Przeglądarka dla dziennikarza (i nie tylko)

Autor: Tomasz Kowalski

 

W 2010 upubliczniono tzw. „Collateral Murder”, „Afghan War Diary”, „Iraq War Logs” i „Cablegate”, które wspólnie stworzyły jeden z największych wycieków tajnych informacji w historii.

Czy obecnie możliwe jest ujawnienie budzących wątpliwości działań rządów i korporacji?

Historie, które wstrząsnęły światem

W 2010 roku na WikiLeaks opublikowano kilka przełomowych przecieków, które wywołały międzynarodowy szok i kontrowersje,

1. „Collateral Murder” (kwiecień 2010)

   Opublikowane nagranie wideo z ataku amerykańskiego śmigłowca Apache w Bagdadzie (2007), podczas którego zginęło 12 osób — w tym dwóch dziennikarzy Reutersa.

   Nagranie pokazuje, jak amerykańscy żołnierze otwierają ogień do grupy cywilów i śmieją się z tego przez radio.

   Wideo wywołało globalne oburzenie i postawiło pytania o moralność i odpowiedzialność armii USA.

2. „Afghan War Diary” (lipiec 2010)

   WikiLeaks opublikował ponad 91 000 tajnych raportów wojskowych z wojny w Afganistanie (2004–2010).

   Zawierały dane o liczbie ofiar cywilnych, działaniach sił specjalnych, współpracy z lokalnymi informatorami oraz słabościach NATO.

3. „Iraq War Logs” (październik 2010)

   Kolejny ogromny przeciek: prawie 400 000 raportów z Iraku.

   Pokazywały brutalność wojny, tortury więźniów, śmierć tysięcy cywilów i współudział USA w ukrywaniu zbrodni.

4. „Cablegate” (listopad 2010)

   WikiLeaks opublikował ponad 250 000 poufnych depesz dyplomatycznych Departamentu Stanu USA.

   Dokumenty ukazywały nieformalne oceny światowych przywódców, kulisy relacji międzynarodowych, skandale korupcyjne i działania wywiadowcze.

W skutek powyższych publikacji:

• Julian Assange (założyciel WikiLeaks) stał się jedną z najbardziej rozpoznawalnych i kontrowersyjnych postaci na świecie.

• USA rozpoczęły postępowania karne wobec osób odpowiedzialnych za wycieki, zwłaszcza przeciwko Chelsea Manning, analityczce wojskowej, która dostarczyła większość tych materiałów.

• WikiLeaks stał się symbolem walki o wolność informacji, ale też został oskarżany o narażenie życia informatorów i zdradę tajemnic państwowych.

 

Zerknij na https://wikileaks.org

Ta witryna wciąż działa, w tym sensie, że można ją wyświetlić. Jednak jeśli zerkniesz do zakładki “News” lub “Leaks” zauważysz przy wpisach daty sprzed kilku lat.

Krótko o WikiLeaks

Historia WikiLeaks rozpoczęła się w 2006. Jej założyciel to Julian Assange (australijski aktywista, haker i dziennikarz). Celem strony było publikowanie tajnych dokumentów rządowych i korporacyjnych z naciskiem na anonimowość informatorów i wolność informacji.

Lata 2006–2009: Pierwsze przecieki

Publikacje dotyczyły m. in. korupcji w Afryce, dokumentów o Guantanamo, czy działań Scientologów. WikiLeaks zyskiwało reputację wśród dziennikarzy śledczych, ale nie było jeszcze globalnie rozpoznawalne.

2010 – Rok przełomu i międzynarodowej sławy za sprawą czterech ogromnych przecieków wspomnianych wyżej.

Rządy (zwłaszcza USA) oskarżają WikiLeaks o narażanie życia i zdradę tajemnic państwowych. Julian Assange staje się twarzą organizacji i kontrowersji.

2010–2012: Problemy prawne i azyl Assange’a

Szwecja oskarża Assange’a o przestępstwa seksualne (sprawa później umorzona), a ten ucieka do ambasady Ekwadoru w Londynie, gdzie przebywa przez 7 lat, by uniknąć ekstradycji.

2011–2016: Dalsze wycieki

WikiLeaks kontynuuje publikowanie:

• Guantanamo Files (2011)

• Spy Files – dokumenty o inwigilacji (2011–2014)

• Syria Files – 2 mln e‑maili z syryjskich instytucji (2012)

• TPP & TTIP Leaks – negocjacje handlowe USA i UE (2013–2016)

• Hacking Team – włoska firma sprzedająca oprogramowanie szpiegowskie (2015)

2016 – Wpływ na wybory w USA

WikiLeaks publikuje emaile Komitetu Partii Demokratycznej (DNC) – pokazujące stronniczość wobec Berniego Sandersa oraz emaile Johna Podesty (szefa kampanii Hillary Clinton). Ujawnienia szkodzą kampanii Clinton, pomagają Donaldowi Trumpowi.

Ustalono, że materiały pochodziły od rosyjskich hakerów (APT 28/Fancy Bear), a więc pojawiają się oskarżenia o współpracę z Rosją.

Od tego momentu WikiLeaks traci reputację „bezstronności”.

2017 – Vault 7

WikiLeaks publikuje tajne narzędzia cyberwywiadu CIA do szpiegowania przez smartfony, telewizory i komputery. To jeden z największych wycieków w historii CIA. Osobą oskarżoną o przekazanie danych jest Joshua Schulte (skazany w 2023 r.).

Upadek i aresztowanie Assange’a

2019: Ekwador cofa azyl; Assange zostaje aresztowany przez brytyjską policję w ambasadzie. USA żądają ekstradycji – stawiają mu 18 zarzutów, w tym szpiegostwa. Proces ekstradycyjny toczy się przez lata.

2024: Julian Assange zawiera ugodę z władzami USA (przyznaje się do jednego zarzutu złamania ustawy o szpiegostwie). Po 5 latach spędzonych w brytyjskim areszcie, wraca do Australii jako wolny człowiek.

 

Zerknij na https://en.wikipedia.org/wiki/WikiLeaks

To dość rozbudowany artykuł, w którym znajdziesz o wiele więcej informacji o tym co ujawniono przez lata i jakie były tego konsekwencje.

Artykuł zawiera także informacje o tym jakie działania podejmowano, aby stronę zamknąć.

Co dalej?

Wydaje się, że w 2024 skończył się jeden z najbardziej burzliwych rozdziałów w historii dziennikarstwa śledczego.

Już po 2017 roku WikiLeaks opublikowało znacznie mniej materiałów, a Assange był przez długi czas izolowany, a organizacja straciła wpływy na rzecz mniejszych grup.

 

Zerknij na http://ddosecrets.com/

DDoSecrets to organizacja whistleblowerska (nienastawiona na zysk), założona w grudniu 2018 roku, która archiwizuje i udostępnia dokumenty uzyskane z wycieków i włamań — zwłaszcza tam, gdzie służą one interesowi publicznemu i przejrzystości.

Krótko o Distributed Denial of Secrets

Misja grupy to działać jako ostatni bastion dziennikarstwa – publikować dokumenty objęte cenzurą, mobilizować do odpowiedzialności oraz zapewniać, by ważna informacja pozostała dostępna społeczności.

Od 2023 roku DDoSecrets opublikowało ponad 100 milionów plików z 59 krajów.

Zasięg tematyczny obejmuje dane od oligarchów rosyjskich, organizacji faszystowskich, firm‑krzaków (shell companies), rajów podatkowych, po dokumenty związane z siłami policyjnymi, instytucjami wojskowymi, finansami i polityką globalną.

DDoSecrets stał się jednym z najważniejszych publicznych źródeł dokumentów związanych z agresją Rosji na Ukrainę, w tym archiwum Roskomnadzoru.

Część dokumentów trafia wyłącznie do zaufanych dziennikarzy i badaczy.

Inwigilacja i cenzura w sieci

Inwigilacja i cenzura w sieci są realne, udokumentowane i obecne w mniejszym lub większym stopniu w niemal każdym kraju – niezależnie od ustroju.

Można podać różnego rodzaju przykłady/formy inwigilacji:

• USA – PRISM (ujawnione przez Edwarda Snowdena, 2013) — NSA miała dostęp do danych z Facebooka, Google, Apple, Microsoftu i innych.

• Chiny — państwo śledzi komunikację, blokuje VPN-y, instaluje oprogramowanie szpiegujące.

• Rosja – system SORM i Roskomnadzor — dostawcy są zobowiązani do przekazywania danych użytkowników.

• Europa – retencja danych (w niektórych krajach) — ISP przechowują dane o połączeniach użytkowników (czas, adresy IP, lokalizacja).

Cenzura w sieci jako ograniczanie dostępu do treści w internecie odbywa się poprzez blokowanie stron, usuwanie postów lub treści i filtrowanie informacji.

Przykłady cenzury:

• Chiny — „Wielki Firewall”, blokada Google, YouTube, Twitter, zachodnich mediów,

• Iran — ścisła kontrola internetu, blokada sieci społecznościowych, ograniczenia VPN,

• Rosja — Roskomnadzor i cenzura wojny — blokada mediów niezależnych, Wikipedia, VPN,

• Indie, Turcja — tymczasowa lub celowana cenzura — blokady Twittera, Facebooka podczas protestów,

• UE, USA — delikatniejsza forma — usuwanie treści przez platformy, presja polityczna.

 

Zerknij na https://wikileaks.org/#submit_help_contact lub https://ddosecrets.com/submit

Przekazanie danych z pominięciem mechanizmów inwigilacyjnych oraz ich udostępnienie z pominięciem mechanizmów cenzurowania to nie banalne zadanie.

Zwróć uwagę na adresy http z domeną .onion wskazane na obu stronach. Czy potrafisz się z nimi połączyć?

IP, a więc jak działa sieć

Sieć IP (Internet Protocol) to podstawowy mechanizm działania internetu i większości sieci komputerowych. Odpowiada za adresowanie, przesyłanie i dostarczanie danych między urządzeniami.

W największym skrócie działa to tak:

1. Każde urządzenie ma adres IP, tak jak numer telefonu lub domu.

2. Dane dzielone są na pakiety, a więc małe porcje informacji.

3. Pakiety są przesyłane przez routery, a więc trochę tak jak samochody firm kurierski przekazują przesyłki pomiędzy miastami.

4. Każdy pakiet trafia na właściwy adres IP, czyli do konkretnego urządzenia.

5. Na końcu pakiety są składane w całość, np. strona internetowa lub e-mail.

Każdy pakiet IP zawiera adres odbiorcy. To dość oczywiste - trzeba przecież wiedzieć do kogo należy go dostarczyć.

Każdy pakiet IP zawiera adres nadawcy. To również dość oczywiste, bo przecież nadawca spodziewa się odpowiedzi (np. wpisując adres w przeglądarce spodziewam się, że zobaczę stronę www, a więc treść tej strony musi być do mnie przesłana w odpowiedzi na moje zapytanie o nią).

Każdy, kto znajdzie się na drodze pakietów, może odczytać te adresy — wiadomo jakie urządzenie z jakim się kontaktowało.

 

Uruchom traceroute do dowolnej strony internetowej. Jak długa jest droga od Ciebie do niej?

Jeżeli nie posiadasz tego konsolowego narzędzia to wyszukaj w internecie np. “graphical traceroute” i skorzystać z dowolnej strony, która dostarczy wizualizację drogi pakietów. Pewna wada tego podejścia jest taka, że zobaczysz drogę pakietów do wskazanego przez Ciebie adresu, ale z serwerów strony, z której korzystasz, a nie z Twojego komputera.

 

Zerknij na https://visualtraceroute.net/ i pobierz tę aplikację, aby zobaczyć wizualizację drogi pakietów z Twojego komputera.

Jeśli jesteś na Windows i nie masz ochoty (lub możliwości) zainstalować tę aplikację to pobierz ją w wersji “portable”.

Twój publiczny IP

Publiczny adres IP to unikalny numer przypisany Twojemu urządzeniu (lub sieci domowej) w Internecie, który pozwala innym urządzeniom Cię znaleźć i komunikować się z Tobą:

• jest widoczny z zewnątrz — np. dla stron internetowych, serwerów, usług online,

• identyfikuje Ciebie (a właściwie Twoją sieć) w globalnym internecie,

• zazwyczaj przypisywany przez Twojego dostawcę internetu (ISP) i może być dynamiczny – zmienia się co jakiś czas lub statyczny – przypisany na stałe.

 

Wpisz w wyszukiwarce “my public ip” i odwiedź dowolną stronę wskazaną przez wyszukiwarkę.

Niektóre strony potrafią wyświetlić mapkę z pinezką w Twojej lokalizacji. Z jaką dokładnością wiadomo gdzie jesteś na podstawie samego adresu?

Jeśli masz w domu kilka urządzeń (komputer, telefon, tablet) to wszystkie łączą się z internetem przez router. Router ma jeden publiczny IP, który jest widziany przez świat zewnętrzny.

Wewnątrz sieci każde urządzenie ma swój prywatny IP (np. 192.168.1.5), ale one nie są widoczne z zewnątrz.

Kto używa danego adresu IP?

Zastanawiasz się kto może wiedzieć, że dany publiczny adres IP należy do Ciebie jako osoby?

1. Twój dostawca internetu (ISP)

   TAK – dokładnie wie, że ten adres IP jest przypisany do Ciebie.

   Ma Twoje dane osobowe (imię, nazwisko, adres zamieszkania), historię połączeń, logi ruchu (czasami – zależnie od wymogów prawa).

   W przypadku dynamicznego IP, ISP ma logi, który IP był przypisany do Ciebie w danym momencie.

    

   Przejrzyj zabezpieczenia Twojej domowej sieci.

   ISP ma wszystko czego potrzeba, aby powiązać IP z Twoją tożsamością, ale raczej nie wie o tym kto i jak używał Twojej sieci. Ktokolwiek będzie wychodził w świat z użyciem Twojej sieci — niekoniecznie Ty lub ktoś komu ufasz — będzie zostawiał ślad prowadzący do Ciebie.

2. Organy ścigania lub sąd

   TAK – mogą się dowiedzieć, ale tylko poprzez nakaz sądowy lub inne procedury prawne. Np. gdy policja prowadzi śledztwo (oszustwa, groźby, piractwo, itp.) to może wystąpić do ISP o dane klienta skojarzone z określonym adresem IP.

3. Strony internetowe, serwery, reklamodawcy

   NIE – nie znają Twojej tożsamości, ale znają Twój IP.

   Mogą więc zlokalizować Cię geograficznie (np. miasto, kraj), profilować użytkowników z danego IP, łączyć IP z kontem użytkownika (jeśli jesteś zalogowany).

   Ale nie wiedzą, że Ty jako osoba fizyczna jesteś właścicielem tego IP, chyba że im to samodzielnie ujawnisz.

4. Hakerzy lub osoby trzecie

   Bez pomocy ISP będzie trudno ustalić dany IP to Ty, chyba że ujawnisz to samodzielnie — całkiem łatwo jest to zrobić i zapewne robisz to nieświadomie. Może używasz tego samego IP w różnych miejscach z tą samą tożsamością (np. konta społecznościowe)… Może Twoje urządzenie ma luki bezpieczeństwa…

Wirtualna sieć prywatna

Powszechny skrót VPN to ogólne określenie bogatego koszyka różnego rodzaju oprogramowania i usług. Bardziej technicznie można powiedzieć, że chodzi o tzw. tunelowanie.

Na Twoim urządzeniu może działać tzw. klient VPN, a więc oprogramowanie, które będzie przejmowało cześć lub całość Twojego ruchu sieciowego, najczęściej szyfrowało go i upychało w pakiety kierowane do tzw. serwera VPN.

Na pewnym zdalnym urządzeniu działać będzie owy serwer VPN, którego zadanie polega na wypakowaniu Twojego ruchu sieciowego i przekazaniu go dalej jakby w Twoim imieniu.

 

Jeśli masz możliwości to powtórz wcześniejszy eksperyment z użyciem traceroute z Twojego komputera, ale tym razem z uruchomionym VPN i porównaj rezultaty.

VPN (Virtual Private Network) może być bardzo przydatny w różnych zastosowaniach, np.

• testowanie i programowanie

  Deweloperzy i administratorzy używają VPN, by testować, jak ich usługi działają z różnych lokalizacji. Pomaga sprawdzić działanie geoblokad, CDN-ów, serwerów.

• bezpieczniejsza praca zdalna (VPN firmowy)

  Wiele firm używa VPN do łączenia pracowników z wewnętrznymi systemami. Pomaga to chronić firmowe dane i często umożliwia zdalny dostęp do zasobów i serwerów, które dostępne są jedynie lokalnie (w siedzibie firmy).

Wśród często podkreślanych zalet publicznych VPN (np. Surfshark) wymienia się oszczędzanie pieniędzy, dostęp do zagranicznych wersji serwisów streamingowych, omijanie cenzury i blokad geograficznych, ale także:

1. Ochrona prywatności i anonimowość

   Faktycznie możesz w pewnym stopniu się ukryć. Twój publiczny adres IP nie będzie znany serwerowi, z którym się łączysz i Twój dostawca internetu (ISP) w szczegółach nie będzie widział co robisz.

    

   Zastanów się przez chwilę.

   Jeśli dostawca usługi typu VPN oferuje Tobie np. blokowanie reklam to czy nie znaczy to że “grzebie” w Twoim ruchu sieciowym?

    

   Zastanów się przez chwilę.

   Dostawca usługi typu VPN z definicji zna Twój publiczny IP — musi przecież potrafić odesłać Tobie dane z internetu. Na pewno każe Ci się jakoś logować (w aplikacji, poprzez konfigurację z użyciem wydanych Tobie certyfikatów, …). Pewnie przechowuje jakieś logi (na potrzeby rozliczeń lub dlatego, że zobowiązany jest do tego prawnie). Efektywnie Twój dostawca VPN staje się Twoim ISP z wszystkimi tego konsekwencjami.

    

   Zerknij na https://www.reddit.com/r/conspiracytheories/comments/17xv415/nordvpn_is_a_honeypot/

   To tak dla sprowokowania dyskusji (i uważnego czytania regulaminów usług): czy NordVPN to honeypot?

   Honeypot (dosł. „garnek miodu”) to celowo stworzony system lub zasób, który wygląda na wartościowy dla cyberprzestępców, ale w rzeczywistości służy do wykrywania ataków, analizowania technik hakerskich i odwracania uwagi od prawdziwych systemów.

   Ostrożnie! To dyskusja na r/conspiracytheories więc zachowaj zdrowy rozsądek.

2. Bezpieczniejsze korzystanie z publicznego Wi-Fi

   Faktycznie otwarte sieci Wi-Fi (kawiarnie, hotele, lotniska) to prawdziwy raj dla wszystkich potrafiących słuchać. Masz dostęp do sieci bez szyfrowania więc inni w zasięgu tej sieci będą widzieli wszystko czego samodzielnie nie zaszyfrujesz. Dobrze skonfigurowany VPN może tu bardzo pomóc.

    

   Nawet jeśli w przeglądarce połączenie jest szyfrowane (https i certyfikat się zgadza) to zapytania DNS z Twojego komputera pewnie idą czystym tekstem.

   DNS rozwiązuje nazwy domenowe do adresu IP, aby można było ustanowić połączenie. (Przykładowo pl.wikipedia.org rozwiązuje się do 185.15.59.224).

   Ktoś w tej samej sieci co Ty nie podejrzy co dokładnie robisz na pewnej stronie, jeśli połączenie z nią jest dobrze szyfrowane, ale z ruchu DNS będzie wiedział o Twoim zainteresowaniu tą stronę.

   Czy Twój VPN tuneluje także DNSy?

VPN w domu

Tak, możesz mieć własny serwer VPN w domu – i to wcale nie jest bardzo trudne!

Twój komputer, telefon lub laptop (klient VPN) łączyć się będzie z Twoim serwerem VPN w domu, a Twój ruch internetowy przechodzić będzie zaszyfrowanym tunelem do domu i dalej trafi do internetu z Twojego domowego IP.

To dobre rozwiązanie, jeśli chcesz bezpiecznie łączyć się z domową siecią z dowolnego miejsca na świecie lub po prostu unikać kosztów komercyjnych VPN-ów.

Potrzebujesz stały publiczny adres IP (lub jakiś dyndns).

Routery domowe mają najczęściej dynamiczny IP od dostawcy więc możesz:

• użyć usługi typu Dynamic DNS (np. No-IP, DuckDNS),

• albo po prostu wykupić stały IP u dostawcy internetu.

Do postawienia serwera VPN możesz użyć:

• komputera PC — stabilny, ale może pobierać dużo prądu jeśli działa cały czas,

• czegoś jak Raspberry Pi — małe, ciche, energooszczędne,

• routera z VPN — niektóre routery (np. ASUS, Mikrotik) mają wbudowaną obsługę VPN.

Popularne opcje na oprogramowanie serwera VPN to OpenVPN, WireGuard, SoftEther VPN. Jeśli budujesz swoje rozwiązanie na Raspberry Pi to zerknij na PiVPN (to prosty instalator OpenVPN lub WireGuard).

 

A gdyby tak każdy chętny miał u siebie w domu taki serwer VPN… i gdyby one mogły łączyć się pomiędzy sobą… i byłaby taka wielka szyfrowana prywatna sieć… a rządy i służby nie mogłyby nas śledzi i cenzurować tego co przesyłamy.

Inni też tak pomyśleli: https://www.torproject.org/

Tor

The Onion Router (Tor) jest to technologia i sieć, która pozwala (w dużej mierze) anonimowo korzystać z internetu:

• to sieć tzw. węzłów (serwerów), które przekazują Twój ruch przez kilka warstw pośrednich,

• oraz specjalna przeglądarka (Tor Browser), która pozwala z niej korzystać.

Nazwa „onion” (cebula) pochodzi od warstw szyfrowania – dane są szyfrowane wiele razy, a każda warstwa jest odszyfrowywana przez kolejny węzeł w sieci.

Brzmi świetnie, ale są też pewne wady i ograniczenia:

• wolniejsze połączenie – przez wiele pośredników,

• nie chroni, jeśli sam się ujawnisz,

• nie chroni przed złośliwym oprogramowaniem,

• ktoś może blokować dostęp z węzłów Tora, a w niektórych krajach używanie Tora może być podejrzane lub zakazane.

Węzły

Kiedy korzystasz z Tora Twój ruch przechodzi przez co najmniej 3 losowe węzły (relay): wejściowy (entry node), pośredni (middle node) i wyjściowy (exit node). Każdy węzeł zna tylko swojego poprzednika i następnika, ale nie cały łańcuch.

 

Zerknij na https://metrics.torproject.org/

Przekonasz się o rozmiarze sieci Tor — ilość użytkowników, serwerów, wydajność usług.

Każdy z węzłów może być uruchomiony przez osobę prywatną, organizację non-profit, uniwersytet, firmę lub aktywistów. Potrzeba dobrych chęci i jeszcze tylko:

• odpowiedni serwer lub komputer z dostępem do internetu (najlepiej szybkim),

• trochę wiedzy technicznej.

 

Uruchomienie węzła (szczególnie exit node) niesie za sobą pewne ryzyko prawne, bo ruch wychodzący z Tora do internetu wygląda, jakby pochodził od operatora węzła, co może prowadzić do nieporozumień.

Czy rządy też mogą uruchamiać węzły?

Tak, i to robią.

Każda instytucja (nawet rządowa lub wywiadowcza) może postawić własny węzeł (lub wiele), próbować analizować ruch (tzw. traffic correlation attacks), prowadzić badania nad deanonymizacją użytkowników, itd.

Ale dzięki warstwowej architekturze i szyfrowaniu, nawet kontrolując część węzłów, trudno powiązać nadawcę z odbiorcą (choć nie jest to niemożliwe przy dużych zasobach).

Darknet

Darknet to prywatna, ukryta część internetu dostępna tylko przez specjalne oprogramowanie (np. Tor), często wykorzystywana do komunikacji anonimowej, ale również do działalności nielegalnej.

 

Sam dostęp do darknetu nie jest nielegalny, ale nieostrożne korzystanie z niego może być ryzykowne prawnie i technicznie.

Internet dzieli się z grubsza na trzy warstwy:

• clear web (powierzchniowy) — to ten widoczny, otwarty internet np. wszystkie powszechnie znane i używane strony czy serwisy (Google, YouTube, Wikipedia i miliony innych),

• deep web (głęboka sieć) — to treści ukryte przed wyszukiwarkami, ale zasadniczo nadal dostępne z otwartej sieci (np. intranety, prywatne bazy danych, wszystko co nieindeksowane lub nielinkowane),

• darknet / dark web — to bardziej ukryta część internetu, a więc np. strony .onion w sieci Tor.

Darknet jest to więc zamknięta, prywatna część internetu, działająca na specjalnych protokołach i sieciach, np.:

• Tor (The Onion Router) – najpopularniejszy,

• I2P (Invisible Internet Project) – skupia się na komunikacji peer-to-peer,

• Freenet – zdecentralizowane przechowywanie danych.

Są pewne legalne zastosowania darknet-u tj. komunikacja dla dziennikarzy i informatorów (np. SecureDrop), blogi aktywistów żyjących w reżimach autorytarnych lub ukryte wersje stron (BBC News, ProtonMail).

Ale są też kontrowersyjne lub wprost nielegalne zastosowania (narkotyki, broń, fałszywe dokumenty, treści zakazane, usługi hakerskie, wycieki danych, …).

Dostęp

Aby skorzytać z Tor potrzeba naprawdę niewiele — przeglądarki Tor Browser.

Tor Browser to specjalna przeglądarka internetowa, która została opracowana w oparciu o Mozilla Firefox, ale jest zintegrowana z siecią Tor.

 

Zerknij na https://www.torproject.org/download/

Tor Browser pewnie jest dostępny na Twoją platformę.

Nawet gdyby Tor Browser nie korzystał z Tor to byłby świetną przeglądarką. Zwróć proszę uwagę na kilka jej charakterystycznych cech:

• izolowanie kart od siebie (a przez to blokowanie tzw. third-party trackers),

• automatyczne czyszczenie ciastek i historii,

• zapobieganie fingerprintowaniu przeglądarki,

• tylko https,

• blokowanie skryptów.

 

Powyższe funkcjonalności bywają w pewnym stopniu wbudowane w inne przeglądarki, ale pewnie musisz je odnaleźć i świadomie włączyć.

Jeśli czegoś brakuje być może jest rozszerzenie, które dostarczy tę funkcjonalność. Warto poszukać.

Dodatki do przeglądarki

To bardzo fajna sprawa, że współczesne przeglądarki zbudowane są tak, aby można było integrować się z nimi i rozszerzać ich możliwości. Jednak instalacja dodatków (rozszerzeń) do przeglądarki może wiązać się z realnym zagrożeniem dla prywatności i bezpieczeństwa.

1. Zagrożenie dla prywatności

   Dodatki mogą śledzić Twoją aktywność online, np. historię przeglądania, kliknięcia, lokalizację czy czas spędzony na stronach. Bywa, że zbierają dane i sprzedają je firmom trzecim, np. reklamodawcom.

    

   Czytaj opinie i oceny – sprawdź, czy inni użytkownicy nie zgłaszają problemów.

2. Złośliwe rozszerzenia (malware)

   Niektóre rozszerzenia są stworzone wyłącznie w celu kradzieży danych, np. haseł, danych kart kredytowych czy ciasteczek sesyjnych. Złośliwe dodatki mogą przejąć kontrolę nad przeglądarką: zmieniać strony startowe, wstrzykiwać reklamy lub przekierowywać na fałszywe strony.

    

   Pobieraj tylko z oficjalnych źródeł (Chrome Web Store, Firefox Add-ons).

3. Nieautoryzowane działania

   Rozszerzenia mogą mieć bardzo szeroki dostęp do przeglądarki, np. możliwość:

   • czytania i modyfikowania zawartości wszystkich odwiedzanych stron,

   • odczytywania danych wpisywanych w formularze,

   • zapisywania plików na dysku.

    

   Sprawdzaj uprawnienia, które dodatek wymaga – jeśli są podejrzanie szerokie, to sygnał ostrzegawczy.

4. Deanonimizacja w Torze

   W przeglądarce Tor Browser instalacja dodatków to poważne ryzyko. Rozszerzenia mogą ujawnić Twój prawdziwy adres IP, dane systemowe, język przeglądarki itp. Nawet legalny dodatek może przypadkiem ujawnić informacje, które pozwolą Cię zidentyfikować.

    

   Nie instaluj dodatków w Tor Browserze – to złamanie jego modelu bezpieczeństwa.

Paczki instalacyjne

Jeśli decydujesz się na Tor to masz pewnie ważne powody ku temu. Jest to dobry moment, żeby uważnie przyjrzeć się szczegółom, które być może wcześniej, w innych przypadkach, pozostawały niezauważone.

 

Zerknij na https://www.torproject.org/download/

Zauważ, że pod opcjami pobrania przeglądarki na konkretną platformę jest napis “Signature”, który umożliwia pobranie właściwego pliku .asc z podpisem cyfrowym paczki instalacyjnej.

Weryfikacja podpisu elektronicznego do pobranego instalatora oprogramowania to kluczowy krok bezpieczeństwa, który pomaga upewnić się, że:

1. Plik pochodzi od zaufanego źródła (autentyczność)

   Podpis elektroniczny potwierdza, że dany plik został rzeczywiście stworzony przez konkretnego wydawcę (np. Microsoft, Mozilla, itp.), a nie przez osobę podszywającą się pod niego.

    

   Jeśli nie wiesz jak zweryfikować podpis to pomocne instrukcje znajdziesz na stronie: https://support.torproject.org/tbb/how-to-verify-signature/

2. Instalator nie został zmodyfikowany (integralność)

   Jeśli plik został zmieniony, zainfekowany wirusem, zaktualizowany bez wiedzy producenta, podpis przestaje być ważny. To pozwala wykryć, czy ktoś np. wstrzyknął złośliwy kod do instalatora.

    

   Czasami zamiast podpisu (np. plik .asc) znajdziesz sumę kontrolną (np. plik .sha). Weryfikacja sumy kontrolnej też jest cenna. Przynajmniej dowiesz się, że żaden bajt nie został zmieniony (przypadkiem lub celowo).

3. Chronisz się przed atakami typu „supply chain”

   To coraz popularniejsze ataki, w których hakerzy infekują legalne pliki instalacyjne na oficjalnych serwerach. Podpis pozwala wykryć, że coś jest nie tak – nawet jeśli pobrałeś plik z pozornie zaufanego źródła.

4. Podczas pobierania coś mogło się wydarzyć

   Twoje połączenie mogło zostać przejęte (np. przez atak typu MITM – man-in-the-middle). Podpis to jedyny sposób, żeby zweryfikować plik lokalnie, niezależnie od tego, skąd pochodzi.

Zdrowa paranoja

Jeśli teraz pytasz się np. o to czy:

• oprogramowanie do weryfikowania podpisu nie zostało zmienione lub zmodyfikowane,

• a może sama przeglądarka,

• a może pewien komponent systemu operacyjnego?

To bardzo dobrze — to zupełnie zdrowa sytuacja.

Aby mieć pewność co tak naprawdę robi oprogramowania na Twoim komputerze trzeba by przeczytać ze zrozumieniem kod źródłowy i samodzielnie go skompilować.

Sam system operacyjny jest ogromny, a oprogramowania użytkowego jest jeszcze więcej. Dlatego jedyne praktyczne rozwiązanie to świadomie obdarzyć kogoś lub coś Twoim zaufaniem.

 

Przejdź na stronę logowania do Twojego banku i pomyśl o tym skąd bierze się pewność, że to faktycznie strona Twojego banku i że nikt nie pozna Twoich danych logowania?

https — fajnie, ale czy przeglądarkę masz z zaufanego źródła? Nikt w niej nie grzebał? Dodatki nie przyglądają się temu co piszesz i kilkasz?

certyfikat zwalidował się poprawnie — fajnie, a system operacyjny masz z zaufanego źródła? Nikt przy nim nie grzebał? Nic nie podmieniło certyfikatów CA, które z nim przyszły?

Wiadomo, że można się starać, a i tak coś przegapić.

Myślę, że masz dobrą intuicję w tym zakresie — pewne przedmioty lub narzędzia mogą być myte (stół, naczynia, sztućce), mogą być sterylizowane (sanitariat, szkło laboratoryjne, rękojeść skalpela), ale niektóre są po prostu jednorazowe (wacik, igła, ostrze skalpela).

Może warto byłoby mieć jednorazowy system operacyjny wraz z całym oprogramowaniem?

Tails

Kiedyś był to osobny projekt, a od 2024 jest to cześć Tor-a.

The Amnesic Incognito Live System (Tails) to specjalny system operacyjny oparty na Linuksie, zaprojektowany z myślą o maksymalnej prywatności, anonimowości i bezpieczeństwie użytkownika.

Tails działa jako Live – uruchamiasz go z pendrive’a lub DVD, bez instalacji na dysku. Po wyłączeniu komputera domyślnie nie zostaje żaden ślad – nie zapisuje historii, plików ani danych logowania. (Choć możesz to świadomie zmienić — w końcu to Twój system).

Cały ruch internetowy jest automatycznie przekierowywany przez sieć Tor, a na pokładzie znajdziesz szereg narzędzi do pracy (do szyfrowania plików i poczty, menadżer haseł, do usuwania metadanych z dokumentów i zdjęć, …).

 

Zerknij na https://tails.net/install/index.en.html

Tails przychodzi w formacie na pendrive lub na płytę DVD. Instrukcje dla poszczególnych systemów operacyjnych mówią jedynie o tym jak pobrany plik Tails wgrać na pendrive. Sam Tails działa zupełnie niezależnie od systemu, którego używasz, aby go pobrać.

Pendrive czy DVD?

DVD ma tę zaletę, że w raz wypalonym już nic się zmienić nie da. Można jedynie podmienić całą płytę. Wada jest jednak taka, że coraz trudniej o komputer z czytnikiem. We wspołczesnych laptopach próźno takiego szukać; w stancjonarnym PC można je spotkać.

System ładowany z DVD będzie wolniej niż w przypadku sensownego pendrive.

Ogólnie to nawet nie musi być pendrive — jeśli masz ochotę użyć dysku zewnętrznego (ssd, hdd) to możesz. Nawet nie musi to być dysk zewnętrzny lecz coś co masz podłączone na stałe (sata, m2, …).

Wybierzesz pendrive jeśli chcesz mieć kawałek stałego miejsca na dane (tzw. persistent storage), choć z drugiej strony możesz swoje dane trzymać na dowolnym urządzeniu (niekoniecznie tuż obok systemu operacyjnego).

 

Jeśli zdecydujesz się na DVD to ponież plik .iso (a nie .img).

Jeśli chcesz to .iso też możesz nagrać na pendrive. .iso to też fajna opcja jeśli chcesz sprawdzić Tails na maszynie wirtualnej.

Bezpieczny, ale nie magiczny

Tezę, że Tails jest bezpieczniejszy niż każdy zwyczajny system operacyjny da się łatwo uzasadnić. Ale nie uchronić Ciebie przed czymś po prostu głupim jeśli naprawdę bedziesz chcieć to zrobić:

1. Przekazania plików z metadanymi

   Metadane to dane o danych – czyli informacje opisujące zawartość pliku, jego pochodzenie, autorstwo, czas utworzenia itp. Występują w różnych typach plików i często są ukryte przed zwykłym użytkownikiem.

   W plikach graficznych (np. JPG, PNG, TIFF) są metadane EXIF (Exchangeable Image File Format), np.: data i godzina wykonania zdjęcia, model aparatu lub telefonu, ustawienia aparatu (ISO, czas naświetlania, przysłona), współrzędne GPS (lokalizacja), dane autora / właściciela, program użyty do edycji zdjęcia.

   W dokumentach tekstowych (np. DOCX, PDF, ODT) lub arkuszach kalkulacyjnych (np. XLSX, ODS) można zostać umieszczone: imię i nazwisko autora, nazwa firmy lub użytkownika systemu, data utworzenia i modyfikacji, liczba edycji / czas pracy nad dokumentem, historia zmian (track changes), tagi, słowa kluczowe, nazwa komputera lub ścieżka pliku źródłowego.

   W plikach wideo i audio (np. MP4, MP3, WAV) można spotkać dane o urządzeniu nagrywającym lub lokalizacja (czasem GPS w plikach z kamer i telefonów).

   Trudno wymienić wszystkie formaty ale ogólnie (np. ZIP, programy EXE, pliki systemowe) można spodziewać się informacji tj.: data utworzenia i ostatniego dostępu, nazwa twórcy / właściciela, nazwa systemu lub programu użytego do stworzenia pliku, czasami ścieżka źródłowa lub pewne znaczniki bezpieczeństwa (np. czy plik pochodzi z internetu).

2. Mieszanie pracy z czasem wolnym.

   Żyjemy w czasach kiedy przeplatamy czas poświęcany rodzinie lub hobby nauką lub pracą. W takim stanie łatwiej o błędy i przeoczenia. Twórcy Tails zachęcają do tego, aby jedna sesja (lub instancja) Tails służyła tylko i wyłącznie do jednej rzeczy.

   To bardzo dobra życiowa porada, aby w miarę możliwości wprowadzić taką separację.

3. Tor też ma ograniczenia

   Operator lokalnej sieci może stwierdzić, że używasz Tor; może go też blokować. W razie potrzeby zerknij na https://tails.net/doc/anonymous_internet/tor/index.en.html aby dowiedzieć się więcej o mostkach (bridges).

   Operator exit node może potencjalnie przyglądać się Twojemu ruchowi sieciowemu. Zerknij na https://support.torproject.org/https/https-1/ gdzie znajdziesz świetną interaktywną grafikę, która całkiem dobrze pokazuje co, dla kogo i pod jakimi warunkami może być widoczne.

4. Sprzęt któremu można zaufać to coraz większe wyzwanie

   Jeśli czytasz ten dokument od początku to pewnie wiesz już jak ważne jest ustanowienie zaufania. Tak więc nie jest bez znaczenia jakiego sprzetu i oprogramowania użyto do pobrania i nagrania Tails na Twoje urządzenie.

   Jeśli używasz cudzej maszyny to nie znasz pewnie jej konfiguracji. Jeśli używasz czegoś przypisanego do Ciebie, ale będącego w publicznej przestrzeni (komputer biurowy) to też nie masz pewności czy czegoś do niego nie podpięto, gdy Ciebie nie było na miejscu. Nawet Twój laptop jeśli zostawisz go w pokoju hotelowym można rozebrać i podłączyć coś w środku, gdy Ty jesteś na basenie.

   A być może najtrudniejszą barierą do pokonania jest firmware, a więc zamknięte oprogramowanie, które pracuje wprost na chipach wewnątrz Twojego komputera. Jest ono konieczne, ale jest to poziom poniżej systemu operacyjnego, więc masz kolejne firmy, którym musisz ufać, że wykonują dobrą i rzetelną robotę.

    

   Zerknij np. na https://puri.sm/products/librem-14/

   Jeśli szukasz sprzętu, któremu możesz zaufać to wiedz, że nie jest to jedyna tego typu inicjatywa. Ogólnym celem jest to, aby na sprzęcie — w takim stopniu w jakim to tylko możliwe — pracowało jedynie wolne oprogramowanie. Nie jest to łatwe przedsięwzięcie.

   Zerknij także np. na https://en.wikipedia.org/wiki/List_of_open-source_mobile_phones aby zapoznać się z listą inicjatyw zbudowania wolnego (free) telefonu.

Jak to włączyć?

Załadowanie Tails (lub innego systemu operacyjnego) z przenośnego nośnika może być ciekawym doświadczeniem, gdyż może się okazać, że:

• Twoje dane na dysku twardym są bezproblemowo dostępne, choć wydawało się Tobie, że ktoś musi znać hasło do Twojego konta, aby się do nich dostać,

• trzeba będzie trochę persfazji, aby Twój komputer chciał to zrobić.

 

Zerknij na https://tails.net/doc/first_steps/start/pc/index.en.html

Znajdziesz tam podpowiedź jak skłonić Twój komputer, aby z innego nosinika załadował inny system operacyjny.

System działający na Live może mieć problemy z niektórym sprzętem. Nie zawsze jest to problem — do specjalnych zastosowań do jakich używasz Tails pewnie nie potrzebujesz, aby działało wszystko bez wyjątku i to z maksymalną wydajnością.

Jednak jeśli nie ładuje się tryb graficzny to skutcznie uniemożliwi to wygodne korzystanie z normalniej przeglądarki.

 

Zerknij na https://tails.net/support/known_issues/graphics/index.en.html

Może masz chip graficzny, który wymaga dokonania drobnej korekty w systemie, aby wszystko ruszyło.

Możesz też zerknąć na https://tails.net/support/known_issues/index.en.html w poszukiwaniu rozwiązań innych znanych problemów z niektórym sprzętem.

Miejsce na dane

Choć pewnie masz w sobie ducha do eksperymentowania to na tym etapie na pewno wiesz, że warto czytać dokumentację. Nawet jeśli chcesz wczytywać się w szczegóły to naprawdę warto chociaż “rzucić okiem”, aby wiedzieć co gdzie jest i co w ogóle jest możliwe.

Szczególnie wartościowe jest ten rozdział dokumentacji Tails, który dotyczy miejsca na dane, które nie mają ginąć, gdy wyłączasz system.

 

Zerknij na https://tails.net/doc/persistent_storage/index.en.html

Bez trwałego miejsca na Twoje dane Tails nie będzie zapisywał nic na jakikolwiek dysk. Pracuje on w całości w pamięci operacyjnej Twojego komputera, a więc po wyłączeniu systemu wszystko co w niej było jest tracone.