Технічні деталі

Для забезпечення конфіденційності інформатора і анонімності комунікацій Хабардокс використовує Tor Hidden Services та адаптоване програмне забезпечення GlobaLeaks з інтегрованим шифруванням файлів в стандарт AES та алгоритмом шифрування стандарту OpenPGP. Комбінація цих програм у спеціально створенній архітектурі захищає як комп’ютер, який відсилає інформацію, так і сервер, який її приймає.

  • Надані матеріали приймаються тільки через приховані псевдо-IP адреси сервісу Tor та за допомогою програми, яка встановлена на окремому сервері. Для забезпечення безпеки від фізичного вилучення сервіс серверу виконують віртуальні машини на базі розгалуженої мережі п'яти дата-центрів (Амстердам, Сан-Франциско, Нью Йорк, Лондон і Сінгапур).
  • Файли, які надають інформатори, автоматично шифруються одразу під час завантаження. Навіть якщо сервер буде конфісковано, дані на ньому залишатимуться зашифрованими.
  • Для того щоб ознайомитись із наданими матеріалами кожний журналіст, обраний інформатором, має власний ключ (згенерований особисто) для розшифрування і завантаження наданих файлів.
  • Хабардокс не зберігає логи процесів завантаження і скачування.
  • Хабардокс активно інформує журналістів і нагадує перевіряти документи перед публікацією і усувати будь-які особисті дані, що вказують на можливе джерело. Це робиться для попередження необачності через яку інколи завантажують файли із прихованою інформацією про власний комп'ютер або персональні дані (наприклад, метадата файлів Word, PDF або зображення EXIF).

Що таке GlobaLeaks?

GlobaLeaks – це програма для інформування про протизаконні дії, яка була створена італійським «Центром Гермес з прозорості та цифрових прав людини» (Hermes Center for Transparency and Digital Human Rights). Експерти з безпеки здійснили численні перевірки програми щоб виявити та усунути можливі уразливості. GlobaLeaks також отримала незалежний аналіз від третіх сторін. Крім того, вихідний код GlobaLeaks є відкритим і кожний може впевнитися в тому, що програма робить саме те на що була запрограмована.

Що таке Tor?

Tor (The Onion Router) — це система для забезпечення анонімності в мережі Інтернет і захисту користувачів від стороннього моніторингу.

Tor маршрутизує Інтернет-трафік через мережу серверів і низку проксі адрес, які приховують оригінальну IP-адресу користувача. Використання Tor робить складнішим відслідковування Інтернет-активності і підвищує рівень конфіденційності.

Використання мережі Tor є безкоштовним. Tor розроблений як вільне програмне забезпечення (створене волонтерами і розташоване у відкритому доступі). Детальніше можна почитати на цій сторінці у Вікіпедії.

Чому захищена адреса Хабардокс закінчується на ".onion"?

.onion домени - це випадково згенерованi адреси, доступні тільки через браузер Tor. Використання таких веб-посилань необхідне для посилення анонімності інформаторів під час передачі матеріалів.

“Цибулеві” адреси засновані на методі шифрування який зменшує можливість розшифрування оригінальних даних в процесі передачі (оnion routing). Початкові дані шифруються та розшифровуються багато разів, потім передаються через наступні вузли Tor, кожен з яких розшифровуює «шар» шифру перед передачею даних наступному вузлу і, зрештою, до місця призначення.

Що таке OpenPGP?

OpenPGP є найбільш поширеним стандартом шифрування електронної пошти у світі. PGP (Pretty Good Privacy) це програма для шифрування даних, яка забезпечує криптографічну приватність і аутентифікацію для підписування, шифрування та дешифрування текстів, електронних листів і цілих розділів диска. 

Для відправлення конфіденційних повідомлень PGP-шифрування відбувається в декілька послідовних кроків використовуючи різні алгоритми. Повідомлення шифруються за допомогою алгоритму симетричного шифрування (ключ-сеансу). Далі повідомлення і ключ-сеансу відсилаються адресатові. Під час пересилання повідомлення шифрується за допомогою відкритого-ключа адресата. Для дешифрування повідомлення адресат використовує приватний-ключ.

Програма PGP пропонує шифрування, що більш за все наближене до рівня, який використовується в оборонній промисловості. Відомі одиничні випадки дешифрування за допомогою криптоаналізу потребували кілька років та використання півсотні процесорів, сучасного обладнання та технологій. 

Той хто ставить за мету перехопити повідомлення зашифровані PGP, скоріше використовуватиме простіші засоби, ніж криптоаналіз, напр., бандитський ‘криптоаналіз’ (шантаж, погрози, тортури, хабарництво) або метод чорного мішка, тобто крадіжка зі зломом - інсталяція на цільовий комп’ютер форми троянського коня або програми для запису натискань клавіатури

На скільки безпечно передавати матеріали через Хабардокс?

Хабардокс мінімізує ризики, але не зводить їх до нуля. Хабардокс не може захистити і забезпечити анонімність за межами платформи. Система не захищає від кейлогерів (keylogger) або схожих програм встановлених на персональних комп'ютерах. Хабардокс також не захищає від людського фактору (подання приватних даних інформатора через власну необачність). Як і за звичайних умов інформатори і журналісти передають матеріали на власний розсуд і на власну відповідальність. (Детальніше тут.)