Comments 101
UFO just landed and posted this here
Многие слышали о разрекламированной Cноуденом программе PRISM, с свою очередь программы класса UPSTREAM осталась немного в тени: а именно благодаря им спецслужбы снимают информацию с глубоководных и иных магистральных каналов связи, а вкупе с неизвестными возможностями дешифровки этого трафика — целесообразность использования облаков в описанном выше случае под вопросом ;)
На счет обысков — помнится, в Нью-Йорке действовал закон (а может и действует еще), который позволял полицейским останавливать и обыскивать прохожих «в случае возникновения подозрения».
Процедура "Stop and frisk" — Верховный суд США в деле Terry v. Ohio, 392 U.S. 1 (1968) постановил, что полиция может совершать «ограниченный обыск» верхней одежды подозреваемого на наличие оружия, в случае если у полиции есть мотивированное и выразимое словами подозрение, что задержанный может быть «вооружен и опасен»
«Право народа на охрану личности, жилища, бумаг и имущества от необоснованных обысков и арестов не должно нарушаться...» — так начинается Четвертая поправка к Конституции США.
Не стоит забывать, что это относится исключительно к гражданам США.
Вы не правы. Согласно принципам экстратерриториальности исключения есть, но вне территории США.
Согласно теории «национального режима» — граждане иностранных государств, находящиеся на территории США имеют тот же комплекс прав, предоставленный Четвертой поправкой США, что и граждане США/люди с ВНЖ в США (permanent residents).
Согласно теории «национального режима» — граждане иностранных государств, находящиеся на территории США имеют тот же комплекс прав, предоставленный Четвертой поправкой США, что и граждане США/люди с ВНЖ в США (permanent residents).
Если прям придраться к формулировке (приставим, что так сделает пограничник), то находясь на границе, вы не в США. Грубо говоря, как пограничники решат, так и будет.
Вспоминая ту же Великобританию, вас просто могут развернуть, если вы не предоставите доступ к своим цифровым устройствам и средствам общения (кажется, на Хабре об этом тоже говорили.)
Вспоминая ту же Великобританию, вас просто могут развернуть, если вы не предоставите доступ к своим цифровым устройствам и средствам общения (кажется, на Хабре об этом тоже говорили.)
Я так понимаю вполне можно создать сервис, который будет подбирать под клиента музыку, книги, игры и т.д. которыми он пользуется в повседневной жизни у себя дома и хотел бы пользоваться за границей без риска нарушения законов страны посещения. А так же подобрать устройство (телефон, плейер, ноутбук, планшет и т.д.) с установленными по желанию заказчика программами и документами, которые не будут нарушать законодательство страны посещения с памятками и рекомендациями по использованию до момента покидания страны посещения. Я вот теперь понимаю, что путешествовать со своими смартфоном очень опасно и чревато уголовными наказаниями (нелицензионная музыка, книги, видео и т.д.).
Я копал вглубь «а могут ли наказать за нелицензионный софт» — но в случаях описанных Выше, правоприменителей беспокоит больше угроза терроризма и распространения детской порнографии.
Другое дело "Международное соглашение по борьбе с контрафактной продукцией (ACTA)"
Но идея классная, касательно сервиса. Обезопасит пользователей от чего-то, вроде, "осудили в России, за стандартный препарат из украинской водительской аптечки, забыл выложить.".
С другой стороны сервисы вроде iTunes и AppStore имеют свои ограничения. Типа много ненапутешествуешь. Была подобная статья на хабре, где товарищу заблочили акк разработчика ;)
Другое дело "Международное соглашение по борьбе с контрафактной продукцией (ACTA)"
соглашение уполномочит работников таможни в аэропортах и на государственных границах проводить обыски ноутбуков, МP3-плееров и сотовых телефонов на предмет незаконно скачанных или скопированных фильмов и музыки. В случае их обнаружения носитель может быть конфискован или уничтожен, а его владелец будет обязан выплатить штраф
Но идея классная, касательно сервиса. Обезопасит пользователей от чего-то, вроде, "осудили в России, за стандартный препарат из украинской водительской аптечки, забыл выложить.".
С другой стороны сервисы вроде iTunes и AppStore имеют свои ограничения. Типа много ненапутешествуешь. Была подобная статья на хабре, где товарищу заблочили акк разработчика ;)
Интересное упоминание про Китай. Никогда не слышал, чтобы кто-то тут изымал какие-либо электронные устройства на границе для проверки. Разве что в порядке проверки всего остального у каких-нибудь Далай-лам и журналистов на пути в Тибет.
Почему-то Китайскую границу боятся не столько из-за обысков электронных устройств, сколько из-за возможной компрометации путем установки во время обыска spyware. Сколько бы то ни было авторитетных источников найти не могу, в Китайском законодательстве не разбираюсь, но принять ко вниманию следует, т.к. пишут об этом часто, в том числе в приведенной выше ветке Reddit.
Бывал в Тибете, будучи предупрежден, постирал весь компромат с планшета и телефона. В итоге никого особо не трясли, девайсы не смотрели. Останавливали почему-то только тех, у кого фрукты/овощи просветкой задетектили, и изымали. Но это Китай, нашу группу не проверили, но это не значит, что другую не проверят, можно же налететь на какой-нибудь особый день или визит начальства. Тогда перетрясут по полной.
И это, Далай-лама только один, и путь в Тибет ему заказан как бы.
И это, Далай-лама только один, и путь в Тибет ему заказан как бы.
А что они делают с иностранными гражданами, если по прилету нашли какую-нибудь запрещенную информацию, высылают и сдают органам его страны или сами судят?
Были громкие дела?
Были громкие дела?
Вот характерный пример.
Здесь особенность в том, что задействовано «foregone conclusion» из Fisher v. United States, 425 U.S. 391 (1976) — у правоприменителей уже был "hint" о том, что там содержится детская порнография. И они точно знали на каком диске.
The Government thus knows of the existence and location of the Z drive and its files. Again providing access to the unencrypted Z drive 'adds little or nothing to the sum total of the Government's information about the existence and location of files that may contain incriminating information. Fisher, 425 U.S. at 411
у правоприменителей уже был «hint» о том, что там содержится детская порнография
Этот «хинт» они получили как раз во время обыска на границе.
Я имел ввиду проблему принуждения к дешифровке. Если есть «hint» то отказ от дешифровки не сильно поможет.
Первая инстанция — United States District Court for the District of Vermont — посчитала что:
То есть принуждение Боушера к вводу пароля будет означать принуждение его к свидетельству против себя.
Но апелляция посчитала, что раз Боушер ввел пароль на границе, агент Иммиграционной и таможенной полиции США обнаружил на ноутбуке детскую порнографию (после чего ноутбук отключился), то повторная дешифровка не требуется, так как у правительства есть «hint», что там было на самом деле.
Первая инстанция — United States District Court for the District of Vermont — посчитала что:
"Compelling Boucher to enter the password forces him to produce evidence that could be used to incriminate him."
То есть принуждение Боушера к вводу пароля будет означать принуждение его к свидетельству против себя.
Boucher accessed the Z drive of his laptop at the ICE agent's request. The ICE agent viewed the contents of some of the Z drive's files, and ascertained that they may consist of images or videos of child pornography. The Government thus knows of the existence and location of the Z drive and its files. Again providing access to the unencrypted Z drive 'adds little or nothing to the sum total of the Government's information about the existence and location of files that may contain incriminating information. Fisher, 425 U.S. at 411.
Boucher's act of producing an unencrypted version of the Z drive likewise is not necessary to authenticate it. He has already admitted to possession of the computer, and provided the Government with access to the Z drive. The Government has submitted that it can link Boucher with the files on his computer without making use of his production of an unencrypted version of the Z drive, and that it will not use his act of production as evidence of authentication
Но апелляция посчитала, что раз Боушер ввел пароль на границе, агент Иммиграционной и таможенной полиции США обнаружил на ноутбуке детскую порнографию (после чего ноутбук отключился), то повторная дешифровка не требуется, так как у правительства есть «hint», что там было на самом деле.
Короче заставили человека отсидеть 3 года в местной тюрьме, после отсидки депортировали.
Мда, слетал в соседнюю страну называется.
Мда, слетал в соседнюю страну называется.
Потому как ваш отказ касательно воспроизведения «ключа», который находится у вас в голове — полностью законен. Согласно Пятой поправке — «не должно принуждаться свидетельствовать против себя»
Как из второго следует первое? Отказ от выдачи ключа (пароля) будет законным в случае, если этот отказ относится к привилегии не свидетельствовать против себя. Будет ли свидетельствованием против себя выдача пароля от зашифрованных данных, принадлежащих не самому физическому лицу, а его работодателю (например, в случае пересечения границы с рабочим ноутбуком в связи с командировкой)?
Если же «ключом» является ваш отпечаток пальца, как в новейших смартфонах Apple — тут уже не отвертишься, действуют другие доктрины.
Наверное Вы уже мысленно ругаете и Конституцию США и все их Поправки, но позволю заметить, что в США действительно относительный либерализм
А чего тут ругать? Принудительное получение следов пальцев рук – это не есть принуждение к свидетельствованию против себя во многих государствах, в том числе и в России. Как и взятие проб выдыхаемого воздуха у нетрезвых водителей.
Потому как такой прогрессивной стране как Соединенное Королевство вам могут дать до 5 лет, если Вы не сможете произвести дешифровку. Даже если ключа у вас нет
Прогрессивный ЕСПЧ допускает существование государственных органов со специальными полномочиями, в отношении требований которых у человека не возникает право не свидетельствовать против себя (разумеется, не вся полученная данными органами информация может быть использована в суде как доказательство). Таковыми уже признавались налоговые органы и аудиторы, а чем органы, осуществляющие контроль на границе, хуже?
Более того, упоминаемое законодательное требование раскрывать ключ (пароль) от зашифрованных данных (в Великобритании) было частично мотивировано формулировками из решения ЕСПЧ по делу «Саундерс против Соединенного Королевства»:
The right not to incriminate oneself is primarily concerned, however, with respecting the will of an accused person to remain silent. As commonly understood in the legal systems of the Contracting Parties to the Convention and elsewhere, it does not extend to the use in criminal proceedings of material which may be obtained from the accused through the use of compulsory powers but which has an existence independent of the will of the suspect such as, inter alia, documents acquired pursuant to a warrant, breath, blood and urine samples and bodily tissue for the purpose of DNA testing
Информация, зафиксированная на машинном носителе в любой форме, в том числе зашифрованной, существует вне воли подозреваемого (по аналогии с документами, запертыми в сейфе), а значит привилегия не свидетельствовать против себя не действует. По крайней мере, согласно одной из возможных трактовок вышеназванного решения.
Так что остерегайтесь стран, признающих юрисдикцию ЕСПЧ :-)
Интересно. Ознакомлюсь, спасибо.
Касательно случаев, когда ноутбук не личный, а корпоративный, то тут вступают в действие иные механизмы, такие как subpoena.
Но касательно требования к дешифровке:
1. То что содержится у Вас в голове — аналог комбинации к сейфу — принудить не могут*, так как
*Но при этом надо помнить о foregone conclusion (hint), так как например «налоговая информация, подготовленная бухгалтерами — это „foregone conclusion“, т.е. у правительства есть „hint“ о том, что же содержится на носителе, в сейфе и так далее.
2. Аналог ключа к сейфу — принудить могут (как в случае с отпечатком пальцев TouchID).
Касательно случаев, когда ноутбук не личный, а корпоративный, то тут вступают в действие иные механизмы, такие как subpoena.
Но касательно требования к дешифровке:
1. То что содержится у Вас в голове — аналог комбинации к сейфу — принудить не могут*, так как
содержание разума, выражающее свидетельство о существовании, владении, контроле или идентификации доказательстваЗащищено Пятой поправкой к Конституции США
*Но при этом надо помнить о foregone conclusion (hint), так как например «налоговая информация, подготовленная бухгалтерами — это „foregone conclusion“, т.е. у правительства есть „hint“ о том, что же содержится на носителе, в сейфе и так далее.
2. Аналог ключа к сейфу — принудить могут (как в случае с отпечатком пальцев TouchID).
содержание разума, выражающее свидетельство о существовании, владении, контроле или идентификации доказательства
А вот в деле «Ве против Австрии» ЕСПЧ решил, что уголовное преследование (в автономном значении этого понятия) неизвестного лица за превышение скорости при управлении транспортным средством не дает владельцу транспортного средства привилегию отказаться от раскрытия по национальному закону личности водителя, управлявшего транспортным средством в момент правонарушения, в том случае, если этим водителем был он сам. Основания: отсутствие реального или планируемого уголовного преследования именно владельца транспортного средства (до момента раскрытия требуемой информации); сведения о водителе транспортного средства сами по себе не носят самоинкриминирующий характер (хотя в другом деле ЕСПЧ признал, что против лица могут быть обернуты любые данные им показания, а потому право не свидетельствовать против себя не может относиться только к сведениям, имеющим явный обвинительный характер).
А теперь попробуйте переложить аргументы на случай раскрытия пароля от своих данных :-)
Ну то есть получается что нужен двойной криптоконтейнер, который правильным паролем расшифровывает интересующие данные, а «другим правильным» — декларируемые. Это же, как я понимаю, доказать невозможно?
Интересный сценарий, вот нашел про двойной криптоконтейнер:
Говорят, что врать пограничникам не лучший выбор, потому как то может быть серьезным преступлением. И кстати, нет 100% уверенности, что экспертно-криминалистическое (forensic) исследование не сможет выявить подобную хитрость.
The TrueCrypt encryption software tries to provide “deniability” by letting you create multiple encrypted disks protected by separate passwords in such a way that the existence of additional hidden data can’t be easily proven or disproven. These additional encrypted disks are known as hidden volumes. Although TrueCrypt hidden volumes may have some practical applications, we think they are unlikely to be useful in the border search context because they are most helpful when lying to someone about whether there is additional hidden data on a disk. Lying to border agents is not advisable, because it can be a serious crime.Источник
Говорят, что врать пограничникам не лучший выбор, потому как то может быть серьезным преступлением. И кстати, нет 100% уверенности, что экспертно-криминалистическое (forensic) исследование не сможет выявить подобную хитрость.
Это не будет работать, т. к. отрицаемое шифрование идеально только с позиции математика. В реальности скрыть факт наличия скрытого контейнера почти невозможно.
Кроме того, если данные нужны для работы, то при въезде в США и выезде из США (или при повторном въезде в США) содержимое скрытого контейнера будет отличаться, что будет заметно в свободном пространстве файловой системы внешнего контейнера.
Кроме того, если данные нужны для работы, то при въезде в США и выезде из США (или при повторном въезде в США) содержимое скрытого контейнера будет отличаться, что будет заметно в свободном пространстве файловой системы внешнего контейнера.
А почему нельзя просто тупо залить контейнер на свой сервачок в Нидерландах/Сингапуре, въехать с чистым ноутом, и уже на месте через VPN слить его обратно?
Мне кажется, что вопрос стоял о локальных данных.
Оки :) Тогда так — пишем контейнер на microSD, заворачиваем его в фольгу, запихиваем в стельку кроссовок и спокойно едем.
На каждую хитрую задницу найдется более хитрая. Транспортировка чего-то запрещенного в обуви – это трюк, которому уже очень много лет. Вряд ли против него не разработали методы досмотра.
Ну собака/детектор карточку не почуют. Как её можно обнаружить, не разрывая все на мелкие кусочки, я как-то и не представляю. Только если целенаправленно искать по наводке.
Стелька — не труЪ. ТруЪ — запихать в какой-нибудь электронный девайс в металлическом корпусе. Да хоть PowerBank.
Во-первых, металлический корпус сам по себе плохо просвечивается.
Во-вторых, места внутри в большинстве девайсов достаточно.
И в-третьих, даже если просветится, то на фоне всякой прочей резонирующей электроники карту не должно быть (легко) заметно.
Ну, и непроверенный способ без физических закладок: берём флэшку без надписи на ней, указывающей ёмкость (или стираем такую надпись) и находим сервисную утилиту от производителя её контроллера (на flashboot.ru, например). Разбиваем флэшку на два раздела и балуемся с настройками контроллера, пытаясь скрыть часть ёмкости так, чтобы скрылся целиком один из разделов. После проезда таможни восстанавливаем настройки без зачистки.
Запастить флэшками по 128Гб и повторять до победного.
Во-первых, металлический корпус сам по себе плохо просвечивается.
Во-вторых, места внутри в большинстве девайсов достаточно.
И в-третьих, даже если просветится, то на фоне всякой прочей резонирующей электроники карту не должно быть (легко) заметно.
Ну, и непроверенный способ без физических закладок: берём флэшку без надписи на ней, указывающей ёмкость (или стираем такую надпись) и находим сервисную утилиту от производителя её контроллера (на flashboot.ru, например). Разбиваем флэшку на два раздела и балуемся с настройками контроллера, пытаясь скрыть часть ёмкости так, чтобы скрылся целиком один из разделов. После проезда таможни восстанавливаем настройки без зачистки.
Запастить флэшками по 128Гб и повторять до победного.
Теоретически можно, но как я выше писал — не факт, что данный контент не будет перехвачен и дешифрован по пути в США (UPSTREAM). А таких программ у спецслужб США как минимум несколько. Не считая того, что, если мне не изменяет память, 70% мирового интернет-трафика проходит через США.
Шнайер писал по следам разоблачений Сноудена что, судя по всему, математический базис современной криптографии не скомпрометирован. Т.е. все эти Апстримы и Призмы фактически актуальны лишь потому, что большинство пользователей криптографии (и в том числе «ключевые клиенты» АНБ/ЦРУ) не очень-то в ней разбираются, и «ведутся» на фразы типа «your data is encrypted using unique 2048-bit key using military-grade encryption algorythm» на страницах облачных хранилищ, которые обычно не уточняют, ГДЕ именно хранят ваш unique 2048-bit key, и почему вы не можете, к примеру, сами его сгенерить.
Так что, если боитесь Апстримов — ставьте до отъезда на домашний тазик с вашими данными OpenSSL и генерите САМИ ключи и сертификаты. В поездку берите с собой чистый ноут, и флешку с ключами. В крайнем случае приколупаются и заберут флешку — ну и фиг с ними: будет у них ключ от хз где находящегося замкА :)
P.S. По опыту недавнего прохождения CBP в JFK: их явно больше интересовало, не завалялось ли у меня яблоко в рюкзаке, чем «завалявшиеся» там два ноута (один — даже с весьма красноречивыми стикерами), планшет и две мобилки :) И да — это была т.н. Secondary Inspection :)
Так что, если боитесь Апстримов — ставьте до отъезда на домашний тазик с вашими данными OpenSSL и генерите САМИ ключи и сертификаты. В поездку берите с собой чистый ноут, и флешку с ключами. В крайнем случае приколупаются и заберут флешку — ну и фиг с ними: будет у них ключ от хз где находящегося замкА :)
P.S. По опыту недавнего прохождения CBP в JFK: их явно больше интересовало, не завалялось ли у меня яблоко в рюкзаке, чем «завалявшиеся» там два ноута (один — даже с весьма красноречивыми стикерами), планшет и две мобилки :) И да — это была т.н. Secondary Inspection :)
Так его и не надо скрывать. Просто при создании шифрованного диска его надо заполнять мусором с произвольным ключом. То есть контейнер физически будет существовать и реально заполнен какими-то бесполезными ноликами и единичками. И даже ключ от него существует, только его никто не потрудился сохранить. И таких шифрованных разделов может на диске быть сколько угодно. Просто от одних у пользователя есть ключи, а от других — нет.
А неиспользуемые контейнеры перешифровывать в фоновом режиме, чтобы диск как можно чаще менял свое состояние.
Но вообще это просто мои «размышления на тему» — у меня нет уверенности что подобное можно реализовать достаточно секьюрно.
А неиспользуемые контейнеры перешифровывать в фоновом режиме, чтобы диск как можно чаще менял свое состояние.
Но вообще это просто мои «размышления на тему» — у меня нет уверенности что подобное можно реализовать достаточно секьюрно.
Так его и не надо скрывать
Надо. Потому что иначе будут требовать предоставить пароль (а в противном случае, при отказе его сообщить, в зависимости от конкретной ситуации, может быть запрещен въезд в страну, а то и вообще наступит юридическая ответственность). Прочитайте про отрицаемое шифрование в TrueCrypt (то, которое со скрытыми контейнерами, вложенными в другие контейнеры).
Безумный мир…
Вожу обычно ноут с чистой макосью/виндой, и двухтерабайтник внешний с трукриптом.
Загрузчика там все равно нету, выглядит как чистый неотформатированный диск. Не думаю, что это подозрительно.
А вообще тут главная проблема в тупых законах, которые позволяют давать много лет тюрьмы или миллионные штрафы за простое хранение в личных целях различной информации.
Загрузчика там все равно нету, выглядит как чистый неотформатированный диск. Не думаю, что это подозрительно.
А вообще тут главная проблема в тупых законах, которые позволяют давать много лет тюрьмы или миллионные штрафы за простое хранение в личных целях различной информации.
>>такой прогрессивной стране как Соединенное Королевство вам могут дать до 5 лет, если Вы не сможете произвести дешифровку. Даже если ключа у вас нет. Во Франции — до 3 лет и штраф 56.000 USD, в Индии до 7 лет, в Южной Африке до 10 лет и штраф 180 000 USD. Лучше всего забывать ключи в Австралии: до 6 месяцев тюрьмы.
Очень удивлен этой информацией. Как обстоят с этим дела в России?
Очень удивлен этой информацией. Как обстоят с этим дела в России?
В университете Rhode Island при поездках в Россию или Китай своим сотрудникам всерьез рекомендуют:
1. Не ехать в России или Китай
2. Оставить электронные устройства дома
3. Берите «одноразовые» дешевые устройства, если без устройств Вы не можете
4. Выключите все сетевые протоколы
5. Заклейте веб-камеру (!)
6. Побольше шифрования (хотя легальность ввоза таких устройств в Китай и США под вопросом)
И так далее :)
1. Не ехать в России или Китай
2. Оставить электронные устройства дома
3. Берите «одноразовые» дешевые устройства, если без устройств Вы не можете
4. Выключите все сетевые протоколы
5. Заклейте веб-камеру (!)
6. Побольше шифрования (хотя легальность ввоза таких устройств в Китай и США под вопросом)
И так далее :)
Почитал подробнее, ужаснулся. Теперь вот интересно, что подумает рядовой студент об «этой стране», после прочтения всех рекомендаций.
А вот это в контексте сабжевого топика прямо доставило —
А вот это в контексте сабжевого топика прямо доставило —
Devices taken across international borders may be subject to involuntary official governmental review and even complete duplication (e.g., in some countries, Customs officers may temporarily seize your device, and potentially keep a copy of one’s entire system on entry or exit).
Я правильно понимаю, что с палёной Виндоус и Фотошопом лучше не ехать? Или им такие мелочи не интересны?
Насколько я понимаю, если удалить с ноутбука незаконную (пиратская музыка и фильмы, например) и личную (профиль браузера, проекты, которые не выложены в паблик и т. п.) информацию и воспользоваться каким-нибудь софтом для затирания свободного места на ФС (то есть чтобы на диске остались только те данные, которые прямо сейчас существуют, а не были удалены сегодня или год назад), то бояться нечего при пересечении границы?
Затем встаёт вопрос о возвращении этих данных обратно. Тут можно воспользоваться облачным сервисом, возможно, с криптоконтейнером. И тут встаёт вопрос насколько опасен тот факт, что АНБ и прочие могут следить за коммуникациями. Конечно, это в любом случае плохо, но надо посмотреть конкретную правоприменительную практику. Допустим, в России не наказывают физических лиц за загрузку пиратских материалов (чтобы наказали надо афишировать свой «пиратский» стиль жизни и/или быть топсидером), хотя чисто технически могли бы отслеживать это с помощью СОРМ. Dropbox, несмотря на свою прописку в США, не занимается автоматическим поиском незаконных материалов на аккаунтах пользователей. Т. е. можно хранить что угодно, пока не создаёшь публичных ссылок. В последнем случае есть кнопка «пожаловаться» и при её нажатии проблемы скорее всего будут.
И вот такая информация может быть очень полезна. Интересно было бы услышать о том, как в США с этим обстоят дела не по закону, а фактически. Ибо в той же России по закону за загрузку одной mp3'шки торрентом тоже можно сажать, да и техническая возможность отслеживать загрузки имеется, но фактически посадок нет. Но в США законы соблюдаются лучше, чем в России, поэтому ситуация может отличаться. Вопрос в том насколько и как.
Затем встаёт вопрос о возвращении этих данных обратно. Тут можно воспользоваться облачным сервисом, возможно, с криптоконтейнером. И тут встаёт вопрос насколько опасен тот факт, что АНБ и прочие могут следить за коммуникациями. Конечно, это в любом случае плохо, но надо посмотреть конкретную правоприменительную практику. Допустим, в России не наказывают физических лиц за загрузку пиратских материалов (чтобы наказали надо афишировать свой «пиратский» стиль жизни и/или быть топсидером), хотя чисто технически могли бы отслеживать это с помощью СОРМ. Dropbox, несмотря на свою прописку в США, не занимается автоматическим поиском незаконных материалов на аккаунтах пользователей. Т. е. можно хранить что угодно, пока не создаёшь публичных ссылок. В последнем случае есть кнопка «пожаловаться» и при её нажатии проблемы скорее всего будут.
И вот такая информация может быть очень полезна. Интересно было бы услышать о том, как в США с этим обстоят дела не по закону, а фактически. Ибо в той же России по закону за загрузку одной mp3'шки торрентом тоже можно сажать, да и техническая возможность отслеживать загрузки имеется, но фактически посадок нет. Но в США законы соблюдаются лучше, чем в России, поэтому ситуация может отличаться. Вопрос в том насколько и как.
> Dropbox, несмотря на свою прописку в США, не занимается автоматическим поиском
Занимается, давая в момент попытки расшаривания сообщение “certain files in this folder can’t be shared due to a takedown request in accordance with the DMCA.”
Занимается, давая в момент попытки расшаривания сообщение “certain files in this folder can’t be shared due to a takedown request in accordance with the DMCA.”
А, то есть подобные авто-удаления происходят толко из папки Public, либо же, при Вашем расшаривании файла?
Кстати, по-моему удаления данных на «свободном пространстве» на SSD диске происходит не так однозначно, как мы привыкли делать на HDD. Т.е. все эти 7 проходов Military grade (как вы сказали :) ) на SSD диске дадут не 100% результат. Например на OS X такая возможность для SSD вообще отключена, что довольно интересно.
> Например на OS X такая возможность для SSD вообще отключена, что довольно интересно.
Хм, я на HDD макоси не видел, а на SSD у меня есть в наличии и Empty trash securely и security options / erase free space в disk utility.
Хм, я на HDD макоси не видел, а на SSD у меня есть в наличии и Empty trash securely и security options / erase free space в disk utility.
Ну вот Вы как первый раз ее запустите через Disk Utility — OS X скажет «извините» и эта опция пропадет ;)
Саппорт Эппл вот что говорит:
Note: With an SSD drive, Secure Erase and Erasing Free Space are not available in Disk Utility. These options are not needed for an SSD drive because a standard erase makes it difficult to recover data from an SSD. For more security, consider turning on FileVault encryption when you start using your SSD drive.
Вот здесь чуть больше инфы нашел (см. еще и комменты).
Как бы да, но многие скептически относятся к невозможности восстановить подобные данные. С другой стороны более не менее надежная технология очистки SSD — это как в INTEL — когда ключ записывается куда-то там«в контроллер», а потом при Secure Erase ключ просто заменяется и все. Где-то я о таком читал, когда покупал свой SSD. В SSD, которые идут с техникой Apple, такой функции, к сожалению, нет.
Ну можно точно так же скептически относиться и к «когда ключ записывается куда-то там«в контроллер»» в принципе. Как оно там на самом деле реализовано в прошивке — никто не знает.
Я тут еще поискал по этому поводу — и для SSD для более-менее гарантированного стирания рекомендуют двойное форматирование с шифрованием и с secure erase перед каждым (через recovery mode оно становится доступным). Но это снижает ресурс SSD.
Или еще можно бутнуться с линуксового livecd и через его тулзы все сделать.
Я тут еще поискал по этому поводу — и для SSD для более-менее гарантированного стирания рекомендуют двойное форматирование с шифрованием и с secure erase перед каждым (через recovery mode оно становится доступным). Но это снижает ресурс SSD.
Или еще можно бутнуться с линуксового livecd и через его тулзы все сделать.
Спасибо за статью, тема актуальная и интересная. Но! Пожалуйста, не пользуйтесь жирным в тексте без острой необходимости. У вас в тексте есть как наклонный текст, так и жирный, ещё и ссылки, и ещё ничего не значащие картинки, из-за этого я просто не смог прочитать статью, т.к. глаза плачут.
Спасибо за замечание. Лично я не люблю статьи без выделений. У меня тут цитаты — курсив, ключевые слова и предложения — жирным. Если так делать при написании, например, иска, то есть шанс, что при беглом просмотре судья уловит суть, а не проигнорирует написанное. Потому как при прочтении огромного количества текста глаз «замыливается» и у человека нет желания вчитываться в стройные абзацы ;)
Стеганография, уровни шифрования. Теоретически всё можно найти, на практике изучение 360k файлов у меня в ~ — то ещё развлечение. Особенно с учётом каталога github с соотв. репозиториями.
Есть подозрение, что forensic исследование — достаточно автоматизировано ;)
В этом случае оно крайне уязвимо перед простейшей стеганографией вида «дописать перед криптоконтейнером пол-часа видео» (и ещё пол-часа в конец).
Как так? Данные ведь будут собираться не только по файлам с определенным расширением или с определенным заголовком, но и с интерпретацией всего содержимого носителя как обычного потока данных. И тесту на энтропию данных будет плевать, что там до секторов с высокой энтропией или после.
видео в любом формате кроме сырого — с высокой энтропией
Интересно, на сколько контейнерных форматов вглубь они смотрят. Если взять файл размером 1 байт и пожать его пару миллиардов раз разными методами (zip->tar.gz->iso->mime->qcow->split->tar->xz->img-ntfs->gz и так по циклу), то как они его распаковывать будут? Ничего не лопнет?
А можно же ещё и не просто 1 байт взять, а «Zip-бомбу».
Шифрованный контейнер в облаке — и едь куда хочешь :)
Пересекать границу с чистой системой, по приезду инсталлировать тот же Дропбокс и синхронизировать свой домашний truecrypt контейнер. Те более что дропбокс умеет обновлять не целиком весь контейнер, а только инкрементно. Работай и синхронизируй.
Надо снова пересекать границу — грохнул систему, пересек границу :)
Пересекать границу с чистой системой, по приезду инсталлировать тот же Дропбокс и синхронизировать свой домашний truecrypt контейнер. Те более что дропбокс умеет обновлять не целиком весь контейнер, а только инкрементно. Работай и синхронизируй.
Надо снова пересекать границу — грохнул систему, пересек границу :)
Тут два варианта: или данные обыски являются чем-то вроде «архаизма», «так положено», или же у специальных служб настолько «все схвачено», что их программы снятия информации с каналов связи и дешифровки трафика настолько совершены, что они предусмотрели Ваш сценарий. И единственно чего они боятся — это физического «ввоза информации». Потому и обыскивают ;)
Странная логика :-)
Следы пальцев рук можно стереть (уничтожить). А ведь поиск следов пальцев рук на месте преступления актуален не из-за того, что «так положено», но и не по причине того, что у правоохранительных органов есть безотказные методы восстановления следов пальцев рук после попытки их стирания (уничтожения). Их просто ищут, чтобы не упустить.
Так и здесь. Можно спрятать данные от досмотра, можно пересечь границу нелегально и избежать досмотра, но это не значит, что досмотр малоэффективен или есть нечто, делающее его эффективность абсолютной. Аргумент «если захотят, то обойдут» здесь не работает.
Следы пальцев рук можно стереть (уничтожить). А ведь поиск следов пальцев рук на месте преступления актуален не из-за того, что «так положено», но и не по причине того, что у правоохранительных органов есть безотказные методы восстановления следов пальцев рук после попытки их стирания (уничтожения). Их просто ищут, чтобы не упустить.
Так и здесь. Можно спрятать данные от досмотра, можно пересечь границу нелегально и избежать досмотра, но это не значит, что досмотр малоэффективен или есть нечто, делающее его эффективность абсолютной. Аргумент «если захотят, то обойдут» здесь не работает.
Всяческие экстремисты давно адаптировались к программам электронной слежки, поэтому всё принципиально передают на флэшках, а не по сети — что бы не компрометировать своих «коллег» самим фактом связи. Так что это не архаизм, а суровая необходимость. Т.е. найдут-не-найдут флэшку для них не так и важно, важно что принципиальная возможность остановить, обыскать и найти, затрудняет и замедляет общение между «нехорошими парнями».
Извините, но я с большим трудом могу это понять.
Исходный посыл должен быть в том, что шифрование — априори надежно. Если это не так, то не о чем даже говорить, все расходимся по домам и вяжем носки.
Что сети, что флешка — это по сути каналы передачи информации. И их характеристики сильно отличаются:
в сети данные передаются быстро, флешкой — медленно
в сети легко скрыть свою личность принимающей\отправляющей стороны, а с флешкой — это сложно (терморектальный анализ хоть и негуманен, но эффективен).
Мне с трудом верится что проносить флешки через таможенный досмотр реально безопаснее с точки зрения сохранения анонимности отправителя\получателя, и что срочность передачи информации является второстепенной.
По-моему такой метод могут использовать только представители «старой гвардии», которые «не секут тему» и на всякий случай боятся интернета.
Исходный посыл должен быть в том, что шифрование — априори надежно. Если это не так, то не о чем даже говорить, все расходимся по домам и вяжем носки.
Что сети, что флешка — это по сути каналы передачи информации. И их характеристики сильно отличаются:
в сети данные передаются быстро, флешкой — медленно
в сети легко скрыть свою личность принимающей\отправляющей стороны, а с флешкой — это сложно (терморектальный анализ хоть и негуманен, но эффективен).
Мне с трудом верится что проносить флешки через таможенный досмотр реально безопаснее с точки зрения сохранения анонимности отправителя\получателя, и что срочность передачи информации является второстепенной.
По-моему такой метод могут использовать только представители «старой гвардии», которые «не секут тему» и на всякий случай боятся интернета.
Основная проблема электронной разведки западных государств заключается в том, что террористы-экстремисты используют стратегию избегания любых форм электронных коммуникаций — зашифрованных или нет, это вторично, тк их убивают на основе анализа их социального графа, см программа “signature” strikes (без какой-либо идентификации их личности).
Поэтому они возят флэшки в своих халатах и чалмах и передают их с нарочным, из рук в руки.
Поэтому они возят флэшки в своих халатах и чалмах и передают их с нарочным, из рук в руки.
Тут, как я уже говорил выше, важный вопрос — выдвигают ли обвинения на основании исключительно данных слежки за каналами связи. В случае если я не террорист и не обсуждаю планы завоевания мира, а всего лишь сохранил на Dropbox коллекцию музыки. Просто я не слышал о подобных прецедентах (вот чтобы проблемы возникли при обыске HDD на границе или при закачке/раздаче торрента — да, а что если тихо и мирно загрузить эту информацию из приватной папки Dropbox). Возможно, я пропустил такие новости, а возможно всё не так уж плохо. Интересует именно не техническая возможность отследить (АНБ имеет возможность перехватывать данные) и посадить (загрузка пиратских материалов вне закона), а фактическое положение вещей.
Прочитал пост, потом комменты… и вот как то уж дурно стало как вспомнил что летел в Нью Йорк через Лондон с 15 гигами спичаченной музыки, кина и сериалов (сейчас то я вылечился и сказал пиратству — иногда). А в итоге только кроссовки в хитроу попросили снять, а jfk спросили не везу ли я колбасу (2013 год). Хотя после первого месяца от провайдера пришел штраф с письмом — «Первое предупреждение… скачивание пиратского контента… штраф в размере 370 долларов… последующее нарушение… информирование федеральных органов власти...» (провайдер Verizon штат Нью Джерси), а в доме 15 студентов и все не из США (у китайцев вообще были бесплатные ресурсы с лиц контентом).
Ого, ничего себе. Надо будет почитать про такое. Вы пользовались торрентами или каким-то просто закрытыми ресурсами? Штраф был индивидуальный или «на целый дом»? Дом арендовался? На кого был оформлен интернет?
Пользовались сайтами (не уверен что сюда можно ссылки кидать) из топа украинских пиратских сайтов (достаточно известных и за рубежом) так же музыка и фильмы/ сериалы из ВК (в основном девушки пользовались вк), и еще пару сайтов которые транслировали спортивные каналы онлайн (без прав и лицензий на это). Но это то что я знаю, повторюсь что было 15 человек из Украины, Сербии, Китая, Доминиканской республики (или где то рядом), Молдовы и все студенты по обмену. Дом снимали сами (нам его нашла компания которая нас сопровождала WWCE) через посредника, платили сами. Все приходило на почту (там вообще все приходит на почту) и вот однажды пришел конверт из коммента выше. Штраф как и интернет и дом был оформлен на хозяина дома, но поскольку арендовали и пользовались услугами мы официально то претензии к нам (где то в то же время я узнал про случай несколькими штатами дальше о маме которая скачав своей годовалой дочурке пару колыбельных попала то ли на 400 000 то ли на 1 400 000 баксов). Точно не помню но вроде было указано что штраф сам будет списан с вашего счета (а может и нет, уже не помню). Шкаф провайдера стоял в подвале (у нас был 2 этажный дом с задним двором как из ситкома www.google.com.ua/maps/@40.245968,-74.784219,3a,75y,69.55h,79.51t/data=!3m4!1e1!3m2!1sId4fxaVLVJ_6vKTuMLJG1A!2e0 вот из гугла тот дом и судя по дате я внутри, сплю еще а сербы валят на роботу (белый фургон за ними))
Смешно про сербов и фургон :) Ну так вы заплатили? Как решался вопрос с оплатой? :)
Нет, письмо выбросили (было принято коллективное решение) и никому не говорили. В свое оправдание скажу что мы и так переплачивали за аренду, но далее с пиратством были осторожнее, приходилось новые серии игры престолов смотреть на испанской версии HBO так как обычной у нас почему то не было.Да и музыку стали с ютюба пускать.
ваш отказ касательно воспроизведения «ключа», который находится у вас в голове — полностью законен.
Мягко говоря, это неправда. Пароль к криптографии прецедентами установлен в статусе ключа от сейфа, а выдача ключа от сейфа, в котором лежат инкриминирующие документы не охраняется пятой поправкой. В одном исключительном случае, когда сам пароль являлся инкриминирующим, например, «я убил Билла», судом было установлено, что подозреваемый его лично вводит без слежки для расшифровки, но содержимое будет передано запрашивающей стороне.
Я в который раз наблюдаю советы юридического значения на 1. русскоязычном ресурсе, при полном несоответствии даже смыслового перевода на юридический язык, т.е. воспользоваться этим невозможно, 2. без какой-либо квалификации юриста.
Подобные советы причинят гораздо больше вреда, чем пользы. Не надо так.
В какой юридической системе? То есть, извините, без уточнения в какой стране, ваш комментарий тоже лишён смысла.
В заголовке статьи релевантность же указывается? Я только про США. Ну и пятая поправка относится к этой же стране.
Я внимательно слежу за ситуацией с шифрованием с США (в основном по постам с ars'а, разумеется, не вчитываясь в юридическое). Насколько я понял, текущая ситуация такая: пароли предоставлять не обязан, пальчики — да. При этом в некоторых штатах есть шевелёнка на тему «сделать обязательным», но шевелёнка весьма разнобойная.
Вот, я поискал, одна из статей: arstechnica.com/tech-policy/2014/06/massachusetts-high-court-orders-suspect-to-decrypt-his-computers/
Вот, я поискал, одна из статей: arstechnica.com/tech-policy/2014/06/massachusetts-high-court-orders-suspect-to-decrypt-his-computers/
Для границы другие правила действуют. У тебя есть полное право не давать пароль, у них есть полное право не пустить тебя в страну.
Это понятно. Не пустить могут даже если таможеннику не понравился. Я про уголовное преследование за непредоставление пароля.
Не пустить в страну — легкий путь для пограничников. Они могут пойти и другим путём. Будут ли — не факт, но что могут — факт. И другой путь будет стоить нервов, времени, денег, возможно, поворт в судьбе произойдет, позолоти ручку, расскажу чем душа успокоится...
Существующие решения помогают понять, что происходит, но практика только устаканивается. Может быть всё, что угодно. Моё чувство такое, что за нужную нам трактовку статуса криптографии и ключей к ней еще биться и биться. До известности Миранды еще очень далеко. Некоторые вещи в конституции сша аж прямым текстом написаны, и даже тогда в ее духе в некоторых штатах или городах ее практическое применение гражданами отсутствует («nyc handgun carry permit»).
Поэтому я никакому хабражителю, да и любому другому человеку не советовал бы уповать на защиту закона в подобных случаях.
Поэтому я никакому хабражителю, да и любому другому человеку не советовал бы уповать на защиту закона в подобных случаях.
Я общаюсь с комментаторами и отвечаю на вопросы в форме цитат из прецедентов и даю ссылки на «исходники» также не забываю употреблять термины «на языке оригинала», так как не являюсь лингвистом. Думаю, кто может — ознакомится с оригинальным текстом — это сделают, кто нет — удовлетвориться моим любительским переводом.
Сошлитесь на норму или на прецедент, пожалуйста, как это делаю я. Вы голословно обвиняете меня в «говорении неправды»
Я возражу, и напомню, что касательно действия Пятой поправки есть два подхода:
"Physical key to a safe" — физический ключ к сейфу — не защищен Пятой правкой
"Сombination to a safe" — комбинация к сейфу — защищено Пятой поправкой*.
Ключ (то что Вы называете паролем) по аналогии к «комбинации к сейфу» — который «у Вас в голове — contents of the mind*» (пока он не появится на физическом носителе, например, написанный на бумажке — защищен Пятой поправкой*..
*Но при этом надо помнить о «foregone conclusion» (я об этом писал выше)
Вам, как для ценителя, в оригинале:
Решение Верховного суда США — John DOE, Petitioner v. UNITED STATES.
United States v. Boucher, 2007 WL 4246473
U.S. v. Kirschner, 2010 WL 1257355 (2010)
Мягко говоря, это неправда. Пароль к криптографии прецедентами установлен в статусе ключа от сейфа,
Сошлитесь на норму или на прецедент, пожалуйста, как это делаю я. Вы голословно обвиняете меня в «говорении неправды»
Я возражу, и напомню, что касательно действия Пятой поправки есть два подхода:
"Physical key to a safe" — физический ключ к сейфу — не защищен Пятой правкой
"Сombination to a safe" — комбинация к сейфу — защищено Пятой поправкой*.
Ключ (то что Вы называете паролем) по аналогии к «комбинации к сейфу» — который «у Вас в голове — contents of the mind*» (пока он не появится на физическом носителе, например, написанный на бумажке — защищен Пятой поправкой*..
*Но при этом надо помнить о «foregone conclusion» (я об этом писал выше)
Вам, как для ценителя, в оригинале:
Решение Верховного суда США — John DOE, Petitioner v. UNITED STATES.
He may in some cases be forced to surrender a key to a strongbox containing incriminating documents, but I do not believe he can be compelled to reveal the combination to his wall safe—by word or deed.
United States v. Boucher, 2007 WL 4246473
Compelling Boucher to enter the password forces him to produce evidence that
could be used to incriminate him. Producing the password, as if it were a key to a locked container, forces Boucher to produce the contents of his laptop...
U.S. v. Kirschner, 2010 WL 1257355 (2010)
Insofar as the subpoena is valid, can the Defendant refuse to testify based on his Fifth Amendment privilege against self-incrimination? Defendant contends that requiring him to testify before the grand jury pursuant to the subpoena issued by the government would violate his Fifth Amendment right against self-incrimination under the United States Constitution. The subpoena calls for the Defendant to testify to the password he utilizes for his computer. Defendant declines to testify invoking his Fifth Amendment privilege against self-incrimination.
«United States v. Boucher, 2007 WL 4246473» хороший пример, но где продолжение банкета? А именно «In re Grand Jury Subpoena to Boucher
, 2009 WL 424718». Да, там foregone conclusion, но не в этом суть.
И, как показывают упомянутые кейсы, даже зашифрованный ноутбук может быть случайно проверен в доступном состоянии, после которого наличие пароля уже неважно. Несмотря на то, что пароль по-прежнему неизвестен, subpoena направлена не на пароль, а на содержимое диска, знаете ли. И тут уже как фишка* ляжет.
* (обстоятельства дела, адекватность судьи, адекватность защищающегося адвоката и адекватность обвинителя).
Статья у Вас как таковая неплохая, но меня лично очень задели безапелляционные пассажи как процитированный мной выше. Хорошо, хоть в каментах выяснили про другие расклады.
У меня всё, спасибо за внимание.
, 2009 WL 424718». Да, там foregone conclusion, но не в этом суть.
И, как показывают упомянутые кейсы, даже зашифрованный ноутбук может быть случайно проверен в доступном состоянии, после которого наличие пароля уже неважно. Несмотря на то, что пароль по-прежнему неизвестен, subpoena направлена не на пароль, а на содержимое диска, знаете ли. И тут уже как фишка* ляжет.
* (обстоятельства дела, адекватность судьи, адекватность защищающегося адвоката и адекватность обвинителя).
Статья у Вас как таковая неплохая, но меня лично очень задели безапелляционные пассажи как процитированный мной выше. Хорошо, хоть в каментах выяснили про другие расклады.
У меня всё, спасибо за внимание.
Sign up to leave a comment.
Обыск и арест электронных устройств и носителей информации при пересечении границы США