Comments 48
в хром-подобных браузерах эта задача (разделение трафика по доменам) решается расширением proxy switchyomega 3 (zeroomega)
Кажется этот плагин (если смотреть его исходный код) так же поддерживает и лисицу.
Тут, кажется, задача другая - пропустить в интернет только домены по списку, остальные отправить в пень.
Я вот только не пойму, как узнать, кто и куда ходит, ведь, условно, если мы это ради чтобы паленый российский софт не проверял наличие впн, то они схемы проверки будут менять довольно часто. Условно, сегодня макс для своей работы юает доменные имена, условно, static.max.ru и js.max.ru и max.ru, а впн-ы ловит на catch.vpncatcher.com (только что придумал) - а он идет в пень, а завтра эта ловушка будет отзываться на static.max.ru/catcher - и белые списки браузера разрешат ему достучаться в инет.
Мне вообще эта история не нравится именно тем, что, пока часть страны ищет, как бы не слить инфу про впн кому не надо, другая часть страны не менее остроумно их ловит за руку.
Но, если продолжить мысленный эксперимент - оторвут они рунет от мира, обраничат ввоз ноутбуков, айфонов и прочего, разрешат выезд за рубеж только депутатам и их детям - но ради чего? Чтобы выборы прошли без митингов? Так вроде и так и так там 146% будет насчитано, и это число к интернету не имеет отнощения. А вот что страна вывалится из мирового процесса ИТ - это факт.
Ну ок, первые годы еще приписками можно будет закрывать вопросы, а дальше что, в сырьевой придаток окончательно превратиться?
А чем на мировом рынке торговала РФ последние 26 лет? Вроде только недрами.
Каждый винтик системы понимает абсурдность, но крутится, "я просто делаю свою работу", система работает. Идеологи системы аналогично. Так и выстраиваются и живут Северные Кореи.
Иран уже два месяца без интернета сидит, потому что в свое время не обеспечили работоспособность своей сети без внешних сервисов. Аналогия понятна?
Кажется, с недавних пор это "чудо" требует для авторизации в веб-версии установленное на телефоне приложение. Так что в любом случае придётся ставить его на какое-то устройство, поэтому изоляция лишь на одном устройстве, и то временная.
Оставлю здесь небольшую заметку:
Скам (от англ. scam — афера, мошенничество) — это интернет-мошенничество, при котором злоумышленники обманом выманивают деньги, персональные данные или аккаунты
Как бороться:
Проверять, сомневаться и никогда не передавать деньги, данные или коды незнакомцам — даже если они давят на срочность, страх, угрозы или шантаж.
Так а что и куда он шлёт? Ведь ни до чего, кроме того, что вы сами туда ввели он из браузера добраться не может. А для обрезки всяких метрик вроде все давно используют соотв. плагины
А ведь можно просто не ставить его на телефон? "Можно, а зачем?"
Это всё прекрасно, но все изображения вашего аккаунта навсегда сохранены в i.oneme.ru по однозначным прямым ссылкам, что не вырубить топором. Да, максы договорились о зачистке уже проиндексированных сотен тысяч ссылок в webarchive и их там уже нет. Но проблема никуда не делась, все эти ссылки (документов, паспортов, интимных фотографий и т.д.) по прежнему работают. Это навсегда и работает без авторизации.
Все переписки аккумулируются и изучаются в полуавтоматическом режиме примерно также, как логи изучаются в каком-нибудь SIEM. Мы это видели на примере telega. Данные в максе передаются просто в base64.
Только один вопрос: зачем этим пользоваться, даже в полностью изолированной среде? Рано или поздно все эти БД будут продаваться (или уже продаются, не проверял). Это неизбежно, т.к. безалаберность в ИБ, даже в проблеме прямых ссылок - налицо.
Можно попробовать сделать приложение для телефона на основе этой WebView обертки: https://github.com/woheller69/gptassist Это обертка для ChatGPT которая режет все лишнее, там на основе этой обертке уже делали и другие приложения вот например: https://github.com/shano/assistral
Кто хорошо разбирается в написании приложений для Android можете помочь сделать приложение?
Для FF еще можно поставить дополнение Multi-Account Containers, для изоляции всяких кукисов и прочего.
Так он уже отдельный профайл создал — от кого ещё изолироваться? Это всё равно что жену трахает сосед, а я для надёжности надену презерватив.
Верно, там можно даже индивидуально задать proxy для container; правда, не уверен, что получится на уровне конфига задать домены-исключения. Но в теории может и глобального "always direct" хватить. Но это не точно.
Пытаемся делать шпионское по - безопасным...толко на хабре 😂
Способ сделать мессенджер МАХ безопаснее на своих устройствах - не устанавливать его. Куда уж проще.
Кто-то может объяснить, чего хочет добиться автор этой статьи применительно к веб-версии макса?
Komet клиент для кого
это его не ставить (не благодарите)
apptracer.ru, sdk-api.apptracer.ru - лишние разрешения, возможно заведется и без них.
сам метод “свой профиль на каждый сайт” потенциально интересный. буду пробовать. для тех же задач я применял плагин uMatrix, настроенный на паранойю (по умолчанию все запрещено). в нем кстати видно куда идут запросы, а к автору статьи вопрос - как он отследил нужные домены ? недостаток плагина понятен - его перекупят, а новый владелец впарит инфостилера. или перестанет работать с новым манифестом. также все плагины тормозят.
Минусы нет логирования (не видно, куда он пытался сходить) если Max начнёт использовать новые домены — придётся добавить их вручную
Запустить Network Monitor: Cmd+Shift+E или firefox -P max --devtools -url https://web.max.ru/ Фичи: about:networking, about:logging
Рекомендую containerproxy - плагин для firefox позволяющий для разных контейнеров задать разные настройки proxy: открываете мах в одном контейнере, всё остальное в другом. И всё! Нет сложности, негде накосячить с настройаами.
А в чем вообще такая необходимость изолировать Макс в браузере? Он же все равно не может прочитать в браузере ничего, что не в его домене?
А не легче ли через впн клиент настроить так, чтобы трафик этот не проксировался?
Где почитать , что именно на пк сможет найти веб версия этого приложения. И какими инструментами . за информацию большое Спасибо!!!
сделать мессенджер Макс безопаснее
не устанавливать?
А если на Макс накрутить плагином к браузеру шифрование, что по этому поводу предпримут ответственные лица?
Самое безопасное из всего написанного , да просто тупо не устанавливать. Ну а уж если так подгорело установить, так тут увы и ах.
Простой способ сделать мессенджер Макс безопаснее без Docker и прокси