Comments 495
Есть опция сквозного шифрования? Исходники хотя бы клиента открыты?
Имхо, если хоть на один из этих вопросов ответ «нет», то ничего гарантировать нельзя. И в любой момент по запросу от сервера может быть пупупу.
E2E в сквозном виде тоже ничего не гарантирует. Держу в курсе.
В конце концов, недоверенный разработчик (в случае с MAX - априори) может слить всё, что происходит до E2E.
Так доверенных разработчиков не существует. кроме вас самих
Себе тоже бы не доверял, мало ли что.
верить в наше время нельзя никому. Порой даже самому себе. Мне - можно.
Доверять можно было только Мюллеру, да и то, с его же слов.
Мужик намыливает джинсы,....
...и бормочет под нос: -Никому нельзя доверять, никому! Даже себе. Продолжает намыливать. -А ведь только пукнуть хотел. ©
Конечно, Кен Томпсон ещё в 1984 году говорил, что можно написать компилятор, который будет вставлять бэкдор и в нужную программу, и в самого себя при перекомпиляции, так что в сорцах всё будет хорошо, а бинарник всё равно будет скомпрометированный.
Да. Всё как в той цитате, "вот никаких и не читайте никому и не доверяйте!". Просто кто-то более недоверенный, чем другие.
А, в целом, я давно уже за абсолютный Zero Trust во всём.
Ну конечно, между абсолютным доверием и абсолютным недоверием совсем нет промежуточных вариантов.
Как говорил мой трудовик: "В этом мире никому нельзя доверять, даже собственной з******")
а есть доверенные? даже апостериори? блэкберри когда-то?
Фактически - нет. Теоретически, если взять два больших бумажных шифроблокнота, передать один той стороне лично - то можно хоть открытой электронной почтой передавать сообщения, хоть с зараженных всеми возможными шпионами компьютеров. Шифрование и дешифровка будут происходить оффлайн, на бумажке.
Но это будет неудобно. :) А всему остальному доверять можно только в той или иной степени.
PS: Если есть абсолютно доверенное устройство - абсолютно стойкое шифрование можно и удобным сделать - берем флешку на терабайт и заполняем случайными данными (не псевдослучайными) - делаем копию и передаем товарищу, после чего ксорим передаваемые сообщения с данными с этой флешки и каким-нибудь паролем (указывая в заголовке смещение относительно начала флешки). Товарищ расшифровывает полученные данные, используя данные со своей флешки и пароль. Всё, такое не взламывается ничем, кроме терморектального криптоанализа ;)
устойчивое, в том числе к постквантовому взлому шифрование можно обеспечить на любом устройстве уже давно. с использованием шифрования несимметричными ключами вопрос доверия состоит только в доступе изготовителя устройства и работающих на нем программ к ключам. если доступа третьей стороны к ключам нет, в том числе через чтение памяти и регистров - устройство можно считать доверенным. но таких устройств, доступных в рознице, нет.
Max есть в программе bug bounty. Других мессенджеров вроде как нет. Код закрыт у всех. И я не понимаю, как шифрование спасает от пупупу...
WhatsApp есть в bug bounty программе материнской компании: bugbounty.****.com
У Telegram открыт код клиента.
У Telegram открыт код клиента.
А сеееееееервера?
а что толку с исходников сервера если он развернут на сервере?) где гарантия, что там развернут именно тот сервер из исходников? а если своё разворачивать - то проще jabber поднять и не париться
Это Wesha, он опять всех победил, не обращайте внимания.
У Вас какое‑то извращённое понимание моей здесь задачи. Она не в том, чтобы кого‑то там «побеждать» — она в том, чтобы вбросить в мыслительный аппарат читателей достаточно возмущений, чтобы возникшая тряска заставила их немножечко задуматься. Думать вообще, знаете ли, для здоровья полезно.
Как на счет немножечко задуматься самому перед тем как призывать других?
Я вам объяснял почему ваш аргумент про сервер несостоятелен, а вы проигнорили.
А если б Вы ещё немножечко подумали, то сообразили бы, что сервер с открытыми исхониками можно взять и развернуть на гарантированно доверенной инфраструктуре.
Да там судя по комментариям такой сервер, что там кластер нужен только чтобы он как-то запустился бы.
А вот Matrix, например, предлагает любому желающему запустить свой собственный сервер. (Нежелающие, для которых эта слишкам сложна, могут пользоваться уже существующими.)
Так, и где толпы желающих использовать защищенный мессенжер со своим сервером?
Я бы не был таким категоричным. Развернуть свой сервер конечно сложнее чем поднять собственный впн. Но не сильно. Оглянитесь назад - лет 6 назад мало кто из пользователей мог поднять собственный впн с обфускацией траффика. А сейчас это может сделать чуть ли не любая домохозяйка, немного владеющая смартфоном.
Первые шаги уже есть, некоторые хостинги уже предлагают установку matrix в пару кликов.
И что?
Доверие серверу бессмысленно без доверия клиенту. При этом клиент первичен. Клиент несет все те же риски что и сервер плюс еще куча своих. Наприме тот же клиент скама может скриншотить и отправлять на сервер переписку в вацапе и телеге.
Доверие серверу бессмысленно без доверия клиенту.
А доверие клиенту бессмысленно без доверия серверу.
Если клиент нормально делает e2e encryption
Для гос. мессенджера нормальное шифрование это предлагаемое государственным стандартом, что не пользуется взаимностью у противников Max'а по умолчанию...
Много "если": Encrypted traffic interception on Hetzner and Linode targeting the largest Russian XMPP (Jabber) messaging service
All jabber.ru and xmpp.ru communications between these dates should be assumed compromised. Given the nature of the interception, the attacker have been able to execute any action as if it is executed from the authorized account, without knowing the account password. This means that the attacker could download account's roster, lifetime unencrypted server-side message history, send new messages or alter them in real time.
End-to-end encrypted communications, such as OMEMO, OTR or PGP, are protected from the interception only if both parties have validated the encryption keys. The users are asked to check their accounts for new unauthorized OMEMO and PGP keys in their PEP storage, and change passwords.
e2ee? не, не слышал.
Что бы мы делали без Вас ¯\_(ツ)_/¯
Во. Жму руку.
а что толку с исходников сервера если он развернут на сервере?) где гарантия, что там развернут именно тот сервер из исходников?
А вот это, детектив, правильный вопрос!
Маtrix, для узкого круга знакомых. Будет поактуальней, со звонками и тд
А прочитать вееееееткуууууу?
А сервера открыт у хмпп и матрикса, ну и у параноидального сигнала тоже.
Да что толку с этого открытого кода. Кто-то регулярно проводит аудит этого кода, делает билды и сверяет контрольные суммы билда из исходников и в маркетах (всех)?
А этому "кто-то" вы конкретно доверяете, чтобы сказать, что его работа достоверна и не является ложью?
Ну открыт код и открыт, можно считать его open source приложением. Круто, чё.
Толк открытого кода в том, что на его основе делают форки приложения с добавленной/убранной функциональностью, желаемым дизайном, да даже размером приложения и его производительностью.
У телеги вообще довольно долго была смешная ситуация.
Открытый код есть, а клиент из этого кода не собирался)))
Утверждение было: "Код закрыт у всех". А до этого выше дополнительный контекст про "хотя бы клиента". Ответ: "У Telegram открыт код клиента". Я вижу, что у Вас много вопросов, и хороших, но это не ко мне)
Толк в том что у вас есть принципиальная возможность это всё сделать, что само по себе делает махинации с вашими данными бессмысленными (один любопытный гик один раз что-то нашел -> продукт скомпрометирован навсегда). Но конечно только при условии что у создателей есть инстинкт самосохранения)
NPM смотрят на ваш комментарий вопросительно =)
https://www.opennet.ru/opennews/art.shtml?num=63894
https://www.opennet.ru/opennews/art.shtml?num=63845
А если на том же опеннете посмотреть новости по тегу npm, то там регулярно мелькают новости с уязвимостью.
А знаете, почему при всей опенсорсности каждой библиотеки такие большие масштабы атаки? Потому что никто не читает исходники и уж тем более, никто не проводит их анализ.
Я не против опенсорса. Это одно из лучших изобретений человечества. Я лишь пытаюсь донести, что сам по себе опенсорс не делает магии. Люди должны делать всё своими руками. И если нет такого человека, то открытость кода сама по себе не решает проблемы с безопасностью.
не вижу никаких противоречий =)
есть разница между ноунейм опенсорсом, который существует силами энтузиаста vasyan123 по модели "мы никому ничего не должны" и корпоративным опенсорсом, который является таковым только потому, что для него жизненно важно доказать свою безопасность. В случае компрометации первого vasyan123 просто пожмет плечами и скажет че вы мне сделаете я в другом городе (и будет прав), в случае компрометации второго будет огромный ущерб (в теории). Это не гарантирует что в ПО нет закладок, но является мощнейшим стимулом для создателей их не делать.
Представьте что история браузера васяна является публично доступной для любого, кто знает как его зовут. Этот факт не запрещает васяну искать гей порно, но если у васяна таки есть моск и какая-то минимальная способность просчитывать последствия, он всё таки постарается найти какие-то другие способы удовлетворить свой интерес. Потому что крошечная вероятность что батя посмотрит историю, помноженная на экзистенциальный масштаб последствий, дает очень даже большую величину риска =)
Мне нравится когда говорят, что у Telegram открыт код клиента, но опускают одно важное замечание: порой этот самый исходный код не обновляют годами (например, на macOS и с задержками на Android). Так что если хотите пользоваться новыми версиями, то придется забить и доверять и не опираться ни на какие исходные коды :)
Не весь. Код секретных чатов недоступен.
Протокол: https://core.telegram.org/mtproto
Реализация (iOS): https://github.com/TelegramMessenger/Telegram-iOS/tree/eac655f5721b6f3828e0f365516b6e7bafbc53d7/submodules/TelegramCore/Sources/SecretChats
Разве это не то?
Почему тогда никто до сих пор не собрал телеграм для линукса или винды с поддержкой секретных чатов?
Ну, это уже другой вопрос) Если собрать реализацию под iOS / Android можно – значит, реализация открытая. Почему не делают под другие платформы – нужно разбираться, но доступность кода и описание протокола это не отменяет.
Под macOS, кстати, тоже нет.
Почему не делают под другие платформы — нужно разбираться
Нет спроса! ©
1) У Telegram bugbounty программа действует с 2014 года (https://core.telegram.org/bug-bounty)
2) Код клиентских приложения открыт (https://telegram.org/apps#source-code) и доступен на github.
И п.1 и п.2 находятся с помощью любого поисковика за пару минут.
У телеги вроде можно собрать приложеньку из исходников? Не особо в теме, просто видео где-то у них в доке
Есть опция сквозного шифрования?
Если вы не доверяете клиенту, то сквозное шифрование ни чем не поможет. Ведь в клиенте сообщения отображаются незашифрованными. Значит при определённых обстоятельствах вся переписка может быть слита клиентом в открытом виде.
Исходники хотя бы клиента открыты?
Если вы не доверяете разработчику, то и открытые исходники ни чего не гарантируют. Код может быть модифицирован на этапе сборки или пропатчен в рантайме по команде с сервера.
Открытые исходники гарантируют многое - можно собрать самому, а патчинг в рантайме можно увидеть (в коде) и как минимум очень сильно заподозрить неладное. (Гугл кстати вообще такое публиковать запрещает по правилам, но зачастую всем поднять).
Сравнить собранную руками и разработчиками версию тоже кстати можно - чтобы определить что они что-то мутят.
Строго говоря тут придется всем контактам тоже устанавливать версию собранную из исходников. Ибо версия из плей маркета может сильно от нее отличаться, а компрометации хватит и с одной стороны чата. А телегу, естественно, 99% пользователей ставят из плей маркета, ещё и автоматическое обновление не выключает.
Но да, в теории если себе и собеседнику поставить апкшку собранную лично из исходников, то можно доверять секретным чатам. Только вот в большинстве случаев переписка идёт в облачном чате и клиент у собеседника стоит из маркета, а не из исходников)
Ага , ещё Наталья Касперская много лет назад говорила что для безопасников нет разницы между открытым и закрытым кодом. Дыру можно спрятать в 10 строчках кода , попробуй найди. https://youtu.be/pScPkgGGT9Q?t=2744
По мне у людей сформирован плохой образ на Макс , кем то по заказу . Никакие технические доказательства не сработают. Вам просто скажут - тут есть подвох , они точно что то скрывают , и все , не нужны ни какие доказательства. С этим надо ещё и в другом направлении работать, возможно психологам с их трюками. Битва управленцев массами, одним надо чтобы боялись, другим чтобы ставили :)
По мне у людей сформирован плохой образ на Макс , кем то по заказу
Интересно, почему же это? Ведь никаких причин нет, да? Людям же не ломали привычные мессенджеры, педагогов не заставляли отчитываться за установку Макса и перевод на него родителей, бюджетникам не крутят руки, чтобы регистрировались там и т.п.? Вот просто на пустом месте и сразу плохой образ этого божественнейшего, надежнейшего и современнейшего мессенджера, не имеющего аналогов в мире? УжОс какой, явно по заказу недружественных иноагентов и врагов народа!
Вот об этом я и говорю :)
Даже если вам предоставят 100% доказательства чистоты клиента Макс, люди станут говорить про сервер, что там ничего не известно. Ок, дайте 100% мониторинг сервера (каким то чудом), они скажут что подвох в чем то еще, в другом.
Надо сделать так чтобы человек поверил что он сам принял решение, что он точно знает где хорошо а где плохо. Whatsapp который слил все данные несколько лет назад (Nov 25, 2022), продает метаданные по сей день, люди ему доверяют. Как им это удалось? :)
Вот об этом я и говорю :)
О чем? То, что вы написали, к тому, что написал я, отношения не имеет. Вы правда не понимаете, что изначально людей возмутили не какие-то технические вещи, которых большинство не понимает, а именно "ВНЕЗАПНАЯ деградация WhatsApp и Telegram" и насильное пропихивание MAX? Что люди в принципе не любят, когда у них отбирают что-то привычное и начинают "железною рукою загонять к счастию"? Что отношение к MAX определилось именно этим, а все последующее, про сливы данных и ненадежность и прочее - уже следствие изначально необратимо подорванной репутации, этакий confirmation bias? Ну и хотелось бы все таки про "заказ" послушать.
Попробую сделать предположение, что причина деградации не то чтобы именно в максе. Телега и вацап не делились трафиком с СОРМ. То что их слушали при нужде - факт, пожалуй, уже общеизвесный. Но слушать, телегу достаточно дорого и можно лишь имея на то серьезные основания (просто так тратить такие ресурсы никто не будет). А не трогали их из-за отсутствия альтернатив. Как только альтернатива появилась - сделали +/- неработоспособным этот какнал связи. При желании абонент, конечно, может обеспечить себе работоспособнойсть, но тут скорее важно то, что абоненту, специально не предпринимающему никаких мер по обходу блокировки голосовых вызовов - входящий звонок не пройдет.
Высказанное предположение не стоит рассматривать как истину, это лишь мои измышления.
Whatsapp который слил все данные несколько лет назад (Nov 25, 2022)
Ничего, что слиты были только номера телефонов и никаких доказательств утечек в принципе других данных найдено не было?
Или вы в ВК работаете балаболом?
Фарш (в данном случае репутацию) не провернуть назад.
Это людям все нашептали враги по фамилии Common и Sense
По мне у людей сформирован плохой образ на Макс , кем то по заказу .
Я тут полистал ваши комментарии и раньше у вас не было проблем ни с частицей «-то», ни с пробелами перед знаками препинания. Из чего я делаю вывод, что исходный хозяин аккаунта потерял над ним контроль. Ваше звание и место службы?
Тоже, кстати, заметил, что грамотность и стиль после последнего комментария (в мае) сильно изменились.
Жалко плюс не могу вам поставить.
Штирлиц еще не был так близок к провалу.
Штирлиц еще не был так близок к провалу
...кроме как когда собирал деньги на его ремонт!
У касперской у самой такой такой образ, что видя ее как эксперта, все что идет дальше автоматически считается брехней.
Недавно ютубчик порекомендовал ее выступление. Я начал слушать, а там....
Эксперт мирового уровня по кибербезопасности, Президент группы компаний "InfoWacth" Наталья Касперская рассказала , почему мы до сих пор не можем массово выпускать собственные компьютеры, оказывается , еще в Советском Союзе было принято решение отказаться от компьютерного суверенитета и осваивать IBM.
Выступление состоялось на научно-практической конференции в рамках XXXI Международных Рождественских образовательных чтений 23-24 января 2023 года в Москве под общей тематикой «Глобальные вызовы современности и духовный выбор человека».
Прошел цикл мероприятий общественной, научно-образовательной и культурной направленности - всероссийские научно-практические конференции, музыкальный и поэтический вечера. Главными организаторами мероприятий выступили Межрегиональная просветительская общественная организация «Объединение православных ученых», Общественный центр по защите традиционных семейных ценностей «Иван Чай», Московский финансово-юридический университет и Российский православный университет св. Иоанна Богослова. К участникам научно-практических конференций с приветственным словом обратились первый проректор Российского православного университета св. Иоанна Богослова, кандидат философских наук, доктор политических наук, профессор А.В. Щипков, сенатор Совета Федерации М.Н.Павлова, депутат Государственной Думы VIII созыва, член Генерального Совета партии «Единая Россия» Р.И. Терюшков, депутат Государственной Думы VIII созыва Я.В. Лантратова, ректор Московского финансово-юридического университета А.Г. Забелин, епископ Можайский, викарий патриарха Московского и всея Руси, наместник Оптиной пустыни Иосиф, протоиерей, председатель МПОО «Объединение православных ученых», доктор теологии, настоятель храма в честь Покрова Пресвятой Богородицы с. Отрадное Г.В. Заридзе, заместитель председателя Комитета по науке и высшему образованию ГД ФС Российской Федерации, доктор экономических наук, профессор Е.В. Харченко, Президент группы компаний «InfoWatch» Н.И.Касперская и другие С докладами на конференциях выступили: епископ Можайский, викарий патриарха Московского и всея Руси, наместник Оптиной пустыни Иосиф, депутат Государственной Думы VIII созыва Р.И. Терюшков, депутат Государственной Думы VIII созыва Лантратова Я.В., председатель МПОО «Объединение православных ученых» Г.В. Заридзе, сенатор Совета Федерации М.Н. Павлова, эксперт Патриаршей комиссии по вопросам семьи, защиты материнства и детства А.Б. Шафран, председатель правления РОО «Общественный центр по защите традиционных семейных ценностей «Иван Чай» Э.Ю. Жгутова, президент группы компаний «InfoWatch» Н.И. Касперская, доктор юридических наук, профессор А.А. Васильев, , руководитель Центра трансграничных правовых исследований Е.В. Сафронова, ведущий научный сотрудник Научно-исследовательского института ФСИН России Г.И. Пещеров, главный редактор РИА «Катюша» А.Б Цыганов, актриса, режиссер, общественный деятель О.А. Будина, профессор, доктор медицинских наук, член-корреспондент Академии военных наук В.А.Шафалинов, профессор Департамента правоведения Международной академии бизнеса и управления Г.П. Шайрян и другие. Особое место на конференциях было уделено вопросам, связанным с глобализацией российского государства, глобальными вызовами современности и духовным выбором России, новыми вызовами цифровой трансформации, политическим экстремизмом в информационном обществе, защитой детей в цифровом пространстве, необходимостью смены парадигмы семейной политики Российской Федерации, ВОЗ как угрозы национальной безопасности и суверенитету страны, ее немедицинских инициатив, правовыми проблемами выхода из Всемирной Организации Здравоохранения. Естественным культурным завершением каждого дня стали поэтический (23.01.2023) и музыкальный (24.01.2023) вечера, прошедшие под единым названием - «Духовным выбор России» - символически подчеркивающим следование важнейших сфер культурного влияния высоким духовно-нравственным приоритетам суверенного российского государства.
Итоги проведенных 23-24 января 2023 мероприятий отразятся в изданных сборниках научно-практических конференций, принятой, в результате широких общественных обсуждений, Резолюции о защите православных духовно-нравственных ценностей, отдельных информационных материалах, статьях, видео и фотоматериалах, размещенных в СМИ и открытых Интернет-источниках.
Дыру можно спрятать в 10 строчках кода
Дыру можно и в одном символе спрятать
Кампания против Макса точно идёт. Вот прямо на 97,4% уверен.
Сразу было ощущение, что очень рьяно на него набросились, что о выходе я узнал из статей на пикабу о том, что он плохой. Так раньше вели себя люди со светлыми лицами, которые летом запросили денег потому, что Трамп (ну вы понели). Но было только ощущением, пока не нашёлся ролик, в котором двух буэлохеров ( dslash (https://www.instagram.com/reel/DMsGmwhoz0v/?igsh=Y3gxZnhzMTM3NHVt) и Ashleyvpn (https://www.instagram.com/reel/DMl3_vjIYjc/?igsh=MWs3cHYxeDQ4b3J4NA==) ) смонитровали, они просто безыскустно зачитывали темник так что повторили друг за другом слово-в-слово. Но если те спалились, то те, кто ругал Макс палясь не так явно (да ещё и с самого старта, когда объективно не было вариантов его успеть проверить) -- с очень большой вероятностью отрабатывали тот же грант по тому же темнику, только более изобретательно.
Да никто не был против макса, ну мессанжер и мессенжер, чуть кринжово, чуть от правильной компании, ну ок.
Но вот когда, блин, начали ломать другие мессенжеры, это треш.
так.. отдайте докторскую колбасу и хлеб отдайте (крепко привязываю к стулу).. а теперь откройте рот, сейчас я вас буду кормить "вот этим"... а вы чего вырываетесь? аааа, понятно - это все кампания против меня... а ведь я хороший осенезатор...
// вы же сразу подумали, что я вам бутер с икрой предлагаю
п.с. ну серьезно, у вас своего мнения никогда не было что ли? все только по "указке от кого-то" делаете? любите, ненавидите?
Когда тебе ломают работающие мессенджеры и силой навязывают "отечественную альтернативу", трудно сформировать хороший образ
Да ладно! Поносить Макс стали минимум за месяц до первых слухов о том, что что-то там будут ограничивать! При чём синхронно, типичная картина заказа, их столько за последние десятилетия было, что не узнать почерк может либо слепой, либо идейный русофоб. Ну или тот, кто в интернетах второй день и прошлых рейдов просто не видел.
Вот как раз только тот, кто в интернетах второй день, не мог узнать почерк пропихивания буквально сквозь гланды, начиная с первых, июльских ещё реляций о достижении миллионов пользователей, и непонятных блогеров, рассуждающих о лифтах и парковках (такие же 3 года назад, помнится, про "всего 1%" рассуждали).
Блокировок тогда ещё не было, да, но предугадать их было вообще нетрудно - правда, тогда ожидали, что Вацап с концами закроют с 1 августа.
Весь негатив к в общем-то вполне заурядному пока продукту - просто здоровая имунная реакция на вот это пропихивание.
Справедливости ради можно отметить только то, что, в отличии, например, от сферума, этот макс не заставили установить, используя в качестве административного ресурса министерство образования, там да- по команде почти все родители школьников были вынуждены ставить мерзость- дневник.ру и сферум безальтернативные ( а дневник- еще и платный продукт, который собирает данные, которые обязательно потом утекут, авторизаиция через госуслуги обязательная- кому-то же очень надо, чтобы в даркнете можно было пробить не только адреса и паспорта пользователей всяких яндекс доставок, но еще и детей). Прошлый негативный опыт вызвал здоровое отторжение, вместо нытья выгодоприобретателям Макса можно поучиться грамотному пиару и будет им счастье, как одной фруктовой корпорации, что и не так мягко своих клиентов дрессирует.
Плохой образ Макс сформировали те, кто сделал крайне затруднительными звонки через другие мессенджеры в аккурат при выходе этого Макс. Лично я не доверяю никаким мессенджерам, но пользуюсь ими, как неизбежным злом. Точно также, как не доверяю банкам и страховым компаниям - но есть ситуации, где в силу законов и подзаконных актов без них не обойтись, надо только размыть риски.
Чтобы не копировать текст:
https://habr.com/ru/articles/939550/comments/#comment_28871500
пропатчен в рантайме по команде с сервера
Вы уверены, что в Андроиде такое возможно?
Если да, не могли бы Вы поделиться небольшим фрагментом кода, который это делает? Например, в исходнике написано, что в textView должна быть сумма 2+2 (`textView.text = "${2+2}"`), а в рантайме слагаемые меняются на 3 и 5.
Кодом не поделюсь, но брокерское приложение от газпромбанка умеет обновляться само, и регулярно это делает. При этом странно что банковское приложение от ГПБ так себя не ведет..
Открываете WebView, дальше продолжать?
Да, пожалуйста.
override fun onCreate(savedInstanceState: Bundle?) {
super.onCreate(savedInstanceState)
val a = 2
val b = 2
findViewById<TextView>(R.id.textView).text = "${a+b}"
findViewById<Button>(R.id.button).setOnClickListener {
// тут ваш код, который меняет значения a и b
}
}
В приложении размером в 100 Мб можно разместить виртуальную машину с интрепретатором какого нибудь brainfuck. Код, который якобы считает 2+2, на самом деле написан на brainfuck, скачан с сервера и является данными.
А что так сложно? Почему не JS, Python или Lua?
Для JS уже есть https://developer.android.com/jetpack/androidx/releases/javascriptengine, однако, она в песочнице работает.
В любом случае, это не патчинг кода в рантайме.
это не патчинг кода в рантайме.
А что же? Код на js может делать много интересного. И его можно скачать.
Я чуть выше уже набросал кусочек кода. Продолжите его, пожалуйста, подтвердите свою мысль.
Можете дать ссылку на репозиторий на гитхабе, если продолжение получится слишком длинным.
Этот пропатченный код все равно будет выполняться в песочнице. Если у приложения, которое ее запустило, не было разрешений на чтение файлов, код ничего не прочитает
Ну я могу представить реализацию sin(x) на js. Или еще лучше rand(). И в нужный момент rand начинает возвращать 42, а sin = 4. Если нет исходников - можно много чего спрятать. Можно вектор инициализации rand подшаманить, чтобы случайные числа стали не такими случайными.
Talking is cheap, show me the code
Виртуальная машина с js возможна? Ей можно передать на исполнение кусок скачанного с интернетов js-кода? Из нее можно вернуть хоть 1 байт результата? Если на все вопросы ответ да - какого еще кода нужно?
https://developer.android.com/reference/kotlin/androidx/javascriptengine/JavaScriptSandbox
Что-то там как-то куце совсем.
Если кто-то захочет через это взять без спроса файлы с файловой системы телефона или подключиться к микрофону во время звонка и записать разговор, боюсь, ему придется изрядно попотеть.
Zolg дал ссылку на Frida framework - это гораздо интереснее.
Однако, Макс есть в PlayStore, и я сомневаюсь, что Гугл пропустил бы приложение, в котором есть куски Frida.
Talk is cheap
Так и задумано — это MVP!
Чтобы быть sneaky-sneaky как еврей.
tldr. NSO используя хак в легаси системе рендеринга печатного текста скрафтила виртуальную машину, которая беспалевно следит за всей остальной ОС. И ты даже об этом не можешь узнать, ибо всё это срабатывает при получении сообщения, отображение которой перехватывает всё та же виртуалка.
Нет, приложение заранее должно быть написано с расчетом на подмену кода в будущем. Например так
val myWebView: WebView = findViewById(R.id.webview)
myWebView.loadUrl("http://www.example.com")А дальше?
https://developer.android.com/reference/android/webkit/WebView
Какие из методов этого объекта могут стырить файл из флеш-памяти телефона или незаметно включить микрофон и записать разговор?
evaluateJavascript? А он разве не в песочнице?
В песочнице, но вы можете расширять доступное ему api, даже если из коробки мало что доступно (а вообще, как-то же приложения на ReactNative работают). Выдавая права к ФС вы автоматом даете права всему прилжению включая все что он там evaluate делает.
Следующий вопрос: а что, Гугл со своими security policies на это никак не реагирует?
WebView это же часть Android SDK, его Гугл контролирует, вроде как.
а что, Гугл со своими security policies на это никак не реагирует?
Не лучше-ли спросить про это у гугла? В гугле) Политики не дают приложениям воровать данные друг у дружки, а не у пользователя - чтобы создавались возможности стричь деньги по несколько раз за по сути одно и то же. Пользователь это товар.
В Андроиде пропатчен в рантайме?
Ага. "Talking is cheap, show me the code" (c)
Весьма сомневаюсь, что в Андроиде можно именно "патчить в рантайме" в классическом понимании. По крайней мере, я такой возможности не нашел и был бы очень признателен, если бы в нее потыкали носом. Максимум, что удалось найти - возможность скачивания и запуска своего класса в формате *.dex. Но это и близко не патчинг.
2. Тогда уж и код нет смысла смотреть, пусть сразу бинарь показывают...
Весьма сомневаюсь, что в Андроиде можно именно "патчить в рантайме" в классическом понимании
А в неклассическом?
Вообще ответ был в контексте e2e шифрования. Приложению не нужны дополнительные разрешения, чтобы в один момент слить историю в незашифрованном виде налево - к которой у него и так есть доступ. Это вопрос чисто бизнес-логики, а не permissions.
Тогда уж и код нет смысла смотреть, пусть сразу бинарь показывают
Код есть смысл смотреть, просто это недостаточное условие.
Вообще получить надежный evidence того, что вот этот вот конкретный бинарь, работающий на вашем устройстве, был собран именно из вот этого кода - довольно замороченная задача. По пути много звеньев и переменных, где можно устроить supply chain attack - случайно или нарочно.
То есть вы утверждаете что с андроида совершенно невозможно получить исполняемый код из случайного места и запустить его на исполнение?
А frida-gadget есть в Максе?
Вы не про макс спрашивали, а про пример кода, выполняющего runtime patching в андроид.
Получив исчерпывающий пример вы скатываетесь на то, что "а вот в максе конкретно этого примера нет" ? Серьезно ?
frida-gadget - не магический артефакт, а кусок кода. Очень универсальный фреймворк (в т.ч.) для рантайм патчинга чужого исполняемого кода. Это чуть более общая задача, чем вполне конкретно патчить свой собственный код.
Если выполнима общая задача, то тем более выполнима и частная, причем в данном случае, думаю, с на порядки меньшим объемом реализации.
Выполняли ли ее в максе, или нет - понятия не имею и не интересуюсь.
Да, я от общего к частному иду. Началось всё с "патчинга кода Макса в рантайме". Сначала я выяснил, что такое вообще возможно, дальше вернулся к изначальному вопросу.
Так невозможно ж вроде?
Как выясняется, возможно, правда со всякими "если". Там вверху ссылка на фреймворк Frida, он умеет.
Никаких там "если".
БОльшая часть фриды посвящена тому, как внедриться в чужое приложение, как найти в нем места для патчинга и api для этого самого патчинга.
Патчить в рантайме собственный код мягко говоря несколько менее объемная задача.
И при желании код, по зелёному свистку скачивающий нужный payload и его исполняющий можно размазать так, что даже при беглом просмотре исходников он будет неочевиден, не то что при анализе гугл-плея.
Для изменений в рантайм необходимы рут права, встраивание без рут прав в frida осуществляется перепаковкой пакетов, так что ответ на изначальный вопрос, никакой рантайм патчинг невозможен. Рассматривать случаи с наделением рут правами своего ПО в данном треде не корректно.
Вы тёплое с мягким путете.
Для рантайм патчинга кода этот код должен иметь код, осуществляющий этот самый патчинг. Ожидаемо, что в чужих бинарниках такого кода (по крайней мере доступного для использования сторонним исследователем) нет и его нужно засунуть.
Именно для внедрения куска кода, отвечающего за патчинг в чужое приложение нужен рут или перепаковка пакетов. Сам рантайм патчинг никаких рут прав не требует.
Очевидно, что если вы собираете своё собственное приложение, то нет смыслаперепаковывать свой собственный пакет: можете хоть тот же фрида гаджет при первоначальной паковке засунуть.
Впрочем для обсуждаемых целей засовывать именно фриду глупо: получится стрельба по воробьям из трудномаскируемой пушки.
Достаточно нескольких десятков строк кода. При некотором желании делаемых безобидно выглядищими при беглом просмотре.
Что бы frida работала на устройство должно быть установлен сервер и сертификат к тому же разработчики не идиоты и знают про это и ставят защиту. Без доступа к устройству это бесполезно
Напомню, что первоначальный вопрос стоял "возможно ли под андроид патчить в рантайме собственный код"
Рут/встраивание гаджета нужны фриде не для рантайм патчинга как такового, а для того, чтобы сделать чужой бинарный код как бы немного своим.
Сертификат на устройстве вообще из оперы "слышал звон, не знаю где он": то, что фрида очень часто используется для обхода ssl-пининга (для одной из методик которого на устройство все же нужно вкрячить свой серт) не значит, что этот серт нужен самой фриде (и тем более той ее небольшой части, что отвечает за патчинг в рантайме)
Напомню, что первоначальный вопрос стоял "возможно ли под андроид патчить в рантайме собственный код"
Первоначальный вопрос был немного другим. Строго говоря, это был даже не вопрос, а утверждение, что мессенжер Макс в какой-то момент может пропатчить сам себя "по команде сервера".
Далее возникло обоснованное сомнение, что под Андроид это вообще возможно. Вы привели ссылку на Frida - сомнение развеялось, по крайней мере, частично.
Идём от общего к частному, возвращаемся к Максу. Что там - никто не знает.
В итоге, все потеоретизировали, но работающего PoC никто так и не показал.
PoC чего? Наличия/отсутствия закладок в максе ? Это полноценный аудит нужно проводить. Который может показать либо наличие закладок, либо то, что в процессе аудита они не обнаружены (что вовсе не эквивалентно их отсутствию).
Подозреваю, что деятельно заинтересованных в таком публичном аудите нет. Не в смысле "власти скрывают" (при наличии ресурсов можно и бинарник по байтам разобрать), а в смысле отсутствия практического ответа на вопрос "потратить энное количество средств для того чтобы что?"
Макс есть в PlayStore. Я сомневаюсь, что Гугл подобное пропустит.
Раньше скачивание бинарников вполне работало. На этом работал тот же termux. Сейчас вроде закрыли и google требует, чтобы все бинарники были вложены в apk при скачивании с play?
Можно ли вне play - не знаю, но на 13-й android termux вполне встал, пакеты ставит.
Открытые исходники это не гарантия, а возможность проверки
Если код открыт, то сообщество может его проаудировать, собрать и сравнить с версией в сторе - это на порядок повышает доверие. С закрытым кодом у вас такой возможности просто нет
Есть опция сквозного шифрования? Исходники хотя бы клиента открыты?
Ну вот есть у одного мутноватого мессенджера исходники клиента и шифрование. Вы проверили весь код? Вы каждый раз собираете мессенджер из тех исходников, которые проверили? Каждый раз включаете шифрование, которое по какой-то интересной причине не только спрятано, но и по умолчанию отключено? Знаете, что происходит на сервере? Допустим. А обычный пользователь?
Исходники телеги как минимум смотрю периодически (на предмет заимствования идей, но все же). Есть люди которые их изучают (хотя бы те, кто делают форки клиента со своими функциями). Если бы там что-то нашлось (или при сравнении обнаружилось бы что клиент в маркете отличается например от клиента из гита) - об этом бы трубили из каждого утюга, и это бы означало конец существования телеграмма скорее всего. Т.е. риски для компании очень высоки, а бонусы минимальны. Код Вацап какого нибудь - посмотреть никто не может - там может быть что угодно, но даже если это сольют - доказать что оно там будет невозможно - риски минимальны и компания может спокойно их игнорировать)
Единственное, в чем вы неправы - не будет это означать никакого конца существования. Два десятка гиков уйдут, остальным будет пофиг. Основной массе, по-моему, вообще на все пофиг...
Два десятка гиков уйдут, остальным будет пофиг. Основной массе, по-моему, вообще на все пофиг...
А из двух десятков гиков реально мозгами пользуется от силы пяток...
А должно быть иначе? Я должен постоянно, ежесекундно во всем разбираться? В том, из чего сделаны сосиски, как собран клиент мессенжера, какой тип анестезии у зубного лучше? Голова не лопнет от такого? Жить-то когда?
Я должен постоянно, ежесекундно во всем разбираться?
(Задумчиво:) Ну, как бы это Вам помягче сказать... Клиенты АО «МММ» тоже не хотели ни в чем разбираться, а всего‑навсего хотели без усилий бабло рубить. «Конец немного предсказуем.» ©
В том, из чего сделаны сосиски, как собран клиент мессенжера, какой тип анестезии у зубного лучше? Голова не лопнет от такого?
По своему опыту заверяю: не лопнет.
Жить‑то когда?
А Вы автомобиль водите? А почему? Это ж постоянно думать надо, какую педаль нажать, куда руль повернуть... «Жить‑то когда?» © @Donkeyhot_kgd
Иначе говоря, всем пофиг. ЧИТД.
Смотрите - это инфоповод, да ещё и с супер кликбейтным заголовком "телеграмм возможно ворует ваши данные", "эксперты по безопасности заявили, что телеграмм небезопасен" и.т.п. Но при этом с реальным материалом для статьи.
Как минимум хайп будет огромный. На волне хайпа - часть компаний откажутся от использования (вероятно ради упоминания а не защиты) - из разряда "работникам citizens bank запретили рабочие переписки через телеграмм" и подобные.
А рядовой пользователь вникать не будет - увидев три/четыре статьи - он вполне может поддаться хайпу - "давай лучше в ватсап", тем более чем сейчас людей у которых только 1 мессенджер на устройстве - околонуля.
Практика показывает, что родственники у меня даже на одну статью - уже реагируют довольно сильно, при том что там никакой технической подоплёки.
Я рад за вас и ваших родственников. На бОльших же выборках практика показывает, что только у скама уже за 35кк установок. В ВК, который известен поставками материалов длящихся преступлений, активной аудитории больше половины населения РФ. Чего им не хватает, чтобы перестать быть активной аудиторией? Ультраархисверхсуперкликбейтного заголовка?
У нас в компании и так запрещено использование мессенджеров для рабочей переписки. ;) Любых, макс не исключение.
Только электронная почта с шифрованием. Меня, как знатного параноика, это устраивает.
шифрование, которое по какой-то интересной причине не только спрятано, но и по умолчанию отключено?
Вы действительно не понимаете по какой "интересной причине" телега устроена так, как она устроена? Или просто паясничаете?
По какой?
Потому что 99% пользователей между удобством (хранение чатов на сервере и их синхронизация со всеми клиентами) и безопасностью (сквозное шифрование) выберут удобство. А те, кто понимает, что ему нужно именно сквозное шифрование, смогут включить его самостоятельно.
Ну так потому, что 99% пользователей плевать на то, что их переписку прочитает товарищ майор. Лет 10 назад все переписывались в ВК и никого совершенно не волновало, что там все хранится на сервере и доступно спецслужбам, а сейчас с Максом, который по сути тот же ВК в другой обёртке, всех резко заволновал этот нюанс) хотя сквозным шифрованием в телеге пользуются скорее всего даже не 1%, а 0.01% пользователей. А в Вотсапе это вообще просто надпись, которую никак не проверить, ибо исходники клиента не открыты.
хранение чатов на сервере и их синхронизация со всеми клиентами
Шифрование в процессе передачи и работа с уже полученными сообщениями, вообще говоря - разные вещи.
Можно получить, зашифровать, положить в криптоконтейнер и уже его - хранить на сервере и при необходимости отдавать другим клиентам.
Для синхронизации - ключи расшифровки отдельно между клиентами обменяться. Для примера смотри как у некоторых програм-заметочников оно сделано.
Собственно, большую часть этого, кажется(могу ошибаться, подробно не смотрел), прямо Гугл предлагает, приложению надо только оформить область хранения, которая автомагически синхронизироваться будет.
Удобство не столько в синхронизации, сколько в том, что можно ее сделать, когда у тебя нет на руках другого твоего устройства. Т.е. для того, чтобы не было 'ааа.... все пропало... вся переписка за n лет потерялась'. Хотя и тут можно было бы ее стащить из устройств собеседников.
Помимо синхронизации, это дает ещё другие удобные фичи типа отложенных сообщений. А ещё каналы с взаимной пересылкой сообщений между каналами и чатами.
Нельзя сказать, что с E2E это невозможно реализовать вообще никак, но намного-намного сложнее и всё равно будут компромиссы в удобстве.
В чем проблема хранить историю на сервере, а ключи шифрования при этом передавать между устройствами пользователя?
Самый банальный кейс - устройство собеседника сейчас не в сети.
Мы просто считаем его мутноватым и учитываем риски.
Есть опция сквозного шифрования?
сквозное шифрование означает, что мессенджер нельзя использовать с нескольких мест, что прямо-таки большой минус к удобству
непонятно с чем именно несогласны минусующие.
в той же телеге для меня киллер-фича, что один и тот же аккаунт можно открыть и на телефоне и на компьютере, даже на нескольких компьютерах (притом даже ничего ставить не надо, работает в любом браузере). можно начать диалог с рабочего места, а продолжить потом с телефона в дороге, закончить на ноутбуке дома. и если я захожу в свой аккаунт с нового устройства, то сразу получаю доступ ко всем имеющимся перепискам с историей.
разумеется, это не эксклюзивная фича телеграма, многие мессенджеры предлагают то же самое.
и, разумеется, всё это удобство несовместимо с end-to-end шифрованием.
я не говорю уже про то, что всякие группы плохо совместимы со сквозным шифрованием.
по какому именно пункту есть возражения?
Я не минусил, но в теории ничто не мешает реализовать функцию выгрузить ключ сквозного шифрования в файлик, а потом загрузить его на другом клиенте чтобы позволить ему подключиться к секретному чату созданному на первом клиенте. Только в телеге такого функционала нет, но в принципе идея не самая сложная для реализации
Всё это удобство прекрасно совместимо с e2e, если вы разделите ключ между своими устройствами (сканированием qr-кода, например).
Минусующие (я минус поставить не могу, но если бы мог, поставил) не согласны с тем, что это невозможно. Относительно популярный Matrix и его многочисленные опенсорсные клиенты (Element, Shildi, FluffyChat и так далее) это прекрасно реализуют - можете сидеть одновременно с компьютера и двух телефонов и все будет прекрасно работать со сквозным шифрованием. Передача ключей проще, чем вход в аккаунт телеграма - просто по QR
большой минус к удобству
“Those who would give up essential Liberty, to purchase a little temporary Safety, deserve neither Liberty nor Safety.” ©
Я удивлён, что кто то минусит ( а следовательно не согласен с ним) это фундаментальное высказывание
Я не минусил, но в контексте обсуждения это действительно хорошее высказывание воспринимается как "кто не кулхацкер , тот лох" и отсылает нас к другой нескончаемой дискуссии : в какой мере среднестатистический обыватель должен разбираться в умениях печь хлеб, проводить хирургические операции и предотвращать компьютерные угрозы.
в какой мере среднестатистический обыватель должен разбираться в умениях печь хлеб, проводить хирургические операции и предотвращать компьютерные угрозы.
Реальность такова, что лучше хоть в какой-то мере разбираться. Чтобы понять, например, что если дантист сильно настаивает на замене родного запломбированного зуба, кторый в таком статусе уже лет 10 и не создаёт проблем, на имплант за 100500 денег, то скорее всего что-то тут не чисто и стоит получить второе мнение в другой клинике.
в какой мере среднестатистический обыватель должен разбираться в умениях печь хлеб, проводить хирургические операции и предотвращать компьютерные угрозы.
«А когда не знаешь — надо у кого‑нибудь спросить, извините...» ©
и надо доверять этому кому-нибудь, да ещё и чтобы этот кто-нибудь не оказался тем самым лоховодом.
Так это ж старо как мир: спрашиваете у двух-трёх и сравниваете ответы.
в тему
Профессор математики объясняет студентам теорию вероятности на простом примере - какова вероятность, что мимо окна аудитории пройдёт 100 мужчин подряд. И когда он уже закончил выкладки и показал студентам ничтожность величины - мимо окна аудитории пошла рота солдат...
эти два-три могут быть тесно связаны, но спрашивающий об этом не знает
Вы абсолютно правы! Хотите я подготовлю список у кого спросить? Могу вам сделать его в виде pdf файла.
Там посыл сильно отличается от того к чему его сейчас пытаются притягивать) https://www.brookings.edu/wp-content/uploads/2016/06/0921_platform_security_wittes.pdf
Тоже не минусил, но высказывание считаю пустым - оно "за все хорошее и против всего плохого".
Я вот хочу свободу брать с собой на борт самолета ножницы, перочинный ножик, кинжал, пистолет, немного взрывчатки (10 кг)... Но меня ограничивают почему-то. Ату их, душителей свободы!!! :)
Или насчет оружия в частных руках. Тоже даешь свободу и короткоствол в каждый карман!! Но понимаю, что за очень редким исключением типа Швейцарии или Техаса, где это исторически сложилось - уровень самосознания людей этого не позволяет - перестреляют-с друг-друга.
Я вот хочу свободу брать с собой на борт самолета ножницы
Кстати , да. С ножницами можно в метро, театр, детский сад. Нельзя в тюрьму (но не точно) и в самолет. Что плохого с ножницами можно сделать в самолете но нельзя в театре?
Что плохого с ножницами можно сделать в самолете но нельзя в театре?
Если ножницами угрожать директору театра, то он при всём своём желании не сможет направить театр на World Trade Center. У пилота самолёта в этом плане немного больше возможностей :)
Пилот за бронированной стенкой. Как он поймет что ему кто то угрожает?
А почему в самолёте бронированная стенка есть, а в театре нет? :)
Вопрос то в том почему в самолёте м театре разные требования по безопасности. И это в общем-то вполне себе понятно.
А так дверь в кабину вполне себе открывается. Можно угрожать стюардессе и/или шантажировать пилота чтобы он её открыл. Или ещё что-то придумать.
А что такого демонически страшного в ножницах? Кмк шнурки от ботинок или палочки от суши куда опаснее.
Ну вам кажется так, кому-то иначе. Почему вы считаете что именно ваше мнение надо учитывать в первую очередь?
Ок, ножницами никто пилоту не угрожал, но на всякий случай запретим. Шнурками от ботинок и розовым дилдо тоже никто не угрожал, но мы их не будем запрещать. Театр цирк безопасности.
Ок, ножницами никто пилоту не угрожал
Зато угрожали ножом. И некоторые ножницы можно использовать точно так же.
В энтих самых, "розовых", помнится, пытались взрывчатку на борт пронести...
Наверняка можно придумать множество способов превратить обычный предмет в оружие (типа, заточить край монеты, и т.п.), но верны оба утверждения - и что "необходимы разные уровни безопасности", и что "на 100% никогда не защитишься"
"демонически страшного" в них то, что их обычно используют для отрезания... поэтому их и боятся. а если вы будете угрожать палочкой от суши (хотя умертвить человека ей не сильно сложнее), то вас могут и не воспринять как серьезную угрозу..
Т.е. если вам нужно "угрожать" - эффективней ножницы. а если сделать дело без угроз - палочки для суши, карандаш, "писанка"...
Между прочим, бронированная стенка появилась примерно тогда же, когда запретили ножницы в самолетах. А потом появилось требование, что в кабине всегда должно быть два человека.
Я еще успел полетать самолетами с открытой дверью в кабину пилотов. Эгегейскими (Aegean) авиалиниями в Грецию, например - было прикольно. И у нас на рейсах в азиатские республики СССР в Аэрофлоте не всегда дверь закрывали.
Если ножницами угрожать директору театра, то он при всём своём желании не сможет направить театр на World Trade Center.
Пилот тоже не сможет, World Trade Center был снесён ещё в прошлом тысячелетии. И направили самолёты в башни не пилоты, которым угрожали ножницами, а владельцы ножниц, специально выучившеся на пилотов. Такова официальная версия.
World Trade Center был снесён ещё в прошлом тысячелетии.
А вы нам из какого тысячелетия пишите? :)
И направили самолёты в башни не пилоты, которым угрожали ножницами, а владельцы ножниц, специально выучившеся на пилотов. Такова официальная версия.
И поэтому в самолёте с ножницами можно сделать ровно то же самое что и в театре?
И поэтому в самолёте с ножницами можно сделать ровно то же самое что и в театре?
Вот именно. Кому в салоне вы планируете угрожать маникюрными ножницами? Или даже страшными канцелярскими?
Я более чем уверен, что стюардес немного учат разным вещам. Плавать в спасжилетах точно учат.
Кому в салоне вы планируете угрожать маникюрными ножницами?
Например стюардессе или даже маршалу если таковой имеется.
Или можно взять в заложники кого-то из пассажиров. Например ребёнка.
Я более чем уверен, что стюардес немного учат разным вещам. Плавать в спасжилетах точно учат.
Каким образом умение плавать в спасжилетах помогает если тебе угрожают колющим предметом?
Можно взять заложников в театре. Или в детском садике. Целого маршала. И что дальше?
Каким образом умение плавать в спасжилетах помогает если тебе угрожают колющим предметом?
Угроза ножницами - чистая психология. Причинить серьезный вред проще без ножниц (если специально тренировался). Если не тренировался - ну, анекдот про слишком большую мушку все знают. Уверен, что стюардес учат успокаивать буйных пассажиров.
Можно взять заложников в театре. Или в детском садике. Целого маршала. И что дальше?
В театр вы можете вызвать полицию. В летящем самолётк это не работает.
Театр не может улететь в другую страну. Самолёт может.
Театр нельзя направить на условную АЭС. Самолёт можно.
И так далее и тому подобное. Вы до сих пор не понимаете в чём разница между самолётом и театром?
Угроза ножницами - чистая психология.
Такая же как и угроза ножом. При помощи ножа самолёты угоняли.
Уверен, что стюардес учат успокаивать буйных пассажиров.
Нет, не учат. В лучшем случае их учат с ними разговаривать. Но не останавливать их при помощи силы.
В театр в можете вызвать полицию.
И газом, газом всех.. Было уже.
Театр не может улететь в другую страну. Самолёт может
Договориться о выдаче преступников или запретить ножницы? Выбор очевиден.
Театр нельзя направить на условную АЭС. Самолёт можно.
С помощью ножниц и напуганной стюардессы летчик за бронированной стенкой решает проблему вагонетки вот таким образом. Очевидное решение. Вот только таких прецедентов не было. А когда пилот сам по своей воле разбивал самолёт с пассажирами - было. Нужно, наверное, что-то запретить.
При помощи ножа самолёты угоняли.
Разговор про ножницы. Ну, ок, допустим, страшный швейцарский нож со штопором. Угоняли? Правда? ;)
И газом, газом всех.. Было уже
Это единственный вариант, который приходит вам в голову?
Договориться о выдаче преступников или запретить ножницы? Выбор очевиден.
Нет, не очевиден. С целым рядом стран договориться на эту тему либо вообще невозможно, либо очень сложно.
А вот запретить колющие и режущие предметы в самолётах действительно относительно просто.
С помощью ножниц и напуганной стюардессы летчик за бронированной стенкой решает проблему вагонетки вот таким образом.
Но почему-то всё равно умудряются угонять самолёты имея при себе только нож. Вроде бы даже в этом году такое уже было.
Ну, ок, допустим, страшный швейцарский нож со штопором. Угоняли? Правда? ;)
Ну если вас в гугле забанили, то например вот:
https://ru.m.wikipedia.org/wiki/Угон_Ту-154_в_Саудовскую_Аравию_(2001)
https://ru.m.wikipedia.org/wiki/Угон_Ан-24_в_Китай
https://amp.rbc.ru/rbcnews/society/17/04/2025/680162c19a794719ff28a70c
пилот сам по своей воле разбивал самолёт с пассажирами - было. Нужно, наверное, что-то запретить.
Над запретом пилотов сейчас усиленно работают.
Целого маршала.
Вероятно вы вкладываете не совсем релевантный смысл в слово "Маршал"
В США "маршал" относится к агенту или сотруднику Службы маршалов США (United States Marshals Service, USMS), старейшего федерального правоохранительного ведомства страны, или к сотруднику Федеральной службы воздушных маршалов (Federal Air Marshal Service, FAMS). Основная деятельность маршалов США включает обеспечение работы федеральных судов, поиск и арест беглецов и преступников, защиту свидетелей и транспортировку заключённых.
/мимокрокодил
Можно всё такие уточнить, что вы имеете ввиду под "прошлом тысячелетием"? Год атаки - 2001, вроде даже текущий век.
И что?
В WTC погибло 2606 человек, судя по беглому гуглу. В крупнейшем театре моего относительно мелкого города может быть до 3000 человек, поэтому, например, если уговорить директора в вентиляцию пустить что-то нехорошее, то жертв будет больше.
Поэтому ножницы и ножи в театре тоже должны быть запрещены, ящетаю.
На концертах или спортивных мероприятиях при входе обычно стоят металлодетекторы - с ножницами не зайти. В театрах, действительно, реже.
В крупнейшем театре моего относительно мелкого города может быть до 3000 человек
И что с ними будет если направить на театр самолёт?
поэтому, например, если уговорить директора в вентиляцию пустить что-то нехорошее, то жертв будет больше.
Для этого надо будет сначала директору дать это "что-то нехорошее". То есть в данном случае будет достаточно если мы запретим в театре не ножницы, а именно это "что-то".
И что с ними будет если направить на театр самолёт?
Причём здесь самолёт?
Для этого надо будет сначала директору дать это "что-то нехорошее". То есть в данном случае будет достаточно если мы запретим в театре не ножницы, а именно это "что-то".
Defense in depth подразумевает, что запрещать надо и то, и другое.
Тем более, что можно получить доступ не к системе вентиляции, а, скажем, к дверям, и эти двери закрыть, а потом внутри устроить небольшой пожар. Ну это так, если продумывать сценарии, зависящие только от ножниц, чуть глубже.
В авиационной безопасности масса перегибов, это факт. Т.е. могут запретить малюсенький острый предмет, но к обеду выдать стальную вилку.
Но при этом странно не понимать, что требования к безопасности в замкнутой трубе несколько иные, чем в помещении, из которого можно сбежать - ну или наоборот, куда могут в любой момент войти вооружённые люди. Ну, даже просто на уровне рамок сценария, даже без учёта захватов и 9/11.
Фундаментальное и идеалистическое. Потому что само существование в обществе это размен свободы на безопасность. Вопрос только в балансе. А высказывание призывает жить в лесу - молиться колесу, если в лоб.
Можно. Просто чуть сложнее и думать надо при разработке.
Примеры:
Matrix (шифрованные чаты (для групп надо включать принудительно, для групп из 2 человек - работает по умолчанию), цена - вход новым устройством или сброс ключей или надо авторизовать с существующего или через ключ восстановления. аудиовидео в текущих версиях насколько помню использует другое механизм и там нет E2EE, пока)
iMessage
аудиовидео в текущих версиях насколько помню использует другое механизм и там нет E2EE, пока
При аудиовидео на больше 2х человек Matrix использует Jitsi Meet, а там с 2020го есть e2e, правда по-прежнему в экспериментальном режиме. При звонке 1:1 e2e был изначально.
Получается Matrix покрыт e2e целиком :)
сквозное шифрование означает, что мессенджер нельзя использовать с нескольких мест, что прямо-таки большой минус к удобству
Это на самом деле не так.
OMEMO в xmpp решает эту проблему ценой недоступности старых сообщений на новом устройстве. (Они подтянутся с сервера, но не будут расшифрованы. Если втянуть бэкап сообщений - будут и они).
У телеги тоже нет сквозного в обычных чатах, но всем все нравится)))
Шифрование работает следующим образом, есть данные, и есть ключ, если они хранятся вместе это защита от тех кто осуществляет транспортную функцию, но не защита от тех кто хранит историю и ключ. Проверяется следующим образом, берете чистое устройство на котором нет телеграм(любого другого мессенджера) и устанавливаете, входите в свой аккаунт, если он подтягивает с сервера всю историю - значит на сервере есть и ключ и история, и ваше шифрование никак не защищает вас от владельцев сервера.
А вот если вам говорят "импортируйте свой ключ или истории у вас не будет" - это именно то что нужно, так работают некоторые Jabber клиенты. Но это накладывает на вас необходимость "носить" свой ключ самому между устройствами. Ну или прощай синхронизация переписки и история при переустановке программы.
значит на сервере есть и ключ и история
Не обязательно. Тот пароль, который вводился при входе в учетку - может быть этим ключом или его частью.
Вот если можно 'восстановить пароль', не вводя ничего другого паролеобразного и получить всю историю - тогда да, на сервере данных для расшифровки достаточно.
Может, но тогда при смене пароля вы снова теряете историю, наверно такие мессенджеры существуют, но те что популярны работают не так. Так что если хотите нормального шифрования это Jabber или Matrix клиенты, а еще желательно свой сервер, но вы же понимаете что массово этим пользоваться не будут, после "ой а где моя история, ой а что такое ключ, ой а я его потерял" люди просто выключат этот мессенджер и включат тот который работает "сразу" как надо без дополнительных телодвижения.
У некой Apple восстановление так и работает, как я понимаю, кроме случаев, когда пользователь уж совсем сознательно защиту ослабляет.
Потерял атрибуты доступа - данные в учетке и на устройстве больше не увидишь, хотя доступ, может, и восстановишь.
Миллионы людей, тем не менее, пользуются.
Хотя, надо признать, они очень старательно делают (прежде всего тем, что дают инициативу несколькими устройствами одновременно пользоваться), чтобы эти самые атрибуты потерять было сложно.
Да, "пупупу" может прилететь в любой момент. С очередным тихим обновлением или просто по команде с сервера, и вы даже не заметите, как ваше безобидное приложение начнет делать что-то еще
Есть ли вариант приведения более подробных данных о запросах (тип, тело, ответ, тело ответа), желательно с полным дампом, используя настоящий сниффер, а не казуальные приложения?
Это может быть от "нетривиально" в случае если приложение использует системное хранилище сертификатов (с рутом можно подменить), до "нужно много часов пердолинга" - в случае если приложение использует свой сертификат а его проверку хотя бы на уровне сверки хешей делает из кода. А max-у разумно было бы как раз не полагаться на хранилище ключей по понятным причинам.
Короче при указанных автором вводных - кажется что пустая трата времени. Если бы он трафик в холостую мегабайтами гонял - было бы интересно что там, а так - 99% что ничего интересного.
Del. Дубль
Думаю, что хоть как-то жизнеспособным является подход матрикс. Где клиент отделен от сети с четко описанным протоколом взаимодействия.
Клиент при этом можно краааайне редко обновлять. Тогда в нем можно порыться, провести аудит и ровно этой версией пользоваться.
А вот подход, когда мессенджер может сам себя обновлять, когда обновления выходят часто, а предыдущие версии быстро устаревают и на них невозможно продолжать, даже при открытых исходниках - он весь основывается исключительно на доверии разработчику, с чем внутри РФ всегда будут неразрешимые проблемы.
И...было бы сильно проще если бы его делали как официальный госмессенджер, для общения в первую очередь с госорганами и окологоc структурами (и без рекламы методом "в телеграме мошенники внезапно нашлись поэтому там звонки сломаем", да - начнутся разговоры что реклама про влифте это была инициатива пр менеджера а телеграм - совпадение но... даже если это реально так - никто ж не поверит в это). Причем имеющего юридическую силу общения (с возможность любой из сторон - участников прямо запросить распечатку заверенную ЭП официально и личные данные сторон(тоже заверенные)). Логин тогда конечно не по телефону а сразу через госуслуги. А остальное - как дополнение. еще лучше - опенсорсный (чего скрывать то - секреты на сервере все).
Не-не-не, Дэвид Блэйн, я тебе не доверяю.
Для всех подозрительных (кому есть что скрывать) есть методы дедушки Ленина, называемые конспирация. Для гиков может и интересно поковыряться в коде, остальным - плевать. Расскажите моей тёще или маме про сертификаты, шифрование, каналы связи или сервера - увидите непонимание в глазах и встречный вопрос - "Фоточки-то я могу отправить?"
ну девушки как раз бывают неприятно удивлены тем, что фоточки оказались доступны не только тем, кому они были изначально отправлены
Сомневаюсь, что в утечках фоточек как то замешано шифрование и сессионные ключи.
вы про то, что фотографии распространяют те, кому они были отправлены? зачастую да, но бывает по-разному
Во времена популярности ICQ и ее мобильных клиентов, в первую очередь QIP многие были неприятно удивлены, что отправленные фото хранятся на сервере некоторое время, причем именем файла была лишь порядковая последовательность цифр и расширение .jpg. Много каких милых фотографий тогда находили, просто перебирая такие filename
удивлены, но через мируту продолжают пользоваться красивым айфончиком...
А какая разница, что и куда он отправляет сейчас, если это поведение может измениться в любой момент, после очередного обновления или просто по любому скрытому триггеру? Все понимают, КЕМ и ЗАЧЕМ этот мессенджер был создан, и, мне кажется, этого достаточно. Мне кажется, единственный надежный способ обезопасить себя от возможных проблем, если таковые вам кажутся реально возможными, это - авиасейлз.
Вот и я думаю, что первыми версиями, возможно, бдительность усыпляют.
мне интересно другое, какую цель преследует автор статьи. Манера изложения в стиле "не ну все с ним классно" довольно очевидна
ну какую цель преследовали авторы массово форсящие нейросетевой разбор с гитхаба, где на основании разрешений (ничем не примечательных в целом для мессенджера) и наличия в составе абсолютно легального и встроенного во все продукты ВК трекера MyTracker собирающего для разработчиков данные об использовании приложения делаются далекоидущие выводы, что это жуткое шпионское приложение, которое собирает данные о любой активности на устройстве, пишет экран, сливает местоположение и т.д.? к ним почему-то подобных вопросов не возникало)
причем, на хабре в силу более высокого технического уровня аудитории, я ещё вижу какую-то осторожную критику таких "разборов", а на менее технических ресурсах типа пикабу или vc все поголовно уверены, что Мах ставить можно только на отдельный смартфон специально под него купленный. а любая осторожная критика таких разборов жестко минусится и критикующих сразу объявляется ботом, который защищает Мах за 15 рублей. то есть менее технически грамотные люди в эту херню реально верят.
поголовно уверены
и в чем они не правы? Хоть один указаный риск является не валидным? Нет, все абсолютно правдивы. Ваша зищита основана на "ничем не хуже други", на что уже объяснили и разжевали, что другие не находятся от вас в непосредественной близости. По тому да, бот защищающий за 15 рублей, ибо люди желают выслушать возражения по сути а не "да у всех так четакова, не ссыло ниче с вами не будет, а если что будете причитать "произошла чудовищная ошибка"
И самое классное, нигде вообще ни в одной статье типо вашей нет плашки "но все эти исследовании чушь, потому что сервера вот они, рядышком". А потом добавить что кроме прямых интересантов есть еще тот факт, что сейчас за очень небольшую денежку по человеку такииииих данных можно найти через сливы вообще любых баз, что шпионы лет назад локти бы куснули себе от зависти.
и в чем они не правы? Хоть один указаный риск является не валидным?
во всем. бремя доказательства лежит на том, кто что-то утверждает. нельзя нагенерировать многостраничный "разбор" от нейронки, в котором просто анализируются разрешения и из них делается вывод, что приложение представляет собой "мощный инструмент для глубокого и постоянного сбора данных о пользователе и его активности", а когда тебе говорят, что такой вывод делать некорректно, говорить "а ты докажи, что оно не следит". доказывать нужно, что следит, и пока ни у кого поймать его на слежке не вышло, все доказательства строятся на предположениях, что прописанные в манифесте разрешения можно как-то использовать. да, можно, а можно и по другому.
я не являюсь андроид-разработчиком, но даже я знаю, что андроид не позволяет приложениям бесконтрольно пользоваться разрешениями в фоновом режиме. он просто прибьет приложение в фоне если у него не включено неограниченное использование батареи.
По тому да, бот защищающий за 15 рублей
где мои 15 рублей? если бы мне платили 15 рублей каждый раз, когда я говорю, что этот нейроразбор разрешений и выводы сделанные из него чушь, то я бы наверно уже новый комп на эти деньги купить смог)
ибо люди желают выслушать возражения по сути
чтобы были возражения по сути, нужно предъявить претензии по сути. а тут одно только "мессенджер просит разрешение на местоположение, значит он собирает данные о всех ваших перемещениях" и подобное. это же бред. андроид не позволит это сделать, да и разрешение на местоположение можно не давать. да и при каждом запросе он бы выдавал запрос, а он не выдает. и так по каждой претензии о разрешениях)
И самое классное, нигде вообще ни в одной статье типо вашей нет плашки "но все эти исследовании чушь, потому что сервера вот они, рядышком"
так исследования на тему "следит ли за тобой клиентское приложение", ибо изначально тезис был именно такой, типа "макс сливает все данные о местоположении, все твои файлы, слушает микрофон и все это заливает на сервера ФСБ/СБУ/кого-то ещё". и это чушь, эта статья тому отличное подтверждение.
а так да, согласен, безопасность общения максе равна безопасности общению в ВК, одноклассниках или любом другом отечественном мессенджере. ну, то есть, покупку травки там лучше не обсуждать, органы имеют туда прямой доступ.
приложение
Причем тут приложение и авторы статей анализа? Я про комментаторов говорю которые ясно и четко доносят риски
доказывать нужно, что следит,
Вовсе нет, любой государственный сервис должен доказывать что он бел и пушист, и все равно ему веры быть не должно.
макс сливает все данные
и как это превратилось в "приложение сливает"?
Весь ваш текст подмена моих тезисов на свои, не делайте так
Причем тут приложение и авторы статей анализа? Я про комментаторов говорю которые ясно и четко доносят риски
а я про авторов статей, которые просто перепечатывали анализ с гитхаба. ясно и четко доносить риски, что там все доступно к прочтению товарищу майору - это одно, это я только поддерживаю. а придумывать, что это приложение не мессенджер, а шпионское ПО, которое сольет все, до чего дотянется, - это другое, тут пруфы нужны, а не предположения.
Вовсе нет, любой государственный сервис должен доказывать что он бел и пушист, и все равно ему веры быть не должно.
с таким отношением вообще не имеет смысла что-то доказывать) будь он хоть опенсорсным, полностью открытым и распределенным как сеть тор, один хрен нашлись бы люди, которые утверждали бы, что он где-то там шпионит, ведь у него создатель ВК, а госконтора априори ничего хорошего сделать не может.
и как это превратилось в "приложение сливает"?
похоже мы о разных вещах говорим. я говорю о куче статей основанных на одном и том же нейросетевом "разборе" макса https://github.com/KARENKING112/max-deep-analysis-of-the-messenger в котором утверждается, что, прямая цитата, "Приложение "Макс", несмотря на отсутствие явных низкоуровневых эксплойтов, представляет собой мощный инструмент для глубокого и постоянного сбора данных о пользователе и его активности. ". и вывод этот делается из наличия разрешений и встроенного трекера собирающего данные об использовании приложения для разработчиков.
Весь ваш текст подмена моих тезисов на свои, не делайте так
где я и что подменял?
с таким отношением вообще не имеет смысла что-то доказывать
А только так, политика zero tolerance
прямая цитата
И в чем эта цитата не верна? Является? да, бесспорно. Делает? пока нет. Будет? Скорее всего да
безопасность общения максе равна безопасности общению в ВК
именно, но через ВК мало кто общается в наше время а те кто общается регулярно "ой". А в контексте замены тг/ws на макс, считаю что паники даже мало, должно быть больше. Наомню, что отсутствие судимости это не заслуга личности, а недоработка органов
Является? да, бесспорно. Делает? пока нет.
нет. и нет. приложение является инструментом для сбора данных только если у него есть функционал сбора данных. то есть, оно может этого не делать прям щас, но при определенных условиях сделать. пока не найден бэкдор позволяющий это сделать или пока приложение не поймано на этом, оно это не делает. с таким же успехом можно заявить, что калькулятор windows является ПО для слежки. да, мы не нашли в нем подобного кода и не поймали когда он это делал, но в теории ведь может?
именно, но через ВК мало кто общается в наше время
да не так уж и мало, у меня есть знакомые, которые только там мне и пишут)
А в контексте замены тг/ws на макс
зачем что-то менять? макс - это чисто корпоративный мессенджер для госорганизаций. чатик класса сделать, рабочий чатик в какой-нибудь бюджетной организации. общаться там на повседневные темы совершенно необязательно.
переносить из-за этого личные переписки в макс - довольно странная идея. это как из-за "замедления" ютуба переходить на рутуб вместо того, чтобы настроить впн.
Я вот на этих выходных был в регионе, где в половине города мобильный интернет порезан от души. Даже индикатор приёма в статус баре (те самые "палки") - с восклицательным знаком.
Никакие ВПН-ы просто не соединяются. А вот сервисы ВК и Яндекса - работают. До смешного причём: в Яндекс Мессенджере (его накатил и себе, и попутчикам чисто из принципа "не ВК") тоже висит предупреждение "Нет соединения", но сообщения сами по себе ходят.
Выглядит как белые списки, причём те эндпойнты, куда сервисы стучатся за проверкой коннекта, в них не попали.
у меня у коллеги в городе уже год почти не работает мобильный интернет. так вот, vless с маскировкой SNI под ВК работает :) то есть фильтрации по IP там похоже нет, только по SNI
Интересно, у меня есть несколько знакомых, которые просто держат обычный wireguard на самых дешевых рандомных впс - все работает без нареканий. Даже амнезию ставить не пришлось. Почему такое может быть? Протоколы блокируют по разному в разных регионах?
Если анализировать разрешения, то телега или ватсап ещё более страшные следилдо, ведь они на сборе данных и продаже рекламы как бы зарабатывают основной свой бюджет)))
Да ради бога, могу им даже фотки в голов виде прислать. Пока они от меня далеко могут собирать что угодно как угодно и так далее
Очень забавно, что макс внаглую нарушает 152ФЗ о персональных данных и всем плевать на это...
ТГ и WS, кстати, тоже. Но их не пихают всем в приказном порядке.
пруфов этого волшебного утверждения, я так понимаю, не будет?
Почему не будет? Там же всё элементарно!
MAX собирает Пдн. В том числе - биометрию. Согласно 152 ФЗ разрешение на обработку биометрических данных должно даваться ЛИЧНО субъектом этих ПДн. Это возможно только с наступлением совершеннолетия (есть соответствующее разъяснение РКН). А на MAX стоит плашка 12+.
Т.е. ребёнок сам даёт разрешение на обработку его ПДн, в том числе биометрии.
Так же я пытался на сайте найти "Согласие на обработку ПДн". Не нашёл. А это требование Статьи 9 часть 1.
А про биометрию Статья 11 часть 1
Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
Достаточно?
Доказать отсутствие чего-либо, как правило, невозможно или близко к тому. Именно поэтому чайник Рассела всё ещё на орбите.
Мы сейчас про массовый продукт или про кастомное решение? Кастомное решение я сходу и предложил. Но массовый продукт подразумевает общий сервер, иначе, как jabber, всё утонет в море появляющихся-и-исчезающих серверов. А сервер никак не проверить надёжно.
Из моих знакомых максимум 1 на 100 смогут заморочиться отдельным сервером.
Прекрасно! Вот только это предполагает
понимание, что такое "исходный код клиента с reproduceable builds";
умение этот самый код найти и собрать -
либо доверить кому-то, кто это сделает, и мы возвращаемся к проблеме доверия;
и, кстати, доверие тем, кто этот код проверил - для большинства это просто какие-то незнакомые слова в интернете;
наконец, главное, готовность государства на эту активность закрыть глаза; как только таким станет пользоваться более, чем три гика, государство придёт и пресечёт - либо баном, либо посадкой активистов. Любое достаточно государство с наличием бюджета на криминал/терроризм, начиная с ОАЭ и в перспективе даже Монако, наверняка.
Все верно, вот потому пользоваться инструментами у которых ЦОД как можно дальше от тебя - чудная идея.
А еще лучше end-to-end шифрование
Важен контекст. Если поменять чайник рассела на автомобиль тесла, то аргумент заиграет новыми красками.
Чайник рассела это пример непроверяемого необоснованного утверждения. А тут и оснований вагон и проверять на себе нет никакого желания.
Получается, что усилиями клоунов-адвокатов-ламптестеров вообще сбит фокус с безопасности сервиса в принципе для широких масс (в том числе и для других майоров) на "я посмотрел в глазок в двери - за мной в приложении никто не следит". Теперь доверия к любым доказательствам безопасности нет и небезопасное оно априори.
Вопросы безопасности для широких масс это не столько про "следит/не следит". Это и угон аккаунтов, и перехват сессий с целью получения кодов 2FA. А если и "следит", то кто? Обиженный сотрудник VK? Капитан за лейтенантом?
"макс сливает все данные о местоположении, все твои файлы, слушает микрофон и все это заливает на сервера ФСБ/СБУ/кого-то ещё". и это чушь, эта статья тому отличное подтверждение.
Пятнадцатирублёвая подмена. Не сливает, а может сливать.
Обсуждение идет уровня пикабушечки, а не технического форума, которым когда-то являлся хабр... да, уже не торт...
Приложения Госуслуг или налоговой так не обвиняли в кражах данных, борьбе со свободами и перекраске котов в зеленый цвет. Просто стоит признаться себе, что весь этот накат на приложение из-за того, что его навязывает государство административными методами. Никто еще не привёл пруфов того, что приложение делает что-то несвойственное для мессенджера, но куча участников уже набросила на вентилятор "а вот оно могёт!!!"
Мне лично пофиг на макс, телегу, ватсап и вайбер - я вообще за email+gpg ;) , но вот такая пропагандистская активность на ресурсе, где главным аргументом должны быть чёткие технические факты, это фуууу...
Не сливает, а может сливать.
не может. чтобы приложение на андроиде могло сливать постоянно данные в фоновом режиме, ему придется вручную разрешить безлимитное использование батареи и использование разрешений в любом режиме (что нельзя сделать через обычное окошко разрешений, только через настройки). а при желании у него можно вообще отобрать любые разрешения и оно никуда обращаться не сможет.
у меня вот на моём самсунге a30s со стоковым андроидом при закрытом (!) озоне и отозванных отовсюду (!!!!!!!!!) разрешениях на микрофон после диалога о антибликовых стёклах стали появляться в рекомендациях именно эти стёкла. а я их не просто не заказывал, они просто в видеозаписи на ютубе моментом засветились
факта два. первый: мой телефон меня слушает 24/7 нон стоп вообще и пересылает хер пойми куда хер пойми что, возможно вообще всем и вообще всё
и второй: никоим образом я ничего не докажу, а если и докажу — не знаю, как такое не то, что устранить, а даже повторно задетектить, ну или там как в прошивке поковыряться, чтобы всё оттуда вычистить, хотя бы для экономии батареи
так это гугл наверняка информацию для рекламы сливает, а не приложение озон. у него есть доступ и к смартфону, и к истории на ютубе. я также замечал, что у меня в яндекс.директе появлялась реклама чего-то когда на телефоне вообще ни одного приложения яндекса не было установлено)
Когда меня достало, что я не мог сходить поссать, чтобы не получить по приходу рекламу писуаров, я устроил на смартфоне Большую Чистку. Удалил всё китайское что смог, всё российское, а у остального поотзывал права по макимуму и снял все рекламные галочки которые нашел. И с тех пор вот уже почти пять лет - ни одного случая. Т.е. гугл может и слушает и отсылает, но очень старательно делает вид, что не слушает и не отсылает. И расход батарейки снизился в разы при одном и том же сценарии использования
чтобы были возражения по сути, нужно предъявить претензии по сути.
Ну типа: https://www.instagram.com/p/DOJTmQlDezs/
Справедливости ради, больше таких кейсов не встречал, так что на достоверности не настаиваю.
Мне кажется те кто пользуются телегой или ватсапом, но при этом показательно критикующих MAX (будто он чем-то принципиально отличается от вышеназванных), только потому что его продвигает сам темнейший, а не Пашка Дуров (наш слоняра!), ведут себя лицемерно. Вы так не думаете?
как-то оно пока иначе работает) какие-то одиночные сомневающиеся голоса только на околоайти ресурсах и есть, но обыватели их не читают. зато прочитали этот "разбор", поверили ему и теперь бегают всем рассказывают, что макс собирает все возможные данные и отправляет во все возможные инстанции от ФСБ до СБУ
И что они не правильно делают в контексте менеджмента рисков?
верить во всякую чушь, которую не понимаешь, без проверки - рисковано. лучше либо разобраться самому, либо попросить специалиста оценить насколько написанное правда
И любой специалист вам скажет что ваши опасения оправданы.
ну я вот вроде специалист (более 10 лет в разработке) и скажу, что написанное в том разборе - чушь. любое приложение собранное не из предварительно проверенных исходников потенциально может иметь незадокументированный функционал, но одно лишь наличие каких-то разрешений в манифесте совершенно не указывает на то, что приложение за тобой будет следить. а конкретных случаев злоупотребления разрешениями за эти пару месяцев так и не нашли, хоть и очень искали. так что, скорее всего никакого сбора лишних данных там нет и не было. но это не значит, что не будет, но когда будет - тогда и поговорим. вообще, это было бы очень тупо выпускать госмессенджер, который бы сходу с первой версии начинал следить. очевидно, что сейчас его будут под лупой изучать все, кому не лень. вот через годик-другой, когда всё уляжется и все привыкнут - тогда да, можно потихоньку что-то попытаться добавить незаметно. опять же, не в том объеме, в котором пишут (это сразу заметно будет). например, к приложению госуслуг уже давно все привыкли и оно у многих установлено. или рустор тот же многие ставят чтобы банковские приложения через него обновлять. какой смысл встраивать слежку в новый мессенджер, который очевидно будут изучать, если есть старые приложения, которые никто под лупой не изучает?
а причем тут разбор? Да плевать на разбор.
"В приложении а вести переписку довольно безопасно, в приложении б намного менее безопасно." - верно как бы приложение не было написано и даже если оно во веки веков останется пушистым.
Вы специалист с опытом в 10 лет и сразу же выкидываете из уравнения сервер в клиент-серверной архитектуре?
я не опровергал доступность переписки для спецслужб, это очевидно. вести переписку в максе ровно также безопасно, как и в вк. то есть, надо держать в голове, что отечественный товарищ майор легко получит доступ к этой переписке по первому же запросу. но для рабочих чатов внутри бюджетных организаций и всяких там обращений к госорганом вполне сойдет, там всё и так доступно майору.
я опровергаю только вбросы о том, что помимо основной функции макс ещё и собирает все возможные данные от местоположения до записи с микрофона и камеры или экрана (что якобы доказывается списком разрешений), и типа ставить его надо на отдельный смартфон, на котором больше ничего не стоит. именно этот бред последние пару месяцев продвигают из всех щелей на всевозможных сайтах)
Раз не опровергаете, значит чем больше опасений у обывателя - тем лучше. И если специалист будет говорить "да не, все норм" то это может закончится довольно печально в целом рядом сценариев. И на это и похоже и ваше сообщение и сообщения прочих оправдывателей. Если бы вы писали "приложение пока белое и пушистое, но потенциальный ужас кошмар и адЪ могут быть потому и потому" вам бы не то что слова никто не сказал, а поддержали бы.
значит чем больше опасений у обывателя - тем лучше
ложь во благо?) а если обыватель потом изучит вопрос и поймет, что ты ему наврал?
И если специалист будет говорить "да не, все норм" то это может закончится довольно печально в целом рядом сценариев
то же самое можно сказать и про сервисы ВК, и про сервисы Яндекса, и про Госуслуги, и про Rustore, и про приложения российских банков, и про все остальные отечественные приложения с закрытым исходным кодом. но против них почему-то такой информационной войны никто не развязывает. а тут прям вот именно мессенджер Мах - зло во плоти и обязательно при обновлении туда встроят какой-то бэкдор)
ложь во благо
То есть вы так хотите посмотреть? Ок, тогда скажите мне пожалуйста, почему в вопросе "сливает ли приложение данные" вы легко говорите "нет", умалчивая, что ваше нет относиться только к клиентской его части.
ты ему наврал
Я вообще не вру, вокруг и без меня лгунов достаточно. А на ты мы с вами не переходили.
то же самое можно сказать
Про ВК и говорят. В остальных приложениях переписка не ведется.
зло во плоти и обязательно при обновлении туда встроят какой-то бэкдор
И опять святая простота, снова забыли про серверную часть, какая прелесть.
То есть вы так хотите посмотреть?
так вы сами же говорите "значит чем больше опасений у обывателя - тем лучше", то есть намеренно предлагаете вводить людей без технических знаний в заблуждение, лишь бы у них было больше опасений.
Ок, тогда скажите мне пожалуйста, почему в вопросе "сливает ли приложение данные" вы легко говорите "нет", умалчивая, что ваше нет относиться только к клиентской его части.
так потому, что вопрос про слежку исключительно про клиентскую часть. серверная часть доступна спецслужбам, этого никто и не скрывает, более того, об этом открыто заявляют, как о преимуществе. вопрос тут в том сливает ли клиентская часть какие-то лишние данные о вас без вашего ведома, а не доступна ли ваша переписка товарищу майору.
А на ты мы с вами не переходили.
в интернете со времен форумов все по умолчанию разговаривают на "ты". но могу и на "вы", мне не сложно. просто как по мне странно обращаться к условно-анонимному Syrex'у на Вы.
то вопрос про слежку исключительно про клиентскую часть
Вовсе нет.
все по умолчанию
единицы
Syrex'у на Вы.
А к Пантелеймону уже можно? А Светлогору? А джону? А где грань?
Вовсе нет.
ну а смысл обсуждать серверную часть в государственном мессенджере? всем и так понятно, что спецслужбам все переписки там доступны, думаю даже далеким от айти людям. да и смысл тогда в советах ставить Мах на отдельный телефон? серверная часть от этого не поменяется.
единицы
на анонимных форумах без привязки к личности большинство.
А к Пантелеймону уже можно? А Светлогору? А джону? А где грань?
к кому угодно можно, четкой грани нет. но чаще всего грань проводят по анонимности. то есть если Petya123 и Vasya456 обсуждают в комментах на форуме особенности установки KDE2 на FreeBSD, то общение сразу ведется на "ты". если же это обращение к официальной страничке какой-нибудь знаменитости в соцсети или просто сообщение к человеку, который заведомо на поколение-два старше, то там можно и на "Вы". в общем в "виртуальном" мире где все под анонимными никами общаются на "ты", а если используют интернет как дополнение к реальному миру и в реальном мире бы обратился на "Вы", то на "Вы".
всем и так понятно
ничего похожего, см "произошла чудовищная ошибка"
Мах на отдельный телефон
Чтобы знали что штука опасная и к личному ее лучше даже не подносить.
четкой грани нет.
А по моему есть, всегда на "вы", если не оговорено обратное.
Что такое "Вы" я не знаю, какая то форма раболепия? Мы не азиаты, у нас нет этих степеней.
:-) История учит, если государство говорит "Колхоз дело добровольное!", значит скоро начнут "раскулачивать" и "ссылать за Урал"....
Сливать всё абсолютно у всех не обязательно. Конечно это бы значительно упростило и ускорило поиск интересующих товарища майора групп, но совершенно не обязательно. Допустим интересует товарища майора некто @fatheryan. Комменты какие-то не шибко верноподданнические пишет в ответ @pfr46. А посмотрим-ка что у этих двоих в телефончике, благо всего одно кнопочку надо нажать и минуту подождать (контакты и тексты будут сразу, фото и видео чуть дольше). Ага. И заодно у тех с кем упомянутые персонажи переписывались - клик на другую кнопочку.
Нет. Если бы я работал в структурах и моя задача была бы на постоянной основе получать информацию о интересующих меня людях, я бы сделал всё, чтобы клиент мессенджера был бы настолько безобиден, насколько это вообще возможно. Не включал бы даже геолокацию по приоритетным целям, ну может быть только в момент ареста. Данные на сервере и так слишком вкусная вещь, чтобы её терять, если население начнёт панически бояться устанавливать мессенджер.
MAX продвигают очень агрессивно, вход в госуслуги, предлагают МАХ, в школьном эл. дневнике был свой чат с преподавателями, потом родителей принудительно переместили во внешний сферум, сегодня обнаружил, без МАХ-а учителю уже не написать, сферум переместили в МАХ.
Они уже поняли, что облажались с этим Максом. И придумают другой способ контроля за населением — через свой "Г..."-портал, например. Стоит быть бдительными, чтобы наутро не проснуться в "дивном новом" мире тотального контроля.
Во-первых не поняли, а во-вторых не облажались. Поняли бы, если бы этот мессенджер сдох. Но им пользуются. А облажались бы, если бы была свободная конкуренция. Но не так давно двум самым массовым мессенджерам сломали звонки и вуаля, люди уже ставят, даже ставят за границей, чтоб звонить родным. У меня родственники некоторые уже поставили. Что мешает завтра добить сообщения? Впны? Будут запрещены рано или поздно, возможно даже раньше сообщений в телеге.
Это не облажались и близко. Это лягушка уже в кастрюле, крышка прикрыта и плита включена на слабый огонь.
Я, честно говоря, больше боюсь не утечек к товарищу майору, а какой-то фатальной дыры на пути к нему, через которую все данные вывалятся непонятно к кому.
Ну так поведение любого приложения может поменяться в любой момент. По аналогии с человеком - это как судить преступника до того, как он совершил преступление. Опять же мессенджеры вроде телеграма открыто сливают инфу правоохранительным органам. Ну то есть "преступление" уже совершено, причем об этом открыто говорится. Вы уже удалили его со всех устройств?
Все понимают, КЕМ и ЗАЧЕМ этот мессенджер был создан, и, мне кажется, этого достаточно
Я сейчас побуду адвокатом дьявола. Все знают КЕМ и ЗАЧЕМ были сделаны госуслуги. Давайте все перестанем им пользоваться. Все знают КЕМ и ЗАЧЕМ был сделан гугл хром, давайте удалим его. Все знают КЕМ и ЗАЧЕМ делаются фейковые фото якобы круглой земли (sarcasm). Все знают - это не аргумент
Мне кажется, единственный надежный способ обезопасить себя от возможных проблем, если таковые вам кажутся реально возможными, это - авиасейлз
На необитаемый остров. И то придется закопаться глубоко под землю, чтобы со спутника никто не видел чем вы занимаетесь. Все же понимают КЕМ и ЗАЧЕМ спутники сделаны и запущены?
Вряд ли такими титаническими усилиями будут навязывать что-то хорошее.
Ну вот в китае так же изначально распространялся вичат. Сейчас это главное приложение всей страны, и зная, насколько прочно оно в жизнь людей вошло - ничего плохого я в этом не вижу.
Всегда будет категория людей, которая станет отрицать любую инициативу, придумывать теории заговора и убеждать всех вокруг в своей правоте пустыми криками.
Так можно сказать про абсолютно любой мессенджер с закрытыми исходниками(привет ватсап, вайбер, фейсбук и тд.)
4 августа 1945 года делегация советских пионеров преподнесла послу США Авереллу Гарриману подарок — деревянное изображение Большой печати США. Посол повесил подарок на стене в своём кабинете, не подозревая, что внутри был встроен эндовибратор. Герб в кабинете посла пережил четырех хозяев, пока в 1952 году завербованный ЦРУ офицер ГРУ Петр Попов не предупредил американцев об информационной утечке из посольства. До получения агентурной информации от Попова о подслушивании американцы периодически проверяли кабинет, но ничего подозрительного не находили.
Меня умиляют все вот эти вот посты в стиле "смотрите, Паниковский стоит перед вами уже 15 минут и таки ничего не украл ещё". Почему вы решили, что в будущем ничего не изменится? Главная проблема макса в том, что все сообщения во всех переписках могут и будут читать сотрудники российских спецслужб. Телефон ваш любой опсос и так прекрасно отслеживает, никакие приложения для этого не нужны. Вторая проблема в том, что на этот мессенджер пытаются замкнуть всё, сделав эдакий аналог WeChat. Почитайте, как здорово тем китайцам, кого в вичате банят. Это, кстати, к вопросу, чем макс станет в будущем и куда всё идёт. Подождите, когда туда пересадят большинство россиян, заблокируют альтернативы и потом повторите эксперимент. Предварительно, для верности, можно устроить с другом шуточную переписку с планами свержения диктатора Океании (но лучше не надо).
Естественно он про Вас ничего не шлёт. Кому Вы нужны, за Вами шпионить? Вы сначала попадите в федеральный розыск, или хотя бы станьте иноагентом, а потом смотрите. Вот тогда будет интересно. )))
Что вы так прилипли к клиенту?
Он будет самым белым и пушистым в мире. Вы получите его сорцы по ГПЛ и по всем возможным лицензиям. У вас он будет полностью октрыт, и вам даже будут давать делать неофициальные клиенты. Даже плагинов понадают.
Не бойтесь за клиент, с клиентом всё всегда будет хорошо. Клиент - это абослют. Даже Сигнал по-сравнению с МАКсом покажется самым закрытым куском каки.
Задайте себе один вопрос:
А что сервер?
Всё.
На этом вы можете закрывать все разговоры о том, что клиент белый как белая горячка.
Вы получите его сорцы по ГПЛ и по всем возможным лицензиям. У вас он будет полностью октрыт, и вам даже будут давать делать неофициальные клиенты. Даже плагинов понадают.
Вот только даже этого не делают.
Возможно потому что с открытым клиентом - можно например в неофициальных сборках... шифрование полноценное прикрутить (да - будет заметно на беке либо значительный рост трафика из-за стеганографии либо что он шифрованный (чисто по энтропии))
Кроме причины с шифрованием можно и другие придумать:
т.к. приложение написано не с нуля а переделано из Там-Тама, наверняка в нем куча заморочек с легаси компонентами и авторскими правами на них. Вангую что если когда-нибудь и будут выкладывать в опенсорс, то только написанную с нуля версию.
т.к. туда собираются интегрировать госуслуги, то открывать код не будут по тем же причинам по которым не открывают код банковских приложений.
смысла нет т.к. популярности это не прибавит - большинству на исходники пофиг, а те кому не пофиг и так понимают что основная проблема в сервере, а не в клиенте.
А ещё можно будет плодить клонов с добавочным функционалом, не отличимых от настоящих, ага.
Да вот я о том думаю с первой статьи, какой прок от анализа клиента? У нас кроме прямых интересантов есть еще тот факт, что сейчас за очень небольшую денежку по человеку такииииих данных можно найти через сливы вообще любых баз, что шпионы лет назад локти бы куснули себе от зависти.
Нет, это глупость.
Во-первых нормальное e2ee легко скрывает содержимое переписки от владельцев сервера кроме самого факта переписки.
Во-вторых очень сильно может меняться содержание пересылаемых на сервер данных.
С одной стороны — я понимаю зачем Макс. С другой — нужна причина, чтобы следить за мной. С третьей стороны — мне не очень приятно, что за мной следят, даже при том, что я полностью законопослушный гражданин и вообще зачем он нужен, если есть старые и устоявшиеся варианты?
даже при том, что я полностью законопослушный гражданин
Достаточно подписать очередной закон, и внезапно окажется, что вы уже лет десять не являетесь законопослушным гражданином.
ПРОЕКТ ДИРЕКТИВЫ "О ПРИВНЕСЕНИИ ПОРЯДКА"
[...]
§ 2. Однако наряду с достигнутыми достижениями вредоносное действие Второго закона термодинамики, а также закона больших чисел все еще продолжает иметь место, несколько снижая общие высокие показатели. Нашей ближайшей задачей становится теперь упразднение случайностей, производящих хаос, нарушающих единый ритм и вызывающих снижение темпов.
§ 3. В связи с вышеизложенным предлагается в дальнейшем рассматривать проявления всякого рода случайностей незакономерными и противоречащими идеалу организованности, а прикосновенность к случайностям (пробабилитность) – как преступное деяние, либо, если прикосновенность к случайности (пробабилитность) не влечет за собой тяжких последствий, как серьезнейшее нарушение служебной и производственной дисциплины.
[...]
"... На следующем листе был приказ об отдаче под суд сотрудника группы Научной охраны Х. Тойти в соответствии с Директивой «О привнесении порядка» «за злостное потакание закону больших чисел, выразившееся в поскользнутии на льду с сопутствующим повреждением голеностопного сустава, каковая преступная прикосновенность к случайности (пробабилитность) имела место 11 марта с. г.». Сотрудника Х. Тойти предлагалось впредь во всех документах именовать пробабилитиком Х. Тойти..."
(c) А. и Б. Стругацкие, Улитка на склоне
С другой — нужна причина, чтобы следить за мной.
Эта причина может быть вне Вас. Например, нехватка палок у какого-нибудь лейтенанта для премии, недовыполнение плана по штрафам, разговор в курилке отделения Э типа "а спорим на коньяк, я любому могу двушечку припаять", соцсоревнование по палкам между отделами, подгонка показателей раскрываемости к светлому празднику тезоименинства.
Вот не понимаю эти планы. Я может наивно рассуждаю, но разве не выгоднее, чтобы человек работал и платил налоги нежели его посадят? Если он не на кого ничего лишнего не говорит и даже видео не смотрит, в которых может быть хоть малейший намёк на незаконность.
Налоги человек платит "всем", "государству в целом", а вот "звездочку" получит конкретный лейтенант...
К сожалению социальные отношения не поддаются логике. Какой-то социальной группе выгодно, чтобы вы работали и платили налоги, но им конкретно на вас - наплевать. Другой - чтобы вы не работали (конкуренты). Третьей - посадить кого-то (необязательно вас). Четвертой - интересны лично вы (друзья, родственники), но у этой группы нет власти. Пятой выгодно, чтобы вы сдохли и не коптили небо (мифическая группа иезуитов-масонов). Удивительно вообще, что человечество как-то выживает.
— Они будут на четвереньках ползать, а мы на них плевать!
— Зачем?
— Удовольствие получать.
— А какое в этом удовольствие?
— Молодой ещё… (с)
Надо ж какие-то стимулы для сотрудников придумывать. Вот есть системный администратор (мы же на айтишном ресурсе пока ещё).
Как понять, всё хорошо работает потому что он хорошо работает или потому, что в целом современные технологии так хороши?
Опытные менеджеры собрали аналитику, подумали. И выяснили, что есть такие события как инциденты разного характера. Инциденты по ИБ, инциденты по отказам.
Помимо этого есть всякие заявки от пользователей на устранение возникших проблем.
И придумали опытные менеджеры. Что ИТ-инфраструктура работающая бесконечно бесперебойно это утопия. Что и инциденты будут, и заявки от пользователей.
А раз такие события есть, то нет проблем провести ретроспективный анализ количества таких событий и составить некий план выполнения их в будущем. А т.к. труд должен быть трудным, накинуть 10% на эти средние значения.
Вот и получается, что системный администратор должен в месяц решать 2 инцидента по ИБ, отрабатывать 30 заявок от пользователей и дважды в месяц проводить плановые работы по обновлению инфраструктуры в ночное время.
А через годы причины возникновения всех этих методик забываются, остаются только обязанности. Вот и приходится нашему системному администратору два раза в месяц подключаться с к своей инфре с иностранных IP, просить пользователей писать заявки о том, что принтер/мышка/клавиатура опять не работает и придумывать несуществующие обновления.
Потому что иначе премии лишат.
А через годы причины возникновения всех этих методик забываются,
А не важно забудутся ли они, потому что как правило такие дебильные KPI очень быстро приводят к тому что система начинает обслуживать именно их, в ущерб нормальной работе.
Госаппарат это не гомогенная структура. В наше время это наиболее наглядно когда одни департаменты своими непродуманными законами вставляют палки в колёса другим департаментам.
И кпи у всех разное. Садить вас будут не по распоряжению лично президента, а потому-что майору нет дела до ваших налогов, но есть дело до раскрываемости.
Правила игры такие, что выгодно шить дела, из-за требования палок и отсутствия рабочей системы наказания. Ты можешь быть идейным, но если коллеги идут по легкому пути, то повышение получат они, а не ты.
А еще государство - это не единая сущность с принципом общей выгоды, а куча разных госорганов, и у каждой свои метрики и цели
Государству в целом и в долгую — выгоднее. В примерах — либо местная инициатива, либо нечто сиюминутное без учёта долговременных последствий, ибо на них наплевали.
Я полагаю, что человек еще ниразу не сталкивался с "нет оснований не доверять сотруднику полиции"
Например, нехватка палок у какого-нибудь лейтенанта для премии, недовыполнение плана по штрафам, разговор в курилке отделения Э типа "а спорим на коньяк, я любому могу двушечку припаять", соцсоревнование по палкам между отделами, подгонка показателей раскрываемости к светлому празднику тезоименинства.
По-моему это все и без Макса можно.
Пусть хотя бы сделают клиент для iPhone чтоб можно было скачать
законопослушный гражданин
Это не ваше преимущество, это их недоработка, которую они очень оперативно исправляют
Удобный поиск по перепискам как раз может дать причины, чтобы следить за вами.
Будь он хоть трижды секурным и четырежды безопасным, я не собираюсь его использовать, т.к. мне претят методы его продвижения и неприятны его бенефициары.
Его проблема не только и не столько в клиенте (и, к слову, если сейчас он белый и пушистый, это ничего не гарантирует в дальнейшем, т.к. см п. 1)..
Все эти статьи с вольным или невольным демедж-контролем про то, что "Макс безопаснее Вацапп и Телеграм" вызывают смешанные чувства неловкости и горько иронии и, если честно, порядком утомили, т.к. де-факто серьезного исследования со снифферами и прочим я не видел.
вызывают смешанные чувства неловкости и горько иронии
Есть весьма ненулевая вероятность что люди кто шумиху вокруг проблем узнал реально попытались разобраться, ну как знали так и сделали.
То что получились вообщем то ожидаемые результаты и из этого многими будет сделан вывод что вся шумиха - нагнетается совсем не для защиты пользователей а с враждебными целями - плохо но ожидаемо.
А вот где (на мой взгляд) могут быть проблемы :) (и проверить это будет служно):
обновления - там точно не всплывет что-то совсем некрасивое? А у рустора точно нет поддержки отправки целевых обновлений под конкретных пользователей
преднамеренных дыр (через которые можно сделать RCE) в парсерах картинок и текста точно нет? А НЕпреднамеренных? Исходников нет - чем то вроде PVS Studio не проверишь и только фаззить что сложно
доверие к разработчику в сложных ситуациях. Вот вспоминаем историю с Russian Trusted CA. Яндекс подробно описал зачем оно нужно и какая реальная польза юзерам, а также - как эта поддержка технически сделана чтобы работал заявленный функционал а вот MITM - не прошел (там чуть сложнее чем "а мы его считаем полноценным Root CA и доверяем всему что подписано"). Даже патч предложили для других браузеров на Chromium. https://habr.com/ru/companies/yandex/articles/655185/ https://habr.com/ru/companies/yandex/articles/667300/. Комментариев там что это можно обойти - куча, как и ответов почему так не будет. Яндекс хотя бы попытался.
А даже если и будет исследование со снифферами, которое покажет, что все чисто, это ничего не изменит, потому что следующей версией они могут включить все, что угодно
В смысле? Как так? А как же личный ФСБ куратор? А как же слив личных файлов? Ведь в максе нет шифрования, и значит его легко взломают и выкрадут все мои фотки счетчиков за 9 месяцев!
Когда комментаторы Хабра успели превратиться в комментаторов Пикабу? Или тут повсеместно сидят обладатели ЦП, продажники паспортов в даркнете и покупатели короткостволов?
Интернет уже как больше десяти лет не safe place для своих мыслей, а цифровой лагерь в каждой стране мира, а все разводят такую панику, как будто впервые такое случилось.
Ваши данные также успешно может слить властям ТГ, ведь давно известно что Дуров сотрудничает с властями стран. Если гос-во захочет, оно до вас дотянется, и им даже не понадобится третьесортный мессенджер для этого, им хватит вашего ПК, смартфона и одного фургона СОБР. Больше удивляет, что поверхностные статьи уровня ChatGPT с разборами MAX набирают множество плюсов, ведь заголовки "MAX шпион" звучат громче подробных и непредвзятых разборов. Welcome to Pikabu 2.0
Автору безмерное спасибо за островок здравого смысла
Так вы этому рады?
Спасибо! )
выражаю солидарность
да и в целом фургона СОБР с паяльником хватает)) (это не всерьёз)
Интернет уже как больше десяти лет не safe place для своих мыслей, а цифровой лагерь в каждой стране мира, а все разводят такую панику, как будто впервые такое случилось.
С учетом того, как Макс пропихивают (блокировкой других мессенджеров, буквально выворачиванием рук бюджетникам и т.п.) - да, впервые такое случилось. И именно поэтому я этим поделием пользоваться не буду, будь он хоть трижды чист и безопасен.
Автору безмерное спасибо за островок здравого смысла
А давайте про здравый смысл - расскажите, почему вам так нравится Макс, что вы его адвокатируете?
Когда комментаторы Хабра успели превратиться в комментаторов Пикабу? Или тут повсеместно сидят обладатели ЦП, продажники паспортов в даркнете и покупатели короткостволов?
Какая типичная манипуляция, хоть бы что-то новое придумали, а то в каждом топике про Макс десятки таких однотипных "аргументов"
Как вы удобно подогнали мой коммент под своё виденье.
1. Я работал в бюджетной сфере, и уже сто раз насмотрелся этих Сферумов вместо Вотсапов, Астралинуксов вместо Виндовсов и МойОфисов вместо МСофисов. У вас такая истерия, т.к. для вас это в новинку и вы не ожидали того, что весь Рунет скатиться под госконтроль?
2. Где я адвокатировал по вашему Макс? Я в первую очередь адвокатирую нормальные статьи с нормальными разборами на Хабре, а не ChatGPTшный шлак со страниц желтых журналов.
А давайте про здравый смысл - расскажите, почему вам так нравится Макс
Человек написал фразу, сходную смыслу "неужели тут кто-то решил ответственно подойти к разбору Макса, без гопоты и пристрастий, проверить че получится, все залил по факту, без прикрас и без выражения собственного мнения, оставляя это комментаторам, благодарю"
Также комментаторы:
Какая типичная манипуляция, хоть бы что-то новое придумали
Прости, что возьму твою пикчу ниже, но:
Либо тут ботов полно, я хз
А вам безмерное спасибо за островок здравого смысла в комментариях. Читаю и удивляюсь. Либо тут ботов полно, я хз. Хабр уже не тот.
Ботов действительно полно. Одни говорят: вот, смотрите у Макса даже разрешений поменьше чем у телеги будет. Другие: Смотрите, смотрите - Макс только к своим серверам подключается. Третьи аплодируют таким "расследованиям" и восхищаются авторами. Цель "расследований" - застолбить пространство в медиа, чтобы в выдаче на первом месте ссылочки, убеждающие в безопасности были. Ну и сместить фокус на нечто несущественное, чтобы убедить нас в безопасности того, что по сути представляет смертельную опасность для любой категории граждан. Для любой. Поэтому "А нас-то за что?" будет звучать всё чаще.
Люди могут ограничить себя в том, что они пишут на форумах и порталах или в телеграмм каналах. А вот в диалогах и тем более в звонках столько дискредитации, экстремизма можно будет найти, что мало никому не покажется.
Ботов действительно полно. Одни говорят: вот, смотрите у Макса даже разрешений поменьше чем у телеги будет. Другие: Смотрите, смотрите - Макс только к своим серверам подключается. Третьи аплодируют таким "расследованиям" и восхищаются авторами.
Здесь в комментариях действительно полно аккаунтов, спавших по полгода-год, потом ВНЕЗАПНО проснувшихся в августе 25 и начавших хором с места в карьер рассказывать, что MAX хороший, безопаснее WhatsApp с Телегой, про "истерию хомячков", "вы никому не нужны", "не делайте ничего противозаконного и все будет ок" и прочее. Ни разу не подозрительно, конечно. На месте модераторов и администрации ресурса я бы присмотрелся, но им виднее, разумеется.
спасибо за островок здравого смысла!
На месте модераторов и администрации ресурса я бы присмотрелся, но им
виднеезанесли, разумеется.
There, FTFY.
Даже лучше, тут в топиках несколько раз проскальзывали идентичные комментарии в защиту макса и прочего, что сейчас нужно демеджконтролить, т.е не просто схожие по смыслу, а буквально идентичные от разных пользователей.
Смешно и грустно одновременно.
"Ну подумаешь еще на полсантиметра глубже!" Я Вас услышал.
Согласен, не понимаю чем все всепропальщики занимаются что бы товарищ майор сидел и лично следил за ним, мания величия никак иначе. Вы никому не нужны, а когда понадобитесь терморектальный криптоанализатор расшифрует любые сверхсложные шифрования и взломает суперсложные пароли)))
На колу мочало, начинай сначала...
Незашифрованный массив переписки как раз сильно упрощает предыдущий этап воронки - превращение обывателя Васи из "никому не нужен" (а точнее "про него даже не слышали") в "понадобился". Банальным поиском по ключевым словам.
А какими они будут завтра - хз. Вон, у соседей Винни-Пух внезапно под запрет попал.
У соседей Винни-Пух не внезапно и не просто так под запрет попал. Его юзали для завуалированного упоминания Си и сам знаешь в каком ключе:)
Равносильно тому, если бы Путина называли Бункерным каждый вокруг, вот только последнее чето не блокируют и не отслеживают:)))
Это и называется "внезапно". Потому что для тех, кто постил скриншоты из соответствующего мультика до зарождения эвфемизма (или даже после, но будучи не в курсе) то, что их контент стал нарушением - действительно сюрприз.
А так в каждой избушке свои игрушки. В какой-то момент и до советских плакатов "Миру - мир" докапывались.
Это и называется "внезапно"
Ну да, подумаешь, "внезапно" аж с 2013 по 2017 года постоянные мемы, которые просто на очередном резком всплеске были забанены. Целых 4 года бедные китайцы ничего не знали, какие распрекрасные сказки)
или даже после, но будучи не в курсе) то, что их контент стал нарушением - действительно сюрприз
А, и кстати, стал только контент в соцсетях, но не сам мультик, книги и персонаж. Шанхайский Диснейленд подтвердит:)
Когда то во вконтакте можно было свободно писать ,лайкать ,отправлять фоточки. А теперь за неправильные фоточки лет 10 5 назад, сохраненные , запощенные можно отхватить штраф , а то и административку или уголовку. Также и Max, главное подсадить на иглу. Сегодня безобидное сообщение, фоточка, песенка, завтра будет причиной штрафа, а то и срока, или поражения в правах, как длящееся преступление.
А вот телеграм может подобное только по официальному запросу, в иную юрисдикцию. За фоточки и песенки , и теперь поиск, никто такие запросы делать не будет.
Я, честно говоря, совсем не понимаю, как можно мониторить приложение, используя другое приложение в том же инстансе операционной системы. К тому же после честного признания, озвученного в пункте 5 списка Вводных. Я бы, если и взялся за подобное мероприятие, то как минимум отключил бы мобильный трафик, зацепился за свой WiFi, и мониторил сетевую активность смартфона на маршрутизаторе. А данные, полученные на самом смартфоне, использовал как дополнительные для более точной идентификации отдельных коннектов и их корреляции с активностью в приложении.
Так сделайте статью. Я обязательно прочитаю и дам вам потом пару советов )
Увы.
Во-первых, пункт 5 из ваших вводных относится и ко мне - в полный рост.
Во-вторых, у меня, как это не странно, нет особого предубеждения против мониторинга моей активности. Объяснять, почему так - и долго, и бессмысленно, но если коротко, то это борьба с ветряными мельницами, ну или сродни осуждению силы тяжести.
А главное - я не потяну статью. Хорошо не получится, плохо не стану. Так что извините за то, что не оправдаю ожиданий. То, что я вижу минусы, вовсе не означает что я могу их исправить или избежать. А мнение - так оно мнение и есть. Забейте.
PS. Да, MAX у меня на текущий момент не установлен. По весьма прозаической причине - просто пока что его функционал мне не нужен либо обеспечивается иными уже имеющимися программными средствами.
Честно говоря, вся эта истерия с MAX полная чушь. Я уверен (доказать конечно не могу), что более чем у половины возмущающихся слежкой установлен какой-нибудь ВК, приложения Яндекса (Карта, Такси, Музыка), приложение Сбера, Тинькоффа, Госуслуги с RuStore в конце концов. RuStore вон вообще решили предустанавливать. Но то, что следить могут через них никого не волнует почему-то.
Мне кажется смысл Макс был не в слежке, а в тупом распиле бабла. Особенно учитывая, что mail.ru (который теперь ВК) терпит убытки. Взяли грант у государства на пару миллиардов рублей, навайбкодили приложение, а что бы этим г хоть кто-то пользовался решили устроить себе монополию.
что бы этим г хоть кто-то пользовался решили устроить себе монополию
Одно не отменяет другое, вероятно. Возможно, люди рассматривают это как предвестник "доступа в Интернет по паспорту", и, учитывая связь махинаторского приложения с государственными и другими службами, вопросы качества, по-видимому, вызывают у них озабоченность. Тем более, что всех школьников и пожилых людей по сути обязывают резко устанавливать это махинаторство, то вопросы безопасности из-за утечки данных в заинтересованные руки также вызывают озабоченность. В конечном итоге, раз махинаторство государственное, то никто не отвечает за проблемы и воровство, вот и волнение. К банкам бывает примерно похожее отношение, что покупаешь что-нибудь крупное и начинаются звонки с "предложениями". А в случае махинаторского приложения - тем более.
смысл Макс был не в слежке, а в тупом распиле бабла
Не перестану напоминать: заинтересованных лиц много, мотивации у всех разные. Кому-то просто свербит от того, что в публичных ТГ-каналах пишут всякое, и быстро заткнуть не получается. Кто-то хочет читать все переписки не вставая с кресла. Кто-то хочет заработать напрямую на импортозамещении. Кто-то раздосадован тем, что трафик даже голосовой в мессенджеры перетёк.
В целом для вот этого вышеперечисленного даже не нужно супершпионское приложение делать, просто работоспособного мессенджера хватит.
Разница в том, что через перечисленные вами приложения (ну, кроме ВК) сложно наговорить товарищу на очередную статью о дискредитации очередных особенно уважаемых групп населения, а вот через Скам это никаких проблем не составляет.
более чем у половины возмущающихся слежкой установлен какой-нибудь ВК, приложения Яндекса (Карта, Такси, Музыка), приложение Сбера, Тинькоффа, Госуслуги с RuStore в конце концов.
Через эти приложения я не общаюсь и файлики не пересылаю!
Если вы это делаете - поделитесь способом!
<душнила>
В сберовском приложении есть встроенный мессенджер. В госуслугах тоже есть зачатки общения (с госорганами) и можно пересылать файлики. В Яндекс.Картах можно ставить пометки с фразами, а в Такси общаться с водителем. Насчет Тинькофф не знаю, коллеги подскажут... ;))
</душнила>
К тому же отсутствие функционала мессенджера не мешает перечисленным приложениям быть потенциальными шпиёнами. Поэтому я не даю приложениям "лишних" разрешений, в iOS это еще и батарейку экономит, насколько я вижу - если не разрешить приложению "уведомления" и отключить для него "фоновое обновление данных", то в фоне оно не работает ;)
А что будет, когда все привыкнут, что это безобидно?
пошёл ставить
Я дико извиняюсь, возможно, напридумывал себе много всего) Но...)
человек, занимающийся пентестом, понимающий как и что работает, для просмотра запросов использует adGuard? Есть мощное чувство, что теоретически кто то мог "попросить" сделать именно так :с
Множество коментаторов говорят про бек... Да, опять таки, сервак проинспектировать анрил, клиент де факто не использует p2p, поэтому концептуально разговаривать о клиентской заглушке - мало смысла
Что остаётся делать? Разворачивать свои сервера Matrix XDD
Имхо, бабушка пускай ставит себе на телефон, тут разглогольствовать долго не нужно. Ей по барабану на шифрование или его отсутсвие, абсолютно всё равно будет ли это телеграмм или макс, что происходит на сервере, есть ли триггеры, или даже общается она через обычную сетку или по низкочастотному диапазону радиосигнала через всратый передатчик без опенсорса. Ей главное что бы соседке можно было позвонить и поболтать про сад часа 2-3)
никаких притензий или нытья нет, если так кажется - извините
статьёй доволен
Я никому не запрещаю сделать обзор с wireshark. Много кто советует, а вот делать что-то никто не хочет. И я не увидел каких-то аргументов по AdGuard. Что с ним не так?
извините меня, написал с горяча
я не говорил что статья плохая)
ну концептуально, для нагнетания саспенса аудитории, было бы интересно посмотреть головы/тело/ответы))
я прекрасно понимаю, что смысла в этом 0
ну, AdGuard концептуально показывает только использованный трафик и на какой ресурс долбятся пакеты
я не прошу/ил делать разбор всех пакетов, чуть выше написал, что это лишь мемная история про "макс следит за вами, не устанавливайте его")))
я же сам пишу про то, что мнительные люди пускай ставят себе какой нибудь matrix или что то подобное
Это что, первая грамотная статья? У меня что день рождения? Теперь хочется посмотреть на нытиков, что они теперь будут про MAX говорить
Скажите, а вы через полгода неактивности разморозились и начали исключительно в топиках про MAX и исключительно позитив о нем писать от чистой и большой любви к нему? Нет, я верю, верю, конечно, разве могут быть сомненья... Поведайте, пожалуйста, чем он вам так люб и дорог, что вы аж с днем рождения собственным сравниваете?
Все просто. Я "разморозился", потому что появилась тема, в которой куча некомпетентных людей ссылаются на статьи с полной умственной дисфункцией, где обозревают манифест макса, и говорят "ну вот это разрешение позволяет делать то-то, а это уязвимость, и вообще всю вашу биографию вплоть до прадеда украдут",а по факту гуглишь эти разрешения, и ничего такого не находишь. Мне не нравится, когда какой-то продукт хейтят необоснованно. И вот наконец-то появилась первая статья, которая предлагает хоть какой-то объективный подход. Ну или, разумеется, я бот. Очевидно же). А максом я не пользуюсь, и пока не планирую. А пишу коменты больше исходя из справедливости, чем из желания защищать продукт
куча некомпетентных людей ссылаются на статьи с полной умственной дисфункцией, где обозревают манифест макса, и говорят "ну вот это разрешение позволяет делать то-то, а это уязвимость, и вообще всю вашу биографию вплоть до прадеда украдут",а по факту гуглишь эти разрешения, и ничего такого не находишь
Ну то есть специалистом вы не являетесь и в теме не разбираетесь (раз вам пермишены гуглить приходится), но мнение имеете и при этом однозначно навешиваете ярлык "умственной дисфункции"? А, если являетесь, почему бы вам самому не написать статью с исследованием?
Мне не нравится, когда какой-то продукт хейтят необоснованно <...> А максом я не пользуюсь, и пока не планирую. А пишу коменты больше исходя из справедливости, чем из желания защищать продукт
Хм, очень странное обоснование. Если вы не пользуетесь, никак его не касаетесь и вообще "мимо крокодили", почему же вы так рьяно защищаете именно это поделие (и только его)? Не могли бы вы пояснить, что в данном случае вы понимаете под справедливостью?
1) А нужно быть специалистом, чтобы, видя 2+2=5, сказать что это ересь и 2+2=4?
2) Специалистом по андроид разработке не являюсь, а если бы и являлся, то статью не написал бы, потому что за потраченное время мне никто не заплатит, а энтузиазма переубеждать толпу, у которой нет критического мышления, у меня нет.
3) Очевидно, что я защищаю именно его так как именно он и вызвал шумиху, как в свое время цифровой рубль.
4) Под справедливостью в данном случае я понимаю защиту чего-либо, что подвергается необоснованной критике. Если вдруг выяснится, что макс действительно собирают перс данные и отправляет на Лубянку, то очевидно я не буду защищать. Но люди же начали говорить об этом не имея никаких хотя бы косвенных фактов.
Вам в прикол бегать под каждый заминусованный коммент в этой статье, писать свою очередную истерию про слежку в МАХ и обвинять несогласных в том, что они боты?
Дружище, вы сами подходите под свои же критерии бота. Вы тоже с начала августа не писали комменты, а тут вдруг начали. Но я вас не обвиняю, есть такая вещь, называется - мнение. И у вас оно свое, правильное, а у других его нет, ведь они боты.
Ну и как я понял, вы в теме заядлый специалист, раз уж вываливаете свое экспертное мнение (коего уже на статью собралось) на остальных. Почему сами тогда статью не напишете?
Странный обзор, если не пользоваться приложением, то ему и отправлять нечего или вы думаете, что это чисто шпионское приложение, но тогда оно должно быть способно на большее. Начните общаться по нему больше чем по телеграмм и тогда можете сравнивать активность, хотя для меня отрицательным моментом является отсутствие сквозного шифрования и это говорит о том, что вашу переписку смогут легко прочитать и т.д. В ином случае для прочтения нужен будет доступ к вашему телефону и программа позволяющая восстановить сообщения.
Ну были статьи, где писали, что стоит п просто установить MAX, как всё содержимое телефона сразу утечет. Имхо, это ложь, я это проверил. А пользовался я им достаточно активно больше месяца и даже написал почему - тут не понимаю претензии...
Ну были статьи, где писали, что стоит п просто установить MAX, как всё содержимое телефона сразу утечет.
Это же не соломенное чучело, правда? Не затруднит ли приложить ссылку на хабрастатью с подобным утверждением?
На хабре не видел и не искал, но вот из тех https://www.tbank.ru/invest/social/profile/FantasTicheskieTvari/b9bdc26a-56d3-4c41-bc0a-bc3459c3445e/?author=profile
Даже в этой, совершенно никчемной "статье" на развлекательном ресурсе за авторством абсолютно хер пойми кого, ничего подобного не написано.
Ну были статьи, где писали, что стоит п просто установить MAX, как всё содержимое телефона сразу утечет.
Имхо, это ложь, я это проверил (с)
Вы погуглите и поищите в телеграмме. Вот пример: https://t.me/cybers/27931 Это канал с 2 млн. подписчиков. Тогда в августе эту новость разносили очень массово.
Вот пример
пример чего, простите? Фразы "стоит п просто установить MAX, как всё содержимое телефона сразу утечет" или ее аналогов там всё ещё нет. Я правильно понял по вашим сбивчивым ответам, что эта статья написана, чтобы "проверить" "утверждение", которого никто никогда не делал, а поводом стала новость в развлекательных школопабликах
Екатеринбургский аналитик на фоне появления новых мессенджеров в целях безопасности советует завести для новинок отдельный телефон
Большое дело, поздравляю! Ответ в стиле "хз че там внутри, но отсылаемый пакет маловат, значит мессенджер безопасен" получился максимально подходящим по уровню. С площадкой промахнулись, но это мелочи
Я примерно именно такие формулировки и слышал от людей не в IT, т.е. вот всё что тогда выливалось активно, для них упростилось примерно до вот такого. А собралось оно из "имеет доступ ко всему", "мощный инструмент для глубокого и постоянно сбора данных", "ведёт себя как шпионское ПО" и т.п. формулировок. Ну и про "сливает" - было например в кликбейтных заголовках.
Ну или
«Сбор максимума информации» (Иван) — зачем ЦРУ, если есть MAX? Ваши фото, геолокация и размер носков уже летят в Калифорнию (или Чили)! «Спасибо» за доверие, Maiiru Group (она же VK)!
отсюда t.me/matery_planety_statiy/3042 (ну это то что мне скидывали как аргумент что макс шпионит хД)
Было еще, но площадки похоже удалили самый треш. К сожалению по слову max тяжко искать в чатах
А разгонять тему в принципе начали еще в конце июня +/- вот с этого t.me/skamshot/23014 мне особенно нравится посыл что оно будет через библиотеку для просмотра фото сливать информацию за границу, потому что там в топе контрибьютеры украинцы (которые правда 100500 лет не котрибьютят ничего). И ведь люди это репостят, для них это непонятный набор слов, но это аргумент.
Как мне кажется, тут не так важны точные формулировки того, что из всех щелей лилось, как то какое впечатление оно оставило у пользователей. И одного критического мышления у людей тут мало, так же и в платформе знания нужны, потому что, как оказалось, даже среди IT далеко не все представляют что за теми или иными разрешениями скрывается (хотя казалось бы глянь документацию, первая же ссылка в гугле, а не транслируй какой то левый паблик/блогера), что уж говорить о не-IT.
Лично наблюдал как после установки макса стал вылетать ватсап. Чистка кэша и переустановка не спасала. После сноса макса всё заработало.
Да, видел только у одного товарища. Телефон лично держал в руках. Может и забавный глюк, но....
Претензии к приложению я написал, к вам особо претензий нет, если не считать то, что уже написано, лично мне непонятно насколько больше вы пользовались Мах, чем телеграмм.
Более того, ни одного трекера AdGuard у MAX также не обнаружил.
Может не обнаружил, потому что аналитика отправляется в том же запросе, что и функционал приложения? Как можно это подтвердить или опровергнуть, если Adguard (тут в статье) показывает только urlы, куда идут запросы, без тела?
Про WhatsApp и "телегу интереснее анализировать" - на фото у WhatsApp прекрасно виден url "media.****", как автор исследования это не увидел? 90% запросов в мессенджерах это аудио, видео, текст.
Кроме того очень интересно почему Max шлёт запросы на какой-то oneme ru, ВК, Одноклассники, mail ru, сферум и американский google firebase?
Предыдущая статья где вы анализировали используемые разрешения, выглядит неполной без сравнения с телегой и вотсапом.
Не хотите сделать работу над ошибками?
Это вы про какую мою статью?
А что нам даёт знание адресов, куда подключается приложение, без понимания того, какие данные передаются в этих подключениях? Я ожидал увидеть в статье содержимое запросов, а не только адреса.
И ещё раз повторюсь про Карфаген :)
Основной вопрос по мессенджеру MAX - вовсе не с клиентской стороны и не про разрешения, которые он на клиентском устройстве затребует. И не UDP порты, которые он использует...
Вопрос - с серверной стороны. Данный месенджер полностью российский, зарегистрирован как "организатор распространения информации" и полностью накрывается системами СОРМ, пакетом Яровой и т.п.
Поэтому - совершенно не важно, что умеет клиент. Все данные (строго по нонешнему законодательству!) - на блюдечке с голубой каёмочкой будут предоставлены с сервера "тем, кому положено".
вот, честно говоря, я особой проблемы в этом не вижу.
разумеется, то, что пишу в интернете, так или иначе может стать доступно не только тем, кому адресовалось. это данность.
не представлю что такого я могу написать в максе, чтобы это заинтересовало товарища майора. даже если у меня такое будет, я не буду писать ни в телеге, ни в востапе, ни в вайбере.
не представлю что такого я могу написать в максе, чтобы это заинтересовало товарища майора
Мем с лягушонком Пепе, например. Материал от какого-нибудь будущего иноагента (не забываем про длящееся преступление).
Наивно ожидать, что другие мессенджеры так не будут делать, или что их владельцев не прогнут сильные мира сего (Дурова просто так что ли прессовали во франции)
И проверить вы не можете. Косвенно предполагать - да. Но надежнее исходить из самых худших и реалистичных предположений - что все сливается.
Изменился ли трафик приложения VK после появления "младшего брата"?
Обидно, щет побьери!
Статья называется "Какие запросы и куда отправляет MAX?"
Мы увидели КУДА, но не увидели КАКИЕ ЗАПРОСЫ. Кликбейт?
Нет информации о содержимом запросов, только собственное мнение, выставленное как аргумент "Размер запросов говорит о том, что ничего большого (ни мои контакты, ни мои фото и т.п.) "слито" в этом кейсе не было.".
А ведь именно содержимое запросов является куда более важным, чем адрес доставки этих запросов.
Разве нет?
В каком-то из прошлых "обзоров" в комментариях было про SSL/TLS Pinning. Насколько понимаю, снять его не так то просто и это точно не уровень автора.
Лекция для колхозников. Лектор:- Товарищи колхозники. Перед вами череп Александра Македонского,где ему 7 лет. А вот этот череп, где ему 25 лет. И, наконец, череп умершего Александра Македонского. Вопросы есть? Есть:- Скажите, пожалуйста, как может быть у одного человека три черепа?- А вы, простите, кто? - спрашивает лектор.- Дачник.- Вот и идите на __. Лекция для колхозников.
Спасибо тов майор за статью, но ставить я его все равно не буду
Стиль статьи "Я ничего не понимаю, по этому я непредвзят". Статья манипулятивная, предназначена не для этого ресурса. Очень удобная манипуляция на наивности, но автор перестарался в заверениях своей некомпетентности: уж если ты разобрался, как можно траффик подглядеть, про остальное тоже можно было почитать - при написании статьи матчасть нужно изучить хотябы немного, чтобы знать, куда смотреть, а информации море. Предполагаю, что статья нужна для того чтобы потом в соцсетях выкатить новость "На крупном айти портале разгорелся скандал вокруг МАКСа" или "Купленные комментаторы не могут успокоиться поливая макс даже на крупном айти портале", потом ссылка на статью, написанную простым языком и построенную по принципу "Наивного исследователя с честным результатом уничтожают непонятными словами злые дядьки" и срыв покровов в стиле: "Вот видите, как кость в горле у них макс". На предыдущую статью о разрешениях я такие рецензии уже видел, выглядит занятно для неподготовленного читателя. Как говорится - даже если реклама плохая - это всё ещё реклама.
Вот не могу понять, то манифесты исследуют, то Adguard гоняют - т.е. люди явно из айтишки, не журналисты, например, Вилсакома по мануалам chatgpt, но при этом делают сомнительного покрытия проверку и сомнительные предположения. Ну как минимум:
1) трафик http <> сетевому траффику
2) Откуда у вас предположение, что сливать должны сразу же у какого-то NPC, только что прошедшего регистрацию. Лапти там такие сидят "О, а давайте сразу же что-то плюнем через POST в *.stat.max.ru/tov-major/send-all" 😂 Попробуйте с друзьями обсудить доставку контейнера с дронами за USDT. Ну или хотя бы попробуйте сидеть исключительно через ВПН и в FakeGPS поставить геолокацию в район Бахмута на месяц 😁 Траффик соответственно смотреть на пека, выступающим в качестве роутера.
Что касается в целом анонимности в интернетах
1) Чебурнетизация у вас началась не вчера, и не так давно один не в меру многодетный отец значительно ускорил её - телеграм перестал быть анонимным, в том числе потенциально и для госструктур РФ. Появление Макса после этого не стало каким-то удивлением. Побочный эффект - значительное упрощение ОРД. Но думаю в основном тут все законопослушные и вас как правило интересует придет ли вам штраф 1500 рублей, если Макс соберёт инфу, что у вас 5 клиентов ВПН. Не придёт. Это непредусмотренный законом вид ОРМ и его к делу не пришить. Но теперь надо следить за принимаемыми законами :)
2) Про apk песочницы писали много раз. Вот собственно и всё решение. Остальное - хайп и недовольные хомячки. Но в песочнице ли у вас Яндекс сейчас? Да, он якобы не выдает и платит штрафы, но никто не гарантирует, что это просто позитивный новостной фон для поддержки репутации. Про Алису даже не спрашиваю
3) Вести переписку с друзьями там никто не заставляет, будет просто очередной мертвый мессенджер, как Вайбер и Ватсапп, в котором чисто промокоды, рассылки и сборы на линолеум в школу 😁
4) А вот завтра отключат телеграм и ВПН и всех в Макс и под колпак... С такими уровнем паранойи почему у вас до сих пор СИМ-карта в телефоне?)
Про Алису даже не спрашиваю
Про Алису есть настолько показательная новость, что меня пробирает на смех с каждого раза прочтения этого заголовка. В том смысле, что все оказалось ровно так, как я и думал(обычная бюрократия, в которой повязла даже ФСБ) https://www.rbc.ru/technology_and_media/28/08/2025/68b03c569a79476bbdae8b19
Ну да после публикации первой статьи Большой Брат заметил, заставил писать блогера опровержение (шутка, в которой доля правды - скорее сам чувак поднапрягся после популярности, а вдруг придут. Вот этот как раз типично для того что наблюдаю вокруг..)
AdGuard хороший инструмент, но он ловит только явные запросы, он не покажет, что именно было "зашито" в полезную нагрузку основного запроса к api.max.ru. Может там вместе с вашим сообщением привет улетает и список установленных приложений. Без полноценного MitM-прокси с расшифровкой трафика это все гадание на кофейной гуще
MitM может не помочь. Max возможно использует SSL pinning для защиты трафика. Почему? Хотя бы чтобы обезопасить от перехвата чувствительных данных, например кодов 2FA.
Хуже, если бы защиты не было. Если говорить про исследование, то смотреть надо в сторону инструментов анализа типа Frida
GitHub - redzumi/android-frida-ssl-pinning: Универсальный обход SSL pinning для андроид приложений
если макс не будет делать то чего вы так боитесь, его создатели лишатся погон)
С таким хайпом гос мессенджера логично его делать максимально прозрачным и нем подозрительным. А сомнительные функции начать вводить время спустя, когда хайп спадет, и на него будут крепко завязаны гос сервисы, услуги и прочие сферы деятельности.
Я совершил все виды звонков, писал в чаты, подключил Сферум и всё, что я добился — на скрине выше.
и на все эти действия за 90 дней чуть больше 100 запросов суммарно? Кто-то из вас двоих врет :-)
Вступление — все статьи клоны, заключение — поставьте мне лайк.
Но вот это не оставляет сомнений об авторитетности автора (IMHO, ниже нуля)
я бы её не выпускал совсем, чтобы вас не разочаровывать
А по моему вы никого не разочаровали. Вы просто доказали, что клиент написан не совсем уж на коленке, и он не сливает все ваши фотки на сервер при первом запуске. Это уже неплохо
По моему мнению данный мессенжер нужно рассматривать как часть общей системы. В нее я бы еще включил такие понятия как "цифровой рубль" и "социальный рейтинг". Агрессивная политика, даже не продвижения, навязывания, может быть вызвана не очень большими сроками достижения неких целей. Я бы сравнил МАХ с забором: если охвачено 50-60% процентов территории, то можно считать, что забора нет. А вот при охвате свыше 90-95%, ситуация приобретает качественно иные параметры. То, что сегодня в МАХе нет, не означает, что этого не будет впоследствии. И если МАХ последует путем китайского WeChat, то не далек тот день, когда без него оплаты, брони и прочее станут крайне затруднительными, если вообще возможными. Казалось бы и ладно. Но позволю себе процитировать Билла Гейтса (из ТГ-каналов):"Сертификат вакцинации будет привязан к системе социального кредита (цифровому кошельеу). Без вакцинации люди не смогут ни покупать, ни продавать". Кому вакцинация является больной темой, могут поменять ее, например, на посещение митинга. Альтернатива МАХ просто необходима, если есть желание жить свободным.
Установка сертификата пользователя на Android 14+ не гарантирует перехват, многие SDK по умолчанию его игнорируют
PS. Да, MAX у меня на текущий момент не установлен. По весьма прозаической причине - просто пока что его функционал мне не нужен либо обеспечивается иными уже имеющимися программными средствами.
Согласен.
Но функционал добавляется или скорее торопливо вбрасывается.
Пока смотрится, как что-то очень сырое, наличие дыр ожидаемо (преступниками :-)
Естественно, торопиться ставить я не буду и ставить буду сначала на домашний планшет т.к. предполагается сомнительный с моей точки зрения ф.
Не очень понимаю людей которые сделали петушарню ака КГБгная кормушка vk.ru своей идентичностью, используют её вместо мыслей, имеют емейл на mail.ru и при этом боятся ставить макса... вы и так уже отдались по полной, дальше некуда, можно и подставить лишний разок.
Очередная бестолковая статья, пытающаяся выгородить эту поделку. Вопрос не в том куда он шлет, вопрос куда он лезет в телефоне и что пересылает. Шлет понятно, на свои сервера. Вы действительно думали увидеть адреса КГБ, ФСБ и прочие, или прикидываетесь?
Звание ИА поначалу тоже обозначалось, как ""да ниче страшного". Сейчас это используемый направо и налево инструмент политических репрессий.
Какой-то "недопентест"
Вместо маршрутизации трафика через нормальный прокси (mitmproxy или "подопечных" типа packet capture/httpcanary/pcapdroid) и установки CA сертификата для реальной расшифровки запросов с просмотром содержимого - adguard.....
Не понимаю популярности статьи, если у человека даже "подозрительность" запросов основывается на их количестве. Я могу сделать веб-приложение с 200-ми запросов при каждом запуске, а могу написать ботнет с heartbeat`ом раз в день, тогда 30 запросов в месяц - не подозрительно.
К сожалению, абсолютно бесполезная статья, и кажется даже автору было в целом не очень интересно заниматься этим проектом:
тема "каких запросов и куда отправляет" не раскрыта
митм прокси не поставлен
никакой статистики об использовании приложения автором, и никаких графиков частоты исходящих запросов к серверам не приведено
Но в целом статья бесполезна потому, что нет никакого смысла декларировать что что-то не происходит в моменте.
Предположим, месяц назад была создана новая социальная сеть, скажем, Y, и у неё есть приложение. Нет смысла спустя месяц выпускать статью с основным посылом что это приложение не собирает телеметрию. Подобная статья моментально устареет как только приложение начнёт собирать телеметрию. Тем не менее, факт подобного изменения поведения уже может оказаться полезной статьёй.
Далее, (в зависимости от ваших мировоззрений) можно прийти к выводу, что данная статья несёт больше вреда чем пользы. И, к сожалению, мне кажется именно так.
Моя личная догадка: у автора выстрелила статья на эту тему, и он попался в ловушку обещаний про "минимум две статьи"
Абсолютно согласен с тем, что статья бесполезна. Сегодня никакой активности у приложения, со следующим обновлением ВОЗМОЖНО, что оно оживет. Но, также, я допускаю еще и другое, что автор статьи на текущий момент ПОКА просто не интересен, чтобы устраивать какую-то активность.
Не понимаю в чём вы измеряете полезность. Я не согласен с тем, что статья бесполезная. Её популярность показывает востребованность контента про MAX. Это также подтверждают более 200 реакций и больше 100 тыс просмотров, но главное - комментарии, а это какая-никакая дискуссия. Дискуссия по подобным вопросам очень полезна
Вас самого не мутит от медвежьей услуги и от того, сколько особых персон в комменты зашло? Выше уже обсудили про метрики и тренды на Хабре? Как по вашему: вот эта "мега статья" вообще одно из лучших, что публиковалось на Хабре? Метрики той, простите ссанины, раза в 3 по более вашей художки, хотя по качеству содержания, IMHO, у вас побогаче материал получился, жаль, что он вышел пустым.
Нет, не мутит. Я привык. Комменты написали от силы 300 уникальных человек, при охвате статьи в 120+ тыс. К сожалению, факт в том, что 99,9% людей просто читают статьи и никак не показывают свое отношение к ним. А вот поднимают рейтинг статьи и увеличивают ротацию как раз те, кто комментируют. Поэтому все комметаторы причастны к успеху статьи - это факт )
Ваш пример ранее не видел. Прикольно ) но это лишь подтверждает то, что я написал выше.
Статья неоконченная и выглядит как черновик. Не было разобрано, что именно передаёт в запросах мессенджер, какие данные в каждом запросе, и связаны ли передаваемые данные с запрашиваемыми разрешениями в момент времени.
Также просматривать запросы через приложение Adguard — идея крайне сомнительная, так как нельзя однозначно утверждать, что Adguard перехватил абсолютно весь трафик и не пропустил пакеты к другим ресурсам. Тут по хорошему нужно подключать смартфон к ПК, выступающего в качестве шлюза по умолчанию, где развёрнут Wireshark или похожая программа.
Повышенная популярность, с большим количеством просмотров, лайков и комментариями не является критериями полезности и высокого качества статьи. Даже более того, такое повышенное внимание, вкупе с некачественным контентом статьи, наводит на мысль о принудительном продвижении выводов статьи для хабра и поисковой выдачи.
Не переживай, думаю в следующих обновлениях Макс они добавят что подозрительное.
Не понимаю, кто двигает в топ такие поверхностные статьи? Тут даже сторонних программ вроде wireshark или Charles proxy Не используют. В чем полезность?
Лучше объясните как так получилось, что в эппсторе у Макса оценок больше и рейтинг выше, чем у телеграмма?
Думаю я, подобные приложения при желании могут отследить что запущен сервис анализа трафика. И хоть сам клиент не сливает данные терабайтами, сервер может сливать данные которые были переданы в чатах.
Обсолютной анонимности в интернете нет и не предвидится.
Моë мнение, пока рано судить о сетевой активности. Мессенджер пока молодой, сырой. Со временем будет обрастать дополнительными сервисами, скриптами. А там посмотрим, особенно когда спадет истерия.
Так они же могли трафик сторонний на бэкэнд обрабатывать, подобное исследование мало что даст, лучше поведение анализировать, а не трафик
Как говорится, пост не проплачен, но при случае будет нещадно пропит. Допустим (только допустим!), что данные в посте верны и автору можно верить, что сильно вряд ли. Но допустим. А где анализ сетевого траффика до его, максовских родных серверов? Что, расшифровать низя? Какая, право, досада! Поэтому мы сделаем вывод, что «все скучно» и поскорее принесем это на хабр. Когда никакого контроля над ситуацией нет, мы сперва нервничаем, напрягаемся, а потом махаем рукой, называем это доверием и успокаиваемся.
И насчет не проплачен… зачем же это ленивое «скучно» тут?
Какие запросы и куда отправляет MAX