Нет универсального, гарантированно безопасного и одновременно удобного способа обмена сообщениями посредством электронной почты. В большинстве случаев решить проблему безопасности (по крайней мере рядовым пользователям) поможет шифрование. На компьютерах может использоваться специальное программное обеспечение для шифрования, например PGP. Чтобы работать с ним, потребуется установить одно из соответствующих приложений. Также обоим собеседникам надо будет создать открытый (публичный) и закрытый ключи шифрования и обменяться открытыми ключами. Поэтому такой способ не подойдет, если отправитель – организация, например социальная сеть или банковская структура.
Примечание. Подробные инструкции по настройке PGP на компьютере для операционной системы Windows[146], macOS[147] или Linux[148] приведены на сайте https://ssd.eff.org. Существуют и приложения для шифрования электронной почты на мобильных устройствах, такие как Canary Mail[149].
Важно учесть, что PGP позволяет шифровать только содержимое писем, а данные об отправителе и адресате, а также дата отправки и некоторые метаданные передаются в открытом виде. В некоторых случаях даже сам факт переписки с определенным адресатом может выглядеть нежелательным для человека и привлечь ненужное внимание со стороны заинтересованных субъектов. Если произойдет взлом почтового сервиса, в руках у злоумышленника окажутся все открытые письма и метаданные зашифрованных писем.
Обратите внимание! Если вы посмотрите на метаданные любого из полученных писем, вы увидите IP-адреса всех серверов по всему миру, которые служили передаточными пунктами для вашего письма на пути к адресату. За каждой страной закреплен свой блок IP-адресов, и за каждым провайдером зарезервирован собственный подблок, который в свою очередь делится на подблоки в зависимости от типа предоставляемых услуг: коммутируемый доступ, выделенная линия или мобильный интернет. Если вы приобрели статический IP-адрес, он будет привязан к вашей учетной записи и к домашнему адресу, в ином случае ваш внешний IP-адрес будет генерироваться из пула адресов, принадлежащих вашему интернет-провайдеру. Так, например, IP-адрес 175.45.176.0 принадлежит Северной Корее. Письмо от отправителя с таким IP-адресом, вероятно, будет помечено спецслужбами страны для дальнейшего изучения[150].
Для безопасного общения не только на компьютерах, но и на мобильных устройствах можно использовать сервисы защищенной почты, а также мессенджеры, обеспечивающие сквозное шифрование. В этом случае сообщения зашифровываются на устройстве отправителя и расшифровываются на устройстве получателя без участия третьих лиц, например владельцев защищенного почтового сервиса[151]. В целях соблюдения конфиденциальности пользователей (сервисов или приложений) данный вид шифрования был создан взамен транспортному, когда сообщение шифруется на компьютере отправителя, а расшифровывается на сервере и в открытом виде передается получателю, и открытому, когда данные на всем пути не шифруются вовсе. Открытая передача данных никак не защищает их, а транспортное шифрование – лишь на части пути, поскольку передаваемые данные могут быть скомпрометированы как на пути с сервера на устройство пользователя, так и на промежуточном сервере, на котором выполняется расшифровка. Тем не менее не следует думать, что сквозное шифрование полностью защищает ваши данные от утечки: они могут быть перехвачены и до шифрования (например, вредоносным приложением, копирующем изображение на экране вашего устройства или записывающим нажатия клавиш), и после (теми же способами, а также в случае если к устройству получателя есть доступ у злоумышленника). Кроме того, даже без доступа к содержимому сообщений остаются известны метаданные – сведения о вашем общении с теми или иными пользователями в указанное время[152].
Мессенджерам посвящена отдельная глава, а из защищенных почтовых служб на момент написания книги наиболее популярна разработка PreVeil[153]. По сути, это не отдельный почтовый сервис, а система шифрования электронной почты, подключаемая к имеющемуся почтовому ящику, т. е. адрес электронной почты не меняется. Обмен почтовыми сообщениями со сквозным шифрованием доступен после установки специального приложения (поддерживаются как настольные, так и мобильные системы).
Для безопасного обмена письмами и файлами (через функцию Drive) необходимо, чтобы у собеседника также было установлено программное обеспечение PreVeil, в противном случае вместо вашего сообщения он получит приглашение на установку программы. Помимо веб-приложения, в настольных системах доступен плагин для браузера Chrome, Edge, Firefox и Internet Explorer, позволяющий интегрировать функционал сервиса в почтовые интерфейсы Outlook, Gmail и Apple Mail. На рис. 3.6 показан интерфейс веб-приложения PreVeil.
Рис. 3.6. Интерфейс веб-приложения PreVeil
Несмотря на преимущества, сервис PreVeil не лишен и недостатков (как и аналогичные ему ресурсы). Во-первых, это отдельное программное обеспечение, поэтому доступ к защищенной почте осуществляется в веб-браузере или мобильном приложении, что далеко не всегда удобно (вы не сможете получать сообщения с помощью привычных почтовых программ). Во-вторых, сервис требует установки программного обеспечения на стороне получателя, что в ряде случаев может быть невозможно либо стать проблемой в случае экстренной защищенной коммуникации. Кроме того, сервис запущен относительно недавно, поэтому на момент написания книги нет серьезных исследований безопасности и конфиденциальности персональных данных в этой службе.
Многие сервисы, предоставляющие услуги обмена сообщениями с шифрованием, например ProtonMail, заблокированы в России из-за массовых рассылок фейковых сообщений о готовящихся преступлениях[154], поэтому не описываются в книге.
Подведем итоги. Для обеспечения максимально возможного уровня безопасности при обмене электронными письмами следует учесть следующее:
■ Не существует стопроцентно безопасных способов пересылки электронных сообщений, поэтому особо важную информацию следует передавать без применения сетевых технологий.
■ Для дистанционного общения с другими людьми рекомендуется вместо электронной почты использовать защищенные мессенджеры[155], такие как Signal, поддерживающие функцию сквозного шифрования и, при необходимости, таймеры уничтожения сообщений[156].
■ Для получения зашифрованными сообщениями электронной почты можно использовать защищенные почтовые сервисы, такие как PreVeil (с учетом недостатков, описанных выше).
■ Строго разделяйте электронную почту: используйте отдельные ящики для личной переписки и получения писем от банков и прочих структур (персональная почта); для рабочей переписки (корпоративная почта) и прочих писем (ящик для спама).
Примечание. Как альтернативу пересылке сообщений для относительно конфиденциального обмена информацией можно использовать общий доступ к одному и тому же ящику электронной почты. Написав сообщение, вы помещаете его в папку «Черновики» или «Исходящие», доступ к которой есть у получателя. Обмен паролями к ящику производится при личном контакте.
■ Для временной регистрации на сомнительных сайтах и в любых других ситуациях, когда нежелательно раскрывать реальные контактные данные, вы можете использовать сервисы временной почты, например https://tempail.com/ru/.
Далее рассмотрим способы защиты от спама и фишинга, а также от мошеннических уловок.
Самое главное правило – не позволить спамерам узнать электронный адрес. Это трудная задача, но можно принять некоторые меры предосторожности:
■ Используйте надежный пароль и многофакторную аутентификацию для защиты доступа к ящику электронной почты. Для каждого адреса электронной почты следует использовать различные пароли. Если для восстановления доступа применяются контрольные вопросы, используйте собственные варианты или неочевидные ответы (также см. главу 2).
■ Используйте отдельный адрес электронной почты для регистрации на недоверенных ресурсах или используйте почтовые псевдонимы (анонимные адреса) для таких целей, если это допускает ваш почтовый сервис. Например, на сервисе Mail.ru можно создать любое количество псевдонимов[157].
■ Включите двухфакторную аутентификацию, если данная функция поддерживается почтовым сервисом.
■ Не указывайте в профиле почтовой службы личную информацию: Ф.И.О., дату рождения и т. п. Не связывайте между собой аккаунты, через которые злоумышленники могут узнать ваши персональные данные и связать их с адресом электронной почты. В идеале следует использовать псевдоним: во многих случаях так вы вычислите злоумышленника, даже если письмо будет отправлено якобы с адреса вашего друга. Так как друзья и родственники знают, как вас зовут, и обращаются к вам по вашему настоящему имени, вы обнаружите подвох, если их ящики будут взломаны (или подделан обратный адрес).
■ Не публикуйте свой адрес на общедоступных сайтах. Если это необходимо, указывайте его в виде изображения, добавляйте лишние символы, заменяйте символ «@» – например p_o_c_h_t_aСОБАКАm_a_i_l_r_u