Opsec
Opsec (operational security) to dyscyplina ograniczania informacji, które przeciwnik może złożyć w identyfikację, lokalizację albo zamiar. Wojsko i wywiad używały tego wcześniej niż fora. W IT i dziennikarstwie słowo oznacza praktykę: co wolno powiedzieć, którym kanałem, z jakiego urządzenia, przy jakim założeniu o obserwatorze.
Na blackweb.pl opsec nie znaczy “jak wejść na bazar”. Znaczy ochronę źródła, świadomość metadanych, rozdział tożsamości zawodowej od prywatnej, trzeźwy threat model. Legalnie. Bez doxxowania autora i bez instrukcji przestępstw.
Co jest w środku, a czego nie ma
W środku są pytania: kto może mnie obserwować, co już o mnie wie, jakie artefakty zostawiam (logi, płatności, EXIF, styl pisania, siatka kontaktów). Potem decyzje: szyfrowanie, osobne urządzenia albo profile, minimalizacja danych, kompartmentacja tematów. Tekst Opsec dziennikarza idzie w tę stronę.
Poza zakresem zostają mapy rynków, fraud i “jak założyć sklep”. Opsec przestępcy w aktach śledztwa to materiał historyczny i analityczny (patrz błędy Ulbrichta przy Silk Road). Powielanie go jako poradnika nie jest celem tego hasła.
Opsec to nie jedna apka
VPN, Tor, Signal, menedżer haseł: narzędzia. Opsec jest nad nimi. Możesz mieć świetny tunel i jednocześnie logować się do panelu z biblioteki pod własnym imieniem w rezerwacji Wi-Fi. Możesz mieć PGP i jednocześnie trzymać dziennik operacji w Notesie na laptopie, który idzie w dowód. Warstwy się nie sumują magicznie. Mylą się w najsłabszym miejscu.
Dlatego threat model jest pierwszy. Inaczej chronisz źródło przed pracodawcą, inaczej przed zorganizowaną grupą, inaczej przed skryptem zbierającym session cookie z przeglądarki. Inny przeciwnik, inny budżet, inna tolerancja na wygodę.
Typowe wycieki (opisowo)
Metadane plików, powtarzalne godziny aktywności, ten sam nick w dwóch światach, płatność kartą za “anonimową” usługę, zrzuty z widocznym paskiem zadań, rozmowa o sprawie na kanale, który employer czyta. Lista nie jest checklistą do ataku. Jest listą miejsc, w których ludzie regularnie łączą tożsamości sami.
Przy infostealerach do opsec dochodzi higiena stacji: kradzież sesji nie pyta o ideologię. Pyta, czy cookie leżały na dysku. Patrz logi po infekcji. Kompartmentacja kont bez czystego urządzenia po alercie jest półśrodkiem.
Opsec a narracja “anonimowości”
Marketing lubi absoluty. Opsec lubi stopnie. Anonimowość wobec ISP to nie to samo co anonimowość wobec rozmówcy, który zna Twój głos. Pseudonimowość na forum to nie to samo co brak powiązania z płatnością. Warrant canary dostawcy nie naprawia Twojego laptopa pełnego sesji. Każde z tych zdań brzmi sucho. W aktach Silk Road suche zdania stają się wyrokiem.
Dla czytelnika blackweb.pl praktyczny wniosek jest prosty: najpierw model, potem narzędzie, potem nawyk sprawdzania, czy warstwy się nie zderzają. Reszta to ozdoba.