Datorer och privat säkerhet (privacy)

Transkript

1 Datorer och privat säkerhet (privacy) Vetenskapsmetodik, CDT212 Mälardalens Högskola, Västerås Sofie Allared, Kim Thor, 1(9)

2 SAMMANFATTNING Rapporten handlar om hur man kan skydda sitt privatliv och sin integritet på sin egen dator och på Internet. Det kan vara väldigt lätt för någon illvillig att ta sig in på din dator och därför bör du se till att säkra upp den. Uppdatera operativsystemet, ha ett antivirus som uppdateras regelbundet och använda dig av en brandvägg är några av sakerna du kan göra. När du väljer lösenord är det viktigt att dessa är starka, dvs. att de är svåra att knäcka. Kryptering används för att göra data oläslig om man inte har rätt lösenord för att dekryptera datan. Normalt sett är allt som sker på Internet (surfning, mail, chat) skickat i klartext för vem som helst att avlyssna och läsa. Genom FRA-lagen som staten röstade igenom avlyssnas all trafik som passerar Sveriges gränser trådbundet, dvs. inte enbart Internettrafik (surfning, mail, chat) utan även, fast telefoni, mobiltelefoni, SMS och MMS. Allt detta genomsöks efter sådant som kan vara yttre hot för Sveriges säkerhet. För att få ett privatliv på Internet som inte kan avlyssnas av vem som helst eller staten finns det olika åtgärder man kan vidta. T ex kan man börja med att kryptera mail och chattkonversationerna samt använda sig av krypterad förbindelse till webbsidor och servrar där det är möjligt. Ett annat sätt är att använda sig av en proxy som agerar som en mellanhand mellan datorn och den webbsida som vill besökas. Detta gör att webbsidan bara pratar med proxyn och vet inte om att det finns en klient bakom. Även de som avlyssnar klientens trafik upptäcker enbart att klienten pratar med proxyn. Det finns även anonymitetstjänster som går att köpa för att få en mer privat kommunikation på Internet. 2(9)

3 INNEHÅLLSFÖRTECKNING SAMMANFATTNING... 2 INNEHÅLLSFÖRTECKNING... 3 INLEDNING... 3 DATORSÄKERHET... 3 LÖSENORD... 4 KRYPTERING... 4 TRÅDLÖSA NÄTVERK... 4 INTERNET... 5 FRA-LAGEN... 5 PROXY... 5 WEBBASERAD PROXY... 5 ÖPPEN PROXY... 6 PROXY NÄTVERK... 6 RISKER OCH NACKDELAR MED PROXYN... 6 VPN... 6 ANONYMITETSTJÄNSTER... 7 MAIL... 7 PGP... 7 GNUPG... 7 MSN... 7 SIMPLITE... 8 PIDGIN... 8 WEBBLÄSAREN... 8 HTTPS... 8 KAKOR... 8 TILLÄGG... 8 SLUTSATS... 9 REFERENSER... 9 INLEDNING Denna rapport handlar om privat säkerhet och din personliga integritet inom området datorer och Internet. Bakgrunden till ämnet är att upplysa användare hur man kan skydda sig på Internet mot oönskade intrång i sitt privatliv. Många anser att det som varje individ gör på Internet (surfar, chattar, mailar) är deras privatliv som ingen annan har någon rättighet att rota i. Idag skickas normalt allt på Internet i klartext vilket innebär att vem som helst kan ta del av detta. Internet skapades inte med tanken på att skydda vårt privatliv. Vårt syfte med denna rapport är att ta upp olika tekniker på hur man skulle kunna återskapa ett privatliv på Internet och säkra upp datorn från intrång. Vi kommer att ta upp olika alternativ och förklara hur de fungerar, dock utan att gå in djupare på den tekniska biten. Målet är att ge flera olika förslag på hur på hur man skulle kunna skydda sig mot att andra kan läsa och se vad man gör på Internet och din egen dator. DATORSÄKERHET För att göra ens privata dator säkrare så att färre intrång kan ske finns det några säkerhetsåtgärder som ska vidtas. Operativsystemet ska uppdateras så att ingen kan ta sig in via säkerhetsbuggar. Att ha ett antivirus program som är helt uppdaterat ger ett ökat skydd mot t ex program som av misstag kan råka laddas ner som ska försöka förstöra eller extrahera 3(9)

4 information. En brandvägg är också nödvändig för att säkra upp datorn ytterligare. Oftast ingår detta i operativsystemet (eller i en eventuell router som är kopplad till datorn). Genom brandväggen kan inställningar göras om vilka program som får skicka eller ta emot information från Internet. Detta för att förhindra att det ligger något program och skickar t ex en keylogger (en keylogger sparar och skickar varje knapptryckning man gör till en attackerare). Okända program bör inte laddas ner och installeras eftersom det kan vara mer än det valda programmet som blir installerat, t ex trojaner (program som tar över din dator och låter attackeraren kontrollera din dator) eller annat skadligt program. [FRAdata] LÖSENORD Ett bra lösenord är viktigt för att ingen obehörig ska kunna komma in i datorn. Lösenordet bör inte vara lätt att räkna ut, exempelvis telefonnummer, personnummer eller barnens namn. Lösenordet ska vara minst 8 tecken långt, innehålla både stora och små bokstäver, siffror och specialtecken. Allt för att göra det svårare för obehöriga att lista ut det. När en attackerare ska ta reda på ett lösenord finns det två sätt att göra det. Det ena är att genom s.k. bruteforce försöka gissa lösenordet. Först testas 'a' sedan 'b' o.s.v., sedan fylls det på med bokstäver och siffror i alla kombinationer som finns. Därför är korta lösenord på ca 5 tecken med bara siffror och små bokstäver väldigt lätta att lösa och med dagens datorer går det otroligt fort. Det andra sättet består av att gissa lösenordet med hjälp av ordlistor på olika språk, kända namn från filmer, namn på blommor o.s.v. tills lösenordet är upptäckt. Det vanligaste är en kombination av de två sätten, att attackeraren först söker genom ordlistor, och sedan lägger på några tecken extra som då går igenom alla kombinationer, för att hitta lösenord som t ex "WashingtonDC51", eller "Darth_Vader900". Fast båda dessa exempel är 14 tecken så är de väldigt lätta att hitta. Ett bra lösenord är t ex "Qf-5F2.rT0ld" eftersom det innehåller alla olika typer av tecken och inte innehåller något känt ord eller namn. Lösenordet bör bytas minst var 6:e månad, helst var 3:e månad. [FRALösen] KRYPTERING Kryptering är att man gör data oläsligt för alla andra än den som har rätt lösenord. Att använda en väldigt lätt kryptering är t ex att man ska skicka abc, men istället skickar def, dvs. man förskjuter bokstäverna tre steg i alfabetet. Ingen annan än den som har nyckeln till krypteringen vet vad det betyder. Det finns även program som möjliggör kryptering av dokument på datorer eller t.o.m. hela hårddiskar. Det innebär att även om någon får fysisk tillgång till datorn så kan de i alla fall inte få tag i någon information utan ett lösenord. Ett väldigt bra sådant program är TrueCrypt. [TrueCrypt] TRÅDLÖSA NÄTVERK Alla som kan logga in på ett trådlöst nät kan tjuvlyssna på alla andra som är inloggade på det nätet. Eftersom alla har samma lösenord till det trådlösa nätet så använder alla samma kryptering, dvs. de kan dekryptera alla andras information. Det är ännu värre på trådlösa nät utan lösenord, eftersom man inte behöver kunna något lösenord för att ansluta och avlyssna. På större trådlösa nät (t ex företagsnät) kan man använda en server som har hand om alla personers inloggningsuppgifter till just det nätet. Då har alla personer ett eget användarnamn och lösenord som valideras i servern, och gör så att varje person har sin egen kryptering av sin information. [CWNA] 4(9)

5 INTERNET Det finns flera hot när det gäller privat kommunikation på Internet när man ser till bland annat webbsurfning, mail och chat. Det gäller både människor med ont uppsåt och staten genom deras FRA-lag som tillåter dem att övervaka all trafik som passerar Sveriges gränser. Det finns olika sätt och tekniker som går att använda sig av för att skydda sig vilket kommer tas upp här och även kort i kapitlet om FRA-lagen. Allt en klient gör på Internet kan spåras tillbaka till den själv med hjälp av ip adressen som tilldelas av Internetleverantör. Adressen i sig säger inget om klienten förutom var den är ansluten till Internet samt vilken dator klienten använder. Ip adressen används som adressering på varje paket som skickas och tas emot samt att det är ip adress som loggas hos de webbplatser klienten besöker. [Proxy] FRA-LAGEN FRA (Försvarets radioanstalt) arbetar under Sveriges Försvarsdepartement som en civil myndighet som inte har något med försvarsmakten att göra. Det var riksdagen den 18 juni 2008 som införde FRA-lagen om att övervaka all trafik som passerar Sveriges gränser kabelbundet. Lagen sattes i bruk den 1 januari De filtrerar ut efter vissa (okända) ord, mönster, tekniska detaljer om överföringen mm. Dessa data sparas för att sedan gås igenom manuellt. Avlyssningen sker inte bara på datatrafik (webbsurfning, mail, chat, bankärenden) utan även fast telefoni, mobiltelefoni, SMS och MMS. Syftet med lagen är att skydda Sveriges säkerhet för "yttre hot", såsom terrorism. Det behövs inte längre något domstolsbeslut för att avlyssna någon utan alla behandlas som potentiella brottslingar. Därför har denna lag fått mycket hård kritik, de anser lagen angriper på den personliga integriteten. [FRA1][Stoppafralagen] [FRApedia2] [Wiki1] PROXY En proxy fungerar som en mellanhand mellan en klient och webbservern som klienten vill ansluta till. I vanliga fall skickas informationen direkt till webbservern, vilket gör att klientens ip adress lagras och man kan sedan se att klienten har varit inne på just den webbservern. Om en klient använder sig av en proxy skickas all trafik till proxyn som sedan skickar vidare trafiken till webbservern. Genom detta kommer webbservern enbart att se att den kommunicerar med proxyn och inte klienten som ligger bakom. Och om man kontrollerar klientens trafik uppfattas det endast som om klienten kommunicerar med proxyn. En proxy kan också användas för att komma runt ett webbfilter, vilket gör att klienten kan besöka webbserverar som tidigare har varit blockerade av t ex ett företag eller staten. [Proxy] [FRAskydd1] Det finns flera olika typer av proxies: WEBBASERAD PROXY Det fungerar som en webbsida klienten kan surfar in på och utifrån den surfar vidare till de webbsidor den vill till. Klienten behöver varken installera något program eller ändra inställningar i din webbläsare, utan själva proxy-webbsidan används som mellanhand. Genom att det är en mellanhand som ansluter till själva hemsidan klienten vill besöka och sedan vidarebefordrar sidan till klienten kan det uppstå lite problem. Det kan krävas vissa modifieringar, för att webbsidan ska visas utan några problem. Det finns en uppsjö med webbproxies på Internet, vissa bättre än andra när det gäller att visa webbsidor. Två svenska alternativ är Surfa Hemligt och Surfa Anonymt. [Proxy] [FRAskydd1] 5(9)

6 ÖPPEN PROXY Till öppen proxy räknas de proxyservrar som kräver att klienten ställer in i webbläsaren att ansluta till proxyservern. Fördelen i jämförelse med webbaserad proxy är att webbsidorna inte behöver modifieras på samma sätt, vilket gör det mera kompatibelt med allt fler webbsidor. Dock finns det stora nackdelar, genom att dessa kan drivas av illvilliga personer eller av staten. De kan användas för att logga trafik och utnyttja användarens dator för att utföra olika attacker och bedrägerier på Internet. [Proxy] PROXY NÄTVERK Det finns ett flertal proxy nätverk så som TOR som är ett krypterat nätverk som tillåter klienterna att prata anonymt med varandra. Istället för att ha egen utrustning bygger de oftast på att klienterna donerar bandbredd och andra resurser till nätverket. TOR fungerar så att det kräver att klienten installerar en viss programvara på sin dator och det bygger på att klienten donerar bandbredd till nätverket, dock är det inget krav. Skillnaden på ett vanligt VPN mellan två klienter och två klienter i TOR-nät, är att i ett TOR-nät används andra datorer som mellansteg för att skapa unika vägar mellan klienterna. Detta gör det svårare för någon som försöker avlyssna klienter att hänga med, dock sista steget i kedjan sker okrypterat. Risken kan vara att någon som ansluter sig till nätverket kan vara från staten eller illvillig och avlyssnar och försöker dekryptera information. Det påstås att dessa förbindelser kan vara relativt långsamma. [Proxy] [TOR] RISKER OCH NACKDELAR MED PROXYN En risk som finns är om klienten inte känner till ägaren av proxyn och dess policy så kan den lätt blir lurad. Med policy menas bland annat hur ägaren hanterar de anslutna klienternas trafik, vad som loggas, hur länge det loggas och vad anser ägaren ha för rättigheter och skyldigheter. Mellanhanden kan logga allt som sker, vilket sedan kan begäras av polisen vid brottsmisstanke. Mellanhanden kanske själv övervakar trafiken som går genom proxyn och letar efter användarnamn och lösenord, vilket kan hända särskilt om trafiken som skickas är okrypterad. En proxy har inget med kryptering att göra så om någon avlyssnar klientens trafik så syns allt i klartext såvida klienten inte använder sig av kryptering. Nackdelen med att använda en proxy är att hastigheten sänks och det tar längre tid att ladda webbsidor och ladda ner filer. Det kan även vara så att vissa sidor blockar proxies genom att de har tidigare haft problem med bland annat spam samt att vissa sidor kan ha svårt att visas. [Proxy] [FRAskydd1] VPN VPN (Virtual private network) är ett virtuellt privat nätverk som kan sättas upp i ett publikt nätverk så som Internet. Det fungerar så att om två klienter vill prata med varandra så skapar de en förbindelse, en s.k. tunnel mellan varandra som de sedan skickar all trafik igenom. Tunneln kan både vara okrypterad och krypterad. Genom att använda sig av en krypterad tunnel så ser inte den som avlyssnar trafiken vad trafiken innehåller. Om den illvillige ville se trafiken måste denna dekryptera informationen innan den förstås som vanlig trafik. Nackdelen med VPN är att hastigheten sänks eftersom det behövs skickas med extra information för att se till att tunneln är etablerad och (oftast) krypterad. Krypterad VPN används väldigt mycket på företag till dem som arbetar hemifrån eller reser runt och fortfarande behöver ha kontakt med företagets interna servrar. Detta gör att arbetare säkert och enkelt kan ansluta mot företagets nätverk och arbetarna får samma upplevelse som om de skulle sitta fysiskt på företaget. [WikiVPN] 6(9)

7 ANONYMITETSTJÄNSTER Det finns ett antal anonymitetstjänster på Internet som agerar som en proxy och som byter ut klientens ip adress till en anonym ip adress samt att trafiken till själva tjänsten är krypterad. Alltså ser den som avlyssnar trafiken enbart att klienten kommunicerar med den server som tillhandahåller tjänsten, men kan inte se trafikens innehåll genom att den är krypterad. De webbsidor klienten surfar in på kan inte heller se att det är just den klienten genom att den har tilldeladts en ny ip adress. Dessa tjänster kostar liten penning och några exempel är Dold och Relakks. [Relakks] MAIL Att skicka mail på Internet idag är som att skicka ett vykort, inget är privat. För att kunna skicka meddelanden till varandra som inte kan läsas av vem som helst behöver man åter använda sig av kryptering. Alltså måste båda parterna vara engagerade för att det ska fungera. Det finns olika alternativ bland annat PGP som kostar pengar och sedan finns det GnuPG som är ett gratisalternativ. [WikiPGP] PGP PGP (Pretty Good Privacy) är en proprietär programvara. Det betyder kort att rättigheterna tillfaller ägaren och de vill inte att någon annan använder sig av källkoden för att skapa nya program eller implementera det i andra program. Detta för att ägaren själv vill tjäna pengar på att sälja sin programvara. Det system som PGP använder sig av bygger på privata och offentliga nycklar. Det fungerar så att varje klient har två nycklar, en privat och en offentlig. Om klient A vill skicka ett krypterat meddelande till klient B, tilldelar B sin offentliga nyckel till A. A krypterar meddelande med B:s offentliga nyckel och sedan skickar meddelandet. B tar emot meddelande och dekrypterar det med sin privata nyckel. Det fungerar inte åt andra hållet, att B krypterar med sin privata och A kan dekryptera med B:s offentliga, utan det är en envägs kommunikation. Om nu B vill skicka ett krypterat meddelande till A måste B använda A:s offentliga nyckel för att kryptera, och A använder sig privata för att dekryptera.[wikipgp] GNUPG Det finns en del av PGP som inte är proprietär, som är en öppen standard som heter OpenPGP. GnuPG är ett program som bygger på den standarden och är gratis. GnuPG installeras på datorn och går att använda för flera olika typer av mailklienter. För att det ska fungera på en webbaserad mail kan man använda sig av webbläsaren Firefox och ett tillägg som heter FireGPG. [WikiPGP][FireGPG] MSN Idag är det väldigt vanligt att folk använder sig av Microsoft MSN Messenger för att chatta med sina vänner. Denna trafik skickas helt oskyddad genom Internet utan någon som helst kryptering. Det finns några alternativ för att konversationerna ska bli mer privata t ex SimpLite. Det finns även andra MSN-klienter som har direkt stöd för att kryptera meddelandena t ex Pidgin. OTR (Off-the-Record) är ett krypteringsprotokoll som har öppen källkod och som finns till ett flertal chattklienter. Dock klarar det inte av att kryptera filöverföring för tillfället, samt att Microsofts MSN-klient saknar stöd. [FRAskydd2] [FRApedia2] 7(9)

8 SIMPLITE SimpLite är ett gratisprogram för att kryptera MSN-konversationerna som fungerar för Microsofts MSN-klient. Dock måste båda klienterna som vill prata ostört ha programmet installerat på datorn för att det ska fungera. Det finns även en funktion för att se vilka konversationer som blir krypterade. En nackdel med programmet är att det inte är öppen källkod, alltså kan ingen annan se koden för programmet. Vilket gör att ingen kan kontrollera om något skumt och illvilligt finns gömt i programmet. [FRAskydd2] [FRApedia2] PIDGIN Några andra klienter man kan använda än Microsofts egna är bland annat Pidgin som bygger på öppen källkod. I Pidgin kan man importera alla sina kontakter från bland annat MSN och ICQ. För att Pidgin ska kryptera trafiken måste man installera Pidgin-Encryption eller använda sig av OTR. Även här måste mottagare också ha det installerat för att konversationen ska bli krypterad. [FRAskydd2] [FRApedia2] WEBBLÄSAREN Det finns flera sätt för att säkra upp webbläsare och bli av med oönskad reklam. Det första är att ställa in att aldrig spara historik, så som besökta sidor, filhämtningshistorik, formulär- och sökhistorik, kakor, aktiva inloggningar och cache. Så att det rensas ut när man stänger av webbläsaren. Det finns oftast förvalt att blocka anmälda skadliga platser och webbförfalskningar samt att varna när webbplatser vill installera tillägg. HTTPS Hypertext Transfer Protocol Secure(HTTPS) är ett protokoll som skickar data krypterat på Internet genom webbläsaren. Data skickas oftast med Hypertext Transfer Protocol(HTTP) men HTTP skickar alltid data okrypterat så att vem som helst kan läsa det. Vid bankärenden används digitala certifikat som ägaren av sidan använder som tjänst från tredje part för att kunna skicka den krypterade datan med HTTPS. [HTTPS] KAKOR En kaka (cookie) är en fil med data som somliga Internetsidor lagrar på ens dator. Den kan innehålla information om hur sidan såg ut förra gången den öppnades på datorn så att allt nytt på sidan sen senaste gången kan visas mer markerat, för att göra det lättare för användaren. Detta är det kakor oftast används till, men de kan också spara information om vilka sidor man har varit inne på för att reklam och liknande ska kunna visa mer riktad reklam. Alla svenska webbplatser som använder kakor måste informera besökaren om att sidan använder kakor, vad den används till, vad kakor är och hur besökaren kan undvika kakor. [WikiCookie] TILLÄGG Det finns många tillägg man kan installera i sin webbläsare för att säkra upp och även för att bli av med onödig reklam mm. NoScript är ett tillägg till Firefox som gör att klienten får själv tillåta när script från webbsidor får köras. Customize Google är ett annat tillägg för att bland annat blockera reklam samt stänga av loggning av Google sökningar. Ad block Plus är ett annat program till webbläsaren för att slippa annonser och reklam på sidor. [Customize] [AdBlock] [NoScript] 8(9)

9 SLUTSATS Det finns åtgärder klienter kan ta för att skapa sig en privatkommunikation på Internet. Den största nackdelen är att båda parterna i chat eller mail måste ta ansvar för att det ska fungera. Det kan vara en nackdel då inte alla ser ett lika stort intresse för att skydda trafiken från att avlyssnas. För det kräver oftast en egen insats för att installera, använda samt att det tar upp en del av bandbredden. Det kan anses lättare att skydda sin egen dator och surfa mera anonymt, genom att det kräver enbart att klienten själv agerar och inte någon annan. REFERENSER Framsidans illustration ( :00) [FRA1] FRApedia "Försvarets radioanstalt" ( :00) [Stoppafralagen] Stoppafralagen.nu ( :00) [FRApedia2] FRApedia FRA-lagen ( :00) [Wiki1] Wikipedia FRA-lagen ( :00) [TOR] Torproject Overview ( :00) [WikiPraxy] Wikipedia Proxy ( :00) [WikiCookie] Wikipedia HTTP Cookie ( :00) [Proxy] Proxy Start sidan ( :00) [FRAskydd1] FRAskydd Proxy ( :00) [WikiVPN] Wikipedia VPN ( :00) [Relakks] Relakks Start sidan ( :00) [WikiPGP] Wikipedia PGP ( :00) [FRALösen] FRAskydd Lösenord ( :00) [FireGPG] FireGPG ( :00) [FRAskydd2] FRAskydd MSN ( :00) [FRApedia2] FRApedia MSN ( :00) [TrueCrypt] TrueCrypt ( :00) [HTTPS] Wikipedia HTTPS ( :00) [Customize] Customize Google ( :00) [AdBlock]Ad Block Plus ( :00) [NoScript] NoScript ( :00) [FRAdata] FRAskydd Säkra datorn ( :00) [CWNA] CWNA Wireless Vulnerabilities McGraw Hill CWNA 4 th Ed Sidor (9)