un "sistema operativo esca" in esecuzione sul laptop):
- Professionisti:
  - Nessun problema con le perdite di dati locali
  - La negazione plausibile è possibile con avversari "morbidi".
- Contro:
  - Richiede Windows (questa funzionalità non è "facilmente" supportata su Linux).
  - Il pericolo della fuga di dati

Contenuti:

Prerequisiti e limitazioni:

Prerequisiti:

Limitazioni:

Introduzione:

Comprendere alcune nozioni di base su come alcune informazioni possono ricondurre a te e come mitigarne alcune:

La tua rete:

Il tuo indirizzo IP:

Le tue richieste DNS e IP:

I tuoi dispositivi abilitati RFID:

I dispositivi Wi-Fi e Bluetooth intorno a te:

Punti di accesso Wi-Fi dannosi/rogue:

Il tuo traffico Tor/VPN anonimizzato:

Alcuni Dispositivi possono essere tracciati anche offline:

I tuoi identificatori hardware:

Il tuo IMEI e IMSI (e, per estensione, il tuo numero di telefono):

Il tuo indirizzo MAC Wi-Fi o Ethernet:

Il tuo indirizzo MAC Bluetooth:

La tua CPU:

I tuoi servizi di telemetria dei sistemi operativi e delle app:

I tuoi dispositivi Smart in generale:

Te stesso:

I tuoi metadati inclusa la tua posizione geografica:

Impronta digitale, impronta e comportamento online:

I tuoi indizi sulla tua vita reale e OSINT:

Il tuo viso, voce, dati biometrici e immagini:

Riconoscimento dell'andatura e altri dati biometrici a lungo raggio

Phishing e ingegneria sociale:

Malware, exploit e virus:

Malware nei tuoi file/documenti/e-mail:

Malware ed exploit nelle tue app e servizi:

Dispositivi USB dannosi:

Malware e backdoor nel firmware hardware e nel sistema operativo:

I tuoi file, documenti, immagini e video:

Proprietà e metadati:

Filigrana:

Immagini/Video/Audio:

Filigrana di stampa:

Informazioni pixelate o sfocate:

Le tue transazioni in criptovalute:

I tuoi servizi di backup/sincronizzazione cloud:

Impronte digitali del browser e del dispositivo:

Perdite di dati locali e analisi forensi:

Crittografia errata:

Nessuna registrazione ma registrazione comunque politiche:

Alcune tecniche mirate avanzate:

Alcune risorse bonus:

Appunti:

Preparativi generali:

Scegli il tuo percorso:

Limiti di tempo:

Limiti di budget/materiale:

Abilità:

Considerazioni contraddittorie:

Minacce:

Avversari:

Passi per tutti i percorsi:

Abituarsi a utilizzare password migliori:

Ottenere un numero di telefono anonimo:

Fisico Burner Telefono e SIM prepagata:

Prendi un telefono con masterizzatore:

Ottenere una SIM prepagata anonima:

Numero di telefono in linea:

Ottieni una chiavetta USB:

Trova alcuni luoghi sicuri con Wi-Fi pubblico decente:

Il percorso Tor Browser:

Windows, Linux e macOS:

Android:

iOS:

Avviso importante:

Il percorso di Tails:

Impostazioni Tor Browser su Tails:

Negabilità plausibile persistente usando Whonix all'interno di Tails:

Prima corsa:

Corse successive:

Passi per tutti gli altri percorsi:

Ottieni un laptop dedicato per le tue attività sensibili:

Alcuni consigli per il laptop:

Impostazioni BIOS/UEFI/Firmware del tuo laptop:

PC: