Arcane Lore

Да, звучи малко невероятно, може би дори твърде хубаво, за да е истина. Но все пак си е вярно — ICQ (тоест AOL, значи не само ICQ, а и AIM може би в скоро време) вече изпробват джабер-шлюз към мрежата си. Това значи, че най-обикновен джабер-потребител ще може да се свързва с “черната кутия”, каквато до днес беше icq. При това да се свързва пряко, без посредничеството на джабер-транспортите, с които досега ставаше връзката с целия куп собственически или остарели протоколи и други измишльотини.

Аз се радвам, защото имам един стар айсикю-номер, от който дълго време не мога да се отърва, колкото и да се опитвам, колкото и да обяснявам на познатите ми защо трябва да се ползва XMPP. В най-“добрите” дни на това отказване свивах списъка с айсикю-контакти до двама-трима, които просто не мога да изтрия, защото ползват само айсикю. Свързвах се само през транспорти (преди на jabber.belnet.be, а от известно време на jabber.minus273.org, където nikky поддържа страхотно услугите) и то само когато наистина имах нужда от айсикю, тоест за връзка с тези няколко човека. И въпреки това е неудобно. А многопротоколен клиент не ща да ползвам — аз се радвам на напредъка на XMPP, чета доста за джабер-разработките и плановете за бъдещето, а и най-малкото това е протоколът за моментни съобщения, който е стандартизиран. Ако ползвам моментни съобщения днес, то е най-вече заради джабер. Затова ми допада как първо Google с техния GTalk/GMail (вредно недоразумение, между другото, но все едно;), после с налагането им на библиотеката Jingle, а сега и AOL с тази интеграция просто “влизат в правия път”. ;)

Новината е сериозна, но докато пиша това, клиентът ми още не се е свързал. Явно наистина сървърът xmpp.oscar.aol.com е претоварен от нетърпеливи ентусиасти в момента. Грешката е заради изтичане на време, не някаква друго и това ме кара да мисля, че натовареността е приемливо обяснение.

Накратко, за да се свържете с icq-сметката си през джабер, ползвайте JID от вида icqnumber [at] aol [dot] com към сървъра xmpp.oscar.aol.com със съответната парола на icq-сметката и на стандартния порт 5222. Трябва да се ползва TLS, но то повечето съвременни клиенти се свързват по подразбиране през TLS. Доколкото разбирам, би трябвало да работи и свързването с AIM — пак на същия сървър, но с JID aimusername [at] aol [dot] com. Няма да пробвам, макар да имам някакъв “вегетиращ” акаунт — поне от другите затворени протоколи успях да се отърва ;)

Ето го и схематично:

 
1. JID — icquin [at] aol [dot] com или aolusername [at] aol [dot] com
2. Host: xmpp.oscar.aol.com:5222
3. разрешаване на SASL PLAIN
4. включване на StartTLS
  

Аз още не съм се свързал, но то си е алфа-тестване и явно наистина е натоварено. А и честно казано, нямам никакво намерение да прехвърлям общуването си към айсикю, пък било то и през джабер-шлюз. Ако този вид свързване проработи, ще го ползвам в крайни случаи, при връзка с айсикю-списъка ми. Поне няма да го има разкачването на някои от транспортите… а, и също редовните проблеми с кодирането на кирилицата при писане с icq-номер.

Иначе засега мрежата на ICQ/AOL си остава затворена, защото обратната връзка май е невъзможна. Тоест не може някой с айсикю да ме добави мен с моето JabberID. GTalk/GMail се присъединиха към xmpp-федерацията и връзката е двупосочна, но дори и така да стане със сървърите на ICQ след време… пак бих имал резерви при общуването в прав текст нешифрирано с хора към такива централизирани сървъри. Сигурността при общуването през джабер винаги минава през една “тясна” част и това е паметта на сървъра. А “големите” в бранша имат навика да “помнят” всичко и такова намесване на “1984”-усещане е неприятна тръпка. Освен ако не се ползва шифриране от край до край, винаги текстът се дешифрира в сървъра. Тъй че макар и за момент, комуникацията може да е достъпна в явен вид за някой сдобил се с root-достъп до сървъра, дори и да минава през шифриране между сървърите и към клиентите през TLS. Да, вярно — това изобщо не е болка за умиране, особено за такива неща като чат и изобщо щом не става дума за парични преводи, а за дреболии като разговори, хич не е толкова важно. Вярно, някой може да кракне както голям, така и малък сървър, но лично аз имам повече спокойствие за поверителността на данните си, ако са по-далечко от “големите” сървъри.

И все пак всичко това е добра новина. XMPP е правилният начин, защото е описан подробно, публикуван е и е стандартизиран. Освен основната част на протокола има и огромен брой допълнения (“предложения за подобряване”, JEP). Които описват практически всичко, за което днес можем да си помислим в света на моментните съобщения. И с развитието на идеите се пишат нови JEP-ове и клиентите с отворен код ги имплементират бързо.

Тъй че добрата новина е за нас, ползващите джабер. За тези с icq сигурно няма да има разлика, а и едва ли ще има значение. ;)

Звучи някак тежко, нали - като съдбовен въпрос. Е, може в някои случаи отговорът му наистина да е определящ, особено ако си имате работа с по-нахакани или по-откачени охранители, дето могат да ви набият и потрошат съдбовно.

Но краткият и правилен отговор е “Снимайте охраната ако искате - ваша си работа! И не се връзвайте на заяжданията им с елементи на псевдо-полицейско сплашване.”

Много хора спекулират с правото на неприкосновеност на личния живот. Забравят, че то се отнася точно до личния живот, който предполага някакъв вид усамотяване. Ако издебнеш някого и го снимаш в жилището му например ще нарушиш правата му определено - спор няма. Но как може някои хора да настояват за неприкосновеност на образа си, когато става дума за снимки на обществени места? Това не го разбирам.

Когато си на обществено място, където всеки те вижда (тъй де, може, има възможност да те види - едва ли си толкова привлекателен, че всички да са вперили постоянно поглед в теб) не можеш да имаш никакви претенции кой какви снимки ти прави. Аз те виждам, нали? Видях какво направи. Имам право - значи имам право и да те снимам.

Изключение може би има само за места и събития, които са по някакъв начин със запазени права. Понеже фотографирането позволява разпространение и издаване на публикации, попада все пак в областта на законите за авторско (издателско) право.

Спорен момент може да е снимка в близък план, при която фонът е много малко и е силно дефокусиран. Но всичко, което включва по-общ план в кадъра е моя снимка на обществено място и единственият критерий е художественият ми вкус. А, да - и културата на сниманите. Ако някой не иска да го виждат как си бърка в носа, най-добре да не го прави на публични места, нали? :)

Но ако нямаш зад гърба си за фон сграда с някакви запазени права (има такива места по света, не са много но ги има - разни мега-забележителности със специални осветления най-често) или не държиш точно срещу фотоапарата ми страница от най-новата ти книга или нещо от този род - какви претенции към мен като фотограф изобщо можеш да имаш?

Този въпрос не е към читателя, по-скоро е реторично питане към хората които не четат тук - поне се надявам да намират ценните си за четене неща другаде. ;)

——

Вчера се събрахме за фоторазходка в София. В началото се видяхме в Южния парк с yovko, dimodi и emicha. После аз и emicha продължихме снимането с peterst. За самото снимане ще пиша отделно, ще кача и снимки. Цял ден снимане в неделята - голям кеф, а накрая на мен ми се снимаше още, исках да поизчакам да слезе още надолу слънцето и да снимам вечерна София със златните светлини на летния залез след морния пек на деня.

Но за друго ми е думата, друго ме тормози от вчера. Точно преди да направя последните си кадри и да запълня втората карта, някакви охранители ни развалиха хубавия ден.

Минахме покрай НДК на два пъти и първия път снимахме някакво състезание по плажен волейбол. Заградили пред билетния център едно каре, сложили трибуни вътре, насипали пясък долу и гонят една топка. Лошо няма - поне имаше доста ценни кадри и беше готино да ги търсим. Аз мислех, че ще ни спрат и няма да ни разрешат, но се качихме, влязохме вътре и си снимахме без да ни закача никой. Както си трябва.

После ходихме другаде и накрая минахме обратно пак през НДК. Не бях видял никъде около волея охрана - може да не съм гледал, макар когато съм с фотоапарат да имам навика да следя за всякакви досадници и да ги забелязвам отдалеч.

Имаше някакви в светлосини униформи, седнали на отсрещната страна, на пейка на сянка пред информационния център. Минахме на десетина метра пред тях и те станали и вървели зад нас, докато ни настигнаха около средата, при “слънцето” на НДК.

 
 - Вие какво снимате, за какво снимате, че искаме да ви питаме? - те
 - А, нищо - един от нас
 - Любители сме - друг от нас
 - Снимаме за нас си - трети от нас
 - Ами щото ние мислим, че ни снимахте нас, да ви питаме защо ни снимате - те
 - Кои, вас сме снимали?!? - един от нас
 - Не сме ви снимали - друг от нас
 - Че за какво ни е да ви снимаме - трети от нас
  

На табелките им пише всякакви надписи, в различни шрифтове и един с по-малък шрифт и в червено, гласящ “Национална агенция за сигурност”. Чак накрая видях, че стърчащите отстрани кобури май бяха със спрейове, не с пистолети, както изглеждаха. Всъщност са от най-обикновена охранителна фирма - яки момчета, които определено знаят как да те ступат, но пак толкова определено не познават законите. Надписът “Национална агенция за сигурност” е сложен нарочно, за да стряска по-стряскащите се граждани. Всъщност това е описателно, нещо като “мото” на фирмата - ясно като бял ден е, че не става дума за никаква държавна агенция.

Ако се разровите в Интернет ще видите, че българските фирми за охрана масово съдържат в описанията си “Агенция за сигурност” или “Национална агенция за сигурност”. Лошо няма, само дето навява неправилни асоциации у гражданите. Има разлика между държавна агенция по сигурността и частна фирма за охрана, която има офиси в цялата страна и затова се нарича ”национална”.

 
 - Ами ние искаме да видим дали не сте ни снимали - те
 - Не сме ви снимали - един от нас
 - Не сме сигурни в това - те
 - Вие там ли седяхте? А, ние се оглеждахме дали да не седнем наблизо на сянка - друг от нас
 - Значи сте гледали през апарата къде да седнете, така ли, а? - те
 - Ако искате, ще прегледаме снимките да видите, че ви няма никъде - един от нас
 - Може да ги прегледаме, как така ще ни снимате - те
 - Добре, обаче ако ви няма на снимките какво правим тогава? - един от нас
 - Какво да правим? - леко разперване на ръце и наежване - Ние не ви казваме нищо, дори няма да ви вземем лентите, защо, какво искате да кажете? - апаратите са цифрови, яко бяха лентови нямаше изобщо как да “прегледат” снимките на място
 - Не, аз ви казвам, че това са моите снимки и вие искате да ги видите. Защото смятате, че присъствате на тях. Аз ви питам ако ви няма на снимките какво правим тогава? - един от нас
 - Не, няма да ви взимаме лентите, то ако сте снимали нещо, то ще си проличи, ще видим тогава - те
 - Кое ще си проличи, къде?… - ние
 - Щом не сте ни снимали - добре, ама ако сте ни снимали, то ще се разбере, ще се разбере - те
  

Разделихме се без да си правим повече проблеми. Нямам представа тази охрана дали е била на мероприятието по волейбола наблизо и дали ни се заяждаха така, защото мислеха че сме ги снимали как отмарят накуп на пейка с кафе в работно време. Всъщност няма значение - живи и здрави да са момчетата.

Ние наистина не сме ги снимали. Аз лично за мен сега съжалявам. Ако ги бях снимал, щях да публикувам снимката - дори и само като напомняне, че на публични места всеки има формално право да прави кадри отдалеч или пък в общ план. Особено на лица, които изпълняват някакви служебни задължения. Особено ако тези служебни задължения са свързани с обществената безопасност. Става дума все за формално право - има и морален аспект, но те подходиха властово, а не с човешкото “момчета, ако сте ни снимали изтрийте ни, моля, защото лично на нас не ни е приятно и ще сме ви благодарни да не ни показвате на други хора”.

Но не сме ги снимали. Снимаме по-интересни неща. Ако не ни се бяха обадили, аз поне изобщо нямаше да ги забележа, и нямаше да направя някаква връзка между тях и плажния волейбол наблизо.

——

Следващите неща преди няколко месеца ни ги каза на друга фоторазходка униформен полицай, когато се усъмни дали не сме снимали едно посолство. Не преувеличавам - нарочно питахме момчето за подробности и това е смисълът на думите му, преразказан по памет, разбира се:

Никой няма право да взима, дори да докосва фотоапарата ви без ваше съгласие. Фотоапаратът е лично ваша частна собственост и да ви го вземат от ръцете е все едно да ви бръкнат в джоба, за да видят дали в портфейла си имате стотинки например. Дори и да не ви го крадат, дори и да не трият снимките ви, а само да ги разгледат - пак е същото, все едно само да видят колко пари имате, без да ви ги крадат.

Апаратът е ваш и дори полицай не може да ви го вземе. Нещо повече, дори полицай не може да ви накара да изтриете снимки. (Разбира се, изключение са случаите, когато има престъпление, специална акция или посещение на държавно ниво - всякакви такива подобни неща, които автоматично ескалират правомощията на полицията за съответния район локално.)

Полицай може да ви вземе личните данни, за да докладва че сте снимали някакъв значим и охраняван обект. Ако е сграда - посолство или резиденция на посланик. Изключение прави в момента само американското посолство, то е със специален статут и там наоколо е категорично забранено да се снима и наистина могат да ви вземат апарата, защото сте в нарушение и той е инструментът за него. Но всички други места и сгради у нас могат да се снимат.

Ако частна охрана ви се изрепчи и иска да ви взима личните данни или да ви разпитва насила или да ви взима фотоапарата, правилното действие е веднага да се обадите и да извикате полиция. Най-често частните охранители прекаляват, защото или не познават закона, или са бивши полицаи и трудно свикват все още с частната практика, при която имат много по-малко права по закон.

При всички случаи достъп до личните ви данни и до преглед на имуществото ви има само и единствено служител на полицията. И то след като се легитимира.

Неприкосновеността на личните данни е нещо толкова подразбиращо се в днешния свят, толкова близко до ума, че все по-често хората започват да забравят какво означава тази неприкосновеност. Все по-често чуваме “ами нека ме наблюдават, аз нищо лошо не правя” или “да ми вземат данните, аз нямам тайни”. Все повече хора, водени от неразбиране или от някакъв особен страх от системата, с готовност предоставят данните си, като дори се надяват това предоставяне, тази излишна откритост да е гаранция за тях пред властите, че не вършат нищо нередно. “Ето, вижте ме, аз нищо лошо не правя! Ако правех, щях да се крия, нали? Е, аз не се крия, следователно съм чист…” Много хора, когато бъдат помолени от системния администратор да въведат паролата си, вместо това те с готовност му я издиктуват. “Аз бавно пиша, напиши я ти - тя е лесна, от 1 до 5”. Или “Паролата ми е 123sex, исках по-лесна, ама трябвало и букви, и цифри, затова е толкова неудобна”. Ужас и безумие…
Тази заблуда е така умело насадена в обществото и е достатъчно гъвкава, тъй че както позволява прекаляване с властта, благодарение на доброволното преотстъпване на лични данни и допускане в личното пространство от страна на самите граждани, така и в същото време може да бъде пропагандирана в медиите личната свобода и отговорност на всеки гражданин. Какво се получава - хем сме свободни, имаме отговорности, имаме личен живот и лични данни, които по подразбиране не са за чужди очи, хем ако защитаваме личното си пространство, значи “има нещо” - иначе защо бихме крили данните?
Това звучи нормално на доста хора, но всъщност е дълбоко извратено. Доста хора го приемат, сигурно защото просто нямат много данни в Интернет - понеже най-често става дума за защита и предоставяне на лични електронни данни. Те хората нямат с какво сирене да си купят, та камо ли да вземат да се тревожат за свободата и отговорността в Интернет.
И все пак сравнително ограниченото ползване на Интернет у нас не може да е оправдание да не защитавате електронните си данни. Представете си, че някой ви каже “защо не ми даваш ключ от апартамента си, да не би да криеш нещо в него?” или “защо отиваш сам в тоалетната, вършиш нещо нередно сигурно?”. Или пък си представете, че се приеме за нещо нормално да казвате на всеки pin-кода на дебитната си карта. Неприятно, нали? Не вършите нищо нередно, нямате откраднати телевизори вкъщи и откраднати пари в картата си, но все пак не раздавате ключове и кодове на всеки, който се усъмни, нали?

Как да защитим данните на компютъра си?
Първо - инсталирайте си GNU/Linux! Няма никакво оправдание да не го правите - всички ехидни забележки на уиндоус-феновете от типа на “Линукс е мно-ого назад още”, “трудно е с Линукс, за разлика от уиндоус, където всичко е лесно” и други подобни просто вече не вървят! За GNU/Linux, *BSD и другите подобни свободни системи има толкова много и качествен софтуер вече, толкова бързо се развива той и толкова голяма част от него е преведен на български (при това много добре), че наистина ви бяга лесното оправдание. Дори измъкването с “навика” и с трудното “свикване” с новата среда не е актуално - има такива дистрибуции, които са ориентирани изцяло към потребителя на графична среда и се инсталират почти автоматично. Дори в общия случай разпознават хардуера по-добре от уиндоуса ви и нямат нужда от допълнителни приставки от сайтовете на производителите. Вземете си Ubuntu, Knoppix или българския Tilix и престанете да се оправдавате с несъществуващи трудности! Уиндоус-“специалистите” ви лъжат - наистина да се работи с GNU/Linux е лесно, удобно, приятно и сигурно.
След като вече използвате правилния вид софтуер, можете да помислите по-мащабно за защитаване на данните си. Практически единственият начин е да използвате шифриране на данните. Терминът на английски е ‘encryption” и на български често се среща транскрибиран като “криптиране”. Без да съм специалист в областта (нека някой такъв ме поправи, ако правя грешка в момента;), смятам по-правилно на български да се казва “шифриране”. Думата “криптиране” идва най-общо от “скриване”, а когато говорим за “encryption”, имаме предвид такъв вид скриване на информацията, при който се използва ключ, шифър. Данните не са просто трудни за откриване, те имат нужда от уникален шифър, за да бъдат достъпени. Затова ще използваме думата “шифриране” за превод на английския термин “encryption”. (Още веднъж - ако някой специалист по език или по информатика има различно обяснение, нека го сподели).

Как най-удобно се шифрират данните?
Ще говорим с примери. Най-често и най-лесно ще шифрирате данните си по три начина.

Първият начин е да шифрирате всеки отделен файл с GnuPG (свободният аналог на програмата PGP и имплементация на стандарта OpenPGP), най-често през някой от графичните инструменти за работа с него. Неудобството на този метод е, че всеки отделен файл трябва да го разшифрирате преди употреба. И съответно трябва да го запишете другаде нешифриран, за да могат програмите ви да работят с него. Често остава винаги притеснението “изтрих ли разшифрирания файл с паролите ми, като тръгвах от вкъщи?”. Работата с така шифрираните данни не е прозрачна за програмите ви. Трябва да се грижите допълнително за сигурността на разшифрираните данни. Макар да има някои програми, които сами се грижат да изтриват временните разшифрирани данни, това е компромисно решение.
Шифрирането на отделни файлове е полезно и удобно в случаите, когато искате да направите архив и ще достъпвате данните си рядко. Тогава леко затрудненото им използване се превръща в предимство за сигурността им.

Вторият начин е да шифрирате цяло устройство с DM-Crypt. Така достъпвате данните си като отделно устройство, което може да е логическо и да представлява физически само един файл, но може и да е отделен дял на диска или отделен диск. Удобството е по-голямата прозрачност за програмите - веднъж разшифрирано, устройството може да се използва от всяка програма в системата ви все едно е най-нормално друго устройство за съхранение на данни.
Неудобството на този метод е, че се налага да пренастроите Linux-ядрото си за работа с него. Ако поддръжката на RAID (CONFIG_MD), Device mapper (CONFIG_BLK_DEV_MD), Crypt target (CONFIG_DM_CRYPT), AES (CONFIG_CRYPTO_AES) и Loopback device (CONFIG_BLK_DEV_LOOP) не е включена, няма да можете да използвате DM-Crypt. В повечето съвременни дистрибуции ядрата Линукс се пакетират с включени почти всички възможни настройки, така че много вероятно е всичко да е въпрос само на включване на съответните модули на ядрото.

# modprobe dm-crypt
Тази команда би трябвало да зареди всичко нужно, стига то да е било пакетирано в модулите. Ако нямате някои от нужните модули, ще трябва да пренастроите и прекомпилирате ядрото си, като включите описаните по-горе настройки.

След това ви трябват програмите cryptsetup и PAM-библиотеката libpam-mount. Възможно е вече да ги имате на системата си, инсталирането им е лесно и е описано в сайтовете им. Ако сте с базирана на Дебиан дистрибуция, командата ‘apt-get install cryptsetup libpam-mount’ ще ги инсталира. С cryptsetup създавате шифрираното устройство, а с libpam-mount можете така да настроите системата си, че потребителското ви име и парола да отключва и монтира въпросното устройство като ваша домашна директория. Така никой, дори и root няма да има достъп до личната ви домашна директория, защото тя ще е шифрирана.
DM-Crypt е много удобен начин за шифриране на данните, но има още един, който функционално е подобен, но е по-удобен, защото е преносим между различни системи, различни компютри, с различни ядра Линукс.

Третият и най-преносим и прозрачен за програмите начин е да шифрирате отделни директории с EncFS. EncFS използва модула към ядрото на FUSE (Filesystem in USErspace) за да монтира шифрирани директории все едно са друго устройство, както се монтират например мрежови устройства (като споделени директории от Уиндоус и Samba) или локални дискови устройства, записвачки, флопита, usb-памети. Удобството на FUSE е в това, че нямате нужда от отделен модул за всяко ново устройство - ако си поддържа от общия fuse-модул, монтирането е възможно. В повечето дистрибуции FUSE е включено по подразбиране:

# modprobe fuse
Това ще зареди модула, ако вече не е зареден. След това трябва да инсталирате пакетите encfs, libpam-encfs и gmailfs. Отново, в Дебиан това става с командата ‘apt-get install encfs libpam-encfs gmailfs’. Първите два пакета служат за работата с EncFS, а третият ще разгледаме накрая. Създавате нова шифрирана директория с командата:

$ encfs ~/.crypt ~/decrypted
Изберете настройката “p” за режим “параноя” с най-“затегнатите” подразбиращи се настройки. Това ще създаде шифрирана директория ~/.crypt и ще я монтира разшифрирана в ~/decrypted. В домашната си директория ще имате една скрита директория ~/.crypt, която ще е шифрирана и съдържанието в нея ще е това на директорията ~/decrypted. Когато създавате, променяте или копирате файл в ~/decrypted, той автоматично ще се шифрира и записва в ~/.crypt. Видимото, разшифрирано съдържание ще е в ~/decrypted само след монтиране с:

$ encfs ~/.crypt ~/decrypted
След като вече съществуват тези директории, ще бъдете попитани само за паролата, която сте задали при създаването им. И след това данните ще се монтират във видимата директория в четим вид. Ако сте задали “p” за най-“затегнатия” режим, освен по-високото шифриране, също така имената на директориите и файловете в шифрирания вариант ще бъдат разбъркани до неузнаваемост. Дължината на имената им и числата на големината им - също. Никой, дори root на машината или крадецът, добрал се до диска ви, няма да може да разбере дали имате нещо ценно в тази директория или има наистина ненужни и безсмислени данни. Каквито и да са, данните са си ваши и са защитени.
Когато искате да размонтирате директорията, защото сте приключили с работата по защитените файлове или просто искате да оставите компютъра на друг човек за час-два, изпълнете командата:

$ fusermount -u ~/decrypted
Това ще размонтира директорията, видимите данни ще изчезнат и ще останат само физически записаните като шифрирани файлове и директории данни в ~/.crypt. Всички промени, които сте правили по данните докато са били видими, ще се запазят - всъщност всички те се запазват в оригиналната директория още в момента на записването им. Видимата директория съществува само логически, на харддиска на компютъра съществува физически само шифрираната информация. Затова ако натиснете бутон с асоциирана команда ‘fusermount -u ~/decrypted’, веднага данните ще станат недостъпни. Също така при рестартиране на машината ще трябва да въведете паролата за директорията и да я монтирате с encfs, иначе данните са си недостъпни. Ако решите да изтриете бързо данните, може да го направите, като изтриете ~/.crypt. Все пак внимавайте и не го правете прибързано - това са личните ви данни :)

Шифриране на цял потребителски профил
В така създадената с EncFS директория можете да преместите всичко, което решите от потребителските си файлове. Офисни и други документи, които са само за вашите очи, файлове с пароли и други чувствителни данни и всичко, което прецените, че трябва да бъде защитено. Но можете да отидете още по-напред, като шифрирате цялата си домашна директория. Освен всички лични документи, изходни файлове от най-различни обработващи програми, там се намират и конфигурационните ви файлове. Настройките в скритите ви файлове (тези с точка в началото, те често не се виждат при подразбиращия се преглед) могат да бъдат много ценни за разбиващия системата ви и търсещия информация за вас. Там се записват, често в явен вид, имена и пароли в настройките на програми, различни специални настройки, също така и история на командите, които сте изпълнявали (понякога в самия ред на командата може да е добавена и парола) и т.н. Казано накратко - не само офисните ви документи съдържат ценна за претърсващия директориите ви информация. В много от скритите файлове с настройки в домашната ви директория има ценни данни.
Можете да създадете шифрирано устройство с DM-Crypt или шифрирана директория с EncFS и след това със съответния модул за PAM да настроите системата си така, че при влизането ви като потребител шифрираното устройство или директория да се разшифрира и да се монтира на мястото на домашната ви директория. Така абсолютно всичко, което правите на личния си компютър, ще бъде лично ваше и никой няма да може да следи действията ви. В случая с EncFS дори и администраторът (root) на системата ще вижда шифрираните данни в монтираната директория, защото монтирането и изцяло с правата на съответния потребител, в случая - с вашите и само вашите права. Само вие виждате собствената си домашна директория, независимо дали е монтирана или не.
Ето примерни описанния за настройка на PAM-модулите за EncFS и за DM-Crypt (на френски) и DM-Crypt с LUKS (Linux Unified Key Setup, считан от мнозина за бъдещия стандарт за шифриране на дискове под GNU/Linux).

Отдалечено монтиране на шифрирани данни в GMail
Освен всичко това можете да настроите системата си така, че шифрираната директория с EncFS да е не локална, а отдалечена, мрежова директория. Това може да е предварително монтиран споделен ресурс от друг компютър в мрежата, но много по-сигурно, много по-добре е да е независим и наистина отдалечен ресурс. Такъв ресурс е GMail. Това е електронната поща на Google и освен че е безплатна и е огромна (над 1 гигабайт ще стигне на всеки за домашна директория, поне за чувствителните данни), е и достъпна от програмите. Google се грижат повечето от услугите им да имат публично достъпен програмен интерфейс - можете през настолна програма да управлявате пощата, календара, сателитните карти и т.н.
За да можете да използвате поща в GMail като монтирана отдалечено директория, трябва да инсталирате gmailfs. Той също ползва FUSE, инсталирана за EncFS по-горе. Можете да монтирате пощенската си кутия в GMail и да я използвате като директория за съхранение на файлове с командата:

$ mount.gmailfs none ~/gmailfiles -o username=gmailusername -p
Където ‘gmailusername’ е името ви в gmail. Можете да добавите опцията ‘-e’ и тогава ще бъде използвана EncFS за шифриране на данните. Така в пощата ви в GMail ще има неразбираеми писма, които при монтиране с gmailfs с опция ‘-e’ ще бъдат видими само от вас.

Можете да стигнете и дотам, че да пожелаете да монтирате цялата си домашна директория шифрирано (с EncFS, с опцията ‘-e’) в поща в GMail (с gmailfs) и така освен че домашната ви директория с всички файлове с настройки на профила ви и личните ви файлове ще бъде защитена с EncFS, цялата тази информация ще се съхранява далече от вас в сървърите на Google. Така и най-умелият крадец на данни ще трябва освен всичките ви защити да разбие и тази на пощенската ви кутия в Google. Все пак преценете добре дали си заслужава - скоростта на обмен на файловете между компютъра и уеб-пощата може да е доста бавен. А при нормална работа много програми често пишат в домашната директория служебна информация и това може да забави ужасно много работата, ако се налага всеки път свързване с пощата на Google.
Но като оставим настрана този най-краен вариант, другите възможности - защитаване на отделни устройства, директории или домашни потребителски директории съответно с DM-Crypt или EncFS и отдалечено монтиране на шифрирани директории в GMail са все неща, които определено си заслужават да ги проучите.

Личните ви данни по подразбиране са само за ваше лично ползване, но ако не ги шифрирате всеки може да ги види, дори понякога и без да ги търси нарочно. Както не размахвате по улицата листче с написани кодове за достъп до картите и сметките си, така се грижете и за електронните си данни. Не е трудно.

Малко и кратко линукс-съветче, в паузата между две “обтревожвания” на бъдещата ми дипломна работа. Става дума за влизане в GDM без парола, само с указване на потребителско име - с изписване името на ръка или с избор от списък, ако графичната ви тема поддържа списък на потребителите.

Да, много хора не знаят, че GDM (Gnome Display Manager) има и цветен, шарен изглед, настройваем с различни теми. В Дебиан, например, по подразбиране GDM е настроен за “стандартно посрещане”, представляващо един прозорец с бутони и менюта. Но през този прозорец или пък от менюто на Gnome (Програми -> Системни инструменти -> Настройка изгледа на входната програма) можете да “пипнете” почти всичко в GDM.

Приемаме, че сте посетили GNOME Art, GNOME-Look или други подобни страници и сте се ориентирали коя тема ви харесва и съответно сте я инсталирали.

Остава нещо, което не е много за препоръчване, ако на машината ви сядат и други хора. Или поне такива, на които нямате пълно доверие. Става дума за влизането в графичната среда без парола. И трябва да прецените добре не защото могат да “вземат” данни от компютъра ви (чувам редовния напев на “ларж” потребителите “ама аз нямам нищо тайно, ако искате - влезте”), а най-вече защото с достъп до вашата машина *от ваше име* зложелател може да ви навреди, представяйки се за вас, докато върши неща, които вие не бихте направили.

(…реторична пауза, която читателят използва, за да си представи някои от най-неприятните варианти…;)

——

Влизането без парола в GDM преди се указваше в настройките на програмата. Сега (от доста време…) за да влизате без парола, трябва да използвате PAM (Pluggable Authentication Modules). В почти всяка (ако не се лъжа, Slackware все още не включва PAM) съвременна дистрибуция на GNU/Linux са включени тези модули. Потърсете в пакетите на дистрибуцията си. Много е вероятно вече да имате инсталирани pam-модули.

Самите модули в Дебиан се намират в /lib/security/. Настройките на отделните програми ще откриете в /etc/pam.d/

Там е и файлът gdm, който отговаря за програмата за влизане. Ако вашата дистрибуция държи настройките за всички програми в един файл, то той най-вероятно ще се казва /etc/pam.conf. Разликата между този файл и директорията с файлове в моя Дебиан е, че във файла pam.conf първата колона указва името на програмата, за която се отнасят настройките. В случая с директорията името на програмата се взема от името на файла.

Следващата колона може да съдържа “account”, “auth”, “password” или “session”. В случая ни интересува редът “auth” във файла “gdm”. “Auth” може да е заместен с включване на общ външен файл, например:

@include common-auth

Независимо от вида на указването, редът трябва да добие следния вид:

auth required pam_permit.so

——

Или рестартирайте компютъра, или излезте в текстова конзола (alt+ctrl+f1) и напишете “/etc/init.d/gdm restart”.

Честито, вече можете да влизате в GDM без парола!

——

П.П.: Зная, че не е нищо особено, но дълго време аз самият се канех да си настроя така GDM и все се канех някой ден да попрочета документация, например “man 7 pam”, но все не оставаше време.

А търсенето в google за съвпадения с “gdm passwordless login” все нищо не даваха. Та току-виж тази статия помогне поне малко на някого. ;)

Да, става дума за сигурност. Преди да продължа и да кажа, че общуването през Jabber/XMPP може да бъде несигурно, нека ви напомня нещо.

Именно, че общуването през всичките нароили се други протоколи *не е сигурно*. Когато някой от вас ми казва “ами хайде, сложи си “Q” или “Яху”, щото нали най-важното за месинджърите е колко хора ги ползват, кво се правиш” все се сещам за онези времена, когато се използваха наистина масово т.нар. “icq клиенти”. На половин година излизаше нова версия, но пък за сметка на това всеки месец излизаше по някоя нова програмка-“инструмент”. Я за подслушване, я за заливане до отказ на клиента, я за крадене на списъка с контакти…

Любимият ми пример всъщност е този с “невидимостта” в icq. Не зная как се осъществява състоянието “невидим” в днешните собственически програми за моментни съобщения и не ме интересува, честно казано. Но навремето сътсоянието “невидим” (“invisible”) в небезизвестното icq беше направено по супер-балъшки начин.

Значи минавате вие в “невидимост” и какво става? Ами много просто - icq-то ви казва на всички, че сте невидим. Невидимо е не *то*, а… *вие*. Получава то запитвания за състояние и на всяко запитване отговаря, че състоянието ви е “невидим”. Нещо като “Мен ли търсите? О, мен ме няма, не мога да говоря по телефона, защото ме няма. Приятен ден!”. После е ясно откъде се появяваха т.нар. “un-invisiblisers”.

Тоест всичко е измисляно “през пръсти”. Пък ако мине номерът - мине…

Правилният начин, както може би сте се досетили, е в състояние “невидим” на запитвания за състояние да не се отговаря. Така де - когато “няма никого вкъщи” не отваряте вратата, нали? ;)

Jabber също не отваря вратата, ако още се чудите. ;)

——

Но въпросът е за сигурността. Най-важното за сигурността е, че трябва да бъде осигурявана.

Глупаво е да се мисли, че има универсални решения. Всъщност аз бих могъл да ви кажа, че е глупаво да се мисли, че изобщо има решения. Повлиявам се от философския си background, ще кажете вие. Добре, тогава бих добавил, че е човешко да бъдем глупави.

Но все пак в среда, в която можем да бъдем “моделирани”, среда, в която определяща е само информацията и не толкова това, което ни я дава, в среда, в която всяко “сигурно” нещо може да бъде фалшифицирано и то по “сигурен” начин, в такава среда просто трябва да бъде естествена реакция грижата ни за сигурността.

Трябва да имаме security reflex. ;)

Защото колкото и закони да пише държавата, в Интернет едно е ясно - винаги невинният може да бъде набеден по достатъчно убедителен начин. И виновният може да не остави достатъчно убедителни следи. Въпрос на гледна точка.

Освен ако не държим на сигурността и не използваме в общуването достатъчно сигурни (поне към днешни дни) механизми за шифриране да информацията.

——

След като ви казах, че използвайки собственическите програми за моментни съобщения вие почти сигурно говорите “голи”, да кажа и за Jabber.

Jabber поддържа няколко нива на защита на преминаващите данни.

1) шифрирана връзка към сървъра (c2s, client to server) през SSL (Secure Socket Layer) на друг порт, 5223

2) шифрирана връзка към сървъра (c2s) през TLS (Transport Layer Security) на стандартния порт за нешифрирана връзка, 5222

3) шифрирана връзка между сървърите (s2s, server to server) през SSL

3a) други варианти на подобна схема на s2s шифриране.

4) шифрирана връзка на цялата комуникация между двата клиента (e2e encryption, end to end encryption) чрез подписване и шифриране на данните с електронни ключове.

Въпросите тук са два:

1) кой вариант или кои комбинации са достатъчно сигурни и

2) кое доколко е въведено в наличните днес сървъри, сървърни компоненти и клиенти.

Първият въпрос е лесен за отговаряне.

Най-сигурният вариант е 4). Когато всичко е шифрирано от единия край до другия, данните са най-добре защитени.

След него се нарежда вариант 3) в разновидностите му, комбиниран с 1) или 2). Тогава данните изминават следния път: първо клиент1 ги шифрира до сървър1, след това сървър1 ги шифрира за вътрешния обмен между процесите си и/или до сървър2 (ако разговорът е между хора към различни сървъри) и накрая сървър2 ги шифрира до клиент2.

За да работи тази схема са нужни две условия - и двата клиента да са свързани през SSL или TLS към сървъра си и всеки от включените в разговора сървъри да е настроен да шифрира данните.

Въпреки че тази схема е доволно добре изглеждаща, има слаби точки. Тези точки са двата сървъра, или по-точно администраторите на двата сървъра. Съответно - сигурността на двата сървъра, защото ако са несигурни и незащитени, има възможност някой си друг да стане практически “администратор” и… сещате се;) Обяснението е, че всяко нещо, което минава нешифрирано през машината и зависи от програмно осигурената услуга да бъде шифрирано, е уязвимо. Да обясня с пример: ако кракер1 добие достъп до, да речем, сървър2, то той може така да промени софтуера на машината, че, примерно, да изпраща нешифрирано копие на данните до кракер-клиент1. Или още по-“яко” - да изпраща шифрирано от кракер1 копие.

А най-опасното е да имате или връзка със сървъра през SSL, или връзка между сървърите през SSL, но не и двете едновременно. Най-лошо е, защото си мислите, че сте защитени (понеже, примерно, “катинарчето” на клиента ви е заключено), но не сте (в случая - защото между сървърите всичко е в прав текст).

——

Да видим каква е реалността. Доколко тези възможности са внедрени в сървърите, компонентите, клиентите.

От компонентите ни интересуват най-вече транспортерите към другите протоколи. При тях положението е ясно - няма защита. Защо ли? Ами много просто - доколкото поне на мен ми е известно, защита нямате и в самите въпросни собственически протоколи, как Jabber сървърът да я “измисли” тази защита? ;)

При клиентите също нещата са ясни - все пак клиентите ги “виждаме”, пред нас са. Списъкът им се променя много често, все по-често излизат и нови версии. И все пак единственият клиент, който хем е колкото може по-съвместим с протокола, хем поддържа SSL, TLS и e2e шифриране, е Psi. С Psi направо можете да си настроите електронните ключове - вашия и този на събеседника ви и след като минете в засекретен режим, да говорите спокойно. Без това да бъде “нещо специално”. Както казах, просто рефлекс за сигурност. ;)

В другите клиенти положението не е чак толкова добро, но има проблясъци - Gaim, колкото и оплюван от Jabber-общността, поддържа шифриране и всичко останало, макар и през допълнителни приставки.

В някои други клиенти има наченки в новите версии на e2e crypt - Kf, Gajim.

В някои клиенти пък изобщо липсва такава възможност. Много са, но ще спомена само един от най-качествените сред тях - Gossip, бъдещият стандартен Jabber-клиент за настолната среда Gnome. Колкото и да е странно, в пощенския списък на Gossip като че ли битува едно разбиране, според което ако хората използват SSL връзка със сървъра, всичко е наред - и “пей, сърце”. Дано в дълго готвената нова версия включат и шифриране между клиенти. Макар силно да се съмнявам - просто понякога се прекалява с “user friendly” обяснението. Gossip малко прекаляват с прекалената изчистеност. Аз използвам Psi в среда на Gnome и съм доволен от интеграцията му. Пък и ако “съвместимост със средата” означава да нямам сигурност на данните защото “било трудно за новия потребител”, ами… майната й на съвместимостта…

При сървърите положението едва напоследък започна да става по-розовичко. Доскоро, именно до 20.01.2005г., когато излезе версия 1.4.4, един от най-разпространените (и всъщност първият, оригиналният;) сървъри, jabberd14, *НЕ* поддържаше SSL връзка в междусървърната комункация.

Новата версия, 1.4.4 поддържа.

Другият разпространен сървър, jabberd2 също доскоро не поддържаше шифриране. Ето едно примерно доказателство.

Последните версии поддържат. Проблемите с внедряването на s2s SSL бяха най-вече свързани с трудността при критериите за автоматичното приемане на сертификатите - някои сървъри може да имат изтекли, самоподписани сертификати и т.н. А администраторът да решава “на ръка” за всеки сървър и да следи дали сертификатът е валиден… си е гърч ;)

Третият най-използван сървър, руският написан на Erlang ejabberd и в момента *НЕ* поддържа s2s шифриране. В сайта му вижте най-долу. За всеки случай ще цитирам:

Misfeatures of ejabberd

No support for authentification and STARTTLS in S2S connections

Трябва да се отбележи, че фактът, че някои от сървърите отскоро вече имат възможност за s2s шифриране *НЕ* означава, че на практика тази възможност е настроена в самите сървъри. Или че изобщо сървърните пакети са обновени. Затова - проверявайте. Добрият клиент трябва да поддържа ServiceDiscovery (“disco”) и да може да дава подробна информация за сървъра.

——

И сега - какво? Ами… нищо - аз си ползвам шифриране с електронни ключове в моя Psi. И говоря свободно само с малкото хора в списъка ми, които са включили тази настройка, защото разбират положението на нещата.

Говоря и с другите; някои от тях са ми близки приятели. Но внимавам какво пиша и давам чувствителни данни само ако те се съгласят и след като им кажа, че връзката не е сигурна. И го правя с нежелание.

Но какво да се прави. Всъщност то все още има линуксчии, всякакви други хора, вярващи в софтуерната свобода, които продължават да използват icq, yim, msn и какви ли още не бозици.

А пък аз съм тръгнал да говоря за сигурност…

В обобщение: използвайте колкото се може по-близък сървър. Не само заради скоростта на връзката до него, а и заради по-голямата възможност да познавате администратора му и/или да имате по-голямо доверие на специалистите и защитните стени около машинката. ;) Проверявайте версиите и другите данни за сървъра - от уеб-страница за състоянието му или през disco.

И второ - използвайте винаги SSL/TLS връзка със сървъра. Не вреди, а пък в редки случаи може да повиши сигурността на връзката. Е, поне паролата ви към сървъра е защитена. ;)

И накрая, но най-важно - използвайте GPG за шифриране клиент-клиент. Намерете си клиент, който го поддържа и разкажете на хората в списъка ви за предимствата.

За да може някой ден да приемаме сигурността като нещо естествено, а не нещо супер-специално и прекалено user-unfriendly. Да си изградим security reflex. ;)