Yahoo просит главу Национальной разведки США о большей прозрачности

Yahoo просит главу Национальной разведки США о большей прозрачности

Yahoo просит главу Национальной разведки США о большей прозрачности

В начале октября 2016 года компания Yahoo оказалась в центре скандала, который не утихает до сих пор. Тогда журналисты Reuters, со ссылкой на собственные источники, сообщили, что Yahoo с 2015 года шпионила за своими пользователями.

По данным агентства, еще в начале 2015 года спецслужбы США приказали руководству компании создать инструмент, при помощи которого можно было бы проверять все входящие письма на предмет «последовательностей символов, которыми пользуются шпионы». Затем подозрительные сообщения предписывалось сохранять для дальнейшего удаленного изучения. Reuters пишет, что соответственное предписание было получено компанией от ФБР или АНБ, и руководство компании предпочло безропотно его исполнить.

После первоначального сообщения эта история продолжила обрастать теориями и подробностями. В частности, издание Vice Motherboard сообщало, что всю почту пользователей проверял не просто некий сканер, но спецслужбы внедрили на серверы Yahoo мощный руткит.

Но пока СМИ и пользователи упражнялись в построении все более жутких теорий заговора, Yahoo почти не защищалась и хранила практически полное молчание. Лишь в самом начале скандала представители Yahoo заявили, что компания «не нарушила никаких законов», а также кратко сообщили, что почтового сканера, описанного Reuters, не существует.

19 октября 2016 года главный юрисконсульт Yahoo Рон Белл (Ron Bell) опубликовал в интернете письмо (PDF), которое компания, в его лице, направила лично Джеймсу Клэпперу (James Clapper), главе Национальной разведки США.

В письме Yahoo просит американское правительство «внести ясность» и рассказать гражданам о том, какие именно приказы отдавали интернет-компаниями представители органов госбезопасности. Белл подчеркивает, что хотя письмо в основном сконцентрировано вокруг Yahoo и обвинений, которые в последнее время выдвигают против компании, на самом деле, обращение Yahoo имеет более широкий смысл. По сути, это просьба к властям работать прозрачнее и предоставлять информацию гражданами и пользователям, особенно если их личные данные могли быть частью неких правительственных запросов, пишет xakep.ru.

«Ваше ведомство находится в идеальном положении, подходящем для прояснения данного вопроса и удовлетворения общественного интереса. Таким образом, мы призываем ваше ведомство рассмотреть следующие шаги для прояснения ситуации: подтвердите, существовало ли предписание, описываемое средствами массовой информации; снимите гриф секретности с данного предписания или его части, если таковое существует; предоставьте достаточно подробный публичный комментарий, проливающий свет на все предполагаемые факты и обстоятельства этого дела», — гласит документ.

Стоит отметить, что ранее письмо похожего содержания Джеймсу Клэпперу направили и члены Палаты представителей, которые так же очень хотят узнать, что на самом деле произошло между компанией Yahoo и спецслужбами, и на самом ли деле компания читала всю корреспонденцию миллионов пользователей.

Что на самом деле видят провайдер, VPN-сервис и сайт при веб-сёрфинге юзера

Пётр Васильченко на Хабре разобрал, какие данные о пользователе получают сайт, провайдер, DNS-резолвер и VPN-сервис. Главный вывод прост: HTTPS защищает содержимое трафика, но плащ-невидимку не выдаёт. При корректно настроенном HTTPS провайдер не может прочитать адрес конкретной статьи, поисковый запрос, пароль или текст сообщения.

Зато ему доступны IP-адрес назначения, время и продолжительность соединения, объём трафика, а при определённых условиях — DNS-запросы и доменное имя из SNI.

Как объясняет исследователь, технологии защищённого DNS и ECH скрывают часть этих сведений, но метаданные никуда не испаряются.

Сам сайт знает гораздо больше. Он получает полный путь страницы, параметры URL, разрешённые браузером cookies, данные авторизации и сведения, которые пользователь вводит добровольно.

 

Скрипты также могут собирать характеристики устройства и формировать цифровой отпечаток браузера. Не паспорт, конечно, но для вероятностного опознания посетителя сгодится.

VPN меняет маршрут и прячет домашний IP от сайта. Провайдер после его включения видит соединение с VPN-сервером, зато новый посредник получает IP пользователя и метаданные трафика.

 

Cookies, аккаунты и браузерный отпечаток при этом остаются на месте. Можно сменить IP хоть десять раз, но вход в привычную учётную запись мгновенно заканчивает игру в шпиона.

 

Режим инкогнито тоже не превращает браузер в секретный бункер. Он отделяет временную сессию и удаляет её данные после закрытия окон, однако сайты продолжают видеть запросы, а провайдер — сетевую активность.

HTTPS скрывает содержимое, защищённый DNS — запросы доменных имён, VPN — домашний IP, а инкогнито не сохраняет локальную историю сессии. Поэтому сначала стоит решить, какие данные и от кого нужно спрятать.

RSS: Новости на портале Anti-Malware.ru