¿HTTPS lo protege de las huellas dactilares de la NSA?

Question

¿HTTPS lo protege de las huellas dactilares de la NSA?

#1 de Steve Sether (4 votos)
#2 de SDsolar (-4 votos)

7

Hemos establecido que , para todos los efectos, HTTPS oculta la página que visita en un servidor determinado de las escuchas telefónicas de la red troncal de la NSA, pero no el dominio en sí. Pero eso es solo la correlación IP / dominio (a través de múltiples dominios), y nada más.

Según tengo entendido, eso no es la toma de huellas dactilares.

Utilizo el Navegador Tor, con elementos como JavaScript y las cookies de terceros desactivadas y complementos como RequestPolicy y Cookies autodestructivas instaladas, y en pleno uso.

Entiendo que esto aumenta mi riesgo de huellas digitales (avanzadas o no tan avanzadas), potencialmente enormes.

Pero si la toma de huellas dactilares es solo información de la que todos los servidores de los que acepta conexiones, los ve (por ejemplo, qué recursos acepta de ellos o de servidores de terceros, su interacción de cookies, si obtiene sus imágenes y scripts, etc.) Entonces, si todos estos detalles están encriptados dentro de la sesión HTTPS, ¿eso significa que la NSA no puede tomar huellas dactilares de cualquier navegación HTTPS que realice en Internet? suponiendo que los certificados de esos dominios no están comprometidos ni resueltos de alguna manera?

¿Es posible que exista información identificable de huellas dactilares fuera de la información cifrada y en otras partes de la imagen completa aquí? (incluso si los ataques son muy avanzados, ¿estoy pensando en sincronizar los ataques?)

Lo único que pensé simplemente fue: no permitir (o solo permitir recursos de terceros muy específicos y limitados), también conocidas como solicitudes entre sitios, en los diversos dominios HTTPS de su IP visitas (a través de RequestPolicy ). ¿Podría la NSA, al recopilar y analizar todos sus diversos metadatos de tráfico HTTPS, el hecho de que simplemente no tenga ninguno o muchos de los sitios comunes de dominio de terceros conectados (especialmente cuando no al mismo tiempo), cuando lo saben? Sería normal tener eso en la transmisión, ¿le tomas las huellas dactilares únicamente de eso?

Si la respuesta es afirmativa, la respuesta a esta pregunta sería, HTTPS reduce significativamente la cantidad de formas en que la NSA puede tomarle la huella digital (pero puede causar un error) de muchas otras maneras) ?

privacy tls nsa surveillance fingerprinting

pregunta 08.01.2015 - 16:55

fuente

2 respuestas

Lea otras preguntas en las etiquetas privacy tls nsa surveillance fingerprinting

Instalación de Windows 10 USB vendidos por Microsoft [cerrado] Autenticación de dos factores compatible con PSD2

score 4 · Answer 1

Preguntó sobre https, no sobre cuál es otra pregunta, así que abordaré la parte https.

Hay mucha información que se envía de forma clara para configurar una sesión https. Probablemente, lo más obviamente útil sería el cliente que envía las suites de cifrado admitidas, las preferencias de cifrado y las versiones SSL que admite el cliente. El soporte de la suite de cifrado varía ampliamente entre los principales navegadores, e incluso variará entre las versiones del mismo navegador. Por esta razón, sería trivial identificar ampliamente qué navegador está usando el usuario (es decir, Chrome, Firefox) y, en muchos casos, reducirlo a un rango de versiones del navegador. Internet Explorer, por ejemplo, solo tiene unas pocas versiones, por lo que es trivial identificar qué versión se está utilizando.

Las direcciones IP tienden a quedarse por mucho tiempo. Digamos que tenía 3 personas usando la misma dirección IP, Alice, Bob y Charlie. Alice usa Internet Explorer, Bob usa Firefox y Charlie usa Chrome, sería relativamente sencillo distinguir qué usuario está visitando un sitio web seguro si hubiera identificado la dirección IP.

Además, el cliente también envía información de fecha y hora. Eso también podría ser muy útil para tomar las huellas dactilares de un cliente.

En general, diría que es muy posible que al menos algunas huellas digitales se puedan realizar a través de SSL solo con la escucha pasiva.

score -4 · Answer 2

La respuesta corta es no. En primer lugar, se asume ampliamente que pueden leer el contenido HTTPS. Enlace: La NSA puede vencer a casi cualquier tipo de cifrado

Si está interesado en la toma de huellas dactilares, vaya a enlace y verá que su combinación de extensiones, complementos, fuentes, etc., todos son parte de la huella digital de su navegador.

Esa información aparece en los registros del servidor a medida que usted visita, incluso si usa una VPN. Eso no da su dirección IP (y ubicación), a menos que también visite los mismos servidores sin usar la VPN, incluso una sola vez. Una vez que lo haga, pueden correlacionar la huella digital con su ubicación.

En Tor, asegúrate de utilizar TAILS , que es el mismo para todos.

Por cierto, la NSA y el FBI no son su principal amenaza. Las personas por las que se debe preocupar son los operadores de servidores y otras personas que podrían intentar detectar WiFi mientras lo está usando.

Los dos tipos de servidores más riesgosos para evitar son el juego y la pornografía. Esos sitios son donde es más probable que se resfríe, es decir, que tenga una instalación de software malicioso.

Siempre es una buena idea realizar escaneos regulares usando MalwareBytes para asegurarse de que no esté recogiendo gérmenes mientras viaja. la red.

HTTPS es excelente porque evita que los sniffers ingresen a su negocio mientras trabaja desde Starbucks o en un aeropuerto. Es una buena idea usar HTTPS-Everywhere extension en Chrome para hacer Asegúrese de que se use incluso si olvida escribir https: // en las URL.

Si le preocupa que su ISP sepa qué sitios web está visitando, entonces no use sus servidores DNS. Comodo Secure DNS funciona muy bien, y para usarlo todo lo que tiene que hacer es usar 8.26.56.26 y 8.20. 247.20 como sus servidores DNS. O incluso puede utilizar los servidores DNS de Google en 8.8.8.8 y 8.8.4.4

Recomiendo usar una de estas alternativas. Uso Comodo, porque también marcan contenido malicioso.

Si realmente está preocupado por la NSA, lea esto artículo de Bruce Schneier sobre cómo mantenerse a salvo de ellos : tenga en cuenta su subtítulo de este artículo: "La NSA tiene capacidades enormes, y si quiere ingresar a su computadora, está dentro. Con eso en mente, aquí están Cinco formas de estar a salvo. "

Mi consejo es asegurarse de que no se convierta en un objetivo del FBI, CIA, DHS, NSA, DIA o cualquiera de los TLA (agencias de tres letras).

Porque, como se dijo en el OP, somos una gota en el mar, a medida que avanzamos en nuestra vida diaria. Pero nunca olvide que los árboles más altos son los primeros en ser cortados para madera. O las uñas más altas se martillan primero. Cualquiera que sea la metáfora que prefieras. Me gusta cómo lo dijo Google primero: no seas malvado.