Безопасность и анонимность в сети: VPN, TOR, ORBOT, CloudFlare
В этой статье я расскажу о сетевой безопасности. Но не только. Разберёмся с Secure Delete, отключим в приложениях трекеры отслеживания.
Зачем нужен VPN?
Запомните как аксиому: весь ваш трафик должен идти через VPN-туннель.
Главный функционал VPN заключается не столько в обеспечении анонимности, сколько в шифровании трафика. Перехватить и расшифровать туннелированный трафик в 100 раз сложнее.
Чтобы было нагляднее, рассмотрим на примере недавнего закона, согласно которому операторы и провайдеры обязаны этот трафик коллекционировать и хранить довольно приличное время. Так вот, если ваш трафик открыт, в случае необходимости заинтересованным лицам не составит никакого труда выяснить когда, как часто и к каким ресурсам и адресам в сети вы обращаетесь.
Принцип работы VPN
Это как взять ваш личный дневник и посмотреть сделанную вами собственноручно запись за позапрошлое воскресенье : “Сегодня я весь день лупился в сериалы, а в 21:15 мне пришла транзакция в биткоинах, и я ломанулся в Tor”. Причем “дневник” этот ведется без вашего желания и непосредственного участия.
Но если у вас настроено постоянное VPN-туннелирование ВСЕГО трафика, все что получает в свою копилку провайдер – это один единственный адрес в сети, адрес самого сервера VPN (первого сервера, если при соединении используется цепочка из нескольких).
Привожу приложения для настройки VPN на смартфоне Android. Это разумеется “варианты”, они носят рекомендательный характер. Кто-то предпочитает личный сервер на протоколе Wireguard, кто-то юзает PIA за 7$ в месяц, кто-то удовлетворится этими бесплатными вариантами. Но сначала расскажу как сделать так, чтобы VPN-соединение было постоянным и через него шёл весь интернет-трафик.
Особенности настройки VPN до Android 10
До Android 10 был ряд особенностей. Чтобы запустить весь трафик через VPN, на многих прошивках сначала необходимо было установить блокировку экрана. Но она у вас уже есть. Далее, чтобы настроить постоянный VPN, на смартфоне (опять же в зависимости от версии прошивки) нужно было настроить несколько вариантов такого подключения. Это могли быть несколько разных приложений или несколько самостоятельно настроенных подключений в любой комбинации.
Начиная с Android 10 таких заморочек нет, и можно настроить одно единственное подключение. Самостоятельно настроить VPN-подключение можно в соответствующем разделе настроек вашего устройства.
OpenVPN и сервис RiseUP, настройка VPN на телефоне
Отличный вариант для рядового пользователя – OpenVPN. Мы настроим его в бесплатной конфигурации и, как альтернативу, установим сервис RiseUP, рекомендованный создателями Tor и заслуживший авторитет в мировом сообществе своей политикой конфиденциальности.
Сразу же акцентирую внимание на том, что ВСЕ “бесплатные серверы” OVPN хранят логи подключений минимум две недели.
- OpenVPN for Android (OpenVPN without root).
- Bitmask (шифрование данных).
Для начала запускаем Bitmask. Приложение предложит выбрать провайдера. Выбираем RiseUp (хотя Calyx тоже неплох). Серверы выбрать нельзя. Трафик пойдет через Канаду, Францию или Нидерланды, в зависимости от загруженности серверов.
Сервис RiseUP, так сказать, широко известен в узких кругах. Работает как часы. Не входит в список распиаренных сервисов, на которые положил глаз РКН. Преимущества очевидны. Недостатки очевидны тоже. IP серверов находятся в серых списках, и на Авито вы с такого сервера не проскочите. Скорость оставляет желать лучшего.
Теперь OVPN. Для начала, если вы намерены использовать бесплатные открытые сервера, необходимо скачать готовые конфигурации профилей. Я рекомендую отличный сервис VPN Gate (www.vpngate.net).
На сайте можно скачать готовые профили различных серверов из разных стран. В основном это азиатские сервера: Япония, Корея. Отечественные, естественно, отпадают. Обращайте внимание на скорость соединения и количество пользователей. Быть одним из 400 000 или 600? Ответ очевиден.
В таблице серверов ищем “Файл конфигурации OpenVPN”. UDP быстрее, TCP стабильнее, остальное – тема для отдельного статьи по настройке персонального VPN.
Заходим в приложение OVPN и кнопкой (+) добавляем уже готовые профили.
Теперь возвращаемся в настройки смартфона. Выбираем пункт “VPN” в категории “Сеть и Интернет”. Устанавливаем любой из понравившихся вариантов (Bitmask или OpenVPN) как “Постоянную VPN”.
Затем выбираем в её настройках “Блокировать соединения без VPN” (опция есть не во всех прошивках). Так мы разрешим выход в сеть только после запуска выбранного сервиса. После этого весь ваш трафик будет проходить только через зашифрованный туннель.
Проблема может быть и на сервере, поэтому файлов с различными конфигурациями должно быть несколько. Вообще бесплатные серверы достаточно нестабильны. Про хорошую скорость говорить не приходится. Причин для этого несколько, основная – это загрузка из-за большого количества пользователей.
Кратко о работе DNS серверов
Даже если вы пользуетесь VPN-соединением, существует вероятность утечки вашего реального IP. И не только IP, но и информации о том когда, как часто и на какие сайты вы заходите.
Дело в том, что в сети на самом деле не существует таких адресов, как blabla.com или android.ru. Все ресурсы и сайты в сети имеют один или несколько IP-адресов. Адреса эти состоят из цифр. И чтобы попасть на сайт, вам пришлось бы запоминать и вводить целую кучу не связанных между собой цифр.
Разберем на примере сайта вКонтакте. Гораздо проще запомнить vk.com, чем 87.240.129.71 (и ещё 240 IP-адресов, которые ВКонтакте использовал за последние три месяца). Поэтому существует так называемая DNS, Система Доменных Имён. Эта система преобразует буквенное название ресурса в принадлежащий этому ресурсу IP-адрес, и таким образом предоставляет пользователю доступ к нему.
Наравне с интернет-, VPN- и прочими, существуют DNS-провайдеры. Как правило, при входе в сеть с телефона или ПК вы пользуетесь DNS-серверами, которые прописал вам в настройках ваш поставщик интернет-услуг (провайдер или сотовый оператор). Эти серверы, например, прописаны в настройках смартфона по умолчанию, когда вы подключаетесь к домашней сети.
Речь о том, что возможны конфигурации сети, когда для разрешения доменного имени, запрос идёт на DNS-сервер не зашифрованным, минуя VPN. И тогда ваш провайдер видит все сайты и прочее, на которые вы заходите, видит все ресурсы на которых вы совершаете какие-либо действия. Правда не видит самих действий.
Оптимальный вариант, это когда VPN-провайдер пропускает запросы через собственный DNS-сервер. Очень многие сервисы так и делают. Но по какому протоколу идёт запрос? Мы не знаем. Тем не менее, нас устроит только протокол DNSCrypt или DNS поверх HTTPS (DoH). Эти протоколы повышают конфиденциальность и безопасность пользователей путём предотвращения перехвата и манипулирования данными DNS с помощью атак типа MITM.
Доп. защита через DNS от CloudFlare
Что из себя представляет Cloudflare можете загуглить, но думаю и так все слышали. Огромный кусок интернета работает сейчас именно через их сервера. Относиться к тому что они обрабатывают такой огромный массив данных можно по разному.
Пустить DNS-запросы через Cloudflare можно разными способами. Если вы используете OpenVPN for Android, то лучше всего открыть Конфигурации – ваш конфиг – значок редактирования – IP-адрес и DNS. Ставим галочку на Переопределить параметры DNS и в строках DNS-сервер и Резервный сервер DNS прописываем, соответственно, адреса 1.1.1.1 и 1.0.0.1
Дополнительно советую прописать свой вариант DNS-сервера непосредственно в настройках смартфона: Настройки – Сеть и Интернет – Персональный DNS-сервер: one.one.one.one (опять же Cloudflare).
Cloudflare хорош еще тем, что всегда старается подобрать сервер на основе вашего IP. То есть если у вас штатовский VPN или прокси, то и DNS в 90% случаев будет такой же. Для многих это важный фактор в их движениях.
Сеть Tor, Orbot и Privacy Browser
Основное её преимущество – то, что она децентрализована. То есть нет единого сервера (группы серверов), на которых хранятся данные пользователей. Это НЕ САМАЯ анонимная сеть. Например сеть i2P намного более анонимна. Но ей пользуется довольно ограниченное количество людей. Потому что она даёт доступ только к ресурсам, входящим в неё. Очень скудно и низкая до тошноты скорость.
Недостаток сети Tor в том, что все её публичные входные и выходные релеи известны и провайдерам, и владельцам ресурсов, и, естественно, тем кто пытается контролировать интернет. С точки зрения беспалевности пользоваться Tor’ом для доступа к открытым ресурсам не лучшая идея, если вы используете его отдельно от VPN, потому что провайдер видит, когда вы в него заходите. А значит, следуя логике контролёров, вам есть что скрывать.
Сейчас скачиваем приложение для настройки Tor на смартфоне и браузер, который хотел бы порекомендовать:
- Orbot (Proxy with Tor).
- Privacy Browser (Веб-браузер, уважающий вашу конфиденциальность).
Умышленно не советую браузер от Tor Project вместо двух этих приложений, потому что его и так все знают, и потому что Tor можно и нужно использовать по полной для всего трафика и не ограничивать возможности в рамках одного браузера.
Orbot может работать в качестве VPN-клиента, когда весь трафик смартфона идет через Tor. А данный браузер, не единственный, конечно, имеет возможность проксификации (см. настройки браузера) через Tor + много других плюшек.
После установки заходим в Orbot. НЕ ЗАПУСКАЕМ его. Для правильной работы Tor требует тонкой настройки.
Важно. Не включайте VPN, который вам предложит приложение, если не хотите чтобы вместо вашего настроенного VPN-туннеля ВЕСЬ трафик смартфона шел через Tor.
Настройка Orbot и Tor
Заходим в “Пользовательские настройки Tor “Только для экспертов”. Это они так лохов пугают, чтобы они куда не надо пальцами не тыкали. А мы как раз эксперты))
Здесь мы должны настроить серверы (ноды). Объясню почему именно здесь, а не в пунктах “Входные узлы”, “Выходные” и “Исключенные”. Дело в том, что если указать серверы определенных стран или конкретные IP-адреса узлов, и при этом жёстко не прописать что можно использовать ТОЛЬКО серверы, расположенные в этих странах, маршрутизация, в случае если выбранные серверы недоступны, может пойти через любые доступные ноды. Например отечественные, принадлежащие людям с серенькими глазками.
Чтобы прописать разрешенные страны для входа в строке настроек вводим: EntryNodes
В фигурных скобках латинскими буквами через запятую вводится код страны/стран, разрешенных для входа в Tor. Например
Чтобы запретить любые другие страны в качестве входных набираем в следующей строке: StrictEntryNodes 1
Аналогично и с выходными узлами: ExitNodes – код страны, StrictExitNodes 1
Чтобы исключить использование узлов определенных стран: ExcludeNodes
Коды стран качать здесь.
Также можно прописать конкретный заданный сервер в качестве выходного узла. Тогда ваш IP будет постоянным. Серверы можно найти в сети, но делать этого не рекомендую. Так теряется половина смысла в этой песне. Tor хорош тем, что IP меняется. Нужна статика – лучше использовать прокси.
Серверы в сети Tor хранят данные так же, как и серверы OpenVPN, то есть две недели. По крайней мере, так обещают владельцы публичных выходных нод.
Обфускационные мосты в Tor
Так как мы выходим в Tor из под VPN, проблемы со входом не возникнут. Но на случай, если начнут тотально блокировать VPN-сервисы и входные узлы Tor’а, а отечественный сегмент интернета нам неинтересен, есть возможность обойти и эти блокировки. Для этого можно использовать обфускационные мосты входа в Tor. Эти мосты генерируются создателями torproject, и скрывают от провайдера сам факт входа в Tor. Работает эта кухня прямо скажем через раз, но лучше это знать.
Для их использования в настройках Orbot ставим галочку на “Использовать мосты” и в пункте ниже вводим адреса мостов, которые всегда можно получить здесь- https://bridges.torproject.org.
Серфинг через Tor
Теперь пускаем через Tor наш конкретный браузер (для трафика остальных приложений, если они не поддерживают торификацию в своих настройках, нужно как и сказал включить Tor VPN). В браузере по умолчанию отключены JavaScript, скриншоты страниц и различные трекеры типа Google Analytics, трекеры Facebook и прочее.
Присутствует возможность смены User Agent и настройке серфинга через пользовательские прокси-серверы. Для направления всех движений браузера в Tor в разделе настроек ищем пункт “Прокси” и выбираем соответствующее положение. Также можно открывать через Tor только отдельные выбранные страницы. Для этого в правом верхнем углу тапаем “три точки”. Там есть нужный пункт. Нажатием на значок щита с глобусом можно переключать состояние JavaScript на каждой отдельной странице.
Кстати, смена User Agent занятие довольно бессмысленное. Лишний маркер, вызывающий подозрение и не прибавляющий очков к анонимности и прочему. Такая смена никак не отражается на движке браузера и еще ряде параметров, и если у вас браузер с отпечатком от Chrome будет светиться как работающий на движке от Mozilla, то такое “мамкино хацкерство” не вызовет ничего кроме улыбки.
Приложение для ленивых – InviZible Pro
Ну и как альтернатива для ленивых – следующее приложение. Так сказать, все в одном – InviZible Pro .
Приложение, после установки, загружает и устанавливает три модуля: DNS, TOR и I2p. Есть возможность направить через Tor весь трафик или трафик определенных приложений, а также открывать лишь выбранные сайты.
Настроить конфигурации можно в соответствующих пунктах меню. Например, выбрать DNS-серверы той страны, из-под IP которой вы выходите в сеть. Серверы, естественно, DoH и DNSCrypt. Возможна фильтрация только серверов с поддержкой безопасного расширения DNSSEC.
Маршрутизация I2p включается одним нажатием, без частых сложностей, возникающих при работе со стандартным маршрутизатором.
Внимание. Я настоятельно не рекомендую использовать вход в Tor через данную программу, если вы не просто зашли посерфить. Это не приложение от разработчиков Tor и, несмотря на схожие настройки, за конфиденциальность данных никто не ручается.
В остальном очень полезная программа. При ее использовании достаточно одного браузера для входа в любую сеть: Clearnet, Darknet, I2p. Акцентирую: для БЕЛЫХ движений.
RiseupVPN
Unlike most other VPN providers, Riseup does not log your IP address.
Riseup has a VPN client called RiseupVPN. This VPN client is super easy to use! You just install it and run it—no configuration, no account registration.
This is an experiment to see if we can create a VPN service that is easy enough for everyone to use and that people will donate enough to sustain.
Why would you want to use the Riseup VPN?
Limitations to using a VPN
Download RiseupVPN
Using RiseupVPN
On Mac, Windows and Linux RiseupVPN will create a system tray menu with an icon that indicates if the VPN is connected or not:
— VPN is off.
— VPN is on, and all traffic is securely routed through the VPN.
— VPN is off, and all traffic is blocked.
— VPN is connecting, and all traffic is blocked.
To turn on or off, just click on the system tray icon and select the appropriate menu item.
Donate!
The RiseupVPN service is entirely funded through donations from users. If you value an easy, non-profit VPN service that does not track users, then please contribute to keeping RiseupVPN alive.
The cost for us to offer RiseupVPN is approximately $60 USD per person per year. If you use the VPN, please consider donating at least this much. Thank you!
Note: If you donate using a different page, we will not know that you are donating for the VPN. Please help us figure out if this service can be sustainable by donating using only the links on this page.
Liberapay
Donations to riseupvpn can be by credit or debit card (Visa, MasterCard, American Express), or by direct debit of a Euro bank account (for donations in Euro only). We use Liberapay, a non-profit subscription donation and payment service based on free software.
Paypal
Bitcoin
Troubleshooting and support
Troubleshooting
Request help
To fill out a support ticket for RiseupVPN, please visit support.riseup.net. If you found a bug, please fill out a bug report instead of a support ticket (see below).
Please make sure to include the following information:
- What operating system you are using.
- What version of RiseupVPN you have installed.
- For desktop, this can be found under Shield menu >About…
- For Android, this can be found under Side menu >About…
Report a bug
Contact channels
You can join the RiseupVPN and bitmask tester mailing list. There you can ask questions and be part of a community conversation around the development versions of our beloved VPN client.
There is also an irc channel for more instant conversations: #leap @ irc.libera.chat
What about Bitmask/Riseup Black?
If you still have Bitmask installed, please remove it before installing RiseupVPN.
Accounts that were registered through this system will be eventually removed, and the logins made available to users to register.
Персональный блог Толика Панкова
Стихи, рассказы, философия, IT, политика, панкизм, раздолбайство и болтовня.
Расследуя дело о групповом изнасиловании, журналист Максим Шевченко потребовал принять закон о запрете пропаганды представителя ДОБДД МВД России Дмитрия Лейбова
Бесплатный VPN от riseup.net. Часть 2.
Получение данных для нормального запуска VPN, без bitmask и на любом линуксе.
1. Ставим Debian x64. Я ставил 8.10 на виртуалку в VMWare 9 с netinst установщика, при установке можно выбрать LXDE, чтоб быстрее поставилось и тянуло меньше ерунды с инета.
2. Заходим в консоль и переключаемся под root
su3. Обновляем списки пакетов после установки (из консоли)
apt update4. Для удобства можно поставить mc
apt install mc4. Ставим Openvpn
apt install openvpn5. Качаем Bitmask (bundle-версию) отсюда копия на всякий случай и распаковываем его в отдельный каталог в пользовательской директории.
Регистрация
Первый вариант, на сайте https://riseup.net. Переходим по ссылке, придумываем имя пользователя и пароль.
Вариант второй — через Bitmask
1. Запускаем bitmask и в появившемся окне жмем New account…
2. Жмем плюсик, в появившемся окне вводим riseup.net
3. Оно подумает, добавит провайдера и выведет его описание. Жмем Next
4. Придумываем имя пользователя, пароль и вводим данные
Кнопка подтверждения регистрации чуть ниже, надо прокрутить окно.
При вводе пароля программа показывает его надежность (нагло врет и подло дезинформирует) в виде времени, необходимого для взлома. В результате пароли из имени жены, кошки и года рождения (типа murka1999ludka) кажутся непосвященному пользователю очень надежными с временем для взлома аж джва года. Не обольщайтесь.
Регистрация успешна, теперь надо получить данные для использования VPN
Глюки и зависания Bitmask
Bitmask оказался каким-то нестабильным и висючим, периодически при запуске делая
бочку:
Отчего он так себя вел, непонятно совершенно. Лечилось либо убийством с помощью pkill и последующим перезапуском, либо запуском через консоль и двойным Ctrl+C (на одиночный он прячется в трей), или удалением каталога программы и каталога .config/leap из домашней директории. Накрайняк была копия HDD виртуалки.
Получение сертификатов VPN
Запускаем bitmask, вводим логин (в виде login@riseup.net ) и пароль, логинимся и попадаем в главное окно, или если через bitmask и регистрировались, то сразу попадаем в главное окно, можно даже не пытаться соединиться, сертификаты уже получены.
При первом запуске с ранее зарегистрированным через сайт логином и без заранее добавленного в bitmask провайдера riseup.net может возникнуть следующая картина
Жмем Install Helper Files, после чего несколько раз будет запрошен пароль root, после чего можно нажать кнопку Trun ON
По началу у меня все очень долго соединялось, я так и не дождался. Но на момент написания данного текста все заработало сразу же, я так понял, товарищи из Riseup починили голландский сервер, висевший до этого пару дней.Нужные сертификаты лежат в домашнем каталоге пользователя:
/home/username/.config/leap/providers/riseup.net/keys/ca/cacert.pem
/home/username/.config/leap/providers/riseup.net/keys/client/openvpn.pemПолучение параметров Openvpn.
Bitmask, как выяснилось, фактически навороченная обертка над Openvpn. Соединением VPN управляет именно он. А параметры можно получить независимо от того, удалось ли соединиться с помощью bitmask, или bitmask долго думает над соединением, например, из-за какого-нибудь одного зависшего сервера. Откроем консоль и посмотрим:
ps -Af|grep openvpn
Ага! Вот и все нужные нам параметры, из которых вполне можно сделать конфиг для Openvpn:
nobody 2934 2515 0 05:27 ? 00:00:00 /usr/sbin/openvpn —setenv LEAPOPENVPN 1 —nobind —client —dev tun —tls-client —remote-cert-tls server —management-signal —script-security 1 —user nobody —persist-key —persist-local-ip —persist-remote-ip —group nogroup —verb 1 —remote 5.79.86.180 443 udp —remote 199.58.81.145 443 udp —remote 198.252.153.28 443 udp —tls-cipher DHE-RSA-AES128-SHA —cipher AES-128-CBC —auth SHA1 —keepalive 10 30 —management-client-user kvakushka —management /tmp/leap-tmpzK6zDA/openvpn.socket unix —ca /home/kvakushka/.config/leap/providers/riseup.net/keys/ca/cacert.pem —cert /home/kvakushka/.config/leap/providers/riseup.net/keys/client/openvpn.pem —key /home/kvakushka/.config/leap/providers/riseup.net/keys/client/openvpn.pem
kvakush+ 9906 2676 0 05:56 pts/3 00:00:00 grep openvpnЭтот VPN использует свой локальный DNS-сервер, дабы данные клиента не уходили к его провайдеру или, например, корпорации добра. IP можно подсмотреть в скрипте bitmask-root в каталоге с bundle bitmask’а в директории apps/helpers
В общем, сохраняем параметры Openvpn в текстовый файл, запоминаем адрес DNS-сервера, копируем на флэшку или закидываем в облако сертификаты, и можно настраивать данный VPN на любом другом компьютере. Но Bitmask или вообще жесткий диск виртуалки, советую куда-нибудь забэкапить. Он может потребоваться в будущем для обновления сертификатов. Как их выковырнуть вручную я, пока что, недопетрил, а Riseup периодически сертификаты обновляет.