venerdì 24 novembre 2017

Spread the Freedom - Una guida introduttiva alla sicurezza



Uso: Se ti trovi su PC tramite Browser è possibile usare la combinazione di tasti CTRL + F per saltare a paragrafi specifici tramite la ricerca integrata. Basta indicare l'abbreviazione dentro le parantesi quadre.
--------------------------------------------------------------------------------------------------------------
£ Prefazione [pre1]
--------------------------------------------------------------------------------------------------------------
Quando si appresta a leggere è un aggiornamento/revisione di “Anonymous - Una guida introduttiva alla sicurezza durante l'instabilità sociale”, pubblicato nell’anno 2011 dal collettivo. Vista l’evoluzione della tecnologia, in particolar modo della rete stessa degli strumenti e della base (OS) usati per comunicare attraverso essa, si ritiene opportuna una revisione per quando concerne l’incolumità Personale e la Sicurezza generale degli apparati informatici in contesti di instabilità sociale e politica che possano minare la propria libertà di espressione in una determina area e/o stato.
A differenza della precedente versione, quando segue è trattato in modo più mirato e approfondito sull'argomento Informatico. Tale garantirà una consapevolezza base di ciò che si presenta come “CyberSecurity” personale.
--------------------------------------------------------------------------------------------------------------
£ Indice [ind2]
--------------------------------------------------------------------------------------------------------------
*Prefazione                       [pre1]
*Indice                           [ind2]
*Introduzione                     [int3]
*Ambiente sicuro                  [amb4]
---Dispositivi Mobili             [dism1]
-----Android                      [andro1]
-----Apple iOS                    [aios1]
---Dispositivi Fissi              [disf1]
-----Microsoft Windows            [win1]
-----Linux                        [linux1]
**Privacy                          [priv]
-----Android                      [andro2]
-----Apple iOS                    [aios2]
-----Microsoft Windows            [win2]
*Sicurezza in Internet            [isc7]
---Dispositivi Mobili             [dism2]
-----Android                      [andro3]
-----Apple IoS                    [aios3]
---Dispositivi Fissi              [disf2]
(Coming soon...)
---VPNs                           [vpn8]
((---I2P  obsoleto? si ahah              [i2p9]))
  
---Proxies                        [prx0]
---Tor Onion Router               [tor1]
*Comunicazioni                    [cmm2]
*Informazivponi aggiuntive          [add3]
---Emails temporanee              [eml4]
---Firefox Plugins                [ffx5]
---Care Package                   [pkg6]

--------------------------------------------------------------------------------------------------------------
£ Introduzione [int3]
--------------------------------------------------------------------------------------------------------------
E’ di pensiero comune che Hacktivisti, Attivisti, Dissidenti politici e giornalisti siano il target primario per Stati/Organizzazioni che vogliano minare la libertà di espressione e la possibilità di comunicazioni per i più svarianti motivi nell’interesse dalla parte. In realtà per quanto statisticamente sia cosi, i cittadini sono essi stessi target principali se nel contesto in corso. tali entità debbano adottare misure straordinarie.
Sul piano della storia contemporanea si può fare riferimento ad eventi come: 
    
  • Caduta del Regime in Egitto (2010): Interruzione dei servizi di telecomunicazione.
  • Egitto (2017): Censure a giornali, blogging o pagine Social.            
  • Repubblica Popolare Cinese (-): Censura dei servizi USA/Europa, Controlli su ogni tipo di comunicazione tramite rete (Social, blogging e servizi di messaggistica).               
  • Dopo attentati in Francia (2015- -): Le autorità hanno attuato misure stringenti e controlli su Social e servizi di messaggistica.                
  • Dopo tentato Golpe in Turchia (2016- -): Censurati servizi esterni alla Turchia o che non fossero consoni all’etica del Paese (es: Wikipedia). Vietato utilizzo di VPN, Proxy e Tor; Social costantemente monitorati della autorità e in situazioni a scelta governativa ripetutamente inaccessibili. Monitorati anche situazioni di dissenso al governo da parte di politici, giornalisti e cittadini.       
  • Catalogna (dopo voto Referendum Indipendeza 2017 in misura dell’Art. 155): Misura che permette al Governo il controllo totale dei residenti in Catalogna, targati come possibili dissidenti degli interessi della nazione. L’attuazione può portare (ove necessario a non utilizzare militarmente la forza) arresti su scala chiunque tenti l’approccio all’indipendenza o contrasti con la Spagna. 
Da monitorare situazioni governative come USA/UK le cui richieste primarie sono l’introduzione di Backdoor all’interno dei servizi più comunemente usati. 
E’ un errore molto grave pensare che tali situazioni non possano ripetersi nei territori nostrani; se escludiamo l’impossibile tutto ciò che resta, per quanto improbabile, è pur sempre possibile. In una società in continua mutazione, con contesti geopolitici sempre più caotici avere una garanzia della libertà individuale e ciò che più da continuità al sapere comune.
LINK (Approfondimento mediatico): 
    
    Egitto:
    
    Turchia:
    
    Catalogna:
--------------------------------------------------------------------------------------------------------------
£ Ambiente sicuro [amb4]
--------------------------------------------------------------------------------------------------------------
Come in un laboratorio chimico, prevenire l’infiltrazione di agenti estrani all’ambiente, può portare alla distruzione di ricerche e composti importanti.. cosi nei nostri dispositivi l’introduzione di RAT, Keylogger, SpyLogger può portare alla manipolazione, cancellazione e/o privazione delle nostre creazioni. Che possano essere semplici accessi ad account in rete, o informazioni riservate residenti in modo fisico all’interno delle memorie. E’ vitale garantire che tutto ciò che usiamo resti usabile e privo di manipolazioni per tutto il tempo in cui ne avremmo il possesso. 
Un primo passo è la criptografia; questa garantisce in buona parte uno “step” iniziale contro intrusioni fisiche esterne che possano danneggiare il materiale al suo interno o manipolarne il contenuto, oltre all’inserimento di quanto citato in precedenza (RAT, Keylogger ecc). Essa non intacca minimamente l’esperienza d’uso dei vari device, e garantisce la Sicurezza dei dati in modo fisico. 
--------------------------------------------------------------------------------------------------------------
---> Dispositivi Mobili [dis1]
--------------------------------------------------------------------------------------------------------------
------> Android [andro1]:
Il sistema operativo di Google si basa su Kernel Linux. Questo gli consente dalla versione 5.0 dell'OS una "Full-Disk Encryption" che si basa sull'algoritmo AES a 128bit con chiave in SHA256 grazie ad "AndroidOpenSSL" tramite dm-crypt come processo di attuazione. 
Rendere crittografato il proprio dispositivo Android è molto semplice:
  • Andare in Impostazioni
  • Scorrere sino alla voce "Sicurezza" e accedervi
  • Impostare una Password alfanumerica. No codice o modalità di sblocco differenti.
  • Tornare in Sicurezza e fare click su "Esegui crittografia telefono" o simil.
  • Inserire la password impostata precedentemente e avviare il processo. ATTENZIONE: Non eseguirà la criptografia di memorie esterne. Inoltre il processo richiederà tempo quindi assicurarsi che il device sia carico e attendere.
CONSIGLI:
  • Impostare una password alfanumerica superiore ai 15 caratteri.
  • La password scelta deve contenere al suo interno lettere Maiuscole, minuscole, numeri e caratteri speciali ($,&,%,-,*) in modo randomico.
  • Non utilizzare il proprio nome, indirizzo, città o data di nascita.
  • Non utilizzare questa password per altri servizi rete o non.
  • Non annotate la password in nessun blocco note o file.
RACCOMANDATO: Disabilitare lo Smart Lock di Google, e "Ok Google".
Il processo di criptografia non intaccherà minimamente l'utilizzo quotidiano del dispositivo, ma garantirà più sicurezza e privacy.
Approfondimento:
    
--------------------------------------------------
------> Apple iOS [aios1]:
L'OS Closed Source di Apple si basa su un sistema propretario di allocazione e criptografia dei dati. Il suo Kernel, come quello di macOS, si basa su UNIX con il nome "Darwin".
Oltre all'uso di Impronta digitale o Riconoscimento facciale, Apple impone l'uso di codice per lo sblocco iniziale e per avviare il processo di "criptografia dei dati". Comunemente si utilizza un codice numerico ma è consigliato usare un sistema alfanumerico.
  • Andare in Impostazioni
  • Touch ID e Codice (o solo Codice)
  • Cliccare su "Cambia Codice" e scegliere "Alfanumerico"
CONSIGLI:
  • Impostare una password alfanumerica superiore a 15 caratteri
  • La password scelta deve contenere al suo interno lettere Maiuscole, minuscole, numeri e caratteri speciali ($,&,%,-,*,/) in modo randomico.
  • Non utilizzare il proprio nome, indirizzo, città o data di nascita.
  • Non utilizzare questa password per altri servizi rete o non.
  • Non annotate la password in nessun blocco note o file.
---------------------------------------
---> Dispositivi Fissi [disf1]
---------------------------------------
------> Windows [win1]:
Il sistema operativo di casa Microsoft non eccelle in sicurezza o trasparenza in quando tutto l'OS è Closed Source. Dalla versione Vista è stato aggiunto un sistema di criptografia proprietaria su base AES.
Non consigliamo assolutamente di usare il sistema proprietario, ma "VeraCrypt".
Link VeraCrypt: https://www.veracrypt.fr/
VeraCryt oltre a darvi la possibilità di creare "partizioni virtuali" dove allocare al suo intero file sotto criptografia ad algoritmo scelto dall'utente (AES,RSA ecc) da la possibilità di effettuare un FDE come su Android per la partizione dove è allocato Windows o del disco.
Tutorial per un FDE (Full-Disk Encryption):
    
PS: Dopo l'installazione di VeraCrypt ci si troverà con un interfaccia grafica in lingua Inglese. Andare in Settings -> Languange e scorrere fin ad Italiano. Dare l'Ok.
  • Cliccare su File, quindi su "Crea un nuovo volume...".
  • Selezionare: Codifica la partizione o tutto il disco di sistema, quindi cliccare su Avanti.
  • In Tipi di codifica di Sistema selezionare "Normale" e andare Avanti.
  • In Area da codificare selezionare "Codifica l'interno disco", quindi Avanti.. ATTENZIONE: Se il disco è in modalità UEFI è possibile codificare solo la partizione di Sistema. Selezionare quindi "Codifica la partitzione di sistema di Windows". Garantirà ugualmente la criptografia sui propri dati all'interno del sistema.
  • In Numero di sistemi operativi selezionare "Boot singolo", in caso vi sia sul vostro PC solo Windows; quindi Avanti.
  • In Opzioni di codifica nella scelta di 'Algoritmo di codifica' si raccomanda di selezionare "AES(Twofish(Serpent))". In caso il vostro device sia datato si consiglia di utilizzare solo "AES". In entrambi casi in 'Algoritmo di confusione' selezionare "SHA-512"; quindi Avanti.
  • Ci verrà quindi chiesto di impostare la password. Si raccomanda di usare una composizione superiore ai 30 caratteri che contiene: maiuscole, minuscole, numeri e caratteri speciali in modo randomico; quindi Avanti.
  • Muovere in modo randomico il mouse al fine di generare una chiave totalmente casuale. Quando la barra di progessione è piena cliccare su Avanti.
  • Verrà chiesto di creare un disco (iso) di recupero in caso di problemi. Salvarlo in Documenti in modo da inserirlo successivamente dentro una USB esterna.
  • Verrà chiesto di eseguire una "Wipe Mode" cioè sovrascrittura dei dati. Scegliere "Nessuna" dalle opzioni se si è alle prime armi e senza dati importanti all'interno del dispostivo, altrimenti scegliere 3-pass (US DoD 5220.22-M); quindi Avanti. ATTENZIONE: Questo richiederà più tempo del normale, in quando eseguirà la sovrascrittura dei dati presenti nel disco 3 volte.
  • Sarà chiesto di riavviare il dispositivo per testare il nuovo 'boot loader' e la password. (Assicurarsi che Numlock sia attivo in caso usiate il NumPad per inserire i caratteri numerici) Fatto ciò il dispositivo si avvierà in modo normale e avvierà in automatico la sequenza di criptografia. Questo richiederà tempo. Non spegnere per alcun motivo il PC durante il processo.
Si raccomanda la visione di un Tutorial audio/video per un ulteriore aiuto: https://www.youtube.com/watch?v=i_WkMELC790
--------------------------------------------------
------> Linux [linux1]:
Per le "distro" Linux, c'è una maggior personalizzazione del processo di criptografia dell'HDD o di una singola partizione. Il sistema usato maggiormente è "dm-crypt" a cui possibile personalizzare la locazione in plain della chiave (es: AES-XTS-PLAIN64) con una Master Key anche in questo caso "SHA-512" e una piattaforma di sblocco dischi "luks"
Ogni distro cambia l'attuazione della criptografia. Con un sistema guidato in caso di distribuzioni come Debian, Ubuntu, Majaro, Fedora etc, a cui l'installer è grafico; o testuale come ArchLinux e Gentoo.
Non tratteremo in modo approfondito questo argomento in questa guida, in quando richiederebbe più sezioni per ogni distro. Si consiglia ugualmente un approfondimento su "dm-crypt" e il partizionamento su Linux.
LINKS:
--------------------------------------------------------------------------------------------------------------
    
£ Privacy [priv]
--------------------------------------------------------------------------------------------------------------
Quando segue in questo capitolo, è trattato in modo semplificato e relativamente “superficiale” per garantire una più presta attuazione individuale. Si raccomanda fermamente di approfondire il tema Privacy non solo per quello che concerne gli argomenti che saranno trattati di seguito ma sul piano conscio dell’individuo.
Per fare una breve introduzione si ci può basare su un esempio sociale abbastanza semplice: Molte volte riteniamo opportuno limitare cosa dire ad un nostro amico/a e cosa tenere sul piano privato/personale. Ma se tutto quello che teniamo sul piano personale diventasse pubblico? 
E’ ciò che avviene oggi con la raccolta dati da parte di governi e istituzioni indifferentemente dal vostro consenso o meno. Limitare la visione dei vostri Contatti, email, foto, audio e videocamera a voi stessi è un primo passo per garantire non solo il privato ma che esse non diventino merce di scambio o di utilizzo a fini di interessi esterni al Vostro.
------> Android [andro2]:
Il mondo di Android nei Device commerciali si basa principalmene sui servizi offerti da Google, che per quando interessanti non garantiscono la totalità di sicurezza e Privacy sui propri dati che vengono inviati all'azienda. I servizi di Google non sono i soli a minare la Privacy ma anche servizi integrati come l'accesso alla Localizzazione mina fortemente la sicurezza delle vostre posizioni e spostamenti.
Si raccomanda di:
- Disabilitare la Localizazzione tramite GPS/Wifi. Agenzie di sorveglianza come NSA possono sfruttare i metadati inviati per geolocalizzarvi e tracciare ripetutamente le vostre posizioni.
- Disabilitare NFC e Bluetooth quando non utilizzati. Periodicamente escono pubblicamente nuovi exploit che permettono ad un ente o soggetto di accedere a dati inviati dal device in caso il Bluetooth sia attivo.
Approfondimento:
Per quando concerne Google:
    
- Disabilitare Smart Lock di Google.
- Disabilitare servizi Ads di Google.
- Disabilitare "Ok Google".
- NON usare applicazioni di Google come "Allo" e "Duo" (Approfondimento: https://motherboard.vice.com/en_us/article/gv55m3/dont-use-google-allo )
CONSIGLI:
== Signal == 
Signal è un'applicazione di messaggistica e chiamata audio che utilizza un sistema End-To-End come sistema base di criptografia. I dati inviati ai Server del servizio per garantire una connessione con un contatto riguardano solo i medatadati dell'ID a cui si vuole inviare un messaggio/chiamata. Nessun metadata è conservato nei servizi di Signal. Questa la rende un Applicazione molto utile e sicura rispetto alla controparte comunemente usata.
Signal è disponibile sul Play Store, App Store e con un Client Desktop-based.

--------------------------------------------------
--------------------------------------------------
Dalle ultime versioni di Android è possibile personalizzare i permessi delle varie applicazioni. Si raccomanda:
  • Disabilitare l'utilizzo di "Microfono" alla maggior parte delle applicazioni, specialmente se esso non viene usato nelle app specifiche.
  • Disabilitare l'uso di "Camera" nella maggior parte delle applicazioni, specialmente se esso non viene usato nelle app specifiche.
  • Disabilitare l'uso di "Contatti" nella maggior parte delle applicazioni, specialmente se esso non viene usato nelle app specifiche..
Approfondimenti importanti:
    
'State of Surveillance' with Edward Snowden: https://www.youtube.com/watch?v=ucRWyGKBVzo (Da visionare!)
--------------------------------------------------
------> Apple iOS [aios2]:
Leggersi il paragrafo su Android di questa sezione [andro2], ad eccezzione dei servizi Google. Si consiglia vivamente di non scaricare l'app Google sul proprio device iOS.
== Signal == 
Signal è un'applicazione di messaggistica e chiamata audio che utilizza un sistema End-To-End come sistema base di criptografia. I dati inviati ai Server del servizio per garantire una connessione con un contatto riguardano solo i medatadati dell'ID a cui si vuole inviare un messaggio/chiamata. Nessun metadata è conservato nei servizi di Signal. Questa la rende un Applicazione molto utile e sicura rispetto alla controparte comunemente usata.
Signal è disponibile sul Play Store, App Store e con un Client Desktop-based.
--------------------------------------------------
--------------------------------------------------
Recarsi in Impostazioni -> Privacy, quindi:
  • Disabilitare l'utilizzo di "Microfono" alla maggior parte delle applicazioni, specialmente se esso non viene usato nelle app specifiche.
  • Disabilitare l'uso di "Camera" nella maggior parte delle applicazioni, specialmente se esso non viene usato nelle app specifiche.
  • Disabilitare l'uso di "Contatti" nella maggior parte delle applicazioni, specialmente se esso non viene usato nelle app specifiche..
Approfondimenti importanti:
    
'State of Surveillance' with Edward Snowden: https://www.youtube.com/watch?v=ucRWyGKBVzo (Da visionare!)
--------------------------------------------------
------> Microsoft Windows [win2]:
Nuovi PC escono già con l'ultima versione del sistema operativo di casa Microsoft; Windows 10, mentre molti utenti hanno deciso di aggiornare i loro device anch'essi all'ultima versione. 
Windows 10 presenta oltre 35 falle di sicurezza per quando concerne la Privacy. Sia cosa digitate all'interno del campo di ricerca di Cortana, che la vostra località vengono constantemente inviate ai server di Microsoft.
Consigliamo la lettura e in caso l'utilizzo del tool allegato che disabilita le maggiori criticità del sistema per l'ambito "Privacy".