О безопасном серфинге

На тему безопасности работы c ПК исписаны тома, поэтому пытаться охватить весь спектр сетевых «страшилок» было бы наивно. Наш рассказ преследует другую цель. Прочитав эту статью, вы сможете действительно серьезно повысить безопасность своей работы. Наш обзор предназначен для начинающих юзеров. Поэтому, уважаемые Опытные Пользователи, прежде чем скептически выгибать бровь, читая этот текст, просто вспомните тот день, когда вы под попискивание dialup-модема заводили свой первый ящик электронной почты. Начнем с того, что абсолютной, стопроцентной защиты не бывает.

В то же время можно значительно, в разы сократить вероятность сетевых неприятностей. Для этого понадобится не так много усилий, главное здесь – системный подход, учитывающий различные виды опасностей. Поэтому первым делом необходимо определиться со списком основных угроз, способных привести к потере или разглашению данных, а также проблемам не только в сетевой, но и в реальной жизни. Почетное первое место в этом списке займут не вирусы и не хакеры, а сам пользователь, который по невнимательности или незнанию, образно выражаясь, иногда сам копает себе яму, да еще и укладывает на ее дно грабельки.

Аутотренинг
Если почитать книжки самого, наверное, «раскрученного» хакера современности Кевина Митника, то обнаружится любопытная вещь: большинство успешных взломов были осуществлены с помощью так называемого «социального инжиниринга», или, говоря проще, банального обмана пользователя. С той поры прошло немало времени, технологии шагнули вперед, а вот методы проникновения в систему «с помощью» самого юзера остаются одним из главных средств в арсенале всяческих мутных людей. Чтобы не оказаться в положении человека, который сам становится главной проблемой для собственной безопасности, достаточно соблюдать ряд несложных правил сетевой гигиены. Они банальны, но не потому, что скучны, а потому, что проверены тысячами ситуаций.

Самый простой и надежный способ избежать утечки особо чувствительных данных – по возможности не оставлять в Сети критичные персональные сведения. Размещая на онлайновом ресурсе какую-либо информацию о себе, сделайте паузу и представьте, что она подписана не ником, а вашим настоящим именем и вы рассказываете ее вашему потенциальному недоброжелателю. Если вы испытываете сомнения, лучше просто не выкладывайте ее. И на солнце бывают пятна, и даже самый серьезный поставщик интернет-сервисов не застрахован от сбоев. Стопроцентные гарантии может дать только бог или шарлатан. Более того, при наличии желания, времени и мотивации персональная информация (реальное имя, адрес, телефон и другие контактные данные) может быть извлечена даже из незначительных исходных данных, оставленных в сетевых источниках. Не будем пересказывать методы и примеры такой деятельности – отправьте на любом крупном поисковике запрос «деанонимизация», почитайте поучительные истории других людей и никогда не совершайте таких ошибок.

Незакрытый на чужом или общем компьютере почтовый аккаунт, пароль, записанный на бумажке, оставленной рядом с монитором, – список подобных ошибок можно продолжать. Соблюдайте элементарную осторожность в реале и не вводите ближних своих в искушение. Ибо при взломе аккаунта каких-нибудь «Одноклассников», скорее всего, стоит сетовать не на мифического хакера, а на собственную неосторожность. Кстати, о паролях: желательно не использовать одинаковые «волшебные слова» на различных сервисах. Если вам сложно придумывать пароли, воспользуйтесь простейшим мнемотехническим приемом: вспомните любимый стишок и составьте пароль, например, из первых букв его строчек. Пароли, как и носки, периодически следует менять.

Отказ от перехода по ссылкам, полученным из неизвестного источника по почте или ICQ, или же скачивание присланных таким способом файлов у осмотрительного интернетчика должен быть развит на уровне рефлекса и быть включенным по умолчанию. Помните, что некоторые «троянские кони» даже умеют поддерживать несложную беседу в чате для того, чтобы убедить пользователя щелкнуть по ссылке. Точно так же относитесь и к «официальным» просьбам выслать пароль, например, от почтового ящика – ни один нормальный «техсаппорт» никогда такого не попросит.

Всевозможные навороты современного сетевого софта, связанные с безопасностью, были придуманы вовсе не для того, чтобы позлить пользователей, а для того, чтобы уберечь их от типичных ошибок. Да, такие системы могут быть надоедливы, однако, если вам советует немедленно их отключить, например, зашедший в гости приятель, подумайте. Такие действия нужно выполнять только хорошо понимая их последствия, в идеале – одновременно с подключением каких-либо альтернативных средств защиты. Если уж вы обращаетесь за помощью, обязательно просите объяснить смысл производимых операций. И пусть это объяснение будет доступным. Если вы, именно вы, не понимаете смысл предлагаемых действий, лучше оставьте все как есть, мягко отстраните приглашенного эксперта от клавиатуры и займите его руки чашкой чая и вкусным бутербродом.

Готовим доспехи
Теперь перейдем к техническим аспектам: попробуем классифицировать угрозы, возникающие в ходе серфинга, и поискать на них адекватные ответы. Современные сетевые программы – это сложные системы, в которых могут быть недоработки или бреши безопасности. Не забывайте поддерживать их в актуальном состоянии, вовремя устанавливайте обновления. Про необходимость наличия антивирусного софта, а еще лучше комплексного решения, содержащего межсетевой экран (он же файрволл, или брандмауэр), долго говорить не стоит – это обязательное условие безопасности, реально способное защитить вас и окружающих от многих проблем.

Основной инструмент интернет-работы – это браузер. Защитить его можно различными способами, в том числе и установкой различных дополнений. О них мы и поговорим далее.
Вряд ли здравомыслящий и находящийся в трезвом уме человек выберет для вечерней прогулки темные подворотни неблагополучного городского района. Аналогичный принцип следует использовать и в ходе серфинга. Многие сайты вольно или невольно становятся разносчиками всевозможной киберзаразы. Не будем забывать и об угрозе фишинга – выманивания персональных данных с помощью поддельных сайтов, иногда до мелочей копирующих внешний вид официальных ресурсов.

Обойти стороной такие сайты поможет, в частности, плагин WOT (Web of Trust), доступный для всех основных современных браузеров: Internet Explorer, Firefox, Opera и Safari. Домашняя страничка программы – www.mywot.com. WOT располагает оперативно обновляемой базой адресов потенциально небезопасных сайтов. Его задача – предупредить вас о репутации того или иного веб-ресурса. Иконка WOT действует аналогично светофору: зеленый цвет – безопасный сайт, желтый – ресурс с удовлетворительной безопасностью, красный – вы рискуете найти на свою голову приключения. Заметим, что WOT работает в мягком, сугубо рекомендательном режиме и не блокирует какие-либо сайты автоматически – решения всегда принимает пользователь.

Незакрытый на чужом или общем компьютере почтовый аккаунт, пароль, записанный на бумажке, оставленной рядом с монитором, – список подобных ошибок можно продолжать.

Списки WOT пополняются двумя путями. Во-первых, их поставляет известная своими антивирусными разработками компания Panda Security. Во-вторых, привлекаются социальные технологии: пользователи WOT имеют возможность выставлять собственные индексы безопасности для посещаемых ресурсов. Эти данные обобщаются, анализируются и используются для обновления списков. Главная потенциальная опасность на веб-странице – это выполняемые на ней программы-скрипты. Вполне логично защититься от них каким-либо фильтром. Одно из лучших на сегодня решений этой задачи – дополнение NoScript (noscript.net). С его помощью можно серьезно повысить безопасность браузера Firefox. Назначение NoScript – блокировка самого разнообразного динамического контента.

Данное дополнение умеет отключать JavaScript, Flash, обрабатывать объекты Microsoft Silverlight и элементы Iframe, блокирует загрузку исполняемых файлов, защищает от многих типов сетевых атак. NoScript отличается весьма гибкими возможностями настройки. По умолчанию он запрещает выполнение любых скриптов на открываемых страницах. С помощью значка NoScript в строке состояния браузера можно просмотреть список заблокированных на открытой веб-странице скриптов и разрешить выполнение только тех, которым вы доверяете. Списки доверенных ресурсов можно сохранять, причем как постоянно, так и только для текущей сессии работы с браузером, что весьма удобно. Кроме того, NoScript может автоматически добавить в «белый список» все сайты, которые сохранены в закладках вашего обозревателя. Поскольку настроек у дополнения действительно много, в нем предусмотрены инструменты их экспорта и импорта, а также создания их резервных копий.

Интернет-реклама также может стать угрозой безопасности. Даже если не вспоминать про ее навязчивость, она может использоваться для фишинга. Кроме того, многие ресурсы для демонстрации максимально эффективной рекламы стремятся собирать как можно более подробное досье о пользователях, включая сведения о просматриваемых веб-страницах, запросах интернет-поиска и других подобных вещах. Пожалуй, наиболее мощное «лекарство» от интернет-рекламы – это дополнение AdBlock Plus (adblockplus.org). Кроме удаления собственно рекламы оно также обладает функциями контроля мультимедиаконтента на просматриваемых веб-страницах. AdBlock Plus способен справиться с рекламой, представленной в самых различных форматах, – от банальных баннеров до самых изощренных медиарешений.

Работа с рекламой ведется в двух режимах. Основной – автоматический, на основе подписок – списков шаблонов рекламных источников и элементов. Предлагается порядка сорока подписок, оптимизированных для различных регионов, в том числе для России. Поскольку обновления подписок подгружаются при старте браузера, не стоит выбирать более двух-трех одновременно – это приведет к замедлению его работы. Второй режим работы – ручной. У нас есть возможность просто выделить на веб-странице ненужный фрагмент с рекламой и с помощью контекстного меню дать AdBlock команду создать на его основе новый фильтр. Еще более заметных результатов можно добиться при использовании AdBlock Plus в связке с плагином Flashblock (flashblock.mozdev.org). Данное дополнение – «узкий специалист», работающий только с flash-роликами. При включенной защите на веб-странице вместо роликов демонстрируется пустой блок аналогичного размера, что сохраняет верстку просматриваемой страницы. Такой блок содержит кнопку, щелкнув по которой можно запустить заблокированный flash-ролик. Flashblock позволяет составлять «белые списки» сайтов, на которых вы хотите разрешить демонстрацию flash-элементов.

Теперь займемся излишне любопытными веб-ресурсами, собирающими данные об активности юзера в Сети и вообще интересующимися личной жизнью пользователя. Обычно для этого применяются различные способы определения его IP-адреса, а также сохранение персональной информации с помощью cookie-файлов. Современные браузеры позволяют очищать списки таких файлов, однако это не обеспечивает полную защиту. Дело в том, что для сохранения персональной информации о пользователе все чаще применяются так называемые Local Shared Objects (LSO). Их иногда называют суперкуками, что вполне отражает их возможности. Дело в том, что они сохраняются не браузером, а flash-плагином. Поскольку «сберегаются» они в системных папках, такие файлы обычно защищены от удаления. Кроме того, это придает LSO кроссбраузерные возможности: они будут работать в любом используемом на компьютере браузере. Срок действия LSO может быть неограниченным, и такой объект способен хранить до 100 Кбайт данных, которые передаются по запросу внешнего сервера без какого-либо уведомления пользователя.
Справиться с LSO способно дополнение BetterPrivacy (addons.mozilla.org/ru/firefox/addon/6623).

Обычно после инсталляции и первоначального сканирования компьютера с интернет-подключением аддон находит до сотни таких объектов. При желании их можно сразу же удалить. После завершения каждого сеанса работы с Firefox дополнение BetterPrivacy демонстрирует отчет о количестве новых LSO-объектов, которые попытались сохранить посещенные сайты. У пользователя, соответственно, появляется возможность немедленно их удалить.

При необходимости можно настроить BetterPrivacy на работу в автоматическом режиме, когда LSO-файлы будут удаляться без уведомления. Правда, если вы активно пользуетесь онлайновыми приложениями или играми, построенными на Flash, будьте осторожны с этой опцией, иначе вы рискуете потерять полезные сохраненные данные. Это дополнение поддерживает и более гибкие настройки. В диалоге LSO Manager можно просмотреть детальную информацию о найденных объектах: адрес сайта, сохранившего LSO, дату и время его сохранения. На основе этих и других сведений можно принимать обоснованные решения о блокировке или «сбережении» файла. При необходимости можно настроить удаление LSO по таймеру, что позволяет отделить LSO активно используемых вами веб-приложений от ненужных объектов.

Заметим, что для надежной защиты одного прокси может оказаться недостаточно, поэтому те, кто действительно заинтересован в скрытности, строят цепочки из нескольких серверов.

Защищаем приватность
Современные технологии предлагают массу средств отслеживания поведения пользователя в интернете. Кроме того, они позволяют строить системы фильтрации контента, которые блокируют юзерам доступ к тем или иным ресурсам. Если вы не хотите становиться объектом такой слежки, не желаете, чтобы кто-либо узнал сайты, которые вы посещаете, или определял за вас, какие ресурсы вы можете просматривать, пора познакомиться с таким полезным объектом, как прокси-сервер. С его помощью можно повысить уровень анонимности при работе в Сети. Как ни странно, необходимость в таких решениях испытывают не только всевозможные киберзлодеи, но и вполне законопослушные пользователи.

Прокси-сервер, в самом общем случае, выступает в роли посредника между клиентом и удаленным ресурсом. Поскольку данные передаются через прокси, такой ресурс не может получить прямой доступ к адресу или персональным сведениям, которые можно извлечь из пересылаемых пользователем пакетов. Затрудняется и определение веб-сайтов, посещаемых юзером, поскольку пакеты идут на адрес прокси, который уже и перераспределяет их на нужные адреса. Таким образом, прокси-сервер помогает нам скрыть URL посещаемых сайтов и обойти многие системы блокировки трафика.

Прокси-серверы принято делить на несколько классов. «Прозрачные» прокси (transparent proxy) практически не влияют на приватность серфинга, реальный IP-адрес пользователя можно получить достаточно легко, поэтому их используют для вспомогательных целей. Анонимный прокси (anonymous proxy) уже способен скрыть реальный IP-адрес клиента, однако целевой веб-ресурс при некотором усилии его разработчика способен узнать об использовании клиентом прокси-сервера. В большинстве случаев это не мешает работе с ресурсами. Если же вы хотите скрыть не только свой адрес, но и сам факт использования прокси-сервера, вам нужен элитный прокси (elite proxy).

Указать адрес прокси-сервера можно в настройках любого современного браузера, однако здесь можно столкнуться с рядом проблем. Дело в том, что найти для себя бесплатный и рабочий прокси – не такая простая задача для обычного частного пользователя. Адреса доступных прокси-серверов могут достаточно часто меняться, поэтому и юзеру придется постоянно изменять настройки своего браузера. Гораздо удобнее воспользоваться одним из специализированных приложений для работы со списком прокси. В качестве примера мы рассмотрим программу Elite Proxy Switcher (www.eliteproxyswitcher.com).

Общаться с этой программой достаточно просто, не мешает даже отсутствие русского перевода интерфейса – все равно работать вы будете только мышкой. Сначала понадобится загрузить в софтину список адресов прокси, представленный в виде простого TXT-файла. После загрузки файла запускаем тестирование списка (кнопка Test the Selected Proxies). Будьте готовы к большому проценту отказов прокси из свободно распространяемых списков: десяток рабочих серверов на сотню-другую адресов – это нормальный результат. Для найденных рабочих прокси-серверов демонстрируются их адрес, а также скорость доступа. Колонка Anonymity показывает уровень защищенности прокси-сервера. «Level 1» обозначает элитный прокси, «Level 2» – анонимный, а «Level 3» – «прозрачный». Удобно, что список можно отсортировать по этому признаку. Остальные параметры в бесплатной версии скрыты.

Для начала работы с любым прокси достаточно просто выбрать сервер в списке и нажать кнопку Connect to This Proxy. В строке состояния браузера появляется строчка, в которой выводится адрес активного в данный момент сервера. Если в какой-то момент времени он становится недоступен, с помощью Elite Proxy Switcher можно быстро переключиться на следующий в списке. Есть в программе и режим автоматического переключения. В диалоге EPS Settings > Switch можно указать интервал времени, после которого софтина будет автоматически переходить на использование следующего в списке прокси.

Как нетрудно заметить, основная проблема в использовании этой программы – это получение списка прокси для обработки. Elite Proxy Switcher предлагает возможность загрузки таких списков с сервера софтины одним кликом, вот только эта опция платная. Если вы не испытываете постоянной потребности в быстром обновлении, можно воспользоваться для получения первичных списков адресов такими открытыми сервисами, как proxy-list.org, freeproxylist.org, www.checker.freeproxy.ru и др. Подобных ресурсов довольно много, и они неплохо находятся интернет-поисковиками.

Заметим, что для надежной защиты одного прокси может оказаться недостаточно, поэтому те, кто действительно заинтересован в скрытности, строят цепочки из нескольких серверов. Однако это уже крайний случай, и для большинства нормальных задач такой уровень секретности не нужен. Существует также ряд других решений, связанных с использованием прокси. Например, на страницах UPgrade мы уже рассказывали о защищенном интернет-поиске с помощью системы Ixquick. Нельзя не вспомнить и о специализированной сети Tor или же веб-сервисах для анонимного серфинга. Однако эти решения вполне заслуживают отдельного рассказа. UP