Безопасность в сети

[Carding]

Всем привет. Сегодня я попытаюсь на простом языке объяснить, как вас могут теоретически взломать. Я обойдусь без сложных терминов, для обычных людей. Так же дам вам красочное представление о взломе операционной системы, а более продвинутые между строк будут читать техническую информацию. Считаю, что пользователю любой операционной системы, а тем более тем, кто связан с этим по работе, необходимо понимать, что профессиональные вирусы - это не исполняемый файл, который переименовали в документ и просят вас запустить (стиллер или ратник). И не всегда блокировка макросов не даст злоумышленнику выполнить код на вашей системе. Сам пользуюсь различными операционками, от Windows и до Linux, и давно уже не сторонник таких холиваров, которые я разберу чуток позже на примере с Макбуками). Я работаю на Linux, но иногда использую Windows. Далее будет возможно много негатива про Linux, но он не связан с какими-либо фанатическим убеждениями, просто я хочу объективно рассказать и убедить, что не важно, какой операционной системой вы пользуетесь - взломать вас могут везде.

Безопасность - это так называемый феномен слабого звена. Она настолько сильна, насколько сильно самое слабое звено в цепочке. Надежное шифрование зачастую - это сильное звено. Мы, человеческие создания, как правило являемся слабым звеном. Как говорится Язык мой - враг мой. Ваш выбор операционной системы имеет значение для вашей безопасности, приватности и анонимности. Различные операционные системы подходят для различных нужд. Например, чтобы нарисовать для вас графику мне необходимо уходить с Linux на Windows так как мне нужен Photoshop и другие графические редакторы, об этом мы еще поговорим. Но думаю основной посыл информации понятен. Цель данного раздела помочь вам разобраться в этой непростой ситуации. Ответить на вопросы: какая операционная система подходит под ваши требования исходя из рисков и для чего вы хотите ее использовать, под конкретную ситуацию, под конкретные требования. Это как в школе, научить вас ориентированию на местности, тут точно так же, так как ваша паранойя до добра вас не доведет. Ведь без знаний вы можете сделать только хуже.

Посыл и ясность. Давайте поговорим о нашем выборе операционной системы и как она влияет на вашу безопасность, потому что операционная система - это реальная основа вашей безопасности. Есть много заблуждений, когда речь идет об операционных системах и безопасности. Вы, наверное, слышали, например, что Макбуки не могут быть заражены вирусами. Так же множество людей постоянно обсуждает, на сколько дырявая операционная система Windows можно рассуждать годами, но интересно на сколько безопасен Linux? И есть люди, назовем их лагерь Linux, которые считают, что Linux является самой лучшей операционной системой. Если спросить у любителей Linux, а если ли у вас антивирус, то в ответ будет только смех. Аргумент такой - Linux создан профессионалами, и все там по дефолту (стандарту) защищено. Вот сажаем свою любимую собаку за Ubuntu и можно за её данные не волноваться. Вообще есть две вещи, которые бесконечны, вселенная и дураки. С вселенной все понятно, но как быть с последними? Вот как объяснить различным пользователям Windows, что нельзя работать без антивирусной защиты? А как объяснить создателям МЕГА Систем Защиты Информации (антивирусов в простонародье), что нельзя защититься от взлома матрицей доступа (это когда блокируют чтение или запись некоторых файлов, то есть разграничение доступа) и что взлом - это не всегда: «Обнаружена угроза: Процесс autorun.exe, пытается выполнить запись в системную ветку реестра».

Ваша защищенность выглядит хорошей только в теории. Допустим, вы тот самый пользователь Ubuntu, вы устанавливаете на ПК своей любимой собаки Боба эту ОС. Тогда многие утверждают следующее - если Бобу на почту придет сообщение myDocument.docx, то даже если это окажется исполняемый файл, и он его по инструкции запустит, то ничего не произойдет - ведь для большинства действий необходим пароль root (пароль администратора в смысле). Вы серьезно? Вы от нашествия представителей младших классов школы защищаетесь? Или все-таки от злоумышленников, которые являются членами преступных группировок, контролируют большие финансовые потоки и просто косят на своих собратьях бабло? Это к отсылке тех пользователей, которые используют и слепо верят в Средства Защиты Информации (СЗС) или те курсы, которые им преподавали в учебниках по Информационной Безопасности (ИБ). Давным-давно, когда Linux только зарождался, его пользователи в большинстве, были профессионалы. Но со временем появились удобные для простого пользователя в работе дистрибутивы и начался рост числа пользователей-домохозяек. А что делает любая домохозяйка? Правильно, совершает интернет-платежи, а там, где деньги, туда слетаются как пчелы на мед рой различного отребья, которое хочет на этом безвозмездно поправить свои финансы. 90% домохозяек пользуются Windows - и вирусы разрабатываются под эту операционную систему, и только хотя бы 20-30% домохозяек перейдут на Linux, то туда сразу будут вливаться большие финансы под разработку вредоносного ПО. И отчеты антивирусных компаний показывают о медленном, но увеличивающемся количестве таких программ.

Ок, вернемся к Бобу, единственная причина не беспокоится о своей безопасности одна - разработка троянца под его ОС нерентабельна. А вот так - экономически невыгодна, возможный доход злоумышленников будет меньше расходов. Долго ли так будет продолжаться - большой вопрос. Но все же, технически, насколько возможно, что Боба взломают и данные уведут? Если конек безопасности Боба в том, что он никому не нужен и вирусы под его ОС пока еще не пишут - то это игра в русскую рулетку.

Буду говорить о нас в третьем лице для большего понимания, а также представим, что мы с Алиной полные новички во всём этом и только осваиваемся . Например Алина, познакомилась с Бобом, и узнала, что на счету Боба лежит кругленькая сумма монет (БЕТХОВЕНЫ) и они вместе с Алексом решили сообразить на двоих. Что им для этого требуется: небольшой стартовый капитал, прямые руки Алекса и немного отваги.

Алина знает, что Боб пользуется Ubuntu 14 LTS. Как себе представляет процесс взлома Боб? Он, как и большинство пользователей, считает, что Алина отправит ему на почту файл с вложением, которое его попросит запустить и так как он считает себя спецом в области ПК и файл он не запустит, то конечно его данные в безопасности.

Многоходовочка. Тогда Алина идет на некоторый безымянный и теневой ресурс и покупает, например у Василия, уязвимость к любимому браузере Боба за N-ое количество вечно зеленых. Василий не только снабжает Алину технической информацией об уязвимости, но и высылает для Алекса пример как запустить.

Уязвимость, которую получает Алина - уязвимость нулевого дня в браузере Google Chrome. Например, открытые дыры CVE-2015-1233 или CVE-2014-3177, CVE-2014-3176, CVE-2013-6658 (смотрите скриншот выше) и сколько их еще не закрыто и о них известно только в ограниченных кругах - большой вопрос.

Как видно из описания уязвимостей Алина может выполнить код в контексте процесса и работать это будет не только в ОС Windows, но и в Linux и Mac OS. Уязвимость взял для для примера случайным образом. Еще раз повторюсь, это уязвимости БРАУЗЕРА.

Алекс составляет скрипт (JS - Java Script) и записывает туда shell-код (набор строк которые прописываются в командной строке), который должен выполнится на целевой системе - ПК Боба. Для этого ему необходимо как-то передать ссылку. Первый вариант с почтой Алина и Алекс сразу отмели - Боб осторожный пользователь и ссылки из почты не открывает. Тогда они решили немного с импровизировать. Им известно, что Боб обычный человек и паранойей не страдает… Ладно короче не суть, для простоты Боб, просто перешел по ссылке - Алина уговорила, там создалась прокладка, или еще какая хрень не суть важно. В общем он перешел.

После посещения Бобом ссылки в контексте процесса его браузера выполнился небольшой код, который написал Алекс - буквально несколько команд, которые в дальнейшем загрузили тело вируса и перешли в его выполнение. Но как же. Боб уверен, что Алина просто показывает ему свои фотографии, никакие файлы на диск не загружаются, предупреждений нет, паролей от root никто не спрашивает.

Повышаем привилегии. После того как разработка Алекса начала выполнять свои первые инструкции на процессоре Боба, стал вопрос, а что делать дальше? В теории Боба даже если и произойдет заражение, то ему ничего не будет, Боб поставил сложный пароль для root доступа, да и вводить его вдруг во что бы то ни стало он не будет.

Алекс с Алиной предусмотрели такой вопрос и заранее его решили. Тот же самый Василий подсказал им, что у него есть парочка уязвимостей нулевого дня в ядре Linux, наподобие свежих уязвимостей в ядре версии 3.17 и 3.14 — CVE-2014-9322, CVE-2014-3153.

Прочитав описание уязвимостей Алекс понял, что они позволят ему выполнить код в контексте ядра ОС Боба. И все что ему необходимо это чтобы его вредоносное приложение, воспользовавшись этими свежими дырами и выполнила код в ring-0.

Пока ни о чем не подозревающий Боб рассматривает фотографии Алины, код Алекса уже серьезно вторгся в просторы его системы и ни антивирус (его просто нет), ни чего-либо ещё не могут даже отобразить сообщение об вторжении. Так как Алекс решил не останавливаться на достигнутом, то он пошел дальше. Попав на самый нижний уровень ОС Боба в котором предполагается выполнение только доверенного кода, Алекс начал поиск файла, который ответственен за запуск ОС. Как только ПО от Алекса нашло этот файл, оно модифицирует его таким образом, чтобы при перезагрузке ПК Боба продолжался выполняться код.

Rootkit (по-русски, "руткит") - программа или набор программ для скрытия следов присутствия злоумышленника или вредоносной программы в системе. Итак, Алекс и Алина получили доступ к ПК Боба под управление ОС Linux, но как им скрыть свое присутствие? Боб не дурак и каждые 5 минут проверят целостность системных файлов ОС. Для этого Алекс и Алина решили, что перезапишут код самой операционной системы, который загружен в память ПК Боба, но как? Ведь если те же действия провести на ОС Windows, то один небольшой системный компонент обнаружит это и принудительно перезагрузит ПК. Боб за свою безопасность не беспокоится - ведь даже если код хакеров и выполнится в ядре, то ведь в последних версиях ядра Linux системные области памяти защищены от записи. Даже если Алекс и попытается перезаписать код ОС в ОЗУ, то процессор выдаст ошибку и произойдет перезагрузка ПК. Тогда Алекс открывает документацию на процессор, который стоит на ПК Боба и начинает изучать… Ему известно, что архитектура процессора Боба x86, но что это дает? Ведь на необходимые ему страницы в ядре стоит защита от записи. Тогда Алекс обращает внимание на регистр cr0 - небольшой блок памяти в котором хранятся данные с которыми работает процессор. А что будет если я 16-ый бит установлю в ноль, быстро перезапишу необходимые методы ядра и сразу же восстановлю регистр - подумал Алекс. И так и сделал, как оказалось если сбросить этот бит в ноль, то защиту от записи можно временно отключить.

Таким образом Алекс получил полный контроль над ОС Боба, да уязвимость потом нашли и исправили, но программный код, который засел таким образом в ОС Боба уже никак не обнаружить. Ежеминутный контроль целостности показывает, что ни один файл в системе не изменен - программа Алекса просто подменяет его при чтении. Процессов новых нет - вредоносный процесс просто скрыт и если на другой ОС существуют решения, которые давно уже обнаруживают такие техники, то под ОС Боба такого нет.

В общем, заключение, Алина и Алекс сжалились над Бобом… и удалили все его файлы. Ах ладно, если серьезно, то никогда не будьте на столько фанатично уверенным в чем-либо. Я попробовал сегодня в в легкой и шутливой форме рассказа и без технических терминов изложить суть проблемы.

Я хотел этой простой историей показать простые принципы. Как все это происходит, что необходимо четко разделять виртуализацию и использовать, ведь виртуализация это еще одна масштабная вещь в параметре вашей безопасности. Мы к этому еще вернемся.

То есть не старайтесь серфить какие-то ресурсы на своем ПК, открывать подозрительные ссылки и скачивать какое-то ненужное программное обеспечение, да и еще непонятно откуда, внимательно подходить к вопросам своей безопасности по поводу JS и включать его на доверительных ресурсах и многое другое. Я не буду вас кошмарить и пугать). Обычно такие уязвимости стоят не малых денег, и факт того что именно вас взломают уменьшается, при том что заинтересуются именно вами, вероятность крайне мала.

Оценка рисков. Теперь я хотел бы наглядно произвести некую оценку рисков и исходя из этих моментов, чтобы вы так же могли делать это самостоятельно. Без каких либо специальных навыков, чисто своей логикой. Мы не зря абстрагировались и разобрали уязвимости, моделирование проникновения и прочие моменты.

Но зачем спросите вы... Зачем же я поведал сейчас об этом, а то что не только средства безопасности имеют значение. Мы беспокоимся о том, каков наш действительный риск в реальном мире, и чтобы определить его, нам также нужно взять в расчет историю багов и уязвимостей в безопасности. Насколько слабой, собственно говоря, была конкретная операционная система? Возможно, вас интересует вопрос, какую из операционных систем мы будем считать самой слабой? Windows, OS X или различные Linux-системы, возможно ядро Linux, что из них было наиболее уязвимым в истории?

www.cvedetails.com - это бесплатная база данных / источник информации об уязвимости CVE (это общепринятый стандарт именования уязвимостей, присутствующих в коммерческих и open-source программных продуктах). Можно просмотреть сведения об уязвимостях по номеру CVE, эксплойты, ссылки на уязвимости, метасплоит модули, полный список уязвимых продуктов и cvss отчетов об оценках и топы уязвимости с течением времени и многое другое.

Давайте попробуем поработать с данным сайтом. Для начала мы перейдем на данную страницу сайта - cvedetails.com/top-50-products.php - тут представлен список: “Топ-50 продуктов по общему количеству уязвимых уязвимостей” (с 1999 года по настоящее время). И как мы можем видеть там у нас находится Linux Kernel - говоря по русски - это Линукс Ядро. И вы наверное спросите какого хрена? Линукс ты же должен быть эталоном. Ладно, давайте во всем разберемся. Цифры которые изображены в правом столбике, это количество уязвимостей найденных в той или иной операционной системе, или приложении. Давайте спустимся в самый низ веб-страницы. Мы видим там следующее - общее число уязвимостей 50 продуктов по производителям. И как мы можем видеть Linux уже не занимает первую строчку, но вы скажите что Windows (Microsoft) постоянно обновляется, да и у нее куча продуктов на рынке Office и другие программы, а у Apple есть различные версии операционной системы да и тоже там свои нюансы. Да все верно. Все вы будете правы, но и у Linux есть куча всего... Давайте более детально подойдем к специфике этого использования. Я хочу научить вас самостоятельному анализу. А лучше всего чтоб научить хотя бы базе, просто чтобы вы начинали думать своей головой, а не головой какого-то школо хацкера который смотрит видосы овербаффера, которых щас развелось и которые хотят продать что-то не зная саму нишу и многих моментов которые из нее вытекают.

Ладно не будем сильно абстрагироваться, лучше давайте все разберем на деле, а там я думаю Вы все сами поймете, о чём я хочу вам рассказать.

Переходим на страницу https://www.cvedetails.com/vendor.php?vendor_id=33 — эта страница показывает Статистику уязвимостей в Linux.

Давайте ознакомимся первоначально на что стоит обратить свое внимание. Количество уязвимостей по годам и уязвимости по типу. Теперь необходимо разобрать, на какие параметры стоит обратить внимание:
Первое на что мы должны обратить внимание - это на количество уязвимостей по годам, как мы можем видеть что с каждым годом есть тренд к увеличению обнаружения уязвимостей.

Второе на что мы должны обратить свое внимание - это на степень опасности уязвимостей, как мы можем видеть серьезными тут являются выполнение кода (Execute Code ) и переполнения буфера (Overflow).

• Красный столбец - это выполнение кода на стороне клиента без его ведома, думаю не надо рассказывать чем чревато.

• Оранжевый столбец - это переполнение буфера, то есть имеется ввиду явление, возникающее, когда компьютерная программа записывает данные за пределами выделенного в памяти буфера. Чревато тем что повышение уровня привилегий и еще куча всего. Подробнее можете ознакомиться на https://ru.wikipedia.org/wiki/Переполнение_буфера

И для полноты картины мы можем подняться чуть выше, и увидеть таблицу с тенденциями уязвимостей с течением времени, по структурированным данным мы легко можем произвести анализ, так как мы видим ранжирование данных по временному циклу (годам) а так же по степени опасности уязвимостей (это столбцы).

Теперь у нас сложилась небольшая картина как все устроено, мы разбирали это на основе Linux, но для анализа требуются несколько кандидатов. Сейчас я расмотрю в краткой емкой форме на примере 3-х основных разработчиков, а именно:

• Linux

• Microsoft

• Apple

Давайте разберем некоторые из этих убеждений, основываясь на фактах и статистике, и выясним, к чему мы в действительности мы придем, когда дело касается безопасности этих операционных систем. Итак, 1-е мы будем разбирать Windows, на сколько дырявая операционная система Windows можно рассуждать годами. Собственно как я и говорил ранее. Достаточно взглянуть на статистику и у вас в сознание должна загореться та самая красная лампочка, которая бы сигнализировала вам. Давайте разберемся почему. У неё изначально была слабая система безопасности. Стоит отдать ей должное. В более поздних версиях операционных систем Microsoft начали серьезно относиться к вопросам безопасности. И с учетом последних продуктов, последних средств безопасности типа: BitLocker, EMET, Device Guard, Windows Hello и доверенных приложений Windows trusted apps, теперь есть вполне серьезный набор средств безопасности. Но действительно ли это так? Вообще я соглашусь, безопасность операционных систем семейства Windows постепенно улучшается, но этого не достаточно, а тем более для нас. В этих операционных системах все тесно взаимосвязано с серверами Microsoft, все ваши действия в системе как по ниточкам сообщают на сервера Microsoft, так же подводят Windows, особенно в актуальной версии Windows 10, проблемы, связанные со слежкой и конфиденциальностью, это не особо связано со средствами безопасности, но это отталкивает некоторых людей, что говорить уже о нас.

Важный момент: Если вы прочтете лицензионное соглашение от Microsoft котрое идет с каждой операционной системой семейства Windows вы увидите, что они отдадут ваш ключ шифрования от BitLocker по первому звоночку из правоохранительных органов, а это в свою очередь натыкает на мысль, какого хрена Windows? Зачем ты хранишь мои пароли от шифрования у себя на серверах, что за херня.

Дело в том, что «ставя галочку» в лицензионном соглашении с Microsoft, пользователи дарят корпорации право распоряжаться своими данными. «Мы можем получать доступ, раскрывать и сохранять для себя ваши персональные данные, включая любой контент, любые файлы на ваших устройствах, в ваших письмах и в других видах личных коммуникаций, если у нас будут основания считать это необходимым для защиты наших клиентов или для соблюдения условий, регулирующих использование наших услуг» - гласит лицензионное соглашение. Другими словами, все, что вы скажете в Сети, напишете, сохраните, создадите или скачаете у себя на компьютере или любом другом устройства с Win 10, все это может быть дистанционно удалено или скопировано у вас - если некто в Microsoft решит, что это им нужно. То есть, по условиям EULA Microsoft для вмешательства в личную жизнь клиентов и контроля над ней не требуется даже санкция властей. Достаточно лишь разрешения при установке OC от пользователей, слишком ленивых, чтобы прочитать полностью лицензионное соглашение. Как я и сказал я не буду разбирать Windows, моя цель предоставить вам информацию, чтобы вы ее увидели и произвели какой-то сравнительный наглядный анализ. Скорее всего я в скором времени напишу статью об этом, а далее буду ссылаться на нее.

Далее у нас идет, Mac OS X, на сегодня, опять же, как и Windows, содержит надежные средства безопасности. Вещи типа рандомизации распределения адресного пространства, песочница для запуска приложений, FileVault 2, настройки приватности и магазин доверенных приложений Apple (AppStore). Все сильные средства безопасности. Но если бы не одно «НО» Mac OS X так же имеет проблемы с конфиденциальностью. Если вы обновили до Mac OS X Yosemite (10.10), и вы используете настройки по умолчанию, каждый раз, когда вы начинаете вводить Spotlight (чтобы открыть приложение или найти файл на вашем компьютере), ваши локальные условия поиска и местоположение которые направлены компании Apple и третьим лицам (в том числе Microsoft).

Washington Post так же опубликовала видео-демонстрацию отслеживания в реальном времени Yosemite. Давайте откроем ее https://www.washingtonpost.com/post...df4386-59f1-11e4-9d6c-756a229d8b18_video.html сразу хочу добавить, если у кого плохо с английским и с пониманием, не пытайтесь переводить, далее все разберем по частям.

Давайте разберем это видео, и у кого плохо с английским я попытаюсь разобрать все те основные моменты, которые вы сейчас просмотрели.

1. Например, простой вывод поиска Spotlight, это средство для поиска файлов в вашей операционной системе, теперь передает ваше местоположение и названия файлов, которые вы ищете, в Apple на постоянной основе. Вы можете заметить, что ваше местоположение передается в Apple даже несмотря на то, что вам не показывается соответствующая иконка с уведомлением. Они решили утаить это уведомление под предлогом того, что пользователи будут перегружены слишком большим количеством сообщений с уведомлениями. Это означает, что если вы согласились использовать службы геолокации, то вы также согласились на передачу сведений о вашем местоположении в Apple. Так же при нажатии клавиш, то есть по хожу набора текста, данные так же отправляются. Как мы видим автор видео говорит: “Я ищу на своем компьютере документ под названием "секретные планы, которые слил мне Обама", а Apple получает информацию об этом вместе с моим местоположением и пользовательским ID, который является уникальной строкой из букв и цифр, используемой для моей идентификации. Apple говорят нам, что это значение меняется каждые 15 минут, но нам приходится верить в то, что новое значение не привязывается к предыдущему. Опять же, они получают информацию о нашем местоположении, и как показывает автор, что действительно он находится в офисе Washington Post, основываясь на передаваемых координатах.

Далее у нас идет Linux подобные операционные системы.

Linux-подобные операционные системы, Unix-подобные операционные системы. Есть их большое разнообразие, я группирую их все в одну категорию. Если вы ищете самые защищенные операционные системы, то вы найдете их именно здесь, точнее даже будет сказать ТОЛЬКО здесь.

Такие вещи, как SELinux, являются хорошим примером этого, это реализация разграниченного мандатного управления доступом - которая удовлетворяет требованиям правительства и военных.

Определение: Мандатное управление доступом (англ. Mandatory access control) - разграничение доступа субъектов к объектам, основанное на назначении метки конфиденциальности для информации, содержащейся в объектах, и выдаче официальных разрешений (допуска) субъектам на обращение к информации такого уровня конфиденциальности. Также иногда переводится как принудительный контроль доступа. Это способ, сочетающий защиту и ограничение прав, применяемый по отношению к компьютерным процессам, данным и системным устройствам и предназначенный для предотвращения их нежелательного использования.

SELinux - это система принудительного контроля доступа, реализованная на уровне ядра. Это не столько важный момент для вас чтобы заострять на этом момент.

Стандартные операционные системы: Ubuntu, Debian, Fedora, Arch Linux, Tails и др - опять же, все они имеют достаточно надежные средства безопасности. Когда мы рассматриваем Windows, Mac OS X и Linux, все они в похожих условиях. Но когда речь заходит об их существующих средствах и функциональных возможностях анонимности, когда мы добавляем приватность и анонимность в комплект к безопасности, то нам нужно начинать приглядываться к Linux дистрибутивам. Только они являются свободным бесплатным программным обеспечением, Linux создан энтузиастами не для заработка денег, а для свободы и распостраняется абсолютно бесплатно, не принадлежат каким-либо корпарациям и не отслеживают вас.

Об этом я напишу во 2 части. Статья вышла и так довольно обширной.

Продолжать ли мне рубрику анонимности и безопасности?

В прошлой статье о кардинге всего 3 человека дали обратную связь, поэтому решил отложить эту рубрику пока что. Для меня обратная связь очень важна и понимание того нужна ли вам эта информация. Если хотябы 10-15 человек отпишет, что им это интересно, то завтра напишу 2 часть, разберём тему анонимности и безопасности более подробно.

 

[Carder]

На днях познакомился с местной блогершой по саморазвитию которая довольно популярна у себя в стране (почти 1,5 миллиона подписчиков). По совместительству у неё отец долларовый миллионер, владелец ресторанов, кофеен, супермаркетов по всей Японии.

Изначально я ничего не планировал, просто зашёл в 1 из ночных клубов-ресторанов посмотреть выступлении местных гейш (это женщины которые развлекают своих клиентов японскими танцами, пением, ведением чайной церемонией, беседой на любую тему, самая их фишка в том, что они носят традиционные макияж и причёску. Ресторан был довольно элитный. И случайно я увидел знакомое лицо среди посетителей, я смотрел её стримы недавно когда изучал Японский язык . Подойти и познакомиться напрямую было бы просто глупо, 99,999999% меня бы просто послали нахрен её телохранители, хорошо если лицо не сломали вдобавок, я бы даже не дошёл до неё. Поэтому я решил пойти другим путём). Я видел, что она сидела в телефоне, поэтому я решил заглушить ресторанный Wi-fi, тем самым перекрыв ей доступ к интернету, а также всем кто находился в этом заведении, а далее и поднять свою точку доступа, чтобы она законектилась ко мне. О том что общественными точками доступа wi-fi пользоваться опасно и это может повлечь потерю личных данных сказано и написано немало, но я решил продемонстрировать на конкретном примере, что может произойти если ты, в поисках халявы, будешь конектиться куда попало.

Я использовал утилиту mitmAP. Это как раз и есть утилита для проведения беспроводных атак с использованием поддельных точек доступа. Подробнее можете посмотреть на ютубе или прочитать в гугле, данный тип атаки один из самых лёгких.

Начнём с подготовительных моментов. Для начала, для создания точки доступа нам понадобиться два сетевых адаптера, один для того чтобы подключится к интернету, а второй - это и будет точка доступа т.е. вполне подойдёт встроенная сетевая карта ноутбука и wi-fi свисток. Также командой ifconfig, заранее стоит посмотреть названия своих сетевых интерфейсов, это понадобиться при последующей настройке программы.

Смысл работы двойника состоит в том, что бы заставить неосторожного пользователя подключится к созданной нами точке доступа и похитить все введенные им данные (основной упор обычно делается на логины/пароли, данные банковских карт, вообщем всё что может представлять интерес, но на этом наши возможности не ограничиваются, ведь абсолютно весь трафик идет через нас, соответственно мы видим какие сайты посещает пользователь, что он на них делает, видим какую ОС и браузер он использует, можем перехватывать куки и пароли + ещё много чего можем узнать о нашем любителе халявы. Я перехватил пароль от её фейсбука и написал на её странице с её же аккаунта оглянись назад, я сижу в маске , она спокойно отреагировала, подошла, начала спрашивать как я это сделал, мы познакомились, объяснил как взломал её и как защитьтся от такого. Она оказалось очень интересной личностью, обычной девушкой без ЧСВ, отлично знала английский. В общем мы отлично провели с ней время). Пообщались в ночном клубе, затем утром полетели в Токио на её частном самолёте, покатились на ламбе. Днём немного поспали и пошли на выступление Marshmello, там же я с ним и познакомился, а также многими известными людьми, побывали в одном из самых элитных ресторанов, следующим утром покатались на картингах))).

Но вернёмся к теме статьи.

Я бы рекомендовал для безопасности использовать Linux дистрибутивы, но вам придется пожертвовать интероперабельностью и юзабилити. Например, вы не сможете использовать Photoshop или Microsoft Office, хотя это решаемо при помощи “wine” — что это такое вы можете посмотреть на YouTube. Очень много времени уходит на написание, катастрафически много... В двух словах, если вы не знаете, существует много-много операционных систем, которые определенным образом эволюционировали c середины 1960-х годов из операционной системы под названием UNIX (она была во главе платная система для корпораций).

Выбирать системы у которых есть деньги для быстрого устранение уязвимостей, вот можете посмотреть наглядно сколько всего дистрибутивов Linux и от кого они произошли:

Просто посмотрите как много операционных систем базируются на Debian, теперь вы можете вернуться к статистике которую мы делали по анализу ранее, и слегка посмотреть на нее под другим углом.

Для этого откройте: https://upload.wikimedia.org/wikipedia/commons/1/1b/Linux_Distribution_Timeline.svg плюс этой ссылки в том, что это формат *.SVG следовательно вы можете искать по данному генеологическому древу через Ctrl+F прямо в браузере. Просто посмотрите как много операционных систем базируются на Debian, теперь вы можете вернуться к статистике которую мы делали по анализу ранее, и слегка посмотреть на нее под другим углом. Минуты 3 можете потыкать посмотреть откуда все происходит важный момент разберитие подробно, потом читайте далее.

Хотябы базово прсмотрите некоторые известные вам дистрибутивы. Я бы рекомендовал использовать дистрибутивы основанные на Debian - Debian, Kali Linux, Parrot OS, а так же Fedora, Arch Linux. Давайте немного поговорим про эти операционные системы.

Как вы уже заметили при детальном знакомстве с *.SVG инфографикой выше, 2-а основных комьюнити - это Debian и RedHat, так же есть куча других, но как я и говорил ранее: "если у вас менее известная Linux или Unix-подобная операционная система, то вы можете обнаружить, что выпуск исправлений происходит медленнее, поскольку за ними не стоят огромные многомиллиардные корпорации, в которых выпуск всех исправлений поставлен на поток".

Fedora Linux - это дистрибутив Linux с одним из самых крупных сообществ пользователей, среди других дистрибутивов. Но он не такой популярный, как Debian. Среди пользователей ходит мнение, что Fedora сложна в использовании и настройке.

Весомый плюс этой системы в том что Fedora - это только свободное программное обеспечение. Операционная система Linux очень часто рассматривается как свободное программное обеспечение. Но это не на 100% верно. Хотя большинство программ, которые вы используете свободны, некоторые драйвера и прошивки оборудования имеют закрытый код. Также есть компоненты с открытым исходным кодом, но с ограниченной лицензией, например, медиакодеки.

Разработчики дистрибутивов определяют насколько часто их пользователи будут контактировать с проприетарным программным обеспечением. Они могут включать в состав дистрибутива медиа кодеки, драйвера видеокарт и сетевых адаптеров, а также дополнительные модули, например, Adobe Flash. Это поможет пользователям слушать музыку, играть в игры и просматривать веб-страницы, но это несвободное программное обеспечение. Fedora занимает принципиальную позицию в этом вопросе. Это помогает избежать судебных исков против Red Hat. Несвободное программное обеспечение просто не допускается в репозитории. Дистрибутив не будет вам мешать устанавливать такие программы, но и помогать тоже не будет. Вам придется использовать сторонние репозитории, например, RPM Fusion. Это один из моментов, почему Fedora считается сложной. Но добавить репозиторий в систему - дело нескольких минут. Но вот такие статьи как https://habrahabr.ru/post/337290 , вводят конечно слегка в заблуждение.. Так как раньше некоммерческие продукты, насколько я помню, под подобные запреты не попадали. Fedora Project хоть и спонсируется Красной Шапкой для отработки новых технологий, но является некоммерческой структурой и прибыли не извлекает из своей деятельности, насколько я понимаю. Странно это все.

Arch Linux — это независимо разрабатываемый дистрибутив Linux, оптимизированный для архитектур i686 и x86/64, ориентированный на опытных пользователей Linux.

В целом, вам нужно быть компетентным пользователем, чтобы использовать эту систему, вам нужно быть в курсе об этом заранее. Она использует Pacman, менеджер пакетов собственной разработки от создателя Arch Linux. Pacman обеспечивает установку актуальных обновлений с полным контролем зависимостей пакетов, работая по системе плавающих релизов или роллинг-релизов. Arch может быть установлен с образа диска или с FTP-сервера.

Поясню менеджер пакетов / репозиторий — это как App Store или Google Play откуда вы в 2-а клика можете скачать и установить нужное Вам приложение или программу.

Установочный процесс по умолчанию предоставляет надежную основу, позволяющую пользователям создавать настраиваемую установку. Вдобавок, утилита Arch Build System ( ABS ) предоставляла возможность легко собирать новые пакеты, модифицировать конфигурацию стоковых пакетов и делиться этими пакетами с другими пользователями посредством Arch User Repository (Репозиторий пользователей Arch). Это легковесный дистрибутив Linux. На него ставится преимущественно свободно-распространяемое и опенсорсное программное обеспечение и ПО из поддерживаемого сообществом репозитория AUR.

Ubuntu - Чтобы отмести этот вопрос сразу скажу что Ubuntu отправляет ваши данные 3-им лицам без вашего согласия. Если вы пользователь Ubuntu, и вы используете настройки по умолчанию, каждый раз, когда вы начинаете вводить Dash (чтобы открыть приложение или найти файл на вашем компьютере), ваши условия поиска отправляются различным третьим лицам.

Кстати можете вспомнить ситуацию про Windows которая решила раздавать WIndows 10 бесплатно, но в итоге соберает все данные якобы для рекламы, то есть всю вашу личную информацию и т.д. В общем не хочу повторяться по этой причине, так как уклон точнее не в сторону нее, я уже достаточно поговорил думаю про нее. Если вы хотите больше информаци по этой системе, ознакомьтесь хотябы с Лицензионным соглашением WIndows. И у вас начнет дергаться глаз )

На счет Ubuntu чтобы предотвратить отправку данных 3-им лицам, вам нужно выполнить ряд инструкций на этом сайте https://fixubuntu.com/ следуем указанным здесь инструкциям, здесь показано, как изменить нужные настройки.

Однако я в любом случае не рекомендую Ubuntu, я лишь привожу это для вашего интереса в том случае, если так получилось, что вы используете эту систему. Я рекомендую Ubuntu людям, не имеющим опыта работы с Linux и считающим что приведенные выше дистрибутивы слишком сложные для усвоения для них.

Debian - это операционная система, основанная на Linux, это дистрибутив Linux. Она целиком состоит из свободного программного обеспечения с открытым исходным кодом, большая часть которого находится под универсальной общественной лицензией GNU. Дистрибутив Debian содержит более 51 000 пакетов скомпилированных программ, которые упакованы в отличном формате для легкой установки на вашу машину. Все они бесплатны. Это похоже на башню. В основании находится ядро, над ним - основные инструменты, далее идут все программы, которые вы запускаете на компьютере. На вершине этой башни находится Debian, тщательно организующая и складывающая всё это воедино, чтобы все компоненты могли работать вместе.

Tails - дистрибутив Linux на основе Debian, созданный для обеспечения приватности и анонимности. Является продолжением развития ОС Incognito. Все исходящие соединения заворачиваются в анонимную сеть Tor, а все не анонимные блокируются. Система предназначена для загрузки с LiveCD или LiveUSB и не оставляет следов на машине, где использовалась. Проект Tor является главным спонсором TAILS. Операционная система рекомендована к использованию «Фондом свободной прессы», а также использовалась Эдвардом Сноуденом для разоблачения PRISM.

Его используйте только для серфа к примеру, серф - это браузер, общение и т.д. то есть разовые действия как покатались посерфили и всё. К примеру пришли куда-то сунули флешку со своей ОС, посерфили и вытащили.

Kali Linux - GNU/Linux-LiveCD, возникший как результат слияния WHAX и Auditor Security Collection. Предназначен прежде всего для проведения тестов на безопасность.

Предшественником Kali был BackTrack, созданный на базе нескольких linux-дистрибутивов. Первоначально предназначался для использования на ОС Slackware, а затем плавно перешёл на Ubuntu. После основой стал Debian.

Parrot OS - Набирающий популярность дистрибутив, основанный на Debian-linux. Довольно простой в освоении, подходит и для новичков и для профессионалов. Этот дистрибутив нацелен как на проведение тестирования на проникновение, так и на анонимную работу в сети Интернет. Довольно легкий и эффективный инструмент, многие security специалисты нашли в нем замену все более «прожорливому» Kali, тем более что Parrot использует репозитории Kali для обновления. Использует графическое оркужение MATE и дисплей-менеджер LightDM. По фукнционалу он похож на Kali Linux, здесь тоже вместе с системой поставляется огромное количество специального программного обеспечения для тестирования безопасности. Как вы можете видеть все системы которые я упомянул выше в основном так или иначе базируются на Debian.

То, как вы будете разруливать с обновлениями безопасности в Linux, будет зависеть от дистрибутива, который вы используете. Я собираюсь рассказать об обновлениях безопасности на примере Debian и систем, созданных на основе Debian.

Смотрите, здесь https://wiki.debian.org/Derivatives/Census указаны все производные от Debian дистрибутивы. Многие из них - это операционные системы, важные для области безопасности, такие как Kali, Tails и так далее. Проект Debian выполняет отличную работу по обеспечению обновлений безопасности для Debian.

Безопасность - это приоритет для этого проекта и этой операционной системы. Если вы хотите найти детали проблем безопасности, для исправления которых выпускаются патчи, то взгляните на страницу с информацией по безопасности, представленную Debian https://www.debian.org/security

Если вы спуститесь ниже, то увидите все обновления. Можете нажать на любое обновление и получить больше информации об этом конкретном обновлении. Можете перейти в каталог Mitre CVE и узнать больше по данной уязвимости которую вы выберите.

По заявлениям Проекта Debian, они обрабатывают все проблемы безопасности, доведенные до их внимания, и исправляют их в течение определенных разумных сроков. Они также говорят, что множество предупреждений безопасности координируются другими поставщиками свободного ПО и публикуются в тот же день, что и найденная уязвимость, а также, что у них есть внутренняя команда Аудита Безопасности, которая ищет в архивах новые или неисправленные ошибки безопасности. Они также верят в то, то безопасность путем сокрытия не работает, и что общедоступность информации позволяет находить уязвимости в безопасности, и это круто. Все это хорошо, вот почему я рекомендую дистрибутивы основанные на Debian в качестве основной надежной операционной системы для повседневного использования, когда речь идет о безопасности, приватности и анонимности.

Единтсвенное что вы должны понять что надо записывать установочную флешку в dd image режиме через rufus к примеру, а линуксоиды могут использовать команду dd для этого.

Вот что такое дд имейдж.

Как устанавливать Kali Linux я проказывал вам в одной из прошлых статей.

Линукс это удивительная система, с которой нужно учиться работать и она станет вашим верным другом. Это как с домашним животным, как его натренируете, как его освоите, таким покладистым и послушным он будет для вас. Если вы думаете, что эта информация кажется вам юзлесс (ненужной) – если вам кажется, что вы знаете куда больше об этом чем я - скорее всего вам кажется.

Давайте теперь поговорим о шифровании, что же это такое, и зачем оно необходимо вам, давайте начнем с определений.

Шифрование – это метод преобразования данных, пригодных для чтения человеком, они называются незашифрованным текстом, в форму, которую человек не сможет прочитать, и это называется зашифрованным текстом. Это позволяет хранить или передавать данные в нечитабельном виде, за счет чего они остаются конфиденциальными и приватными.

Изображение:

Что мы видим из этой инфографики выше, а то что алгоритмы шифрования пропускают ваши данные через программные фильтры, которые используют непредсказуемые математические процессы, чтобы конвертировать читаемый текст в длинные строки бессмысленных символов. Вот как работает шифрование, и все проблема решена, вы защитили передаваемые данные шифрованием. Но для того чтобы прочитать зашифрованные данные, необходимо их дешифровать, по этому давайте разберем это определение тоже.

Дешифрование - это метод преобразования зашифрованного текста обратно в читабельный человеку текст. Если вы осуществите простой поиск в Google, то увидите здесь надпись HTTPS и наличие зеленой иконки замка, это означает, что все содержимое веб-страниц недоступно для чтения людям, которые отслеживают передачу данных по сети. То есть к примеру ваш провайдер пишет весь ваш трафик (следит за вами в интернете) о том что вы делаете, так как вы используете шифрование TLS, то есть другими словами HTTPS то провайдер не может узнать что именно вы просматриваете на сайте, он может только узнать на каком сайте вы находитесь, то есть с каким сайтом происходит обмен данных. А о чем конкретно - нет, так как данные передаются в зашифрованном нечитаемом виде. Вот если вкратце о том, как работает шифрование и дешифрование, давайте пойдем дальше.

Какие имеются методы шифрования?

Вообще существует только два метода шифрования, это:

Симметричное шифрование – использует один и тот же ключ и для зашифровывания, и для расшифровывания.

Асимметричное шифрование – использует 2-а разных ключа: один для зашифровывания (который также называется открытым), другой для расшифровывания (называется закрытым) или наоборот.

Эти методы решают определенные задачи и обладают как достоинствами, так и недостатками. Конкретный выбор применяемого метода зависит от целей, с которыми информация подвергается шифрованию.

Вот тут объяснено всё очень простым языком https://youtu.be/89JyxcVn0lE

Основная цель шифрования применяется для хранения важной информации в зашифрованном виде. Вообще шифрование используется для хранение важной информации в ненадежных источниках и передачи ее по незащищенным каналам связи. Такая передача данных представляет из себя два взаимно обратных процесса:

Перед отправлением данных по линии связи или перед помещением на хранение они подвергаются зашифровыванию. Для восстановления исходных данных из зашифрованных к ним применяется процедура расшифровывания. Шифрование изначально использовалось только для передачи конфиденциальной информации. Однако впоследствии шифровать информацию начали с целью ее хранения в ненадежных источниках. Шифрование информации с целью ее хранения применяется и сейчас, это позволяет избежать необходимости в физическом защищенном хранилище (usb, ssd диски).

Симметричный метод шифрования: давайте взглянем на инфографику ниже

Отправитель отправляет зашифрованное сообщение: `Привет, Marfa`

Злоумышленники перехватывают данное сообщение, но так как у них нет ключа для дешифровки они лишь видят набор символов: `%#&$!`

Получатель, имея ключ дешифровки, с легкостью может прочитать сообщение которое отправил отправитель в зашифрованном виде, и он уже видит текст отправителя в первозданном виде: `Привет, Marfa`

Не будет преувеличением сказать, что шифрование - это самый лучший инструмент, который только есть в нашем арсенале для защиты от слежки и полиции.

Вообще если говорить простыми словами, есть два основных компонента шифрования.

Алгоритм шифрования – известен публично и многие, многие люди тщательно его изучили в попытке определить, является ли алгоритм сильным.

Секретный ключ – можете представить, что секретный ключ – это пароль и он должен держаться в тайне, и исходя из видео приведенных ранее, вы уже понимаете что секретный ключ - это пароль. Получается алгоритм можно представить, как замок, а секретный ключ – это ключ к этому замку.

В симметричных криптосистемах для шифрования и расшифровывания используется один и тот же ключ. Исходя из инфографики выше давайте рассмотрим пример, я хочу отправить Марфе какой-то файл, но я не хочу, чтоб какие-то 3-и лица могли его просмотреть. Для наглядности и простоты использования я решил зашифровать данный файл программой 7-Zip. По такому же типу шифрования (1-му ключу) шифруются сектора/диски в VeraCrypt, TrueCrypt и так же возьмем их для примера.

1. Алгоритм шифрования – это математический процесс преобразования информации в строку данных, которые выглядят как случайный набор символов и букв.

2. Хэш-функция – это преобразования входных данных. Задача функции обеспечивать целостность и позволять обнаружить непреднамеренные модификации.

3. AES-256 – указывает какой алгоритм используется (AES) и какой размер блока (256), в 7-Zip нет возможности детальной настройки, нежели как в VeraCrypt.

4. При помощи введенного пароля будет сгенерирован ваш ключ для выбранного алгоритма шифрования (в нашем случае AES-256), для дешифровки вам надо будет указать алгоритм дешифровки если имеется и ввести пароль.

На выходе мы получаем зашифрованный архив, который для распаковки и получении информации, что находится внутри необходимо ввести ключ дешифровки, говоря простым языком пароль. Вы могли заметить, что для зашифровки был использован симметричный алгоритм блочного шифрования – Advanced Encryption Standard (AES).

В данном алгоритме используется только 1-н ключ, ключ создается при помощи нашего пароля (смотрите 4 пункт для наглядности преобразования)

Так же Вы можете выбрать какой размер блока будет использован 128 / 256 / 512 / 1024 бит, в нашем случае были лишь варианты 256 бит и 512 бит. Представьте себе дверь и множество замков на ней. У вас займет много времени, чтобы открыть или закрыть эту дверь. Также и с алгоритмами, чем выше битрейт, тем сильнее алгоритм, но тем медленнее он шифрует и дешифрует, можете считать это стойкостью алгоритма. 256 / 512 бит – это также и объем ключевого пространства, то есть цифра, обозначающая суммарное количество возможных различных ключей, которые вы можете получить при помощи этого алгоритма шифрования. Для взлома симметричного шифра требуется перебрать 2^N комбинаций, где N длина ключа. Для взлома симметричного шифрования с длиной ключа 256 бит можно создать следующее количество комбинаций, то есть возможных ключей: 2^256 = 1,157920892?10?? или если разложить 1.157920892 ? 10^77 при расчете получается следующее число возможных вариаций (это 78-разрядное число). Вот это число: 2^256 = 115792089237316195423570985008687907853269984665640564039457584007913129639936

Если что можете проверить сами это число на любом инженерном калькуляторе, вот для примера https://web2.0calc.com

Таким образом, для всех, кто сомневается в безопасности шансов столкновения 2 ^ 256, есть число: есть вероятность того, что столкновение будет иметь 1-н из более чем 1.1579209e*10^7= 78-разрядному числу (то число которое выше). Всё это означает, что ключ крайне сложно подобрать, даже при помощи очень мощных компьютеров, но при условии, что вы использовали длинный и рандомный пароль при генерации ключа. Про пароль поговорим отдельно, какой использовать и т.д. Вместе с программами и почему. Чтобы не засорять вам мозг не нужной информацией на данном этапе, так что ввнезабивайте голову, сейчас обо всем поговорим.

Люди и правительства постоянно пытаются взломать алгоритмы шифрования. В этой статье я дам вам список алгоритмов, которые хороши, а которые нет, какие из них поддаются взлому, а какие на сегодняшний день невозможно взломать.

Алгоритмы симметричного шифрования:

Их достаточно большое количество, если вы хотите с ними ознакомиться, посетите эту страницу https://www.veracrypt.fr/en/Encryption Algorithms.html

Advanced Encryption Standard (AES) – симметричный алгоритм блочного шифрования (размер блока 128 бит, ключ 128/192/256 бит), принятый в качестве стандарта шифрования правительством США по результатам конкурса AES. Этот алгоритм хорошо проанализирован и сейчас широко используется, как это было с его предшественником DES. Advanced Encryption Standard (AES) - это общепринятый стандарт симметричного шифрования. Для максимальной защиты используйте AES-256 или больше в любом месте где это возможно, сам алгоритм шифрования AES быстрый и на сегодняшний день его невозможно взломать.

Асимметричный метод шифрования:

Очень умные люди изобрели это шифрование с использованием открытого и закрытого ключей и алгоритмы, основанные на сложности определенных математических задач. Я не буду обращаться в математические детали, потому что их понимание не обязательно для вашей защиты. Для правильного выбора средств защиты вам лишь достаточно иметь базовое понимание алгоритмов и стойкости алгоритмов, а также криптографических систем, которые вы собираетесь использовать. Как мы знаем в симметричном методе шифрования используется 1-н секретный ключ, тогда как в асимметричных методах шифрования (или криптографии с открытым ключом) для зашифровывания информации используют один ключ (открытый), а для расшифровывания другой (секретный). Эти ключи различны и не могут быть получены один из другого.

Давайте сразу же закрепим данный материал:

Симметричный метод шифрования – 1-н ключ, использует один и тот же ключ и для зашифровывания, и для расшифровывания.

Асимметричный метод шифрования – 2-а ключа открытый (публичный от англ. Public) и закрытый (приватный от англ. Private)

Я бы рекомендовал вам посмотреть, короткий ролик о том как работает Асимметричный метод шифрования https://youtu.be/sGFbM-X6W_4

Когда я ранее рассказывал о симметричном шифровании, мы зашифровали файл для Марфы, но так как это симметричное шифрования, чтобы открыть этот файл необходим ключ которым я шифровал файл. Возникает вопрос, а как передать ключ (пароль) безопасным способом, чтобы Марфа могла дешифровать файл? В современном мире, самый лучший способ что либо передать и быть уверенным в доставке информации указанному адресату – это лично в руки. Но это не очень хорошая затея, так как мы можем попросту не знать где находится адресат, либо он может находится на столько далеко, что доставить что-либо "лично в руки" становится проблематичным, а быть может нам попросту нужна анонимность. В таком случае, можно воспользоваться открытым ключом Марфы, который она заранее выложила где-то, для того, чтобы люди могли с ней связаться. И тут у многих возникает вопрос, зачем нужны все эти заморочки, если я могу например связаться с марфой используя какое-то шифрование в любом другом мессенджера? Да все верно, но суть асимметричного шифрования, когда вы что либо зашифровываете с помощью PGP шифрования вам нет необходимости доверять третьей стороне. При зашифровывании сообщения открытым ключом марфы, вы будете уверены что сообщение будет прочитано только владельцем приватного ключа то есть марфой, этим гарантируется досылка до источника, владельца приватного ключа, что в нашем примере является марфа.

Но так как любой желающий может использовать публичный ключ, вы гарантируете при отправке анонимность вашего послания, так как любой может использовать публичный ключ. Разница в том, что в асимметричном шифровании есть открытый ключ, который создается, чтобы быть известным для любого человека, то есть это публичный ключ, и есть закрытый ключ, который должен всегда храниться в секрете и быть приватным. Эти ключи математически связаны и оба они генерируются в одно и то же время. Они должны генерироваться одновременно, потому что они математически связаны друг с другом. Любой веб-сайт, использующий HTTPS, имеет открытый и закрытый ключи, которые используются для обмена симметричным сеансовым ключом, чтобы отправлять вам зашифрованные данные. Это немного похоже на Zip-файл, который мы видели. Они используют эти открытые/закрытые ключи и затем им нужно отправить другой ключ, типа ключа, который мы используем для Zip-файла, с целью осуществить шифрование (end-to-end разберем позже)

ЗАПОМНИТЕ, ЗАПОМНИТЕ и еще раз ЗАПОМНИТЕ:

Если Вы шифруете при помощи закрытого ключа, вам нужен открытый ключ для дешифровки. Если вы шифруете при помощи открытого ключа, вам нужен закрытый ключ для дешифровки. В асимметричном шифровании, если сообщение зашифровано 1-им ключом, то необходим 2-ой ключ для дешифровки этого сообщения. Если вы шифруете при помощи закрытого ключа, то вам нужен открытый ключ для дешифровки. Если вы шифруете при помощи открытого ключа, то для дешифровки вам нужен закрытый ключ. Невозможно зашифровать и дешифровать одним и тем же ключом, и это крайне важно. Для шифрования или дешифрования вам всегда нужны взаимосвязанные ключи. Так как мы знаем, что данные ключи взаимосвязаны, одним шифруем другим дешифруем и ни как иначе. Получатель (Марфа) не может идентифицировать отправителя этого сообщения. Так как открытый (публичный) ключ на то и открытый, что он выкладывается в обычно в общий доступ, и любой может использовать открытый (публичный) ключ Марфы для шифрования.

Когда отправитель шифрует при помощи открытого ключа получателя, сообщение конфиденциально и оно может быть прочитано лишь получателем, у которого есть закрытый ключ для дешифрования сообщения, но как я и говорил ранее возможности идентификации отправителя нет, при условии конечно если Вы сами не пришлете там каких либо данных для последующей Вас идентификации

Если вы шифруете своим собственным закрытым ключом, то это означает, что вы заинтересованы в аутентификации. В этом случае вам важно, чтобы получатель знал, что именно вы отправили зашифрованное сообщение. Для этого вы шифруете при помощи своего закрытого ключа. Это наделяет уверенностью получателя, что единственным человеком, который мог зашифровать эти данные, является человек, который владеет этим закрытым ключом, Вашим закрытым ключом.

На этом вторая часть по безопаности подошла к своему логическому завершению, в 3 части мы более подробно разберем те моменты, и вопросы которые возможно у вас появились сегодня и более глубоко капнем в нишу шифрования. Так же поговорим о многих аспектах шифрования в целом.