Хороший гайд! Сам давно пользуюсь Wireguard и тоже делал для собственных нужд схему с частичным обходом блокировок для определённых ресурсов. Я начинал с похожего подхода, но пришёл по итогу к другой схеме.
На мой взгляд, проблема с тем, что необходимо оперировать именно IP-адресами - принципиальная. Выглядит всё, без погружения в детали и ежедневного использования очень чисто и красиво, но, рано или поздно, от поддержки такого решения либо очень устаёшь, либо всё равно приходится гнать через туннель всё.
Вот, например, я получил необходимые адреса через nslookup, и забил их в ipset который будет перенаправляться в туннель. Во-первых, адреса могут поменяться, и для этого требуется периодически обновлять список адресов/подсетей, заморачиваться с cron или другими планировщиками, настраивать софт и.т.д. Если этого не делать, то в какой-то момент ресурс перестанет открываться и придётся снова лезть в конфиги и перенастраивать, забивать новые адреса и т.д. Во-вторых, nslookup не даёт информации о том, куда именно будут ходить запросы, на какие поддомены или third-party ресурсы. Поэтому, приходится руками заходить в браузер, выцеплять отдельные домены, проверять их через nslookup и прописывать в список адресов, и все эти адреса тоже могут меняться, как и поддомены, а могут ещё и добавляться новые.
Должен отметить что wireguard клиенты у меня работают на роутере с очень ограниченным объёмом памяти, а не на полноценном компьютере, и поэтому, возможно, такое решение для меня предпочтительнее, потому что перезагружать базу geo-ip, перенастраивать policy based routing получается намного менее удобно, и можно легко упиреться в нехватку памяти. Получается необходимо базу обновлять на компьютере и руками загружать на роутер - это снова лишние заботы.
В конечном счёте я пришёл к более топорной, но, тем не менее, самой удобной для меня схеме: роутер держит постоянное соединение с несколькими wireguard серверами, и на роутере под каждый из них созданы отдельные сетевые интерфейсы. Весь трафик попадающий в эти интерфейсы уходит в соответствующий туннель. На роутере также подняты прокси сервера, трафик с которых перенаправляется на сетевые интерфейсы, с которых уже улетает в туннель. На своём ноутбуке я пользуюсь Firefox и его профилями. Под каждый профиль у меня забиты настройки прокси указывающие на нужный прокси сервер. В профиле по умолчанию настроек прокси нет. Лаунчеры запускающие окно Firefox с нужным профилем выставлены в общий список программ.
Получается, у меня на компьютере есть как бы разные "гео-браузеры". Если мне необходимо выйти в сеть с текущего адреса - я просто открываю обычный Firefox. Если я хочу посмотреть инстаграм и прочие ресурсы "загнивающего запада", то открываю FirefoxEU - сессию браузера с профилем, в котором через прокси весь трафик отправляется в wireguard туннель на роутере. Необходимых профилей с разными выходными адресами можно создать сколько потребуется под свои нужды. Таким образом, абсолютно весь трафик в отдельном открытом окне браузера улетает в туннель, но всё остальное работает как обычно. Не требуется постоянно обновлять списки IP-адресов, бояться утечки или что-то перенастраивать. Самое главное, на мой взгляд - это true unix way. Отдельные звенья цепи взаимозаменяемы - wireguard туннель можно заменить на ssh-туннель или что угодно ещё не меняя настроек на клиентах. DNS также можно шифровать чем душа возжелает - DNSCrypt, Dot, DoH - всё настраивается в одной точке и удобно взаимозаменяется. Опять же - можно поменять точку прокси и сделать всё это на выделенном сервере вместо роутера. На мой взгляд так получается удобнее.
Да, там внутри пинпада была какая-то система которая была в нормально замкнутом состоянии, может быть кнопка, не знаю. Если корпус открыть то контакт размыкался и ключи затирались, по крайней мере так сообщил поставщик.
Насчёт оборудования - если честно, не смогу сказать точно. Давно очень дело было и я отвечал только за часть программщины работавшей чисто с доменной логикой. В детали взаимодействия с оборудованием не погружался. Знаю точно что все эти устройства: диспенсер купюр, устройство чтения карт, пинпад, фискальный накопитель, чековый принтер и т.д., все они работали через COM-порты и ребята занимавшиеся интеграцией общались с ними таким образом. Сам отладочный образец конечного столбика самообслуживания стоял у нас в офисе в препарированном виде с открытым корпусом и было интересно наблюдать за тем как там всё внутри устроено.
Спасибо за статью. Очень доступно и интересно описано, часто этого очень не хватает технологиям связанным с проведением платежей.
Кстати, доводилось работать в компании, где я участвовал в написании софта для POS-терминалов, столбиков самообслуживания. Разумеется, там необходимо было организовать приём платежей по картам, поэтому компания закупала это оборудование и устанавливала его в наши столбики. Так вот пинпады (которые большие, как на банкоматах) нам присылали зажатыми с двух сторон толстыми скрепками для офисных документов, и говорили, что эти пинпады необходимо именно так хранить и транспортировать, а скрепки можно снять только непосредственно перед установкой и фиксацией в корпусе POS-терминала. Если физически открыть корпус такого пинпада, то сработает защита и ключи прописанные внутри затрутся, придётся везти пинпад на перепрошивку. Интересно, как это работает?
Диски — SSD, и на ноутбуке и на компьютере. По скорости чтения и записи сопоставимы. Честно говоря, я не мерял точную нагрузку на IO, но она должна быть довольно значительной, файлов в кэшах и промежуточных результатах сборки очень много.
Single core производительность однозначно важна. В процессе сборки проекта есть несколько мест, «бутылочных горлышек», когда вся работа производится исключительно на одном потоке, а остальные gradle таски не могут начать выполнение пока не окончится предыдущая. В первую очередь это compile и annotation processing основного модуля. Кодогенерации было много, и kapt занимал ну очень большую часть общего времени. Уверен, что ребята ждут не дождутся полноценно работающего со всеми основными популярными библиотеками ksp.
Тем не менее, все остальные модули и большая часть тасков gradle отлично выполянялись параллельно. Я пробовал делать большее и меньшее количество ядер и обнаружил что это самым серьёзным образом влияет на скорость сборки. Изменение количества RAM, как ни странно, влияло намного меньше.
Добрый день. Ого, здорово получить от вас сообщение! Удивительно тесен мир. Спасибо вам большое ещё раз за ваш проект.
Меня тоже заинтересовала, в первую очередь, возможность практически бесшовной интеграции с инструментами сборки. Ни Gradle, ни IDE не требуют специальной доработки конфигов на уровне проекта и это, на самом деле, очень круто, хоть пока и приходится кое-какие вещи произвести руками чтобы всё заработало. Мне очень понравился проект. Планирую, как будет возможность по свободному времени и должный порыв души, всё таки попробовать обернуть это в полноценный плагин для андроид студии, а серверную часть, кажется, можно без больших проблем оформить в docker контейнер и сделать коробочным решением. Мне кажется, что потенциал Mirakle очень большой.
Что касается использования - я сам активно пользовался Mirakle как раз на предыдущем рабочем месте из-за гигантского размера проекта и очень долгой сборки, сейчас работаю в немного другой сфере и собирать такого рода проекты уже не приходится.
Кажется, что на хабре эта тема не вызвала интереса, что для меня немного странно, потому что это, как минимум, очень интересно - никаких других подобных решений именно для андроид я ни разу не видел, и ещё и полезно - для работы с жирными проектами на слабом железе это действительно настоящее спасение. В компании где я работал, например, долгая сборка была достаточно больной и общеизвестной проблемой. Я пробовал продвигать идею взять Mirakle, поставить его на более менее промышленные рельсы, и выделить мощности на оборудовании компании чтобы удалёнщики со слабым железом могли без проблем собирать проект, но, к сожалению, дальше обсуждений дело не пошло.
Наверное мне повезло с тем, что у меня было подходящее железо которым удобно было воспользоваться. Мой провайдер - домашний компьютер с Ryzen 5950, на котором можно взять и поднять виртуалку с парой десятков ядер и кучей памяти :)
В моём случае пользоваться услугами провайдеров всё равно было нельзя, но я для интереса смотрел рынок, и находил предложения по аналогичным по мощностям машинкам. Например, у Selectel практически аналогичная конфигурация стоила, в то время когда я интересовался этим, около 20 рублей в час. Сейчас вот, кстати, зашёл посмотрел, ценник уже стал очень сильно кусаться - 45 рублей в час - уже не такая народная цена
Поддерживаю. Также доводилось участвовать в проектах, в которых одной из основных технических фишек было распознавание лиц.
Могу подтвердить что распознавать лица с камеры которая находится сильно выше лица - крайне сомнительная затея, потому что большинство точек на лице участвующих в процессе распознавания находятся вокруг глаз и носа, и получать их удобно либо с той же высоты, либо с высоты ниже, а когда камера установлена выше лица эти точки бывает крайне сложно увидеть и результаты распознавания получаются очень неточные.
Что касается близнецов - несколько лет назад лично наблюдал как одна компания, продающая движок распознавания лиц, в рекламных материалах рисовала красивые картинки про невероятную точность распознавания и возможность различать близнецов. Так получилось, что я как раз в это время писал слой интеграции с этим движком. Я своими руками собрал приложение с этим движком и сделал для него две фотографии знакомых близнецов, движок сказал что с вероятностью 99,5% на этих фотографиях один и тот же человек.
Также, для качественного распознавания лиц нужны очень качественные и дорогие камеры, а бизнес, логично, частенько хочет сэкономить и закупить недорогое оборудование. Стоит ли и говорить потом о том что результаты распознавания получаются плачевные, и движок может запросто не различать в видеопотоке одного и того же человека, принимая его за двух разных, или наоборот ошибочно принимать одного человека за другого, особенно когда в его базе сохранено очень много описаний лиц. Я точно не готов доверять ничего касающееся оплаты подобным системам
Много приходилось работать с NFC картами разных типов. Никогда не перестану удивляться тому что в системах контроля и учёта доступа до сих пор чаще всего используются низкочастотные 125 КГц карты типа emmarin или hid proxmark. Копируются такие при наличии необходимого оборудования за пару секунд, а китайская болванка с чипом типа t5577 стоит по 15-20 рублей за штуку в виде белого пластика. Из таких же emmarin-ов кстати чаще всего делают ключи для домофонов.
Уже очень много лет на рынке существует огромное количество самых разных карт, в том числе абсолютно надёжных и никак не копируемых, защищённых криптографией, и по цене за штуку, кстати, не очень сильно дороже чем emmarin, но в СКУДах до сих пор продолжают упорно использовать в основном только их.
Должен отметить что то, что у автора в качестве пропуска используется NDEF tag от Mifare меня очень удивляет. Очень редкая СКУД доходит до того чтобы перейти на 13,56 МГц карты, однако NDEFы на то и NDEFы - они также не предусматривают никакой криптографии во время работы и защиты от копирования, только теперь читать их можно не специальным оборудованием под 125 КГц-ные карты, а вообще любым смартфоном.
Кстати Mifare NTAG-и умеют читать даже айфоны с их реализацией NFC
Проблема в том что среди не-опен-сорс приложений практически невозможно найти те, в которых не было бы встроено каких-либо сторонних СДК, систем аналитики, метрик и т.д. постоянно отсылающих непонятно что непонятно куда. Если вам вдруг очень нужно какое-то такое приложение, и для вас не менее важна его чистота, при этом вы располагаете достаточным количеством свободного времени, то можно попробовать «разминировать» его, перепаковав руками и аккуратно вырезав из smali кода инициализацию подобных СДК, и обращения к нему. Инициализация, к счастью, как правило делается в одном месте и точек взаимодействия с интерфейсом обычно не так много. После этого приложение начнёт делать нечто совершенно невероятное для нашего времени - исполнять заявленный функционал и никуда не отсылать данные об устройстве, пользователе, приложениях которые он использует и т.д. Например приложение о погоде будет только показывать информацию о погоде, а определитель номер - только предупреждать о том что звонят мошенники. В это сложно поверить, но так бывает. О, дивный новый мир.
Некоторые такие «разминированные» приложения можно найти на 4пда, энтузиасты иногда сначала делают их для себя, а потом понимают что это может и ещё кому-нибудь пригодиться и выкладывают их туда
Тоже в своё время из интереса собирал трафик лежащего в состоянии покоя устройства на андроиде. С правильно настроенным окружением: рутом, подсунутыми сертификатами от прокси и отключённым через инструментацию SSL-пиннингом, всё собранное с кастомными сигнатурами чтобы не обнаруживалось специализированными инструментами и на версии прошивки которая не может задетектить изменения в системе, safetynet аттестация проходит, даже гугл пей работает без проблем.
Так вот, могу засвидетельствовать, что большинство запросов таки разная совершенно скучная и тривиальная служебная информация сервисов гугла и firebase, никакого криминала. У гугл сервисов действительно очень много функционала, большей частью которого, скорее всего, почти никто не пользуется, но тем не менее, приложения с прошивкой поставляются, поэтому работают и запросов гуляет прилично. Сюда же относятся вся коммуникация рекламного СДК, remote-config, пуш-уведомления и т.д. Почти вся информация передаётся в открытую, только то что касается рекламы может передаваться в виде каких-то токенов.
Google - американская корпорация. Данные о пользователях она собирает относительно «честно» с точки зрения закона - в основном с серверов, засчёт широкой экосистемы, сопоставляя данные поиска, ютуба, почты и других сервисов, предупреждая заранее, подробно расписав что именно может быть собрано и с возможностью сбросить свой рекламный идентификатор (правда без возможности от него совсем отказаться, но таково пользовательское соглашение). Пытаться вести какие-то мутные подковёрные игры с незаконным сбором чувствительных данных означает попасть на серьёзные юридические проблемы, если эта информация всплывёт, а внимания специалистов к ним достаточно много чтобы так по глупому рисковать - загнобят в судах миллиардными штрафами. Зачем им это, если информацию можно собирать проще и в рамках заключённого с пользователем privacy policy?
Тут в комментариях ранее интересовались как обстоят дела на «обезгугленных» прошивках - дела обстоят значительно лучше. Например на стоковой прошивке моё устройство держало 20+ открытых сетевых соединений с сервисами гугла и постоянно гоняло туда-сюда информацию по ним. На LineageOS без гугл сервисов как правило отсутствовали хоть какие-то соединения. Т.е. в плане передаваемых данных система была чиста как слеза младенца, но сторонние приложения при этом, разумеется, могли пытаться сами куда-то пытаться сходить в сеть. На версии с MicroG, минималистичной опенсорсной реализацией гугл-сервисов, держалось ровно одно соединение с сервисами гугла - для получения пуш-уведомлений (полагаю, в идеальнои мире именно так и должна работать стоковая прошивка), и ещё пара соединений для A-GPS (определение локации по вышкам сотовой связи).
Значительное количество сетевых соединений с разными действительно мутными сервисами создавали, по моим наблюдениям, именно скачанные приложения, но как правило не сами, а через встроенные third-party СДК для аналитики и т.д.
Что касается российских компаний - вот тут всё куда интереснее. В российских приложениях часто встроены метрика, и, в особенности, антифрод-СДК, которые, на мой взгляд, собирают неприлично много информации. Речь идёт об информации конкретно с устройства пользователя. Иногда используя не самые стандартные хаки для этого. Эти СДК действительно пытаются скрыть передаваемые данные, шифруя их и пытаясь отключаться если обнаруживают попытку снятия трафика, что выглядит вдвойне неприлично. К счастью для нас, исследователей, нет ничего такого с чем бы не справилась фрида.
Не хочу называть конкретные приложения, и надеюсь это всё таки исключения, а не норма. Я понимаю по каким причинам они это делают, и в целом, не сомневаюсь, что пользовательское соглашение составлено так, что обвинить их в этом не получится, но на мой взгляд этих данных коллекционируется куда больше чем действительно требуется для работы.
Если на вашем андроид устройстве есть хотя бы одно из популярных в России приложений известных, крупных или окологосударственных компаний, то вероятно оно отправляет данные куда более чувствительные и куда более потенциально злонамеренным сторонам чем информация для рекламы уходящая в далёкий заморский гугл
Вообще не всегда можно так просто встроиться в пиннинг в 100% случаев.
Видел в одном российском приложении интересный подход с заменой сигнатур классов в OkHttp, включая CertificatePinner, через инструменты типа jarjar. Очень круто то, что это дёшево, просто через плагин добавляется один этап во время сборки, никакой код самому переписывать не нужно. По сути, изменяется только имя пакета в классах, но все простые стандартные средства снятия пиннинга это ломает и юным реверс-инженерам готовыми фрида-скриптами уже воспользоваться не получится, придётся как минимум писать свои. Плюс есть и куда более изощренные подходы с выносом сетевого слоя в нейтив, кажется так сделано в приложениях фейсбука
Удивляюсь наивности аудитории подобных мусорных блогов/каналов/пабликов. Зачем доверять мнению каких-то профессоров МГУ если для финансового успеха достаточно взять простой советский пятикопеечный ...
Тоже очень удивился увидев эту линию заходящую и в Певек и в Анадырь. Насколько я слышал, на самом крайнем северовостоке страны провайдеры в настоящий раздают сеть со спутников, а не с оптики, поэтому и скорости там очень низкие по сравнению с другими частями страны, и цены за интернет конские
У меня нет никаких иллюзий по поводу целей и мотиваций государств, ни в целом, ни, уж тем более, таких государств как современная Россия. Если отложить эмоции, то, на мой взгляд, и государство и производители устройств сильно выиграли бы убрав из своих конкурентов более быстрый и легко адаптирующийся по сравнению с ними мелкий и средний криминал и мошенников. Производители бы предоставили лучшую безопасность конечным пользователям мобильных устройств, плюс к лояльности и репутации, государства - сохранили бы в полном объёме контроль и возможность прослушки отчитавшись при этом об успешной борьбе с преступниками.
Небезопасность и уязвимость 2G известны и очевидны абсолютно всем. Исправить это - совершенно не сложно. Так вот и живём
Меня вот всегда удивляет и сильно расстраивает то, что в прошивках радиомодулей большинства смартфонов на базе андроид которые я видел настройки, и видимо интерфейс взаимодействия с радио со стороны самой ОС, устроены так, что можно выбрать ИЛИ только старые стандарты связи, ИЛИ новые + старые, но почему-то нельзя выбрать конкретно только новые, ну или хотя бы отключить именно 2G. Например прямо сейчас смотрю на свой старый андроид и там в настройках возможные варианты: "2G/3G/LTE", "2G/3G", "Только 2G". На айосах вообще не видел возможности настроить это руками.
Всё описанное в статье возможно исключительно потому что устройства до сих пор поддерживают 2G. 2G был реализован в те времена когда о безопасности ещё никто особо не парился. На стеке 3G и выше уже есть аутентификация базовых станций и поэтому никакая поддельная базовая станция уже не может вклиниться в связь между клиентом и вышкой.
Об уязвимостях 2G/EDGE известно уже очень много лет, все понимают что это ненадёжная, уязвимая технология. Да, она выгоднее в удалённых местностях, потому что позволяет покрыть большую территорию связью, правда достаточной только для совершения голосового звонка, интернет на ней - слишком медленный, современные браузеры считают такую низкую скорость == "нет связи". Но она небезопасная - ей пользуются злоумышленники. Было бы очень правильно дать пользователю возможность выбирать самому какими технологиями связи ему пользоваться, а какими нет, дать возможность выбирать использовать 2G если живёт в глухом лесу, или отключить чтобы избежать спуфинга БС.
Всё это похоже либо на полное разгильдяйство и нежелание что-то делать со стороны производителей, либо на сознательное вредительство, потому что у государств по всему миру уже налажена работа устройств для подмены БС в основном именно под 2G. Если уж даже спекулировать на тему того, что поддельные БС нужны товарищу майору, ну сделайте вы 3G или LTE. Владея ключами от ОПСОСа, а в реалиях России, они давно слились с государством, можно поднять фейковую базовую станцию и на этих технологиях. Будет товарищ майор контролировать линии связи, но по крайней мере этого не будут делать злоумышленники.
Справедливости ради - на некоторых телефонах можно отключить 2G, и даже 3G и оставить только LTE, но таких моделей - абсолютное меньшинство. Получается как с WiFi. Вроде 2022 год на дворе, а у людей до сих пор на домашних роутерах включён по умолчанию WPS, часто ещё и без защиты от перебора, или с утёкшими алгоритмами расчёта пинов, что позволяет ломануть его прямо с мобилы за 10 секунд, хотя о этих возможностях все также знают уже очень много лет
Верно. Ещё часть ванплюсов. К сожалению, в настоящее время реализация механизма user settable root of trust является добровольной, а не обязательной для сертификации устройства со стороны Google для компаний производящих устройства под андроид, поэтому почти никто это не делает. Мне бы лично хотелось чтобы большинство устройств имели такую возможность. По сути, это сделало бы устройства на кастомных прошивках одинаково безопасными (и уж точно куда более приватными) по сравнению со стоковыми прошивками от производителя и не было бы необходимости писать эту статью
Привет. Спасибо за интерес к теме. В целом да, на современных устройствах adb будет требовать подтверждения взаимной аутентификации по ключам, но я бы сказал, что оставлять открытым adb - всё равно плохая идея. Думаю что это можно обыграть, по крайней мере в части случаев.
На ум сразу пришёл как минимум один сценарий. Допустим владельцу устройства устроили "маски-шоу". В подобных ситуациях изымаются для следствия абсолютно все личные устройства в которых физически может храниться информация - компьютеры, ноутбуки, планшеты, телефоны, и т.д. Ключи adb хранятся в домашней директории пользователя (~/.android/adbkey, ~/.android/adbkey.pub). Соответственно, если получить доступ к этим директориям на машине с которой подключались, то можно их закинуть на машину атакующего и устройство будет считать что adb shell запрашивает уже знакомый компьютер. А дальше вступают в работу стандартные инструменты для форензики.
Звучит по человечески правильно, но в реальности это работать не будет. В условиях хаоса и отсутствия нормальной организации протестующих вооружённое сопротивление на 99% невозможно.
Средний гражданин в странах СНГ вооружён в лучшем случае полуавтоматическим охотничьим оружием, средний силовик - как минимум автоматическим нарезным. Из-за уничтоженной культуры обращения с оружием, процент вооружённого населения на территории постсоюза просто смехотворен, можно сказать что его практически нет. Легальные зарегистрированные стволы будут скорее всего изъяты у населения в первые дни ЧС, и 99,9% потенциальных протестующих будут разоружены ещё до выхода на площади, а рынок нелегального оружия, по крайней мере в основной части РФ, в отличие от повсеместно распространённых наркотиков и других незаконных штук практически на 100% задушен и уничтожен, поскольку вещества в отличие от оружия не представляют опасности для власти. Кто бы что не говорил про торы, даркнеты и т.д. достать нелегальный ствол без очень высоких знакомств в органах практически нереально, тем более быстро и в достаточном количестве.
Средний гражданин не сможет организовать себе достаточно эффективную защиту от огня силовиков, он не защищён практически ничем, средний силовик защищён по крайней мере армейским плитником, плюс, скорее всего, имеет на своей стороне тяжёлую бронетехнику. Отважно и романтично идти под пули как в кино готовы, в основном, только комментаторы в интернете, в реальности при появлении первых раненых большая часть протестующих скорее всего будет деморализована и обратится в бегство.
Средний гражданин имеет никакие или очень низкие навыки ведения боя и специальную подготовку, не знает большинство других граждан вышедших на протест и не может быть уверен в том как они поведут себя в условиях крайнего стресса. Он может конечно в праведном гневе и имея огромное численное преимущество на своей стороне попробовать устроить самоубийственную атаку на силовиков, но средний силовик действует в составе организованного подразделения, у него есть сработанность со своими товарищами, более менее полное понимание действий принимаемых прямо сейчас и в ближайшем будущем, связь с коллегами, чёткая субординация и командование, которое в отличие от неорганизованной и отрезанной от связи толпы имеет более полную картину происходящего и способно эффективно координировать их действия. В ситуации реального столкновения скорее всего даже при десятикратном преимуществе средние протестующие будут легко рассеяны и уничтожены небольшой группой подготовленных силовиков.
Список можно продолжать и далее, но самое главное - средний гражданин, идя на подобное, рискует абсолютно всем - своей жизнью, свободой, будущим, своей семьёй и близкими, средний силовик нажимая на спусковой крючок не рискует практически ничем. Государства по всему миру последние десятилетия активно инвестировали в то чтобы отнять у граждан право на анонимность, и наделить максимальной анонимностью своих карателей, поэтому силовикам, в основном, очень просто идентифицировать граждан, а гражданам силовиков идентифицировать очень сложно, поэтому большинство протестующих после завершения ЧС будут найдены, опознаны и уничтожены, в то же время, как бы плохо не разворачивались события, и сколько бы жизней протестующих не забрал силовик, вероятнее всего, за свои действия он никакой ответсвенности не понесёт.
Выводы - самые печальные. Во-первых, к сожалению, не смотря на наличие различных технологий меш сетей и т.д. в современном мире обойти полный шатдаун коммуникаций в случае ЧС практически невозможно. Уровень развития таких технологий слишком низок чтобы реально работать в условиях когда государство контролирует практически все линии связи. А во-вторых, протестовать против государства в современном мире - практически невозможно. Нарушен основополагающий базовый принцип теории игр - возможно это не совсем удачный пример, но сейчас в отношениях государства и гражданина вместо "повторяющейся дилеммы заключённого" - т.е. имеющей последствия, мы имеем дилемму заключённого как минимум "классическую", а скорее даже не дилемму заключённого, а настоящий Стенфордский тюремный эксперимент. В повторяющейся дилемме двум противоборствующим игрокам, из-за того что они находятся в равных условиях и обладают равной силой, всегда выгоднее искать компромисс и взаимодействовать друг с другом, т.к. попытка навредить другой стороне повлечёт за собой обязательную месть. Каждая из сторон всегда будет выбирать месть ответным ходом, что приведёт к патовой ситуации, невозможности взаимодействовать и ненужной трате ресурсов. В современном мире гражданин абсолютно безоружен и абсолютно лишён возможности "мести" и противостояния государству в любом виде, даже в мелочах. Из-за этого у государств просто нет смысла пытаться искать с гражданами общий язык, т.к. у граждан нет никакой возможности сделать что-либо в ответ.
Что с этим делать - непонятно. Честно говоря, я в обозримом будущем вообще не вижу никаких предпосылок к изменению ситуации в лучшую сторону, поэтому, ИМХО, различные там отпоры государствам, народные мстители и волеизъявления народа пока что остаются в разряде фантазий на неопределённый срок. С этим и раньше было всё очень сложно, но в современном технологичном мире кажется вообще практически невозможно
Насколько я знаю, много подобных систем до сих пор пользуется COM портами, и WindowsXP, потому что драйверы нормально работают только там :)
Столбики продавали билеты на транспорт на вокзалах, пополняли транспортные карты
Хороший гайд! Сам давно пользуюсь Wireguard и тоже делал для собственных нужд схему с частичным обходом блокировок для определённых ресурсов. Я начинал с похожего подхода, но пришёл по итогу к другой схеме.
На мой взгляд, проблема с тем, что необходимо оперировать именно IP-адресами - принципиальная. Выглядит всё, без погружения в детали и ежедневного использования очень чисто и красиво, но, рано или поздно, от поддержки такого решения либо очень устаёшь, либо всё равно приходится гнать через туннель всё.
Вот, например, я получил необходимые адреса через nslookup, и забил их в ipset который будет перенаправляться в туннель. Во-первых, адреса могут поменяться, и для этого требуется периодически обновлять список адресов/подсетей, заморачиваться с cron или другими планировщиками, настраивать софт и.т.д. Если этого не делать, то в какой-то момент ресурс перестанет открываться и придётся снова лезть в конфиги и перенастраивать, забивать новые адреса и т.д. Во-вторых, nslookup не даёт информации о том, куда именно будут ходить запросы, на какие поддомены или third-party ресурсы. Поэтому, приходится руками заходить в браузер, выцеплять отдельные домены, проверять их через nslookup и прописывать в список адресов, и все эти адреса тоже могут меняться, как и поддомены, а могут ещё и добавляться новые.
Должен отметить что wireguard клиенты у меня работают на роутере с очень ограниченным объёмом памяти, а не на полноценном компьютере, и поэтому, возможно, такое решение для меня предпочтительнее, потому что перезагружать базу geo-ip, перенастраивать policy based routing получается намного менее удобно, и можно легко упиреться в нехватку памяти. Получается необходимо базу обновлять на компьютере и руками загружать на роутер - это снова лишние заботы.
В конечном счёте я пришёл к более топорной, но, тем не менее, самой удобной для меня схеме: роутер держит постоянное соединение с несколькими wireguard серверами, и на роутере под каждый из них созданы отдельные сетевые интерфейсы. Весь трафик попадающий в эти интерфейсы уходит в соответствующий туннель. На роутере также подняты прокси сервера, трафик с которых перенаправляется на сетевые интерфейсы, с которых уже улетает в туннель. На своём ноутбуке я пользуюсь Firefox и его профилями. Под каждый профиль у меня забиты настройки прокси указывающие на нужный прокси сервер. В профиле по умолчанию настроек прокси нет. Лаунчеры запускающие окно Firefox с нужным профилем выставлены в общий список программ.
Получается, у меня на компьютере есть как бы разные "гео-браузеры". Если мне необходимо выйти в сеть с текущего адреса - я просто открываю обычный Firefox. Если я хочу посмотреть инстаграм и прочие ресурсы "загнивающего запада", то открываю FirefoxEU - сессию браузера с профилем, в котором через прокси весь трафик отправляется в wireguard туннель на роутере. Необходимых профилей с разными выходными адресами можно создать сколько потребуется под свои нужды. Таким образом, абсолютно весь трафик в отдельном открытом окне браузера улетает в туннель, но всё остальное работает как обычно. Не требуется постоянно обновлять списки IP-адресов, бояться утечки или что-то перенастраивать. Самое главное, на мой взгляд - это true unix way. Отдельные звенья цепи взаимозаменяемы - wireguard туннель можно заменить на ssh-туннель или что угодно ещё не меняя настроек на клиентах. DNS также можно шифровать чем душа возжелает - DNSCrypt, Dot, DoH - всё настраивается в одной точке и удобно взаимозаменяется. Опять же - можно поменять точку прокси и сделать всё это на выделенном сервере вместо роутера. На мой взгляд так получается удобнее.
Да, там внутри пинпада была какая-то система которая была в нормально замкнутом состоянии, может быть кнопка, не знаю. Если корпус открыть то контакт размыкался и ключи затирались, по крайней мере так сообщил поставщик.
Насчёт оборудования - если честно, не смогу сказать точно. Давно очень дело было и я отвечал только за часть программщины работавшей чисто с доменной логикой. В детали взаимодействия с оборудованием не погружался. Знаю точно что все эти устройства: диспенсер купюр, устройство чтения карт, пинпад, фискальный накопитель, чековый принтер и т.д., все они работали через COM-порты и ребята занимавшиеся интеграцией общались с ними таким образом. Сам отладочный образец конечного столбика самообслуживания стоял у нас в офисе в препарированном виде с открытым корпусом и было интересно наблюдать за тем как там всё внутри устроено.
Кстати, доводилось работать в компании, где я участвовал в написании софта для POS-терминалов, столбиков самообслуживания. Разумеется, там необходимо было организовать приём платежей по картам, поэтому компания закупала это оборудование и устанавливала его в наши столбики. Так вот пинпады (которые большие, как на банкоматах) нам присылали зажатыми с двух сторон толстыми скрепками для офисных документов, и говорили, что эти пинпады необходимо именно так хранить и транспортировать, а скрепки можно снять только непосредственно перед установкой и фиксацией в корпусе POS-терминала. Если физически открыть корпус такого пинпада, то сработает защита и ключи прописанные внутри затрутся, придётся везти пинпад на перепрошивку. Интересно, как это работает?
Диски — SSD, и на ноутбуке и на компьютере. По скорости чтения и записи сопоставимы. Честно говоря, я не мерял точную нагрузку на IO, но она должна быть довольно значительной, файлов в кэшах и промежуточных результатах сборки очень много.
Single core производительность однозначно важна. В процессе сборки проекта есть несколько мест, «бутылочных горлышек», когда вся работа производится исключительно на одном потоке, а остальные gradle таски не могут начать выполнение пока не окончится предыдущая. В первую очередь это compile и annotation processing основного модуля. Кодогенерации было много, и kapt занимал ну очень большую часть общего времени. Уверен, что ребята ждут не дождутся полноценно работающего со всеми основными популярными библиотеками ksp.
Тем не менее, все остальные модули и большая часть тасков gradle отлично выполянялись параллельно. Я пробовал делать большее и меньшее количество ядер и обнаружил что это самым серьёзным образом влияет на скорость сборки. Изменение количества RAM, как ни странно, влияло намного меньше.
Добрый день. Ого, здорово получить от вас сообщение! Удивительно тесен мир. Спасибо вам большое ещё раз за ваш проект.
Меня тоже заинтересовала, в первую очередь, возможность практически бесшовной интеграции с инструментами сборки. Ни Gradle, ни IDE не требуют специальной доработки конфигов на уровне проекта и это, на самом деле, очень круто, хоть пока и приходится кое-какие вещи произвести руками чтобы всё заработало. Мне очень понравился проект. Планирую, как будет возможность по свободному времени и должный порыв души, всё таки попробовать обернуть это в полноценный плагин для андроид студии, а серверную часть, кажется, можно без больших проблем оформить в docker контейнер и сделать коробочным решением. Мне кажется, что потенциал Mirakle очень большой.
Что касается использования - я сам активно пользовался Mirakle как раз на предыдущем рабочем месте из-за гигантского размера проекта и очень долгой сборки, сейчас работаю в немного другой сфере и собирать такого рода проекты уже не приходится.
Кажется, что на хабре эта тема не вызвала интереса, что для меня немного странно, потому что это, как минимум, очень интересно - никаких других подобных решений именно для андроид я ни разу не видел, и ещё и полезно - для работы с жирными проектами на слабом железе это действительно настоящее спасение. В компании где я работал, например, долгая сборка была достаточно больной и общеизвестной проблемой. Я пробовал продвигать идею взять Mirakle, поставить его на более менее промышленные рельсы, и выделить мощности на оборудовании компании чтобы удалёнщики со слабым железом могли без проблем собирать проект, но, к сожалению, дальше обсуждений дело не пошло.
Наверное мне повезло с тем, что у меня было подходящее железо которым удобно было воспользоваться. Мой провайдер - домашний компьютер с Ryzen 5950, на котором можно взять и поднять виртуалку с парой десятков ядер и кучей памяти :)
В моём случае пользоваться услугами провайдеров всё равно было нельзя, но я для интереса смотрел рынок, и находил предложения по аналогичным по мощностям машинкам. Например, у Selectel практически аналогичная конфигурация стоила, в то время когда я интересовался этим, около 20 рублей в час. Сейчас вот, кстати, зашёл посмотрел, ценник уже стал очень сильно кусаться - 45 рублей в час - уже не такая народная цена
Поддерживаю. Также доводилось участвовать в проектах, в которых одной из основных технических фишек было распознавание лиц.
Могу подтвердить что распознавать лица с камеры которая находится сильно выше лица - крайне сомнительная затея, потому что большинство точек на лице участвующих в процессе распознавания находятся вокруг глаз и носа, и получать их удобно либо с той же высоты, либо с высоты ниже, а когда камера установлена выше лица эти точки бывает крайне сложно увидеть и результаты распознавания получаются очень неточные.
Что касается близнецов - несколько лет назад лично наблюдал как одна компания, продающая движок распознавания лиц, в рекламных материалах рисовала красивые картинки про невероятную точность распознавания и возможность различать близнецов. Так получилось, что я как раз в это время писал слой интеграции с этим движком. Я своими руками собрал приложение с этим движком и сделал для него две фотографии знакомых близнецов, движок сказал что с вероятностью 99,5% на этих фотографиях один и тот же человек.
Также, для качественного распознавания лиц нужны очень качественные и дорогие камеры, а бизнес, логично, частенько хочет сэкономить и закупить недорогое оборудование. Стоит ли и говорить потом о том что результаты распознавания получаются плачевные, и движок может запросто не различать в видеопотоке одного и того же человека, принимая его за двух разных, или наоборот ошибочно принимать одного человека за другого, особенно когда в его базе сохранено очень много описаний лиц. Я точно не готов доверять ничего касающееся оплаты подобным системам
Никогда такого не было и вот опять
Много приходилось работать с NFC картами разных типов. Никогда не перестану удивляться тому что в системах контроля и учёта доступа до сих пор чаще всего используются низкочастотные 125 КГц карты типа emmarin или hid proxmark. Копируются такие при наличии необходимого оборудования за пару секунд, а китайская болванка с чипом типа t5577 стоит по 15-20 рублей за штуку в виде белого пластика. Из таких же emmarin-ов кстати чаще всего делают ключи для домофонов.
Уже очень много лет на рынке существует огромное количество самых разных карт, в том числе абсолютно надёжных и никак не копируемых, защищённых криптографией, и по цене за штуку, кстати, не очень сильно дороже чем emmarin, но в СКУДах до сих пор продолжают упорно использовать в основном только их.
Должен отметить что то, что у автора в качестве пропуска используется NDEF tag от Mifare меня очень удивляет. Очень редкая СКУД доходит до того чтобы перейти на 13,56 МГц карты, однако NDEFы на то и NDEFы - они также не предусматривают никакой криптографии во время работы и защиты от копирования, только теперь читать их можно не специальным оборудованием под 125 КГц-ные карты, а вообще любым смартфоном.
Кстати Mifare NTAG-и умеют читать даже айфоны с их реализацией NFC
Проблема в том что среди не-опен-сорс приложений практически невозможно найти те, в которых не было бы встроено каких-либо сторонних СДК, систем аналитики, метрик и т.д. постоянно отсылающих непонятно что непонятно куда. Если вам вдруг очень нужно какое-то такое приложение, и для вас не менее важна его чистота, при этом вы располагаете достаточным количеством свободного времени, то можно попробовать «разминировать» его, перепаковав руками и аккуратно вырезав из smali кода инициализацию подобных СДК, и обращения к нему. Инициализация, к счастью, как правило делается в одном месте и точек взаимодействия с интерфейсом обычно не так много. После этого приложение начнёт делать нечто совершенно невероятное для нашего времени - исполнять заявленный функционал и никуда не отсылать данные об устройстве, пользователе, приложениях которые он использует и т.д. Например приложение о погоде будет только показывать информацию о погоде, а определитель номер - только предупреждать о том что звонят мошенники. В это сложно поверить, но так бывает. О, дивный новый мир.
Некоторые такие «разминированные» приложения можно найти на 4пда, энтузиасты иногда сначала делают их для себя, а потом понимают что это может и ещё кому-нибудь пригодиться и выкладывают их туда
Тоже в своё время из интереса собирал трафик лежащего в состоянии покоя устройства на андроиде. С правильно настроенным окружением: рутом, подсунутыми сертификатами от прокси и отключённым через инструментацию SSL-пиннингом, всё собранное с кастомными сигнатурами чтобы не обнаруживалось специализированными инструментами и на версии прошивки которая не может задетектить изменения в системе, safetynet аттестация проходит, даже гугл пей работает без проблем.
Так вот, могу засвидетельствовать, что большинство запросов таки разная совершенно скучная и тривиальная служебная информация сервисов гугла и firebase, никакого криминала. У гугл сервисов действительно очень много функционала, большей частью которого, скорее всего, почти никто не пользуется, но тем не менее, приложения с прошивкой поставляются, поэтому работают и запросов гуляет прилично. Сюда же относятся вся коммуникация рекламного СДК, remote-config, пуш-уведомления и т.д. Почти вся информация передаётся в открытую, только то что касается рекламы может передаваться в виде каких-то токенов.
Google - американская корпорация. Данные о пользователях она собирает относительно «честно» с точки зрения закона - в основном с серверов, засчёт широкой экосистемы, сопоставляя данные поиска, ютуба, почты и других сервисов, предупреждая заранее, подробно расписав что именно может быть собрано и с возможностью сбросить свой рекламный идентификатор (правда без возможности от него совсем отказаться, но таково пользовательское соглашение). Пытаться вести какие-то мутные подковёрные игры с незаконным сбором чувствительных данных означает попасть на серьёзные юридические проблемы, если эта информация всплывёт, а внимания специалистов к ним достаточно много чтобы так по глупому рисковать - загнобят в судах миллиардными штрафами. Зачем им это, если информацию можно собирать проще и в рамках заключённого с пользователем privacy policy?
Тут в комментариях ранее интересовались как обстоят дела на «обезгугленных» прошивках - дела обстоят значительно лучше. Например на стоковой прошивке моё устройство держало 20+ открытых сетевых соединений с сервисами гугла и постоянно гоняло туда-сюда информацию по ним. На LineageOS без гугл сервисов как правило отсутствовали хоть какие-то соединения. Т.е. в плане передаваемых данных система была чиста как слеза младенца, но сторонние приложения при этом, разумеется, могли пытаться сами куда-то пытаться сходить в сеть. На версии с MicroG, минималистичной опенсорсной реализацией гугл-сервисов, держалось ровно одно соединение с сервисами гугла - для получения пуш-уведомлений (полагаю, в идеальнои мире именно так и должна работать стоковая прошивка), и ещё пара соединений для A-GPS (определение локации по вышкам сотовой связи).
Значительное количество сетевых соединений с разными действительно мутными сервисами создавали, по моим наблюдениям, именно скачанные приложения, но как правило не сами, а через встроенные third-party СДК для аналитики и т.д.
Что касается российских компаний - вот тут всё куда интереснее. В российских приложениях часто встроены метрика, и, в особенности, антифрод-СДК, которые, на мой взгляд, собирают неприлично много информации. Речь идёт об информации конкретно с устройства пользователя. Иногда используя не самые стандартные хаки для этого. Эти СДК действительно пытаются скрыть передаваемые данные, шифруя их и пытаясь отключаться если обнаруживают попытку снятия трафика, что выглядит вдвойне неприлично. К счастью для нас, исследователей, нет ничего такого с чем бы не справилась фрида.
Не хочу называть конкретные приложения, и надеюсь это всё таки исключения, а не норма. Я понимаю по каким причинам они это делают, и в целом, не сомневаюсь, что пользовательское соглашение составлено так, что обвинить их в этом не получится, но на мой взгляд этих данных коллекционируется куда больше чем действительно требуется для работы.
Если на вашем андроид устройстве есть хотя бы одно из популярных в России приложений известных, крупных или окологосударственных компаний, то вероятно оно отправляет данные куда более чувствительные и куда более потенциально злонамеренным сторонам чем информация для рекламы уходящая в далёкий заморский гугл
Вообще не всегда можно так просто встроиться в пиннинг в 100% случаев.
Видел в одном российском приложении интересный подход с заменой сигнатур классов в OkHttp, включая CertificatePinner, через инструменты типа jarjar. Очень круто то, что это дёшево, просто через плагин добавляется один этап во время сборки, никакой код самому переписывать не нужно. По сути, изменяется только имя пакета в классах, но все простые стандартные средства снятия пиннинга это ломает и юным реверс-инженерам готовыми фрида-скриптами уже воспользоваться не получится, придётся как минимум писать свои. Плюс есть и куда более изощренные подходы с выносом сетевого слоя в нейтив, кажется так сделано в приложениях фейсбука
Удивляюсь наивности аудитории подобных мусорных блогов/каналов/пабликов. Зачем доверять мнению каких-то профессоров МГУ если для финансового успеха достаточно взять простой советский пятикопеечный ...
Отличная подборка. Спасибо
Тоже очень удивился увидев эту линию заходящую и в Певек и в Анадырь. Насколько я слышал, на самом крайнем северовостоке страны провайдеры в настоящий раздают сеть со спутников, а не с оптики, поэтому и скорости там очень низкие по сравнению с другими частями страны, и цены за интернет конские
У меня нет никаких иллюзий по поводу целей и мотиваций государств, ни в целом, ни, уж тем более, таких государств как современная Россия. Если отложить эмоции, то, на мой взгляд, и государство и производители устройств сильно выиграли бы убрав из своих конкурентов более быстрый и легко адаптирующийся по сравнению с ними мелкий и средний криминал и мошенников. Производители бы предоставили лучшую безопасность конечным пользователям мобильных устройств, плюс к лояльности и репутации, государства - сохранили бы в полном объёме контроль и возможность прослушки отчитавшись при этом об успешной борьбе с преступниками.
Небезопасность и уязвимость 2G известны и очевидны абсолютно всем. Исправить это - совершенно не сложно. Так вот и живём
Годное и интересное исследование, спасибо.
Меня вот всегда удивляет и сильно расстраивает то, что в прошивках радиомодулей большинства смартфонов на базе андроид которые я видел настройки, и видимо интерфейс взаимодействия с радио со стороны самой ОС, устроены так, что можно выбрать ИЛИ только старые стандарты связи, ИЛИ новые + старые, но почему-то нельзя выбрать конкретно только новые, ну или хотя бы отключить именно 2G. Например прямо сейчас смотрю на свой старый андроид и там в настройках возможные варианты: "2G/3G/LTE", "2G/3G", "Только 2G". На айосах вообще не видел возможности настроить это руками.
Всё описанное в статье возможно исключительно потому что устройства до сих пор поддерживают 2G. 2G был реализован в те времена когда о безопасности ещё никто особо не парился. На стеке 3G и выше уже есть аутентификация базовых станций и поэтому никакая поддельная базовая станция уже не может вклиниться в связь между клиентом и вышкой.
Об уязвимостях 2G/EDGE известно уже очень много лет, все понимают что это ненадёжная, уязвимая технология. Да, она выгоднее в удалённых местностях, потому что позволяет покрыть большую территорию связью, правда достаточной только для совершения голосового звонка, интернет на ней - слишком медленный, современные браузеры считают такую низкую скорость == "нет связи". Но она небезопасная - ей пользуются злоумышленники. Было бы очень правильно дать пользователю возможность выбирать самому какими технологиями связи ему пользоваться, а какими нет, дать возможность выбирать использовать 2G если живёт в глухом лесу, или отключить чтобы избежать спуфинга БС.
Всё это похоже либо на полное разгильдяйство и нежелание что-то делать со стороны производителей, либо на сознательное вредительство, потому что у государств по всему миру уже налажена работа устройств для подмены БС в основном именно под 2G. Если уж даже спекулировать на тему того, что поддельные БС нужны товарищу майору, ну сделайте вы 3G или LTE. Владея ключами от ОПСОСа, а в реалиях России, они давно слились с государством, можно поднять фейковую базовую станцию и на этих технологиях. Будет товарищ майор контролировать линии связи, но по крайней мере этого не будут делать злоумышленники.
Справедливости ради - на некоторых телефонах можно отключить 2G, и даже 3G и оставить только LTE, но таких моделей - абсолютное меньшинство. Получается как с WiFi. Вроде 2022 год на дворе, а у людей до сих пор на домашних роутерах включён по умолчанию WPS, часто ещё и без защиты от перебора, или с утёкшими алгоритмами расчёта пинов, что позволяет ломануть его прямо с мобилы за 10 секунд, хотя о этих возможностях все также знают уже очень много лет
Верно. Ещё часть ванплюсов. К сожалению, в настоящее время реализация механизма user settable root of trust является добровольной, а не обязательной для сертификации устройства со стороны Google для компаний производящих устройства под андроид, поэтому почти никто это не делает. Мне бы лично хотелось чтобы большинство устройств имели такую возможность. По сути, это сделало бы устройства на кастомных прошивках одинаково безопасными (и уж точно куда более приватными) по сравнению со стоковыми прошивками от производителя и не было бы необходимости писать эту статью
Привет. Спасибо за интерес к теме. В целом да, на современных устройствах adb будет требовать подтверждения взаимной аутентификации по ключам, но я бы сказал, что оставлять открытым adb - всё равно плохая идея. Думаю что это можно обыграть, по крайней мере в части случаев.
На ум сразу пришёл как минимум один сценарий. Допустим владельцу устройства устроили "маски-шоу". В подобных ситуациях изымаются для следствия абсолютно все личные устройства в которых физически может храниться информация - компьютеры, ноутбуки, планшеты, телефоны, и т.д. Ключи adb хранятся в домашней директории пользователя (~/.android/adbkey, ~/.android/adbkey.pub). Соответственно, если получить доступ к этим директориям на машине с которой подключались, то можно их закинуть на машину атакующего и устройство будет считать что adb shell запрашивает уже знакомый компьютер. А дальше вступают в работу стандартные инструменты для форензики.
Звучит по человечески правильно, но в реальности это работать не будет. В условиях хаоса и отсутствия нормальной организации протестующих вооружённое сопротивление на 99% невозможно.
Средний гражданин в странах СНГ вооружён в лучшем случае полуавтоматическим охотничьим оружием, средний силовик - как минимум автоматическим нарезным. Из-за уничтоженной культуры обращения с оружием, процент вооружённого населения на территории постсоюза просто смехотворен, можно сказать что его практически нет. Легальные зарегистрированные стволы будут скорее всего изъяты у населения в первые дни ЧС, и 99,9% потенциальных протестующих будут разоружены ещё до выхода на площади, а рынок нелегального оружия, по крайней мере в основной части РФ, в отличие от повсеместно распространённых наркотиков и других незаконных штук практически на 100% задушен и уничтожен, поскольку вещества в отличие от оружия не представляют опасности для власти. Кто бы что не говорил про торы, даркнеты и т.д. достать нелегальный ствол без очень высоких знакомств в органах практически нереально, тем более быстро и в достаточном количестве.
Средний гражданин не сможет организовать себе достаточно эффективную защиту от огня силовиков, он не защищён практически ничем, средний силовик защищён по крайней мере армейским плитником, плюс, скорее всего, имеет на своей стороне тяжёлую бронетехнику. Отважно и романтично идти под пули как в кино готовы, в основном, только комментаторы в интернете, в реальности при появлении первых раненых большая часть протестующих скорее всего будет деморализована и обратится в бегство.
Средний гражданин имеет никакие или очень низкие навыки ведения боя и специальную подготовку, не знает большинство других граждан вышедших на протест и не может быть уверен в том как они поведут себя в условиях крайнего стресса. Он может конечно в праведном гневе и имея огромное численное преимущество на своей стороне попробовать устроить самоубийственную атаку на силовиков, но средний силовик действует в составе организованного подразделения, у него есть сработанность со своими товарищами, более менее полное понимание действий принимаемых прямо сейчас и в ближайшем будущем, связь с коллегами, чёткая субординация и командование, которое в отличие от неорганизованной и отрезанной от связи толпы имеет более полную картину происходящего и способно эффективно координировать их действия. В ситуации реального столкновения скорее всего даже при десятикратном преимуществе средние протестующие будут легко рассеяны и уничтожены небольшой группой подготовленных силовиков.
Список можно продолжать и далее, но самое главное - средний гражданин, идя на подобное, рискует абсолютно всем - своей жизнью, свободой, будущим, своей семьёй и близкими, средний силовик нажимая на спусковой крючок не рискует практически ничем. Государства по всему миру последние десятилетия активно инвестировали в то чтобы отнять у граждан право на анонимность, и наделить максимальной анонимностью своих карателей, поэтому силовикам, в основном, очень просто идентифицировать граждан, а гражданам силовиков идентифицировать очень сложно, поэтому большинство протестующих после завершения ЧС будут найдены, опознаны и уничтожены, в то же время, как бы плохо не разворачивались события, и сколько бы жизней протестующих не забрал силовик, вероятнее всего, за свои действия он никакой ответсвенности не понесёт.
Выводы - самые печальные. Во-первых, к сожалению, не смотря на наличие различных технологий меш сетей и т.д. в современном мире обойти полный шатдаун коммуникаций в случае ЧС практически невозможно. Уровень развития таких технологий слишком низок чтобы реально работать в условиях когда государство контролирует практически все линии связи. А во-вторых, протестовать против государства в современном мире - практически невозможно. Нарушен основополагающий базовый принцип теории игр - возможно это не совсем удачный пример, но сейчас в отношениях государства и гражданина вместо "повторяющейся дилеммы заключённого" - т.е. имеющей последствия, мы имеем дилемму заключённого как минимум "классическую", а скорее даже не дилемму заключённого, а настоящий Стенфордский тюремный эксперимент. В повторяющейся дилемме двум противоборствующим игрокам, из-за того что они находятся в равных условиях и обладают равной силой, всегда выгоднее искать компромисс и взаимодействовать друг с другом, т.к. попытка навредить другой стороне повлечёт за собой обязательную месть. Каждая из сторон всегда будет выбирать месть ответным ходом, что приведёт к патовой ситуации, невозможности взаимодействовать и ненужной трате ресурсов. В современном мире гражданин абсолютно безоружен и абсолютно лишён возможности "мести" и противостояния государству в любом виде, даже в мелочах. Из-за этого у государств просто нет смысла пытаться искать с гражданами общий язык, т.к. у граждан нет никакой возможности сделать что-либо в ответ.
Что с этим делать - непонятно. Честно говоря, я в обозримом будущем вообще не вижу никаких предпосылок к изменению ситуации в лучшую сторону, поэтому, ИМХО, различные там отпоры государствам, народные мстители и волеизъявления народа пока что остаются в разряде фантазий на неопределённый срок. С этим и раньше было всё очень сложно, но в современном технологичном мире кажется вообще практически невозможно