Comments 221
Просто потрясающе. Что-то на уровне "после экстракции швабры, я провел анализ еë формы и узнал из какой породы дерева она сделана".
в чем смысл таких громких кликбейтных заголовков? даже если там будет функция fsb_read_access_save() то что дальше то ?
Белки-истерички и не такое могут!
всё тоже надо сделать со всеми месенджерами. велика вероятность, что они мало чем отлисаются в плане шпионажа. у телеги переписка официально хранится на сервере и свободно доступна Павлу Дурову, он ей делится с теми, с кем считае нужным. фокусники всегда отвлекают внимание от того, куда в действиельности нужно смотреть.
чтобы никто не шпионил, нужно поднять свой сервер емайл, джабер или матрикс на открытом софте, который многократно проверен параноиками и тебе самому понятен. и пользоваться только своим.
у централезованных мессенжджеров приватьности всегда ноль. у своего сервера приватность всегда полная.
А так оно и есть, причем старые "проверенные" мессенджеры гораздо опаснее макса, в который решили впихнуть сразу все гадости и не озаботились тем, чтобы спрятать, плюс заставили установить с использованием админресурса. Телеги и вотсаппы куда опаснее потому, что люди к ним привыкли, в них не было настолько уж вырвиглазных проблем типа общедоступных картинок или невозможности восстановления доступа (это когда код авторизации вместо смс направляется в неактивную навсегда утраченнуюсессию). Вотсапп вроде и применяет сквозное шифрование, да только ключи пользователям не принадлежат и регулярно обновляются по желанию левой пятки цукерберга. И случаи посадок по стуку от вотсаппа в США уже были. По моему мнению, чем приятнее вид у программы, тем больше она опасна в плане выработки незаслуженного доверия. Давно пора привыкнуть к тому, что никаких безопасных мессенджеров не существует в принципе, как и безопасных операционных систем, в которых есть подключение к интернет. Если есть чего опасаться- для своей же безопасности выгоднее просто молчать всегда. Особенно, если пользователь любит путешествовать- цифровой след, который положителен в одной юрисдикции, может привести к посадке в другой юрисдикции.
И случаи посадок по стуку от вотсаппа в США уже были
Если буду эмигрировать в США - озабочусь этим. А пока что мне актуальнее, были ли посадки по стуку от вотсаппа в России? Эта опасность сугубо теоретическая или реальна в современных условиях?
Эта опасность реальна даже если не собираетесь эмигрировать, достаточно неудачно слетать на отдых. В США не только легально экстрадируют, но и похищают людей и доставляют туда. Это касается не только президента Венесуэлы, бывали случаи и с россиянами куда меньшего ранга, например из Доминиканы, несмотря на отсутствие международного договора отвыдаче в США, похитили россиянина и отправили в частном самолете в США.
у своего сервера приватность всегда полная
Свой сервер это очень хорошо, но про полноту поспорю.
Сервер где-то там далеко может быть недоступен товарищу майору (или любому злоумышленнику) напрямую. К вашему серверу, если он локально развернут, могут придти интересующиеся люди и вежливо (без права отказа, с возможным применением терморектального криптоанализа) потребовать доступ.
Приватность полная только для Вас. Ваши собеседники могут не доверять вам на 100%, для них потенциальная возможность прочтения Вами их переписок уже делает Ваш сервер не полностью приватным.
Полностью приватной будет только переписка, которой не существовало. Да и вообще, если удариться в философствование, сделаю ещё более сильное утверждение. Как только Вы что-то подумали -- оно уже потенциально не приватно; можно, к примеру, воспроизвести ту же мысль, разговаривая во сне, или под пытками / воздействием психотропными веществами.
он ей делится с теми, с кем считае нужным
То что Макс делится - выходит из его пользовательского соглашения и нынешних законов РФ, которые он, понятное дело, соблюдает. И эти теоретические рассуждения подтверждены реальными делами-протоколами-судами. (Вплоть до штрафа на эмодзи-какашку под постом, на который нельзя стаить такие эмодзи). Это есть.
То что не секретные чаты в принципе доступны команде делеграм - верю, да. Но какие есть подтверждения, что "делится с кем считает нужным"? Можете назвать хоть одно дело, ФИО, что-то, что можно загуглить и проверить, а не на уровне, что "раз доступно, значит может сливать израильной разведке"?
Т.е. у Вас пока получилось доказательство «в приложении есть тяжёлый аналитико-трассировочный слой, часть которого выглядит неприятно с точки зрения приватности». Выглядит, не является.
Хотя, безусловно, это повод порыться глубже, но в динамике, и, плюс, не всякая активность будет проявлять себя при запуске приложения.
P.S. Тут бы ВК, конечно, выступить с пояснением и выпустить клиента в открытый доступ, но они этого не делали раньше - вряд ли их ваши выкладки смутят.
" Выглядит, не является. ": когда приставляют дуло пистолета к голове, то это тоже "выглядит страшно, но на самом деле голову же не пробивает"!
А еще: запустите себе в квартиру ядовитых пауков. Все ок, ведь прямо сейчас они не кусают!
Наличие ружья на стене не значит, что оно выстрелит в тебя. Это стандартный набор либ для любого крупного проекта
он собирает список ВСЕХ установленных приложений, и EventBus перехватывает каждое сообщение. и, кстати, иронично, но ни в ToS, ни в GDPR об этом не сказано, что собирается и кто партнеры
не сказано, что собирается и кто партнеры
(меланхолично стряхивая пепел на ковёр:) Сам‑то как думаешь? ©
Приложение вк тоже это делает уже давно)
а чем Вам EventBus не угодил?
мессенджер перехватывает каждое сообщение, которое в него написали?! ужас
Я тут тоже спросил нейронку (лень ковыряться в официальных SDK и API реального ведра — у меня его нет и не будет). И вот, что она говорит:
Изменения с Android 11 и новее В 2022 году Google ввела политику видимости пакетов (Package Visibility). Теперь приложения не могут просто так видеть другие приложения — это возможно только в строго определённых случаях.
Основные правила:
По умолчанию приложение видит только: себя; системные приложения; приложения, необходимые для базовой функциональности.
Для доступа к полному списку приложений нужно специальное разрешение.
Как-то это плохо вяжется с «собирает список ВСЕХ установленных приложений». И да, «ВСЕХ» надо было, наверное, написать не просто капсом, а ещё выделить курсивом, полужирным и подчёркиванием, чтобы все лучше поняли.
И ещё: а вы все приложения, которые ставите так проверяете? Я заглянул к себе и помимо мессенджеров и соцсетей увидел:
Приложения магазинов с системами лояльности (десятки, включая маркетплейсы, авиты и прочее)
Приложения банков и финансовых сервисов (включая брокеров и НПФ — с дюжину)
Игры (до… в общем, очень много мелочи)
Госсервисы и околотого (Госуслуги, Госуслуги Москвы, ГТО, Добродел, чеки, налоговая, ЕМИАС, ЕГАИС-чекер и так далее, наверное, десяток)
Мультимедиа (включая несколько онлайн-кинотеатров и плееров и читалки — сюда же пусть будут)
Мелкие сервисы (типа Беризаряд, ПО для учёта трат, Едадил)
Просто утилиты (сторонние калькуляторы, тест ПДД, подготовка фото на документы, шумомер, карта вышек сотовой связи, неофициальный кадастровый сервис, AST Catalog, Bartello, чистилка для фотогалереи и прочее)
ПО для фитнеса и здоровья
ПО от ОпСоСа, РЖД и прочих больших контор
Несколько ВПНов
Если я не сильно отличаюсь от типичного юзера (а я далёк от гордыни и не считаю себя в этом плане уникальным (вот копм — другое дело), просто у кого-то вместо кадастра и ЗОЖа будут книги рецептов, софт для обработки музыки, дизайна или ещё для чего), то речь о сотнях программ, которые потенциально (если бы у меня был дройд) могли бы друг-на-друга стучать… и каждую надо было бы вот так тщательно проверить (в потом ужаснуться и застрелиться). Ведь они могут получить список ВСЕХ(!) установленных приложений. (вот, смотрите, как надо выделять «всех», чтобы вселять истинный ужас в читающего)
Или смириться с тем, что если у тебя Android, то твоя жизнь видна всему миру. (А если iOS, то только ООО «Apple».)
Для многих В ПРИНЦИПЕ наличие ружья на стене - достаточно тревожный звоночек.
Выглядит, не является
В вопросах безопасности работает не презумпция невиновности, а презумпция вины. Опасным по-умолчанию является всё, для чего не доказано, что оно безопасное.
Не нужно доказывать, что это приложение является шпионом: это доказано просто фактом наличия в нём кода, который предназначен ок, "может использоваться" для шпионажа и очевидно не требуется для той работы, для которой официально предназначено приложение.
Если разрабы хотят доказать, что приложение не шпионит -- пусть выкладывают необфусцированные исходники, из которых собирается распространяемый ими apk, и из которых будет очевидно, что "шпионские" функции невозможно включить удалённо без прямого и явного разрешения пользователя, или хотя бы без его уведомления. Пока они этого не сделали -- говорить не о чем, приложение шпионское, потому что оно МОЖЕТ шпионить и нет доказательств, что оно этого не делает. Я повторюсь: доказывать, что оно действительно шпионит, не нужно. Оно МОЖЕТ, и этого достаточно.
Интересное заявление.
Например, (почти) любой фреймворк логирования может сливать данные (включая чувствительную информацию) на какие-то удаленные ресурсы.
Значит ли это, что любое(!) приложение с этим фреймворком внутри, потенциально, шпион, а его авторы (приложения) должны Вам доказать обратное?
Ты не понимаешь! Это фреймворки - кого надо фреймворки, от людей с чистыми светлыми лицами! Даже если код закрыт! А если открыт, то тыщщщагласс и тарболл на гитхабе соответствует коду, который использовался при сборке! Весь поток траффика с них через наносекунду совестливо удаляется с тайваньского сервера и его копии на Филлипинах!
Ты б ещё вспомнил про лютый трэш-шапито с аналитикой и сливом буквально всего бесплатными (да и платными тоже) рекламными SDK, в которых уже реальные дропперы для троянов находили. Но, на этом хайпу не сдалаешь - люди только плечами пожмут. А тут <с надрывом> ГОСМЕССЕНДЖЕР!1111адын
Если бы у них была возможность закрыть код, они бы закрыли
если у фреймворка есть исходники, то никто не мешает взять и их просмотреть, если нет доверия, затем самостоятельно собрать и уже осуществить зверства: посмотреть куда обращается, что отсылает, и так далее, если их нет, то тут вопрос только на репутации и законе, а также независимых аудитах
проблема макса в том, что его суют под видом соуса: «наш народный самый защищенный антимошеннический мессенджер», поэтому и такой ажиотаж, учитывая что он не соответствует ни одному этому слову
еще одна проблема в том, что ватсапп, телеграмм и другие мессенджеры иностранные если собирают данные, то своему иностранному товарищу майору, которому в общей сложности до лампочки на нас, а не нашему «тутошнему», которому тоже все равно, но если надо будет (по любым причинам), то мы тут как тут, без суда и следствия
если у фреймворка есть исходники, то никто не мешает взять и их просмотреть
В диком мире есть множественные примеры того, что исходники в открытом доступе сильно отличаются (хорошо, если только опаздывают по версии) от того, что распространяется в бинарном виде.
Ну и хорошо. Можно делать версию из исходников.
Причем я как раз могу понять частный бизнес, который прячет исходники своего кода (ну вот выбрали они такую модель распространения, не хотят чтобы конкуренты подсмотрели, скопировали, или даже стыдяться низкокачественного кода).
Но если это "национальный мессенджер", сделаный на бюджетные деньги... Так пусть и принадлежит обществу целиком.
В деле "лишь бы наши люди не общались через сайты-приложения подконтрольные Западу" - это было бы только лучше! Во-первых, к самому Максу доверия было бы больше, а во-вторых, появились бы десятки мини-максов, пропатченных, мол - "то же самое, но я выкусил все что не нравится, пользуйтесь". И на такой Макс я бы может и сам перешел бы!
Странный вопрос, ибо ответ очевиден. Конечно, любое приложение, способное собирать и куда-то отправлять "чувствительную информацию", по умолчанию считается небезопасным, пока его безопасность не доказана.
Разрабам не надо доказывать, что приложение не шпионит, потому что сама Android ОС ограничивает приложение в этом
Отличная шутка, ага. Только пары смайликов не хватает.
Даже на иОС, где приватность пользователя защищена много лучше, чем на ведроиде, приложения могут шпионить за пользователями. На ведроиде же и тем более.
И вообще, вы, кажется, не в теме. Тут обсуждается вопрос в рамках ситуации, когда у приложения уже есть доступ к информации, которая не должна быть похищена (например, статус и параметры VPN-соединения, или информация с GPS вне явно разрешённых пользователем сценариев её использования).
У мессенджера "скаМ" такой доступ есть -- поэтому его разрабы таки должны доказывать, что их приложение использует эту информацию добросовестно, а не для слежки за пользователем.
По-поводу открытого доступа, тут ведь надо не просто выпустить, а еще и поддерживать его. То есть, выкладывать обновления, как-то оформлять их и все такое. Они уже выкладывали проекты, вроде Тарантула или Onlineconf, а на поддержке сдувались, на это надо отдельно тратить силы.
Выглядит, не является.
Ваш комментарий навеял (возможно несправедливо) "А чего Вы это мою собачку боитсь, она добрая и никого не кусает"© Агащазблин, так и мечтаем проверить.
В конце концов, есть же банальный duck test - "If it looks like a duck and quacks like a duck, it is a duck "
идея для дядюшки Ляо, 4-х сторонний смартфон, полностью изолированные в каждом своя симка, один под телегу и прочее с впн-ом, второй под банковские приложения и прочее служебное, третий под это недоразумение, четвертый на всякий случай и для симметрии...
Тогла уж веером. С креплением на одном болте. При желании добавить слоев.
П.с
Интересно, как телефоны работают в пачке ? Экранирование антенн и тд
Модульная архитектура: один экран, одна батарея, один сетевой модуль... Разные storage с установленной системой, опционально - разные мат.платы с процессором и сетевыми модулями.
Либо полноценная виртуалка под Android Прямо на телефоне. С полной эмуляцией железа, а не shelter. Вроде, было что-то такое...
Неудобно. К тому же вопрос нагрева (теплоотвода) и батарейки (теплоотвод + ёмкость) херит концепт прямо на стадии эскиза.
Реально можно было реализовать что-то на уровне старого Duos с двумя радиомодулями и раздельными трактами, но на основе сгибаемого поперёк телефона:
- У нас есть нормальная микроядерная гипервизорная ОС, в которой реализован только самый минимум функционала и интерфейсы к радиожелезу. Все место отдано под 2-4 больших файла хранилища (6, если нужно сделать А/В-обновления и разделы с прошивкой вынести в отдельные файлы).
- Внутри - 2 виртуалки: "основная" и "вторичная". Можно легковесные, с единым ядром, главное, чтобы среда выполнения (не-дальвик-а-АРТ) и нижележащий слой абстракции были разделены и у каждой строго были свои.
- Виртуалки ничего не знают друг от друге, данные лежат не в разделах, а в больших виртуальных дисках, на которых сэмулирована стандартная смартфоновская разметка - изнутри можно вылезти разве что в гипервизор, и то, если добрые китайцы реализовали ошибку в арм-проце.
- Линия сгиба - разделение экранов - у каждой виртуалки свой вертикальный экран эмулирующий размером и отношением сторон портретный режим экрана среднего смартфона.
- Основная виртуалка - обычная, для повседневной жизни, вторичная - приватное хранилище для сервисов, КВН'ов и фоточек с нюдсами хозяина. Можно достоверности ради нюдсы вынести в основную ОС, особенно если все, что там есть - хозяин в труханах у зеркала фотографирует свою бабу (тоже в труханах, но без лифака) с баклажкой пивандрия.
- Ресурсы делятся, приватная виртуалка может суспендится, выгружаться или вообще выключаться без потерь, высвободившееся можно аналогично "ТУРБО-"-режимам на китайцах обыграть (эта рама - не рама, а кусок флешки, мой юный апк, а прирост проца я дал за счет ULTRA(c) SPEED(tm), но ценой разряда батареи...).
- Можно скрыть со второго экрана вторичную виртуалку, расширив экран для основной, превратив смарт в обычный Fold
- Можно отдать обычной виртуалке и второй радиотракт, но для этого надо выгрузить вторичную виртуалку
В обычном режиме у нас книжка с двумя ОС и одновременной работой на разделённом экране.
В режиме "белого" телефона вторая ОС выгружается и все экранное место отдаётся под основную ОС, при желании можно настроить переключатель на отдачу и второго радиотракта.
Как-то так я это вижу
А не проще просто физический разные флешки памяти для OS? можно даже съемные...
Graphene OS, до 32 пользовательских профилей. Всё максимально изолировано средствами системы, есть возможность выйти из профиля с полной остановкой всей активности установленных там приложений. Каждый профиль зашифрован собственным ключом. Возможность использовать изолированный GP в каждом профиле. Если вы не наркобарон и не работаете на ЦРУ - этого более чем достаточно.
При всей полезности указанных данных следует их всех спрятать под спойлер с подписью. Ну правда, я устал скроллить. Все, кто заинтересуются самостоятельно раскроют спойлеры.
А что эта "доказательная база" доказывает то?
То, что все и так давно знали?
Что приложение проверяет свои пермиссии! Невиданное по сей день.
Нейрослоп захватывает хабр, уже даже картинки к постам просто генерят. А было время рисовали)
То, что отправляет на сервер результат проверки тоже обыденная опция, присутствующая в каждом приложении? Конечно вопрос как по мне риторический, просто интересно ваше мнение, зачем оно это делает если не для того чтобы подсветить майору нужный тумблер, который он может пошевелить чтобы, как вариант, поискать запрещенку у электората, не поддержавшего на выборах давно известного кандидата?
который он может пошевелить
Юзер отключил доступ к микрофону
Скрытый текст
отправляет на сервер результат проверки
Оно может делать, что угодно с этим никто не спорит, но в посте есть анализ трафика? Кто-то вообще проверяет все эти "доказательства"?
Конечно вопрос как по мне риторический, просто интересно ваше мнение, зачем оно это делает
Практически на любом сайте/приложении стоит халявная кларити от майкрософта, которая даже движение мышки записывает. Оно отлично работает. И это ок лол. Только на этом сайте 10 штук таргета, 4 из которых трекинг. Гугл, яндекс, самописный пиксель.
Не упоминая уже sentry replay, heap, mixpanel и буквально сотни других трекингов)
Каждый сайт, просто открыв который может получить сотни разных параметров, от размера экрана, до уникального отпечатка рендера на кванвасе. Зачем? Действительно риторический вопрос.
но в посте есть анализ трафика?
А зачем?
Вот вы нашли у себя в кабинете спрятанную на шкафу штуку, явно с камерой, микрофоном и антенной, но почему-то не фонящую в радиоэфир. Что вы подумаете, что это оригинальный сувенир, или что это хитрый жучок, включающийся на передачу только командой от удалённого пользователя?
В вопросах безопасности действует презумпция вины, а не невиновности. Приложение содержит в себе явно шпионский код, очевидно не нужный для его работы по "официальному профилю" -- глубже копать просто незачем, оно уже 100% является шпионским. Да, можно чисто из любопытства потратить кучу времени, выясняя, как именно товарищ майор получает ваши данные и какие именно -- но это уже реально просто любопытство, для уверенного признания приложения вредоносным достаточно того, что оно явно МОЖЕТ вредить.
У Вас какой-то шпионский код - текст сам себя копирует и вставляет. Под одной статьей это заметно. :-)
Удивительное дело, а под соседним постим вы мне в комментариях пишите, что если нет материального ущерба, то можно делать всё что угодно. Какая вам разница, что там макс собирает, он же вам материального ущерба не наносит? Вы либо крестик снимите, либо трусы наденьте, а то вы путаетесь в показаниях.
Вы про "майора" какой страны спрашиваете? Судя по всему, на китайских телефонах все данные идут "майорам" как минимум 3-х стран.
del
Чёт слишком много минусов залетает в карму за последние дни. Критиковать РКН и Макс походу тут не приветствуется.
А проверка VPN тоже считается «примесью»? А проверка всех установленных приложений? (про VPN в статье не сказано, хотя соответствующую проверку можно обнаружить в "one.me.chatscreen.ChatScreen" условно)
Реверсеры открыли для себя жизненный цикл андроида и методы проверки разрешений
Завтра напишут статью, что ос читает нажатия по экрану
Завтра напишут статью, что ос читает нажатия по экрану
Всё зависит от контекста. Например, накойхуй (китайск. зачем?) скринсейверу читать нажатия по экрану?
Чтобы прервать анимацию и выполнить корректный Dispose(), а не тот, что делает ведроид при убийстве Activity?
Чтобы распознать (тут еще и фронталка задействуется) случайное нажатие и разблокироваться только по похожему на прямой юзерский ввод набору тапов?
Чтобы распознать и отработать события интерактивных элементов самого скринсейвера без разблокировки?
Это только то, что пришло в голову в первую очередь.
это требование писать про нейрослоп что ли?
во всех статьях про макс есть эти однотипные комментарии
15 рублей сами себя не заработают )))
Под каждой статьёй про скаМ вижу два вида защищающих скаМ комментариев -- "это нейрослоп" и "нет дампов трафика" или "наличие кода не значит, что он используется". Поначалу было ещё "даже если так, честному человеку скрывать нечего", но, видимо, такие комментарии собирали слишком много минусов, так что сейчас их не используют.
Тот факт, что как минимум разработчики это умалчивают в своём Пользовательском соглашении / Защите данных. Да и проверки на VPN при подключении к звонку (есть в one.me.contactlist.ContactListWidget, one.me.chatscreen.ChatScreen) (message_censored_error), и в классе rmd присутствует message_censored_error
Еще раз, я ничего не утверждаю, просто этот нейрошлак уже надоел. Точка. Макс там может делать, что угодно, молодцы изучайте))
Да и проверки на VPN при подключении к звонку
Я работая в WeWork, делал приложение для конференций. Мы делали проверку на ВПН, прокси и прочее, чисто для защиты от абьюза нашего канала ботами. Сейчас например один из методов обхода блокировок - это использование канала звонков jetsy. Но кого это интересует да. Скорее всего ВПН проверяется, чтобы инопланетяне могли вас выкрасть!
Возможно, так и есть, но что смущает, что Макс должен быть аналогом ушедшим мессенджерам и "безопасным", но я что-то не припомню подобного в условном Телеграмме
но я что-то не припомню подобного в условном Телеграмме
Откуда информация, что он так не делает? Плашку "выключите впн" он не показывает, ну я по крайней мере не встречал. Разве, что было в США была часть функционала блокнута, когда у них там замуты были с ICO.
Но для себя, в качестве борьбы с антифродом он наверняка проверяет включен ли ВПН, это база, андроид же даже апишку для этого предоставляет.
Более того они с радостью сольют ваши данные по требованию (https://www.theverge.com/2024/9/23/24252276/telegram-disclose-user-data-legal-requests-criminal-activity) и это прописано в полиси
If Telegram receives a valid order from the relevant judicial authorities that confirms you're a suspect in a case involving criminal activities that violate the Telegram Terms of Service, we will perform a legal analysis of the request and may disclose your IP address and phone number to the relevant authorities.
Скорее всего ВПН проверяется, чтобы инопланетяне могли вас выкрасть!
Тем временем:
А кто ни будь делал подобное для приложения под iOS? Заодно может быть и станут понятны причины удаления приложения из стора Apple. Apple не особо жалуют всякое spyware, особенно в виде "маргинальных приложений".
Возможно, непопулярную вещь озвучу. С одной стороны, конечно, методы впаривания национального мессенджера населению это самое население не совсем одобрило. Но с другой стороны вот такие вот статьи регулярно всплывающие раз в месяц, тоже местами выглядят как чистая заказуха.
У китайцев есть поговорка: «Чем больше зубов у дракона будет вырвано, тем более беззубым он станет». Поэтому, как представитель населения, думаю, что в случае с Max мотивация автора уже не имеет значения)
Не похоже на китайцев, у них к драконам совсем другое отношение чем в Европе.
叶公好龙
У китайцев не те драконы. Европейские несокрушимые чудовища изрыгающие пламя, которые в христианской традиции с сатаной ассоциирует чаще. Есть и на гербах иногда, в толк положительном ключе как тут https://en.wikipedia.org/wiki/Welsh_Dragon
Традиционные китайские драконы это вроде такие летающие змеи, которые со стихией воды связаны.
К маху и к олигархии давшей маху более подходит "бумажный тигр".
Я уже тут писал - РКН и Максуд дали просто шикарные поводы всем немного не ленивым набить кармы, лойсов и статей на примитивщине. Вот и старается народ, как может. Тема хайповая, горячая уже приелась, но ещё тёплая. Это тебе не писать про тяжкое портирование Дума на Нео-Гео и сложности со вшитыми в приставку спрайтами (и тем более не про стрелялку на коболе, где нет либ для работы с пикселями и прямого вывода кадра на монитор) - тут запустил декомпилятор, благо java и сахарный не-java-а-котлин-в-jvm это позволяет, натравил нейросетку и продукт готов. Охват большой, большинству аудитории заходит срыв покровов...
Интересно, на самом деле, что вот по этому списку скам не дотягивает даже до средних-по-больнице приложений от яндыха, но хайп...
про неогео вообще отрыв башки кстати!
Ага. Одна из немногих статей в духе ещё того самого Хабра.
Хоть разбавляет собой нейрослоп про нейрослоп, алярмистские нейропереводы штатовских белок-истеричек, унылую кашу с кликбейтными заголовками, копроративную рекламу от дефективных унылых девочек-конь+тент-макеров, тонны политики, проплаченные анонсы хероты ради хероты, "как я пукаю и делаю сто гитлериардов денег в месяц на простом советском 'читать далее...>>' ", нечитабельные "делай хорошо, плохо не делай, вот ссылки на статистику, в которой говорится, что делать плохо - плохо"...
тоже местами выглядят как чистая заказуха
Моей фантазии не хватило.
Кому, по вашему мнению, было бы выгодно "заказать" [статью про] мессенджер MAX?
Зачем это вообще могло бы понадобиться?
Ладно б хоть был какой-нибудь конкурент, а-ля СуперМегаМессенджер, продвижению которого мешал бы MAX. Но такого вроде нету.
Вот интересно например RuStore, всякие китайские (Xaomi, Huawei и т.д.) сторы да и гуловый туда же, приложение vk, разные другие мессенджеры по вкусу, приложения торговых сетей и т.д. чем-нибудь принципиально отличаются?
Получается, что макс сделан на кодовой базе мессенджера ТамТам или использует его часть как библиотеки?
Ждем комментарии от особо одаренных в стиле:
1) А что, вам есть что скрывать?
2) А вот гугл тоже данные сливает!!111
Интересно, а автору копипастером для ИИ работать интересно ? Это предел его навыков? Ну нет сил этот нейроспам терпеть уже.
Работу по анализу проводил я, но со статьями работать не особо умею. Кроме того, я не скрываю тот факт, что статья была отредактирована ИИ для упрощения чтения
для упрощения чтения
Используй спойлеры для больших портянок, Люк автор!
Где анализ? Вот это вы "анализом" назвали?
> НАХОДКА 7: LoggerInitializer
> Читает meta-data из AndroidManifest
> SessionSenderUnexpectedException extends Exception
> Фальшивый ContentProvider (все методы пустые)
P.S. Кого вы обманываете. Вся статья - просто один большой нейрослоп отсталой LLMки
Вы проигнорировали факт обфускации имен ключей аналитики. Зачем прятать названия ключей в манифесте, если это «стандартная проверка»?
К тому же я не претендую на непогрешимость. Но вы пытаетесь меня упрекнуть словами: «Информация некорректная, автор не ответил ни на одну существенную претензию». При этом вы не задали ни одного конкретного технического вопроса. Ни одного.
Вы не сказали: «Вот в этом классе на самом деле происходит другое, и вот доказательство». Кроме одного удобного для вас случая, я привел читателям конкретные имена классов и пакетов. Любой желающий может открыть APK и убедиться лично
Потому что обфускация - это стандартные флаги компиляции... Просто ставишь в gradle.config minifyEnabled true и получаешь такой аутпут. Что это вообще доказывает? Это вы себе придумали, что код должен быть открытый и всем доступный.
Я 4 примера привел. Если вы не поняли суть - в тексте это обозначена как какая-то находка или проблема. Где здесь проблема? Вы вообще понимаете, что это стандартное системное поведение?
> НАХОДКА 7: LoggerInitializer
> Читает meta-data из AndroidManifest
> SessionSenderUnexpectedException extends Exception
> Фальшивый ContentProvider (все методы пустые)
P.S. Если вы считаете, что нельзя врубать флаги обфускации вы еще, может, скажите, что HTTPS нельзя использовать? Или еще что нужно всегда все исходники выкладывать?
P.P.S. Насчет обфускации перечитал кусок в статье. Ок, это не minifyEnabled флаг, что-то уровня DexGuard или аналогичного. Вывод не отменяет. Наличие обфускации - это абсолютно нормальный ход защиты от скрейпинга, который применяет вся индустрия в том или ином виде. Некоторые регуляторы даже ее требуют явным образом.
смешиваете два принципиально разных понятия - стандартную обфускацию кода (proguard/r8, переименование классов в p000.a) и целенаправленное шифрование строковых ключей в метаданных манифеста.
первое - это защита интеллектуальной собственности, и мы это не ставим в вину. второе - это уже скрытие от пользователя фактов, которые должны быть прозрачны.
зачем прятать ключи аналитики в androidmanifest.xml через обратимую обфускацию (z9e.h), если эти трекеры действительно используются для невинной «стандартной проверки»? почему бы не написать их открыто, как это делают тысячи других приложений?
ответ прост - потому что пользователи не должны знать, какие именно сервисы (которые, кстати, скрыты в gdpr, что вас почему-то не смутило) и с какими ключами активируются до старта приложения. вот в чем проблема.
тогда возникает еще один вопрос - почему придирка только к одному провайдеру? или у нас использование sdk возможно только «по книге» и никаких иных сценариев не существует?
Чего достигает ваше "супер шифрование строковых ключей в метаданных манифеста", какая конечная цель у этого невероятно опасного действия?
P.S. про какие сервисы речь?
P.P.S. покажите, что КОНКРЕТНО там в манифесте-то зашифровано. А то вы что-то про манифест написали, а сам манифест не показываете.
в манифесте нет обфусцированных ключей( (да немного ввел в заблуждение), потому что они не обязаны быть прямо в XML - они в коде DpsInitProvider. Сам провайдер присутствует в манифесте. вопрос о провайдере смотрим ru.p027ok.tracer.startup.InitializationProvider и смотрим на ключи meta-data. Видите вот это?ru.ok.tracer.startup.Initializer@ca60b3bb-9ba5-4307-8c3f-5218111e10c5ru.ok.tracer.startup.Initializer@b7b8ba75-c336-4dee-8e2a-64ef488e0218 . Сервисы - mytracker,apptracker условные
АГА! Мы выяснили, что в обфускация в коде DpsInitProvider (а не в Манифесте, в Манифесте уже все нормально, но в статье-то все еще про Манифест речь).
Эти провайдеры инициализируются по своим именам классов, вот вы мне их прямо и указали. Какая цель-то у всего этого? Я так понял, что вы говорите о том, чтобы спрятать SDK, которые инициализируются... Но они литералли плейнтекстом лежат. Плюс файлы классов SDK и типичные запросы очень хорошо видно при статическом/динамическом анализе.
смешиваете два принципиально разных понятия - стандартную обфускацию кода (proguard/r8, переименование классов в p000.a) и целенаправленное шифрование строковых ключей в метаданных манифеста.
Да, кстати, насчет этого. Я поправился в комментарии, погуглите, что такое DexGuard или подобные подходы.
Повторюсь, вы со своей обфускацией заладили, никак на мои 4 вопроса первоначальные не ответили.
Повторю их:
НАХОДКА 7: LoggerInitializer
Вы понимаете же, что это просто класс логгера, который во всех приложениях есть, потому что все приложения что-то логируют как правило? Если это не детский пет-проект, а любой мало-мальский энтерпрайз, которому нужно ошибки клиентов отлаживать?
Читает meta-data из AndroidManifest
Вы же понимаете, что любое приложение может читать свой Манифест и вообще-то автоматически его читает при запуске? Вы в курсе, как работает система Андроид?
SessionSenderUnexpectedException extends Exception
Это просто... класс кастомной ошибки. Или тут тоже злые шпионы поработали?
Фальшивый ContentProvider (все методы пустые)
Вы документацию по ContentProvider читали, примеры кода ининциализации видели? Что такое ООП и наследование/override знаете?
как же я мог ошибиться в интерпретации одного флага или названия!!!
Это не просто «класс логгера, который есть во всех приложениях». Это инициализатор из библиотеки app-startup, который автоматически запускает систему логирования до того, как пользователь выполнил хоть какое-то действие. сам по себе он не проблема. Проблема в том, что именно он начинает логировать и куда эти логи потом уходят. в связке с другими трекерами он есть частью инфраструктуры, которая собирает данные без явного уведомления пользователя.
и вопрос как минимум не упомянуто в гдпр странно да? где же прозрачность в "безопасном" мессенджере. но справедливости ради вы и за одного DpsInitProvider раздули драму вселенского масштаба
Ок, по логированию. Так что именно он начинает логировать? В вашей статье ничего этого нет. У вас просто указание на инициализатор класса. Поясните?
Где драма вселенского масштаба из-за DpsInitProvider с моей стороны? Это у вас драма "сливают" "шпионы" и т.д. Я вам просто указываю, что вы ничего не подтвердили и просто описали поведение почти любого приложения в системе Андроид.
Дампов траффика нет - значит, не было.
насчёт этого было сказано в конце статьи
В конце статьи у вас допущение "может быть активирована в любой момент", подталкивающее читателя к домыслам. А что, если не будет активирована? А позволит ли вообще система прав Android это сделать? Что конкретно произойдет? Какие именно чувствительные данные пользователя могут быть похищены? Трюк с неубиваемым процессом, аплоад телеметрии, логов, и вообще всего до чего можно дотянуться - подозреваю, что это делают примерно все.
Я не защищаю этот мессенджер, и даже им не пользуюсь, но хотелось бы более качественных материалов. Вот в статье про детекцию VPN было убедительно расписано, а здесь седьмая вода на киселе.
ну, смотрите, в том-то и дело, что это допущение, а не убеждённость я так думаю, всё равно макс найдёт лазейку в правах, а уж тем более, возможно, через с++, хотя его я пока не сильно изучал либки
про детект ВПНа я узнал чуть позже, когда статья уже была на модерации и отредактировать её не мог. я, конечно, не могу до конца это утверждать, но сам факт того, что архитектура позволяет ему делать некоторые вещи без ведома юзера (например, определять наличие VPN через vpnDetector.isActive() в экранах звонков, списка контактов и чатов, после чего показывать VpnConnectedWarningBottomSheet и блокировать дальнейшее действие или делать дампы), уже заставляет задуматься
макс найдёт лазейку в правах
Это серьезное заявление, бросающее тень на репутацию Android и всю корпорацию Гугл, учитывая какие деньги они тратят на безопасность, здесь определенно нужны доказательства.
Я уверен, что они вам заплатят в рамках багбаунти десятки и сотни тысяч долларов, если вы им раскроете, как макс эксплуатирует дырки в системе, если они есть.
определять наличие VPN через
vpnDetector.isActive
Я о другой статье
Ну, я поэтому и сказал «думаю». До нативных библиотек у меня пока руки не дошли, но, думаю, с появлением времени возьмусь за них или выберу другую тему но такая возможность тоже не исключена, так как там работают далеко не последние люди в этой области. кстати, спасибо за статью, ознакомился. различие в том, что там аргументы весомее за счет анализа трафика, но она как раз подтвердила, что vpnDetector.isActive не просто «костыль», унаследованный от какой-то библиотеки
Имхо, все веселее на уровне обычной логики:
1) наверняка разработчики и владельцы мессенджера Макс давно в курсе, что их детище рассматривают под микроскопом чуть ли не толпы разработчиков в режиме 24/7,
2) наверняка разработчики и владельцы мессенджера Макс давно в курсе, что в интернете их только ленивый не попытался разоблачить,
3) наверняка разоблачители мессенджера Макс давно в курсе, что в любом популярном мессенджере вся переписка и безо всякого спецфункционала летит на сервера и Макс в этом плане совсем не исключение.
Учитывая все вышесказанное, было бы крайне наивно ожидать какие-то шпионские функции в приложении, когда это принесет гарантированный скандал и отток пользователей. Тем удивительнее, что все еще находятся желающие разоблачить Макс на уровне кода.
С другой стороны, если подобных статей выйдет еще штук 100500, то со стороны Макса можно будет сделать публичное заявление мол, смотрите, все искали и не нашли!!! И это сработает в пользу Макса, а всё сделано будет руками разоблачителей же и благодаря им. Вот тоже любопытный нюанс, в чью пользу стараются такие разоблачители?
там, скорее, вопрос в том, в каком виде оно лежит, а не вопрос: "А лежит ли моё сообщение на сервере?" ибо оно сохраняется везде, кроме P2P-мессенджеров с E2EE. сомневаюсь, что, условно, ВК боится скандалов это гиганты с огромным административным ресурсом, а уж тем более им плевать, пока приложение предустановлено на миллионах устройств или навязано корпоративно
Учитывая все вышесказанное и то, что пользоваться МАХ принуждают через блокировки зарубежных платформ, перевода чатов бюджетников, а также навешивание на мессенджер функционала чуть ли не пропуска в жизнь, странно сомневаться, что массовый шпионаж - это что-то из разряда фантастики.
Учитывая все вышесказанное, было бы крайне наивно ожидать какие-то шпионские функции в приложении, когда это принесет гарантированный скандал и отток пользователей.
Доброе количество шпионских функций уже нашли и описали в этом и других анализах приложения. Среди них выполнение команд из центра управления и чрезмерный сбор телеметрии - отличительная черта трояна.
Дампы трафика уже показывали при выполнении приложением команд сервера по поиску VPN и отправку результатов в центр управления.
Фоновую прослушку голоса и видео будут включать, как обычно, по команде только тем кто "громче воды, выше травы", у обычных, разумеется просто пишется весь текстовой, аудио и видео контент по пакету Яровой и анализируется в автоматическом режиме на серверах, аналогично ВК-мессенджеру и сотовым сетям.
со стороны Макса можно будет сделать публичное заявление мол, смотрите, все искали и не нашли!!!
У вас провалы в памяти/логике, входных и/или выходных данных. Ну или +15 рублей или сколько там сейчас дают за обеляющий гос-дичь пост.
Лет 5 назад я была бы уверена, что так оно и работает. Что логика кого-то интересует
Сейчас я уверена, что люди, которые принимают решения, намного тупее, чем может показаться со стороны. Оглядитесь, что говорят и, главное, что делают. У кого-то осталось малейшее подозрение, что они умны?
Появилась идея. Появился макс. Его делали технари, но решение принимает какой-нибудь семидесятилетний дед (реально какой-то, я без намёка), а не они. Если он скажет "хочу слушать, что говорит пользователь", и таблетками вовремя не накормят, макс будет слушать, что говорит пользователь. Равно как с любым другим вопросом. Умные люди могут что-то делать, но умные люди не принимают решения
А зачем?
Вот, скажем, вы нашли у себя в офисе такую штуку:
Нужен тут протокол лаборатории о исследовании принципа работы этого девайса, или вы и так догадаетесь, что это "жучок", просто по факту того, что нормальному пилоту не нужна внутри коробочка с симкой?
Чтоб признать приложение скаМ шпионским, достаточно того, что в нём есть шпионский код. Как именно он работает, не имеет никакого значения.
нормальному пилоту не нужна внутри коробочка с симкой
Но ведь на фото коробочка БЕЗ симки! Да, коробочка есть, но симки-то нет!
Тыц
Это более полная аналогия. Да, коробочка есть и подключена. Но симки связи пока нет.
Вообще, я бы предположил, что кто-то пытался наколхозить умный дом, и отключение нагрузки смской. (Типа, ушёл на работу, забыл в сотый раз выключить что-то дома... Отправил смс и оно обесточилось).
Хотя поиск по картинкам ведёт на Амазон и другие сайты, на которых это нечто называется "GSM жучки".
Del
Вообще, я бы предположил, что кто-то пытался наколхозить умный дом, и отключение нагрузки смской. (Типа, ушёл на работу, забыл в сотый раз выключить что-то дома... Отправил смс и оно обесточилось).
Вот на этом невысказанном предположении и держится весь хрупкий механизм нашего молодого народовластия…(c)
Это совершенно точно жучок
Вообще, я бы предположил, что кто-то пытался наколхозить умный дом, и отключение нагрузки смской.
Осмотр девайса вживую показал бы, что коробочка не имеет входов/выходов для коммутации нагрузки, только микро-юсб вход для подключения внешнего питания.
Причем тут Apple? Китайский трекер с микрофоном, вроде местоположение приблизительное может по вышкам определять.
> Причем тут Apple?
Углы скруглённые, не видите?
:-)
А если серьезно - не придирайтесь к рекламе, лекция для колхозников. Нет никакого отношения этой поделки к эпплу, кроме яблока на логотипе.
Причем тут Apple?
«А для реальных пацанов Страдивари делал барабаны!» ©
просто по факту того, что нормальному пилоту не нужна внутри коробочка с симкой?
Вот я лично убежден, что мобильным приложениям не нужна телеметрия, но каждый второй мобильный разработчик со мной не согласится, заявляя, что это всё для моего же блага, и улучшения пользовательского опыта, а без телеметрии никак не можно поддерживать современное приложение. А есть и такие, которые не видят ничего плохого в том, что современная винда то же самое делает, и фейсбук, и вконтакте, и яндекс.
Поэтому нужно много популярных приложений препарировать, чтобы понять, был ли злой умысел разработчиков макса, или настали такие вот печальные реалии для приватности.
А может быть и такое, что просто импортировали SDK, который делала третья сторона, и в который напихали сбор всего что можно, на все случаи жизни, но по факту эти фичи не используются, или не работают на современном Androidе.
Я потому и говорю, что был бы дамп с переданными данными - были бы железные доказательства.
Я потому и говорю, что был бы дамп с переданными данными - были бы железные доказательства.
Повторю то, что уже говорил здесь несколько раз. В вопросах безопасности действует презумпция вины, а не невиновности. Опасным считается всё, для чего не доказано, что оно безопасное.
скаМ имеет в себе шпионский код, этого достаточно, чтобы считать его вредоносным ПО. Доказывать, что этот код реально вредит, нет никакой нужды -- это разрабы скаМа должны доказывать, что этот код не может вредить. Вот когда они опубликуют необфусцированные исходники, из которых собирается точно такой apk, какой загружается с апп-маркетов и из которого очевидно, что "сомнительные" функции невозможно активировать удалённо без разрешения (или хотя бы уведомления) пользователя -- тогда можно поговорить. Пока код не опубликован -- наличие в apk "сомнительных" функций является совершенно достаточным доказательством. Презумпция вины, ага.
современная винда то же самое делает, и фейсбук, и вконтакте, и яндекс.
Винда и фейсбук если что и сливают, то западным спецслужбам, которые не представляют никакой опасности для среднего россиянина. ВК и яндекс можно использовать через браузер, что снижает уровень угрозы от них до вполне приемлемого, если использовать их совместно с функцией браузера "приватное окно".
Поэтому нужно много популярных приложений препарировать, чтобы понять, был ли злой умысел разработчиков макса, или
Подмена тезиса. Мы тут не разработчиков скаМа судим (для чего нам действительно понадобилось бы доказать умысел), а решаем, является ли скаМ шпионским ПО (да, является) или нет (чего разрабы не доказали).
Ссылка на "много популярных приложений" тут неуместна. "Все так делают" -- не отмазка. В девяностых "все" воровали и выбивали долги, но те, кто попались, за это сели.
А может быть и такое, что просто импортировали SDK, который делала третья сторона, и в который напихали сбор всего что можно, на все случаи жизни,
Может. Но это не имеет никакого значения. Есть очевидно-вредоносный код, а доказательств, что он не используется, НЕТ.
но по факту эти фичи не используются, или не работают
Если у вас на огороде найдут сто кустов конопли -- у вас будут очень большие проблемы независимо от того, планировали вы ей торговать или нет, и даже от того, знали вы о ней или нет. )))
"Все так делают" -- не отмазка
Давайте, если мы устанавливаем какие-то правила - то их соблюдать должны все, и спрашивать будем одинаково со всех, потому что иначе это детский сад какой-то.
У вас свои понятия, кто должен ваши правила выполнять а кто нет, у другого человека свои, и этот спор никогда не кончится.
считать его вредоносным ПО
Я и спрашиваю, в чем конкретно заключается вредоносность, какие конкретно данные он может украть, если приложению лишние права не давать? Ответа тут не увидел.
Меня техническая сторона интересует, а не поорать "макс плохой". Я его себе не ставлю совершенно по другим причинам, здесь не упомянутым, но это мое личное дело.
Давайте, если мы устанавливаем какие-то правила - то их соблюдать должны все, и спрашивать будем одинаково со всех
Никто не заставляет вас пользоваться fb, vk или яндексом, а вот скаМ мне ПРИШЛОСЬ поставить, потому что государство запретило школьным училкам делать родительские чятики в других мессенджерах. Чувствуете разницу?
И да, не надо валить на других. "Все воруют, ну и я тоже" -- не отмазка ни разу.
Я и спрашиваю, в чем конкретно заключается вредоносность, какие конкретно данные он может украть, если приложению лишние права не давать?
99.999% пользователей не разбираются, какие права лишние, а какие нет. Приложение просит, они жмут "разрешить". Соответственно, заведомо вредоносным приложение является, если оно МОЖЕТ навредить при наличии всех разрешений, которые оно просит, а не только в случае, если оно способно навредить даже без этих разрешений.
Например, информация о GPS-позиции, конфигурации сети и списке других установленных приложений, мессенджеру абсолютно не нужна.
Например, информация о GPS-позиции, конфигурации сети и списке других установленных приложений, мессенджеру абсолютно не нужна.
Просто мессенджеру - нет, хотя там могут быть дополнительные фичи типа "покажи товарищей из чата про моноколеса, которые находятся сейчас рядом" - такая трансляция геопозиции в реальном времени есть в том же Телеграме.
Но у нас мах претендует на функцию госмессенджера, поэтому и остальные разрешения понятно, зачем нужны: от хорошего - защиты пользователя от троянов на устройстве (список приложений), до не очень - отслеживания эффективности блокировок РКН (конфигурация сети, зондирование доступа к запрещенным замедлившимся от деградации серверов ресурсам сети и тот же список приложений - отслеживание используемых платных VPN).
от хорошего - защиты пользователя от троянов на устройстве
Вы кавычки на "хорошего" забыли. Если я захочу защититься от троянов на устройстве -- я сделаю это самостоятельно. Мессенджер этим заниматься не должен, и приложение банка не должно, и никакое другое приложение, кроме того, которое я поставлю именно для этого. Любая деятельность любого приложения, отличная от тех функций, которые для него официально заявлены, недопустима.
Любая деятельность любого приложения, отличная от тех функций, которые для него официально заявлены, недопустима.
Ну вот Сбер вроде официально говорит, что "антивирус" в приложении Сбера для "безопасности". Банковское приложение, которое предназначено для управления финансами, контроллирует SMS, звонки и вообще весь телефон, включая root.
Ага. Но вас никто не заставляет пользоваться сбером. Лично я, когда обнаружил, что их приложение отказывается запускаться на рутованном телефоне, просто сходил в сбер, закрыл счета и написал им заявление об отзыве всех разрешений на обработку любых моих персданных. Сейчас у меня айфон и эта проблема для меня неактуальна, но я всё равно не вижу смысла пользоваться услугами этого банка.
Уже прошло какое-то время, и вроде говорят, что приложение таких разрешений не просит. Хотя лично я пользуюсь веб-версией.
Смысл пользоваться в том, что частенько на него "по дефолту" переводят, т.к. для очень многих "отправить деньги" эквивалентно "отправить на сбер", потому что "что значит - куда отправил?"
Банковское приложение, которое предназначено для управления финансами, контроллирует SMS, звонки и вообще весь телефон, включая root.
"Поэтому оно стоит на iPhone" :-Р Где оно не контролирует ни sms, ни звонки, ни геопозицию с контактами не знает.
iPhone это не решение проблемы, тем более, что к нему самому есть куча вопросов. Ваша ситуация это "установлю Макс на отдельный телефон, пусть хоть заследится там!".
тем более, что к нему самому есть куча вопросов.
Я, конечно, догадываюсь, что инфа на айфонах доступна американским спецслужбам -- ну и что мне с того? Где я, а где они? Я не интересен им, они не опасны мне.
А вот американцам тяжело жить, потому что нету на рынке российского телефона, в котором шпионят наши спецслужбы, но который недоступен американским спецслужбам -- типа как айфон-наоборот, в смысле.
инфа на айфонах доступна американским спецслужбам -- ну и что мне с того?
Американские спецслужбы заметно ближе, чем вы думаете. Да, напрямую они вас повязать не могут, но, как показала практика, они вполне могут использовать вас в тёмную как моба-разведчика (с Андроидом ситуация потенциально такая же, но всё же у его юзера больше возможностей противостоять этому лично), что актуально в настоящее время. Даже прямая вербовка не требуется. Вы и действительно думаете, что Apple строила свой mesh только для find my? Тот же Маск изначально заявлял что свой интернет строит для доступа в труднодоступных местах земли а что в итоге? Я надеюсь, вы читали новости (в том числе мировые от мировых таблоидов, если не верите местным)? Например, погуглите Pegasus в связке с Apple.
Да, напрямую они вас повязать не могут, но, как показала практика, они вполне могут использовать вас в тёмную как моба-разведчика
Не понял, о чём вы. Опишите реальный кейс?
Например, погуглите Pegasus в связке с Apple.
Погуглил. Вся инфа по теме скомпрометирована, т.к. основана на материалах очень мутной конторы Amnesty International.
инфа на айфонах доступна американским спецслужбам -- ну и что мне с того?
Вам, может, и — ничего, а вот мирному фермеру, сажающему орешник (ЕВПОЧЯ)....
Если я захочу защититься от троянов на устройстве -- я сделаю это самостоятельно.
Это не вы хотите, это разработчики приложения хотят. И Сбера, и маха. Потому как вы - можете определить, что стоит ставить на телефон, а что - нет, а тетя Оля поставит приложение, которое ей в чатике скинут, чтобы "проголосовать за дочку знакомых". Поставит, несмотря на то, что система будет упираться...
Т.е. к максу особые требования, только потому что государство заставляет его ставить? А если использовать приложение никто не принуждает, то вам все равно, что оно делает? Странная позиция. Как будто вы свое недовольство принуждением переносите в другую, разрешенную плоскость, критикуя код мессенджера.
Приложение просит, они жмут "разрешить"
Если пользователь раздает права приложениям направо и налево, значит он не считает свои данные ценностью, значит это не воровство, и ущерб не нанесен.
Вот если пользователь сознательно не хочет раскрывать данные, а софт утаскивает - это однозначно вредонос.
Если пользователь раздает права приложениям направо и налево, значит он не считает свои данные ценностью
"Если пользователь не запирает свою квартиру, значит, он не считает свои вещи ценностью" - это порочная логика.
Брать чужое нельзя, даже если кто-то бумажник на лавочке забыл.
Данные нельзя собирать все подряд, пользуясь тем, что пользователь "просто нажал разрешить". Тем более, что разрешая телефону слушать микрофон во время разговора, предполагаю, что большинство пользователей не ожидают, что телефон будет продолжать слушать и после его завершения.
Брать чужое нельзя
Касательно имущества, право собственности давно устоялось. Большинство людей хорошо разделяют, где их квартира и бумажник, а где чужие.
А вот касательно данных, единого мнения нет. У вас такое мнение, а другим все равно, что их слушают. Кто-то против, чтобы его слушал только Макс, а вот Цукербергу можно. Чтобы всем угодить, и сделана гибкая система прав. Пользователь может посмотреть, какие данные запрашивает приложение, и решить, устраивает это его, или нет.
Лично мне в таком механизме не хватает фичи, что когда разрешение приложению не предоставлено, приложение получает фейковые данные, и не может определить, есть у него разрешение, или нет.
Данные нельзя собирать все подряд, пользуясь тем, что пользователь "просто нажал разрешить"
Как вы себе представляете контроль выполнения этого требования? Вот Гугл сделал настройку прав в Андроид, но пользователь не хочет этим заниматься, он самоустранился - тогда кто за него должен это делать? Гуглу каждое приложение в сторе с лупой рассматривать? Это невозможно, даже у него нет столько ресурсов.
тогда кто за него должен это делать? Гуглу каждое приложение в сторе с лупой рассматривать? Это невозможно
Можно не рассматривать каждое.
Просто сделать карты ролей. Скажем, для приложения разработчиком заявлена роль: мессенджер. Смотрим карту: для мессенджера нормально иметь такие-то разрешения, это ок; такие-то разрешения сомнительны (выводим на страничке приложения алерт: "приложение заявлено как мессенджер, но требует разрешений, нетипичных для мессенджеров: вот тут (сцылко) производитель написал, зачем. Хорошо подумайте, действительно ли вам это надо". Ну и список разрешений, которых у мессенджера точно не может быть: доступ к списку приложений в телефоне, доступ к файловой системе, доступ к микрофону и камере на заблокированном устройстве, доступ к gps без прямого диалога с юзером, доступ к информации о конфигурации сети, доступ к звонкам и смс и т.д. Если что-то из красного списка есть -- автоматом в бан. Если от пользователей есть жалобы, что приложение не соответствует заявленной роли (скажем, приложение рекламируется как мессенджер, но на маркет выложено как "системное приложение", чтоб пройти по другой карте, с более широкими правами) -- опять бан.
Не сработает это, нельзя впихнуть все варианты в ограниченный набор ролей. Одному мессенджеру нужна геолокация (например это дейтинг), другому нужен доступ к файлам, чтобы принимать их и отправлять (тоже нормально), третьему прямой доступ к WiFi (mesh сеть например), а четвертый вообще и мессенджер, и соцсеть, и магазин, и криптокошелек, и еще что-нибудь, и для этого нужна куча прав.
Тут только точечная настройка пермишенов самим юзером решит проблему.
Одному мессенджеру нужна геолокация (например это дейтинг)
Тут надо систему переделывать. Дейтингу не нужна точная геолокация. Сделать в системе API запроса геопозиции через диалоговое окно, где пользователь может выбрать, насколько точная инфа передаётся приложению. Для доставки пиццы или заказа такси, конечно, нужно указать максимально точное местоположение (с уточнением: местоположение передаётся приложению, только когда пользователь нажимает "ок", а не отслеживается в фоне), а вот для дейтинга в большинстве случаев достаточно информации о городе или районе крупного города.
другому нужен доступ к файлам, чтобы принимать их и отправлять
Для этого не нужен доступ к файлАМ. Сделать в системе диалоговое окно "выбор файла", возвращающее приложению не его имя, как WinAPIшное окошко, а что-то типа дескриптора для его чтения -- то есть, приложение не может само открыть какой захочет файл вне своего изолята, а только тот, на который ему явно указал пользователь. Ну и оставить приложению возможность создать в своём изоляте симлинки на внешние файлы -- типа, я один раз выбрал мемасик из своей галлереи для отправки в чят, мессенджер сохранил симлик и в другой раз я могу этот мемасик посылать, не выбирая его через системный диалог.
третьему прямой доступ к WiFi (mesh сеть например)
Жёлтый флаг. "Это приложение хочет иметь прямой доступ к WiFi, хорошо подумайте, прежде чем разрешать ему это".
а четвертый вообще и мессенджер, и соцсеть, и магазин, и криптокошелек, и еще что-нибудь, и для этого нужна куча прав.
Яндекс этой фигнёй задолбал, а задолго до него -- Nero -- в который накрутили столько лишнего, что он просто рухнул под этой тяжестью. Просто запретить такие комбайны. Хочешь прикрутить к своему магазину мессенджер -- а нельзя. Можно использовать стандартный API связи с мессенджером, через который пользователь может пользоваться совместно с твоим магазином любым мессенджером, какой у него есть. С баном приложения магазина за попытку схитрить и не обслуживать чужие мессенджеры, чтобы навязать свой.
Не знаю, как в ведроиде, а в айфоне примерно так и есть. Если я нажму в любом приложении "поделиться" -- откроется системное диалоговое окно, где я могу выбрать, в какое приложение передать информацию, которой "делится" то, где я нажал кнопку.
Для заказа такси ... точное местоположение ... не отслеживается в фоне
Мммм... вы никогда не шли на встречу такси, которое приедет "через 15-30 минут после высадки других пассажиров" ?
Когда ещё существовало Яндекс.Такси - там была как раз опция постоянной трансляции водиле моего положения
В то время, когда я много ездил на такси, его вызывали по телефону, а таксисту о заказе сообщали по рации, так что если я и шёл навстречу (в данном случае пишется слитно, т.к. это причастие) такси, то только по принципу выхода на асфальт (городок маленький, внутренние дороги в районах ИЖС в основном грунтовые, и съезд с асфальта заметно повышал цену поездки, так что люди обычно заказывали такси не к дому, а на ближайший угол с асфальтом). 30 минут? Пока у меня здоровье было, я за 50 минут мог весь город из конца в конец пройти, так что 30 минут я бы такси ждать не стал.
Вот Гугл сделал настройку прав в Андроид, но пользователь не хочет этим заниматься, он самоустранился - тогда кто за него должен это делать
Насколько помню, и на мой субъективный взгляд, конечно, со временем управление правами в Гугле улучшилось - например, раньше не было системы автоотзыва разрешений со временем у неиспользуемых приложений, или запрет получения разрешений приложением "пачкой".
Ну и, возможно, ИИшка может приложения анализировать, почему бы и нет? Хотя тут предвижу ад на текущем уровне технической реализации.
Что касается ценности личных данных - я придерживаюсь мнения, что когда-то в будущем, в более открытом мире, этой проблемы не будет. Например, разглашение номера моей банковской карты не представляет опасности, если этим номером могу воспользоваться только лично я.
Насколько помню, и на мой субъективный взгляд, конечно, со временем управление правами в Гугле улучшилось
Согласен, гибкость и количество настроек увеличилось. Еще бы сделали возможность прозрачной передачи приложениям фейковых данных, как я выше описал, и вообще было бы идеально.
разглашение номера моей банковской карты не представляет опасности
Мне кажется, это уже сейчас так. Онлайн оплата картой практически всегда требуют CVV и второго фактора (код из SMS или пуша). Тысячи блоггеров в интернете публикуют номера карт для донатов, проблем никаких.
В случае с скамом и его заявленной важной государственной ролью - требования - другие, намного более жесткие.
Нормально сделать - внезапно можно, полистайте те же карточки приложений в F-Droid обращая внимания на то что там считается anti-features(=поставить можно но не советуем)
Ну теоретически - мне вот встречались такие пилоты c WiFi-модулями (для вполне легитимных целей - отсылка данных о потреблении на сервер производителя и управление питанием. В карточке товара в магазине это прямо заявлено). У себя я не использую но только потому что мне удобнее "вставки" в розетку с тем же фунционалом + тупые пилоты. Модель с SIM...ну теоретически наверно имеет смысл (правда не в современных российских условиях).
То есть если в коде будет троян-шифровальщик, но активируется он по команде с CNC сервера и лично у вас еще не сработал, значит не было?
Включу пожалуй душнила-мод. Но "траФик" пишется с одной Ф. Когда же вы научитесь это писать. Хотя это выдаёт вас, что вы далеки от IT-сферы.
Не совсем так. Слово "траф(ф)ик" -- заимствованное, и на данный момент является неологизмом без устоявшейся формы, правильно и "трафик" (форма, заимствованная через устную речь и оптимизированная под русское произношение), и "траффик" (точное заимствование через письменность).
Для людей, которым это слово более привычно через устную речь или через тексты на русском, где используется более распространённая форма с одной "ф", привычна версия "трафик". Для тех, кому это слово больше знакомо через тексты на английском, привычно написание с двумя "ф", как там, да и произносят эти люди его обычно с ударением на "фь", а не на "а" (да-да, в школе вам врали: в русском языке ударение может ставиться не только на гласные, но и на некоторые согласные).
Для сравнения: слово "параШЮт" ни один русскоговорящий человек произнести не может. У нас неизбежно получается либо параШУт, либо параЩЮт. Однако, слово заимствовано из французского языка через письменность именно в форме с "шю" -- поэтому мы его до сих пор пишем не так, как произносим.
Как вы в вашей "IT-сфере" пишете слова "суффикс", "оффер", "аффилированный" - тоже с одной "ф"?
А если RuStore запретить разрешение на GPS, то он будет настойчиво просить снова?
Автор не утверждает, что обнаруженные возможности активно используются против пользователей. Автор констатирует, что техническая инфраструктура для их реализации присутствует в коде и может быть активирована в любой момент.
Не автор утверждает, а LLM. Очередной «нейрослоп» на хабре. Горшочек, не вари...
я отвечал на подобное - https://habr.com/ru/articles/1047490/comments/#comment_30112642
Ну, может потратить чуть больше времени, сил и сделать хорошо? Примеров хороших статей — вагон и маленькая тележка. Вы просто взяли результат своей работы и сделали его, по моему мнению, нечитаемым и невоспринимаемым.
статья могла бы быть написана лучше согласен, я не профессиональный автор(ибо это 1 статья на такие темы). Но для меня важнее, чтобы она точной и проверяемой и более читаемой. ИИ редактировал текст, я этого не скрываю. и чем "нечитаема"?
Не понимаю, почему вы называете «статьей» нейрослоп, который выдала нейронка. Здесь нет ни одного нормального предлодения. Кроме стандартного текста дисклеймера, который вы также попоросили сгенерить нейронку из страха, что вас гипотетически накажут за эту статью.
никакхи признаков статьи не вижу — о чем, для чего, завязка, выводы. «Что доказывает» — а вы оказывается что то хотели доказать? А что? И что доказывает что разрабочтки по 7 раз на дню проверяют разрешения, например. Какой вывод должен сделать читатель? «Вот и думайте»?
вы даже не удосужились под спойлер заказтать куски кода — зачем нам оэто в статье без спойлера?
извините, вы просто скопипастили то, что выдала нейронка, не удосужились причесать это нормально, в виде статьи, даже поленились промт в нейронку написать. Считаю, проявили полное неуважение к читателям. Высосали из пальца «статью» просто скормив результаты декомпиляции. И прикрыв это все «я не автор, потому заюзал ии» ну раз не автор, так и не писали бы! С экономили бы нам кучу времени.
Зато желтый заголовок написать догадались. Вот только доказательной базы «аудита» никакой что-то не увидел. Что доказывали то хоть?
не совсем понял вывод «раз не автор, так и не писали бы». Это была моя первая статья на такую тему, и я этого не скрывал ИИ и не пытался выдать себя за профессионального публициста, и это первая статья а уж тем более на Хабре. я принимаю материал можно было лучше структурировать, спрятать большие листинги под спойлеры и четче сформулировать выводы
Зато автор честно признался, что писать не умеет. Ии хотя бы запятые расставил, на том спасибо
и чем "нечитаема"
Тем, что написана LLM. Вы же можете, например, отличить иллюстрацию, нарисованную человеком, от иллюстрации, которую «нарисовала» нейросеть? И дать оценку? Лично я оцениваю «нейрослоп» как «кг/ам», потому что в «нейрослопе» не видно работы человека. Зачем тратить своё время на то, на что времени не затрачено? Оно ценности не имеет.
И «отредактированный ИИ текст» — это значит «написанный ИИ текст», и пока вы не предоставите исходный материал, (ну, или «промпт»), то своё авторство вы никак не докажете.
я не профессиональный автор
И в этом нет ничего ужасного — все начинали понемногу с чего‑нибудь и как‑нибудь. Но вы, почему‑то, решили не учиться, а жертвовать своей субъектностью.
Больше всего в этом шпионском модуле пугает использование EventBus. Легаси такое древнее, что майорам должно быть стыдно это поддерживать...
Неубиваемый процесс в фоне делает вообще любая приложуха, которая хочет нормально пуши доставлять. Обычная борьба с китайскими прошивками, которые убивают все живое ради батареи
Я думал, пуши для того и делают, чтобы приложение не висело в фоне?
Тем более в Android по-моему с 15 вообще сильно ограничили длительность фоновой активности, вспомнить про Syncthing.
В теории - да, у нас есть событие, которое обрабатывает пуш от FCM/яббла, будит приложение, передаёт ему сообщение, приложение его обрабатывает и кидает уведомление пользователю.
На практике - ну есть у нас событие, есть негарантированная доставка пушей в сети, где пакеты с ними теряются, не доходят, в прошивках может быть поломан или, кгм модифицирован код приёма и парса пушей, сервера пушей их не дублируют в святой уверенности, что все дошло, иные приложения просто особенные (как ребенок с аутизмом) и в стандартный механизм пушей не умеют или он им не подходит, скажем, по размеру сообщения...поэтому поллинг сервера по net.xxx.STATE_CHANGE это не блажь, а вполне рабочий способ поддержание ux на уровне
Это стандартные практики, этим не только Max грешит. Да, службы могут без судебного решения получить доступ к той информации, которая им интересна - кто, с кем, откуда и когда общался. Даже не важно о чём. Хотя, может быть даже и о чём - Max никогда не позиционировался как мессенджер с E2E шифрованием.
В чем смысл делать 15 по счету статью про макс ? сделайте про что то другое
“Опять эта проклятая неопределённость” (с)анекдот
А как вот это объяснить?
Шпиониро-голубиро:)
Фальшивый ContentProvider (все методы пустые)
Пацаны, у нас тут новые определения в ООП подъехали - не наследование, а фальсификация ☝️
Запускается ДО Application.onCreate()
Поздравляю, вы на 10% приблизились к ответу на собеседовании на вопрос "назовите основные компоненты Android-приложения". Да, удивительно, но так это работает - ContentProvider запускается раньше всех.
Читает meta-data из AndroidManifest
Вот уж преступление. То что вы можете прочитать данные из манифеста любого приложения, просто открыв его в блокнотике превращает вас автоматически в кул-хацкер-шпиона, я так полагаю?
Если без сарказма - с большой долей вероятности, этот контент провайдер проверяет, что приложение оригинальное, а не его ломаная версия
// МАСКИРОВКА ПОД ОБЫЧНОЕ УВЕДОМЛЕНИЕ
Маскировка 😂 Расскажите-ка, пожалуйста, как можно на андроиде осуществлять фоновую загрузку/скачивание без foreground уведомления?
SessionSenderUnexpectedExceptionextendsException
Вот это всем находкам находка - кастомное исключение придумали, да как они посмели!
Это даже не нейрослоп, это нейрохрючиво - не думала, что нейронки настолько плохи. Или это был специальный промт? "Подтяни эти непонятные для меня сочетания символов к версии о приложении-шпионе. Используй самые невероятные и нелепые доводы"?
Блоки кода лучше наверное под спойлер прятать, и блоки "Доказывает" не всегда понятны.
4. GZIP-сжатие по умолчанию ВКЛЮЧЕНО
Нам точно конец, они включили GZIP!!!111
Боты облепили пост
Может написать скрипт, который будет пересобрать эту дребедень и выковыривать аналитику и прочую лажу в автоматическом режиме без танцев с бубном)))
Меня больше всего огорчает, что подобный ламерский нейрослоп дискредитирует всю исследовательскую базу. Давайте не будем лезть туда куда не умеем и оставим подобные аудиты людям, которые действительно в этом разбираются?
сер, насколько мы обсосали тему слежки в макс ?
- недостаточно
Знаете, что меня в этом всём самое странное?
Не то, что кто-то пытается следить. Это норма наших дней, нас всех парсят со всех сторон.
Не то, что проверяют «А-а-а-а! Страшный, великий и могучий госмессенджер» и именно вокруг него такой ажиотаж. А ведь приложения не менее государственных Сбера, ВК и ГосУслуг. И это я не говорю про иностранцев.
Меня больше всего впечатляет, какую гору информации ведро отдаёт рандомным прогам! Знаете, если любая игрушка, прога рандомного магазина или скачанный тест для подготовки к экзамену по ПДД могут получить столько всего и нуждаются в таком же уровне аудита… то может вообще от телефона отказаться?
Было бы очень интересно, если бы кто-то сделал такой же разбор Max под Linux. Он там в обязательном порядке требует root-а (sudo) и разлогинивает пользователя при каждой перезагрузке системы.
Замечательный анализ! Спасибо!
Наглость современных разработчиков мессенджеров (в других старнах - такая же фигня творится), выдающих системы тотальной слежки за фичи “для вашего же блага”, зашкаливает.
В 2013-м году, выступая с трибуны перед Council on Foreign Relashions (сам факт существования этой организации много лет считался “сумасшедшей теорией заговора”), Хилари Клинтон сказала: “Мы проигрываем информационную войну!” Твари учли уроки прошлого и по всему миру стремительно откaзываются от принципов, на которых когда-то был основан свободный Интернет. … и всё равно продолжают проигрывать информационную войну с человечеством по всему миру. :-)
Полная доказательная база аудита мессенджера MAX