Anonimat, privacitat i seguretat a prova de governs i serveis d’intel·ligència.

—[ La rebel·lió dels Calçots ]—

_

En la situació contextual de Catalunya, presos polítics, censura, persecucions judicials, on les clavegueres de l’estat i el sistema judicial et poden acusar de terrorisme per portar un mapa de google on surt una caserna de la policia, amb total impunitat contra la llei i la llibertat de drets fonamentals.

Fa indispensable disposar d’un entorn i d’unes eines per protegir la informació personal i la llibertat d’expressió.

_

Aquesta sèrie de tutorials a us mostraran tècniques i mètodes per protegir encare més la vostra informació contra qualsevol atacant.

Per atacant entenem qualsevol persona, organització o forces d’un estat que vulguin accedir a la informació del Pen sense autorització. Aprendreu a com utilitzar un Pen Tails per protegir la informació continguda en aquest, de tal la manera ni els serveis d’intel·ligència podran accedir a la informació del Pen.

El tutorial està basat en el Pen Tails, és un Pen que et permet navegar anònimament a través de la xarxa TOR i que disposa d’un entorn preparat per ser el anònim possible sense deixar rastre i et permet guardar dades en una partició encriptada.
És molt fàcil d’utilitzar i quant a protecció vs facilitat d’ús no té rival.

Per poder seguir el tutorial és indispensable que tingueu un Pen Tails creat amb la seva partició de dades, aquí teniu un link per crear un Pen Tails i un altre per crear la partició de dades.

–https://tails.boum.org/install/linux/usb-overview/index.es.html
–https://tails.boum.org/doc/first_steps/persistence/index.es.html

La millor manera de manera d’entendre els conceptes, és imaginar un possible escenari real amb un toc d’humor i a partir d’aquí, estudiar quines eines, tècniques i metodologies ens ajuden a resoldre satisfactòriament aquest escenari.

Escenari possible:

————
————[ La rebel·lió dels calçots ]———-
————
Imagineu que els CDR proposen fer una calçotada multitudinària a la placa Sant Jaume en senyal de protesta contra la junta electoral pel color groc.
Aleshores, la junta electoral prohibeix la calçotada per evitar imatges de color groc i polítics menjant calçots amb romesco.
Els CDR cancel·len l’acte per evitar problemes judicials, aleshores els ciutadans decideixen organitzar-se per celebrar la calçotada en contra de la junta electoral.
————
————

Punts a tenir en compte:

1.- S’ha de fer anònimament, ja que el sistema judicial anirà a perseguir a qualsevol persona que intenti organitzar-ho.

2.- Les xarxes socials com twitter,facebook, whatsup, telegram no són segures, ja que identifiquen a la persona real que interactua amb elles i també deixen emmagatzemada molta informació al mòbil, que és vulnerable si la policia el confisca.

Per tant, si volem organitzar la calçotada anònimament i sense risc en l’àmbit judicial, no es poden utilitzar aquestes xarxes i eines per garantir l’anonimat ni la filtració d’informació sensible.
S’hauran de fer servir xarxes alternatives que permeten una identitat anònima a través d’emails que es poden crear sense cap identificació real.

3.- Descartar l’ús del mòbil per organitzar res, el mòbil és un punt molt vulnerable, si la policia confisca el mòbil , en pocs minuts te accés a tota la informació dels emails, missatgeria, contactes, grups etc i no solament us fa vulnerables a vosaltres, sinó a tots els contactes vostres.

4.- Descartar el ús d’ordinadors amb windows i linux, els ordinadors són un altre punt molt vulnerable, un cop intervinguts per la policia, aquesta, en pocs minuts tindrà accés a tota la informació d’aquest, encare que haguéssiu esborrat fitxers i pres mesures, sempre deixa un rastre i és molt fàcil que puguin accedir també als documents esborrats.

Considerant aquests punts, que necessitaríem?

• Des de el punt de vista de la protecció de les dades, emails, documents, etc, necessitaríem un sistema per emmagatzemar la informació que fos portàtil i que la informació per defecte estes encriptada i no deixes rastre.

• Des del punt de vista de l’anonimat, necessitaríem un sistema que ens permetis navegar per internet de forma anònima a través de la xarxa TOR i que no deixes rastre a l’ordinador des del qual es navega.

• Des del punt de vista de les xarxes socials i relacions de col·laboració hi ha un ampli ventall de xarxes alternatives com *Diaspora que és una barreja de twitter i facebook però et permet mantenir un anonimat total, o altres eines de col·laboració, missatgeria i correus electrònics protegits amb criptografia PGP que fetes servir a través d’una xarxa anònima com TOR et poden assegurar un anonimat molt alt.

En resum, l’ideal seria un Pen usb portàtil on les dades estarien en una partició encriptada i el propi Pen serviria per arrancar l’ordinador amb un sistema operatiu propi que només treballaria a memòria i no accediria al disc dur i a més, es podria navegar per internet a través de la xarxa TOR anònimament , fer servir correus electrònics encriptats i diversos aplicatius sense deixar rastre.

–

Existeix un Pen aixi?
Quant costa ?
És complicat d’utilizar?
És legal ?
És segur ?

Afortunadament, un Pen amb aquestes característiques ja existeix i és gratuït, tothom en pot crear un, l’únic que es necessita és un Pen usb de 8Gb o mes, és perfectament legal i molt fàcil d’utilitzar i el fan servir periodistes de tot el món que treballen en zones complicades on hi ha censura governamental, el pen els hi permet esquivar-la de forma segura i anònima.

El pen s’anomena TAILS, és una versió de linux que et permet arrancar l’ordinador des de aquest i et proporciona un entorn visual segur i preparat per ser el més anònim possible amb una sèrie d’eines d’ofimàtica, navegació, emails, editors gràfics, vídeo, àudio, etc.. a utilitzar.
I a mes et permet crear una partició de dades encriptada per emmagatzemar informació personal i secreta.

Ja tenim la base, el Pen Tails, des de la qual ja podem començar a preparar la ‘rebel·lió dels calçots’ :-).

Quins podrien ser els següents passos?

El primer pas hauria de ser crear la identitat virtual de l’organització i decidir com es vol organitzar , de manera que es pugui fer totalment anònima i la documentació estigui protegida a un nivell molt alt i també establir per quins mitjans i com es reclutaran col·laboradors per tal de preservar l’anonimat de tothom.

Com ja hem comentat, les xarxes socials més conegudes no són anònimes i les aplicacions de missatgeria com whatsup i telegram són molt vulnerables a la confiscació del mòbil, tindrien accés a tots els missatges i grups igual que amb el correu electrònic.

Haurem d’utilitzar xarxes anònimes alternatives en sustitució de twitter i facebook com podria ser la xarxa *Diaspora amb les seves identitats anònimes creades amb serveis d’emails anònims i gratuïts i fer servir el client de correu Thunderbird per establir missatgeria encriptada amb PGP.

Passos:

    1- Crear varies comptes d’email totalment anònimes a alguns dels següents proveïdors de correu:

_

• Nomes via navegardor i encriptat

          – Tutanota https://tutanota.com

          – CTemplar (http://ctemplar42u6fulx.onion/)

          –  Secmail.Pro (http://secmailw453j7piv.onion/src/login.php)

• Navegador i Thunderbird

  – Mail2Tor (http://mail2tor2zyjdctd.onion/) –mixta
  – TorBox (http://torbox3uiot6wchz.onion/) — nomes xarxa TOR
  – DanWin1210 (http://danielas3rtn54uwmofdo3x2bsdifr47huasnmbgqzfrec5ubupvtpid.onion/) –mixta
  – Cock.li (https://cock.li/) –mixta

• Navegador correus temporals

  – Guerrilla Mail (http://grrmailb3fxpjbwm.onion/)
  – MyTrashEmail (http://mytrashmail.com)

    2.- Crear comptes amb aquests emails a diverses xarxes anònimes com *Diaspora.

    3.- Per mes seguretat, el nicks d’usuari han de ser lo mes diferents possible de l’email i que no continguin cap informació o nicks d’altres xarxes que us puguin identificar.

    4.- Crear un #hashtag a la xarxa *Diaspora per exempl, #LaRebelioDelsCalcots .

    5.- Crear un blog anònim com a pàgina de l’organització, manifest, etc.

    6.- Buscar algú que vulgui publicar i difondre el blog per twitter i facebook.

    7.- Organitzar-se per la xarxa *Diaspora per exemple a través del compte principal de l’organització o a partir de discussions en un determinat hashtag, creant diferents cercles de confianca, el boca a boca, etc.

    8.- Configurar els emails a través del client Thunderbird per poder encriptar emails amb PGP i establir comunicacions encriptades amb altres persones.

    9.- Utilització de xats online encriptats, emails amb PGP, clients de missatgeria com Pidgin, la xarxa *Diaspora …, com a mitjans de cooperació i comunicacions segures i anònimes.
– …..,etc.

Un cop es tingui una organització bàsica, ja es poden començar a plantejar temes logístics i d’organització per celebrar l’acte, el qual pot arribar a ser molt complex, però per començar a vegades és útil imaginar el pitjor escenari possible i treballar a partir d’allà a la inversa, de menys a més complex.

Un cop estudiats els pitjors escenaris possibles, només és qüestió de tenir-los preparats i anar-los fent més complexos segons les circumstàncies que es puguin donar.

A partir d’aquest punt, el tutorial estarà dedicat al worst case scenario 2 i diferents modes de protegir encare més, el Pen Tails.

Per exemple:

   Imaginem el pitjor escenari possible 1:

_

— Worst case scenario 1:

La junta electoral prohibeix el us de foc, barbacoes, taules i cadires.

-Que fem?
-Com fem els calçots?
-Es pot fer una calçotada sense barbacoa , taules i cadires?

Solucions:

-Els calçots:
– Cadascú es porta 30 calçots fets de casa.
– Problema x escalfar-los
– Potser instal·lació graelles elèctriques x escalfar
– S’organitzen els veïns del barri x fer els calçots (bars, forns, restaurants, pitzeries,…,)
-Taules i cadires, varius:
– Assentats a terra com de petits a les colònies (algun coixí, flotador inflable)
– Mantes d’emergència d’aquelles daurades i platejades com a taula, part color groc visible 🙂
– Servei de forquilles, plats, ganivets, gots de plàstic
– Servei de tovallons
– Servei de begudes cervesa, vi, refrescos..
– Pa, tomàquets, oli sal, salsa….
– I molta premsa, imatges i videos 🙂

Imaginem el pitjor escenari possible 2:

_

— Worst case scenario 2:

La policia monitoritza les xarxes i fa registres a activistes per tal d’identificar als organitzadors de la ‘rebel·lió’ i intercepta i confisca un Pen Tails d’un dels organitzadors.
El propietari del Pen no dóna la contrasenya.

-Problemes:

1.- El Pen té una partició de dades encriptada

La policia, intentarà accedir a la informació del Pen, però aquest té una partició encriptada i aquí és on es trobaran amb el primer problema.
Hauran de fer diversos atacs informàtics per intentar descobrir la clau, i aquí està la importància d’escollir una clau adequada, és més important la longitud del password que un password curt però més complicat, el recomanable és fer servir una frase com a password d’entre 100 i 200 caràcters, i aleshores modifiqueu la frase i li afegiu números , signes, etc, de manera que sigui fàcil de recordar i pugui esquivar els atacs per diccionaris.
Si el password escollit és bo, la policia no podrà desencriptar la informació, ja que si els atacs per diccionari no funcionen, els atacs per forca bruta depenen del factor computacional, temps i longitud del password, el qual farà inviable que puguin accedir a la informació del Pen.

2.- Accedeixen a la partició de dades

La policia, ha accedit a les dades hackejant el password de la partició de dades.
En aquest punt, tota la informació de la partició encriptada està disponible per la policia, tindran accés a tots els documents i fitxers i les comptes de correu que tinguéssiu al client Thunderbird

-Solucions-

Per aconseguir més seguretat davant la possibilitat que la clau d’accés a la partició sigui hackejada, proposem 4 nivells de menys a ‘màxima’ seguretat:

– Easy , difícil de franquejar (depenent de la clau escollida)
– Easy+ ,molt difícil de franquejar
– Crazy, pràcticament impossible de franquejar
– Madness, impossible en un 99,99%

“

Nivell Easy :

En aquest mode, es tracta de protegir la informació dels comptes de correu, el client de missatgeria i les claus pgp, per tal que no estiguin disponibles directament si hackejen el password de la partició de dades.
Consisteix a desactivar la persistència de dades en aquestes aplicacions i fer el procés de guardar les dades i encriptar-les de forma manual, d’aquesta manera, encare que accedeixin a les dades de la partició, l’únic que trobaran seran fitxers encriptats amb passwords difícils de hackejar, si s’han escollit correctament.

Passos:
1.- Configurar la partició de persistència:

– Obrir aplicació :
-Applications-Tails-Configure persistent volume-
– Desactivar totes les opcions menys la de ‘Personal Data’.

2.- Copiar i encriptar dades correu -Thunderbird

– Obrir la carpeta des del navegador de fitxers ‘Home’
– Apretar tecles ctrl+h per veure els fitxers i carpetes ocults
Si ja havíeu obert el client Thunderbird, trobareu una carpeta ‘.Thunderbird’, en aquesta carpeta està tota la informació dels comptes de correus i els emails.
Sinó teniu la carpeta, obriu l’aplicació Thunerbird:
-Applications-Thunderbird
i veureu com es crea la carpeta.
– Comprimiu la carpeta ‘Thunderbird’ amb el format ‘.7z’:
– Seleccioneu la carpeta i clickeu el botó dret del mouse i escolliu l’opció ‘compress’ i seleccioneu el mode ‘.7z’, es crearà un fitxer amb les dades comprimides de la carpeta ‘.Thunderbird’
– Encripteu el fitxer generat.
Seleccioneu el fitxer, botó dret del mouse, opció ‘Encrypt’ i seleccioneu l’opció d’encriptar per frase, aleshores introduïu el password que voleu fer servir, recomanació de frases de més de 150 caràcters, i es creara un fitxer amb extensió ‘.pgp’, aquest és el fitxer que haureu de guardar dins de la carpeta ‘Persistent’, ja que si no en apagar el Pen, la informació es perdria.
– Copieu el fitxer generat dins la carpeta ‘Persistent’
i el fitxer amb les dades del correu ja estarà disponible i encriptat

3.- Utilització:

– Arrancar el Pen amb partició de dades
– Desencriptar el fitxer encriptat del correu ‘thunderbird.pgp’
– Descomprimir el fitxer desencriptat a la carpeta ‘Home’, recordeu ‘ctrl+h’
– Obrir correu Thunderbird i tota la informació torna a estar disponible.
– Enviar, descarregar i llegir correus pot implicar haver de tornar a aplicar el pas 2 si voleu guardar la informació o no.
– Podeu crear un script que automatitzi el procés.

 

Pel que fa al client de missatgeria Pidgin el procés és el mateix que hem descrit anteriorment però aplicat a la carpeta ‘/home/.purple’

En la part de protegir les dades de les claus PGP, el procediment és exportar les claus públiques i privades en un fitxer i guardar-les en una carpeta i seguir el mateix procediment del pas 2.
A l’hora de fer servir les claus, s’haurà de desencriptar, descomprimir la carpeta i importar la clau a utilitzar.

En la resta de carpetes i documents dins de la carpeta ‘Persistent’, podeu repetir el mateix procediment per assegurar-vos, que encare que accedeixin a la partició de dades, tot el que trobaran seran fitxers encriptats.

Pros i contres:

–

Pros:

– Protegeix les dades de correus, missatgeria i claus PGP que estaven exposades.
– Afegeix una capa extra de protecció que dependrà de la dificultat de la clau escollida.
– Es poden aplicar diferents claus a diferents carpetes augmentant la seguretat.

Contres:

– Procés manual de backup i restauració de les dades d’emails, missatgeria, claus i carpetes
– La seguretat depèn de la qualitat de la clau, si ja havien pogut entrar a la partició de dades, és que la primera clau ja no s’havia triat correctament.
– Encare que la longitud de la frase sigui de 150 caràcters, depenent de com estigui construïda aquesta frase pot ser vulnerable a atacs per diccionari, està clar que una frase de 150 caràcters aleatoris serà molt més segura però difícil de recordar, en el següent tutorial afrontarem aquest problema.

En el següent tutorial, el mode Easy+, encare farem el sistema més segur, farem servir un gestor de passwords per generar, emmagatzemar i utilitzar passwords aleatoris de la longitud que vulguem, i els farem servir per encriptar les carpetes afegint una capa extra de seguretat que farà el sistema més difícil de hackejar i nomes tindrem que recordar un password podent fer mes complexos tots els altres.

@UDRcat