Protejează-te

Când înregistrezi o cheie, aceasta stochează un secret legat de domeniul real al site-ului. La autentificare, site-ul trimite o provocare, iar cheia o semnează, dar numai după ce verifică că domeniul care solicită corespunde celui cu care a fost înregistrată.

Pe un domeniu care imită, cheia pur și simplu refuză. Nu pentru că a observat ceva suspect, ci pentru că matematica nu produce o semnătură validă pentru domeniul greșit. Nu există nimic pe care atacatorul să-l fure și să-l retransmită.

Această protecție este structurală. Nu depinde de faptul că observi o adresă scrisă greșit când ești obosit. Exact de aceea este prima pe această pagină.

Înregistrează ambele chei pe fiecare cont și păstrează a doua în alt loc — un sertar acasă, o persoană de încredere, un seif. Un cont securizat cu o singură cheie și fără backup este un cont pe care îl poți pierde definitiv.

Salvează codurile de recuperare ale fiecărui serviciu în managerul tău de parole pe măsură ce avansezi și dezactivează SMS ca metodă de rezervă după aceea — altfel ai lăsat ușa slabă deschisă lângă cea puternică.

Acolo unde un site nu acceptă chei, folosește Aegis (Android, open source, backup-uri criptate) în loc de SMS.

Un tipar comun după un phishing reușit: atacatorul nu schimbă nimic ce ai observa. Adaugă un filtru care redirecționează silențios o copie a fiecărui mesaj, sau doar a celor care conțin "password", "invoice", "verify", către o adresă a lui, și pleacă.

Îți schimbi parola. Activezi 2FA. Regula este încă acolo, încă se execută. După orice suspiciune de compromitere, verifică regulile înainte de orice altceva.

Proton Mail și Tuta îți criptează căsuța poștală astfel încât furnizorul nu o poate citi, iar ambele au niveluri gratuite. Niciunul nu este magic — corespondența către și de la adrese obișnuite este încă lizibilă la celălalt capăt, dar elimină furnizorul tău ca un singur loc unde totul poate fi cerut sau compromis.

SimpleLogin oferă un alias diferit pentru fiecare serviciu, astfel încât o scurgere nu poate fi corelată cu celelalte, și poți vedea care companie a produs-o.

Ce obții:

• Fără servicii Google decât dacă le adaugi tu, iar când o faci, rulează în sandbox ca aplicații obișnuite, fără privilegii speciale.
• Permisiuni pe care Android nu le oferă: refuză complet accesul la rețea pentru o aplicație, blochează senzorii.
• Un alocator de memorie consolidat și alte apărări orientate direct împotriva instrumentelor de exploatare vândute guvernelor.
• Repornire automată după o perioadă de inactivitate prestabilită, readucând un telefon confiscat în starea în care cheile sale de criptare nu sunt în memorie.
• Un PIN de constrângere care șterge dispozitivul.

Ce te costă: se instalează doar pe telefoane Google Pixel, o ironie demnă de menționat, și asta pentru că Pixel livrează caracteristicile de securitate hardware și permit un OS personalizat verificat. Pixelii mai vechi nu mai primesc actualizări hardware, așa că cumpără unul încă în perioada de suport. Unele aplicații bancare și guvernamentale refuză să ruleze.

Instalarea se face de pe un computer prin USB și durează aproximativ o jumătate de oră. Instalatorul web este prietenos pentru începători.

Jurnalistul Richard Medhurst a fost arestat la Heathrow pe 15 august 2024 în temeiul secțiunii 12 din Legea britanică privind terorismul din 2000, iar dispozitivele sale au fost confiscate. El a relatat că cererile repetate pentru codul său de acces au fost refuzate și că telefonul său GrapheneOS i-a protejat conținutul datorită funcției auto-reboot: un dispozitiv lăsat fără codul de acces corect pentru o perioadă stabilită se repornește singur, revenind la starea de dinainte de prima deblocare, unde cheile de criptare nu sunt în memorie.

Raportând despre acest caz în Computer Weekly, profesorul Steven Murdoch de la University College London a observat că până și instrumentele criminalistice comerciale de top au eșuat uneori să extragă date din dispozitivele GrapheneOS fără parolă, mai ales atunci când telefonul fusese repornit recent.

Asta înseamnă „testat în luptă” aici. Nu o afirmație de marketing, ci un caz documentat al telefonului unui jurnalist în mâinile unui stat care voia ce era pe el și nu a obținut.

Computer Weekly, relatarea completă  ·  copie arhivată

Oamenii care dezbat acest proiect online discută în mare parte despre personalități. Întrebarea din fața ta este mai îngustă: acest software face un telefon mai greu de accesat decât cel pe care îl porți acum.

Pe baza dovezilor publicate și pe baza a cel puțin unui caz în care a fost încercat în realitate, da.

Majoritatea oamenilor presupun că Linux înseamnă mai multă securitate. Pe telefoane, acest lucru nu este adevărat și merită știut înainte de a cheltui bani.

GrapheneOS rezistă mai bine în fața atacurilor. Boot verificat, izolare puternică între aplicații, un alocator de memorie întărit și apărări îndreptate direct împotriva instrumentelor de exploatare vândute guvernelor. Un telefon Linux obișnuit nu are nimic din toate acestea: fără boot verificat, software în stil desktop cu o suprafață de atac mult mai mare și izolare a aplicațiilor care este slabă în comparație.

Un telefon Linux este mai bun la control. Fără Google nicăieri, un sistem pe care chiar îl poți inspecta și modifica, iar pe unele modele comutatoare fizice — care sunt singura modalitate de a fi sigur că un microfon este oprit și mai puternice decât orice promisiune software.

Modele de amenințare diferite. Dacă ești îngrijorat de spyware țintit, alege GrapheneOS. Dacă ești îngrijorat de ceea ce face dispozitivul în mod obișnuit și vrei să poți demonstra că camera este deconectată, un telefon Linux răspunde mai bine la asta.

Aplicațiile. Bankingul, aplicațiile de ride-hailing și majoritatea aplicațiilor de zi cu zi pot funcționa normal pe GrapheneOS. Instalează Google Play izolat acolo unde o aplicație are nevoie, apoi permite doar permisiunile și setările de care are cu adevărat nevoie, cum ar fi locația sau notificările. O minoritate de aplicații bancare, guvernamentale sau dependente de DRM încă refuză verificările de integritate a dispozitivului, așa că testează aplicația specifică înainte de a te baza pe ea.

Camera este vizibil mai slabă decât orice telefon modern, ceea ce contează enorm dacă filmezi.

Bateria și finisajul. Software-ul se îmbunătățește lunar, iar funcțiile de bază pot fi încă nesigure. Formularea Pine64 despre hardware-ul lor este că funcționalitatea „poate fi inconsistentă”.

Iar modemul este în continuare proprietar. Un telefon Linux nu elimină banda de bază pe care nu o poți inspecta, este un procesor separat pe orice telefon care a fost vreodată fabricat. Modelele cu întrerupător de urgență rezolvă problema tăindu-i alimentarea, ceea ce este soluția onestă.

Dacă ceea ce vrei de fapt este Android fără Google, mai degrabă decât Linux în mod specific, CalyxOS și /e/OS se situează între cele două: fără Google, mult mai ușor de folosit decât un telefon Linux și mai slab decât GrapheneOS la capitolul securizare care contează cel mai mult.

Pentru majoritatea oamenilor care obiectează față de GrapheneOS din principiu, nu din cauza modelului de amenințare, acesta este răspunsul pragmatic.

Folosește generatorul integrat (pictograma cu zaruri) pentru fiecare site și nu inventa niciodată una singur. Oamenii produc parole previzibile chiar și atunci când încearcă să nu o facă.

• Pentru site-uri web: 20+ caractere, litere, cifre și simboluri. Nu o vei tasta niciodată, așa că lungimea nu te costă nimic. Dacă un site o respinge, scurteaz-o la ce permite, tot aleatorie.
• Pentru fraza ta de acces principală: comută generatorul în modul frază de acces și ia șase sau mai multe cuvinte. Ceva de genul correct-battery-staple-ocean-tiger-mint este atât ușor de reținut, cât și enorm mai greu de spart decât o parolă scurtă cu substituții de simboluri.
• Nu refolosi niciodată fraza de acces principală în altă parte. Ea protejează totul.

Dacă preferi să generezi fraza de acces principală cu zaruri fizice în loc să ai încredere în vreun software, EFF publică o listă de cuvinte exact pentru asta: frazelor de acces generate cu zaruri de EFF.

• Coduri cu doi factori. Poate stoca secrete TOTP și genera codurile, înlocuind o aplicație de autentificare. Convenabil, dar înțelegeți compromisul: parola și al doilea factor ajung atunci în același fișier. Pentru conturile dumneavoastră cele mai critice, păstrați al doilea factor pe un dispozitiv separat sau pe o cheie hardware.
• Atașamente. Stocați codurile de recuperare, fișierele de chei de rezervă și cheile de licență în interiorul bazei de date criptate, nu răzlețe pe disc.
• Starea parolelor. Semnalează intrările slabe, reutilizate și expirate și le poate verifica față de scurgeri de date cunoscute.
• Completare automată. Completează acreditările în aplicațiile desktop, nu doar în browsere.
• Câmpuri personalizate. Întrebări de securitate, numere de cont, orice nu ar trebui să stea într-o aplicație de note.

Baza de date este un singur fișier, deci orice poate muta fișiere o poate sincroniza. Fișierul este deja criptat, așa că nici un furnizor de cloud care îl deține nu poate citi conținutul, dar puteți evita cu totul să îl predați:

• Syncthing — sincronizează direct între propriile dispozitive, fără niciun server intermediar.
• Cryptomator, dacă folosiți totuși un folder cloud, criptați-l din nou mai întâi.

Nu îl sincronizați pe două dispozitive și nu editați pe ambele offline, veți crea o copie conflictuală și este obositor de îmbinat. Lăsați un singur dispozitiv să fie cel pe care adăugați intrări.

Dacă toate acestea par mai mult decât doriți să gestionați, Bitwarden se ocupă de sincronizare pentru dumneavoastră și este o alegere perfect bună. Un manager pe care îl folosiți este mai bun decât unul mai bun pe care îl abandonați.

Moderarea automată nu poate distinge o crimă de război de celebrarea ei. Imaginile care contează cel mai mult — o lovitură, un trup, o rană, o armă — sunt exact acelea care au cele mai mari șanse să fie clasificate drept violență grafică și eliminate.

Acest lucru a fost măsurat în altă parte. O evaluare independentă privind drepturile omului, comandată și publicată de Meta, a constatat că propria gestionare a conținutului palestinian a avut un impact negativ asupra drepturilor utilizatorilor la liberă exprimare. Aceeași dinamică se aplică platformelor de stocare și video; pur și simplu este mai puțin vizibilă acolo, pentru că un fișier șters nu devine viral.

Stocarea criptată end-to-end înseamnă că furnizorul deține octeți pe care nu-i poate citi. Nu-i poate scana, deci nu-i poate semnala, așa că problema ștergerii de mai sus dispare în mare parte. Acesta este tot motivul pentru a face mutarea.

Nu te pune nu în afara procesului legal. Proton este o companie elvețiană și răspunde în fața instanțelor elvețiene: în 2021 s-a conformat unui ordin de a înregistra adresa IP a unui utilizator într-un caz francez. Nu a putut preda conținutul mesajelor, pentru că nu le are, dar distincția contează și ar trebui să o știi decât să o afli mai târziu.

Și dacă uiți parola unui cont criptat end-to-end, datele sunt pierdute. Nimeni nu ți le poate reseta. Pune-o în managerul tău de parole.

1. Scoate mai întâi materialul de neînlocuit. Înregistrări video, documente, orice nu poate fi recreat. Pe stocare criptată și pe un disc pe care îl deții, înainte de a se schimba orice altceva.

2. Apoi mută-ți emailul, pentru că este calea de recuperare pentru orice alt cont și lucrul la care cel mai puțin vrei să pierzi accesul.

3. Apoi lucrurile mici — căutare, browser, hărți, care nu costă nimic și pot avea loc oricând.

4. Nu șterge contul Google. Lasă-l, gol, ca adresă de redirecționare și opțiune de recuperare. Ștergerea lui dintr-o singură mișcare este modul în care oamenii pierd contul către care încă mai indică alte servicii.

Fără foldere partajate. Funcția convenabilă care permite VM-ului să vadă documentele tale reale este exact puntea pe care o folosește malware-ul. Mută fișierele în mod deliberat, unul câte unul.

Rețeaua oprită implicit. Majoritatea lucrurilor împotriva cărora te protejezi vor să sune acasă sau să aducă o a doua etapă.

Fă o instantaneu al VM-ului curat odată configurat și revino la el în loc să te încrezi că ai curățat. Un VM este o graniță puternică, nu una perfectă — evadările există și sunt rare și costisitoare. Pentru riscuri obișnuite este mai mult decât suficient.

Când încarci o pagină, browserul tău răspunde la multe întrebări mici fără să i se ceară: dimensiunea și adâncimea de culoare a ecranului, fusul orar, limba, sistemul de operare, numărul de nuclee CPU, fonturile instalate, placa grafică.

Două tehnici merg mai departe. Amprentarea canvas cere browserului tău să deseneze o imagine invizibilă; diferențele minuscule din hardware-ul grafic și driverele tale fac rezultatul măsurabil al tău. Amprentarea audio face același lucru cu un sunet care nu este niciodată redat.

Niciuna nu identifică singură. Împreună, da: „Firefox 141 pe Linux, 2560×1440, Europe/Athens, aceste 94 de fonturi, acest GPU” poate descrie o singură persoană din câteva milioane. Nu este nevoie de niciun cookie, așa că ștergerea lor nu schimbă nimic.

Partea contraintuitivă: să-ți faci browserul neobișnuit înrăutățește situația. O extensie rară, un font personalizat, o fereastră redimensionată te fac mai ușor de distins. Apărarea nu este să te ascunzi, ci să arăți identic cu o mulțime mare.

Mullvad Browser, cea mai bună opțiune implicită pentru majoritatea oamenilor. Creat de Tor Project împreună cu Mullvad: Tor Browser cu rețeaua Tor eliminată, astfel încât fiecare utilizator prezintă aceeași amprentă. Gratuit și nu necesită un abonament Mullvad.

Tor Browser, când ai nevoie de anonimat, nu doar de confidențialitate. Mai lent; unele site-uri îl blochează.

Firefox cu arkenfox, un browser bun de zi cu zi, securizat. Mai mult efort.

Brave — randomizează semnalele în loc să le standardizeze. Un pariu rezonabil, diferit.

Adaugă uBlock Origin la Firefox sau Brave. Nu adăuga extensii la Mullvad sau Tor Browser — ai ieși din mulțimea care te protejează.

Chrome este ceea ce trebuie să abandonezi: creat de cea mai mare companie de publicitate din lume, și browserul în care aceste tehnici se simt cel mai bine.

De ce Mullvad: contul tău este un număr aleatoriu de 16 cifre. Fără email, fără nume, fără parolă. Poți plăti în numerar. Nu există nimic în înregistrările lor care să conecteze un cont la o persoană, o garanție mai puternică decât o promisiune de a nu păstra jurnale.

Ce nu face: un VPN nu este anonimat. Nu împiedică un site să-ți identifice browserul prin amprentare, nu oprește urmărirea cât timp ești conectat în conturile tale și nu te ascunde de un serviciu în care te autentifici. Aproape fiecare VPN promovat online vinde exact această impresie falsă.

Dacă ai nevoie de anonimat, nu de confidențialitate față de furnizorul tău de internet, îți trebuie Tor, nu un VPN.

• Ambele companii au fost numite ca participante la PRISM în documentele Snowden din 2013 — Microsoft prima, în 2007; Apple în 2012. Guardian, iunie 2013
• Microsoft a colaborat cu NSA pentru accesul la serviciile sale, inclusiv ajutând la ocolirea propriei criptări pe Outlook.com. Guardian, iulie 2013
• Au existat înțelegeri secrete de acces și în alte părți ale industriei de securitate. CIA și BND german au deținut în secret Crypto AG, ale cărei mașini de criptare erau vândute guvernelor în timp ce proprietarii puteau citi traficul. Această istorie explică prudența; nu dovedește nimic despre un sistem de operare desktop modern. National Security Archive

Documentele Snowden stabilesc accesul guvernamental la serviciile și datele companiilor. Ele nu stabilesc un mecanism ascuns de acces în Windows sau macOS. Sursa închisă, de asemenea, nu dovedește că unul există; înseamnă că persoanele din afară au mai puține modalități de a verifica afirmația într-un sens sau altul.

Această incertitudine este un motiv pentru care preferăm software al cărui cod sursă poate fi examinat. Este o alegere de gestionare a riscurilor, nu o constatare pe care fiecare cititor trebuie să o facă.

Sursa deschisă nu este automat sigură; o mare parte din ea nu este auditată, iar defecte grave au trecut neobservate ani de zile. Dar poate fi examinată, de tine sau de oricine, iar compilările reproductibile îți permit să verifici că programul pe care l-ai primit a fost compilat din sursa pe care ai citit-o. Această posibilitate nu există deloc pentru Windows sau macOS, și acesta, mai mult decât orice dezvăluire individuală, este motivul pentru care am făcut schimbarea.

Unele lucruri chiar nu funcționează: suita Adobe, anumite jocuri, unele instrumente de conferință corporative și hardware cu drivere doar pentru Windows. Verifică de ce depinzi de fapt înainte de a te angaja.

Linux nu este automat mai sigur. O mașină Linux configurată prost este mai rea decât una Windows configurată bine. Ce îți oferă este capacitatea de a verifica și controla, despre care este vorba în secțiunea următoare.

O cale de mijloc rezonabilă: păstrează-ți mașina existentă, pune Linux pe un laptop de rezervă și mută mai întâi munca sensibilă acolo.

Nu lipi niciodată o comandă pe care nu o poți explica înapoi în cuvintele tale, și nu rula niciodată un script care face douăzeci de lucruri deodată. Un asistent va produce cu încredere ceva care șterge ceea ce voiai să muți, iar sudo dă totul.

Întreabă mai întâi ce face comanda. Îți va spune, bucuros, iar acest obicei valorează mai mult decât orice singură soluție pe care ți-o oferă.

Steam rulează o mare parte din catalogul Windows pe Linux prin stratul său de compatibilitate, iar majoritatea jocurilor single-player pur și simplu se instalează și se joacă. Adevărata excepție este multiplayerul competitiv cu anti-cheat la nivel de kernel, care în mare parte refuză să ruleze și este puțin probabil să se schimbe.

Deci dual boot. Păstrează Windows pe mașină pur și simplu pentru acele jocuri, și fă tot restul, conturile tale, emailul tău, fișierele tale, munca ta, pe partea Linux. Instalatorul oferă asta în timpul configurării și nu costă niciun efort suplimentar.

Nu este răspunsul purist, deoarece Windows este încă pe disc. Este cel care face oamenii să treacă efectiv, iar cineva care își face munca reală pe Linux valorează mult mai mult decât cineva care a citit asta și nu a schimbat nimic.

Cu configurația implicită, TPM-ul eliberează cheia doar când starea de pornire măsurată corespunde cu ceea ce se așteaptă BitLocker. Acest lucru blochează citirea discului pe altă mașină și blochează în mod normal un lanț de pornire modificat. Totuși, încarcă cheia înainte de autentificarea în Windows, ceea ce oferă unui atacator echipat cu acces fizic prelungit mai multe căi decât o configurație care necesită și un PIN.

Adăugarea unui PIN pre-pornire închide această breșă. Pe edițiile Pro este o setare de Group Policy — Require additional authentication at startup, după care manage-bde poate adăuga PIN-ul pe unitate. Este cea mai valoroasă modificare din această secțiune pentru un utilizator Windows.

BitLocker complet este o funcție Pro și Enterprise. Windows Home oferă în schimb Device Encryption pe hardware care îl suportă, care este aceeași tehnologie de bază cu mai puține controale, și escrow-ează automat cheia de recuperare în contul tău Microsoft, fără opțiune doar locală.

Dacă acest lucru este inacceptabil pentru ceea ce faci, răspunsurile oneste sunt să faci upgrade la ediție sau să muți lucrul pe Linux, unde cheia este mereu doar a ta.

O instalare standard criptează totul, cu excepția unei mici partiții de boot și a partiției EFI, care trebuie să rămână lizibile pentru ca mașina să pornească. Nu există documente acolo, dar kernelul și fișierele inițiale de boot da, ceea ce face posibil atacul de manipulare de mai jos.

Pentru majoritatea oamenilor acesta este un compromis acceptabil. Dacă nu este, unele distribuții pot cripta și /boot, iar Secure Boot plus o parolă de firmware ridică considerabil ștacheta fără această complexitate.

LUKS poate fi configurat să se deblocheze cu o cheie hardware în locul, sau în plus față de, o frază de acces tastată, același dispozitiv de la Nivelul 1.

Păstrați întotdeauna o frază de acces într-un al doilea slot de cheie când faceți acest lucru. O cheie pierdută sau defectă fără o soluție de rezervă înseamnă că discul este nerecuperabil, iar această defecțiune este permanentă.

Pe Apple Silicon, securitatea este integrată în cip și nu există o parolă de firmware separată de setat, procesul de boot este blocat prin design, iar securitatea la pornire este gestionată prin Recovery.

Pe Mac-urile Intel mai vechi, o parolă de firmware este un pas separat, care merită făcut: blochează pornirea de pe medii externe și împiedică un atacator să pornească în Recovery pentru a te ocoli.

Atacul împotriva căruia te protejează este simplu: cineva cu acces fizic scurt — o cameră de hotel, un birou peste noapte, o geantă lăsată nesupravegheată la o frontieră — pornește mașina ta de pe propriul mediu și modifică fișierele de boot necriptate astfel încât data viitoare când tastezi parola, aceasta este capturată.

Discul tău a fost criptat tot timpul. Nu a ajutat, pentru că l-ai deblocat singur după aceea.

Fii clar despre limite, totuși: o parolă de firmware este o barieră de viteză, nu o încuietoare. Pe multe mașini poate fi ștearsă prin deschiderea carcasei, iar unii producători au parole master de suprascriere. Învinge modificările oportuniste și câștigă timp; nu învinge un adversar hotărât și echipat cu laptopul tău într-o cameră din spate.

Majoritatea routerelor oferă un mod WPA2/WPA3 tranzitoriu, permițând dispozitivelor noi să folosească WPA3 în timp ce cele vechi revin la WPA2. Este mai slab decât WPA3-only, un atacator poate încerca să forțeze revenirea, dar mult mai bun decât WPA2 singur.

Verifică mai întâi ce are nevoie. De obicei este o imprimantă veche sau o priză inteligentă, iar acelea aparțin oricum rețelei de oaspeți.

Routerele furnizate de ISP sunt adesea cele mai proaste dintre toate: gestionare de la distanță activată pentru furnizor, conturi nedocumentate și firmware actualizat la conveniența furnizorului, nu atunci când este descoperită o vulnerabilitate.

De obicei îți poți cumpăra propriul router și poți pune routerul lor în modul doar-modem sau bridge. Dacă vrei să mergi mai departe, OpenWrt este firmware open-source pentru routere cu o durată lungă de suport, și rulează pe o mulțime de hardware obișnuit.

Pentru o listă de verificare completă și întreținută nu există nimic mai bun decât routersecurity.org.

Tails avea reputația de a fi incomod: verificarea descărcării, scrierea corectă pe un stick USB, pornirea unei mașini de pe el, apoi configurarea stocării persistente fără a pierde nimic. Mulți oameni au renunțat undeva pe la mijloc.

Pentru o persoană netehnică, asta făcea Tails nepractic. Această barieră este mult mai scăzută acum. Un asistent AI te poate ghida prin tot procesul pe propriul tău computer — verificând semnătura ca să știi că imaginea nu a fost modificată, scriind stick-ul, găsind tasta de boot pentru laptopul tău specific și explicând ce va păstra și ce nu va păstra stocarea persistentă. Transformă un proces migălos, bine documentat, într-o secvență pe care o poți parcurge fără să cunoști deja terminologia.

Folosește-l când vrei ca o sesiune să nu lase nimic în urmă: un computer partajat sau împrumutat, sau când riscul este ca cineva să examineze ulterior mașina. Rulează pe aproape orice laptop și costă prețul unui stick USB.

Nu te protejează dacă te conectezi la propriile conturi în interiorul lui, asta te identifică indiferent de Tor. Și amnezia taie în ambele sensuri: orice vrei să păstrezi trebuie să ajungă în mod deliberat în Persistent Storage criptat opțional.

Qubes este cea mai puternică securitate practică pentru desktop disponibilă și cere mult: hardware specific, memorie reală și o schimbare în modul în care lucrezi, tu decizi cărei compartimentări aparține fiecare sarcină. Deschiderea unui fișier într-o VM de unică folosință este un clic, ceea ce face Nivelul 6 aproape automat aici.

Asta îl scotea din discuție pentru majoritatea oamenilor netehnici. Un asistent AI te poate ajuta acum să verifici dacă hardware-ul tău este potrivit, să urmezi instalatorul, să creezi primele compartimente și să explice alegerile pe măsură ce le faci. Nu elimină cerințele de hardware ale Qubes’ sau curba sa de învățare, dar face configurarea mult mai accesibilă decât era înainte.

Este destinat persoanelor cu un motiv specific și serios. Dacă citești asta pentru a reduce urmărirea de zi cu zi, Nivelurile 1 și 2 vor face mult mai mult pentru tine.

Înseamnă că adresa ta nu se află într-o scurgere de date care a devenit publică și cunoscută. Aceasta este o afirmație mai restrânsă decât pare. Multe scurgeri de date nu sunt niciodată dezvăluite, sunt tranzacționate în privat ani de zile sau sunt dezvăluite fără ca datele să fie vreodată publicate.

Așadar, tratează un rezultat curat ca o veste bună despre o listă anume, nu ca o afirmație despre conturile tale. Măsurile de altundeva de pe această pagină sunt cele care le protejează cu adevărat.

Chrome și Safari verifică ambele parolele salvate față de încălcările de date cunoscute și merită rulat o dată: Google Password Checkup, sau Parole → Recomandări de securitate pe dispozitivele Apple.

Dar ia aminte la ce ți se spune. Depozitele de parole din browser sunt primul lucru pe care îl ia un hoț de informații, așa că un raport de încălcare acolo este un motiv să le muți într-un manager de parole real, nu un motiv să te simți acoperit.

Browserul tău hash-uiește parola local și trimite doar primele cinci caractere ale acelui hash. Serverul returnează fiecare hash scurs care începe cu acele cinci, adesea câteva sute, iar browserul tău verifică lista.

Parola nu părăsește niciodată dispozitivul tău, iar serverul nu poate spune care dintre răspunsurile trimise a fost cel despre care întrebai. Această proprietate se numește k-anonimitate și de aceea aceasta este o propunere diferită de un site care pur și simplu îți cere să lipești o parolă.

Conversații de zi cu zi cu persoane care nu vor instala nimic neobișnuit. Apeluri vocale și video. Orice situație în care alternativa este ca persoana să revină implicit la SMS sau WhatsApp, care este modul real de eșec.

Cel mai slab la: ascunderea faptului că îl folosești și ascunderea numărului tău de telefon față de organizația însăși.

Primul contact cu cineva cu care nu vrei să faci schimb de numere de telefon. Surse. Oricine nu poate sau nu vrea să înregistreze o identitate. Situații în care faptul că ai un cont nu ar trebui să poată fi legat de tine.

Cel mai slab la: arhive de lungă durată ale conversațiilor sensibile, până când apare V2. Activează mesajele care dispar și problema dispare în mare parte.

Conținutul mesajelor este criptat; o bună parte din metadate nu este. Deoarece camerele sunt replicate pe fiecare server ai cărui utilizatori se află în ele, operatorii acelor servere pot vedea cine este într-o cameră și când este activ. Pe un server public aceasta este o expunere reală și este argumentul pentru a rula propriul server.

Gestionarea cheilor de criptare pe mai multe dispozitive este, de asemenea, mai complicată decât în cazul celorlalte două, iar pierderea lor înseamnă pierderea accesului la mesajele vechi.

O echipă, o redacție sau un grup care lucrează împreună în timp și dorește propria infrastructură. Puncte de legătură către alte rețele. Orice situație în care altfel ai apela la Slack sau Discord și nu ar trebui.

Cel mai slab la: conversația unu-la-unu cu o persoană nepricepută tehnic, unde Signal câștigă la singurul criteriu care contează, și anume dacă o vor folosi.

Frigate — înregistrează și face detectarea obiectelor local, pe propria ta mașină, fără cont în cloud. Funcționează cu camere obișnuite care suportă RTSP.

Home Assistant — rulează camerele și dispozitivele inteligente local și le poate ține complet departe de internet.

Când cumperi, caută o cameră care suportă RTSP sau ONVIF. Asta înseamnă că poate alimenta un recorder local și nu depinde de existența continuă a cloud-ului producătorului.