Где лучше завести почтовый ящик.

Верно и обратное: те широкие массы, которые, возможно, и начали бы пользовать шифрованием, не будут этого делать, потому что это слишком сложно.

ширпотреб-продукт с каким-то шифрованием — Skype

Как бы это прискорбно не звучало, но самый оптимум, по-видимому, наблюдается тогда, когда инструмент, с одной стороны, достаточно прост, чтобы его могли освоить и безопасно настроить достаточно замотивированные пользователи, и, с другой стороны, достаточно сложен, чтобы

Это как? Полностью доверить свой PGP-ключ mail-серверу? И зачем? Для этого же SSL-сертификаты и SSL-подписи есть, которые сам mail-сервер проставляет (забыл, как точно этот протокол называется, что-то типа инфраструктуры персональных сертификатов).

Автор статей "Мне нечего скрывать" и другие ошибочные толкования приватности и Почему "государственная безопасность" одерживает победу над приватностью, считает, что саморегуляции приватности пользователями бесперспективна и приводит множество аргументов, по которым в массе своей они не будут заинтересованы её осваивать; а если будут, то никогда не освоят, или наделают кучу ошибок, или никогда не смогут адекватно оценивать решения. Поскольку он специалист в области права, а не технологий, то он больше верит в закон и считает, что проблему можно регулировать только законом "сверху". Что-то подобное говорил и Шнайер: большинство людей защищаются от угрозы убийства законом, а не бронежилетом.

Автор статей...

спасибо за ссылки (и вообще за ваши материалы — очень познавательно). я думаю, что это как проблема линукса в 00-е и сейчас: продукт (убунту, минт) явно лучше win, но не может сделать то, что в начале 00-х сделал mac: ребрендинг, вирусная реклама и проч. не может стать модным. или очень не хочет.

есть куча решений по доступности: встроить в thunderbird (это мозилла стоит за stopwatching.us, кстати) по умолчанию enigmail и какую-н. программу для pgp (как в портабельной версии на portableapps.com), чтобы эта штука была кроссплатформенной, чтобы пользователя отделяли от "готовой вещи" не тридцать шагов, а пять.

сейчас, кстати, очень удобный момент (bbc тут рекомендует не пользоваться гуглом и фейсбуком :)

What can you do to protect yourself?
Several websites have published advice on how to avoid Prism's reach. Suggestions include:

To avoid using any of the named tech companies' products

потребность, короче, есть. но кончится, боюсь, всё тем, что выскочит опять какая-нибудь имитация правильной вещи, типа скайп, зато в красивой обложке. потому что разработчикам правильной вещи было как-то влом эту красивую обложку нарисовать. и приатачить вменяемый мануал.

Будущее за проектами, наподобие freedombox и концепцией "dehierarchicalization". Только нужно максимально свободное железо, помимо софта.

продукт (убунту, минт) явно лучше win, но не может сделать то, что в начале 00-х сделал mac: ребрендинг, вирусная реклама и проч. не может стать модным. или очень не хочет.

Что-то подобное говорил и Шнайер: большинство людей защищаются от угрозы убийства законом, а не бронежилетом.

Будущее за проектами, наподобие freedombox и концепцией "dehierarchicalization". Только нужно максимально свободное железо, помимо софта.

А это по сути даже не возражение, а переизложение части позиции. Оценка рисков приватности столь контритуитивна обычному человеческому опыту, что потребность разбираться даже в простейших технологиях у человека не возникает или он может элементарно наделать непредусмотренных глупостей даже в них.

Принципиально нет смысла привязываться к политической мотивации, да ещё какой-то конкретной. Пусть гипотетические сторонники геноцида Тибета и/или присоединения Сибири к Китаю тоже пользуются этими же технологиями с другой стороны баррикад. А также те, кто ни к каким Тибетам ни в каких странах отношения не имеет. А просто хочет тайно опубликовать похождения кошки главы АНБ своей соседки, к примеру.

всего-то, поставить один аддон в thunderbird и программу.

thunderbird + enigmail + pgp

не будут этого делать, потому что это слишком сложно. На рынке был всего один ширпотреб-продукт с каким-то шифрованием — Skype

bbc тут рекомендует не пользоваться гуглом и фейсбуком

more the government spends on offensive techniques, the greater its interest in making sure that security holes in widely used software remain unrepaired.

A spokesman for the NSA agreed that the proliferation of hacking tools was a major concern but declined to comment on the agency's own role in purchasing them, citing the "sensitivity" of the topic.

The Department of Defense and U.S. intelligence agencies, especially the NSA, are spending so heavily for information on holes in commercial computer systems, and on exploits taking advantage of them, that they are turning the world of security research on its head

Some national-security officials and security executives say the U.S. strategy is perfectly logical: It's better for the U.S. government to be buying up exploits so that they don't fall into the hands of dictators or organized criminals.

But exploits can't be counted on to work once the holes they rely on are disclosed. That means contractors are constantly looking for new ones that can be swapped in to a particular program after the original vulnerability is fixed. Some security firms sell subscriptions for exploits, guaranteeing a certain number per year.

"My job was to have 25 zero-days on a USB stick, ready to go," said a former executive at a defense contractor that bought vulnerabilities from independent hackers and turned them into exploits for government use.

Zero-day exploits will work even when the targeted software is up to date

Many zero-day exploits appear to have been produced by intelligence agencies. But private companies have also sprung up that hire programmers to do the grunt work of identifying vulnerabilities and then writing exploit code. The starting rate for a zero-day is around $50,000, some buyers said, with the price depending on such factors as how widely installed the targeted software is and how long the zero-day is expected to remain exclusive.

Cerrudo said he regrets selling to a research institution in Europe he won't name that he later realized received a great deal of funding from a national government.

A Paris-based security company called Vupen sells tools based on exploits to intelligence, law-enforcement and military authorities in most of the world.

Until 2010, Vupen often notified software vendors for free when it found vulnerabilities, said chief executive Chaouki Bekrar. That has now changed. "As our research costs became higher and higher, we decided to no longer volunteer for multi-billion-dollar companies," Bekrar said. When software makers wouldn't agree to a compensation system, he said, Vupen chose to sell to governments instead. "Software vendors created this market by not decently paying researchers for their hard work."

In Bekrar's estimation, Vupen is doing good. "Exploits are used as part of lawful intercept missions and homeland security operations as legally authorized by law," he said, "to protect lives and democracies against both cyber and real world threats."

The company is one of the most visible players in the business. Vupen sent a dozen researchers to an elite April conference ... The only larger contingents were one from the conference's organizer, zero-day reseller Immunity Inc, and one from the U.S. government.

ReVuln's founders, Italian researcher Luigi Auriemma and former Research in Motion vulnerability hunter Donato Ferrante, declined to say anything about their customers. In an email interview, they said they sold some exploits exclusively and others more widely. Asked if they would be troubled if some of their programs were used in attacks that caused death or destruction, they said: "We don't sell weapons, we sell information. This question would be worth asking to vendors leaving security holes in their products."

Major players in the field include Raytheon Co, Northrop Grumman Corp and Harris Corp, all of which have acquired smaller companies that specialize in finding new vulnerabilities and writing exploits. Those companies declined to discuss their wares.

Reuters reviewed a product catalogue from one large contractor, which was made available on condition the vendor not be named. Scores of programs were listed. Among them was a means to turn any iPhone into a room-wide eavesdropping device.

There were tools for getting access to computers or phones, tools for grabbing different categories of data, and tools for smuggling the information out again. There were versions of each for Windows, Apple and Linux machines. Most of the programs cost more than $100,000, and a solid operation would need several components that work together. The vast majority of the programs rely on zero-day exploits.

Some of Endgame's activities came to light in purloined emails published by hackers acting under the banner Anonymous. In what appear to be marketing slides, the company touted zero-day subscriptions as well as lists of exactly which computers overseas belonged to specific criminal "botnets" – networks of compromised machines that can be mobilized for various purposes, including stealing financial passwords and knocking websites offline with traffic attacks.

The point was not to disinfect the botnet's computers or warn the owners. Instead, Endgame's customers in the intelligence agencies wanted to harvest data from those machines directly or maintain the ability to issue new commands to large segments of the networks, three people close to the company told Reuters.

Kleiner partner who sits on Endgame's board, said he couldn't comment on the company's classified business. But he defended the idea of captive botnets.

Принципиально нет смысла привязываться к политической мотивации

There were tools for getting access to computers or phones, tools for grabbing different categories of data, and tools for smuggling the information out again. There were versions of each for Windows, Apple and Linux machines.

Question:
Is encrypting my email any good at defeating the NSA survelielance? Id my data protected by standard encryption?
Answer:
Encryption works. Properly implemented strong crypto systems are one of the few things that you can rely on. Unfortunately, endpoint security is so terrifically weak that NSA can frequently find ways around it.

«Нужна ли популярность любой ценой для операционных систем с открытым исходным кодом?»

А почему Вы из enigmail выделяете pgp?

ловите другую, более оптимистичную цитату

держать private key на машине в соседней комнате, которая не подключена :)

Если параноить дальше, то в команды разработчиков Open Source могут быть внедрены агенты, как было с подозрением по поводу ФБР и OpenBSD (вроде как неподтвердившимся). Они могут или целенаправленно внедрять уязвимости, замаскированные под случайные ошибки в открытом коде, или пользоваться краткосрочной инсайдерской информацией для того, чтобы передать службам эксплойт, время жизни которого хотя бы несколько часов для осуществления атаки, которая нацелена на жертву в ждущем режиме.

Кроме того, АНБ может использовать TEMPEST и прослушку для кражи приватных ключей разработчиков программ и сборщиков дистрибутивов, чтобы немассово, но хотя бы целенаправленно подсовывать отдельным жертвам протрояненные версии.

Наконец, что будет, если ФБР попросит приватный ключ, которым подписывается программа или дистрибутив под подписку о неразглашении (кляп-ордер), якобы для поимки опасного террориста? А заодно провернуть на этом ещё парочку десятков операций против каких-либо других неугодных в обход официальных дел?