Безопасные дни
Два года назад хакеры взломали аккаунты журналиста Wired и удалили все фотографии первого года жизни его дочери (и ещё кое-что). Несколько недель назад миллион пользователей Reddit с синхронным чпоком распечатал литровое ведро вазелина с помпой, рассматривая «утёкшие» (краденые) фотографии голливудских старлеток. Потом ещё. Потом в сеть утекли пароли пользователей Gmail, Mail.ru и Yandex.ru — в том числе посложнее qwerty — при этом сами сервисы никто не взламывал, но пароли украсть можно и без этого.
Статья, которую написал Wired по следам взлома своего журналиста, по интонациям больше похожа на руководство «Как сделать так, чтобы тебя не изнасиловали» с пунктами «Не ходи в юбке», «Не ходи по ночам» и «Не ходи с этой хромосомой» — ну, Wonderzine на эту тему уже выступил с привычной феминистической табуретки.
Понятно, что если кто-то по-настоящему захочет прочитать мою почту, посмотреть мои условно личные фотографии и украсть логины и пароли от аккаунтов и интернет-банка, рано или поздно ему это удастся. Тем не менее, стоит хотя бы попробовать застраховаться от самых распространённых неприятностей в интернете — кражи денег со счетов, взлома почты и Skype, мелкого мошенничества и потери всех документов из-за того, что не настроен бэкап.
Можно начать с двух самых разумных шагов.
Шаг первый: купить 1Password
Он стоит $69.99 (примерно 2740 рублей = тональный крем Dolce&Gabbana) «на семью» — лицензия распространяется на 5 аккаунтов — плюс $10 за расширенную версию приложения для iOS, если у вас iPhone или iPad (без него придётся туго, но можно начать с бесплатной версии). Это дорого, но это главная инвестиция в цифровую безопасность, которую вы можете сделать (примерно наравне с антивирусом).
У меня в 1Password хранится 419 логинов, большую часть которых я регулярно обновляю и сортирую. Новые я создаю почти каждый день.
Подробное описание того, что это приложение может делать, есть на сайте — с картинками — так что вкратце. Когда вы регистрируетесь на новом сайте, вы не придумаваете пароль сами, а генерируете его в 1Password. Этот пароль каждый раз новый, длинный, сложный, почти недоступный для запоминания. Параметры можно настраивать.
Этот пароль автоматически сохраняется в базе и синхронизируется через Dropbox или iCloud со всеми приложениями на всех платформах. В следующий раз, когда вам нужно залогиниться, вы нажимаете комбинацию клавиш, и поля заполняются сами.
Этот же трюк работает со старыми логинами и паролями — приложение оценит пароли, которые вы часто вводите на самых посещаемых сайтах, и деликатно предложит их поменять. Со временем, тратя по паре минут в день на замену повторяющихся и слишком простых паролей, вы создадите крепкую базу из сотен безопасных, длинных и сложных связок «логин/пароль», которые будут храниться в зашифрованном виде. В итоге вам нужно будет запомнить только один, самый сложный и странный код: на вход в 1Password.
В этом же приложении могут храниться данные ваших кредитных карт, адреса и телефоны для интернет-шоппинга. На странице оформления покупки в интернет-магазине можно не вбивать свой адрес руками, а нажать комбинацию клавиш, и все поля после логина заполнятся автоматически (кроме секретного кода карты — его нужно по понятным причинам вбить самостоятельно, но храниться он может тут же). У каждого браузера есть расширения 1Password, которые «перехватывают» логины, пароли и заполнения полей. В iOS8 наконец-то появилась возможность пользоваться всеми этими функциями здесь же, в мобильном Safari. Если у вас iPhone 5s и выше, «открывать» 1Password теперь можно отпечатком пальца.
В этот же цифровой сейф можно складывать секретные вопросы, скриншоты кодов аварийного доступа, PIN-коды, коды восстановления и всё, что нужно для безопасности в интернете в принципе. Сломать это всё гораздо сложнее, чем украсть пароли, хранящиеся в открытом виде в заметках на рабочем столе или на стикерах в Dashboard. 500 разных сложных паролей гораздо лучше, чем 20 универсальных. Даже если у вас есть хитрая схема придумывания запоминающихся кодов, они, скорее всего, недостаточно сложны — и почти наверняка вы рано или поздно пару из них забудете или перепутаете.
Шаг второй: включить двухфакторную аутентификацию
Это усложнённый процесс входа в самые важные сервисы. Даже если вы логинитесь со своим супер-сложным паролем, то приложению этого недостаточно. Чтобы открыть почту или купить приложение, вам нужно ввести второй одноразовый пароль. Его вам или присылают в SMS, или вы его генерируете в специальном приложении, или оно отображается на экране одного из дополнительных устройств.
Некоторые банки и компании ещё раздают бумажные или цифровые карточки и электронные «токены», основная задача которых — генерировать и показывать те же самые одноразовые пароли.
Такую усложнённую (но бесплатную и дико надёжную) аутентификацию нужно включить в первую очередь в главных сервисах: Gmail, Facebook — удобнее всего пользоваться его собственным Code Generator в приложении, Dropbox, Evernote, Apple ID, Яндекс.Деньги — и, если есть, в вашем интернет-банке. Twitter и PayPal предлагают такой способ защиты аккаунтов только пользователям из некоторых стран — но тоже можно попробовать.
Да, этот процесс иногда крадёт секунды, особенно если вам нужно залогиниться с нового устройства или быстро-быстро посмотреть кое-что на стойке аэропорта в стране пересадки, а логин в Evernote почему-то оторвался. SMS могут не прийти по разным причинам, так что приходится рыться и искать коды восстановления. В два часа ночи отдельно бесит анальное зондирование Apple — ты хочешь просто скачать бесплатную игру, а тебе нужно сдать отпечаток пальца, пойти за вторым устройством в другую комнату и ввести одноразовый код.
Но двухфакторная аутентификация — большая часть «цифровой гигиены», и аргументы «за» и «против» звучат ровно как «за» и «против» использования презервативов. Вплоть до того, что на проверенных устройствах, с которыми вы давно, и в домашней сети большинство приложений одноразовые пароли не запрашивает. (С вашего позволения, метафору я развивать не буду.)
Включите, короче, одноразовые пароли хотя бы в почте и в банковских аккаунтах.