Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 143
У них закрыты сорцы, поэтому утверждать что там всё чики-пуки довольно опрометчиво. Вот wire прошел аудит, а тут просто «новость»
Абсолютно согласен! Любая система шифрования не может считаться безопасной до тех пор, пока ее исходный код не будет открыт.
Ждем открытие исходного кода клиента, в случае настоящего end-to-end шифрования, этого будет достаточно…
Ждем открытие исходного кода клиента, в случае настоящего end-to-end шифрования, этого будет достаточно…
Предлагаю зайти еще дальше — никакая система не может считаться безопасной, пока вы лично не проведете её аудит.
Открытый код сам по себе ничего не дает, если его не читать. И паранойя из серии «кто-то провел аудит закрытого кода но вдруг они врут?» ничем не отличается от «кто-то провел аудит открытого кода но вдруг они врут?». Открытие кода больших проектов с точки зрения безопасности очень переоценено — кроме разработчиков их практически никто не читает.
Открытый код сам по себе ничего не дает, если его не читать. И паранойя из серии «кто-то провел аудит закрытого кода но вдруг они врут?» ничем не отличается от «кто-то провел аудит открытого кода но вдруг они врут?». Открытие кода больших проектов с точки зрения безопасности очень переоценено — кроме разработчиков их практически никто не читает.
О переоценке ситуации я с вами соглашусь, однако главное отличие открытых исходников от закрытых в том, что «Нельзя просто так взять и провести аудит закрытого исходного кода».
Посмотрите, к примеру, блог компании PVS-Studio на Хабре: они уже провели кучу проверок таких продуктов как Linux, FreeBSD, Virtualbox и др. Но вот подобных статей о проверках продуктов с закрытым исходным кодом, я не встречал…
Посмотрите, к примеру, блог компании PVS-Studio на Хабре: они уже провели кучу проверок таких продуктов как Linux, FreeBSD, Virtualbox и др. Но вот подобных статей о проверках продуктов с закрытым исходным кодом, я не встречал…
PVS-Studio — это неплохой анализатор кода, но более-менее нормальную закладку или ошибку в реализации алгоритма он не найдёт. У PVS цели другие.
И что в принципе для криптографии может показать аудит от PVS Studio? Неоптимальный код, конечно, не есть хорошо. Но речь о проблемах безопасности.
Чутье подсказывает, что ситуация «платим кучу денег крутому аудитору, чтобы пользователи нам верили» встречается чаще, чем «крутой аудитор тратит свое дорогущее время, чтобы спасти пользователей от бекдоров».
Предлагаю зайти ещё дальше — никакая система не может считаться безопасной когда бы то ни было.
Только «временно не имеющей найденных дыр».
При этом closed source дополнительно «без возможности обнаружить пользователями дыры прозрачным, легальным путём и своевременно».
Только «временно не имеющей найденных дыр».
При этом closed source дополнительно «без возможности обнаружить пользователями дыры прозрачным, легальным путём и своевременно».
Вы правы, действительно исходники будут читать только заинтересованные. Но согласитесь, в данной ситуации продукт с открытым исходным кодом смотрится более выигрышно.
Есть еще способы замотивировать людей провести аудит кода. Как например сделал Telegram, устроив конкурс на расшифровку с большим призовым фондом. Все это лично у меня вызывает больше доверия чем продукт с закрытым кодом декларирующий свою безопасность.
Есть еще способы замотивировать людей провести аудит кода. Как например сделал Telegram, устроив конкурс на расшифровку с большим призовым фондом. Все это лично у меня вызывает больше доверия чем продукт с закрытым кодом декларирующий свою безопасность.
У опенсорса, если отложить в сторону идеологию, есть как плюсы так минусы. Например, законтрибьютить может любой, что обычно подается как плюс. Кто угодно может вставить бекдор в вашу криптобиблиотеку. Шикарный плюс.
Опять таки, отлавливать месяцами редкий, но критичный баг, когда тебе за это не платят — мао кто на такое пойдет. QA в проекте, который я пилю вечерами? Да нафиг надо, это скучно. И т.д.
Потому имхо, оптимальная форма разработки — это корпоративный опенсорс, когда есть люди, получающие деньги за разработку, поддержку, качество сторонних коммитов и т.д., но при этом почитать/пулл-реквестнуть/собрать можно самостоятельно. Пусть даже не по открытой лицензии. Короче, что-то типа UE.
Опять таки, отлавливать месяцами редкий, но критичный баг, когда тебе за это не платят — мао кто на такое пойдет. QA в проекте, который я пилю вечерами? Да нафиг надо, это скучно. И т.д.
Потому имхо, оптимальная форма разработки — это корпоративный опенсорс, когда есть люди, получающие деньги за разработку, поддержку, качество сторонних коммитов и т.д., но при этом почитать/пулл-реквестнуть/собрать можно самостоятельно. Пусть даже не по открытой лицензии. Короче, что-то типа UE.
Даже если это так, где гарантии что вы исполюзуете бинарник собраный из этих исходников? Где гарантии что в компиляторе не было бэкдора? И тд.
Соберите из исходников сами. Дизассемблируйте да посмотрите, наконец. Либо количество приложений с бэкдорами, искусно скрывающими правду, должно быть очень большим, либо это приступ паранойи, и решать эту проблему надо другими методами.
К сожалению, сомнения относительно бэкдора в компиляторе действительно оправданны. Достаточно вспомнить нашумевшую историю с вирусом поражающим Delphi:
www.gunsmoker.ru/2009/08/viruswin32induca.html
habrahabr.ru/company/eset/blog/67692
habrahabr.ru/post/136841
Вирус не замечали достаточно длительное время, и множество программ было заражено. Возможно и сейчас существуют вирусы/бэкдоры, подобные этому, и так же возможно, что о них никто не знает…
www.gunsmoker.ru/2009/08/viruswin32induca.html
habrahabr.ru/company/eset/blog/67692
habrahabr.ru/post/136841
Вирус не замечали достаточно длительное время, и множество программ было заражено. Возможно и сейчас существуют вирусы/бэкдоры, подобные этому, и так же возможно, что о них никто не знает…
Там для шифрования используется axolotl. Но вот как генерируются ключи — известно только разработчикам.
Действительно, что мешает клиенту скрытно отправить закрытый ключ на сервер WhatsApp?
Последние терракты показывают, что террористы используют обычные сотовые телефоны и СМС. И тем не менее как то спецслужбам это мало помогает. Может спецслужбам пересмотреть свои методы борьбы с террористами.
Запретить «обычные сотовые телефоны и СМС»?
Стоит начать с наличных денег — они чаще всего используются для покупки оружия, наркотиков и взрывчатых веществ.
Да скорей бы их запретили — не вижу никакого смысла в наличке, всюду стараюсь платить картами, но не везде их принимают, к сожалению.
А на покупку оружия и наркотиков запрет наличности не повлияет, разве что цены чуть вырастут, если покупка нелегальная.
А на покупку оружия и наркотиков запрет наличности не повлияет, разве что цены чуть вырастут, если покупка нелегальная.
Ага, привет из противоположного лагеря олдфагов-параноиков, использующих карты практически только для того, чтобы снять наличку в банкомате и пользоваться уже ей.
У тру-олдфагов-параноиков не может быть карт, так как обналичка — это транзакция и она отслеживается через банки. Только кэш (или его эквиваленты).
На самом деле государства потихоньку идут по этому пути, например, практически прямо запрещая сделки с суммами выше определенной границы при помощи наличных — все должно идти через банк — хотя казалось бы декларируется что налиные деньги это законное средство платежа и может быть использовано при оплате и прочее бла-бла. Но с другой стороны полностью циркуляцию наличных они гникак не запретят, и потому даже такое в общем обходится, например в документах занижается сумма сделки и часть, которая легализуется платят через банк, а остальное наличностью. То есть государство хочет иметь максимальный контроль за движением всех средства граждан, а наличность фактически не дает им реализовать такие схемы. Отсюда же кстати, растут и ноги у ограничения хождения/запрета криптовалют или там желанием государства чтобы граждане декларировали все свои электронные счета, при помощи которых даже теоретически может быть получен доход — это у нас недавно хотели принять, но после того как народ начал спрашивать, а надо ли во всяких онлайн игрушках счета декларировать или как быть если когда то сделал например пэйпэловский акк, а потом забыл про него? При этом за недекларацию, даже если дохода там не было полагались солидные штрафные санкции от 500 до 1500 евро кажется.
Ну как бы это нужно перетряхивать вообще всю финансовую систему. И не факт что это поулчится, скорее всего возникнет некий суррогат наличности все равно, при этом с большой долей верлоятности он будет даже не в серой, а черной зоне. Расцветет тот же бартер, или люди просто станут между собой рассчитываться в наличной валюте соседней страны, где она не будет отменена. То есть по факту будут расчеты по черному в неких у.е. которые не будут проводиться официально.
Плюс это очень сильный удар по всяким мелким предпринимателям. Плюс отсутствие резервных путей если «что-то пошло не так» типа например нет связи или еще что. Наличные деньги в определенных случаях много удобней чем безналичный расчет. На самом деле очень многие мелкие точки сейчас устанавливают нижний лимит на сумму покупки до которого оплату карточкой не принимают. Раньше, кстати, такого не было — либо изменились условия, либо же стали лучше считать приход/расход и выяснилось что до определенных сумм комиссия больше чем доход от такой транзакции.
Плюс это очень сильный удар по всяким мелким предпринимателям. Плюс отсутствие резервных путей если «что-то пошло не так» типа например нет связи или еще что. Наличные деньги в определенных случаях много удобней чем безналичный расчет. На самом деле очень многие мелкие точки сейчас устанавливают нижний лимит на сумму покупки до которого оплату карточкой не принимают. Раньше, кстати, такого не было — либо изменились условия, либо же стали лучше считать приход/расход и выяснилось что до определенных сумм комиссия больше чем доход от такой транзакции.
Когда мобильный платежный терминал доступен менее чем за €100?Только вот за транзакцию по карточке берется процент (сколько-то там от сделки но не менее чем). Именно поэтому многие и устанавливают нижний лимит оплаты карточкой.
все переводили ему деньги через клиент-банкТоже не бесплатная вещь — особенно межбанк, да даже внутри «своего» банка переводы бесплатны между своими счетами чаще всего, а если кому-то еще в том же банке то уже платно. Плюс она зачастую не «мнгновенна» Я активно пользуюсь интернет банкингом, но тем не менее, в ряде случаев намного удобней оперировать наличными.
Для «нет связи» — оффлайновые транзакции и такая редчайшая сегодня вещь как эмбоссер.Только тут вероятность мошенничества растет многократно, с современными технологиями. Наличные деньги все же сложнее подделать, чем эмбоссированую пластиковую карту. Не зря же сейчас стараются перейти на он-лайн авторизацию.
Для мелких транзакций есть бесконтактная оплата и и электронные кошельки.
Я не уверен, что это так уж удобно в результате. Этих кошельков и систем есть целый зоопарк, кто-то принимает одни, кто-то другие и так далее. Наличные деньги же универсальны — их принимают все, без всяких оговорок (до последнего времени)
Ну и опять же, наличие системы оборота наличных денег позволяет гражданам быть в общем, как минимум, частично свободными от влияния коммерческих банков. Сейчас если банки начинаю применять отрицательный процент всегда есть возможность пойти и просто забрать свою наличность и пользоваться ей, в случае с отменой наличного оборота такой возможности не будет. Перейти в другой банк? Так они как правило вырабатывают общую политику, и условия отличаются незначительно.
В России да, переводы часто не бесплатны, но вот в Европе, например, переводы внутри SEPA на одинаковых условиях.
В том то и дело, что я тоже внутри ЕС живу :). И как бы в курсе что переводы не бесплатны, в общем и целом. Фокус в том, что розничный рынок для банков зачастую если не убыточен то бесприбылен, отчасти как раз потому, что многие предпочитают наличность. Например Danske Bank у нас уходит с розничного рынка, именно по причине озвученой подобным образом. А вот если закрутить гайки с наличностью, то можно и тарифы поднять, выводя эту деятельность в доходные, деваться то уже особо некуда будет, на наличность не соскочить.
Банки берут плату за инкуассацию, розниуа включает их в наценку. «Бесплатных обедов не бывает».
И про это я знаю тоже. Но тем не менее, собственно банки и продавливают через плату за инкассацию, повышение комиссии за операции с наличными и так далее и стремятся уменьшить оборот наличных. То есть эти факторы не оказывали долгое время существенного влияния, они существовали условно говоря всегда, но резко начали оказывать как только возникло желание ограничить наличный оборот.
А так уж и не помню, когда в последний раз наличкой платил…
Ну так тоже бывает, но далеко не все любят электронные деньги. Я тоже чаще плачу карточкой, но наличность вещь полезная. Например в автобусе карточкой не особо за билет расплатишься если вдруг ехать нужно, а киоска под боком нет. Те самые копеечные транзакции или суммы. Плюс карточки имеют свойство выходить из строя, не читаться, то есть в кошельке нужно иметь не одну, по хорошему, даеще разных банков лучше (хотя я с одной живу), а это опять дополнительные расходы. Плюс если налички не будет, то у банков не будет ограничителя на повышение цен за свои услуги, то есть не будет бесплатных карточек без платы за обслуживание и прочих плюшек, ибо зачем, если человек так или иначе будет жестко привязан к использованию банковской системы, и даже при желании не сможет отказаться от нее.
На самом деле, как мне кажется, наличность невыгодна прежде всего государству, а уж остальных оно и принуждает к тому, чтобы они находили причины ее невыгодности для себя :). А для государства она невыгодна просто потому, что возможности контроля финансовых потоков в виде наличности ограничены. Безнал в этом плане удобней, можно контролировать все средства граждан и обложить их дополнительными налогами к примеру, и человек с этим ничего поделать не сможет — простой пример, если вдруг возникает какая-то задолженность перед налоговой то тебе очень быстро блокируют все счета, и в результате пока ты налоговой не заплатишь, ты сидишь и кукуешь без гроша, даже хлеба не на что купить.
А если случится непредвиденное? Если банк уйдет в офлайн из-за взлома или неполадок? Если решит объявить себя банкротом? Или его глава окажется негодяем и сбежит с вашими деньгами? А если вы в провинции? А наличность всегда под рукой и везде принимается.
А если случится непредвиденное?А если напечатавшее вашу наличку государство перестанет существовать?
Если банк уйдет в офлайн из-за взлома или неполадок?Кредитные карты расчитаны на этот сценарий.
Если решит объявить себя банкротом?Вклады застрахованы. Можно оплатить другой картой.
Или его глава окажется негодяем и сбежит с вашими деньгами?А если к вам в дом залезут грабители и достанут из-под матраца всю вашу наличку?
А если вы в провинции?А что не так в провинции? Я в пустыне километров за сто от ближайшего города расчитывался картой.
А наличность всегда под рукой и везде принимается.Банковские карты тоже всегда под рукой, а то, что они пока ещё не везде принимаются — ну так я ж и предлагаю обязать всех продавцов принимать оплаты картами. Конда карты будут у всех, они тоже будут везде приниматься.
Вы сравнили перебои в эквайринге с прекращением государства. Совершенно нетактично. Дело не в преимуществе бумажных денег, дело в недостатках безналичных расчетов.
Ну почему же нетактично? На моей памяти прекращение государств случались чаше, чем перебои в эквайринге.
Государства это пример не того ранга, если уж государство «прекратилось», то там и экономике банковская карта не поможет, это из ряда вон выходящее событие, а сбои эквайринга это даже не вероятность, это случай.
Пример совсем из жизни, далее почти поток сознания, пусть и не очень приближенный. Небольшой магазин, обслуживающий небольшой район большого города. Не пустыня. Часто обслуживание по картам происходит медленно, не редки случаи отказов, сбоев. Что уж говорить о «материковой» России, часто бываю в гостях, где терминала не сыскать, не говоря о банкомате (ну, вы помните эпопею с установкой доступной телефонии в глухие деревни, чтобы «никто не ушел обиженным»)…
Пока есть наличные, есть возможность получить доступные услуги. Банкомат дублирует терминал магазина, кэш выступает медиатором. Но дело даже не в этом, как только наличные будут искоренены, за банки хакеры примутся с утроенной силой, это вызовет ответные меры, контроль усилится, рамки использования сожмутся (не хотелось бы говорить об этом здесь, но и до чипирования так недалеко). Я уже не говорю про тотальный контроль граждан и указы как им жить, без наличных денег граждане не смогут ничего, централизация убивает свободу жизни.
А банки? Сколько было закрыто в последнее время? Нет, все это явно не своевременно, не готовы мы пока к этому.
Пример совсем из жизни, далее почти поток сознания, пусть и не очень приближенный. Небольшой магазин, обслуживающий небольшой район большого города. Не пустыня. Часто обслуживание по картам происходит медленно, не редки случаи отказов, сбоев. Что уж говорить о «материковой» России, часто бываю в гостях, где терминала не сыскать, не говоря о банкомате (ну, вы помните эпопею с установкой доступной телефонии в глухие деревни, чтобы «никто не ушел обиженным»)…
Пока есть наличные, есть возможность получить доступные услуги. Банкомат дублирует терминал магазина, кэш выступает медиатором. Но дело даже не в этом, как только наличные будут искоренены, за банки хакеры примутся с утроенной силой, это вызовет ответные меры, контроль усилится, рамки использования сожмутся (не хотелось бы говорить об этом здесь, но и до чипирования так недалеко). Я уже не говорю про тотальный контроль граждан и указы как им жить, без наличных денег граждане не смогут ничего, централизация убивает свободу жизни.
А банки? Сколько было закрыто в последнее время? Нет, все это явно не своевременно, не готовы мы пока к этому.
Деньги в банке — не ваши деньги. Пример Кипра, Греции ничему не научили?
>А если напечатавшее вашу наличку государство перестанет существовать?
В Сомали так — продолжают пользоваться тем, что было напечатано. Так же было в России до 1930 года, когда уже в СССР ходили ещё царские рубли. Деньги могут быть не только государственными, если что.
Оплачивать с обязательными комиссиями? Переживать из-за возможного взлома? (https://xakep.ru/2013/12/23/61802/)
Отрицательные процентные ставки? (http://bitnovosti.com/2016/02/25/dengi-pod-matrasom/)
> А что не так в провинции? Я в пустыне километров за сто от ближайшего города расчитывался картой.
У нас в стране хватает сёл, где нет сетей связи. там живут люди. работают. как там должны работать банковские услуги?
Есть за, есть против. Каждый выбирает, то что считает нужно. Навязывать отсутствие выбора — я считаю не правильным.
>А если напечатавшее вашу наличку государство перестанет существовать?
В Сомали так — продолжают пользоваться тем, что было напечатано. Так же было в России до 1930 года, когда уже в СССР ходили ещё царские рубли. Деньги могут быть не только государственными, если что.
Оплачивать с обязательными комиссиями? Переживать из-за возможного взлома? (https://xakep.ru/2013/12/23/61802/)
Отрицательные процентные ставки? (http://bitnovosti.com/2016/02/25/dengi-pod-matrasom/)
> А что не так в провинции? Я в пустыне километров за сто от ближайшего города расчитывался картой.
У нас в стране хватает сёл, где нет сетей связи. там живут люди. работают. как там должны работать банковские услуги?
Есть за, есть против. Каждый выбирает, то что считает нужно. Навязывать отсутствие выбора — я считаю не правильным.
Возражения уровня «Бензину и запчастей на ваши автомобили не напасёшься, в городе-то бензин есть, а в деревнях его может и не быть, и что, с собой бочку бензина везти? Или за сто вёрст ездить в город заправляться? То ли дело овёс — в каждой деревне можно задёшево купить, а даже если и нет овса, то пустил лошадь пастись, она и сама наестся. И ремонтировать автомобили как, если сломаются? Мастеров искать надо! А лошадь любой кузнец тебе подкуёт! Не-е, автомобили — это хорошо, конечно, но не для нас» — это ответ и на комментарий Ra-Jah, а то не могу я чаще комментарии писать.
То есть вы предлагаете:
Иметь как минимум 2 карты от совершенно независимых банков (если банки имеют между собой какую то связь, то у них могут отозвать лицензии в одно время или их финансовые операции могут обладать схожими рисками).
Каждый месяц переводить часть денег с одной карты на вторую ( а поскольку банки независимые, то у них как правило комиссии на перевод средств в другой банк) с помощью обналички и вклада в другой банк, на свой счет
То есть для того, чтобы избавиться от налички, нужно каждый месяц снимать в одном банкомате налич… OH SHI~~~~!
Иметь как минимум 2 карты от совершенно независимых банков (если банки имеют между собой какую то связь, то у них могут отозвать лицензии в одно время или их финансовые операции могут обладать схожими рисками).
Каждый месяц переводить часть денег с одной карты на вторую ( а поскольку банки независимые, то у них как правило комиссии на перевод средств в другой банк) с помощью обналички и вклада в другой банк, на свой счет
То есть для того, чтобы избавиться от налички, нужно каждый месяц снимать в одном банкомате налич… OH SHI~~~~!
Наличка нужна хотя бы для того, чтобы возможности банков по контролю за деньгами и денежными операциями были хоть как-то ограничены. Иначе слишком большая власть у них будет. Это потенциально гораздо большая опасность для человеческого общества, чем терроризм. Европейские банки уже давно кстати ноют, мол давайте отменим наличку, а то отрицательные ставки толком не работают. Так что ни в коем случае нельзя отменять наличные деньги.
Я не вижу тут опасности, тем более большей, чем терроризм.
Вообще не вижу опасности. И не вижу существенной разницы с тем, что есть сейчас — я снимаю и ношу с собой довольно небольшую сумму денег, буквально, чтобы хватило два раза сходить на обед. Иногда неделями хожу совсем без наличности.
Конечно, если получаешь зарплату в конверте, то наличные деньги для этого удобнее :)
Вообще не вижу опасности. И не вижу существенной разницы с тем, что есть сейчас — я снимаю и ношу с собой довольно небольшую сумму денег, буквально, чтобы хватило два раза сходить на обед. Иногда неделями хожу совсем без наличности.
Конечно, если получаешь зарплату в конверте, то наличные деньги для этого удобнее :)
Когда банк вводит отрицательную процентную ставку по банковскому счёту/вкладу, тогда наличные и удобнее.
У спецслужб есть свои методы борьбы с террористами, но я думаю, что нынешнее положение вещей таково, что служба играет в свою пользу.
Дальше писать не буду, теории заговора это уже фричество, а логика на уровне политики превращается в какую-то попытку анализировать нейросеть.
Дальше писать не буду, теории заговора это уже фричество, а логика на уровне политики превращается в какую-то попытку анализировать нейросеть.
ИМХО все эти запреты и прослушки — это симптоматическое решение проблемы, борьба с последствиями, а надо смотреть, откуда растут ноги проблемы. В случае террористов это религиозный экстремизм плюс плохие условия жизни. Полагаю, если привнести в эти страны благополучную жизнь, науку, прочие полезные для общества ценности — фанатики станут меньшинством и уйдут в историю. Вот только надо это делать как-то иначе, чем делает всем известная страна — главный борец за демократию. А если вспомнить, сколько людей погибает от терроризма и сколько от других причин — станет ясно, что прблема вообще специально раздута и заниматься надо другим.
А вы уверены, что янки за демократию борятся? Обратите внимание, что все страны, в которые они суют свой нос, обладают какими-либо природными ископаемыми (чаще всего, конечно углеводороды). Почему-то в конфликт индусов с пакистанцами за Кашмир, который длится лет 40, если не больше, они не спешат вмешиваться. А ответ прост. Во-первых, у обеих сторон конфликта есть ядерное оружие (и в случае, если америкосы сунутся, ответочка в виде МБР не заставить себя ждать), а, во-вторых, там просто нечего брать — две практически нищих страны без особых полезных ископаемых.
На благополучии людей много денег быстро не заработаешь, а вот на страданиях очень даже. Торговля людьми, оружием и наркотиками —
это доказывает. На последней войне в Ираке американскими фирмами было заработано свыше 300 млрд долларов, об этом писали в крупных американских газетах. Это никто не скрывает. Информация официальная.
На благополучии людей много денег быстро не заработаешь, а вот на страданиях очень даже. Торговля людьми, оружием и наркотиками —
это доказывает. На последней войне в Ираке американскими фирмами было заработано свыше 300 млрд долларов, об этом писали в крупных американских газетах. Это никто не скрывает. Информация официальная.
есть достаточно большие успехи в Южной Корее, Тайване и в значительной степени Японии в свое время.И в Западной Германии ещё.
Но тут могут быть не столько успехи США, сколько полный провал их противника, главного борца за мировое господство, на фоне которого обычное мирное развитие покажется большим успехом.
В Южной Корее, Тайване, Японии и ФРГ по политическим причинам было целенаправленное стремление «сделать» экономически развитые страны. Причем в случае с Южной Кореей — даже не демократическую поначалу.
Вот-вот, только сегодня использовал этот аргумент в обсуждении.
а если у одного пользователя новая версия приложения, а у другого старая(без шифрования), что тогда произойдет?
миллиард это много народу, и разброс версий серьезный, не случится так что переход затянется?
миллиард это много народу, и разброс версий серьезный, не случится так что переход затянется?
К примеру, если общается несколько пользователей, и один из них использует старую версию WhatsApp, остальные увидят, какой именно собеседник работает без шифрования, и смогут уведомить его об этом.
Конечно случится. Но кому шифрование нужно, обновятся.
Если там действительно шифрование.
Если там действительно шифрование.
>При этом компания будет добиваться, чтобы пользователи ставили новую версию с шифрованием. К примеру, если общается несколько пользователей, и один из них использует старую версию WhatsApp, остальные увидят, какой именно собеседник работает без шифрования, и смогут уведомить его об этом.
При этом все фотки и видео всё-также открыто лежат на карте памяти?
И разговоры в базе тоже открытым текстом, недавно проверял
Зашифруйте карту памяти, делов-то.
А для этого андроид зарутить нужно?
Так оно прозрачное для программ внутри ОС. Любая программа может получить файлы с карты памяти.
Разве WhatsApp не умеет сохранять все эти данные внутри своей папки, к которой другие приложения не имеют доступа? Карту памяти можно отформатировать и зашифровать для использования как internal storage, так что приложения не должны иметь доступа к данным других программ.
Никогда не использовал WhatsApp на Android, и на моём Nexus 4 не поддерживаются внешние карты памяти, поэтому я представляю это только теоретически из обзоров других аппаратов.
Никогда не использовал WhatsApp на Android, и на моём Nexus 4 не поддерживаются внешние карты памяти, поэтому я представляю это только теоретически из обзоров других аппаратов.
Парад шифрования, сначала аська, теперь вацапп.
Без независимого аудита протокола, сложно судить, насколько оно там безопасно. А то может шифрование то и надежное, а MitM можно осуществить в два счета.
Вот например: eprint.iacr.org/2014/904.pdf
В отличие от другого месенджера, набирающего популярность, протокол Signal создавали люди, которые знают что делают.
В отличие от другого месенджера, набирающего популярность, протокол Signal создавали люди, которые знают что делают.
Не понятно что с шифрованием. На Android устройстве говорит что клиент на blackberry без шифрования, на blackberry говорит что всё ок и зашифрованно, чтобы проверить, покажите телефону QR код, где и как его показывать — не понятно.
А какая версия? У меня в Play Market до сих пор болталась 2.12, поставил 2.16 вручную, код генерируется. Правда как проверить, не знаю, никого из контактов поблизости нет.
Более того, на двух соседних телефонах стоит одинаковая версия (2.12.556), один говорит, что сообщения второму шифруются, второй говорит, что сообщения первому не шифруются, т.к. пользователю нужно обновить вацап.
А ну да, публичный ключ, отправляемый сервером WA, который под контролем хер знает кого. Секьюрно.
Самый шик когда айди пользователя равен его паблик кею, сразу становится понятно что нас начали пасти.
Если верить картинкам и текстам на whispersystems.org/blog/whatsapp-complete — можно fingerprint-ы у ключей сравнить. Зачитав их вслух или, если совсем паранойя мучает — при личной встрече сканировать QR-код. Там же рядом небольшая pdf-ка с примерным описанием протокола лежит.
Э-э-э… А какие негативные последствия от того что Ваш публичный ключ оказался под контролем «хер знает кого» (С) и его теперь знает каждая собака? Есть опасность его подмены — это да. А опасности утечки PK нет. На то он и публичный, однако.
Стоит добавить в статью документ с описанием протокола www.whatsapp.com/security/WhatsApp-Security-Whitepaper.pdf
хмм… показывает что у меня с собеседником есть шифрование, захотел проверить валидность ключа через встроенный сканер qr — а у собеседника вообще показывает что у нас не зашифрованный чат… версия у обоих одинаково-последняя :)
Ироничная КДПВ, учитывая, что WhatsApp прекращает поддержку BlackBerry 10…
Как можно проверить, что в зашифрованном пакете ушло именно то И только то, что я написал в whatsapp, а не данные, которые «помогут нам сделать наше приложение лучше для пользователей»?
Для борьбы с этим спецслужбы вполне могут использовать простой троянец, который будет собирать приватные ключи с устройств пользователей. А если предположить, что в некоторых девайсах уже есть бэкдоры, то ничего критичного для некоторых спецслужб не случилось.
А в чем проблема? Каждому пользователю сообщение отправляется зашифрованным на его открытом ключе.
почитайте документацию, ссылка на нее была выше.
При подключении каждого нового участника создается новый общий ключ, с использованием данных от каждого пользователя.
Если кто то покидает группу, процедура — смены ключа, на основании данных тек пользователей, кто остался.
При подключении каждого нового участника создается новый общий ключ, с использованием данных от каждого пользователя.
Если кто то покидает группу, процедура — смены ключа, на основании данных тек пользователей, кто остался.
Интересен вот какой момент: как whatsup теперь будет бороться со спамом и идентифицировать спамеров? Или вместе с шифрованием они прекратили борьбу со спамом???
Так, а что получается:
Ощущение что все это ввели что бы пропиарится на шифровании и найти оправдание «не_деланию» облачной истории
Все-таки остаюсь я на Телеграмме:
- Диалог получает «ключ шифрования», который я не могу ни сбросить, ни ввести свой, ни удалить (в случае подозрения о том что этот диалог скомпрометирован).
- «Ключ шифрования», судя по тому как как оно сработало у меня, создается и прикрепляется к первому сообщению пользователя независимо от того онлайн он или нет (и лежит ждет его в очереди на сервере видимо, но тут точно не уверен) — не уверен я как-то что это прям безопасно
- Нельзя запустить незащищенный чат — т.е. облачной истории нет, и быть не может по определению, ведь они всё удаляют. А я был бы рад если бы мог днем на одно устройство получить сообщение от жены «купи как поедешь домой кефира, хлеба, молока», а по дороге открыть диалог с ней с другого устройства и прочитать еще раз что надо купить — но не могу и не смогу, ведь облачной истории нет для защиты меня от прослушки и выбора у меня нет.
Ощущение что все это ввели что бы пропиарится на шифровании и найти оправдание «не_деланию» облачной истории
Все-таки остаюсь я на Телеграмме:
- «Ключ шифрования» можно сбросить (просто создать новый секретный чат)
- «Ключ шифрования» судя по всему передается напрямую между устройствами, ибо нельзя создать секретный чат пока другой человек оффлайн
- Обычные чаты полностью синхронятся между всеми клиентами, это удобно, вся история всегда и на компе, и в браузере, и на телефоне, а для секретных переговоров есть секретные чаты
- Приятный бонус — я могу в секретном чате удалить сообщение (и свое и собеседника) и у него на устройстве они тоже удалятся — это важная штука в сценариях связанных с безопасностью
2. «Ключ шифрования» судя по всему передается напрямую между устройствами, ибо нельзя создать секретный чат пока другой человек оффлайн
Конечно же не передаются, просто до тех пор пока второй пользователь не появился он -лайн и не сгенерил свою пару ключей и не отправил вам ответ, вы, конечно, не сможете создать общий секретный чат, а вовсе не из за того, что сообщения ходят p2p
Конечно же не передаются, просто до тех пор пока второй пользователь не появился он -лайн и не сгенерил свою пару ключей и не отправил вам ответ, вы, конечно, не сможете создать общий секретный чат, а вовсе не из за того, что сообщения ходят p2p
Мне оному так кажется, или я все неправильно понял?
В данной схеме отсутствует важный элемент — certificate authority, который бы подтверждал, что ключ действительно от пользователя B, а не сгенеренный где-то посередине. Таким образом возможна банальная компроментация man-in-middle: отправляем пользователям A и B свои сгенерированные публичные ключи. Имея их настоящие ключи, проксируем весь треффик и наслаждаемся.
И самое натуральное место для подобной компроментации — это сам «Watsapp Server». Неужели под видом «end-to-end» вселяют пользователям ложную уверенность. А спецслужбы одобряют.
В данной схеме отсутствует важный элемент — certificate authority, который бы подтверждал, что ключ действительно от пользователя B, а не сгенеренный где-то посередине. Таким образом возможна банальная компроментация man-in-middle: отправляем пользователям A и B свои сгенерированные публичные ключи. Имея их настоящие ключи, проксируем весь треффик и наслаждаемся.
И самое натуральное место для подобной компроментации — это сам «Watsapp Server». Неужели под видом «end-to-end» вселяют пользователям ложную уверенность. А спецслужбы одобряют.
Есть сверка ключей по qr-коду или цифровому отпечатку.
И как это защищает от man-in-middle?
Так и защищает. Если отпечатки расходятся, нам делают MiTM.
Все так. Правда сейчас посмотрел механизм верификации. Контакт-> Шифрование -> Подтвердить код безопасности.
Дальше предлагается сканировать код. Это здорово если абонент рядом, а если нет? Дальше есть цифроввой отпечаток и мы его можем сверить посредством иного защищенного канала. Сверили. Дальше нет механизма подтверждения этого цифрового отпечатка, как например в Chatsecure, где есть механизм Контрольного вопроса-Ответа на него.
Дальше предлагается сканировать код. Это здорово если абонент рядом, а если нет? Дальше есть цифроввой отпечаток и мы его можем сверить посредством иного защищенного канала. Сверили. Дальше нет механизма подтверждения этого цифрового отпечатка, как например в Chatsecure, где есть механизм Контрольного вопроса-Ответа на него.
Англоязычные ресурсы на днях писали что уже без помощи Эппл тот айфон взломали и Эппл теперь клянчит узнать как, а ей в ответ лукаво улыбаются.
Кто-нибудь уже проверял, отключена ли теперь синхронизация истории переписки?
Синхронизации тут никогда не было — это как классическая аська: все сообщения в один клиент приходят, если залогиниться с другого, то у первого сессия отвалится. А настройки резервных копий на месте.
В стационарных точках (работа/дом) человек пользуется планшетом с бт-клавиатурой (как вариант двумя: дома домашним, на работе рабочим), а в мобильных ситуациях (дорога, улица) смартфоном (плюс еще как вариант отдельный планшет в машине). И что теперь человеку держать на разных своих устройствах разные учетки Ватсапа? Или он вообще не умеет жить на устройстве без симки? Он, что, настолько калечный!? Кто более-менее активно им пользуется, уточните пожалуйста.
Ага, всё так. Не пользуюсь, но тут попросили настроить, потыкался маленько. Симку вынул — нет вацапа, переткнул в другое устройство — жди смску. Из-за этого в Телеграме народ точно так же регистрируется (хотя там можно с нескольких устройств заходить по одному и тому же номеру).
Привязка к номеру есть, но никто не мешает с любого устройства пользоваться учеткой другого номера. Для активации нужен только код из смс на зарегистрированный номер.
Ну и есть web.whatsapp.com — сканируется QR код с привязанного устройства и всё, можно писать\читать. Веб версия показывает всю историю. Так что история хранится на сервере. Правда коллега сегодня на новый телефон перешла — у нее история в новом телефоне не показывается. Но в вебе при этом показывается.
Ну и есть web.whatsapp.com — сканируется QR код с привязанного устройства и всё, можно писать\читать. Веб версия показывает всю историю. Так что история хранится на сервере. Правда коллега сегодня на новый телефон перешла — у нее история в новом телефоне не показывается. Но в вебе при этом показывается.
Согласен с утверждающими, что шифрование будет «липовое» или его не будет вообще.
Во-первых, отлаживать такой протокол очень сложно, ведь на стороне сервера вы не сможете ничего понять в случае проблем, а проблем, как известно, обычно очень много, если пользователей тоже много.
Во-вторых, «логи пишут все» (с). Не столько для каких-то там служб, сколько для себя, для внутренних разбирательств: абузы, спам, другие нарушения, дос атаки и т.п. Или теперь этого всего не будет? Вряд ли.
В третьих, пиар на шифровании — это конечно сейчас модно, но увеличить риски для своего бизнеса в случае закрытия сервиса даже в одной какой-либо стране из-за проблем с шифрованием? Ради чего? Они ведь не благотворители, им деньги надо зарабатывать, на рекламе, например. А как же будет работать таргетирование рекламы, если не «подслушивать» о чем говорит пользователь?
Ну и наконец, да, я тоже просто не верю. Слишком уж много «против», и почти ни одного «за».
Во-первых, отлаживать такой протокол очень сложно, ведь на стороне сервера вы не сможете ничего понять в случае проблем, а проблем, как известно, обычно очень много, если пользователей тоже много.
Во-вторых, «логи пишут все» (с). Не столько для каких-то там служб, сколько для себя, для внутренних разбирательств: абузы, спам, другие нарушения, дос атаки и т.п. Или теперь этого всего не будет? Вряд ли.
В третьих, пиар на шифровании — это конечно сейчас модно, но увеличить риски для своего бизнеса в случае закрытия сервиса даже в одной какой-либо стране из-за проблем с шифрованием? Ради чего? Они ведь не благотворители, им деньги надо зарабатывать, на рекламе, например. А как же будет работать таргетирование рекламы, если не «подслушивать» о чем говорит пользователь?
Ну и наконец, да, я тоже просто не верю. Слишком уж много «против», и почти ни одного «за».
Мне вся эта шумиха с криптографией и террористами кажется настолько надуманной…
Предположим случился следующей сценарий: всеми государствами Мира введён обязательный запрет на шифрование без «бэкдора» для всех мессенджеров (несмотря на то что ООН причислила шифрование и анонимность в интернете к правам человека). Но ведь шифровать/дешифровать сообщения прекрасно можно сторонними приложениями (совсем невысокой сложности), которые будут находиться на клиенте. Причём при грамотной реализации задачи, это можно будет даже автоматизировать так, что конечные пользователи при переписке почти не заметят разницы. А дотошные любопытствующие вместо конкретных данных получат бессмысленный для них набор символов (или вообще шифровку можно встроить, скажем, в медиа файл). С чем они тогда будут бороться? Со свободным описанием криптографических алгоритмов?
Так что «криптоанархисты» могут спать почти спокойно! (Хотя совсем уж не стоит расслабляться — вышеописанный мною сценарий, это конечно кошмар)
Предположим случился следующей сценарий: всеми государствами Мира введён обязательный запрет на шифрование без «бэкдора» для всех мессенджеров (несмотря на то что ООН причислила шифрование и анонимность в интернете к правам человека). Но ведь шифровать/дешифровать сообщения прекрасно можно сторонними приложениями (совсем невысокой сложности), которые будут находиться на клиенте. Причём при грамотной реализации задачи, это можно будет даже автоматизировать так, что конечные пользователи при переписке почти не заметят разницы. А дотошные любопытствующие вместо конкретных данных получат бессмысленный для них набор символов (или вообще шифровку можно встроить, скажем, в медиа файл). С чем они тогда будут бороться? Со свободным описанием криптографических алгоритмов?
Так что «криптоанархисты» могут спать почти спокойно! (Хотя совсем уж не стоит расслабляться — вышеописанный мною сценарий, это конечно кошмар)
Просто у WA начался отток пользователей…
А что с историей сообщений? Приватный ключ только на устройстве. Потерял устройство – сообщениям хана? И такое поведение они включили по умолчанию для миллиарда пользователей? Не самый разумный шаг, как по мне. End-to-end шифрование «по требованию», как в Telegram, гораздо удобнее. Лично мне в 99% случаев важнее сохранение истории и беспроблемная синхронизация между устройствами, чем end-to-end шифрование.
В описании протокола не сказано, могут ли сообщения передаваться напрямую
между пользователями. Зато сказано, что можно посылать сообщения в оффлайн,
и есть все основания полагать, что если оба пользователя за NAT, то всё будет
работать. Вывод: сообщения передаются через центральный сервер. Он же
хранит открытые ключи пользователей. В протоколе не сказано, что пользователи
должны (могут) передавать друг-другу открытые ключи мимо сервера. Следствие:
реализация MiTM на севере — тривиальная задача.
между пользователями. Зато сказано, что можно посылать сообщения в оффлайн,
и есть все основания полагать, что если оба пользователя за NAT, то всё будет
работать. Вывод: сообщения передаются через центральный сервер. Он же
хранит открытые ключи пользователей. В протоколе не сказано, что пользователи
должны (могут) передавать друг-другу открытые ключи мимо сервера. Следствие:
реализация MiTM на севере — тривиальная задача.
Один я наивно полагал, что у WhatsApp уже есть шифрование?
Помню мониторил пакеты через wireshark, все красиво выглядело.
Помню мониторил пакеты через wireshark, все красиво выглядело.
Не понял в чем защита от спецслужб. Почему они не могут потребовать и получить приватные ключи пользователей — они же с сервера раздаются?
На Windows 10 Mobile прилетело. Только если шифрование есть пишет сразу об этом в чате, а если нет — то только в пункте меню чата «Информация».
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
WhatsApp ввел полное end-to-end шифрование всех данных для миллиарда своих пользователей