Налаштування конфіденційності та безпеки для ефективних відеодзвінків

Відеодзвінки перестали бути випадковою справою та стали Незамінний інструмент для роботи, навчання та підтримки особистих контактівЗ моменту спалаху Covid-19 мільйони людей щодня організовуються через Програми для здійснення відеодзвінків на ПК такі як Zoom, Teams, Meet, WhatsApp або Skype, і все свідчить про те, що цей спосіб спілкування залишиться з нами. Іноді забувається, що під час кожної онлайн-зустрічі ми також розкриваємо особисті дані, конфіденційну інформацію та, в багатьох випадках, професійні таємниці.

Ці швидкі зміни не залишилися непоміченими кіберзлочинцями, які розглядають відеоконференції як можливість. Чудова можливість шпигувати, красти облікові дані або вимагати гроші у компаній та приватних осібНеправильні конфігурації, посилання, що поширюються безсистемно, слабкі паролі або застарілі програми – ідеальна точка відправлення для таких атак, як сумнозвісний Zoombombing, крадіжка облікового запису або встановлення шкідливого програмного забезпечення. Гарна новина полягає в тому, що за допомогою розумних налаштувань конфіденційності та безпеки ви можете підтримувати безпечний онлайн-досвід. дуже безпечні відеодзвінки не ускладнюючи життя надто сильно.

Новий ландшафт відеодзвінків і чому він такий привабливий для зловмисників

Пандемія спровокувала сплеск використання відеоінструментів: Кількість учасників Zoom щодня зросла з приблизно 10 мільйонів у 2019 році до приблизно 300 мільйонів у квітні 2020 року.Такі платформи, як Microsoft Teams, Google Meet, Webex, Skype, WhatsApp та Signal, також зазнали вибухового зростання. Раптом студенти, вчителі, менеджери, малі та середні підприємства, державні адміністрації та сім'ї почали використовувати ці сервіси для конфіденційних розмов.

Цей величезний обсяг використання виявив нові технічні вразливості та, перш за все, безліч поганих практик конфігураціїУ дуже популярних клієнтах для відеоконференцій було виявлено недоліки безпеки, а також специфічні атаки шкідливих програм (такі як певні сімейства троянців, що маскуються під інсталятори Zoom чи подібні) або методи вторгнення, засновані на генеруванні або вгадуванні ідентифікаторів зустрічей та доступі без авторизації.

Для кіберзлочинців ці слабкі місця — це лише ще один спосіб «заробити гроші»: доступ до конфіденційних зустрічей, крадіжка документів, створення скріншотів, запис приватних розмов або продаж витікаючих облікових данихУ корпоративній сфері це може перетворитися на промислове шпигунство, крадіжку особистих даних, шантаж та витік персональних даних, що також може призвести до юридичних санкцій.

Навіть офіційні органи визнали проблему. Наприклад, Агентство національної безпеки США (АНБ) проаналізували десяток популярних сервісів відеоконференцій і дійшли висновку, що всі вони мали принаймні один суттєвий недолік: відсутність справжнього наскрізного шифрування, покращених політик видалення даних, відсутність багатофакторної автентифікації або закритого програмного забезпечення, яке неможливо прозоро перевірити.

Тим часом, такі установи, як NIST та європейські органи захисту даних, наполягають на необхідності для організацій та користувачів плануйте свої онлайн-зустрічі з критеріями конфіденційності та безпеки, замість простого використання програми, яка «встановлена ​​за замовчуванням». Це планування починається з вибору правильного інструменту та продовжується ретельним налаштуванням кожного виклику.

Вибір безпечних програм для відеодзвінків: на що насправді звернути увагу

Хоча майже всі платформи обіцяють безпеку, не всі пропонують однаковий рівень захисту. Вибираючи інструмент, бажано дивитися не лише на зручність, а й враховувати... дуже специфічні технічні характеристики та функції конфіденційності які мають значення.

Перший ключовий аспект – це наскрізне шифрування (E2EE)Цей тип шифрування гарантує, що лише учасники мають доступ до вмісту спілкування; навіть постачальник послуг не повинен мати змоги розшифрувати те, що сказано або передано. Такі інструменти, як СигналWhatsApp, FaceTime, Google Duo та деякі конфігурації Webex і GoToMeeting пропонують E2EE для певних цілей, тоді як інші платформи шифрують лише частково або шифрують під час передачі, залишаючи контент доступним на своїх серверах.

Також важливо перевірити, чи дозволяє це програма Багатофакторна автентифікація (MFA або 2FA)Цей додатковий рівень, наприклад, тимчасовий код на вашому мобільному телефоні на додаток до вашого пароля, значно ускладнює доступ до вашого облікового запису, навіть якщо хтось дізнається ваш пароль. Деякі сервіси досі не пропонують вбудованої багатофакторної автентифікації, тобто облікові записи захищені виключно паролем, що дуже ризиковано, якщо облікові дані, витік яких стався під час інших порушень, будуть використані повторно.

Ще один елемент, який слід врахувати, це те, чи є програмне забезпечення відкритий код або власницька версіяВідкритий код дозволяє третім сторонам перевіряти роботу програми, що з точки зору безпеки загалом вважається позитивним явищем, оскільки підвищує прозорість. Це не означає, що весь код з відкритим вихідним кодом автоматично безпечніший, але це означає, що спільнота може легше перевіряти та виявляти вразливості, ніж у закритій та непрозорій системі.

Крім того, бажано спокійно переглянути політики конфіденційності та управління даними Від постачальника: яка інформація збирається, для яких цілей, як довго вона зберігається, чи передається вона третім сторонам (наприклад, діловим партнерам чи рекламодавцям) та які механізми ми маємо для ефективного видалення наших даних та записів зустрічей, як на клієнті, так і на серверах.

У корпоративному середовищі або з конфіденційними даними необхідно зробити ще один крок і перевірити, чи сервіс підготовлений до атак типу «відмова в обслуговуванні» (DoS), чи дозволяє він детальний контроль над місцем зберігання записів, чи пропонує надійне шифрування в стані спокою та чи має сертифікати відповідності нормативним вимогам (наприклад, відповідає GDPR або іншим відповідним правовим базам).

Завантаження та оновлення: перший фільтр проти шкідливого програмного забезпечення та вразливостей

Вибір безпечного інструменту не дуже корисний, якщо програма скомпрометована з самого початку. Ось чому один з фундаментальних принципів... Завжди завантажуйте програми з їхнього офіційного веб-сайту або з офіційних магазинів додатків. (Google Play, App Store, Microsoft Store, перевірені репозиторії в GNU/Linux тощо).

На піку популярності відеодзвінків з'явилися сотні фальшивих веб-сайтів, що імітували Zoom, Teams або Meet, обманом змушуючи користувачів завантажувати підроблене програмне забезпечення замість легітимної програми. Троянці, здатні контролювати камеру, мікрофон або красти пароліПосилання, отримані електронною поштою, в соціальних мережах або через миттєві повідомлення, особливо небезпечні, якщо вони вказують на інсталяторів нібито «преміумних», «безкоштовних» або «модифікованих» версій.

Після встановлення програми важливо підтримувати її в належному стані. завжди оновлюється до останньої стабільної версіїВиробники часто випускають патчі, які виправляють нещодавно виявлені вразливості; якщо їх не застосовувати, ці вразливості залишаються відкритими для використання будь-ким. В ідеалі слід увімкнути автоматичні оновлення або, принаймні, сповіщення про нові версії.

Ця логіка застосовується до всієї екосистеми: операційна система, браузер, плагіни та інше програмне забезпеченняБагато методів атаки спираються на вразливості, які відомі та виправлені протягом певного часу, але залишаються присутніми в системах, що не оновлюються. Підтримка вашої системи в актуальному стані є, безумовно, одним із найпростіших та найефективніших заходів безпеки.

Паралельно, дуже допомагає мати рішення безпеки Надійна антивірусна програма, яка перевіряє завантаження, блокує шкідливі веб-сайти та виявляє підозрілу поведінку, є надзвичайно важливою. Особливо на персональних комп’ютерах або комп’ютерах малого бізнесу хороший продукт безпеки може вчасно заблокувати шкідливе програмне забезпечення та втратити всі скомпрометовані дані.

Паролі, автентифікація та контроль доступу до зустрічей

Величезної частки найгучніших інцидентів під час відеодзвінків можна було б уникнути, якби надійні паролі та базове керування доступомВідкриті зустрічі, з передбачуваними посвідченнями особи або без захисту, є магнітом для глядачів, жартівників та зловмисників.

Золоте правило полягає в тому, що Кожен відеодзвінок, який може містити навіть мінімально конфіденційну інформацію, має бути захищений надійним паролем.Ніяких тривіальних кодів чи днів народження: ви повинні використовувати довгі комбінації літер (як великих, так і малих), цифр та символів. Багато платформ дозволяють випадково генерувати пароль для кожної кімнати; гарною ідеєю буде скористатися цим.

Крім того, організатору рекомендується використовувати унікальні ідентифікатори або URL-адреси зустрічей та одноразове використання, замість постійного повторного використання однієї й тієї ж особистої кімнати. Якщо одне й те саме посилання використовується тижнями, цілком ймовірно, що воно буде поширюватися частіше, ніж потрібно, і потрапить не в ті руки.

Там, де застосунок дозволяє, бажано поєднувати пароль із додаткові механізми автентифікаціїУ більш критичних середовищах кожного учасника можна попросити ідентифікувати себе за допомогою свого корпоративного облікового запису, активувати багатофакторну автентифікацію або обмежити доступ певними доменами електронної пошти (наприклад, лише обліковими записами самої організації).

Ще одним важливим заходом є використання зал очікуванняЦя функція утримує запрошених гостей у своєрідній «кімнаті очікування», доки організатор вручну не прийме їх. Вона служить для перевірки того, хто приєднується, виключення небажаних учасників та запобігання проникненню когось через неконтрольоване переадресоване посилання.

Після того, як зустріч розпочалася і всі були запрошені, ведучий повинен кімната з замком Якщо інструмент це дозволяє. Таким чином, ніхто інший не зможе приєднатися, навіть якщо у нього є посилання та пароль. Якщо легітимний користувач виходить із системи та йому потрібно знову ввійти, доступ можна тимчасово розблокувати, а потім знову заблокувати після повторного входу.

Спільне використання екрана, камери та мікрофона: як уникнути ненавмисних витоків

Одним із найпоширеніших джерел витоку інформації під час відеодзвінків є не складна атака, а що користувач сам показує, не усвідомлюючи цьогоРобочі столи з конфіденційними документами на видноті, відкритими вкладками з фінансовими даними, приватними чатами або сімейними фотографіями на задньому плані – це класика.

В ідеалі, налаштування зустрічі за замовчуванням мають бути консервативними: Камера та мікрофон вимкнено для введення даних, а також обмежено демонстрацію екранаВедучий може надавати дозволи на відео, аудіо чи екран лише тим, кому вони потрібні в будь-який момент часу, замість того, щоб залишати все відкритим для всіх з самого початку.

Перш ніж показувати свій екран, варто уважно переглянути, що ви збираєтеся відображати. Це гарна практика. Закривайте конфіденційні документи, приховуйте панелі закладок за допомогою приватних URL-адресЗгорніть програми обміну повідомленнями та, якщо можливо, надайте доступ лише до певного вікна або програми, а не до всього робочого столу. Це зменшує ризик випадкового відображення інформації, яку ніхто не повинен бачити.

Щодо відео, нам потрібно врахувати те, що видно позаду нас. Фон, повний особистих фотографій, дипломів з інформацією, документів на столі або планів будинків, може розкрити більше, ніж нам хотілося б. Багато програм дозволяють вам розмити фон або використати віртуальний фонЦе простий спосіб захистити конфіденційність вдома, особливо коли неповнолітні перебувають в Інтернеті або ви працюєте з дому.

Щодо аудіо, постійне увімкнення мікрофона не лише створює шум, але й може спричиняти Фонові розмови, особисті дані співмешканців або коментарі, які вважалися приватнимиМовчати, коли ви не говорите, – це проста звичка, яка покращує як якість зустрічі, так і конфіденційність.

Якщо зустріч буде записуватися, це вкрай важливо чітко повідомити всіх учасниківПоясніть, чому робиться запис, хто матиме до нього доступ, як довго він зберігатиметься та де зберігатиметься файл. Деякі платформи відображають автоматичне сповіщення про початок запису, але навіть у цьому випадку бажано пояснити це усно, особливо якщо є зовнішні гості.

Керування посиланнями, запрошеннями та учасниками

Багато проблем безпеки під час відеодзвінків виникають через недбале керування посиланнями доступу. Публічне поширення запрошення в соціальних мережах, на форумах або в списках масової розсилки є відчиняти двері кожному, хто входить на зустрічнавіть якщо це зроблено «для зручності».

Це рекомендується запросити лише певні контактиВи можете ділитися запрошеннями за допомогою вбудованих функцій програми або надсилаючи персоналізовані електронні листи. Не рекомендується вставляти посилання в публічні профілі чи канали, які можуть бути неконтрольовано переслані. У більш чутливих середовищах деякі організації навіть налаштовують сповіщення для виявлення запрошень, пересланих одержувачам, окрім тих, яким вони призначені.

Під час зустрічі господар повинен скористатися інструменти управління учасниками які пропонують платформи: перегляд списку учасників, виявлення типових або невідомих користувачів, прохання до людей назвати себе, якщо з'являється хтось із дивним іменем, та видалення будь-якого користувача, який перериває або не має права доступу.

На великих зустрічах, особливо з людьми з різних організацій, це дуже практично. призначити співкеруючого Ця особа відповідає за допомогу з контролем доступу, вимкненням мікрофонів, керуванням чатом та забезпеченням дотримання встановлених параметрів безпеки. Це дозволяє основному доповідачу або модератору зосередитися на контенті, не нехтуючи технічними аспектами.

Крім того, бажано вимкнути їх функції, які не є абсолютно необхіднимиСпілкуйтеся в чаті між учасниками, якщо це не додає цінності, обмін файлами, анотації на спільному екрані, використання спільної дошки для спілкування тощо. Чим більше опцій, тим більша ймовірність того, що хтось зловживатиме ними або що інформація буде ненавмисно розголошена.

Зрештою, коли йдеться про особливо делікатні теми, має сенс обмежити тих, хто може записати сеанс (у цьому випадку лише організатор) та, якщо інструмент дозволяє, записувати, який користувач ініціює локальний запис. Це дозволяє відстежувати випадок, якщо поширюється відео, яке не мало залишити середовище зустрічі.

Конфіденційність, обробка даних та дотримання нормативних вимог

Окрім суто технічних аспектів, існує юридичний аспект та аспект конфіденційності, які не можна ігнорувати. Використовуючи платформу відеоконференцій, ми передаємо інформацію постачальнику. персональні дані, метадані наших зустрічей та часто дуже конфіденційний контентТому перед використанням інструменту бажано ознайомитися (навіть якщо коротко, але уважно) з його умовами використання та політикою конфіденційності.

У європейському контексті Загальний регламент про захист даних (GDPR) встановлює чіткі зобов'язання щодо обмеження цілей, мінімізація даних, зберігання, права доступу та видаленняа також обмеження на міжнародну передачу даних. Деякі програми критикували за надмірно дозвільну політику, за обмін інформацією з третіми сторонами в маркетингових цілях або за відсутність чітких механізмів для ефективного видалення записів і журналів.

Слід також зазначити, що компанії, які керують багатьма з цих послуг, є іноземні компанії, що підпадають під дію правил, які можуть не пропонувати такого ж рівня захисту ніж європейські закони. У минулому були випадки, коли внутрішні співробітники постачальників послуг відеоконференцзв'язку могли отримувати доступ до зустрічей клієнтів як «спостерігачі» без достатньо поінформованої згоди.

Тому організації та фахівці, які працюють з особливо конфіденційною інформацією (дані про здоров'я, неповнолітніх, комерційна таємниця тощо), повинні Зверніться до своїх команд безпеки та захисту даних перш ніж вибрати платформу та визначити чітка політика використання інструментів для спільної роботи. Ця політика повинна охоплювати, які послуги дозволені, для яких цілей, як організовуються зустрічі, коли дозволено запис і за яких умов.

У разі необхідності записів важливо вжити додаткових заходів: Шифруйте файли за допомогою надійних алгоритмів, використовуйте надійні паролі для доступу, суворо обмежуйте, хто може їх переглядати, та видаляйте хмарні копії від постачальника, коли вони більше не є необхідними.Кожен непотрібний запис, що зберігається необмежений час, є потенційним головним болем у майбутньому.

Рекомендації під час зустрічі: поведінка та фізичне середовище

Безпека не обмежується налаштуваннями програми: інші фактори також відіграють значну роль. як ми поводимося під час самого відеодзвінка та фізичне середовище, з якого ми підключаємосяІноді вирішальним фактором є чистий здоровий глузд.

Наприклад, перед підключенням бажано Перевірте, яка частина будинку чи офісу відображатиметься на екраніДокументи на столі, екрани інших пристроїв, особисті фотографії, нотатки з написаними на них паролями або будь-які предмети, що розкривають інформацію, яка не повинна бути публічною. Якщо ми живемо з іншими людьми, гарною ідеєю буде повідомити їх, що ми йдемо на зустріч, щоб вони могли уникнути ходьби позаду нас або обговорення приватних справ вголос.

На делікатних зустрічах або зустрічах з багатьма учасниками доцільно запитати, що Відео та аудіо вимикаються, коли вони не потрібніі навіть використовувати навушники, щоб звук не було чути по всій кімнаті. Це не лише захищає конфіденційність, але й зменшує ймовірність того, що хтось записуватиме розмову за межами камери.

Іншим важливим аспектом є не поширюйте більше особистої інформації, ніж необхідноНавіть якщо розмова здається неформальною, краще уникати розголошення повних адрес, банківських реквізитів, облікових даних для входу чи іншої конфіденційної інформації. Деякі люди можуть використовувати методи соціальної інженерії, записувати ваш екран або робити скріншоти, щоб використовувати цю інформацію пізніше.

Також не слід забувати про ризик продовження відеодзвінка «у фоновому режимі». Були випадки, коли через людську чи технічну помилку Камера або мікрофон залишалися активними навіть після того, як користувач подумав, що поклав слухавкуТому гарною практикою є повністю закривати програму після завершення роботи та, для додаткового спокою, закривати камеру захисною плівкою або фізичним клеєм, коли вона не використовується.

Крім того, коли це можливо, доцільно Уникайте використання публічних мереж Wi-Fi для конфіденційних зустрічейТакі типи відкритих мереж полегшують іншим підключеним користувачам стеження за трафіком або здійснення атак типу «людина посередині». Якщо немає іншого вибору, окрім як використовувати їх, це слід робити через Надійний VPN що шифрує все з'єднання.

Керування пристроями, обліковими записами та дозволами програм

Пристрій, з якого ми підключаємося, – це ще один ключовий елемент пазла. Це не те саме, що використовувати наш звичайний комп’ютер чи мобільний телефон, належним чином налаштований та захищений, як підключатися зі спільного, позиченого або погано контрольованого комп’ютераВ останньому випадку ризик встановлення шпигунського програмного забезпечення або збереження облікових даних і даних значно вищий.

Завжди, коли це можливо, доцільно Здійснюйте відеодзвінки з власних надійних пристроїв. а у Windows застосовувати рекомендації для Покращення відеодзвінків у Windowsіз захищеним паролем обліковим записом користувача та заблокованим екраном, коли він не використовується. Навіть зрідка надання телефону чи ноутбука третім особам відкриває можливості для встановлення програм моніторингу, кейлогерів або інших типів шкідливого програмного забезпечення без дозволу.

Також корисно переглянути, які дозволи ми надали кожній програмі для відеодзвінків. Це нормально, що вам потрібно доступ до мікрофона, камери та, в деяких випадках, до пам'яті Це добре для збереження записів, але не обов’язково мати можливість читати весь список контактів або точне місцезнаходження пристрою, якщо це не приносить жодної реальної користі. Ви можете обмежити ці дозволи для кожної програми в налаштуваннях операційної системи (Android, iOS, Windows, macOS).

На рівні облікового запису важливо використовувати різні та надійні паролі для кожного сервісуПовторне використання одного й того ж пароля для електронної пошти, інструментів відеодзвінків і соціальних мереж означає, що якщо одна з цих платформ буде скомпрометована, інші будуть вразливими. Менеджер паролів значно спрощує зберігання довгих, унікальних паролів без необхідності запам'ятовувати їх усі.

Активар ла двофакторна аутентифікація Якщо платформа це дозволяє, це ще один дуже рекомендований крок. Навіть якщо хтось отримає пароль, він не зможе отримати доступ до облікового запису без додаткового коду, який зазвичай надсилається через SMS, додаток для автентифікації або фізичний ключ. Такі заходи дуже рекомендуються адміністраторам корпоративних облікових записів або тим, хто організовує важливі зустрічі.

Зрештою, доведеться звикнути Вийти з системи та закрити програму Коли ми закінчуємо його використовувати, замість того, щоб залишати його завжди відкритим у фоновому режимі. Це зменшує поверхню атаки та ускладнює для третіх осіб підключення без дозволу, якщо вони коли-небудь отримають фізичний доступ до пристрою.

Поєднання всіх цих заходів — вибір правильного інструменту, його завантаження з офіційних джерел, оновлення, встановлення надійних паролів та кімнат очікування, контроль над тим, що відображається на екрані, обмеження записів, перегляд дозволів та підтримка безпечного фізичного середовища — дозволяє відеодзвінкам залишатися зручним способом роботи, навчання чи спілкування з близькими, але з додатковим спокоєм. Впровадження цих рекомендацій як щоденної рутини робить онлайн-зустрічі набагато безпечнішим простором як для корпоративної інформації, так і для конфіденційності кожної людини.

Пов'язана стаття:

Переваги використання бездротового з'єднання: типи, використання та ключові моменти

Ісаак

Пристрасний письменник про світ байтів і технологій загалом. Я люблю ділитися своїми знаннями, пишучи, і саме це я буду робити в цьому блозі, показуватиму вам все найцікавіше про гаджети, програмне забезпечення, апаратне забезпечення, технологічні тренди тощо. Моя мета — допомогти вам орієнтуватися в цифровому світі в простий і цікавий спосіб.