Людей, которых идентифицируют, редко ловят хитрой атакой на шифрование. Их находят по связям: одно и то же имя пользователя, одна и та же почта, один и тот же IP, одни и те же привычки в письме. Операционная безопасность (OpSec) — это дисциплина устранения таких связей. Это практический чек-лист для тех, кто управляет сервером и дорожит приватностью, будь то ради безопасности, бизнеса или принципа.
1. Определите, от кого вы прячетесь
Конкурент, преследователь, враждебное государство и скучающий парсер требуют совершенно разной защиты. Сначала запишите свою угрозу, а затем тратьте усилия там, где это важно. «Все» — это не модель угроз.
2. Разделяйте личности
Используйте отдельное имя пользователя, адрес почты и пароль для каждого проекта. Никогда не повторяйте ник из личного или старого аккаунта. Одной общей детали достаточно, чтобы связать всё воедино.
3. Никогда не входите из дома без защиты
Ваш домашний IP-адрес — самый сильный идентификатор из всех. Подключайтесь к серверу через VPN или Tor и делайте это неизменно. Один-единственный прямой вход с домашнего подключения навсегда останется в журналах провайдера и в auth.log вашего сервера.
4. Платите способом, соответствующим вашей угрозе
Платежи картой и через банк привязаны к вашему имени. Монеты различаются по степени отслеживаемости, а биржи требуют удостоверение личности. Прочитайте основы приватности криптовалют и пополняйте аккаунт монетами, подходящими под вашу цель.
5. Следите за метаданными
- Документы и изображения содержат имена авторов и данные GPS. Удаляйте их перед публикацией.
- Записи WHOIS раскрывают владельцев доменов, если не включена защита приватности. См. как анонимно купить домен.
- TLS-сертификаты публичны. Сертификат на имя, которое вы используете где-то ещё, связывает одно с другим.
6. Сведите публичное лицо сервера к минимуму
Закройте все неиспользуемые порты, скройте версии ПО и настройте виртуальный хост по умолчанию, который ничего не раскрывает при запросе по голому IP. Нужные шаги описаны в руководстве по UFW и fail2ban.
7. Не смешивайте обычный веб и скрытые сервисы
Публичный сайт и onion-сервис на одной машине открывают возможность корреляции по времени, аптайму и баннерам ПО. Используйте отдельные серверы.
8. Осторожно обращайтесь с почтой
Заголовки писем показывают IP отправителя. Отправляйте почту через релей, а не с origin, и прочитайте что можно и нельзя при собственном почтовом сервере.
9. Делайте резервные копии и шифруйте их
Незашифрованная копия в вашем личном облаке сводит все усилия на нет. Используйте зашифрованные резервные копии и храните ключи отдельно от данных.
10. Помните о собственных привычках
Публикации в одни и те же часы, одни и те же обороты речи и одни и те же опечатки выдают человека. Осознавайте это и не обсуждайте свой проект там, где вы указаны под настоящим именем.
Никакая настройка не делает вас невидимым, и ни один хостер не может это обещать. Ваша цель — сделать идентификацию дорогой и избежать простых ошибок, описанных выше. О пределах возможного читайте в статье насколько анонимен анонимный хостинг.