->Неверно. Например, большую часть исходников софта, которым я пользуюсь, я даже не смотрел лично
Если вы разработчик софта, связанного с безопасностью, то с вашим продуктом я бы не стал связываться однозначно. Это просто означает, что вы не понимаете что делаете.
Вы читали исходники ядра вашей операционки, включая все драйвера от всего, чем вы пользуетесь, код графической системы, компилятора, библиотек декодирования изображений, и код используемой вами системы виртуализации? Весь?
с вашим продуктом я бы не стал связываться однозначно
Ну ок =).
Расскажите это тем, у кого увели деньги.
Я не думаю, что у них увели деньги из-за их непонимания механизма работы TLS, если они следовали тривиальным рекомендациям.
Ни на одной пиле, что бензо, что не бензо, нет надписи — наши пилы отрезают вам ноги.
Да, но на них нету надписей, что они этого не делают и безопасны. А на телеграме — есть
Информационная безопасность — ровно то же самое. Недостаточно просто взять инструмент. Необходимо ещё и регламент его использования соблюдать и протоколы.
Это всё замечательно и было бы применимо, если бы продукт был специализированным. Обращению с ружьём учат.
Телеграм же — массовый продукт, но для рядовых пользователей он своих обещаний не выполняет, он даже не делает никаких попыток сделать для них ситуацию безопаснее — этим можно воспользоваться только если знаешь, чего ищешь, заранее.
Вы смотрите с точки зрения адекватности инструмента для вас лично — с этим я соглашусь, телеграм можно считать инструментом, через которую продвинутые пользователи могут получить безопасный (с небольшими оговорками, но от них на массовых телефонах не убежать) канал общения.
Я смотрю на ситуацию с противоположенной стороны — телеграм не является инструментом, в заметной мере повышающим безопасность общения всех пользователей в целом.
Это, кстати, одна из причин, почему я поддерживаю достаточно популярный программный продукт, раз уж вы об этом заговорили.
А вы полагаете, это понимают пользователи вацапа, где секретчаты типа по-умолчанию, но вся история хранится на серверах?
Извините, а где я сказал, что whatsapp лучше? ;-)
И виноват в этом — обана, — телеграмм!
В том числе, причины я описал выше. Слабая аутентификация по умолчанию плюс «маркетинг» (как выразились выше), умалчивающий критические детали.
Безопасность — не та область, где всё работает само потому, что так вася-петя сказал. Само не работает, надо чётко понимать что именно делаешь и даже когда понимаешь, можешь допустить ошибку (как ужасный пират робертс). А пока даже понимания нет, нет смысла и инструмент в руки давать.
Неверно. Например, большую часть исходников софта, которым я пользуюсь, я даже не смотрел лично — но их смотрели другие люди. И я оцениваю вероятность наличия закладок в открытых компонентах как довольно низкую, именно из-за того, что я в целом доверяю остальным людям (как сообществу). И да, по многим вопросам я даже доверяю отдельным людям, которые в каких-то областях являются куда опытнее меня. Это нормально.
Больше того, если следовать вашей позиции, то разваливается вообще всё. «А где ты слышал о законах термодинамики, Нео?».
А пока даже понимания нет, нет смысла и инструмент в руки давать.
Сможете рассказать, например, про физику передачи сигнала в кабелях в деталях или про то, как устроен процессор внутри на уровне отдельных блоков транзисторов? Ладно, плохой пример.
Хороший пример: вы можете примерно оценить, какая часть пользователей компьютеров, или даже только интернет-банков сможет вам рассказать, как работает TLS? Нет, им не нужно всем поголовно это объяснять, им достаточно инструкций на уровне «сделай то-то», «увидел зелёный значок и совпадающий домен — хорошо, не увидел — плохо». Больше того это — нормально.
А данная ситуация сейчас выглядит примерно как «вот новая бензопила, она безопасная и не отрезает ноги!», «продаём не отрезающую ноги бензопилу — безопасно для вас и ваших детей!», «ой, а что это вам ногу отрезало — вы не читали сорок вторую страницу инструкции, сноску мелким шрифтом? Там была подробная инструкция как не отрезать себе ноги, надо было делать всё по ней».
И да, в его основном и наболее частом применении — телеграм не является безопасным. Да, он поддерживает безопасные чаты, но так и нужно было писать — «поддерживает безопасные чаты, см. туда-то» и в этих чатах нужно было добавить напоминание о сверке отпечатков. А не как сейчас.
что обычные чаты в Telegram совсем никак не защищены от перехвата
Да, обычные чаты в Telegram совсем никак не защищены от перехвата Telegram-ом, это довольно очевидно. Иначе бы веб-версия не работала и не подгружала логи, например, но это просто для наглядности, на самом деле это следует из отсутствия проверки ключей по независимому от Telegram-а каналу.
Вы главную телеграма видели? Это я понимаю, что без сверки ключей соединения по независимому каналу, которому вы доверяете (например, личная встреча) эта «безопасность» яйца выеденного не стоит. Вы это тоже понимаете. Достаточно большое количество моих знакомых это понимает.
Но ещё большее — не понимает, а это продукт для массовой аудитории. Вон и человек, о вскрытии чей переписки тут идёт речь — либо не понимал, либо не волновался о приватности переписки вообще.
Самое интересное, что у меня появляется ощущение, что телеграм таких не понимающих пользователей специально в заблуждение вводит.
Цитаты с их главной страницы:
Why switch to Telegram?
Private: Telegram messages are heavily encrypted and can self-destruct.
Distributed: Telegram servers are spread worldwide for security and speed.
Secure: Telegram keeps your messages safe from hacker attacks.
Про приватность — первой в списке. Вообще, на странице очень много утверждений про приватность и безопасность. Сноска в футере, например:
Telegram is a cloud-based mobile and desktop messaging app with a focus on security and speed.
И, внимание: ни одного упоминания секрет чатов. Зато есть упоминание веб-версии, где секрет-чатов, как и какой-либо «приватности» нет вообще — для всего остального логи на сервере в открытом виде, плюс ещё и аутентификация по умолчанию исключительно через смс.
Для среднестатистического пользователя это выглядит как «я пользуюсь телеграмом, он безопасен, так написано и мне так друг Вася/Петя/Маша сказал/сказала, я в безопасности». Проблема — в этом.
Их основная проблема не в этой «уязвимости» и не в этой атаке, а в том, что они делают слишком громкие заявления о «безопасности» своего клиента (вы только их главную посмотрите), «забывая» несколько оговорок:
Для «безопасности» всем поголовно стоит включать 2fa, потому что смс не является безопасным методом аутентификации.
Не секрет-чаты не являются безопасными, то есть — не более безопасными как и любой другой c2s-s2c мессенджер с шифрованием между клиентом и сервером и хранением логов на стороне сервера.
Секрет-чаты являются безопасными только при ручной сверке отпечатков, который там запрятан за верхнюю плашку, причём о необходимости проведения этого телеграм при старте секрет-чата не напоминает.
Оно всё в любом случае безопасно не более чем сам ваш телефон (как аппарат, не протокол) и не более безопасно чем магазин приложений (он в подавляющем большинстве ситуации может в любой момент пушнуть вам клиент с закладкой, если очень захочет). Это, впрочем, для массового пользователя нерешаемая проблема.
Хотя примерно такими же громкими заявлениями (с кучей сносок, оговорок и пояснений, запрятанных подальше) сейчас страдают все популярные мессенджеры, просто телеграм орёт об этом больше всех.
Нет, я точно не его имел ввиду — год не тот =). Этого я уже не застал, да и к тому времени в Москве локалки уже либо загнулись, либо загибались. А Sasser через локалки распространялся.
Но я же говорю — это всё было не в единственном экземпляре, держать систему необновлённой в целом плохо. В том числе и сейчас.
Точно не могу вспомнить, что это было, но оно было в своё время везде, если не поставить патч или закрыть фаерволлом винду до выхода в сеть — винда его хватала моментально.
Сейчас поискал по симптомам — нашёлся Sasser, скорее всего это он был.
Почему-то ваш пост заставил меня вспомнить время, когда среднее время жизни голой винды в локалках провайдеров до заражения вирусом считалась в минутах.
На самом деле, мозгу по большому счёту всё равно, что контролировать, так что с «как-то» всё не так плохо. Если обратная отдача есть, конечно.
Но на обучение уйдёт значительное время, так что учить придётся, да =).
Согласен, без динамики и скриптов в клиенте — никак.
Под полифиллами я имел ввиду, что оно работает на таком же уровне, как и переменные в scss, о котором был разговор выше. Ответ был в том, что браузеры scss не поддерживают, а вот его фичи — или поддерживают, или планируют, и полифиллятся эти фичи временно на стороне сервера через postcss — то есть получается ничуть не хуже, чем postcss.
Так-то новые возможности css могут давать гораздо больше, чем то, что можно в статике сполифиллить. Те же vh/vw без js не сполифиллить.
У переменных спека «Editor’s Draft, 19 August 2016».
Таки версия 2015 в RC
Последняя версия спеки (в данном случае https://drafts.csswg.org/css-variables/) — зачастую Editor’s Draft, и это та самая версия, на которую надо ориентироваться. Там обычно учтены последние замечания. Считайте это «master»-ом =).
Но у этих черновиков в заголовке есть ссылки на последние опубликованные версии, в данном случае это:
Это справедливо и для других W3С спек: последняя («Editor’s Draft») — основная и самая интересная, а статус смотреть по «Latest published version». Ну, кроме тех, что уже зарелизили, конечно.
Переменные — поддерживают: http://caniuse.com/css-variables, но не все и не в таком виде. Спека — кандидат в рекомендацию, (как и flexbox, как и calc(), как и vw/vh, как и градиенты, как и многое другое). Полифиллится на стороне сервера через postcss.
Нестинг — не поддерживают, спека в черновике: http://tabatkins.github.io/specs/css-nesting/, но она от того же человека из гугла что и переменные выше. У него есть все шансы. Полифиллится на стороне сервера через postcss.
Кроме этого, в цсс довольно много других вкусных штук ожидается (полифиллы, опять же, есть).
scss не поддерживают, но разумные альтернативы его фичам — да.
А им никто не сказал, что это надо, понимаете?
Небезопасные настройки по умолчанию — та ещё гадость. Много баз данных, например, утекло из-за них.
Вы читали исходники ядра вашей операционки, включая все драйвера от всего, чем вы пользуетесь, код графической системы, компилятора, библиотек декодирования изображений, и код используемой вами системы виртуализации? Весь?
Ну ок =).
Я не думаю, что у них увели деньги из-за их непонимания механизма работы TLS, если они следовали тривиальным рекомендациям.
Да, но на них нету надписей, что они этого не делают и безопасны. А на телеграме — есть
Это всё замечательно и было бы применимо, если бы продукт был специализированным. Обращению с ружьём учат.
Телеграм же — массовый продукт, но для рядовых пользователей он своих обещаний не выполняет, он даже не делает никаких попыток сделать для них ситуацию безопаснее — этим можно воспользоваться только если знаешь, чего ищешь, заранее.
Вы смотрите с точки зрения адекватности инструмента для вас лично — с этим я соглашусь, телеграм можно считать инструментом, через которую продвинутые пользователи могут получить безопасный (с небольшими оговорками, но от них на массовых телефонах не убежать) канал общения.
Я смотрю на ситуацию с противоположенной стороны — телеграм не является инструментом, в заметной мере повышающим безопасность общения всех пользователей в целом.
Это, кстати, одна из причин, почему я поддерживаю достаточно популярный программный продукт, раз уж вы об этом заговорили.
Извините, а где я сказал, что whatsapp лучше? ;-)
В том числе, причины я описал выше. Слабая аутентификация по умолчанию плюс «маркетинг» (как выразились выше), умалчивающий критические детали.
Неверно. Например, большую часть исходников софта, которым я пользуюсь, я даже не смотрел лично — но их смотрели другие люди. И я оцениваю вероятность наличия закладок в открытых компонентах как довольно низкую, именно из-за того, что я в целом доверяю остальным людям (как сообществу). И да, по многим вопросам я даже доверяю отдельным людям, которые в каких-то областях являются куда опытнее меня. Это нормально.
Больше того, если следовать вашей позиции, то разваливается вообще всё. «А где ты слышал о законах термодинамики, Нео?».
Сможете рассказать, например, про физику передачи сигнала в кабелях в деталях или про то, как устроен процессор внутри на уровне отдельных блоков транзисторов? Ладно, плохой пример.
Хороший пример: вы можете примерно оценить, какая часть пользователей компьютеров, или даже только интернет-банков сможет вам рассказать, как работает TLS? Нет, им не нужно всем поголовно это объяснять, им достаточно инструкций на уровне «сделай то-то», «увидел зелёный значок и совпадающий домен — хорошо, не увидел — плохо». Больше того это — нормально.
А данная ситуация сейчас выглядит примерно как «вот новая бензопила, она безопасная и не отрезает ноги!», «продаём не отрезающую ноги бензопилу — безопасно для вас и ваших детей!», «ой, а что это вам ногу отрезало — вы не читали сорок вторую страницу инструкции, сноску мелким шрифтом? Там была подробная инструкция как не отрезать себе ноги, надо было делать всё по ней».
И да, в его основном и наболее частом применении — телеграм не является безопасным. Да, он поддерживает безопасные чаты, но так и нужно было писать — «поддерживает безопасные чаты, см. туда-то» и в этих чатах нужно было добавить напоминание о сверке отпечатков. А не как сейчас.
Да, обычные чаты в Telegram совсем никак не защищены от перехвата Telegram-ом, это довольно очевидно. Иначе бы веб-версия не работала и не подгружала логи, например, но это просто для наглядности, на самом деле это следует из отсутствия проверки ключей по независимому от Telegram-а каналу.
del, не туда ответил, извините.
Вы главную телеграма видели? Это я понимаю, что без сверки ключей соединения по независимому каналу, которому вы доверяете (например, личная встреча) эта «безопасность» яйца выеденного не стоит. Вы это тоже понимаете. Достаточно большое количество моих знакомых это понимает.
Но ещё большее — не понимает, а это продукт для массовой аудитории. Вон и человек, о вскрытии чей переписки тут идёт речь — либо не понимал, либо не волновался о приватности переписки вообще.
Самое интересное, что у меня появляется ощущение, что телеграм таких не понимающих пользователей специально в заблуждение вводит.
Цитаты с их главной страницы:
Про приватность — первой в списке. Вообще, на странице очень много утверждений про приватность и безопасность. Сноска в футере, например:
И, внимание: ни одного упоминания секрет чатов. Зато есть упоминание веб-версии, где секрет-чатов, как и какой-либо «приватности» нет вообще — для всего остального логи на сервере в открытом виде, плюс ещё и аутентификация по умолчанию исключительно через смс.
Для среднестатистического пользователя это выглядит как «я пользуюсь телеграмом, он безопасен, так написано и мне так друг Вася/Петя/Маша сказал/сказала, я в безопасности». Проблема — в этом.
Их основная проблема не в этой «уязвимости» и не в этой атаке, а в том, что они делают слишком громкие заявления о «безопасности» своего клиента (вы только их главную посмотрите), «забывая» несколько оговорок:
Хотя примерно такими же громкими заявлениями (с кучей сносок, оговорок и пояснений, запрятанных подальше) сейчас страдают все популярные мессенджеры, просто телеграм орёт об этом больше всех.
Извините, не увидел, что это перевод.
Ммм. А какой смысл там использовать
let, а неconst? Включите prefer-const везде =).Ага, спасибо. То ли раньше этого не было, то ли это я проглядел — не видел до этого.
Это очень круто, я не ожидал такого исхода в той истории.
Нет, я точно не его имел ввиду — год не тот =). Этого я уже не застал, да и к тому времени в Москве локалки уже либо загнулись, либо загибались. А Sasser через локалки распространялся.
Но я же говорю — это всё было не в единственном экземпляре, держать систему необновлённой в целом плохо. В том числе и сейчас.
Точно не могу вспомнить, что это было, но оно было в своё время везде, если не поставить патч или закрыть фаерволлом винду до выхода в сеть — винда его хватала моментально.
Сейчас поискал по симптомам — нашёлся Sasser, скорее всего это он был.
Но он наверняка не единственный.
Если вдруг кто сюда придёт потом — бага зарепорчена в https://github.com/laverdet/node-fibers/issues/299.
Цитируя автора библиотеки, кстати:
Почему-то ваш пост заставил меня вспомнить время, когда среднее время жизни голой винды в локалках провайдеров до заражения вирусом считалась в минутах.
На самом деле, мозгу по большому счёту всё равно, что контролировать, так что с «как-то» всё не так плохо. Если обратная отдача есть, конечно.
Но на обучение уйдёт значительное время, так что учить придётся, да =).
Согласен, без динамики и скриптов в клиенте — никак.
Под полифиллами я имел ввиду, что оно работает на таком же уровне, как и переменные в scss, о котором был разговор выше. Ответ был в том, что браузеры scss не поддерживают, а вот его фичи — или поддерживают, или планируют, и полифиллятся эти фичи временно на стороне сервера через postcss — то есть получается ничуть не хуже, чем postcss.
Так-то новые возможности css могут давать гораздо больше, чем то, что можно в статике сполифиллить. Те же vh/vw без js не сполифиллить.
Последняя версия спеки (в данном случае https://drafts.csswg.org/css-variables/) — зачастую Editor’s Draft, и это та самая версия, на которую надо ориентироваться. Там обычно учтены последние замечания. Считайте это «master»-ом =).
Но у этих черновиков в заголовке есть ссылки на последние опубликованные версии, в данном случае это:
Которая и является Candidate Recommendation.
Это справедливо и для других W3С спек: последняя («Editor’s Draft») — основная и самая интересная, а статус смотреть по «Latest published version». Ну, кроме тех, что уже зарелизили, конечно.
Переменные — поддерживают: http://caniuse.com/css-variables, но не все и не в таком виде. Спека — кандидат в рекомендацию, (как и
flexbox, как иcalc(), как иvw/vh, как и градиенты, как и многое другое). Полифиллится на стороне сервера через postcss.Нестинг — не поддерживают, спека в черновике: http://tabatkins.github.io/specs/css-nesting/, но она от того же человека из гугла что и переменные выше. У него есть все шансы. Полифиллится на стороне сервера через postcss.
Кроме этого, в цсс довольно много других вкусных штук ожидается (полифиллы, опять же, есть).
scss не поддерживают, но разумные альтернативы его фичам — да.
Так postcss же.
Но-но-но это же semver-minor! Такого не должно быть.
Баг зарепортили?