Zastanawiałem się ostatnio – fakt, z lekką nutką paranoi, ale to poniekąd zboczenie zawodowe – nad sensownością dalszego twierdzenia o bezpieczeństwie zakupu prywatnego złota. I doszedłem do niewesołych wniosków. A potem przeczytałem w newsletterze o planowanym arcie na temat i pomyślałem, że warto chyba będzie wtrącić swoje trzy grosze 😉

W dalszej części odnoszę się do schematu “klasycznego zakupu anonimowego”, lansowanego w 2NN – dzwonimy z pytaniem o metal, wchodzimy z ulicy, kupujemy nasz metal [EUR15k-] płacąc gotówką, dostajemy paragon i wychodzimy [“bezpieczeństwo” wysyłki pocztowej jest tak iluzoryczne, że nie będę się nad tym nawet rozwodził]. Bezpiecznie? IMO tylko pozornie, pies leży bowiem pogrzebany w technikaliach. Załóżmy bowiem, że spełnia się scenariusz Gospodarza i np. złoto dochodzi do momentu, gdzie nie ma go na rynku, ponieważ nikt nie chce go sprzedawać, ergo osiąga ono kosmiczne ceny. Taki scenariusz zwiększa motywację złych ludzi w rządzie / służbach do powęszenia tu i ówdzie z nieco większą starannością, gdyż znacznie zwiększa się po prostu wartość oczekiwana…

1. Namierzenie paśników.

Zastanawiałem się ostatnio – fakt, z lekką nutką paranoi, ale to poniekąd zboczenie zawodowe – nad sensownością dalszego twierdzenia o bezpieczeństwie zakupu prywatnego złota. I doszedłem do niewesołych wniosków. A potem przeczytałem w newsletterze o planowanym arcie na temat i pomyślałem, że warto chyba będzie wtrącić swoje trzy grosze 😉

W dalszej części odnoszę się do schematu “klasycznego zakupu anonimowego”, lansowanego w 2NN – dzwonimy z pytaniem o metal, wchodzimy z ulicy, kupujemy nasz metal [EUR15k-] płacąc gotówką, dostajemy paragon i wychodzimy [“bezpieczeństwo” wysyłki pocztowej jest tak iluzoryczne, że nie będę się nad tym nawet rozwodził]. Bezpiecznie? IMO tylko pozornie, pies leży bowiem pogrzebany w technikaliach. Załóżmy bowiem, że spełnia się scenariusz Gospodarza i np. złoto dochodzi do momentu, gdzie nie ma go na rynku, ponieważ nikt nie chce go sprzedawać, ergo osiąga ono kosmiczne ceny. Taki scenariusz zwiększa motywację złych ludzi w rządzie / służbach do powęszenia tu i ówdzie z nieco większą starannością, gdyż znacznie zwiększa się po prostu wartość oczekiwana…

1. Namierzenie paśników.

Od czego więc zaczynają zakładanie swoich sieci źli ludzie w rządzie? Od “namierzenia paśników”. Nihil novi. Jeśli ktoś chce wziąć pod lupę kiboli, węszy w środowisku kibolskim. Jeśli ktoś chce zdobyć złoto… cóż, “paśników” jest relatywnie niewiele – złotnicy, witryny pokroju 2NN właśnie i dealerzy. Złotników oczywiście pomijam. Dealerzy już i tak są pewnie pod dyskretną obserwacją. 2NN… cóż, dla złych ludzi w służbach założenie jednej kwerendy na bazy przelewów wychodzących na pewne konto w Szwajcarii w sytuacji globalnego resetu w celu wyłapania subskrybentów rzeczywistych albo założenie jednej kwerendy na połączenia [fakt, u kilkudziesięciu ISPs] z twonuggets.com naprawdę nie będzie chyba stanowić wielkiego problemu, przynajmniej w RP. To tak na początek.

2. Namierzenie klienteli.

Źli ludzie wiedzą już, gdzie szukać, i wśród kogo. Rozpoczyna się szukanie klientów.

Teoretycznie zakup na paragon jest bezpieczny. Teoretycznie…

Po zerowe, na mocy poprzedniego punktu jesteśmy już co najmniej w kręgu “podejrzeń”. Od tego raczej już nie uciekniemy, mleko się rozlało :/

Po pierwsze, prawie każdy z nas przegląda ofertę dealera przed zakupem. Po takiej sesji zostaje ślad i u naszego providera, i na serwerach dealera. Owszem, IP to tylko “poszlaka”, nie dowód, ale jesteśmy dopiero na początku drogi.

Po drugie, gotówkę na zakup bierzemy najczęściej z konta. Oczywiście złym ludziom ze służb może nie przyjść do głowy “pożenić” czasowo wypłat z konta z próbami łączenia się do serwisów www dealera, ale na głupotę służb jakoś hadko mi liczyć. Jeśli – w sytuacji resetu, powiadam, normalnie takich zachowań nie przewiduję nawet ja 😉 – ŻLZS mają a) fizyczny namiar na abonenta 2NN, b) połączenia się z jego IP do stron dealerów, c) nagłe wypływy gotówki [szczególnie, jeśli na zarobki rzędu np. 2-3k pln przypada skorelowane w czasie z wizytą na www dealera wybranie nagle jakichś 5k np.], to… w dalszym ciągu mamy tylko poszlaki, ale ich ilość niepokojąco [dla nas] wzrasta. Ludziom, na których kontach miesięczny wypływ równowartości paru uncji Au jest tylko niezauważalnym incydentem… gratulujemy 🙂

Po trzecie, telefon do dealera. To tak trywialny fail, że nie będę go nawet dokładnie opisywał.

Po czwarte, delaer himself. U dealera są kamery. Kamery nagrywają. I co z tego? Cóż… jedno słowo: INDECT. Ktoś powie, że to paranoja… ale czyż nie na zdrowej paranoi właśnie bazuje nasze “złote wotum nieufności” wobec rządu? Dobra wiadomość: INDECT na razie chyba jeszcze nie działa.

Parę lat temu omyłkowo posłałem podatek ze swojego konta, zamiast z konta Żony, prowadzącej działalność. USy mają [miały?] na tyle głupi system, żeby wpłatę uznać dopiero po naszej interwencji… ale nie na tyle głupi, żeby do czasu wyjaśnienia nie omieszkać zablokować nam WSZYSTKICH kont – również te, których nijak nie wykazywaliśmy do żadnych urzędów.

A w tle pozostaje kilka pomniejszych “vulnerabilities”, które być może mogą Złym Ludziom Ze Służb przyjść do głowy, choć już niekoniecznie: odkryte jakiś czas temu dziury w HTTPS, triangulacja [?] lokalizacji odbiornika GSM [Wasza komórka] w czasie pobytu u dealera i pewnie cała kupa pomniejszych, o których istnieniu nie mam nawet pojęcia.

Krótko mówiąc: dotychczasowe “procedury bezpieczeństwa” nie wytrzymają moim zdaniem konfrontacji z Lewiatanem. A żadną miarą nie uważam się za specjalistę ds. security…

3. Przeciwdziałanie [częściowe]

Cóż, na koniec wypadałoby napisać coś konstruktywnego 😀 Otóż na każdy hak istnieje przeciwhak, wyłapanie którego wymagałoby już naprawdę “węszenia ręcznego”, ponieważ wszystko powyższe ma tę paskudną właściwość, że da się robić masowo paroma komendami z komputera:

a) korzystanie z TORa [http://www.torproject.org] lub i2p, co – przynajmniej teoretycznie – uniemożliwi Złym Ludziom natychmiastowe namierzenie połączeń do serwerów dealerskich chociażby,
b) zero telefonów do dealerów, sprawdzanie drobnicy tylko na stronie dealera via TOR,
c) pozostawienie komórki w domu na czas wycieczki do dealera – w części przypadków wyłączenie nie wystarczy, pozostanie wyjęcie baterii… co też może być poszlaką,
d) zdrowym nadmiarem paranoi będzie pozostawienie w domu karty MPK i jazda na biletach jednorazowych – choć to już paranoja nawet dla mnie 🙂
e) “obfuskacja” przelewów i niewyjmowanie kwoty na zakup w przeddzień lub w dzień transakcji – rozbicie jej na kilka wypłat w różnych odstępach czasu,
f) anty-INDECT: oszukanie spiętych w sieć kamer, umiejących kojarzyć obraz z konkretną osobą, pozostawiam na zadanie domowe 🙂
g) fizyczne bunkrowanie – ale o tym była już wielokrotnie mowa.

Dopiero imo kombinacja powyższych daje względnie zadowalający poziom bezpieczeństwa, którego imo sztampowy “zakup z ulicy za gotówkę” nie jest w stanie zapewnić żadną miarą. Jakkolwiek idiotycznie może to powyższe brzmieć dla niektórych, stawka całości [szczególnie w przypadku większych zakupów] kazałaby się co najmniej nad tym zastanowić. A może panikuję? Czekam na opinie.