Comments 431
подробный разбор появился: Месседжер MAX следит за пользователями VPN? Реверс инжиниринг говорит — да
Нет. Описанный в статье механизм как раз очень удобен для сбора именно такой статистики, которой у РКН нет, но очень хотелось бы иметь.
Как минимум:
1) очень легко собрать список IP-адресов большинства не-публичных self-hosted VPN/proxy, в том числе таких, которые крайне сложно и дорого детектировать на ркновских DPI (ТСПУ)
2) чуть сложнее, но более чем реально - собрать список IP-адресов таких же приватных виртуалок в отечественных облаках, диапазоны которых по ошибке оказались в белых списках и используются людьми для обхода этих самых белых списков
«Никогда такого не было, и вот опять»
Ничего, теперь мы знаем, какие западные IP всегда будут в белом списке!
С чего вы взяли?
Наоборот судя по выборке amazon/cloudflare/whatsapp/telegram можно так палить self hosted vpn и потом сдавать их на баны в РКН.
Учитывая, что у ВК да и в целом на российском рынке есть свои нормальные сервисы определения ip и геолокации, эти запросы выглядят больше как малварь, нежели как обычный детект.
есть конечно вариант что это просто какая-то используемая либа в потрохах делает запросы. но сей час уже конспирология это отсутствие злого умысла, а не его наличие.
но сей час уже конспирология это отсутствие злого умысла, а не его наличие.
Это уже конспирология конспирологии, второй уровень рекурсии. Для тех, кто не любит MAX и именно MAX.
Я MAX тоже не люблю, но - за компанию, с Telegram и WhatsApp: мне вообще не нравится идея перести общение с властями на смартфоны, со всеми их, типа, прелестями, вроде геолокации. И банки туда же - всё норовят приложение на смртфон засунуть. Безопасность же смартфона - это штука сомнительная. Потому что в системном ПО всегда есть/неизбежно появятся уязвимости (ибо верифицировать их отсутствие невозможно).
Так что у меня самого смартфона нет, и я постараюсь обойтись без него как можно дольше. Поэтому для меня вся эта статья - конспирология, начиная с вопроса, зачем ее автор вообще написал: он AFAIK обитает в Чехии, и зачем ему за свободу интернета в РФ бороться - чисто непонятно.
зачем ему за свободу интернета в РФ бороться - чисто непонятно.
Наверное потому что у него до сих пор остались друзья и родственники в России?
Но конспирологическое истолкование этот факт допускает, не так ли?
А предыдущий ответ - он как раз был для иллюстрации, что конспирология - она о двух концах, и вообще есть предмет веры.
И людям циничным, вроде меня, для которых первичная установка - "обмануть меня хотят" - на ум изначально приходят как раз другие варианты, конспирологические.
И про MAX, кстати - тоже, но там с мотивацией проще: выгода селфмейдмена - сына Киндерсюрприза там очевидна.
А ещё есть у меня мысль, нельзя ли в MAX каналы и ботов использовать как VPN-канал, который ловит даже на парковке, и даже когда мимо пролетает какой-нибудь Лютый. Это было бы круто, но думать ее до конца мне лень.
А ещё есть у меня мысль, нельзя ли в MAX каналы и ботов использовать как VPN-канал, который ловит даже на парковке, и даже когда мимо пролетает какой-нибудь Лютый. Это было бы круто, но думать ее до конца мне лень.
Можно использовать звонки, разработка уже есть
Звонки - это интересно, но полоса пропускания невелика. Стеганографию (в форме, к примеру, картинок, которыми обмениваются на канале) туда вряд и всунуть получится.
Кстати, не хотите про эту разработку написать? А то люди некоторые без свободного мобильного интернета страдают.
в МАХЕ есть видеозвонки. Можно звонить коллегам в страны СНГ и показывать им быстро меняющиеся QR коды по видео, и самому смотреть их QR коды, это вроде пока не запрещено
Только вот в Скаме нет e2e шифрования. Данные необходимо предварительно шифровать и добавлять данные для восстановления утерянных qr-кодов.
С утра что-то такое придумывал: на изолированной машине открываем СРАМ в браузере, подсовываем ему видеопоток с виртуальной камеры и настраиваем запись области экрана куда СРАм выводит видео
Далее поднимаем прокси-сервер, на нем поток TCP/UDP отлавливаем, разбиваем на блоки, шифруем, конвертируем в QR-код, череду картинок подаем как видопоток в СРАМ
Где нибудь в СНГ (где СРАМ работает) снимаем видеопоток, проводим обратные процедуры
Поток правда будет в килобайты в секунды
нельзя ли в MAX каналы и ботов использовать как VPN-канал, который ловит даже на парковке, и даже когда мимо пролетает какой-нибудь Лютый. Это было бы круто
Если Лютый сможет использовать его как VPN, то это не круто.
Так что у меня самого смартфона нет, и я постараюсь обойтись без него как можно дольше.
Я бы почитал полноценную статью про то, как человек в 2026 обходится без смартфона. Нет, я не отрицаю саму концепцию, это в принципе реально. Но вот с какими подводными камнями при такой повседневной жизни человек сталкивается - послушать интересно.
У меня отец так живёт. Принципиально от смарта отказывается.
И живёт вполне себе неплохо.
Из подводных камней - разве что в банках тяжело сломать скрипт, что надо что-то в приложении сделать. А в остальном - всё пучком. Когда надо куда-то в интернет - тут домашний комп в помощь.
Всякие такси - заказать до сих пор можно по телефону, но это не часто требуется, т.к. он на своём авто обычно.
UPD: единственная проблема, которая сейчас "начинает подгорать" - это то, что текущая Nokia не поддерживает 4G, и если в городе таки откажутся от 3G-вышек, надо будет искать новый аппарат...
Без навигатора на машине неудобно.
Какой смысл от навигатора, если навигация глушится который год?
Навигацию глушить часто не помогает при наличии антенн типа CRPA с 16-каналами (и более), например "Комета" от АО «ВНИИР-Прогресс».
Калининград — ни разу не попадал.
Волгоград — глушится по необходимости, не всё время.
Кстати, сигналы GPS телефоны ловят по-разному. Поэтому взял себе Samsung S23+ по итогам тестов сопрлтивлегия РЭБ.
А радикальное средство от этого — некоторые часы Garmin, с ними военлёты полётные задания выполняют, когда РЭБ глушит вообще всё остальное.
За пределами Московского региона вполне удобно.
Да и в Москве норм, если ездить по десятку маршрутов.
Насчет "Московского региона" это вы зря, везде в больших городах глушат.
Последний раз заметил данное явление в Костроме.
Всм. удобно без него. Навигатор важен для поездок в редкие, не типичные места, для поездок в другие города и для бизнеса, который работает с доставкой(сильнее всех по ним и ударило).
В Ярославской области уже два года как весь GPS заспуфлен. Показывает, что ты на выезде из Ярославля в сторону Вологды и едешь со скоростью около 50 километров час в сторону Ярославля напрямую через леса и поля.
Кострома почти на границе с Ярославской областью, видимо, там то же самое. Надо будет проверить, когда в Кострому поеду.
Показывает, что ты на выезде из Ярославля в сторону Вологды
«Где ты моя, красноглазая, где?..»
P. S. Есть мнение, что иранцы таким методом на днях посадили израильский беспилотник.
Они же должны военный GPS использовать, а не гражданский...
P.S.: А песня — про кожно-венерологический диспансер. ;-)
Они же должны военный GPS использовать, а не гражданский...
Ну вот якобы робяты поднатужились — и шмогли.
(Информация от агентства ОБС — но простым отказом техники тот факт, что бандура, изначально летвшая на километровой высоте, оказалась на земле в относительной целости, достаточно сложно объяснить.)
Если знаешь город/область, то без навигатора вполне себе норм.
А всякие пробки можно посмотреть и из дома до выезда.
Плюс ещё специфика, что ему редко когда надо куда-то в "пробочное" время ехать - так что тут скорее "вышел и поехал".
ну у меня например в машине есть. на том же андроиде. гораздо удобнее чем смартфон на торпеду колхозить каждый раз.
я отказаться от смартфона цель не ставлю, но от облачных сервисов практически от всех отказался. на основном смартфоне даже гугла нет. один вацап остался, но это только для связи с другими людьми.
а телефонию я презираю еще больше чем соцсети. по этому симку с номером практически не использую. благо тут нет такой обязаловки везде через смс регистрироваться как в рф.
Бывают навигаторы не на смартфоне, например Гармин.
Если ездишь по знакомому городу по знакомым районам, то навигатор не нужен.
А в незнакомый район ехать незачем.
Поездка в незнакомый район для многих людей дело редкое. А по незнакомым местам или незнакомому городу и с навигатором сложно ездить, по крайней мере что для меня что для жены. Мы обычно в два лица ездим - один ведет а второй смотрит на навигатор и разбирается с вопросами когда перестроится, какой из двух рядом расположенных поворотов - наш, и где лучше припарковаться в месте назначения.
Последние несколько лет, в таких случаях смотрю из дома. Как проехать от знакомых мест, как выглядит здание/вход и где припарковаться. А то некоторые организации так прячутся, что и с работающим навигатором не факт что найдёшь.
Лет 10 назад ЯН был неплох, пока не завесил рекламой всю важную информацию и не начал водить кругами и кабаньими тропами. Последнее их приложение которое я удалил. и наверное последнее приложение российского бигтеха.
Гугл команды даёт на американский манер сильно заранее. Ни в рф ни тут на балканах никто так не ездит. Плюс в рф маршрут часто упирался в какой-нибудь забор установленный какими то местными упырями в рамках самозахвата. или развалившийся мост или демонтированный переезд. Но это обычно только совсем в глубенях. При этом в целом качество маршрутов лучше ЯН (было когда я снёс ЯН.
Сей час езжу по open street map. Вроде норм. Проверяю маршрут перед выездом.
Без навигатора на машине неудобно.
Есть такое слово — такси. Там у водителей работа такая — все адреса знать.
Наши люди, булочная.. ;)
Только 1 из виденных мною таксистов знал все адреса в городе. Остальные ездили по навигатору.
Это у вас там в америках каждый таксист все адреса знает, а тут водители общественного транспорта по навигаторам ездят и по телефону с коллегами советуются, куда сворачивать...
И живёт вполне себе неплохо.
А как вам, родственникам, норм? :)
Представил адъ, который я бы им устроил, если бы перестал смартфоном пользоваться и перешёл на звонилки.
К тому же, у меня бо́льшая часть социальной жизни в Сети сейчас. Любовь, неиллюзорная смерть — там.
Я не обломаюсь даже в мухоморном трипе написать что-то в чат. Буквы приходится набирать на трёхмерной клавиатуре, лежащей на поверхности четырёхмерного куба :) Утром смотрю - смысл есть, ошибок нет, запятые на месте.
UPD: единственная проблема, которая сейчас "начинает подгорать" - это то, что текущая Nokia не поддерживает 4G, и если в городе таки откажутся от 3G-вышек, надо будет искать новый аппарат...
Если про РФ, то это вопрос не если, а когда, потому что конверсия частот 3G для нужд 4G уже идёт.
Вот только 2g отключать не собираются, насколько знаю
Обычно везде есть 2G. Для звонков и СМС этого достаточно.
Живу совсем без смартфона. Подводных камней нет, на крайний - BlueStacks
а вы пользуетесь какими-нибудь сервисами, синхронизирущими устройства через Интернет? Например, календарь или заметки (Google или другой сервер).
Нет. Один ПК, что с чем синхронизировать?
видимо, у вас особый образ жизни.
ПК с собой в дорогу не взять. Даже ноутбук не всегда удобно использовать вне дома.
А как вы, к примеру, записываете для себя напоминание о том, что надо что-то сделать через N дней? Через ПК в некий календарь или у вас бумажный еженедельник?
Вне дома обхожусь без ПК
Записываю когда что-то надо в бумажном блокноте
особый образ жизни.
30 лет назад все так жили. Дорогу узнать можно по карте (нужно иметь). Или спросить. Билет купить в кассе. Там же узнать расписание. Звонить из телефона- автомата. Рецепты в книжечку записывать..
Дорогу можно посмотреть дома или на работе по карте в интернете. При необходимости напечатать. Так полезнее для умения ориентироваться. Билет можно купить опять же дома через интернет. И распечатать сколько нужно копий (для резерва). Календарь у меня был в кнопочном телефоне. Я им тогда даже пользовался, а вот календарем в смартфоне не пользуюсь. Я не скажу, что живу без смартфона, но я человек эпохи ПК и интернета и если что-то можно сделать с ПК, а не со смартфона то я то делаю с ПК.
Конечно можно. И маршрут с пересадками спланировать, пару часов потратить. Приехать на вокзал, узнать что билетов нет. Упсь. Никто 30 лет назад не умирал, и вы не умрете.
А сейчас вынимаете из кармана микрокомпьютер и за 2 мин все решаете. Зачем отказываться?
Я выше неясно выразился. Идея в том, что купить билет, построить маршрут, итп можно с компа на работе и дома. Именно карманный недокомпьютер для этого не нужен. И когда задача чуть сложнее, чем 3 клика в экран, а нужно кода-то смотреть, что-то сравнивать, вводить какие-то данные, то внезапно ПК таки удобнее.
99% вопросов в путешествиях решаются в 3 клика. Билеты, маршруты, бронирования.. перевод текста.. погода.. Опционально, конечно.
Когда то ехал кататься на лыжах, без обратных билетов. Не было их. Купил за сутки до выезда прямо в гостинице. Удобно.
А в доинтернетную пору в аналогичной ситуации пришлось застрять на сутки в чужом городе с рюкзаком и лыжами. Неудобно.
Но если перемещаться исключительно по маршруту дом-работа-магазин - не нужон вам мультитул в кармане.
Приехать на вокзал, узнать что билетов нет.
А позвонить в кассу сначала и спросить, есть ли билеты — релиния не позволяет?
Хорошо знать телефоны всех касс во всех городах..
у вас на компе тот же самый интернет что и в смартфоне.
Да, я всегда мечтал носить с собой настоящий комп. В путешествии надо же чем то руки занять.
повторюсь, я не отговариваю от смартфона совсем (и вообще ни от чего не отговариваю). сам по OSM в горах гуляю. но шариться по инету (или вдруг по работе чего) на смартфоне чудовищно неудобно. по этому в поездки ноут с собой беру. везде его не таскаю - лежит в отеле обычно. они сей-час бывают компактные весьма.
шариться по инету (или вдруг по работе чего) на смартфоне чудовищно неудобно.
Видите ли, последнее время развелось немало любителей оклеивать комнаты обоями через замочную скважину.
Хорошо знать телефоны всех касс во всех городах..
Вам что, нужно одновременно покупать билеты во всех городах?
А знаете, есть такое вещь — «справочное бюро» называется. Набирается номер и говорится человеческим голосом — «барышня, а как мне на вокзал, в кассу позвонить»?
Есть или было? Вы еще про справочники с желтыми страницами вспомните :)
Но я вот не помню лайфхака со звонком в кассу. Кмк у советских железнодорожников была своя связь, и просто так в кассу не позвонишь. А если и позвонишь - ну, допустим, билеты есть, а до кассы 20 км. Нужно еще придумать сервис телефонного резервирования тикетов ;)
Нет, смартфон многие вопросы решает легко и просто. Удобное.
есть два основных сценария - или ты на месте, тогда кроме денег тебе ничего не надо. либо ты в отеле планируешь завтрашний день и тогда гораздо проще и удобнее это сделать с ноута. туристические заведения без офлайновой кассы крайне редки. уж возможность заплатить денег обычно предоставляют в полной мере.
Единственное, телефоны на вывесках потихрньку меняют на кукарекоды, и тут смартфон это самое простое и компактное устройство для считывания..
Спутниковая навигация и жк мониторы с тачскринами появились в автомобилях задолго до андроида и айфона. У меня например был автомобиль 1998 модельного года. даже раньше чем эти мониторы в компах появились.
во второй половине 90х у меня стоял колхозный серверный CRT монитор (который прям в системник в три 5-дюймовых отсека ставится). Выглядело достаточно по киберпанковски. Карт юзабельных и жпс правда тогда не было.
Домашний Nextcloud =)
Но вот с какими подводными камнями при такой повседневной жизни человек сталкивается - послушать интересно.
У мамы так связь с близкой подругой оборвалась на многие годы, потому что за границей жила, а подруга не умеет пользоваться смартфоном и компом.
В чем там затык, не знаю. Скорее всего, нужно очное обучение основам, да и всё, сделал бы, если бы жили в одном регионе.
Но вот с какими подводными камнями при такой повседневной жизни человек сталкивается - послушать интересно.
А в чём проблема-то? Задавайте вопросы — отвечу.
такси вызвать.
такси вызвать.
Вариант 1: по улице едет машина с
характерными внешими признаками
Поднимаешь руку, машешь, машина останавливается, садишься, называешь адрес, едешь.
Вариант 2: по улице не едет ни одной такой машины. В таком случае набираешь номер и говоришь «барышня, такси к подъезду дому № 123 по улице Падших Лётчиков», ожидаешь, машина подезжает, задача сведена к предыдущей ©.
Очевидно, они это и делают. Значит владельцы VPN должны заблочить все адреса мах. У кого-нибудь есть cidr-список маха?
владельцы VPN должны заблочить все адреса мах
смотрите внимательнее, проблема в том, что Max для своих грязных дел стучится не на свои IP, а на чужие (Cloudflare, Amazon, Google).
Зачем блочить адреса макса? Он-же с устройства пользователя адрес проверяет.
нет, это сбор данных для блокировок VPN сервисов
Это имело бы значение, если бы разработчики не выполняли ТЗ как запихнуть зонд, а делали мессенджер для людей. Так что хоть майнер там найдите - результата не будет.
вот я тоже не понимал, что с самого начала все искали как оно будет файлы воровать, трафик был бы заметен и телефон быстрее бы садился. а вот сорм на стороне сервиса позволяет сопоставлять пользователя даже за квн, соответственно если кто-то не умеет в выборочную маршрутизацию и имеет макс, яндекс, вк на телефоне, то его квн адрес будет сопоставлен с ним легко.
а описанные в статье "многовекторные" проверки как раз призваны детектить выборочную маршрутизацию
А уж в сочетании с вот такой атакой простор для слежки так вообще огромен: https://habr.com/ru/articles/915732/
SS7 сеть сама сдаёт всё, что нужно, и гораздо более влиятельным структурам, безо всяких аттак, это базовая функциональность сотовой связи. В городах камеры Поток и ещё бог знает какие. Чего же бояться от мессенджера?
То что описано по ссылке позволяет, например, сопоставлять аккаунты или даже просто заходы на сайты даже в инкогнито-режиме или в чистом отдельном браузере с реальными аккаунтами пользователя в подклнтроьных государству приложениях. Даже через wifi, VPN и Tor безо всякой там мобильной связи с ее SS7.
Вроде как проблему закрывают.
https://www.securitylab.ru/news/569898.php
Ну обращается и обращается чего бухтеть.
Меры предосторожности можно было бы закончить на первом пункте, пушто если вас уже продавили установить это чудо (пряником или дубиной неважно) то будут продолжать засовывать зонд глубже.
Ну с одной стороны да, но всё же пусть лучше уж мониторят обстановку и предупреждают. Глядишь для кого-то это будет аргументом. Уж пусть лучше опубличивают свои находки и бухтят
Проблема в том, что зачастую IP выходного сервера (которая, как говорится в статье, часто совпадает с входным) РКН сможет на всех ТСПУ глобально раскатывать блокировку определенного IP. Поэтому для корректной работы придется ставить за этим сервером еще однин, который никак не связан с российскими IP адресами. Говоря простым языком - плата за прокси/VPN вырастет в два раза.
а почему тогда это 'не делают' с помощью приложений vk/сбер/rustor/.. приложения по массовости установки мне кажется больше макса?
Может 'пока' не делают, а может и делают, но пока это не обнаружили, т.к. явно все внимание приковано к МАКС'у. Госуслуги вон уже давно при подключении с зарубежных адресов требует поставить макс и блочит аккаунт на 72 часа, так что они вполне себе используют тактику обнаружения IP-адресов.
Это не соответствует действительности. Я без проблем захожу на сайт госуслуг и логинюсь с зарубежного IP. И ничего он от меня не требует.
Нифига. При заходе на госуслуги с иностранного ip без VPN (старлинк) он порой не загружался вовсе. При имитации российского ip уже загружался, но ругался на VPN и ограничивал некоторые функции. То есть, если ты заграницей, то нормально госуслуги не доступны. Но это было ещё до Макса, сейчас не знаю.
А с каких пор ваш личный опыт нужно экстраполировать на всех? На вашем языке: "Это не соответствует действительности. Я не могу зайти на сайт госуслуг с зарубежного IP".
А зачем вы подменой тезиса занимаетесь? Речь про
Госуслуги вон уже давно при подключении с зарубежных адресов требует поставить макс и блочит аккаунт на 72 часа
И это не соответствует действительности, я тоже захожу на ГУ из Европы, и никакой макс меня ставить не заставляют и аккаунт на 72 часа не блочат.
При этом то что вы описываете тоже периодически наблюдается, например во время выборов ГУ в принципе у меня были не доступны, но к Максу это не имеет отношения.
Автор комментария, на который я отвечал, попадает под вашу претензию? Или он не о личном опыте говорил?
У вас обида "почему я, а не он?" Забавно)
Раз на раз не приходится. Был какой-то период времени когда не пускало с европейских IP, тогда помогал ВПН с выходной нодой в РФ.
В какой-то момент начало пускать, но не работала аутентификация - ни на самих госуслугах, ни на смежных сервисах типа налоговой.
По итогу самым рабочим решением оказалась виртуалка (или Windows Sandbox) с установленным Яндекс браузером. В этом случае европейский IP госуслугам до лампочки, и все работает как надо.
Даже находясь в РФ, с отключенным впн, госуслуги запросто могут выкинуть, и написать про подозрительную активность, и 72 часа. Самое забавное, что через 72 часа у некоторых, у меня в том числе, не разблокировалось. В МФЦ сами жалуются что проблема массовая. Особенно поулыбался от самих мфцшников, предложение макс не ставить, потому что связка с госуслугами не работает, и толка большого от него нет.
Потому что макс возбудил конкурентов, лутающих данные тоже, на их окученую поляну вторглись посторонние и лишают доступа с кбору информации - вот и понеслось изучение со всех сторон, чтобы найти зацепки для "разгромных статей".
Так-то если аудит провести, скорее всего половина рустора будет похожую шнягу вытоворять, просто до этого никому никакого дела нет...
скорее всего половина рустора будет похожую шнягу вытоворять
Тот же Яндекс уже ловили с поличным на даже более плохих вещах: https://habr.com/ru/articles/915732/
этим кстати и некоторые сайты занимаются.
Тот же Яндекс уже ловили с поличным
Ага. Причем - на пару с Facebook* (по той же сылке).
Фейсбука нет в русторе, про который говорил автор комментария выше.
Ну и свой, локальный, отечественный товарищ майор с физическим доступом к тушке всегда опаснее кого-то сэра сержанта на другом конце земного шарика.
Фейсбука нет в русторе, про который говорил автор комментария выше.
От этого он, однако не стал белее и пушистее. Корпораты - они во всем мире примерно одинаково наглые.
Ну и свой, локальный, отечественный товарищ майор с физическим доступом к тушке всегда опаснее кого-то сэра сержанта на другом конце земного шарика.
It depends: шарик маленький. Поехал куда-нибудь в Тай - и вот уже мистер сержант стал ближе и роднее, и амерская кича гостеприимно распахивает вам свои двери.
Ну а вас AFAIK это вообще не должно трогать. Разве что, Еврокомиссия американские платформы таки нагнет - но это будет не при Трампе. И не при Вэнсе, даже если вдруг Трамп загнется: Вэнс, помнится, на прошлом Мюнхене европейцам вообще в полный рост выволочку за отсутствие демократии устроил.
мистер сержант стал ближе и роднее, и амерская кича гостеприимно распахивает вам свои двери.
Законы США или Тая нарушить надо еще умудриться, чтобы они вас ухватили и заинтересовались. А вот в РФ уже по факту рождения или нахождения тут, легко.
Законы США или Тая нарушить надо еще умудриться
Ну, это влёгкую: для посылке требования о выдаче не требуется факт признания судом вшаего преступления. Достаточно появления у FBI подозрения, что вы - киберпреступник, а дальше - у посылающих запрос нет основания не верить сотрудникам FBI, Тай в любом случае задержит до выяснения, а там, если на той стороне совсем уж не налажают - экстрадирует. Не, конечено, есть шанс отмазаться в "самом справедливом суде" в США - но у вас, скорее всего, не будет нужных для этого денег.
Короче, люди таки к амерам на кичу заезжали, это факт.
Промахнулся, поставил минус комментарию :(
скорее всего половина рустора будет похожую шнягу вытоворять
У меня смартфон "изкоробки" предложил рустор засунуть в изолированный контейнер. Ну я и засунул. При каждой попытке фоновой активности телефон об этом уведомляет. И предлагает допустить или нет. Суть - такие уведомления меня знатно достали и появлялись довольно часто и спонтанно даже играя в игры и все приложения, которые были установлены с рустора, вызывают триггер рустора моментально.
вк, возможно. банки и госуслуги палевно в фоне будить слишком активно. мессенджеру можно навыдавать прав и потом писать а в америке ннегров линчуют а вацап тоже эти права требует.
но весь бигтех - потенциальная угроза. предустановленный софт потенциально самый опасный. а т.к. скрытые неудаляемые (в т.ч. adb) сервисы уже реальность, то обособленные устройства с кастомной прошивкой для российского/нероссийского софта уже просятся.
Я не спец, у меня настроено раздельно по приложениям и банковские приложения видят, что включен ВПН, хотя они в списке исключений
Многие программы, в т.ч. банковские, "видят" ВПН не потому что он ВПН, а просто потому что включена функция. Даже банальный локальный брандмауэр, работающий через функцию ВПН, вызывает панику у банковских и гос. приложений.
Они скорее всего водят что интерфейс ВПН на Андроиде активен. Это как маркер есть ВПН нет ВПН. Куда вы ходите через ВПН и через какой ip они не знают
А кто их знает. Можно несколько причин назвать:
1) Разработчики «Макса» решили выслужиться и сами сделали этот функционал, о возможности создания которого большие дяди и не догадывались.
2) Банковские приложения очень быстро вылетают из сторов, как их не маскируй под программу учета надоев молока. Соответственно, зоопарк весь этот поддерживать — себе дороже.
3) Оно, может, и было, но из-за п. 2) пришлось отказаться.
Человек, который осиливает поднять личный VPN, осилит уж как-нибудь и раздельное туннелирование для приложений.
будут продолжать засовывать зонд глубже.
«...главное — чтобы не раскрыли!» ©
О любом недопустимом факте нужно говорить, можешь или не можешь ты повлиять. Степень принятия идиотизма как минимум нужно повышать.
Кстати, разве это не разгадка, ну или по крайней мере одна из причин - зачем всех туда гонят?
Чем больше установленных МАХов - тем больше выявленных РАБОЧИХ IPшников КВН, списки РКН пополняются, те их активно глушат и цикл повторяется. Как результат целая система по поиску негодяйских адресов.
И как бонус - еще и привязка юзера КВН к личности (очевидно, не совсем лояльной личности)
А дальше бонусом можно еще и штрафы накинуть за использование КВН
Так себе причина. Реклама впн нынче из каждого утюга льется и не пытается скрываться. Если бы действительно хотелось бы бороться с впн, то начинать бы стоило именно с них, а не со сложных схем шпионажа.
Уже давно заметил, что телефоны с этим СКАМом, помимо вышеназванных ресурсов, проверяют сотни и сотни других. У меня в логах, больше тысячи попыток установить соединение с сайтами на которых ни я, ни родственники никогда не заходили. И это только за несколько дней набегает. Трафик именно со смартфонов. Никаких ботнетов, смартфоны относительно новые с оф. прошивкой. Сами смартфоны проверил, такую активность только СКАМ в фоне и ведёт. Остальные мирно спят(пока). У меня его нет, но вот родителям пришлось установить, т.к. у них много знакомых, а других популярных альтернатив, государство в своём великодушии нам не оставило.
Всё проверяется на доступ ровно один раз. За секунду проверяются пачками, потом несколько минут тишина и опять. Все подряд в списке блокировке РКН потому и палятся(в пять утра), т.к. у меня не КВН, а приложение обходящее алгоритмы ТСПУ.
К чему я веду, на фоне вступившего в силу в этом году закона, про запрет просмотра запрещённой к просмотру информации, штрафы, а следом и по нарастающей, могут полететь пачками.
А ещё можно открыть 100500 "специальных" КВН-сервисов и тех самых не лояльных и так отследить. Хотя стоп, а что если...
Тут бы такой момент понять. Просто пинг до телеграмма или вотсапа не палит сам по себе IP выходного сервера КВН. Ну есть пинг, есть и есть, чего бухтеть то, может в Беларусь приехал свободный воздух понюхать.
А вот может ли приложение в фоне сделать что-то вроде traceroute? Там будет видно сервера, но Vless вроде как traceroute просто на fallback отобьет, и тоже особо ничего не понятно будет. А если не отобьет - то все, что макс будет знать, что при обращении к tg в какой-то момент появляется прыжок за границу, но он вроде и так появляется же, серверов то в РФ нет.
Я это все к чему, надо срочно маскировать КВН-сервер? Начинать заниматься обратным DPI-инжинирнгом чтобы пинги макса ловить, или пока терпит?
Просто у меня, как и у многих, свой сервер, и КВН я раздал друзьям и родственникам, чтобы они могли жить вне чебурнета, а если у кого-нибудь будет макс? Все, блокировка?
Просто пинг до телеграмма или вотсапа не палит сам по себе IP выходного сервера КВН.
читайте внимательнее: до телеги и ватсапа проверка вероятно идет «заблокировано или нет», а выходной IP прокси-сервера определяется с помощью иностранных myip-сервисов, которые тоже упоминаются в статье.
и макс легко может понять, что выходные адреса при обращении к российским и иностранным ресурсам - разные.
Ну вот он понял, что он ходит напрямую, а телега - разблокирована. То есть по умолчанию мы понимаем - включена маршрутизация. Получается, если эти myip не идут через КВН - у него просто нет информации? А если идет через КВН, почему тут пишут про дополнительную проксю в России, ведь myip видят последний IP сервера (тобишь выходную ноду уже за кордоном)?
Получается, если эти myip не идут через КВН - у него просто нет информации?
да
почему тут пишут про дополнительную проксю в России, ведь myip видят последний IP сервера (тобишь выходную ноду уже за кордоном)?
потому что когда прокся только одна, чаще всего ее входной адрес совпадает с выходным. И тогда можно этот адрес сообщить куда надо и там его заблокируют на ТСПУ.
А если на своём квн-сервере заблочить какой-нибудь mmg.whatsapp.net, то будет ли это выглядеть словно всё нормально?
Все адреса не перебаните. На крайний случай ВК сами могут арендовать зарубежный хост для определения IP и на него стучаться.
На своём квн имеет смысл держать свой dns резолвер. который будет вам не только рекламу в NXDOMAIN резолвить, но и всяких неугодных, типа mmg.whatsapp.net в 127.0.0.1 отправлять.
Всех неугодных (или угодных) найти не получится. Да и почему вы вдруг решили, что mmg.whatsapp.net неугодный домен? Что, если какие-то сервисы требуют его (или любой другой домен) для корректной работы?
Ну вот поднял ты себе впн, перебанил в нём всю зарубежку… не троллейбус ли это из буханки хлеба получился?
Если поднял и перебанил всё - ну да, получился.
Только постановка вопроса в ветке другая:
макс ломится на mmg.whatsapp.net
если его заблочить - будет ли это нормально?
все адреса (как я понял - IP) - не переблочить.
зачем блочить IP если можно их просто не резолвить для выбранного домена?
...
троллейбус из буханки!
юмора камент: развернуть свой квн на котором согласно списку ркн забанить ресурсы!
Ну вот и та самая "нейросеть" РКП, которая выявляет "характерные признаки VPN-протоколов" для последующей блокировки серверов.
Это чё получается, дома надо WAF держать ещё?
Ибо поставил ты такое приложение на отдельный телефон, а что толку. С этого телефона ты только это приложение используешь.
Но ведь с этого IP ты подозрительно часто ходишь в определённые сайты (не важно, сразу зарубежные или сначала российские).
А там и связать всё воедино несложно.
На телеграм и вацапп Макс ломится чтобы собрать маршруты до них, и сопоставив маршрут до самого Макса, помочь РКН вычислить все адреса прокси. Фактически Макс - троян от РКН для блокировки ресурсов обхода блокировки.
Все сервисы обхода на устройствах, где установлен Макс, будут в чёрном списке РКН. Пользователи Макса фактически невольные сотрудники РКН. Я так это увидел.
Разве Макс единственное приложение, которое может этим заниматься? Госуслуги стоят еще у большего количества людей. Им было бы разумно все это делать там. Тогда уж вообще никакие российские приложения не использовать.
Пользователь может фильтровать домены которые идут в средства обхода, и вероятно телега и WhatsApp будут в этом фильтре.
Тогда уж вообще никакие российские приложения не использовать.
Ну, или играть в белые списки со своей стороны — разрешать определённым приложениям доступ только на официальные API, по умолчанию блокируя любые другие подключения.
Вот в этом шуме с максом больше удивляет как относительно тихо приняли ГУ по сравнению с максом, хотя без них-то действительно никак, в той же больничке, да и справки разные без ГУ не получить (а если и получить - геморно)
Краткий вывод из статьи: макс используется для сбора ip vpn серверов.
Публичные vpn сервера окажутся заблокированными одномоментно, а приватные выживут.
Теперь когда друзьям и родным раздаете vpn, нужно изолировать макс от vpn (например, v2raytun на android позволяет выбрать приложения, какие пускать напрямую, а какие через vpn).
приватные как раз прибьют первыми т.к. у них входной и выходной IP обычно совпадает.
Даже если не совпадает, они же у провайдера видят, к каким ip коннекты висят, через который макс увидит, что телега и вацап открыты. Вот их и будут банить, видимо
Имел ввиду, что на своем приватном vpn конечно же не пользоваться максом. А на публичных платных/бесплатных много кто будет пользоваться максом.
Да это не логично с точки зрения ресурсов тспу - занять адрес ради одного пользователя.
Что значит «занять адрес»? Для IPv4 проверка «адрес забанен или нет» вообще делается элементарно за O(1) буквально несколькими инструкциями процессора, для IPv6 чуть сложнее, но тоже решаемо, особенно если херачить не единичные адреса, а сразу по /64 например.
Опять же, можно не просто блокировать адреса, а собирать статистику, какие хостеры/облака чаще используются для личных VPN и блокировать их целиком в первую очередь.
Или ещё интереснее - если сквозь блокировки некоторые абоненты все-таки пробираются каким-то образом, то зная их IP и IP их серверов, можно дампать их трафик на ТСПУ и пристально анализировать, а что же там это такое, что пролезает.
Чтобы это было за О(1), это надо иметь битовую маску по всему диапазону, т.е. занять 4Гб памяти, не в курсе, если там столько оперативки.
Уточнение: битовая маска по всему диапазону нужна чтобы сделать проверку "буквально несколькими инструкциями процессора". Просто за среднее O(1) делается через хеш-таблицу.
надо иметь битовую маску по всему диапазону,
...а потом переходим на IPv6 — и обаньки!
Где-то читал что там для этого достаточно мощные fpga есть, они по хэш таблице это сделают практически за 1 такт.
Если по хеш-таблице, то точно не за такт. Но в железе есть варианты ассоциативной памяти, которые и правда за такт работают.
Ну CRC можно считать на скорости передачи. тут криптографическая стойкость не особенно нужна.
Причём тут вообще CRC и криптография? Проблема-то вообще не в них.
Вы понимаете, что все хеш-таблицы, кроме предварительно заготовленных таблиц с идеальных хешированием, принципиально используют циклы? Значение хеш-функции задаёт не ячейку где лежит результат, а список ячеек где он может лежать. И эти ячейки следует обойти в цикле, чтобы результат найти.
если на каждый IP по ячейке, то никакой хэш не нужен. ты просто используешь IP в качестве индекса массива.
Но если экономить память, то единственный вариант обменять память на ложные срабатывания. но просто откидывать биты плохо, их лучше перемешать. CRC эту функцию выполняет в достаточной мере.и вы в индексе массива будете использовать CRC вместо самого адреса.
Оба варианта одно (максимум двух)тактовые.
Вы в курсе, что нужна будет битовая маска, в которой 
бит?
Ну нет, битовая маска в 8 раз меньше - всего 512mb. Плюс есть всякие хитрые структуры данных, хранящие ее сжатой и все еще с O(1) доступом. Самое тупое - разбиваем на куски, для каждого храним варинты: все 1, все 0, битовая маска в массиве по такому сдвигу, все 0, кроме индексов вон в том массиве исключенимй от сих до сих, все 1, кроме индексов в массиве исключений. В худшем случае, конечно, даже больше памяти займет на вспомогательные данные, но на практике будет куча кусков целиком из 0 или из 1.
Да, точно, про в 8 раз меньше согласен. А вот что за тупой алгоритм не понял. Можно какой-то псевдокод как проверить адрес.
Допустим у нас битсет на N бит. Разбиваем на M блоков размера K=N/M. Заводим массив вспомогательных данных на M элементов, каждый говорит, заполнено ли там целиком 0, 1, или смотреть биты в битсете с какого-то оффсета, или где храниться список индексов с 1. Все несжатые куски хранятся рядом в одном битсете.
Что-то вроде этого:
int GetBit(int idx) {
int bucket_id = idx / 2048;
switch bucket_type_[bucket_id] {
case kAll0:
return 0;
case kAll1:
return 1:
case kBitset:
return bitset_[bucket_data_[bucekt_id] + idx % 2048]
case kExceptionsAre1:
// В куске не более 10 единичных бит.
return std::find(exceptions_.begin() + bucket_data_[bucket_id],
exceptions_.begin() + bucket_data2_[bucket_id]
, idx) != exceptions_.end();
}
}В худшем случае bitset_ будет размера со все N бит, но если там много кусков сильно или слабо заполненных, структура занимает мало места.
Только одна проблема - в таком виде структура неизменяема. Если вот эти куски в bitset_ хранить отдельно в куче и вместо одного массива exceptions_ иметь кучу set в куче, то оно даже изменяемо, но производительность там будет такая себе. Там надо будет при изменении бита смотреть, можно ли поменять тип блока.
Edit: Это называется Roaring Bitmaps.
Можно делить IP-адрес на 8, делать битовый shift на остаток и логическое «И» с тем что лежит по адресу - и вот надо уже не 4 гигабайта, а всего 512 мегабайт, а если выкинуть огромные локальные диапазоны типа 10.0.0.0/8 и подобные, то еще меньше.
Можно разбить пространство на блоки по /24, сначала проверять, есть ли вообще заблокированные адреса в блоке, если нет - пропускаем, если есть - делаем точную проверку, и т.д. Простора для оптимизации много, это классическая литкодная задача из разряда тех что любят давать на собеседованиях.
за О(1) можно сделать бинарным деревом, будет достаточно быстро и позволяет блокировать и проверять сразу подсети.
за О(1) можно сделать бинарным деревом
Спешу вас разочаровать, но это O(log N)
возможно я что-то упускаю, но по-моему, если на любую проверку подсети или адреса тратится не более 32 (для v4) операций, вне зависимости от количества данных, это можно считать за О(1).
буду рад узнать что я упускаю =)
С таким подходом вообще всё что угодно за O(1) делается. Очевидно, что подобная классификация алгоритмов бессмысленна.
Возможно мы говорим про разные алгоритмы, но если поиск по 2М адресам требует такой же сложности как и по 20 адресам - это выглядит как О(1) в отношении к количеству адресов.
Поиск по 20 адресам требует пройти 4 уровня бинарного дерева, поиск по 2М адресов требует пройти 20 уровней бинарного дерева.
с бинарным префиксным деревом - нет. в v4 адресе 32 бита, мксимальная глубина поиска ограничена и не зависит от количества данных абсолютно.
возможно нужно было сразу уточнить тип =)
Это называется не "уточнить", это называется "и не в лотерею, а в карты, и не выиграл, а проиграл". Бинарное дерево [поиска] и префиксное дерево - совершенно разные структуры данных.
Ну и бинарным префиксное дерево делать - так себе затея, дерево по основанию 4 требует столько же памяти и работает в 2 раза быстрее.
если фпга тактируется не медленнее скорости канала, то после получения destination addr у вас еще минимум несколько десятков тактов. до этого времени пакет дальше всё равно никуда не пойдёт.
А кто-то удивиться, если выяснится, что многие отечественные публичные сервисы принадлежат лицам, так или иначе связанным с РКН?
В любом нормальном клиенте впн можно выбирать, какие приложения ходят напрямую, какие нет... Тот, кто не выставляет белый список - ССЗБ.
А так все верно сказано - скорее всего, проверяют доступность заблокированных адресов, чтобы, во-первых, искать провайдеров, которые не блокируют (штрафы там большие, так что мотивация есть), и во-вторых, чтобы оперативно собирать адреса публичных впн с буратин, заворачивающих весь траф туда без разбора.
Уже давно все мессенджеры держу в отдельной виртуалке на десктопе, ибо все в равной степени говнюки. На телефоне, на мой взгляд, нормально работает только аппаратное разделение лол - нужен ватсап и прочие запрещенограммы - купи второй телефон для них, а основа со всеми максами, банками и пятерочками должна быть такой, как будто у тебя ее ежедневно товарищ майор досматривает. Утечки с дырами в бесконечной маркетинговой шняге никто не отменял, любителей собирать данные тоже...
В любом нормальном клиенте впн можно выбирать, какие приложения ходят напрямую, какие нет
Гораздо чаще люди просто используют правила маршрутизации по geoip/geosite, а они как раз уязвимы к подобному сбору данных
На мобильных устройствах нет возможности по приложениям байпассить. По крайней мере в iOS такое не работает. При всем желании.
Плюс, 99% настроят, 1% не настроят. И все. Сложно вылезти из категории «ССЗБ» в таких условиях.
На мобильных устройствах нет возможности по приложениям байпассить.
Nord точно умеет на андроиде, пару недель назад настроил и забыл про вот это всю возню с вкл/выкл/вкл/выкл ВЧС.
Ну а iOS - это осознанный выбор, со своими плюсоминусами, за всё приходится чем-то платить.
На мобильных устройствах нет возможности по приложениям байпассить.
На Android возможность есть, такое умеет даже мой вайбкоженный клиент для HTTPS-прокси как VPN:
Uses
VpnService.Buildermethods:- Whitelist Mode (ALLOW): Only selected apps use VPN via
addAllowedApplication()- Blacklist Mode (DISALLOW): All apps except selected use VPN via
addDisallowedApplication()
Тут придется уже разработчикам vpn приложений поднапрячься, и по дефолту байпасить Мах, без настроек со стороны пользователя.
Для банковских приложений стоит отдельный телефон завести: чтобы не отобрали на улице, и чтобы на нём был минимум сторонних приложений (меньше вероятность взлома). То есть, получается, стоит минимум три смартфона покупать :-)
Давно для банков и Госуслуг завёл отдельный телефон с отдельной же симкой, с которой и сам не звоню, и звонки на неё не принимаю, да и вообще, он практически постоянно выключен.
Да, не совсем удобно в плане оперативного доступа ко всему этому хозяйству, но зато безопаснее.
Разумно (IMHO)
@Давно для банков и Госуслуг завёл отдельный телефон с отдельной же симкой,
Аналогично, только вдобавок симка в отдельном кнопочнике (который постоянно выключен), ну а денежно-государственные приложения все в специальном смартфоне, который не используется больше вообще ни для чего.
@стоит минимум три смартфона покупать :-)
Учитывая, что простенький смарт стоит почти ничего, да и устаревших накапливается в любой семье обычно много, я не вижу в этом никакой проблемы.
Была такая мысль, но, думаю, ходить на ГУ и в Мах для ГУ лучше с мобильного интернета, а не светить свой домашний IP или раздавать со своего основного телефона, засветив тем самым его IP.
Если есть модели кнопочников, которые умеют раздавать Wi-Fi, подскажите, потому что мой Nokia 6300 в это не умеет.
@и в Мах для ГУ
Я в Max для ГУ не хожу (вообще Max не имею ни на одном устройстве), мне как-то Google Authenticator-а хватает для ГУ. Кнопочник у меня, разумеется, в Wi-Fi не умеет и служит только для крайне редкого приема регистрационых SMS откуда-либо. Связка Max-ГУ мне представляется огромной дырой в безопасности, даже не касаясь "товарища майора".
Пример проблемы: отказ банковского приложения ставиться на устройства с версией android ниже xx. А ваш устаревший, но вполне живой девайс как раз на версии xx-1
Есть еще второе пространство, туда удобно ставить все что нужно изолировать от внешнего влияния, и, заодно, лишний раз не выпускать из него.
Для банков и госуслуг вообще телефон не нужен - веб интерфейс рулит)
Если он постоянно выключен, то в РФ есть шикарная особенность: после 72ч неактивности симки смски не приходят 24 часа, пока не введешь капчу через мобильный интернет. Как-то неудобно так пользоваться.
Вот только что включил после недельного простоя, тут же прилетела смс-ка от МЧС о беспилотной опасности с сегодняшней датой. Для интереса набрал с него свой основной номер, звонок проходит в штатном режиме. Никаких капчей-мапчей не вижу.
видимо, от региона и оператора зависит. у нас в Оренбурге такая же хня на всех операторах (разве что, за Мегафно не скажу, ибо не имею). по роду бывшей работы и нынешних увлечений имею несколько "тестовых" симок для проверки устройств. использую их в среднем пару раз в месяц и вот эта необходимость "активации" при каждом включении сильно напрягает.
Там вроде отправлять ничего нельзя, а принимать можно. По крайней мере, у меня есть пара симок, которые постоянно выключены, но сразу после включения СМС на них приходят.
Скоро четыре, тогда уж: четвёртый - на котором только максимально безопасные и не вызывающие подозрения приложения, плюс мессенджер без компрометирующих диалогов, если владельца задержат: «Разблокируй телефон» — как я реализовал фейковый мессенджер для допроса - https://habr.com/ru/articles/1002826/
Макс, если уж ставить его, должен быть на другом устройстве, во избежание излишнего шпионажа.
И держать под шелтером, чтобы наверняка замораживались. И в такой конфигурации и мах, и банковские и на основном можно держать, почему нет.
У меня вторичный вообще без симки, и на нём 146 всяких редкоиспользуемых приложений магазинов и проч. А так же резервные установки телеги. Но всё необходимое, что должно быть под рукой, на основном под шелтером.
а если изолировать его в «защищенном/втором пространстве» телефона на Android? в той же папке Knox на Самсунге? и он там будет в одиночестве - он всё равно будет долбиться по этим URL?
да
На изолированное пространство распространяется работающий КВН в основном?
Нет (ну если изолированное пространство сделано без извращений)
https://support.google.com/work/android/answer/9213914?hl=ru#:~:text=Для рабочего,сети (VPN)
Еще пару лет и 90% населения научится создавать изолированную виртуальную цифровую личность не хуже спецслужбистов.
Эдакий инстаграмм для специфической аудитории. Товарищ майор, а вот мои фобии так я хотел бы выглядеть. /s
Дык это же хорошо. Цифровая грамотность - полезный навык ;)
Главное, чтобы эта изолированная виртуальная цифровая личность была ещё и мошенникоустойчивая и не бросалась переводить деньги на безопасный счет по первому же звонку.
Не была настолько идеально-законопослушной, что сама вас сдаст.
нет, это не хорошо. нулевое доверие государству это дно даже по меркам рабовладельческого строя.
"Верить в наше время нельзя никому. Порой даже себе." (с)
@нулевое доверие государству это дно
Собственно, почему это дно? На мой взгляд это как раз норма всегда и везде, если государство это не ты сам (или если хотя бы не входишь в самую верхушку правящей элиты).
потому, что нулевое доверие исключает любые договорные отношения.
Zero-trust протоколов обмена не существует, так по вашему?
Ну и какие договоры с податным населением государство ещё не нарушило? Если брать с 1917, то ответ понятен. Если с 1991, то тоже. Ну, давайте возьмём срок - последние 25 лет.
Слишком сильное утверждение. Люди вполне себе склонны заключать договоры, не доверяя контрагенту. Если считают для себя риск приемлемым.
считают для себя риск приемлемым
это уже не нулевое доверие. нулевое доверие предполагает бессмысленность заключения договора.
У какой-нибудь микрокредитной организации вполне может быть нулевое доверие к заемщику. Это не мешает ей заключить с ним договор, если все формальные требования соблюдены. В этом случае вопрос о доверии вообще не поднимается, а договор заключается, тем не менее. Видимо, организация видит в этом смысл.
У микрокредитной организации и заёмщика есть посредник - государство с его аппаратом принуждения.
Но кто принудит государство исполнять то, о чём оно "договорилось" с населением?
Посредник - тот, через кого две стороны взаимодействуют. Вы уверены, что заемщик и кредитная организация взаимодействуют через государство, а не напрямую?
Если заёмщик перестаёт взаимодействовать напрямую - они начинают взаимодействовать через государство.
Причем здесь ситуация, когда он перестает? Речь изначально шла о заключении договора, что якобы бессмысленно при отсутствии доверия. Не теряйте нить, пожалуйста.
Вот заключили вы договор, а другая сторона отказывается выполнять его условия. Что дальше? Дальше вы идёте к посреднику, чтобы тот принудил другую сторону выполнить условия договора.
Если такого посредника нет - заключение договора было бессмысленным с самого начала, потому что не дало вам никаких гарантий будут ли выполняться условия этого договора.
Необходимость. Например, необходимость комплектовать армию. Армии, которые боеспособные - они сейчас призывные, то есть призываются из населения. Не будет поддержки населения - не будет и армии. В России это хлебнули полной ложкой, когда похабный мир в 1918 заключали: тогда малейшая попытка поупираться на переговорах привела к очень быстрому наступлению германской армии, которому противопоставить было нечего (ну, кроме сдерживающих действий под Нарвой, в честь которых у нас тут день армии празднуется).
к наступлению германской армии привела подрывная деятельность коммунистов в армии РИ.
Это, наоборот, большевики пришли к власти, потому что армия (солдаты, которые почти все были из крестьян) воевать не хотела. А дисциплину - чтобы армия делала не то, что солдаты хотят, а то, что командование приказывает - развалили тоже не большевики, началось всё с приказа N1 Петросовета, сразу после революции, который отнюдь не большевики выпустили.
Ну, и революция была не просто так, а потому что части Петроградского гарнизона отказались выполнять приказы.
Так что заслугу развала армии большевикам приписывать не надо - они, может и хотели этого (потому что против войны были), но - не успели.
Не подскажете, кто контролировал Петросовет в описываемое вами время?
они, может и хотели этого
Революционный класс в реакционной войне не может не желать поражения своему правительству (ц) Ленин
Может? :)
Поражение поражением, но желать сохранить армию это не мешало. И, к примеру, в феврале 18 года большевики, наоборот, начали спешно организовывать новую армию.
А в целом лозунг поражения своего правительства -это была такая тактика, а не цель большевиков и прочих левых социал-демократов. Целью было совместное прекращение войны, см. например Декрет о мире. А эти конкретные слова - это вообще реакция на деятельность социал-предателей (то есть, основной массы социал-демократов), которые наоборот начали желать победы своему правительству, а не отстаивать класовые интересы рабочего класса.
PS И вообще большевики, Ленин в частности, излишним догматизмом не стрдали, не стеснялись действовать по обстановке, менять лозунги - всё ради достижения своей основной цели - социалистической революции.
Поражение поражением, но желать сохранить армию это не мешало.
Вы, полагаю, не будете спорить с тем, что И. Сталин был большевиком? Вот что он писал в своей статье "К выборам в Учредительное собрание", газета "Рабочий и солдат" № 4 от 27 июля 1917 г.: "11. Мы за народную республику без постоянной армии, без бюрократии, без полиции. 12. Вместо постоянной армии мы требуем всенародного ополчения с выборностью начальников."
Работа по развалу армии велась большевиками очень активно.
Где тут именно про развал армии? Речь в цитате явно идет о смене формы армии - со старой, с муштрой и привилегиями для офицеров, на новую, в форме всенародного ополчения.
Слова "без постоянной армии" вы не заметили?
Естественно. А вы - слова "всенародного ополчения"?
Я не ставлю знак равенства между "армия" и "народное ополчение". Не знаю, зачем это делаете вы. Всего наилучшего вам.
Не знаю, зачем это делаете вы.
Затем, что народное ополчение выполняет функции армии.
Чсх, РККА ни в какой момент не была ополчением. Партия Ленина умела в переобувание
Насчет "ни в какой момент" - это просто неверно: 23 февраля 1918 года бой приняло именно ополчение, РККА первоначально комплектовалось на добровольной основе.
Конечно, потом способ комплектования изменился на призыв, потому что добровольцев (внезапно ;-) ) оказалось сликом мало. И единоначалим пришлось вводить тоже, и не менее внезапно.
Но когда большевики писали про ополчение и выборность командиров, они просто об этом ещё не знали.
Там есть слова про мобилизацию. И ни слова про ополчение.
Там есть слова
тут надо еще понимать кто такие коммунисты и откуда они вообще приехали.
лозунгов было много вроде "фабрики рабочим, земли крестьянам" под которые потом вообще всё имущество забрали.
по этому как оно называлось и чем являлось, это часто очень разные вещи.
Ну просто если в постановлении так и написано - мобилизация - какое нафиг ополчение?
А вот у белых была Добровольческая армия..
Изначально советская власть пыталась ограничиться рабочим контролем, но предприятия оставить владельцам. Но не вышло: владельцы предприятий предпочитали выйти в деньги, а предприятие оставить немцам, которые могли потребовать компенсацию - и ее приходилось платить. Одной из задач ЧК, кстати, было пресечение этой практики.
Короче, договориться у новой власти с господами предпринимателями не получилось, пришлось реквизировать.
А вот землю крестьянам таки раздали - с соответсвующим эффектом: средняя урожайность даже у лучших, наиболее зажиточных хозяев в 20-х годах была раза в два ниже, чем у крупных (бывших помещичьих) хозяйств (их частично удалось сохранить, в виде совхозов).
А воообще, земельная реформа в России требует отдельной темы.
и откуда они вообще приехали
Дык, если бы приехали. Большинство было из "набрали по объявлениям". Дисциплина на местаз тоже была условной. Сплошь и рядом "местные товарищи" что хотели, то и воротили, и методов у Москвы на них не было.
Короче, миром правит не тайная ложа а явная лажа. Не стоит пытаться тамошний хаос выдавать за заговор.
Вы не слова выбирайте, а сотрите на картину целиком.
Слова про добровольный принцип комплектации армии есть в декрете СНК об организации РККА (от 15 января 1918 года). А мобилизация была в "батальоны для рытья окопов" (п.5 постановления).
PS А можно в следующий раз давать пруфы не картинками, а текстом или ссылкой на текст? Заранее благодарю.
Где тут именно про развал армии?
В дате публикации. Во время войны чувак предлагает распустить армию.
феврале 18 года большевики, наоборот, начали спешно организовывать новую армию
В 18 году, внезапно, оказалось, что теперь они - правительство, и теперь их ждет поражение в войне.
нежелающи воевать есть в любой армии. уж призывной так точно.
а масштабную подрывную деятельность вели именно большевики на деньги кайзеровской германии. и брестский мир подписали именно большевики отдав треть экономики страны. немцы даже занять территории не успели до конца войны.
Результат деятельности большевиков говорит за себя. Прос@@ть фактически выигранную войну.. Как говорил один гуманист, тут то ли ошибка, то ли что то похуже.
факт сотрудничества коммунистов с кайзеровской германией это вполне официальная историография (даже в совке) и давно стал нарицательным.
Сотрудничество заключалось в том, что Германия разрешила проезд по своей территории опоозиционных политиков, которые выступали против войны вообще. На оппозиционных политиков сам этот факт никаких обязательств не накладывал, эти политики дейстовали сами и в своих интересах.
Отвечало ли это решение интересам Германии - вопрос сложный. В ближайшей перспективе, вроде бы, это было полезно, но вот дальше дурной пример России с похабным миром явно оказался заразительным.
нежелающи воевать есть в любой армии. уж призывной так точно.
Тут переход количества в качество.
Когда не желает воевать значительная часть армии, и солдаты массово требуют мира - любого, пусть даже похабного - воевать, так скажем, сложно. Особенно - если нет способа принудить их выполнять приказы.
Прос@@ть фактически выигранную войну.
А война не была выиграна. Про выигранную войну - это позднейшие придумки. В реальности Россия лишилась возможности вести войну и вышла из нее. Кстати, с Германией случилось примерно то же самое: армия оставалась формально целой. И даже больше - линия фронта проходила не по территории Германии. В 1945 немцы, наоборот, продолжали воевать и упорно сопротивлялись даже в куда худших условиях, и так - до исчерпания возможностей к сопротивлению. А в 1918 всё посыпалось.
После выхода из войны России (щедрого подарка бывшим врагам и ножа в псину бывшим союзникам) Германию все равно добили. Если бы большевики целенаправленно не развалили армию - нельзя было не победить. Ну да; у них был надежный план, вера в германских коллег.
Ещё раз: армию развалили не только большевики, и не столько большевики. Большевики (на пару со своими единомышленниками в других странах типа Карла Либхнехта и Розы Люксембург), может и развалили бы, будь у них такая возможность - но у них такой возможности не было. Армию (отметим - из лучших побуждений) разваливали другие люди.
Ну и о победе. Почему вы думаете, что Россия, в ее полудохлом состоянии, получила бы от нее что-то существенное, типа Проливов или мандата на какую-нибудб германскую колонию? Иначе говоря, почему вы такого плохого мнения о союзниках по Антанте, что они не кинут там, где кинуть можно невозбранно?
армию развалили не только большевики, и не столько большевики
Возможно. Но в той истории, которой нас учили, про других мало известно. И нам точно известно, что большевистские вожди активно в том участвовали. Улики - в собраниях сочинений, которые в школе проходили.
получила бы от нее что-то существенное
Больше чем ничего.
почему вы такого плохого мнения о союзниках по Антанте, что они не кинут там, где кинуть можно невозбранно?
В нашей реальности Россия кинула союзников. А как там в альтернативной истории.. Союзники никогда не были единым Западом (тм). Одни кинут, другие впишутся за кинутого.
Что значит россия лишилась возможности воевать? Германия до конца войны не смогла занять все территории, которые ей отдал ульянов по брестскуму миру. Т.е. если бы все войска развернулись и втопили в сторону тыла - потеряли бы меньше.
Отличная стратегия ;)
РККА садится в поезд и валит, как герой Дыбенко, куда то в сторону Иркутска. Немцы пытаются наступать.. а окупировать то и нечем. Пока немцы пытаются догнать бронепоезд - их все равно разбивает Антанта.
Дык войска туда и втопили. Только в индивидуальном порядке - каждый в свою деревню, землю делить.
Германия до конца войны не смогла занять все территории, которые ей отдал ульянов по брестскуму миру.
Какие? Если речь про Эстонию и Латвию к северу от Риги, то по Брестскому миру Германия их не получила.
Ну нет, если брать именно офлайн отношения, то нормальный договор строится не на доверии, типа "слово купеческое", или "понятия", а на формально прописанных процедурах взаимодействия типа "предмет договора", "обязанности сторон", "ответственность" и "разрешение споров".
В контексте договора с государством это, в конечном итоге, подразумевает независимую судебную систему с возможностью эскалации до надгосударственного уровня.
Есть некая серо-пограничная зона под названием "общественный договор", вот это как раз аналог взаимодействия с государством "по понятиям" и эта часть может требовать доверия, причем с обеих сторон, но это скорее уже в сторону социологии с философией.
Имхо, если норма не доверять государству, то нормой также будет и попытка скрыть действия или даже гражданина от государства, что превращается в определенный фарс. Если граждане вынуждены разными способами защищаться от государства - это странно.
Это точно не норма и не всегда, тем более не везде, имхо. Государства конечно бывают разные, от умирающего талибана с разбегающимися во все стороны "гражданами" до длительного санмарино, но вряд-ли их можно напрямую сравнить как всегда и везде.
норма всегда и везде, если государство это не ты сам (или если хотя бы не входишь в самую верхушку правящей элиты).
Если в верхушку нашей новой элиты, то там не очень наблюдается доверие к государству, наоборот скрывают что могут.
Я не знаю, как в других местах, но для жителя россии государство является и являлось самым страшным врагом во все времена. Никто и никогда не приносил здешнему населению столько зла, сколько государство. Ни один внешний "враг". Даже после нацистов осталось меньше трупов, чем от репрессий 1917-1950 годов. И это не говоря о прямом ухудшении уровня жизни.
Поэтому я лично не понимаю, как нулевое доверие к такому государству может не быть нормой.
Даже после нацистов осталось меньше трупов, чем от репрессий 1917-1950 годов.
Я ценю вашу незамутненную, убежденность, но чисто интересно: вы цифры по числу репрессированных видели - установленные историками, причем - в разгар разгула демократии 90-х, когда преуменьшать их было не принято, а архивы уже были открыты?
Полагаю, что нет, а потому пишете ерунду: число жертв войны было, минимум, на порядок больше.
PS 1917-22, т.е. Гражданская война, тут вообще не при чем: зверствовали там не только комунисты и не столько коммунисты (почитайте для примера о зверствах войск Верховного правителя России (Колчака). Но самое интересное тут, что зверства или, там, потери в боевых действиях - это далеко не основной источник поть населения основную массу преждевременно умерших дают в таких случаях голод и болезни (тот же тиф, который тогда свирепствовал). Впрочем, по демографическим данным, потери в Гражданскую (~10 млн.) были всё же ниже, чем в Великую Отечественную.
В 90 и без репрессий всяких выкосили больше чем в ВОВ. Однако про это говорить не принято.
Судя по тому, где находятся дети, недвижка и, скорее всего, капитал этой элиты, они и сами-то не сильно доверяют.
Еще пару лет и 90% населения научится создавать изолированную виртуальную цифровую личность не хуже спецслужбистов.
А ведь говорили классики — «Привалов, учитесь делать дублей!»
круто, государственный пентест)
это может быть необходимо для корректной настройки P2P‑звонков через WebRTC
Действительно ли? Меня терзают смутные сомнения.
Для p2p соединений, насколько мне известно, используют STUN сервера, и они у Max (Ok, VK и т.д.) имеются.
А больше внешний айпи ни для чего и не нужен мессенджеру, я так вижу.
Если речь про STUN запросы (как раз определение внешнего ip адреса), то это элементарно может оказаться нормальным.
Серверов STUN в интернете море, при этом часть из них появляются, часть исчезают и так постоянно. Когда я писал свою звонилку, чтобы не держать свои STUN сервера я использовал чужие - есть целые подборки в интернете актуальных серверов, так что достаточно сначала получить их список, а затем обращаться к случайным из них.
Так что схема абсолютно понятная и даже не подозрительная. Но конечно в продакшн решении дабы спрятать ip использующих max логично поднять свои серверы STUN и отправлять запросы на них
логично поднять свои серверы STUN и отправлять запросы на них
У VK/Mail.ru (разработчиков Max) уже давно есть свои собственные STUN-сервера (также используемые для звонков в ВК, например), поэтому для работы основного функционала им не нужны внешние чужие.
Именно поэтому схема не понятная и подозрительная.
Если речь про STUN запросы
Сервера указанных в статье сервисов не отвечают на STUN-запросы, они отдают IP-адрес клиента по обычному HTTP GET.
Цифровой стукач потихоньку развивается. Если нет возможности использовать клиент на отдельном устройстве, которое не используется для реальной жизни, то придется ограничивать доступ Максу (например разрешать сетевые подключения только к определенным адресам). У всех же в домашней сети всякие SmartTV и колонки ходят по "белым спискам" в Интеренет.
А объясните пож., если маршрутизация разделена по приложениям, как Макс может использовать IP WhatsApp'а если теоретически весь его трафик должен пройти мимо ВПН?
если маршрутизация разделена по приложениям, то все как раз неплохо. Max стучится на домен Whatsapp, трафик идет напрямую мимо впн, домен заблочен/замедлен - все как надо.
А как тогда те же Парковки определяют, что "Возможно у вас подключен ВПН...", хотя эта хайлилайки совсем не мешает их работе
Android позволяет это узнать любому приложению, активен в системе VPN или нет. ConnectivityManager возвращает NetworkCapabilities.TRANSPORT_VPN если впн-клиент активен и подключен .
Интересно, что AdGuard на телефоне для блокировки рекламы включает VPN. Причём даже если не сам VPN как таковой от AdGuard, а просто именно что блокировщик рекламы. Интересно, РКН и AdGuard тогда блокировать будет чтоль?
AdGuard на телефоне создаёт TUN-device и анализирует весь проходящий через него трафик. Делается это с помощью Android VPN API.
Для блокировки рекламы часть трафика вырезается.
https://news.ycombinator.com/item?id=23619662#:~:text=> AdGuard desktop and mobile apps,there is always SNI scanning.
...и при его работе в панели загорается значок VPN
Да, разумеется. Что Вас смущает?
Андроид видит вызовы своих функций, отвечающих за VPN, и включает этот значок. Я ссылку давал на официальную документацию по программированию под Андроид, Вы туда не заглядывали, хотя бы одним глазком?
Цитата оттуда:
A system-managed notification is shown during the lifetime of a VPN connection.
Что делать с трафиком через TUN, решает исключительно приложение. Трафик можно фильтровать, а можно и перенаправлять.
Меня ничего не смущает кроме одного - я так и не понял что вы хотите сказать. Вы мне мне возразили? Вроде нет. Вы ответили на мой вопрос? Так же нет. Тогда в чём смысл вашего первого комментария ко мне?
Вопрос про блокировку Adguard VPN?
Я не из РКН, но не вижу причин, почему бы не блокировать доступ к его серверам.
я так и не понял что вы хотите сказать.
в чём смысл вашего первого комментария ко мне?
Я решил, что Вы не понимаете разницы между сервером VPN и функциями Android для работы с сетевым трафиком. Попытался объяснить.
Проблема не в том, включен или нет, а в том, какой именно адрес используется.
например, это может быть необходимо для корректной настройки P2P‑звонков через WebRTC.
Зачем? PeerConnection сам собирает ICE кандидатов. Надо только STUN сервер ему указать. Можно и к публичным, даже западным, обращаться.
Сложно все это. Очень похоже на паранойю. Есть более простые способы собирать информацию о vpn сервисах.
Если применить "бритву Оккама", то окажется все сильно прозаичнее.
А кто сказал, что те кто придумал такой способ собирать информацию семи пядей во лбу? Блокировку локалхост помните?
Ничего сложного здесь нет. И выводы очень логичные. Это просто один n способов для сбора подобной статистики.
Выводы странные, ибо статистика и без макса уже доступна РКН.
Нет. Описанный в статье механизм как раз очень удобен для сбора именно такой статистики, которой у РКН нет, но очень хотелось бы иметь.
Как минимум:
1) очень легко собрать список IP-адресов большинства не-публичных self-hosted VPN/proxy, в том числе таких, которые крайне сложно и дорого детектировать на ркновских DPI (ТСПУ)
2) чуть сложнее, но более чем реально - собрать список IP-адресов таких же приватных виртуалок в отечественных облаках, диапазоны которых по ошибке оказались в белых списках и используются людьми для обхода этих самых белых списков
Если применить "бритву Оккама",
Если применить бритву Хэнлона и учесть, что MAX, как и полагается блатным приложениям, сделанным для освоения темки, писался левой задней ногой. Я, сам не могу сказать, потому что мобильной разрабооткуой не занимаюсь, но имею серьезные подозрения, что есть-какая-то библиотека для определения собственного IP, лазающая точно на те же серверы, а разработчики ее просто взяли и вкорячили к себе, без задней мысли.
В целом же о разработках вского ПО на госденьги, особенно - коммерческой конторой, как в случае MAX, следует ожидать, что они подобны носорогу: квалификация у них не ахти, но это не их проблемы.
Я хоть тут тоже, скорее, за бритву Хэнлона, но не считаю, что это сильно спасает ситуацию. Запросы идут, картину из них сложить можно. Даже если такая мысль исходно в голову не приходила, то после такого исследования точно на карандашик идею возьмут.
что есть-какая-то библиотека для определения собственного IP, лазающая точно на те же серверы, а разработчики ее просто взяли и вкорячили к себе, без задней мысли.
Читайте подробный разбор, это не левая библиотека, а именно что специально написанный код от разработчиков Макса, который к тому же активируется по команде с сервера
Прочитал. Есть вопросы, которые сам проверить не могу. Потому жду антикриз со стороны VK - благо что в антикриз они не умеют и засвечивают кое-что, что стоило бы скрывать. Например В Max опровергли данные о распространении вируса - но опровергли таким образом, что подтвердили, что VK автоматически и в рутинном режиме просматривает трафик пользователей.
Уже есть: https://habr.com/ru/news/1006950/
и прямо там их сразу поймали на вранье: https://habr.com/ru/news/1006950/comments/#comment_29622680 и https://habr.com/ru/news/1006950/comments/#comment_29623220
В данном случае меня интересует не это, а антикриз по поводу реверс-инжиниринга. Информация тут достаточно скандальная, чтобы ожидать, что антикриз будет.
Что вы понимаете под словом «антикриз», если не это?
Это конечно антикриз. Но Вы не обратили внимание, что я жду антикриз на конкретную тему - которая reverse engineering.
PS Не надо меня убеждать, что VK про MAX обманывает - я это предполагаю вообще a priori: "обмануть тебя хотят", это то, что от корпораций я ожидаю по умолчанию. Как и от всяких любителей борьбы за всё чистое и светлое, кстати. В частности, от разнообразных патриотов.
Гляжу я на антикриз и вижу, что он вялый какой-то, чистое отрицалово, "скучно, девочки". И нужной темы мне нет, и, возможно, не будет.
И есть у меня ощущение, что вы со своей вчерашней статьей поторопились и замазали сегодняшнюю бомбу: VK может теперь смело отмазываться от вашей вчерашней статьи в нынешнем духе, а сегодняшнюю на этом фоне никто не заметит - хотя именно там реальная предъява, отделываться от которой общими словами - терять лицо.
Теперь, похоже, остается только смотреть на людей профильных, типа @ashmanov (он, хоть и патриот, MAX не любит - видать мимо денег он там пролетел, или из его друзей кто) - вдруг там что интересное будет.
PS И что характерно, меня же это всё на самом деле никак не касается, начиная с того, что смартфона у меня нет. Наверное, пора завязывать мне с этой темой.
Скам этот написан как раз нормально. Только у него есть побочная, не особо нужная функция "мессенджера", на что болт и поклали. А вот остальное - слежку, запуск своего кода, и возможно даже местное блокирование на устройстве - это мы Махом! И ведь еще хорошо, что неустановленные сволочи из РКП такие тупорезы, но они прут как трактор и неустановленные люди околое офисов РКП еще не пробовали уточнить условия швабры. Нет, был один герой. Уточнил.
Только у него есть побочная, не особо нужная функция "мессенджера", на что болт и поклали.
Нет. Для выгодоприобретателей MAX важно, чтобы эта функция работала и как следует - инче его никто использовать не будет, и те функции, которые вы почему-то считаете основными, окажутся бесполезными.
Нет, был один герой. Уточнил.
Кто этот герой? Договаривайте, а то вас просто непонятно.
инче его никто использовать не будет
Если принудительно загонять на него людей административными методами, а заодно и заблокировать конкурентов…
Не знаю, как там у вас в европах (там, говорят, народ к порядку склонен и государству доверять тоже), а в России это ненужный риск. Особенно, с таким антипиаром. Для изготовителя проще и безопаснее довести функционал до приемлемого, иначе могут быть проблемы. Вы их там из своей Чехии, может, не видите, но в реальности у нас тут, конечно, не 37-й год, но не так уж далеко до него. Только любимая статья другая - не шпионаж и вредительство, а коррупция и мошенничество. Ну, и не расстреливают никого, даже условно.
PS Но вообще-то всё это - правдоподобные рассуждения при недостатке данных.
Есть более простые способы собирать информацию о vpn сервисах.
мессенджер хороший кандидат для трояна и внедрения.
прав много по умолчанию. под каким предлогом вы будете заставлять устанавливать бюджетников и студентов приложение для заказа пиццы?
детектор впн это же потенциально не единственный его вредоносный функционал.
Во‑вторых, в списке исходящих соединений также видны обращения клиента MAX к доменам, связанным с Telegram и WhatsApp:
И это уже выглядит как проверка проверка сетевой среды (например, доступ к каким доменам режется провайдером) и доступны/заблокированы ли конкуренты. Например, домен mmg.whatsapp.net используется WhatsApp для загрузки медиа по прямым ссылкам. В настоящий момент Роскомнадзор блокирует этот домен, и его можно удобно использовать для мониторинга
То есть на всех абонентских устройствах они проверяют "качество блокировок" у каждого провайдера, чтобы потом штрафовать или уничтожать тех, кто что-то не блокирует.
Если квн на телефоне работает, там можно настроить, какой трафик мимо пропускать, а какой через.
А можно ли как-то на роутере такое сделать? У него ведь нет информации о приложениях, запущенных на подключенных аппаратах.
Портативный роутер решает кучу проблем, стоит недорого, весит мало, питается от пауэрбанка. Есть gl.inet, есть более доступные аналоги. Это уже необходимый минимум к закупке.
Не очень понятно, от какого числа оригинальное сообщение, но запросы к серверу whatsapp и серверу телеги перепроверяли вечером 25 февраля, уже тогда их не было.
Выглядит как статья, опоздавшая на неделю.
Не прокатило, вычеркиваем? Ждем в следующем обновлении? :)
Дамп PCAP на форуме от февраля, да, но некоторые люди там перепроверили и подтвердили проблему буквально вчера.
Возможно подобные «сканирования» выполняются не постоянно, а «волнами» для разных групп абонентов или даже по команде от сервера.
Сейчас там один из пользователей реверсит APK, предварительно говорит «все даже хуже чем мы думали» и обещает выпустить подробный разбор, ждем.
Очень ждем подробного разбора.
подробный разбор появился: Месседжер MAX следит за пользователями VPN? Реверс инжиниринг говорит — да
Исследовалась версия 26.4.3, старая. А я про версию 26.6.0
Я правильно понимаю, что простое выключение впна перед запуском макса не поможет и они это будут и в бекграунде проверять?
Хороший какой софт создали. Которым или не пользоваться или пользоваться на отдельном девайсе только. Стыд и срам
Может ли таким же заниматься браузерная версия Макса web.max.ru?
Сам сегодня мониторил коннекты и действительно, встречались эти адреса.
Пишите все петицию в гугл и эппл что MAX имеет поведение трояна, чтобы его убрали из магазинов приложений. Выходит это мошенники. Это недопустимое поведение.
Типичное вредоносное поведение. И это только начало.
Мониторинг и слив будет вообще сплошной.
Только кнопочник без интернета для звонков/СМС + девайс отдельный без этих скамов и без тел. связи.
Странно, но у меня что-то не сходится.
У меня на телефоне Макс установлен, я им не пользуюсь, в настройках Андроида стоит "ограничивать фоновую активность".
В логах AdGuard запросы от него к ipify и amazonaws действительно были, но месяц назад, и всего две штуки, по одному на каждый, не десятки, как следует из статьи. За последнюю неделю он только на свои сервера зачем-то лазил.
На форуме пишут:
«судя по исходникам весь этот спам просто проверяет параллельно доступность доменов (hosts) и отправляет статусы в виде цифр (0-3)
IP вычисляет проходя по порядку пока хоть какой-то чекер не выдаст валидный IP.»
Поэтому вы видите запрос только к одному из них, потому что через этот первый уже получилось определить ваш внешний «иностранный» IP, все логично.
Это же мы видим на скриншоте юзера здесь в комментах несколькими сообщениями выше - Макс стукнулся на российский сервер определения IP, удалось получить адрес «напрямую», дальше не перебирает, потом стукнулся на иностранный сервис определения Ip, удалось получить потенциальный адрес «через впн», дальше перебирать нет нужды.
А еще пишут:
«В конфиге аппа есть опция host-reachability и у hosts есть проверка, будут ли чекеры запускаться. Конфиг прилетает от сервера, применяется после перезахода в приложение, поэтому при первом входе с логином ничего еще не будет спамить. Так что у них есть вариант разновидности конфигов в зависимости от юзера. При перезаходе в приложение происходит ревалидация конфига (отправляет хеш конфига)»
То есть оно может включаться-выключаться по запросу от сервера для каждого пользователя или группы пользователей отдельно. Поэтому у вас оно сработало и больше не палится.
Конфиг прилетает от сервера, применяется после перезахода в приложение, поэтому при первом входе с логином ничего еще не будет спамить
Я не понимаю, с чего тогда весь сыр-бор. Один раз зайти и больше не трогать. Это нормальное поведение для обычного юзера.
Вот ходить туда-сюда, да ещё с разных IP - вот это заставляет напрячься, т.к. похоже на попытки взлома.
То есть оно может включаться-выключаться по запросу от сервера для каждого пользователя или группы пользователей отдельно.
Если конфиг применяется только при заходе, то "по запросу от сервера" реализовать тяжеловато.
Возможно, что-то ещё не раскопали, посмотрим.
И вот это еще нелогично выглядит
судя по исходникам весь этот спам просто проверяет параллельно доступность доменов (
hosts) и отправляет статусы в виде цифр (0-3)IP вычисляет проходя по порядку пока хоть какой-то чекер не выдаст валидный IP.»
Это в России доступ ко всяко-разным зарубежным серверам блокируют. В других странах, вроде бы, свободнее (Северную Корею и Китай не рассматриваем :) ). Почему там Максу пришлось десятки раз до Амазоновского сервера долбиться? Почему у меня он сразу туда попал, а там - не сразу?
подробный разбор появился: Месседжер MAX следит за пользователями VPN? Реверс инжиниринг говорит — да
Я не понимаю, с чего тогда весь сыр-бор. Один раз зайти и больше не трогать.
Если конфиг применяется только при заходе, то "по запросу от сервера" реализовать тяжеловато.
В подробном разборе пишут, что конфиг также синкается не только при поторном логине, но и при "обновлении сессии".
Просьба провести такое же исследование для Яндекс навигатора и госуслуг.
Собственно - а это новость?
Вспоминается например https://habr.com/ru/companies/femida_search/news/985510/comments/#comment_29389324 - примерно про то тоже. Середина января 2026.
Кстати к вопросу о дырявости MAX'а - на GrapheneOS он сразу падает на старте если НЕ включить Exploit protection compatibility mode. Можно считать что намеренно сделано с бекдором а exploit потом прилетит (и скажут что ошибка), могут быть правда и другие точки зрения....
Таким умникам советую удалить с мобилы госуслуги, вк, сбер и завести себе сберкнижку, блокнот и пользоваться счетами
То есть просто надо иметь отдельный телефон для макса, с банками, госуслугами и прочим без всяких кэвээнов, и другой телефон для котиков и остального. Ну так это и так было бы разумно.
Ну да. Причем, вне зависмости от свойств этих приложений (ну кроме того, что все приложения подвержены взлому). А чисто чтобы сделать границу безопасности между критическими сервисами взаимодействия с государством и банками (и MAX туда же, он там часто используется вместе) содной стороны, и всяческими котиками - с другой.
Российский мессенджер MAX замечен в обращении к иностранным сервисам определения IP и серверам конкурентов