Błędy OPSEC

OPSEC (Operational Security, bezpieczeństwo operacyjne) to praktyka ochrony informacji i zachowań, które mogłyby umożliwić identyfikację. Najskuteczniejsze narzędzia zawodzą, gdy ludzkie nawyki ujawniają prawdę.

Historia zna wiele przypadków, w których wprawni operatorzy zostali wykryci nie z powodu złamania kryptografii, lecz przez jeden nieostrożny błąd. W tej lekcji przeanalizujemy te błędy, aby można było ich unikać podczas autoryzowanych działań.

Klasycznym błędem jest łączenie anonimowej persony z prawdziwą tożsamością. Przykłady:

• Logowanie się do osobistej poczty lub konta społecznościowego podczas korzystania z Tor.
• Ponowne używanie nazwy użytkownika w kontach anonimowych i prawdziwych.
• Uzyskiwanie dostępu do osobistej witryny i ukrytej witryny podczas tej samej sesji.

Jedno powiązanie wystarczy, aby śledczy na stałe połączyli ze sobą fakty.

Pliki zawierają ukryte metadane. Zdjęcia przechowują współrzędne GPS i numery seryjne aparatów (EXIF). Dokumenty przechowują nazwiska autorów, wersje oprogramowania i znaczniki czasu.

Przed udostępnieniem czegokolwiek z anonimowej tożsamości należy zawsze usunąć metadane.

Stylometria analizuje styl pisania: słownictwo, interpunkcję, typowe literówki i sposób formułowania zdań. Styl pisania może umożliwić rozpoznanie danej osoby między kontami, nawet gdy nic innego ich nie łączy.

Operatorzy byli demaskowani, ponieważ ich anonimowe wpisy pasowały do charakterystycznego stylu ich publicznych wypowiedzi.

To, kiedy jesteś aktywny, ujawnia wiele informacji. Jeśli anonimowe konto jest dostępne online tylko od 9:00 do 17:00 w określonej strefie czasowej, zawęża to możliwą lokalizację i harmonogram.

Korelacja godzin aktywności ze znanymi osobami jest rzeczywistą techniką deanonimizacji. Należy zmieniać wzorce i unikać dopasowywania anonimowej aktywności do codziennego planu dnia.

Ponowne używanie tego samego adresu e-mail, numeru telefonu, serwera, klucza SSH lub portfela Bitcoin w różnych działaniach tworzy powiązania. Jeden ponownie użyty identyfikator może połączyć działania, które miały być od siebie oddzielone.

Należy stosować separację: każda tożsamość powinna mieć własną odizolowaną infrastrukturę, która nigdy nie styka się z inną.

Niebezpieczne jest zakładanie, że narzędzie zapewnia więcej, niż faktycznie zapewnia:

• Przekonanie, że VPN zapewnia anonimowość (zaufanie zostaje przeniesione na dostawcę).
• Korzystanie z HTTP przez węzeł wyjściowy Tor i ujawnianie danych uwierzytelniających.
• Założenie, że tryb „incognito” lub „prywatne przeglądanie” ukrywa użytkownika przed siecią.

Należy rozumieć dokładne gwarancje i ograniczenia każdego narzędzia.

Podstawową zasadą obrony jest separacja: tożsamości, urządzenia i infrastrukturę należy utrzymywać w ścisłym rozdzieleniu, aby naruszenie jednego elementu nie przeniosło się na kolejne.

Systemy operacyjne takie jak Tails (amnezyjny, kierujący cały ruch przez Tor) i Qubes OS (zapewniający bezpieczeństwo dzięki odizolowanym maszynom wirtualnym) zostały stworzone specjalnie do wymuszania takiego rozdzielenia.

Wielu operatorów zostało schwytanych, ponieważ mówili: przechwalali się na czacie, zwierzali znajomemu, który został informatorem, albo wspominali szczegół ze świata rzeczywistego (lokalny punkt orientacyjny, imię zwierzęcia, szkołę).

Im więcej informacji zostanie ujawnionych, tym więcej danych do korelacji powstaje. Milczenie to silny element OPSEC.

Dobre OPSEC wymaga planowania, a nie improwizacji. Proces wygląda następująco:

• Określ, czego musisz chronić (tożsamości, lokalizacji, zamiarów).
• Przeanalizuj zagrożenia: kto próbuje Cię znaleźć i jakie ma możliwości?
• Oceń podatności w swoim obecnym zachowaniu.
• Zastosuj środki zaradcze i regularnie je przeglądaj.

Dyscyplina przewyższa każde pojedyncze narzędzie.

Słynne operacje wykrycia sprawców potwierdzają te lekcje. Operatorzy zostali schwytani, ponieważ:

• Ponownie użyli starej nazwy użytkownika z forum, którą można było powiązać z osobistym adresem e-mail.
• Opublikowali zdjęcie, którego dane GPS EXIF ujawniły ich miejsce zamieszkania.
• Raz zalogowali się do infrastruktury bez warstwy anonimowości.

Konfiguracja techniczna była często znakomita; jeden ludzki błąd ją zakończył. Analizuj te przypadki, aby zrozumieć, jak kumulują się drobne pomyłki.

Przeanalizowałeś błędy OPSEC, które demaskują ludzi:

• Mieszanie tożsamości oraz ponowne używanie nazw użytkowników lub infrastruktury.
• Ujawnianie metadanych, zdradzanie stylu pisania i wzorców czasowych.
• Ufanie narzędziom w zakresie wykraczającym poza ich gwarancje oraz gafy towarzyskie i przechwalanie się.
• Obrona polega na separacji (Tails, Qubes) i opracowaniu przemyślanego planu OPSEC.

To kończy moduł Anonimowość i OPSEC. Następny moduł: Metasploit Framework Mastery.