👩‍💻 Мессенджер MAX под огнем критики: очередной дерьмо от VK

В марте 2025 года компания VK представила мессенджер MAX , который должен был стать основой «национальной цифровой платформы».

▪️Самое серьёзное обвинение связано с подозрением, что MAX передаёт пользовательские данные на зарубежные серверы. Автор Telegram-канала Scamshot утверждает, что с последним обновлением мессенджер получил полный доступ к буферу обмена смартфона и начал собирать информацию обо всех установленных приложениях, после чего эти данные якобы отправляются за пределы России. Особенно иронично выглядит тот факт, что мессенджер, позиционируемый как «полностью отечественный», использует библиотеки из «недружественных стран». В коде MAX обнаружили украинскую библиотеку uCrop от компании Yalantis, а также компоненты из США и Польши. Критики язвительно называют это «безопасным национальным мессенджером с утечкой данных непосредственно в днепровские офисы».

▪️Анализ политики конфиденциальности MAX выявил агрессивный сбор метаданных. Мессенджер официально сохраняет IP-адреса, списки контактов, время активности и другие данные пользователей. Более того, эта информация может передаваться третьим лицам, включая государственные органы. Интеграция с порталом «Госуслуги» полностью деанонимизирует пользователей. Эксперты опасаются, что MAX станет инструментом тотальной слежки, сохраняя все переписки и предоставляя доступ к ним спецслужбам по первому требованию. Саркис Дарбинян из «Роскомсвободы» прямо назвал проект «сумасшедшим экспериментом над людьми», который может привести к созданию системы социального рейтинга по китайскому образцу.

▪️Ранние пользователи жаловались на постоянные сбои при регистрации, зависания при загрузке фотографий и другие баги. Авторизацию некоторым удавалось пройти только с четвёртой попытки. Хотя обновления частично улучшили стабильность, функциональность осталась ограниченной. В MAX отсутствуют привычные настройки конфиденциальности, двухфакторная аутентификация, сквозное шифрование чатов. Нет поддержки секретных чатов или самоуничтожающихся сообщений — всего того, что считается нормой для защищённых мессенджеров. Исследователи также выяснили, что MAX фактически является переименованной версией старого мессенджера TamTam, который создавался Mail.ru для «Одноклассников», но не снискал популярности. Если это так, то MAX наследует все архитектурные ограничения предшественника.

▪️MAX представляет собой централизованный сервис, контролируемый одним провайдером. Все данные пользователей стекаются на серверы VK и потенциально доступны для мониторинга. По российским законам операторы связи обязаны хранить переписки и предоставлять их спецслужбам по запросу.

Прозрачность проекта оставляет желать лучшего. Хотя MAX использует открытые библиотеки, исходный код самого приложения не опубликован. Проверить заявления о безопасности можно только методом «чёрного ящика» через поиск уязвимостей.

Закон предусматривает обязательную предустановку MAX на все смартфоны и планшеты с сентября 2025 года. Такая принудительность настораживает многих пользователей, которые опасаются ограничений работы конкурирующих мессенджеров.

▪️Ситуация вокруг MAX наглядно показала важность доверия и прозрачности в вопросах информационной безопасности. Первые дни присутствия на рынке привели к серьёзному репутационному ущербу. В ИБ-сообществе MAX уже приобрёл образ приложения для слежки, а не нейтрального мессенджера.

⚠️ А что вы думаете по поводу этого мессенджера? Напишите в комментариях.

🔵 Эпсилон // @epsilon_h

🖥 Все об SSL-сертификатах: чем опасен Российский корневой SSL-сертификат 🖥

SSL-сертификат (Secure Sockets Layer) — это цифровой сертификат, который подтверждает подлинность веб-сайта и обеспечивает безопасное соединение между браузером и сервером. Сайты с установленным SSL-сертификатом вместо традиционного протокола HTTP используют для передачи данных протокол HTTPS, где S на конце означает Secure (безопасный).

Процесс работы SSL-сертификата включает несколько этапов:
1. Запрос соединения. Браузер пользователя обращается к веб-серверу, запрашивая безопасное соединение.
2. Идентификация сервера. Веб-сервер отправляет копию своего SSL-сертификата в браузер.
3. Проверка сертификата. Браузер проверяет, действителен ли сертификат и выдан ли он надёжным центром сертификации.
4. Создание сеансового ключа. Когда сертификат подтверждён, браузер и сервер договариваются о методе шифрования и создают временный симметричный ключ.
5. Установление защищённого соединения. Веб-сервер расшифровывает ключ сессии с помощью своего закрытого ключа, позволяя серверу и браузеру использовать один и тот же ключ для шифрования и расшифровки данных.

Весь процесс происходит за несколько миллисекунд. Если сертификат не действителен или срок его действия истёк, в браузере отображается предупреждение о возможных проблемах с безопасностью.

Некоторые виды SSL-сертификатов:

▪️ Domain Validation (DV). Сертификат с проверкой домена, подтверждает право собственности на защищённый домен, но не проверяет легитимность организации. Подходит для внутренних веб-сервисов и тестовых серверов.
▪️ Organization Validation (OV). Сертификат с проверкой организации, требует, чтобы организация доказала право собственности на домен и подтвердила, что является юридически зарегистрированным бизнесом.
▪️ Extended Validation (EV). Сертификат с расширенной проверкой, обеспечивает высокий уровень доверия. Подходит для веб-сайтов с электронной коммерцией, например, для интернет-магазинов.
▪️ Wildcard. Позволяет защищать несколько поддоменов, относящихся к одному базовому домену.
Multi-Domain SSL Certificate (MDC). Может защитить до 100 различных доменных имён и поддоменов с помощью одного сертификата.

🔵 Эпсилон // @epsilon_h

🐝 Ученые в Китае создали пчелу-киборга 👁

Китайские ученые заявили о прорыве в области нейротехнологий: им удалось создать первого в мире киборга-пчелу, оснащенную ультралегким имплантированным контроллером мозга. Это устройство весит менее одного грамма и позволяет дистанционно управлять поведением насекомого.

Исследование было проведено группой специалистов из Университета Цинхуа совместно с другими научными институтами. Разработка открывает новые горизонты для взаимодействия между биологическими системами и электроникой, а также может найти применение в таких областях, как экологический мониторинг, сельское хозяйство и разведка.

Созданный учеными контроллер представляет собой гибкий нейроинтерфейс, который имплантируется в головной мозг пчелы. Устройство способно передавать сигналы и управлять движениями насекомого с помощью беспроводного канала связи. По словам исследователей, система работает стабильно и не причиняет существенного вреда здоровью пчелы.

Одним из ключевых достижений стало снижение массы устройства до рекордных показателей — менее 1 грамма, что делает его пригодным для использования на мелких летающих насекомых. Ранее аналогичные технологии были слишком тяжелыми для таких маленьких носителей.

Ученые отмечают, что дальнейшая разработка этой технологии может привести к созданию новых платформ для исследования мозга, а также к более точному управлению поведением животных в естественной среде обитания.

По сравнению с синтетическими аналогами они демонстрируют повышенную скрытность и увеличенную эксплуатационную выносливость, что делает их бесценными для скрытой разведки в таких сценариях, как городские бои, борьба с терроризмом и борьба с наркотиками, а также критически важные операции по ликвидации последствий стихийных бедствий.

Команда Чжао напечатала схемы на полимерной плёнке. Гибкая и тонкая, как крылья насекомого, она вмещает множество микросхем, включая инфракрасный пульт дистанционного управления.

Испытания проводились в девяти режимах импульсов. Исследователи изучали движение крыльев пчёл и повороты тараканов. Они сопоставляли сигналы с движением, заставляли пчёл кружить, а тараканов — прокладывать длинные прямые пути с небольшими отклонениями.

Недостатки:

▪️ Пчёлам нужно проводное питание, а тараканы устают после 10 импульсов. По словам исследователей, один и тот же сигнал вызывает разные реакции у разных насекомых.

▪️ Долговечная батарея, которая весит 600 мг – слишком много для пчелы. Их ноги и мышцы брюшка также отказываются выполнять команды.

🇨🇳 Страны участвуют в интенсивной гонке за технологиями киборгов. Агентство перспективных оборонных исследовательских проектов США (DARPA) раньше занимало лидирующие позиции, а Япония сильно отставала. Но сейчас Китай бьет рекорды в этой области, благодаря обильному государственному финансированию и бурно развивающейся электронной промышленности.

🔵 Эпсилон // @epsilon_h

👩‍💻 Кто убил BlackBerry | BlackBerry [2023]

«Кто убил BlackBerry» (англ. BlackBerry) — канадский биографический комедийно-драматический фильм 2023 года. Сюжет: вымышленный рассказ о создании линейки мобильных телефонов BlackBerry соучредителями Дугласом Фрегином и Майком Лазаридисом, а также инвестором Джимом Балсилли. В 1990-е друзья и основатели небольшой фирмы из Канады Майк и Даг пытаются продать разработку, которая представляет собой объединение телефона и компьютера. В их идею верит делец Джим Балсилли, который занимает должность содиректора компании и заставляет сотрудников всерьёз взяться за работу.

Фильм является самым номинированным фильмом в истории Canadian Screen Awards, имея 17 номинаций. Он получил 14 наград, включая «Лучший фильм».

🔵 Эпсилон // @epsilon_h

🤫 Шредер (англ. shredder — измельчатель, кромсатель) — специализированное оборудование для измельчения разнообразных материалов с целью утилизации, переработки или безопасного уничтожения. В зависимости от сферы применения шредеры могут использоваться:

▪️В офисной среде — для уничтожения конфиденциальных документов (счетов, кредитных карт, банковских выписок).
▪️В промышленности — для переработки вторсырья, отходов производства и материалов, не подлежащих повторному использованию в текущем виде.

Шредер функционирует по принципу механического воздействия на материал с помощью вращающихся режущих элементов. Ключевые этапы: загрузка, захват, резка, а затем — выпуск переработанного материала через решётки или сита, формирующие необходимую фракцию.

Уровень секретности — определяет степень измельчения материала и вероятность его восстановления. Например, для конфиденциальных документов рекомендуется использовать шредер, который режет бумагу до размеров не более 2×15 мм.

Агентство DARPA огласило результаты конкурса по восстановлению документов после шредера. В конкурсе приняли участие почти 9000 команд.

Каждый «паззл» состоял из фрагментов рукописного текста, измельчённого на новом коммерческом шредере и отсканированного с разрешением 400 DPI. В самом сложном задании № 5 было около 6200 фрагментов от неизвестного количества страниц — с этим заданием справились только две команды.

Победителем стала команда All Your Shreds Are Belong To U.S. — она смогла набрать максимально возможные 50 очков, выполнив все задания. Ближайшие конкуренты набрали 30 и 26 баллов.

Полностью автоматического решения никто не сумел разработать, все команды предусматривали участие одного или нескольких людей-операторов, которые проверяют правильность совпадения фрагментов. Польская команда попыталась использовать краудсорсинг. Пара десятков пользователей совместными усилиями относительно быстро решили первый паззл, но дальше так и не продвинулись.

Программист Марк Ньюлин (команда wasabi), который занял третье место, опубликовал свою методику восстановления документов. Все модули разработаны на C# / .NET 4.0 / MSSQL. На первом этапе осуществляется подготовка для сборки: разбиение изображения на отдельные фрагменты, очистка от фона и выравнивание.

Выделение границ осуществляется после заливки фона. Выравнивание фрагментов автоматизируется по стороне с максимальным количеством пикселов, а в спорных случаях помогает ручное выравнивание (по словам Марка, таких было около 1%). Верхняя и нижняя границы фрагментов тоже легко идентифицируются по характерным следам шредера, так что в случае необходимости фрагмент поворачивается на 180°. Каждый фрагмент паззла сохраняется в файл. Отдельно сохраняется «очищенная» версия фрагмента, обрезанная с длинных сторон — она нужна, чтобы найти точки соединения следа ручки.

Перед сборкой составляется база данных с информацией о каждом фрагменте: размеры в «грязном» и чистом виде, координаты линий (если заметен фрагмент листа в линейку), форма границы, точки выхода следа ручки, цвет каждой точки на границе, а также распознанный символ. Поскольку программы OCR с такой задачей справляются плохо, то распознавание символов осуществлялось вручную, говорит Марк, с принятием бокала пива после каждой тысячи фрагментов.

Вероятность соседства для каждой пары фрагментов вычислялась с учётом точек соприкосновения следа от ручки на границах фрагмента (по координатам и количеству таких точек), по точкам соприкосновения линеек на бумаге и сходстве фрагментов по цвету.

На основе этой информации сборка документа осуществляется вручную в графическом редакторе. Марк использовал GIMP и Paint.NET, но для сложных паззлов четвёртого и пятого заданий с тысячами фрагментов ему пришлось сделать отдельный интерфейс, чтобы фильтровать просмотр фрагментов из базы данных по разным параметрам: вероятность соседства, цвет ручки, наличие пятна от кофе и т.д. ( Результаты конкурса по восстановлению документов после шредера )

🔵 Эпсилон // @epsilon_h

👩‍💻 Как спрятать текстовый файл в картинке ? 🖥

Флаг «b» в Windows (бинарный режим) объединяет два файла, при чём photo.jpg будет вначале нового файла, и именно его считает проводник или просмотрщик. При использовании этого флага файл считывается побайтно, а символ окончания строки (в Windows — 0D 0A) воспринимается как два байта. Также флаг «b» применяют для открытия двоичных файлов, например графических.

🖥 В Linux для скрытия текстового файла в картинке (стеганографии) можно использовать утилиты Steghide или OpenStego. Эти инструменты позволяют встраивать секретные данные в графические файлы, включая изображения, и извлекать их.

С помощью steghide:
1. Установить Steghide с помощью менеджера пакетов дистрибутива.
2. Подготовить текстовый файл, который нужно спрятать, и картинку, в которую нужно спрятать файл.
3. Выполнить команду: steghide embed -cf картинка.jpg -ef текстовый_файл.txt. Здесь картинка.jpg — имя файла с картинкой, а текстовый_файл.txt — имя текстового файла, который нужно спрятать.
4. При выполнении команды Steghide попросит ввести пароль — нужно ввести его и нажать Enter.
5. В результате будет создан новый файл с картинкой, в которую будет спрятан текстовый файл.
6. Чтобы извлечь текстовый файл из картинки, нужно выполнить команду: steghide extract -sf новая_картинка.jpg. При выполнении команды Steghide попросит ввести пароль, который использовался при спрятывании файла.

С помощью OpenStego:
1. Выбрать файл изображения, который будет выступать в качестве обложки для секретного файла.
2. Вставить путь к файлу обложки во второе поле.
3. Скопировать путь к секретному файлу и вставить его в первое поле.
4. Указать место, куда нужно сохранить конечные зашифрованные файлы.
5. Выбрать алгоритм шифрования (по умолчанию — AES128) и указать пароль.
6. Нажать кнопку «Скрыть данные» — OpenStego сообщит, что обрабатывает файл, а затем отобразит сообщение о том, что сообщение было встроено.
7. Для извлечения данных нужно выбрать путь к изображению, в котором скрыты данные, выбрать папку, в которую нужно извлечь скрытые файлы, ввести пароль, который использовался для скрытия данных, и нажать «Извлечь данные».

🔵 Эпсилон // @epsilon_h