Как защитить свой планшет от проникновения. Как сделать смартфон максимально безопасным

Все мобильные телефоны поддерживают голосовую и текстовую связь. А в наши дни большинство устройств умеет гораздо больше. "Мобильники" стали неотъемлемой частью повседневной жизни, во многом из-за портативности, многофункциональности и сравнительно низкой стоимости. Те же качества делают их ценными для правозащитников, которые часто используют смартфоны для обмена важными данными и хранения деликатной информации - так, как это раньше было принято делать на защищенных компьютерах.

Наше руководство посвящено в первую очередь смартфонам, устройствам на Android и iOS с функциями мобильной связи, с возможностью голосовых и текстовых коммуникаций, часто - с доступом к интернету. Список функций смартфонов постоянно растет: камеры, хранилища цифровых данных, датчики движения, геонавигационные приемники (GPS), wi-fi, легкий доступ к пестрой коллекции приложений. Заметная часть этого руководства может быть отнесена и к другим мобильным устройствам, например, функциональным телефонам (обычным старомодным мобильным аппаратам) и планшетам. Последние часто представляют собой большие смартфоны повышенной мощности, хотя и не поддерживают функции мобильной связи.

Что вы узнаете из этого руководства

• Важные данные становятся все более портативными - как быть с рисками
• Почему мобильная голосовая и текстовая связь особенно уязвима для слежки
• Какие шаги нужно предпринять, чтобы повысить безопасность смартфона при передаче и хранении данных, фотографировании, посещении веб-сайтов и др.
• Как повысить шансы остаться анонимным (если это нужно)

Общая информация о мобильных телефонах

Смартфоны - одна из наиболее мощных технологий, доступных большинству людей. Эти устройства напичканы разными датчиками, почти всегда находятся под рукой, обычно подключены к той или иной сети. В общем, здесь есть большинство угроз безопасности, которые мы обычно связываем с компьютерами, плюс целый ряд дополнительных проблем, возникающих из-за портативности, многофункциональности, небезопасности сетевой архитектуры, отслеживания местоположения, захвата изображений и т.д.

Операционные системы

Большинство смартфонов работает на двух операционных системах: Google Android и Apple iOS . Самые разные компании продают Android-устройства. Их программная "начинка" часто оказывается изменена разработчиками и провайдерами сервисов. Они надеются, а иногда и требуют, чтобы владельцы устройств работали в их мобильных сетях (и платили, разумеется). Операционная система iOS работает только на устройствах Apple. Она серьезно затрудняет запуск приложений, которые не были одобрены Apple.

Одним из основных факторов, влияющих на безопасность Android-смартфона, являются регулярные обновления операционной системы. У некоторых дешевых моделей нет доступа к обновлениям, поэтому там нельзя исправить серьезные ошибки, касающиеся безопасности. Это может сделать вас уязвимым для вредоносного кода и разнообразных атак.

Брендированные и заблокированные смартфоны

Смартфоны часто продаются заблокированными. Это значит, что аппарат может работать только в сети конкретного оператора связи. (Только с SIM-картой этого оператора). Оператор часто изменяет операционную систему и устанавливает дополнительные приложения на заблокированном телефоне. Кроме того, оператор может отключить некоторые функции. В результате возникают приложения, которые нельзя удалить или запретить им доступ к данным, включая ваши контакты и хранимую информацию.

Поэтому безопаснее покупать обычный, не заблокированный смартфон, без привязки к оператору связи. К сожалению, такие смартфоны обычно дороже.

Основные настройки безопасности

У смартфона множество настроек, с помощью которых вы можете управлять безопасностью устройства. Важно знать эти настройки. Вы можете прочесть о некоторых настройках и приложениях Android подробнее в этом руководстве:

Установка, проверка и обновление приложений

Простейший (и обычно самый безопасный) способ установить приложение на смартфон - воспользоваться Google Play для Android или App Store для iOS. Войдите в свой аккаунт на устройстве - и можете скачивать и устанавливать приложения.

Android-приложения доступны онлайн во многих местах, но наш совет "по умолчанию" - не устанавливайте приложения откуда попало. Некоторые из них содержат вредоносный код. Подробнее о вредоносах можно прочесть в руководстве о том, как защищать устройства от вирусов и фишинга . Устанавливайте приложения только из источников, которым доверяете. Имейте в виду, что доверенные лица могут непреднамеренно распространять вредоносный код, не зная об этом. Приложения в Google Play и App Store подвергаются некоторой проверке со стороны, соответственно, Google и Apple. Это обеспечивает определенную защиту от откровенно вредоносных приложений.

Есть и решение для опытных пользователей Android - или тех, кто не хочет или не может использовать Google Play. Это F-Droid , альтернативная подборка программ, в которой размещаются только FOSS -приложения. Если нужен доступ к F-Droid, можете установить соответствующее приложение из доверенного источника , а затем использовать его для установки других приложений. Можно также устанавливать приложения прямо из файлов .apk (пакеты Android) , если вы включите функцию установки неизвестных приложений . Да, это рискованно, но если у вас нет иного способа установить нужное приложение, можете попросить кого-нибудь, кому доверяете, дать вам .apk -файл на карте памяти.

Даже "официальные" приложения иногда ведут себя нехорошо. На устройствах Android каждое приложение спрашивает разрешение на выполнение тех или иных действий. Вам следует обращать внимание на то, какие именно разрешения просят программы. Если это что-то нелогичное, уточните причины и подумайте о том, чтобы не давать разрешение и удалить приложение. Если вы хотели установить приложение для чтения новостей, а оно просит разрешить ему отправлять ваши контакты по сети третьей стороне, есть основания для беспокойства. (Некоторые разработчики собирают списки контактов для продажи или самостоятельного использования в маркетинговых целях).

Старайтесь своевременно обновлять приложения и удалять те, которыми не пользуетесь. Разработчик может продать свое творение другим людям, а те изменят приложение, которое у вас уже установлено, и добавят в него вредоносный код.

Мобильность и уязвимость данных

Мобильные телефоны, которые мы носим с собой повсюду, часто содержат важную информацию. История звонков, история просмотра страниц в браузере, текстовые и голосовые сообщения, адресные книги, календари, фотографии и прочие полезные вещи могут потянуть за собой цепочку неприятностей, если устройство, на котором они хранились, потеряно или украдено. Нужно знать, где на мобильном телефоне находится важная информация, а также онлайновые данные, к которым существует автоматический доступ. Эти данные могут подпитывать угрозу в отношении не только владельца устройства, но и каждого, кто окажется в адресной книге, во входящих сообщениях или в фотоальбоме.

Итак, вы продумали вероятные риски и познакомились с функциями обеспечения безопасности и приватности вашего устройства. Пора приступать к мерам защиты.

Храним информацию на смартфоне

У современных смартфонов много места для хранения данных. Тому, у кого есть физический доступ к устройству, может быть несложно извлечь эту информацию. (Конечно, это зависит и от самого устройства).

Шифрование устройства и данных на нем

В современных устройствах на iOS стойкое шифрование включено по умолчанию (разумеется, вы должны задать надежный пароль). В Android тоже поддерживается шифрование устройств, и вы обычно можете его включить. Не забудьте сделать резервную копию данных вашего смартфона перед тем, как зашифровать устройство целиком. Это пригодится, если в процессе шифрования возникнет какая-либо проблема.

Android также позволяет шифровать данные на картах памяти (например, microSD ), если вы их используете.

Когда вы включаете зашифрованный телефон и вводите пароль, то получаете доступ к чтению и изменению данных на устройстве. Всякий, у кого окажется физический доступ к телефону, когда он включен и разблокирован, может добраться до ваших данных. Для большей уверенности - например, перед пересечением границы или прохождением контроля безопасности в аэропорту - лучше полностью выключить устройство.

Конечно, есть не только плюсы, но и минусы. Например, если вы думаете, что вам может потребоваться сделать срочный звонок, возможно, лучше оставить телефон включенным и просто заблокировать экран.

Если не можете полностью зашифровать устройство (или вам требуется дополнительная безопасность для отдельных файлов), попробуйте установить какое-нибудь приложение для шифрования данных. Некоторые приложения шифруют собственные данные, а, например, OpenKeychain позволяет шифровать сторонние файлы. Используя это приложение вместе с программой K-9 Mail , можно отправлять и получать зашифрованные письма. (Аналогов этому на iOS нет). Приложения вроде этих могут способствовать защите ценной информации, но вам все-таки стоит рассмотреть вопрос о шифровании устройства.

Есть смысл минимизировать количество ценных данных, которые вы храните на устройстве, особенно если оно не зашифровано. В некоторых телефонах есть функция, позволяющая не хранить историю звонков и СМС-сообщений. Можно завести себе привычку удалять важные данные из истории звонков и сообщений.

Надежное хранение паролей

Пароли можно хранить в единственном зашифрованном файле, если установить FOSS-приложение KeePassDroid . В этом приложении единственный, но очень надежный мастер-пароль используется для защиты всех прочих паролей. Те, в свою очередь, могут быть очень длинными и уникальными, для всех аккаунтов, и запоминать их не нужно. KeePassDroid имеет встроенный генератор паролей, который удобно использовать при создании новых аккаунтов.

Если на компьютере вы используете KeePassXC или KeePassX, как описывалось в руководстве о создании и хранении надежных паролей , можете скопировать свою базу (файл .kdbx ) на мобильное устройство.

Для iOS есть похожее приложение под названием MiniKeePass .

Первый шаг для защиты информации на мобильном телефоне: ограничить доступ к устройству. Вам следует держать его включенным постоянно, кроме ситуаций, когда возникают особые риски. Это относится и к SIM-картам , и к картам памяти. Даже если вы опасаетесь вирусов или продвинутой слежки, может оказаться безопаснее не оставлять устройство без присмотра, а вынуть батарею и держать смартфон при себе.

Итак, включите шифрование и держите смартфон при себе. Что еще можно предпринять для физической безопасности мобильного устройства и уменьшения ущерба в случае его потери или кражи?

Основные шаги

Всегда используйте надежный код блокировки экрана и старайтесь его никому не давать. Если у вас простой телефон с кодом по умолчанию, смените код.

Не следует держать важную информацию, включая номера телефонов, на SIM-карте, потому что там их нельзя зашифровать.

Периодически делайте резервные копии важных данных телефона. Сохраняйте их на компьютер или внешний носитель. Держите резервные копии в надежном месте, как мы обсуждали в главе о защите важных файлов на компьютере . Если у вас есть резервная копия, проще вспомнить, какая информация была на телефоне, и, если нужно, вернуться к заводским настройкам.

Номера телефонов часто привязаны к важным аккаунтам. Ваш телефон может быть нужен злоумышленнику, чтобы получить доступ к этим аккаунтам или чтобы выдать себя за вас. Некоторые операторы мобильной связи позволяют клиенту защищать свой аккаунт PIN-кодом или паролем, чтобы кто попало не мог внести изменения в аккаунт или похитить номер телефона. Если такая функция доступна, воспользуйтесь ей.

Беспокоитесь о вредоносном коде? Возможно, есть смысл в небольшом стикере, который временно прикроет камеру телефона.

О потере и краже

У мобильных устройств есть 15-значный "международный идентификатор мобильного оборудования" (International Mobile Equipment Identity, IMEI). Этот код позволяет идентифицировать устройство в сети. Смена SIM-карты не меняет IMEI. Код часто написан под съемным аккумулятором. Большинство телефонов покажет IMEI в настройках и/или по запросу *#06# . Запишите IMEI. Он может помочь вам доказать, что вы действительно владелец украденного телефона.

Подумайте о плюсах и минусах регистрации вашего телефона у оператора связи. Если вы сообщите о пропаже телефона, оператор связи обычно имеет возможность отключить телефон. Однако регистрация аппарата еще больше привязывает вашу личность к вашему телефону.

У большинства телефонов на Android и устройств iPhone есть встроенная функция "поиск телефона". Она позволяет отследить или отключить аппарат в случае кражи. Существуют независимые разработки программ для той же цели. Подобные инструменты подразумевают компромисс, но если вы доверяете владельцу сервиса и его программам, можете попробовать этот вариант.

Что делать, если надо передать устройство другому человеку

Когда вы выбрасываете ненужный телефон, отдаете или продаете его кому-нибудь, убедитесь, что в нем нет информации, которая обычно хранится на SIM-карте или карте памяти. Этот совет актуален, даже если устройство давно не включалось или вообще не работает. Избавиться от SIM-карты можно, физически уничтожив ее. Удалите из устройства карту памяти и либо уничтожьте ее, либо надежно храните. Лучший способ защитить данные на телефоне - убедиться, что он зашифрован, а затем сбросить устройство к заводским установкам.

Используйте только те магазины и ремонтные мастерские, которым доверяете. Это снизит уязвимость ваших данных, когда вы покупаете бывшее в употреблении устройство или относите свое устройство в ремонт. Если вы думаете, что у кого-то могут быть ресурсы, доступ или мотивация, чтобы преследовать вас и с этой целью установить вредоносный код (до покупки вами телефона), попробуйте наугад выбрать одного из авторизованных дилеров.

Если отдаете телефон в ремонт, удалите SIM-карту и карту памяти.

Мобильная инфраструктура, слежка и прослушивание

Мобильные телефоны и сети сотовой связи еще менее безопасны, чем принято считать. Чтобы отправлять и получать голосовые и текстовые сообщения, ваш телефон постоянно находится на связи с ближайшей вышкой сотовой связи . Таким образом оператор связи знает - и записывает - местонахождение телефона, когда тот включен.

Перехват звонков и текстовых сообщений

Мобильные сети обычно являются частной собственностью коммерческих компаний. Иногда вся инфраструктура мобильной сети принадлежит самому оператору связи. Бывает, что оператор перепродает мобильную связь, которую арендует у другой компании. Текстовые SMS-сообщения не шифруются. Голосовая связь не шифруется или шифруется слабо. Оба вида коммуникаций не защищены от контроля внутри самой сети. В итоге и ваш оператор связи, и владелец сотовых вышек имеют неограниченный доступ к вашим звонкам, текстовым сообщениям и данным о местонахождении. Правительство во многих случаях тоже получает этот доступ, даже когда само не владеет инфраструктурой.

Во многих странах есть законы и правила, которые требуют от операторов связи записывать и хранить SMS-сообщения клиентов. Большинство операторов, впрочем, и так это делает ради своих бизнес-задач, отчетности и разрешения возможных конфликтов. В некоторых странах похожие правила действуют и в отношении голосовой связи.

Более того, операционная система, которая установлена на мобильном телефоне, вполне может быть изначально спроектирована или изменена для конкретного оператора связи. Соответственно, операционная система может сама содержать скрытые функции, которые делают мониторинг еще более проникающим. Это относится как к простым мобильным телефонам, так и к смартфонам.

Третья сторона также иногда может перехватывать голосовые и текстовые коммуникации. Например, злоумышленник может воспользоваться недорогим устройством под названием ловец IMSI . Если такое устройство разместить в зоне приема мобильного телефона, тот может принять "ловца" за настоящую вышку сотовой связи. (Иногда "ловцов IMSI" называют стингреями - известное у специалистов название, под которым эти устройства позиционируются на рынке для нужд правоохранительных органов). В нескольких случаях третьи лица даже сумели получить доступ к ресурсам мобильной сети, находясь на другой стороне земного шара. Они использовали уязвимости в системе сигнализации 7 (Signalling System Number 7, SS7) , совокупности протоколов международного обмена голосовыми и SMS-сообщениями.

Наконец, даже если вы соединяетесь с интернетом по wi-fi, а не посредством сотовой связи, операционные системы на смартфонах и планшетах поощряют пользователей делиться своими персональными данными в социальных сетях и облачных хранилищах; людям предлагают активно пользоваться глобальную геонавигацию (GPS) и прочие подобные функции. Многим любителям Android и iOS это по душе, и у персональных данных появляется больше шансов "утечь" в сеть.

Хотите защитить самые важные передаваемые сообщения? Для начала задайте себе несколько вопросов:

• С кем, когда и как часто вы общаетесь?
• Кого еще может заинтересовать информация о том, что вы общаетесь с этим человеком?
• Насколько вы уверены, что ваш собеседник - тот, за кого себя выдает?
• Каково содержание ваших звонков и сообщений?
• Кого еще может заинтересовать это содержание?
• Откуда выходите на связь вы, где находится ваш собеседник?

Если ответы на эти вопросы вызывают у вас беспокойство в смысле безопасности, следует подумать о том, чтобы свести к минимуму соответствующие риски. Для этого, возможно, придется помочь собеседнику с освоением новой технологии или программы. В некоторых ситуациях, вероятно, лучше отказаться от мобильного телефона как средства связи.

Анонимность

Защита содержания звонков и сообщений может оказаться непростой задачей. Еще сложнее оставаться анонимным при использовании мобильного телефона. В частности, редко удается скрыть тот факт, что вы общаетесь с определенным человеком, когда делаете звонок или отправляете SMS. Можно использовать безопасный мессенджер с подключением к интернету по мобильной сети или по wi-fi, но как гарантировать успех? Чаще всего максимум, что можно сделать - выбрать, какая именно из третьих сторон сможет получить доступ к информации, и надеяться, что эта сторона не станет плотно сотрудничать с теми, от кого вы хотите защитить свое общение.

Чтобы повысить уровень анонимности, люди иногда предпочитают одноразовые телефоны и краткосрочные аккаунты. В некоторых ситуациях это срабатывает, но организовать все правильно не так уж легко. Простейший выбор для обеих сторон процесса - купить предоплаченные телефоны, использовать их для голосовых звонков и SMS-сообщений очень короткое время, затем уничтожить. Зашифровать данные, однако, нельзя. Эффективность этого способа зависит от довольно длинного списка условий. Вот некоторые:

• Обе стороны покупают телефоны и SIM-карты за наличные.
• Когда они делают это, никто не отслеживает их по настоящим телефонам.
• Они активируют SIM-карты без предъявления документов.
• Они вытаскивают аккумуляторы из телефонов, когда те не используются.
• Они могут обменяться номерами телефонов, не привлекая лишнего внимания.
• Они используют свои телефоны в местах, где обычно не проводят время.
• Когда они отправляются в места, где обычно проводят время, то не берут туда телефоны.
• Технологии распознавания голоса не обгоняют наши ожидания.

Если все перечисленные условия для предоплаченного смартфона соблюдены, можно попробовать скрыть связь между двумя сторонами, делая шифрованные звонки. Но чтобы это делать действительно эффективно, требуется еще больше осторожности и внимательности, отчасти потому, что смартфоны и приложения для защищенного обмена данными требуют регистрации аккаунтов. Нет большого смысла использовать "неопределяемый" телефон для доступа к сервисам, которые и так связаны с вашей личностью. Можно создавать анонимные аккаунты e-mail и "одноразовые" аккаунты в других сервисах, но это отнимает время и требует собранности. Обе стороны должны понимать, что такое IP-адреса, отпечатки браузеров, как использовать Tor Browser или Tails, и это лишь часть необходимого. Им придется потратить дополнительные время и деньги на произвольно выбранные интернет-кафе без использования реальных телефонов.

Прослушивание

Телефон можно настроить на хранение или передачу данных, полученных с микрофона, камеры или приемника GPS - и владелец не будет об этом знать (относится и к простому мобильному телефону, и к смартфону). В большинстве таких атак повинны вредоносные программы, но нельзя исключать и то, что операторы связи могут быть вовлечены в подобную слежку за устройствами, подключенными к их сетям. Некоторые телефоны можно даже дистанционно включить и заставить шпионить за своими владельцами, хотя на вид они будут казаться выключенными.

Если вы не доверяете человеку, не давайте ему доступ к вашему телефону. (Нарушение этого правила - частая причина того, как вредоносные программы попадают на наши устройства).

Обратите внимание: использование мобильного телефона на публике или в месте, которое, как вы полагаете, может находиться под наблюдением, делает вас уязвимым для традиционных способов прослушивания. К тому же повышается риск кражи телефона.

Настройте тех, с кем вы общаетесь по важным вопросам, начать пользоваться теми же программами и приемами, которыми пользуетесь сами.

Проводите частную, персональную встречу? Отключите телефон, выньте аккумулятор. Чтобы не раскрыть место встречи, лучше сделать это до того, как вы отправились на встречу. Если не можете отсоединить аккумулятор, просто оставьте телефон в каком-нибудь надежном месте.

В интернет по мобильному телефону

Идентификатором пользователя в Signal (для простоты) служит номер мобильного телефона. К сожалению, это значит, что без действующего номера мобильного телефона Signal использовать не получится, даже если вы предпочитаете wi-fi. Кроме того, если вы хотите с кем-то связаться по Signal, придется дать этому человеку свой номер телефона. Те, для кого это проблема, могут обратить внимание на другие мессенджеры с "хорошей репутацией", например, Wire (Android , iOS).

Ответы на следующие вопросы помогут выбрать мобильный мессенджер:

• Что о нем говорят эксперты по цифровой безопасности?
• Это бесплатная программа? С открытым кодом?
• Она поддерживает сквозное шифрование для общения двух пользователей?
• Она поддерживает сквозное шифрование в групповом текстовом чате?
• Она поддерживает сквозное шифрование в групповом общении голосом?
• Защищает ли сквозное шифрование пересылаемые файлы?
• Можно ли настроить сообщения на "самоуничтожение после прочтения"?
• Будет ли программа работать при медленном подключении к интернету?
• Кто разработчик приложения, стоит ли ему доверять?
• Кто владелец сервера, какова его политика в области хранения звонков и сообщений?
• Можете ли вы использовать один аккаунт на нескольких устройствах?
• Поддерживаются ли все основные операционные системы?
• Можно ли использовать для регистрации адрес e-mail и имя пользователя, а не номер телефона (что позволит разделить ваш аккаунт и вашу реальную личность)?
• Можно ли использовать мессенджер, не давая ему доступ к контактам на устройстве?
• Можно ли использовать его на мобильном устройстве, но не на телефоне?
• Можете ли вы (или тот, кому вы доверяете) запустить собственный сервер и общаться через него?

Отправка и получение e-mail на смартфоне

Собираетесь читать важную почту на мобильном устройстве? Убедитесь, что включено шифрование, как говорилось в основах безопасности для Android . (В последних моделях iPhone шифрование включено по умолчанию, важно только выбрать надежный пароль). Это не защитит вашу почту на всем пути до адресата, но помешает тому, кто попробует прочесть ее после потери/кражи мобильного устройства. Вам может оказаться полезным руководство о том, как сохранять приватность коммуникаций .

В этом руководстве идет речь, в частности, о GPG -шифровании электронной почты на компьютерах Windows , Mac и Linux . Также есть возможность отправлять и получать шифрованную почту на устройствах Android, но не без трудностей. (Бесплатного GPG-шифрования для iOS в настоящее время нет).

Большинство экспертов по безопасности советует не хранить ваш секретный шифровальный ключ где-либо, кроме своего основного рабочего компьютера. (Тем более, не носить ключ с собой). Однако вам понадобится этот ключ, чтобы читать зашифрованные сообщения на мобильном устройстве. Сегодня устройства Android безопаснее, чем были когда-то, а ваш секретный ключ защищен надежным паролем. Таким образом, если вам действительно необходимо отправлять и получать столь важные данные на устройстве Android, а переход к безопасному мессенджеру вас не устраивает, можете установить на нем GPG.

Для этого нужно:

1. Установить и настроить GPG и приложение для работы с ключами, например, OpenKeychain .
2. Скопировать на устройство свой секретный ключ.
3. Установить и настроить приложение для электронной почты, которое работает с OpenKeychain , например, K-9 Mail .

Не только звонки и сообщения

Мобильные телефоны - многофункциональные устройства, маленькие компьютеры со своими операционными системами, скачиваемыми приложениями. "Мобильники" предоставляют самые разные сервисы. Многое из того, что вы делаете на компьютере, вы можете сегодня делать и на смартфоне. И, конечно, есть много такого, что вы можете делать на смартфоне, но никак не на компьютере.

Просмотр веб-сайтов

Самые простые мобильные телефоны не могут подключаться к интернету, но такие в наши дни уже редко встретишь. Если вы используете браузер на Android-устройстве, чтобы ходить, в том числе, на сайты с ограниченным доступом, присмотритесь к использованию виртуальной частной сети (VPN) или приложению Orbot (Android-версии Tor Browser).

VPN на устройстве Android

VPN создает зашифрованный туннель от вашего устройства к VPN-серверу где-то в интернете. VPN помогает защищать исходящий и входящий трафик. Это особенно важно, если трафик проходит через небезопасную локальную или национальную сеть. Однако, поскольку весь трафик идет через VPN-провайдера, тот может видеть все, что теперь стало недоступно для просмотра из локальной сети или провайдером доступа к интернету. Важно выбрать тот VPN-сервис, которому вы доверяете, и не забывать использовать HTTPS при передаче ценных данных.

В некоторых странах VPN вне закона или имеют ограниченый доступ. Узнайте, как обстоит дело в той стране, где вы собираетесь использовать VPN. Помните, что VPN не скрывает того факта, что вы используете VPN.

Для использования VPN вам понадобится установить приложение-клиент и создать аккаунт у провайдера VPN. Команда Riseup предлагает бесплатный VPN-клиент с открытым кодом для Android под названием Bitmask и поддерживает бесплатный VPN-сервис Riseup Black . (Если у вас уже есть аккаунт Riseup Red , и вы знаете, как вручную настроить VPN, можете использовать приложение OpenVPN для Android (Play Store , F-Droid) со своими именем пользователя и паролем Riseup Red . (Приложение OpenVPN для Android бесплатно и имеет открытый код).

Tor на устройстве Android

Чтобы иметь анонимный доступ к сайтам, можно использовать пару Android-приложений: Orbot и Orfox . Orbot направляет интернет-трафик через анонимную сеть Tor. Orfox - мобильная версия Firefox, которая использует Orbot и предоставляет дополнительную защиту вашей приватности. Вместе эти два приложения позволяют обходить онлайновые фильтры и посещать веб-сайты анонимно, то же самое, что дает Tor Browser для Windows , Mac и Linux .

Узнать больше об анонимности и обходе цензуры вы можете в соответствующем руководстве .

Фото и запись

Смартфоны позволяют делать фотографии, записывать звук, снимать видео. Все это мощные инструменты для документирования событий и распространения информации о них. Необходимо относиться с уважением к приватности и безопасности тех, кто оказывается в кадре и на записи. Например, если вы зафиксировали важное событие, а потом телефон попал не в те руки, это может привести к неприятностям и вас, и героев вашего репортажа. Некоторые советы о том, что делать для управления такими рисками:

• Подумайте о том, как можно безопасным образом и быстро загружать в сеть записанные файлы и удалять их с вашего устройства.
• Используйте инструменты для размывания лиц людей, которые оказываются на ваших фотографиях и видео, а также искажения голоса тех, кого вы записываете.
• Узнайте, с помощью каких программ и настроек избавляться от метаданных в медиафайлах. Примеры таких метаданных - GPS-координаты мест, где сделаны фотографии, параметры камеры, которая использовалась для съемки.

Разработчики Guardian Project создали и поддерживают бесплатное приложение с открытым кодом под названием ObscuraCam , которое работает с фото и видео: размывает лица и удаляет метаданные.

Если вам необходимо сохранить лица, голоса и метаданные, тогда особенно важно, чтобы ваше устройство было зашифровано. Файлы, которые вы копируете с устройства куда-либо еще для хранения или пересылки, тоже надо зашифровать. Движимые этой идеей, программисты Guardian Project разработали приложение Proof Mode , антипод ObscuraCam . Proof Mode "вытаскивает" из материала максимум метаданных, что способно помочь установить подлинность изображения или видеозаписи. Эти метаданные хранятся отдельно от соответствующих изображений и видео; передавайте их только по безопасным каналам.

• Подключайте телефон к компьютеру только если уверены, что на компьютере нет вредоносного кода. Подробнее см. наше руководство по защите компьютера от вирусов и фишинга .
• Как и в случае с компьютером, будьте осторожны, когда подключаетесь к сети wi-fi без пароля.
• Отключайте wi-fi, Bluetooth и "ближнюю бесконтактную связь" (Near Field Communication, NFC), когда не используете эти функции. Включайте их только по необходимости и лишь для соединения с доверенными сетями и устройствами. Для передачи данных по возможности используйте кабель.
от The Intercept

В магазин Google Play можно загрузить абсолютно любое приложение - независимо от того, как оно выглядит, работает, и содержит ли вредоносный код. Проверка на наличие вирусов осуществляется уж после загрузки и, хотя недавно Google предпринял попытку защитить устройства пользователей, выпустив программу Play Protect, полностью полагаться на нее не стоит.
В арсенале Android есть несколько инструментов безопасности, позволяющих защитить устройства от большинства вредоносных приложений. Те же методы эффективны и для защиты от другого нежелательного ПО. К сожалению, они не исключают возможности скачать деструктивное приложение, однако существенно уменьшает такую вероятность.

Способ 1. Не полагайтесь на Google Play Protect

После многочисленных случаев проникновения вредоносных приложений в магазин Google Play компания Google подключила сервис Google Bouncer, автоматически сканирующий приложения на наличие вирусов и прочего нежелательного кода. После ребрендинга в начале текущего года Google Bouncer вместе с приложением Find My Device объединили в пакет сервисов под названием Google Play Protect.

Нацеленный на решение ряда задач, которые ранее выполнялись отдельными приложениями, Play Protect был призван продемонстрировать разработчикам и пользователям, что Google всерьез занимается проблемами безопасности. Однако устранить проблему Play Protect не удалось.

Согласно данным лаборатории AV-Test, полученным в ноябре 2018 года, продемонстрированный Play Protect уровень выявления вредоносного ПО в режиме реального времени составил всего 66.9%. При этом средний показатель аналогичного ПО был равен 98%.

Результаты тестов антивирусных программ для Android от AV Test (сентябрь, 2017)

При тестировании на способность выявлять новейшие вирусы, появившиеся за последние четыре недели, Play Protect показал результат 79,6% при среднем показателе 98,6%. Таким образом, Play Protect нельзя назвать эффективным антивирусным приложением.

Мы не призываем вас отключить данный сервис, тем более что он уже встроен в устройства Android, да и функция Find My Device вам может пригодиться. Однако рекомендуем дополнить Play Protect другим антивирусным приложением с гораздо более высоким уровнем защиты и минимальным потреблением энергии - Antiy AVL.

Способность Antiy AVL выявлять вирусы в режиме реального времени, а также обнаруживать новейшие угрозы превышает средние показатели и составляет в обоих случаях 100%. Также, по данным AV-Test.org, антивирус оказывает минимальное влияние на расход заряда аккумулятора и скорость работы устройства, и выдает 0% ложноположительных срабатываний.

(1) AVL выполняет первоначальное сканирование
(2) Меню настроек AVL

Способ 2. Проверьте разрешения приложений

В Android существует система разрешений для приложений App Permissions. Начиная с версии 6.0 Marshmallow, приложения должны запрашивать доступ к определенным функциям смартфона. Например, приложениям для камеры требуется запрашивать доступ к камере устройства, а приложениям для навигации - к GPS-координатам или другой информации о вашем местоположении.

Поскольку по умолчанию такие разрешения не предоставляются, открыв новое приложение или решив воспользоваться новой функцией, вы увидите серию запросов на разрешения. Если вы нажмете на «Разрешить», приложение будет иметь постоянный доступ к соответствующей функции вашего смартфона.

Приложение для редактирования фото Snapseed запрашивает разрешение на доступ к файлам, хранящимся на смартфоне.

Хотя, по идее, все приложения должны подчиняться правилам App Permissions, на деле так происходит не всегда. Вместо этого разрешения могут запрашиваться «скопом» при установке приложения. Получается, что вы можете разрешить либо все, либо ничего, и, если вы не хотите давать приложению доступ к определенным функциям смартфона, то вообще не сможете его установить.

Кроме того, запрос «скопом» очень легко перепутать с просьбой подтвердить, что вы действительно хотите установить данное приложение. Не заметив подвоха и нажав «Разрешить», вы автоматически предоставите приложению доступ ко всем запрашиваемым им функциям.

Пример приложения, не использующего новую систему разрешений. Все разрешения запрашиваются одновременно при установке приложения.

Даже если приложения действуют согласно новой системе, зачастую они запрашивают разрешения, которые для их функционирования не требуются, что снижает безопасность вашего устройства.

Поэтому будет совсем нелишним периодически проверять разрешения приложений. К счастью, на Android это сделать очень легко - приложения группируются по разрешениям и вам не придется посматривать разрешения каждого приложения отдельно.

Для просмотра разрешений откройте «Настройки», нажав на иконку шестеренки в панели быстрых настроек или выбрав пункт «Настройки» в панели приложений. В строке поиска вверху введите «Конфигурация приложений» или «Разрешения приложений».

Если поиск ничего не нашел (например, на устройствах с прошивкой LG UX), выберите в настройках пункт «Приложения» и нажмите на три вертикальные точки. В открывшемся подменю выберите «Конфигурация приложений», а затем «Разрешения приложений» или просто «Разрешения» (в зависимости от прошивки).

В случае с прошивкой LG UX для доступа к разрешениям приложений требуются дополнительные действия.

Вы увидите список всех разрешений приложений, напротив каждого из которых будет указано количество приложений, имеющих доступ к данной функции смартфона.

Допустим, приложение для магазина спортивной одежды и обуви Foot Locker запрашивает доступ к вашему календарю, чтобы добавлять туда события. Если вам не нужна такая функция, отключите разрешение, чтобы приложение не могло собирать ваши личные данные.

Отзыв разрешения на доступ к календарю для приложения Foot Locker.

Минимизировав полномочия приложений, вы защитите себя от компаний, собирающих о вас лишнюю информацию, а также от злоумышленников, которые могут взломать приложение и использовать его для атаки на ваше устройство. Хакеры могут применить и более изощренную тактику, при которой приложение будет работать, как обычно, но при этом, благодаря его разрешениям, они получат доступ к вашим личным данным.

Беспокоиться о том, что, удалив ненужные разрешения, вы нарушите работу приложения, не стоит - такое возможно лишь в случае со старыми приложениями, не использующими новую систему разрешений. Отключив разрешение, откройте приложение. Если разрешение требуется приложению для выполнения его основных функций, оно запросит его снова.

Способ 3. Запретите установку приложений из неизвестных источников

Несмотря на наличие проблемных приложений, Google Play является самым надежным источником для скачивания приложений под Android. Впрочем, Android дает возможность скачивать и сторонние приложения из альтернативных источников. Это, конечно, менее безопасно, поэтому лучше по возможности пользоваться приложениями только из Google Play.

Для контроля над установкой сторонних приложений в Android предусмотрена опция «Неизвестные источники». Возможность устанавливать сторонние приложения существует только в том случае, когда эта опция включена. По умолчанию же данная возможность отключена. Если ранее вы уже включали «Неизвестные источники» (например, для установки программы Pixel’s Dialer или стороннего лаунчера), отключение опции не повлияет на работу уже установленных сторонних приложений, но при этом предотвратит несанкционированную установку вредоносных приложений из неизвестных источников.

Чтобы отключить «Неизвестные источники», зайдите в меню настроек смартфона и выберите пункт «Безопасность» («Безопасность и блокировка экрана», «Защита и безопасность»). Теперь пролистайте меню вниз, найдите опцию «Неизвестные источники» и отключите ее.

В некоторых прошивках Android пункт меню «Безопасность» может быть объединен с другим пунктом, например, «Безопасность и блокировка экрана» (Lock screen and security).

В новых версиях Android (8.0+) пункт «Неизвестные источники» заменен на опцию «Установка неизвестных приложений». С помощью нее можно запретить тому или иному приложению устанавливать другие приложения. Чтобы воспользоваться опцией, пройдите в меню Настройки –> Приложения и уведомления –> Специальный доступ и выберите пункт «Установка неизвестных приложений».

Способ 4. Своевременно устанавливайте обновления

Еще один способ повысить защиту вашего устройства от вредоносного ПО или случайной установки хакерского приложения - это своевременное обновление прошивки смартфона. Чтобы установить все доступные обновления, пройдите в раздел Настройки –> Система –> Обновления системы.

К сожалению, данный способ не всегда эффективен, поскольку мало кто из производителей Android-устройств выпускает ежемесячные обновления. За исключением линейки Pixel и нескольких других, обновления ПО выходят как минимум с двухмесячной задержкой. В любом случае, устанавливать обновления нужно сразу, как только они появляются.

Как правило, обновления прошивки включают в себя не только последние патчи безопасности, но также исправленные ошибки. Так, в последнем обновлении Google устранил уязвимость KRACK, поставившую под угрозу миллионы устройств Android. Если вы не установили данное обновление, ваш смартфон по-прежнему можно взломать, когда вы подключаетесь к Wi-Fi.

И еще несколько рекомендаций «вдогонку».
Прежде чем что-либо устанавливать приложение из Google Play, проводите небольшое расследование. Почитайте отзывы о приложении. Если оно работает не так, как надо, об этом наверняка напишут. Кроме того, обратите внимание на автора приложения.

Лучше если это будет компания, а не частное лицо. Если вы видите приложение с названием Amazon, где в качестве автора прописан некто «Hacker Joe», воздержитесь от его установки.

Избегайте приложений, обладающих слишком обширным функционалом. Ведь не зря существует выражение «слишком хорошо, чтобы быть правдой». Если приложение на самом деле выдающееся, о нем наверняка напишут многие издания.

И, наконец, по возможности, всегда пользуйтесь VPN-подключением. В этом случае ваше соединение с сервером будет защищено, а некоторые VPN-сервисы (например, NordVPN), к тому же, проверяют трафик на наличие вирусов и не позволяют им проникнуть на ваше устройство.

NordVPN и подобные ему VPN-сервисы защищают данные, передающиеся между вашим устройством и VPN-серверами приложения.

Надеемся, что эти советы уберегут ваш смартфон от скачивания вредоносных приложений. Конечно, никакие предосторожности не могут гарантировать, что этого не случится, поэтому будьте начеку и обращайте внимание на любые изменения в работе Android-устройства. Если же ваш девайс уже пострадал от вирусного ПО, расскажите об этом в комментариях.

Используйте блокировку экрана, двухэтапную аутентификацию и другие функции безопасности Android. Также рекомендуем настроить функцию "Найти устройство": она пригодится, если вы потеряете телефон. Загляните в Центр безопасности – в нем вы найдете дополнительную информацию о том, как защитить свое устройство.

Важно! Некоторые из действий, перечисленных в этой статье, можно выполнить только на устройствах с Android 10 и более поздних версий.

Защитите свое устройство и данные

Что сделать, чтобы в определенных ситуациях телефон оставался разблокированным

С помощью функции Smart Lock можно установить автоматическую разблокировку экрана в заданных условиях, например когда находитесь в определенном месте. Если вы используете устройство с Android 10 или выше, то можете отключить его автоматическую блокировку. На большинстве телефонов для этого нужно выбрать Настройки Smart Lock .

Как добавить контактную информацию на заблокированный экран

На экране блокировки можно разместить контактную информацию, например адрес электронной почты или номер телефона. Если кто-то найдет телефон, он сможет связаться с вами.

Включите шифрование данных

Благодаря шифрованию ваша информация находится под защитой. Данные на многих современных устройствах шифруются по умолчанию.

Если по умолчанию на вашем устройстве не включено шифрование данных, вы можете активировать эту функцию самостоятельно. Это возможно на устройствах с Android 4.1 и выше. На большинстве телефонов для этого нужно нажать Настройки Безопасность Дополнительные настройки Шифрование и учетные данные Зашифровать данные . Подробнее о шифровании данных …

Как оставаться в безопасности при использовании приложений и Интернета

Некоторые приложения могут навредить устройству,поэтому скачивайте ПО только из надежных источников, например из Google Play . Перед публикацией в этом сервисе все приложения проходят проверку безопасности.

Если на устройстве есть Play Маркет, то функция "Play Защита" сканирует все приложения из сторонних источников до и после установки. Предупреждение от этой функции означает, что мы не рекомендуем устанавливать приложение.

Сегодня депутаты Госдумы одобрили поправку, которая обязывает операторов сотовой связи в течение трех лет хранить информацию об абонентах, их звонках, переданных сообщениях и изображениях. Учитывая недавний скандал со взломом аккаунтов Telegram у нескольких активистов, все более актуальным становится вопрос о том, как можно сохранить конфиденциальность своего общения. О том, что может угрожать вашей переписке по электронной почте и как можно от этого защититься The Insider . В этот раз The Insider попробует разобраться с тем, как защитить свой смартфон от взлома, слежки или прослушки.

Обладателям смартфонов приходится защищать сразу несколько аспектов своей конфиденциальности: через телефон можно следить за вашими перемещениями, можно прослушивать ваши разговоры, можно читать вашу переписку и получать данные, хранящиеся на вашем устройстве.

Свобода передвижений

«Звонки с телефонов любой степени навороченности все равно идут через оператора сотовой связи, и ничто технически не мешает ему записывать их и отслеживать ваше местоположение, –поясняет Семен Юлаев, программист из «Либертарной технологической группы» – коллектива, помогающего гражданским активистам устанавливать безопасное программное обеспечение, — на смартфонах обычно установлена тонна дополнительных программ, которые могут сливать через интернет чёрт знает что чёрт знает куда. Владелец смартфона обычно оставляет гораздо больше следов в соцсетях, чекинится где попало, постит фотки в инстаграм и т.д. Эти следы можно использовать: так, например, находили доказательства пребывания российских солдат на Донбассе».

Если за вашим телефоном следят, в поле зрения правоохранителей попадает не только ваш аппарат, но и телефоны, часто находящиеся рядом с ним. Соответственно, непригодной является схема, при которой две трубки – «публичная» и «секретная» – часто включены одновременно. Желающие ходить с двумя телефонами должны аккуратно комбинировать режимы их поочередного включения, дабы не быть раскрытыми.

Также не имеет большого смысла менять сим-карты или, наоборот, трубки – если вы хотя бы раз вставите вашу сим-карту в другую трубку, то в системе эта трубка тоже будет с вами ассоциирована, и наоборот – если вы в свою трубку вставите в другую симку, то система эту сим-карту будет ассоциировать с вами.

Слежка за вашим мобильником означает, что, например, если вы пришли на встречу, следящим за вами будет известны все мобильные аппараты, лежащие в карманах у ваших собеседников. Приложения , позволяющие искажать локацию, для конспирации бесполезны: они обманывают ваш смартфон, но не вашего сотового оператора.

Вынимание батареи – проверенный способ избежать отслеживания перемещений. Также в продаже есть чехлы для мобильных и одежда с карманами, блокирующая сотовый сигнал. Батарею из мобильного в этом случае вынимать не нужно. Но, перед использованием, стоит протестировать – действительно ли аппарат, находящийся в чехле, оказывается вне зоны действия сети.

Свобода телефонных переговоров

Существует оборудование и для дистанционного подслушивания разговоров (помимо спецслужб, такого плана техника вполне может быть и в частных руках), теоретически мобильник можно использовать как скрытый и управляемый на расстоянии диктофон. Причем, чтобы услышать ваш разговор, вас не обязательно слушать в режиме реального времени, достаточно просто записывать все разговоры.

И уж тем более ваш разговор может быть записан, когда вы сами звоните по телефону. Вопреки расхожему мнению, щелчки или эхо в трубке могут означать любые проблемы с сотовой связью, и вряд ли означают прослушку. Если ваш мобильник быстро разряжается и сильно нагревается – это чуть более вероятный, но также неоднозначный признак того, что вас отслеживают (существует миллион куда более вероятных тому объяснений).

Двухфакторная авторизация реально срабатывает на практике. Так, например, 3 мая хакеры пытались захватить рабочую почту и твиттер сотрудницы «Открытой России» Полины Немировской. «Пароли у меня украли, но у меня стояла двухфакторная верификация, и пароли им не сильно помогли. Как только мне пришла смска с кодом для входа в почту, я поняла, что что-то не так, почту отключила на какое-то время и сбросила пароль. С твиттером то же самое почти. Там есть функция входа без пароля, по коду из смс, и эти коды мне за день приходили 14 раз, пока я не отключила функцию входа по коду. Я думаю, что это какие-то хакеры-любители, ФСБ бы симку скопировала и мне смс отключила, как у Албурова», – рассказала The Insider Немировская. Албурову и Козловскому «двухфакторка» тоже могла бы помочь, тогда бы при взломе их Telegram пришлось бы не только отключать смс, но и как-то подбирать дополнительный пароль, заранее определенный хозяином аккаунта.

Свобода хранения информации

Получить доступ к смартфону можно также найдя уязвимость в операционной системе и заразив его вирусом, но эта задача крайне сложная. Спецслужбы также не имеют прямого и непосредственного доступа к «софту», хотя и предпринимают попытки получить (Apple до сих пор судится по этому поводу с властями). Так что, хранящуюся в телефоне информацию проще всего получить, физически завладев вашим телефоном.

По словам Дмитрия Динзе, адвоката Олега Сенцова и Петра Павленского, если сохранение конфиденциальности информации на смартфоне для вас приоритетно, неплохо приобрести аппарат и программное обеспечение, обеспечивающее блокировку/уничтожение информации в случае нескольких неправильных вводов пароля. Динзе рассказывает, что в одном из дел, которые он вел, у его клиента был такой смартфон, и следователь был крайне разочарован после попытки вскрыть его.

На смартфонах работают сервисы, хорошо зарекомендовавшие себя на «больших компьютерах»: TOR, защищенная почта Riseup. «Смартфон должен иметь последнюю версию операционной системы и установленных приложений, все приложения должны быть установлены исключительно из доверенных источников. Мессенджеры с открытым исходным кодом, использующие end-to-end шифрование и, по возможности, двухфакторную аутентификацию, достаточно безопасны при правильном использовании», – рассказывает Михаил Абрамов, специалист Отдела анализа защищенности компании «Информзащита».

Если к человеку есть достаточно серьезный интерес спецслужб, нельзя быть полностью уверенным в том, что специально под ваш смартфон не написана вредоносная программа, умеющая не выдавать себя и отправляющая различную информацию с вашего устройства. Но в российских реалиях, такое, видимо, редкость.

«Спецслужбам гораздо легче вашу квартиру, чем скайп или вайбер прослушать. Характерный пример – дело Никиты Тихонова и Евгении Хасис. В нем нет никакого перехвата трафика – при том, что квартира, в которой их задержали, даже на видео писалась. Оперативные мероприятия проводили сотрудники центрального аппарата ФСБ, а о деле директор ведомства отчитывался тогдашнему президенту Дмитрию Медведеву», – рассуждает Максим Солопов, криминальный репортер «Медиазоны».

В деле соратника Никиты Тихонова по Боевой организации русских националистов, Ильи Горячева очень много его переписки из скайпа, ICQ и почты. Но никто компьютер и аккаунты Горячева не ломал. Как рассказал The Insider адвокат Горячева Марк Фейгин, Горячев сам выдал пароли от своего компьютера сербской контрразведке – изначально он был задержан в этой стране и затем экстрадирован в Россию. Фейгин уверен, что в большинстве случаев в России правоохранители получают доступ к аккаунтам, изымая устройства, незапароленные и залогиненные на разных сервисах и в соцсетях.

В деле «Кировлеса» против Алексея Навального использовались фрагменты его вскрытой переписки – но они были приобщены к делу уже в ходе скандала вокруг взлома почты оппозиционера. И сам «хакер Хэлл» вряд ли был связан с СКР. Оксана Михалкина рассказывает, что, когда она защищала банкира Александра Гительсона, её почта не только была вскрыта, но и её письма использовалась следствием как обоснование необходимости содержания Гительсона в СИЗО (хотя де-юре доказательства, полученные таким путем суд учитывать не имеет права).

Иногда соцсети при сотрудничестве с властями заходят совсем далеко. Нагатинский районный суд Москвы на прошлой неделе приступил к рассмотрению уголовного дела против националиста Дмитрия Демушкина – за посты в соцсетях. Демушкин рассказал The Insider, что дело его вел Следственный комитет Москвы, а оперативной сопровождение обеспечивало ФСБ. Интернет-провайдеру Демушкина и администрации «ВКонтакте» ими был направлен запрос, и следствию был выдан доступ к его аккаунту «ВКонтакте» и его переписка по электронной почте. Оперативники назначали встречи соратникам Демушкина, используя его аккаунт «ВКонтакте» от его имени.

The Insider также попросил группу «Анонимный интернационал» ответить на пару вопросов, связанных с информационной безопасностью.

— Можно ли говорить, что какие-то модели смартфонов более уязвимы для вскрытия, какие-то менее?

— Да, многое зависит от модели и ПО на данной модели. Как правило наиболее уязвимо старое необновляемое ПО или новое еще «сырое».

— При вскрытиях вы чаще атакуете смартфоны, либо вам достаточно адреса электронной почты, аккаунта и т.п.?

— При физическом доступе к устройству снять с него информацию гораздо удобнее чем при удаленном доступе. Но получение физического доступа это уже больше оперативная работа, чем техническая.

— Как вы оцениваете: какие мессенджеры более уязвимы для вскрытия, какие — менее?

— Уязвимы все. Так как в любом случае мессенджером пользуется человек, а человеческий фактор никто не отменял. С технической точки зрения наименее уязвимы на наш взгляд это threema и telegram

— Всегда ли Ваши операции успешны? Были ли ситуации, когда Вы пытались вскрыть чью-то почту, а она оказывалась слишком хорошо защищена?

— Это обыденный рабочий момент. Так бывает чаще, чем когда «успешно». Не смотрите фильмы про «гениальных хакеров». Хорошо если «успешными» будут процентов двадцать.

— Вообще насколько затратна, длительна «среднестатистическая» операция по вскрытию чужой почты, аккаунта или смартфона? Кому в России стоит опасаться такого рода атак?

— От часа до полугода. Затраты понятие растяжимое. Но если бюджет позволяет, то можно попробовать различные способы, включая целые мероприятия по получению физического доступа к устройству. Всем тем, кому есть, что скрывать. Хотя, конечно, мало просто владеть инсайдерской информацией, необходимо уметь с ней работать. Есть распространенное выражение «Кто владеет информацией тот владеет миром». Мы бы его перефразировали – «Миром владеет тот, кто может работать с полученной информацией».

Игры, фоторедакторы с мордочками эльфов, калькуляторы калорий и онлайн-словари в смартфоне развлекают нас и облегчают жизнь. Но нашумевшая история с приложением Meitu , что далеко не все они безопасны. Эксперт компании Positive Technologies рассказал, как защитить смартфон от вредоносных приложений.

Николай Анисеня

Специалист отдела исследований безопасности мобильных приложений Positive Technologies

Трояны? Не, не слышал

На языке ИТ-специалистов вредоносное программное обеспечение (ПО), которое маскируется под безобидную программу, называется трояном. Такие приложения вынуждают пользователя самостоятельно их установить и выдавать необходимые привилегии.

Все трояны можно разделить на два вида. Первые используют уязвимости операционной системы или приложений, установленных на смартфоне. Вторые вынуждают пользователя разрешить какие-нибудь действия, например, доступ к одноразовым паролям из СМС-сообщений, камере, рабочему столу гаджета или другим приложениям.

В случае использования уязвимостей ОС заметить вредоносную активность довольно трудно. Так, программа, например, нацеленная на похищение денег через мобильный банкинг, даст о себе знать уже по факту списания средств со счета.

Защититься от вредоносных программ, которые вынуждают предоставить доступ к данным или разрешить выполнять мошеннические действия, тоже сложно. Такие вредоносы используют легальные техники, так что виноватым остается пользователь. Не читая условия установки приложения, он доверяет и разрешает бесплатному словарю или игре читать его сообщения, совершать платные звонки, а иногда полностью управлять устройством.

Правило 1: устанавливайте приложения только из официальных маркетов

Большинство вредоносных приложений попадают в смартфон из неофициальных маркетов приложений или по ссылкам с сайтов с нелицензионным контентом. Google Play и App Store проводят проверку приложений, прежде чем они станут доступны пользователям. Подцепить заразу там намного сложнее. Если вы все-таки решились скачать что-то с неизвестного ресурса, при установке поставьте галочку «Установка приложений из ненадежных источников».

Правило 2: внимательно читайте, какие доступы, разрешения и функции требует включить установленное приложение

Часто мошенники встраивают вредоносное ПО в клоны популярных платных приложений, завлекая жертву бесплатной музыкой или играми. Попадая в гаджет, вирус эксплуатирует уязвимости старых версий ОС с целью получения повышенного контроля над устройством жертвы. Некоторые могут, например, вынудить жертву включить особые функции разработчика - отладку по USB. Так установочное ПО с компьютера сможет получить беспрепятственный доступ к установке приложений на смартфон с любыми привилегиями.

Правило 3: регулярно обновляйте свои приложения

Исследования показали, что 99% атак направлены на уязвимости, для которых разработчики выпускали исправления. Выпуская новый релиз, они всегда официально уведомляют об исправленных недочетах и лазейках. Мошенники внимательно изучают их и направляют свои зловреды на тех пользователей, которые не успели обновить старую версию. Поэтому своевременное обновление и ОС устройства, и установленных приложений может снизить риск атак.

Правило 4: забудьте про root-права

Практически все пользователи Android могут получить полный контроль над системой своего гаджета. Root-праваRoot - это учетная запись главного администратора. Если мошенник получает доступ к этому профилю, то у него появляется целый ряд возможностей, недоступных в обычном режиме работы. предоставляют возможность изменять системные папки и файлы: к примеру, позволяют удалять стандартные приложения (календарь, карты и различные вшитые сервисы), изменять и удалять темы, ярлыки, оптимизировать работу своего устройства, разогнать процессор. Существует , которые устанавливают полный контроль над системой, но они также полностью разрушают безопасность на устройстве.

Не используйте устройство на ОС Android с root-правами для совершения банковских операций. Если вредоносное ПО эти root-права получит, то оно сможет встраиваться во все системные процессы: читать СМС с одноразовым паролем от банка, удалять СМС-уведомления о списании средств, иметь доступ к данным банковских карт и даже прослушивать разговоры. При этом все эти активности будут скрыты от пользователя.

Правило 5: не стоит давать приложению странные разрешения

Если приложению необходимо воспользоваться, например, доступом к списку контактов, то при установке оно обязательно запросит это разрешение. Начиная с ОС Android 6 некоторые разрешения невозможно выдать при установке - они предоставляются только после их запуска. Так, если приложению понадобится доступ к чтению СМС, местоположению или другой конфиденциальной информации, пользователь сможет ему отказать. Чтобы обезопасить себя, нужно очень внимательно относиться к таким предложениям.

Самые популярные разрешения, которые запрашивают вредоносы:

Чтение СМС . Многие приложения, в том числе банковские, используют СМС-сообщения для доставки одноразового пароля. Заполучив доступ к СМС, злоумышленник сможет авторизоваться в вашем аккаунте и подтверждать свои операции.

Отправка СМС и совершение звонков . Приложение может имитировать звонки и отправку СМС на платные номера, воруя деньги со счета телефона.

«Наложение поверх других окон» в ОС Android . Такое разрешение может быть использовано для искажения практически любой информации, отображаемой на экране смартфона. Накладывая картинку окон, вредоносная программа может обманом заставить пользователя, например, подтвердить денежный перевод. Разные окна могут отображаться поверх банковского приложения, чтобы пользователь нажимал в определенные части экрана (это называется tapjacking), и в итоге отправил деньги на чужой счет. Также ПО может поменять сумму перевода, прикрыв в ней пару нулей: пользователь будет думать, что переводит 1 рубль, а на самом деле - 100.

Администратор устройства . Такое разрешение предоставит вредоносу практически полный контроль над устройством. Он сможет не только украсть деньги, проникнуть в любую учетную запись, но и защитить себя от удаления.

Нелишней будет регулярная ревизия приложений и выданных им разрешений. Начиная с ОС Android 6 доступ к разрешениям можно отключать. Сделать это можно по схеме: Настройки -> Приложения -> Разрешения приложений/Наложение поверх других окон.

В iOS не бывает вирусов?

Пользователям iOS нарваться на троян гораздо сложнее. Но и тут у вредоносов есть способы проникнуть в устройство. Apple разрешает установку внутренних корпоративных приложений в обход App Store при условии, что пользователь доверяет разработчику. Поэтому злоумышленники маскируют вирусы под безобидные приложения, часто - бесплатные клоны платных программ. Не стоит устанавливать такие, особенно если вы совершаете денежные операции со своего устройства.

После того как вредонос попадет на устройство, он может использовать уязвимости в iOS, чтобы отключить механизмы защиты (выполнить так называемый jailbreak) и получить полный контроль над устройством. Если же пользователь отключает защитные механизмы самостоятельно, то он существенно облегчает мошенникам жизнь.

Вредоносная программа также может быть нацелена и на уязвимости не в самой iOS, а в приложениях - например, небезопасное хранение данных в вашем мобильном банкинге. Как и в случае с Android, от таких атак поможет своевременное обновление ПО.

Итог: что стоит запомнить

К каждому приложению следует относиться так, будто у него есть неограниченный доступ к устройству. Приложение может выглядеть безобидно, но действовать скрытно либо обманным путем заставлять выполнять нежелательные действия. Стоит доверять тем разработчикам, которые размещают свои продукты в официальных маркетах (Google play, App Store). Необходимо обращать внимание, есть ли среди списка разработчика подозрительные приложения типа «Root-права», «ускоритель Wi-Fi», «экономия заряда батареи». Положительные отзывы и количество скачиваний также могут стать дополнительными критериями в пользу выбора разработчика.