1. syyskuuta 2014

Miten lähettää viestejä ja/tai jakaa tiedostoja helposti, turvallisesti ja anonyymisti?

Netistä voi ladata jos jonkinmoista salausohjelmistoa ja netti on täynnä erilaisia tiedostojenjakopalveluita. Suurinosa niistä on ilmaisia. Mutta salausohjelmiston (GPG4win, Truecrypt, jne.) käyttäminen edellyttää yleensä ohjelmistojen asentamista tietokoneelle, salausavainten tai salasanojen jakamista, muistamista, turvallista säilyttämistä ja muuta monimutkaista. Tiedostojenjakopalvelut (Dropbox, Google Drive, Onedrive, jne.) puolestaan ovat epäluotettavia ja niissä ylläpitäjät (ja tiedustelupalvelut ja poliisi) voivat helposti päästä käsiksi jakamiisi tiedostoihin. Yhtälö kuulostaa vaikealta ratkaistavaksi. Onneksi siihen on olemassa pari helppoa palvelua, joita oikein käyttämällä ongelma ratkeaa.

Mega on ilmainen tiedostojenjakopalvelu, joka salaa (ja purkaa salauksen) sinne lataamasi tiedostot selaimessasi ennen kuin ne edes lähetetään heidän palvelimille. Mega ei missään vaiheessa saa tietoonsa salaukseen käytettyjä salausavaimia, koska niitä ei luoda eikä lähetetä milloinkaan Megan palvelimille. Vaikka mikä viranomainen kuinka haluaisi Megan luovuttavan ne heille, se ei vain yksinkertaisesti ole mahdollista. Mikäli olet asentanut selaimeesi vielä Megan lisäosan (Firefoxille ja/tai Chromelle), ei Megan palvelintenkaan takaportittaminen ja sitä kautta troijalaiskoodin syöttäminen selaimeesi heidän nettisivuiltaan auta mitään, koska lisäosa ei lataa mitään suoritettavaa koodia heidän palvelimeltaan.

Privnote on ilmainen viestipalvelu, joka sekin salaa (ja purkaa salauksen) selaimessasi. Privnotekaan ei missään vaiheessa saa tietoonsa salaukseen käytettyjä salausavaimia, koska niitä ei luoda eikä lähetetä milloinkaan heidän palvelimilleen. Privnote säilyttää salatun viestin palvelimillaan, kunnes se luetaan ensimmäisen kerran. Sen jälkeen viesti pyyhitään heidän palvelimeltaan pois. Viestin puolestaan pystyy lukemaan vain tietämällä siihen viittaavan osoitteen (jossa on sisäänrakennettuna salauksen purkamiseen tarvittava salausavain)...niin ja muista, että vain ja ainoastaan yhden kerran!

Miten näitä kahta palvelua sitten voi käyttää turvalliseen tiedostojen jakoon? Tässä rautalankaohje suomeksi. Se vaikuttaa pitkältä ja monimutkaiselta, mutta takaan, että kun käyt sen läpi kerran tai pari, niin opit sen jo ulkoa. Periaate on yksinkertainen ja äärimmäisen turvallinen. Mikäli se tuntuu silti liian vaikealta, niin katso kirjoitukseni lopusta yksinkertaisempi (ja vähemmän turvallinen, mutta silti luultavasti tarpeeksi turvallinen) tapa tehdä miltei sama asia.
  1. Perusta tili tänne https://mega.co.nz ja muista käyttää vahvaa salasanaa.
  2. Mene ja kirjaudu https://mega.co.nz ja lataa haluamasi tiedosto sinne ("Upload file").
  3. Klikkaa ko. tiedostoa ja valitse yläpalkista "Get link".
  4. Klikkaa "Include file key" nappia kerran, jotta saat vain linkin kyseiseen tiedostoon Megan palvelimilla ("File link") ja klikkaa sen jälkeen "Copy to clipboard".
  5. Mene https://privnote.com ja liitä (Ctrl+V) avautuvaan viestikenttään kyseinen "File link", esim. https://mega.co.nz/#!gYRH2ZBR ja halutessasi jotain muuta viestiä tms. kaverillesi. Sen jälkeen klikkaa "Create note".
  6. Kopioi ko. sivun antama linkki tähän Privnoten viestiin ja lähetä tavallisena sähköpostina/tekstiviestinä kaverillesi ja pyydä häntä ilmoittamaan (mieluiten soittamaan, koska ääntä on vaikea väärentää) sinulle, jos ja kun hän saa ko. linkin ja siinä olevan viestin (Privnotessa) auki.
  7. Mikäli kaverisi ilmoittaa, ettei saa ko. viestiä Privnotessa auki, viesti on jo tuhottu Privnoten palvelimilta tai kaverista ei kuulu mitään, SEIS! Joku salakuuntelee viestintääsi ja on napannut ko. linkin ja sen takana olevan viestin (Privnotessa) auki. Älä huoli, mitään ei ole menetetty kuitenkaan vielä. Salakuuntelija ei ole saanut Megaan laittamasi tiedostojen salausavainta ("File key") haltuunsa, joten ei voi mitenkään purkaa niitä selkokieliseksi (vaikka voikin teoriassa ehkä ladata ne sieltä itselleen). Sinun pitää aloittaa alusta, eli palata kohtaan 2. Huomaa, että sinun pitää luoda uusi hakemisto ja ladata tiedostot sinne uudelleen, jotta niille tulee uudet "File link" ja "File key":t.
  8. Mikäli kaverisi (mieluiten soittaa ja) ilmoittaa, että on saanut ko. viestin Privnotessa auki ja sen sisällön talteen, varmista, että hänen saama linkkinsä Privnoteen on todellakin se linkki, jonka sinä hänelle lähetit eikä mikään muu. Pyydä häntä toistamaan (mieluiten lukemaan ääneen), mikä se linkki Privnoten viestiin oli. Mikäli linkki Privnoten viestiin on oikea, siinä Privnoten viestissäkin ollut linkki Megan tiedostoon ("File link") on silloin automaattisesti oikea. Megassa tiedostoon viittaavaa linkkiä ("File link") tai salauksen purkuun viittaavaa "File key":tä ei pidä missään nimessä milloinkaan kertoa puhelimessa, sähköpostitse tai tekstiviestinä, koska se on salassa pidettävää tietoa! Mikäli linkki Privnoten viestiin, jonka kaverisi on saanut, on se sinun lähettämäsi eli oikea...
  9. ...mene takaisin https://mega.co.nz ja klikkaa taas ko. tiedostoa ja valitse yläpalkista "Get link".
  10. Klikkaa "Include file key" nappia kerran ja tämän jälkeen klikkaa "Copy keys", jotta saat vain tiedostojen purkuun tarvittavan salausavaimen eli "File key":n.
  11. Mene https://privnote.com ja liitä (Ctrl+V) avautuvaan viestikenttään kyseinen "File key", esim. 6MzEO5eonP90gnrJ_LK31e_7CCW4X2UPW8FBco2YgRM ja halutessasi jotain muuta viestiä tms. kaverillesi. Sen jälkeen klikkaa "Create note".
  12. Kopioi ko. sivun antama linkki tähän Privnoten viestiin ja lähetä tavallisena sähköpostina/tekstiviestinä kaverillesi ja pyydä häntä ilmoittamaan (mieluiten soittamaan, koska ääntä on vaikea väärentää) sinulle, jos ja kun hän saa ko. linkin ja siinä olevan viestin (Privnotessa) auki.
  13. Mikäli kaverisi ilmoittaa, ettei saa ko. viestiä Privnotessa auki, viesti on jo tuhottu Privnoten palvelimilta tai kaverista ei kuulu mitään, SEIS! Joku salakuuntelee viestintääsi ja on napannut ko. linkin ja sen takana olevan viestin (Privnotessa) auki. Älä huoli, mitään ei ole menetetty kuitenkaan vielä. Salakuuntelija ei saanut Megaan laittamasi tiedostojen linkkiä ("File link") haltuunsa, joten ei voi tietää, mitä tiedostoja hänen pitäisi Megasta ladata itselleen. Sinun pitää aloittaa alusta, eli palata kohtaan 2. Huomaa, että sinun pitää luoda uusi hakemisto ja ladata tiedostot sinne uudelleen, jotta niille tulee uudet "File link" ja "File key":t.
  14. Mikäli kaverisi (mieluiten soittaa ja) ilmoittaa, että on saanut ko. viestin Privnotessa auki ja sen sisällön talteen, varmista, että hänen saama linkkinsä Privnoteen on todellakin se linkki, jonka sinä hänelle lähetit eikä mikään muu. Pyydä häntä toistamaan (mieluiten lukemaan ääneen), mikä se linkki Privnoten viestiin oli. Mikäli linkki Privnoten viestiin on oikea, siinä Privnoten viestissäkin ollut salauksen purkuavain "File key" on silloin automaattisesti oikea. Megassa tiedostoon viittaavaa linkkiä ("File link") tai salauksen purkuun viittaavaa "File key":tä ei pidä missään nimessä milloinkaan kertoa puhelimessa, sähköpostitse tai tekstiviestinä, koska se on salassa pidettävää tietoa! Mikäli linkki Privnoten viestiin, jonka kaverisi on saanut, on se sinun lähettämäsi eli oikea...
  15. ...kaverisi tarvitsee nyt vain mennä "File link" mainittuun osoitteeseen, tässä tapauksessa siis https://mega.co.nz/#!gYRH2ZBR ja kirjoittaa salauksen purkuavain eli "File key", tässä tapauksessa siis 6MzEO5eonP90gnrJ_LK31e_7CCW4X2UPW8FBco2YgRM ja hän voi ladata tiedoston selkokielisenä tietokoneelleen.
  16. Privnoten kautta välitetyt ko. viestit ovat nyt tuhoutuneet eikä kukaan voi onkia niitä enää tietoonsa mitenkään mistään, joten jaettu linkki ja sen sisällön purkamiseen käytetty salausavain on nyt vaihdettu turvallisesti sinun ja kaverisi kesken.

Vaikuttaa varmasti monimutkaiselta, mutta edelleenkin, takaan, että opit tämän helposti kun kokeilet pari kertaa. Menetelmä on ns. idiootinvarma. Millään taholla ei ole mitään mahdollisuutta saada selville tällä tapaa jaetun tiedoston sisältöä salakuuntelemalla viestiliikennettäsi internetissä, saamiasi sähköposteja, tekstiviestejä tai puheluitasi.

Kannattaa kuitenkin muistaa, että jaettu tiedosto voidaan silti löytää kaverisi tai sinun tietokoneelta tai mahdollisesti selaimesi välimuistista...mikäli et ole asianmukaisesti salannut/pyyhkinyt niitä sieltä pois. Mikäli joku joskus saa selville ko. "File link" ja "File key" rimpsut, hän voi tietenkin myös ladata ko. tiedoston selkokielisenä Megasta tietokoneelleen...jos sitä ei ole vielä poistettu Megasta. Internet-palveluntarjoajan ja puhelinoperaattorisi lokeihin jää aina merkinnät siitä, että olet surffannut ko. nettisivuilla ko. aikaan ja olet puhunut puhelimessa kaverisi kanssa ko. aikaan...sama pätee tietysti kaveriisi. Näin ollen voi ainakin teoriassa olla mahdollista todistaa, että olette jakaneet viestejä ja saman tiedoston/tiedostot netin välityksellä keskenänne, vaikka ko. viestien ja tiedoston/tiedostojen sisällöstä ei voikaan tietää mitään. Megan ja Privnoten käyttö ei millään tapaa suojaa nettiliikenteen ja nettitoiminnan seuraamiselta, se suojaa vain ja ainoastaan välitettyjen viestien ja tiedostojen sisällöt.

Mikäli sinulla on tarvetta suojata myös nettiliikenteesi ja nettitoimintasi urkintaa vastaan, suosittelen hankkimaan esimerkiksi (maksullisen) IPredator-VPN/Anonyymipalvelun ja/tai käyttämään esimerkiksi (ilmaista) Tor Browser Bundlea netissä surffailuun ja vaikkapa tässä mainittujen viestien ja tiedostojen jakamiseen. Nämä toimivat kaikki melko hyvin yhdessä, joskaan en ainakaan itse onnistunut purkamaan Megaan ladatun tiedoston salausta Tor Browsersilla (sain virheilmoituksen väärästä "File key":stä).

Onko liian monimutkaista ja ehkä vähän liian paranoidin turvallista sinulle?

Helpompi ja luultavasti aivan riittävän turvallinen tapa jakaa tiedostoja kaverillesi on tehdä Megaan kansio, laittaa sinne haluamasi tiedostot, klikata ko. kansiota ja valita "sharing". Saat ruudullesi linkin, joka johtaa suoraan ko. kansioon ja sisältää salauksen purkuavaimen itsessään. Linkki on esimerkiksi https://mega.co.nz/#F!xZ5HiBia!6y-aZUpaAODiCnme4QSi0A tai vastaava. Kopioi linkki, laita se Privnoteen viestiin ja laita kaverille sähköpostitse linkki ko. viestiin Privnotessa. Kaveri pääsee käsiksi ko. kansioon ja sen tiedostoihin tuon Privnoten kautta saamansa linkin kautta. Voila!

Luonnollisesti voit käyttää Privnotea pelkästään lähettääksesi turvallisesti viestejä kaverillesi. Kirjoita viesti Privnoteen ja lähetä linkki siihen viestiisi kaverisi sähköpostiin. 99,9999% tapauksista se toimii, eikä kukaan ole käynyt nappaamassa linkkiä ja lukemassa viestiäsi ennen kuin kaverisi sen saa. Ja kun kaverisi saa sen, se katoaa Privnotesta ikuisiksi ajoiksi, eikä kukaan voi sitä sieltä palauttaa. Tässä on sekin hyvä puoli, että viestistä ei jää mitään kopiota mihinkään, joka voisi vaikka vuosien päästä "löytyä" jostain syystä jostakin. Mitään pitäviä todisteita viestistä ei voi edes luoda, koska kuvankaappauksissa olevan osoitteenkin voi helposti väärentää ja osoitteessahan ei enää ole mitään jälkeenpäin, joten sieltä ei voi käydä tarkistamassa mitä se on joskus sisältänyt.

Turvallista jakamista ja viestittelyä!

3 kommenttia:

Anonyymi kirjoitti...

Tämä on myös loistava softa/palvelu, mutta vielä jonkin sortin betavaiheessa

https://tox.im/

Anonyymi kirjoitti...

Onko kokemusta BitTorrent Sync (http://getsync.com) ohjelmasta? Se vaatii ohjelman asentamisen molempiin koneisiin, mutta tiedosto siirtyy salattuna ja salausavaimen SHA-256 hash toimii kansion "osoitteena". Protokolla tukee myös read-only avaimia, ja se käyttää DHT menetelmää toisten koneiden löytämiseen.

Toinen mielenkiintoinen ohjelma on BitTorrent Bleep (http://blog.bittorrent.com/2014/07/30/bittorrents-chat-client-unveiled-bittorrent-bleep-now-in-invite-only-pre-alpha), jota en ole vielä päässyt kokeilemaan käytännössä.

Näiden ohjelmien huono puoli on suljettu lähdekoodi, mutta toivottavasti protokollasta tulee avoin ja saadaan tarjolle eri clienttejä (kuten alkuperäiseen BitTorrent protokollaankin on).

Markus Jansson kirjoitti...

Periaatteessa tavallisella Torrentillakin voi jakaa turvallisesti, jos ja kun pystyy vain antamaan .torrent-tiedoston vastaanottajalle turvallisesti ja pitää "protocol encryption" tilassa "forced". Tällöin jako on salattu .torrent tiedostossa olevilla tiedoilla eikä ilman niitä sen sisällöstä pääse perille.

En ole pahemmin noihin erikoisysteemeihin perehtynyt Torrenttien osalta. Niidenkin ongelmana on toki se, että silloin pitää oma ja kaverin kone kummatkin olla verkossa samaan aikaan. Ulkopuolinen jakopalvelu kuten mega puolestaan ei vaadi sitä, mikä on plussaa.