Hướng dẫn Infosec 101 dành cho nhà hoạt động

Giới thiệu

• Mỹ có một truyền thống hoạt động mạnh mẽ bắt nguồn từ các cuộc nổi dậy của nô lệ và khởi nghĩa của người bản địa.
• Ngày nay, hoạt động xã hội tại Mỹ vẫn rất quan trọng, và biểu tình trên đường phố là một công cụ then chốt để nâng cao nhận thức và thúc đẩy thay đổi thể chế.
• Tuy nhiên, việc thách thức các cấu trúc quyền lực hiện có đi kèm rủi ro, và việc bị lộ diện có thể dẫn đến quấy rối, bị bắt, hoặc rò rỉ thông tin cá nhân.
• Tài liệu này tập trung vào an toàn số và bảo mật thông tin mà các nhà hoạt động phải đối mặt.

Các công cụ nên dùng

• BitWarden: trình quản lý mật khẩu, miễn phí, tính năng bổ sung $1/tháng
• DuckDuckGo: tìm kiếm web, miễn phí
• DuckDuckGo Maps: bản đồ và chỉ đường, miễn phí
• Firefox: duyệt web, miễn phí
• Jitsi: họp trực tuyến, miễn phí
• ProtonMail: email, miễn phí, tính năng bổ sung $5/tháng
• ProtonVPN: VPN, miễn phí, tính năng bổ sung $5/tháng hoặc $10/tháng
• Signal: nhắn tin, miễn phí

Các công cụ không nên dùng

• Google Maps: theo dõi vị trí của người dùng và lưu trữ dữ liệu vĩnh viễn.
• Telegram: có vấn đề về bảo mật và không áp dụng mã hóa cho tin nhắn nhóm.
• WhatsApp: không được khuyến nghị vì các vấn đề bảo mật tương tự.

Những điều cần biết

• Điện thoại là mỏ vàng của thông tin theo dõi và định danh.
• Tin nhắn, cuộc gọi điện thoại, v.v. có thể bị cảnh sát ghi lại.
• Hãy cập nhật lên hệ điều hành mới nhất, và nếu điện thoại không còn nhận được cập nhật phần mềm thì tốt nhất không nên mang theo.

Tham gia hành động

Trước khi hành động

• Không đánh dấu "tham gia" trên Facebook.
• Lưu chi tiết trên thiết bị cá nhân hoặc trên giấy.
• Khi tìm kiếm trên Internet, hãy dùng DuckDuckGo và phiên duyệt web riêng tư.
• Cập nhật thiết bị lên phiên bản OS mới nhất.
• Thiết lập tài khoản Signal, và có thể tạo số điện thoại mới bằng Google Voice để đăng ký.

Trong khi hành động

• Hành động cùng với một người bạn đồng hành trong biểu tình.
• Dùng Apple Maps hoặc DuckDuckGo Maps để tìm đường.

Sau khi hành động

• Rời khỏi và xóa nhóm Signal được lập cho cuộc biểu tình.
• Không đăng ảnh biểu tình lên mạng xã hội.

Chuẩn bị điện thoại

Dấu vết số

• Tắt bộ thu GPS và vô hiệu hóa Bluetooth, WiFi, radio ultra-wideband (UWB).
• Nhà mạng di động có thể theo dõi vị trí điện thoại, và cảnh sát có thể sử dụng dữ liệu đó.
• Bật chế độ máy bay để vô hiệu hóa tất cả radio.

Bảo vệ khỏi xâm nhập

• Đặt màn hình khóa và tắt khóa sinh trắc học.
• Dùng mã hóa toàn bộ ổ đĩa để bảo vệ dữ liệu.

Ý tưởng bảo mật

Nhắn tin mã hóa

• Để mã hóa liên lạc cá nhân, hãy dùng mã hóa đầu cuối (E2EE).

Họp trực tuyến

• Dùng Jitsi để không ghi lại hoặc lưu trữ nội dung cuộc họp.

An toàn mật khẩu

• Bật xác thực hai bước (2FA), dùng mật khẩu dài và sử dụng trình quản lý mật khẩu.

Mẹo khác

• Hãy cân nhắc kỹ những người mà bạn có thể chia sẻ việc tham gia hoạt động một cách an toàn.
• Không dùng email cho các cuộc trò chuyện liên quan đến biểu tình.
• Tìm tên của chính mình trên Google để xem những thông tin nào xuất hiện.
• Không check-in tại cuộc biểu tình.
• Không đăng ảnh lên mạng xã hội.

[GN⁺]

Ý kiến trên Hacker News

• Do Proton vướng vào các vấn đề chính trị nên khó yên tâm để khuyến nghị, đồng thời nhắc rằng Mullvad không mắc những sai lầm như vậy

  • Tài liệu liên quan được khuyến nghị là "Activist or Protester?" của EFF và "The Protester's Guide to Smartphone Security" của Privacy Guides
  • Cần thiết lập mô hình đe dọa và nhận thức rằng trong bối cảnh hiện tại, các biện pháp này là chưa đủ
  • Cảnh báo rằng một số biện pháp có thể thu hút sự chú ý

• Bài viết nhấn mạnh sự cần thiết phải tham gia biểu tình cùng một người bạn đáng tin cậy, nhưng bị chỉ ra là thiếu giải thích về cách tìm và duy trì một người bạn như vậy

  • Có nhận thức rằng Firefox thân thiện hơn với nhà hoạt động và quyền riêng tư so với Chrome, nhưng cũng đề cập rằng Chrome có các tính năng bảo vệ thời gian chạy tinh vi hơn và được kiểm thử tốt hơn

• Tin rằng các biện pháp cơ bản sẽ không hiệu quả trước những đối thủ tinh vi như tác nhân cấp nhà nước

  • Giải thích rằng smartphone hiện đại đầy rẫy firmware độc quyền có nhiều lỗ hổng bảo mật, và tồn tại các lỗ hổng thực thi mã từ xa
  • Cảnh báo rằng mạng Find My của Apple có thể hoạt động ngay cả khi thiết bị đã tắt, và các tác nhân cấp nhà nước có thể có backdoor để vượt qua điều này

• Chỉ ra rằng phần khuyến nghị về sao lưu iCloud có lỗi

  • Cho rằng mô tả nói iCloud backup lưu khóa mã hóa toàn bộ ổ đĩa và cơ quan thực thi pháp luật có thể yêu cầu khóa này là không đúng sự thật
  • Khuyến nghị bật Advanced Data Protection để mã hóa đầu cuối dữ liệu

• Đặt câu hỏi liệu iCloud backup có thể mở khóa thiết bị vật lý hay không

  • Cho rằng backup có thể bị xâm phạm và có thể lấy được phần lớn dữ liệu của thiết bị thông qua backup, nhưng muốn biết thêm về mối liên hệ giữa điều đó và việc mở khóa thiết bị vật lý

• Đặt câu hỏi về việc so sánh chi phí lỗ hổng 0-day giữa Firefox và Chrome