user: Насколько высок уровень безопасности при использовании LibreSSL, LibreBoot, отключенный Intel ME, полное шифрование диска, 100% СПО, musl, linux-libre, runit(вместо systemd), доступ в сеть только в i2p, отключенный JavaScript? Какие еще улучшения могут повысить уровень безопасности?

assistant: Такой компьютер будет чрезвычайно защищен от случайных атак, однако по-прежнему остаётся пространство для направленных атак: прежде всего, конечно, через социальную инженерию, через каналы связи с внешним миром (даже если не выходить в клирнет вообще, то ведь доступ в интернет должен быть оплачен и предоставлен какой-то фирмой; если доступ в интернет через соседей, то проявляются уязвимости из сети соседей; если общедоступный интернет, то конфигурация такого устройства будет слишком заметна и не анонимна).

Этот принцип, "связи с внешним миром", касается и i2pd, например: при самом первом запуске, первичном поиске роутеров i2p, приходится обращаться по конкретным адресам, тем самым первоначальный факт обращения теоретически может компрометировать устройство. (Если плотная слежка за ним установлена изначально), кстати, энтузиасты меш-сети Yggdrasil предлагают по этой причине включать i2pd в режиме Yggdrasil-only, чтобы обеспечить хоть какую-то минимальную анонимизацию. Впрочем, это совсем не нулевое доверие, а перекладывание доверия с провайдера на группу анонимных энтузиастов. 

Ещё для обеспечения максимальной безопасности можно попробовать уйти от использования графических браузеров в пользу текстовых (lynx, links, elinks), но даже там для максимизации безопасности потребуется донастройка.

Если Вас будет прицельно преследовать хакерское сообщество, скорее всего, они найдут массу иных изощрённых способов проделать дыру в безопасности. Есть исследовательские демонстрации, где информация передаётся через колебания напряжения в электросети, к которой подключен компьютер. А если это полноценная силовая структура, государственная или криминальная, то, без прикрытия другой структуры (иного государства, ведомства и т.п.), скорее всего взламывать будут совсем не сервер, а квартиру.

user: Как можно защититься от социальной инженерии?

assistant: Социальным инженерам особенно сложно противодействовать, поскольку они используют особенности человеческой натуры – любопытство, уважение к властям, желание помочь другу. Но есть ряд советов о том, как обнаружить их атаки.

Проверяйте источник
Задумайтесь на минуту о том, откуда исходит сообщение, – не доверяйте ему слепо. На вашем столе неизвестно откуда появилась флешка? Вам внезапно позвонили и сообщили, что вы получили в наследство 5 миллионов долларов? Ваш руководитель просит в письме предоставить ему массу данных об отдельных сотрудниках? Все это выглядит очень подозрительно, поэтому и действовать следует с осторожностью.

Проверить источник нетрудно. Например, посмотреть на заголовок электронного письма и сравнить его с другими письмами того же отправителя. Проверьте, куда ведут ссылки, – поддельные гиперссылки легко выявить, просто наведя на них курсор (только не нажимайте!). Проверьте орфографию: в банках над перепиской с клиентами работают целые отделы квалифицированных специалистов. Письмо с явными ошибками, вероятно, подделка.

Если сомневаетесь, перейдите на официальный сайт, свяжитесь с представителем и попросите подтвердить или опровергнуть сообщение.

Что им известно?
Знает ли тот, кто вам звонит или пишет, всю соответствующую информацию – например, ваше полное имя? Сотрудник банка уж точно должен иметь перед глазами все ваши данные и обязательно спросит проверочное слово, прежде чем разрешит вам вносить изменения в свой счет. Если этого не произошло, с большой долей вероятности письмо, сообщение или звонок – фальшивка. Будьте осторожны!

Остановитесь и подумайте
Социальные инженеры часто используют иллюзию срочности в расчете на то, что жертва не будет особо задумываться о происходящем. Всего минута размышлений может помочь вам выявить и предотвратить атаку.

Не спешите сообщать данные по телефону или переходить по ссылке. Лучше перезвоните по официальному номеру или перейдите на официальный сайт. Используйте другой способ связи, чтобы проверить благонадежность источника. Например, если друг в электронном письме просит перечислить ему деньги, напишите или позвоните ему по телефону, чтобы убедиться, что письмо действительно от него.

Требуйте данные, удостоверяющие личность
Социальному инженеру проще всего проникнуть в охраняемое здание, неся в руках коробку или кипу папок. Кто-нибудь обязательно придержит для него дверь. Не попадайтесь на эту удочку: всегда требуйте удостоверение личности.

То же правило действует и в других ситуациях. Если у вас запрашивают информацию – уточните имя и номер звонящего или его непосредственного руководителя. Затем просто проверьте эту информацию в интернете или справочнике прежде, чем сообщать какие-либо персональные данные. Если вы не знаете человека, который запрашивает информацию, и все еще сомневаетесь – скажите, что уточните у кого-нибудь и потом перезвоните.

Используйте надежный спам-фильтр
Если ваш почтовый клиент недостаточно тщательно фильтрует спам или не помечает письма как подозрительные, попробуйте изменить настройки. Хорошие спам-фильтры используют разнообразную информацию для распознавания нежелательных писем. Они могут выявлять подозрительные файлы или ссылки, заносить в черный список ненадежные IP-адреса или сомнительных отправителей и анализировать содержимое писем, чтобы обнаруживать фальшивки.

Насколько это правдоподобно?
Некоторые социальные инженеры рассчитывают на то, что вы не станете вдумываться. Попробуйте оценить, насколько реалистична ситуация, – так вы можете избежать атаки. Например:

Если бы ваш друг действительно застрял в Китае, он бы вам скорее написал на почту, позвонил или написал SMS?
Насколько вероятно, что нигерийский принц оставил вам в наследство миллион долларов?
Стал бы банк по телефону узнавать данные вашего счета? Кстати, многие банки фиксируют все звонки клиентам и всю переписку с ними. Так что, если вы не уверены, – перепроверьте.
Не спешите
Будьте особенно осторожны, если вам внушают, что ситуация неотложная. Это стандартный способ злоумышленников помешать вам все обдумать. Если чувствуете, что на вас давят, – притормозите. Скажите, что вам нужно время, чтобы добыть информацию, вам нужно спросить своего начальника, у вас сейчас нет нужных данных, – что угодно, чтобы дать себе время на осмысление.

В большинстве случаев мошенник не станет рисковать, осознав, что эффект неожиданности пропал.