Цифровой суверенитет по-русски. Часть третья
Одним из самых простых способов обезопасить значительную часть государственной информации в процессе отправки — создание собственного браузера.
Кроме того, что большинство «отечественных» браузеров работают на западном движке Blink (в пример — «Яндекс Браузер», «Атом», и т. д.), что само по-себе убивает любой запрос на «отечественность» (т. к. главным разработчиком Blink является корпорация Google), они также доверяют запредельному количеству иностранных удостоверяющих центров.
Что это означает: если один из многочисленных «авторитетных» центров доверия американского происхождения под давлением выпустит поддельный сертификат для «Госуслуг», то отечественный «Яндекс Браузер» ничего даже не заметит.
Принцип работы таких атак уже был описан в публикации «Зловредные Сертификаты». В контекст стоит добавить, что такая атака имеет «цену» в одно письмо национальной безопасности.
Стоит сделать отступление и сказать, что этому существуют разной эффективности меры противодействия, например, DANE — но это «залечивание» симптоматики, а не решение проблемы в целом.
К тому же, приведенные в пример «Госуслуги» его не используют.
Выбор в пользу западных сертификатов недавно сделал мессенджер Max, даже не удосужившись сначала попробовать сертификаты НУЦ Минцифры. По-сути, Max добровольно облегчил проведение такой атаки на свой же сервис.
В рамках политкорректности «Может, вам повезёт?» не будет уточнять, как это сочетается с нарративом о «борьбе» с российским национальным мессенджером.
Решение этой проблемы простое — отдельный браузер для госслужащих.
Его отличительными особенностями должны быть отдельное хранилище сертификатов (а-ля Firefox), российский движок, и, разумеется, отсутствие доверия к западным центрам.
Такой браузер просто не примет поддельный сертификат для какого-либо российского сервиса — ведь он доверяет только «своим».
На потребительский рынок его можно ограниченно продвигать как способ безопасного взаимодействия с государством, но никак не как ПО общего пользования.
Часть первая здесь, часть вторая здесь
kremlinkernel.com
Одним из самых простых способов обезопасить значительную часть государственной информации в процессе отправки — создание собственного браузера.
Кроме того, что большинство «отечественных» браузеров работают на западном движке Blink (в пример — «Яндекс Браузер», «Атом», и т. д.), что само по-себе убивает любой запрос на «отечественность» (т. к. главным разработчиком Blink является корпорация Google), они также доверяют запредельному количеству иностранных удостоверяющих центров.
Что это означает: если один из многочисленных «авторитетных» центров доверия американского происхождения под давлением выпустит поддельный сертификат для «Госуслуг», то отечественный «Яндекс Браузер» ничего даже не заметит.
Принцип работы таких атак уже был описан в публикации «Зловредные Сертификаты». В контекст стоит добавить, что такая атака имеет «цену» в одно письмо национальной безопасности.
Стоит сделать отступление и сказать, что этому существуют разной эффективности меры противодействия, например, DANE — но это «залечивание» симптоматики, а не решение проблемы в целом.
К тому же, приведенные в пример «Госуслуги» его не используют.
Выбор в пользу западных сертификатов недавно сделал мессенджер Max, даже не удосужившись сначала попробовать сертификаты НУЦ Минцифры. По-сути, Max добровольно облегчил проведение такой атаки на свой же сервис.
В рамках политкорректности «Может, вам повезёт?» не будет уточнять, как это сочетается с нарративом о «борьбе» с российским национальным мессенджером.
Решение этой проблемы простое — отдельный браузер для госслужащих.
Его отличительными особенностями должны быть отдельное хранилище сертификатов (а-ля Firefox), российский движок, и, разумеется, отсутствие доверия к западным центрам.
Такой браузер просто не примет поддельный сертификат для какого-либо российского сервиса — ведь он доверяет только «своим».
На потребительский рынок его можно ограниченно продвигать как способ безопасного взаимодействия с государством, но никак не как ПО общего пользования.
Часть первая здесь, часть вторая здесь
kremlinkernel.com
🔥13👍7👏2❤1
Депутат Свинцов, немногим ранее позорно выгнанный из ЛДПР, продолжает радовать публику своими расчётами.
Речь идёт не о заявлении, не о прогнозе и даже не о мнении — представленный депутат счёл нужным огласить свои домыслы.
Кроме того, через подобные изречения уважаемый «слуга народа» дезинформирует публику, проводя фундаментально некорректное сравнение между контекстом блокировки игровой платформы Roblox и ситуацией вокруг мессенджера Telegram.
Ввиду того, что, будем честны, г-ин Свинцов из себя представляет ровным счётом ничего, знать о том, что ни Роскомнадзор, ни Минцифры не являются инициаторами блокировки мессенджера ему не положено.
Павел Дуров знает, кто выступает против работы его мессенджера, но наотрез отказывается их называть, прикрываясь эвфемизмом «российское государство». От отправления им ключей, как это было при первой блокировке Telegram, также воздерживается.
Неясно, зачем депутат Свинцов продолжает «мусорить» в российском инфополе. Политические мотивы можно сразу отбросить, ведь «слуга народа» понимает, что в следующей «Думе» его не будет.
kremlinkernel.com
Речь идёт не о заявлении, не о прогнозе и даже не о мнении — представленный депутат счёл нужным огласить свои домыслы.
Кроме того, через подобные изречения уважаемый «слуга народа» дезинформирует публику, проводя фундаментально некорректное сравнение между контекстом блокировки игровой платформы Roblox и ситуацией вокруг мессенджера Telegram.
Ввиду того, что, будем честны, г-ин Свинцов из себя представляет ровным счётом ничего, знать о том, что ни Роскомнадзор, ни Минцифры не являются инициаторами блокировки мессенджера ему не положено.
Павел Дуров знает, кто выступает против работы его мессенджера, но наотрез отказывается их называть, прикрываясь эвфемизмом «российское государство». От отправления им ключей, как это было при первой блокировке Telegram, также воздерживается.
Неясно, зачем депутат Свинцов продолжает «мусорить» в российском инфополе. Политические мотивы можно сразу отбросить, ведь «слуга народа» понимает, что в следующей «Думе» его не будет.
kremlinkernel.com
❤8🔥5👍4💯2
Корень проблемы
После удаления мессенджера Мах из магазина приложений App Store аффилированный административный ресурс предсказуемо спустил всех «собак» на корпорацию Apple. Мол, «нормально же общались».
Параллельно старательно выстраивался нарратив о том, что американская транснациональная корпорация ни с того, ни с сего залезла к россиянам в «карман» и отобрала их собственность.
Ключевая фактологическая ошибка была сделана именно в презумпции того, что россияне владеют своими iPhone, и соответственно, имеют право решать, какой мессенджер на них использовать.
В краткой форме доказать это можно тем, что криптографический чип Secure Enclave Processor, установленный в каждом iPhone, доверяет только Apple. Это значит, что любые модификации (в том числе сделанные номинальным «владельцем») воспринимаются как угроза, от которой необходимо защищаться.
Реализовано это с помощью проверки образа системы при загрузке, на научном языке — Verified Boot. Этот механизм на мобильных устройствах Apple не поддерживает установку пользовательских ключей.
Прямой конкурент iPhone от компании Google, телефон Pixel, такой ключ установить позволяет. После этого пользователь сам решает, что ему нужно, а что нет.
Приобретение продукции Apple — дело полностью добровольное. Никто не заставлял патриотическую общественность приобретать телефон, истинный «хозяин» которого — корпорация из «недружественного государства».
Сказать что Apple изменила что-то «пост-фактум» тоже нельзя. Модель безопасности iPhone не изменялась с момента его создания. Проблема удаления российских приложений из App Store носит общеизвестный характер уже четыре года.
На этом фоне особо забавно выглядят обещания «решить» вопрос от главы профильного министерства. Стоит напомнить, что предыдущая попытка принудительно устанавливать Max на устройства Apple закончилась тем, что наш «решала» позорно сел в «лужу».
Удаление мессенджера Max корпорацией Apple только подтверждает тезисы цикла публикаций «Цифровой суверенитет по-русски», который на момент публикации покрывает сравнительно незначительную часть имеющихся проблем.
kremlinkernel.com
После удаления мессенджера Мах из магазина приложений App Store аффилированный административный ресурс предсказуемо спустил всех «собак» на корпорацию Apple. Мол, «нормально же общались».
Параллельно старательно выстраивался нарратив о том, что американская транснациональная корпорация ни с того, ни с сего залезла к россиянам в «карман» и отобрала их собственность.
Ключевая фактологическая ошибка была сделана именно в презумпции того, что россияне владеют своими iPhone, и соответственно, имеют право решать, какой мессенджер на них использовать.
В краткой форме доказать это можно тем, что криптографический чип Secure Enclave Processor, установленный в каждом iPhone, доверяет только Apple. Это значит, что любые модификации (в том числе сделанные номинальным «владельцем») воспринимаются как угроза, от которой необходимо защищаться.
Реализовано это с помощью проверки образа системы при загрузке, на научном языке — Verified Boot. Этот механизм на мобильных устройствах Apple не поддерживает установку пользовательских ключей.
Прямой конкурент iPhone от компании Google, телефон Pixel, такой ключ установить позволяет. После этого пользователь сам решает, что ему нужно, а что нет.
Приобретение продукции Apple — дело полностью добровольное. Никто не заставлял патриотическую общественность приобретать телефон, истинный «хозяин» которого — корпорация из «недружественного государства».
Сказать что Apple изменила что-то «пост-фактум» тоже нельзя. Модель безопасности iPhone не изменялась с момента его создания. Проблема удаления российских приложений из App Store носит общеизвестный характер уже четыре года.
На этом фоне особо забавно выглядят обещания «решить» вопрос от главы профильного министерства. Стоит напомнить, что предыдущая попытка принудительно устанавливать Max на устройства Apple закончилась тем, что наш «решала» позорно сел в «лужу».
Удаление мессенджера Max корпорацией Apple только подтверждает тезисы цикла публикаций «Цифровой суверенитет по-русски», который на момент публикации покрывает сравнительно незначительную часть имеющихся проблем.
kremlinkernel.com
👍19👏4❤3😁2🔥1
Конец эпохи
На данный момент существуют три основные стадии развития интернета. Больше всего, конечно же, говорится о WEB-3, в контексте децентрализованных активов и прочих, будем честны, «фантиков».
Именно NFT, имеющие дурную славу, использовались и до сих пор используются как один из маркеров третьего поколения.
Нельзя отрицать, что NFT ознаменовали собой новую эпоху — но не самого интернета, а мошенничества в нём. Но про этот «казус» в следующий раз.
Сейчас происходит переход из третьего поколения в четвёртое, которое не имеет красивых картинок, но представляет значительную угрозу установления глобального «цифрового концлагеря».
Безусловно, на данном этапе о нём речи не идёт. Во-первых, даже с безграничными ресурсами, это дело не одного и даже не двух лет. Во-вторых, общество неминуемо будет отторгать установление все новых «барьеров».
Для этого, в том числе, сейчас во многих странах идёт ввод «цифровых паспортов» под прикрытием «защиты детей». Детальнее об этом можно прочитать в публикации «Когда умрёт анонимность?».
Демократическими процедурами этот процесс не остановить, ведь руководят им надгосударственные организации. Для простоты подсчёта можно их обозначить как «глобалисты».
Так как интернет носит международный характер, именно координация «сверху» необходима для установления хоть каких-то ограничений.
Создание все новых и новых барьеров так или иначе приведёт к «расколу» интернета на «подконтрольные» и «свободные» части. На практике это означает установление самого обычного хаоса.
В этот переходный период иметь преимущество будут не «монолиты» вроде текущих популярных сервисов, а мелкие, изолированные «ячейки». В том числе и потому, что потенциал адаптации у последних на несколько порядков выше.
У нас это наглядно видно по борьбе государства с VPN. Крупных провайдеров соответствующий орган заблокировать может, а несколько тысяч «мелких» и быстрых — ни при каких обстоятельствах.
Создание таких «ячеек» и их развёртывание будет сильно упрощено. «Может, вам повезёт?» ожидает, что в специфических инструкциях, вроде «Руководства по созданию собственного мессенджера» в перспективе не будет необходимости.
Отдельные криптовалюты, вроде Monero, имеют весь потенциал стать серьёзным платёжным средством. Существует угроза того, что в рамках международной борьбы с VPN их оплату с обычных карт просто запретят.
Стоит сделать исключение и сказать, что схожая участь постигнет и «прозрачные» криптовалюты вроде Bitcoin. Monero отличается именно тем, что по умолчанию скрывает получателя, отправителя и сумму платежа.
kremlinkernel.com
На данный момент существуют три основные стадии развития интернета. Больше всего, конечно же, говорится о WEB-3, в контексте децентрализованных активов и прочих, будем честны, «фантиков».
Именно NFT, имеющие дурную славу, использовались и до сих пор используются как один из маркеров третьего поколения.
Нельзя отрицать, что NFT ознаменовали собой новую эпоху — но не самого интернета, а мошенничества в нём. Но про этот «казус» в следующий раз.
Сейчас происходит переход из третьего поколения в четвёртое, которое не имеет красивых картинок, но представляет значительную угрозу установления глобального «цифрового концлагеря».
Безусловно, на данном этапе о нём речи не идёт. Во-первых, даже с безграничными ресурсами, это дело не одного и даже не двух лет. Во-вторых, общество неминуемо будет отторгать установление все новых «барьеров».
Для этого, в том числе, сейчас во многих странах идёт ввод «цифровых паспортов» под прикрытием «защиты детей». Детальнее об этом можно прочитать в публикации «Когда умрёт анонимность?».
Демократическими процедурами этот процесс не остановить, ведь руководят им надгосударственные организации. Для простоты подсчёта можно их обозначить как «глобалисты».
Так как интернет носит международный характер, именно координация «сверху» необходима для установления хоть каких-то ограничений.
Создание все новых и новых барьеров так или иначе приведёт к «расколу» интернета на «подконтрольные» и «свободные» части. На практике это означает установление самого обычного хаоса.
В этот переходный период иметь преимущество будут не «монолиты» вроде текущих популярных сервисов, а мелкие, изолированные «ячейки». В том числе и потому, что потенциал адаптации у последних на несколько порядков выше.
У нас это наглядно видно по борьбе государства с VPN. Крупных провайдеров соответствующий орган заблокировать может, а несколько тысяч «мелких» и быстрых — ни при каких обстоятельствах.
Создание таких «ячеек» и их развёртывание будет сильно упрощено. «Может, вам повезёт?» ожидает, что в специфических инструкциях, вроде «Руководства по созданию собственного мессенджера» в перспективе не будет необходимости.
Отдельные криптовалюты, вроде Monero, имеют весь потенциал стать серьёзным платёжным средством. Существует угроза того, что в рамках международной борьбы с VPN их оплату с обычных карт просто запретят.
Стоит сделать исключение и сказать, что схожая участь постигнет и «прозрачные» криптовалюты вроде Bitcoin. Monero отличается именно тем, что по умолчанию скрывает получателя, отправителя и сумму платежа.
kremlinkernel.com
👍10🔥3❤2
Почему меры по учёту IMEI провалятся, по пунктам.
1. Получить доступ к базе данных IMEI не составит труда.
Не потому, что существуют некие «предатели», а потому что каждый мобильный оператор и даже профильные надзорные органы поражены коррупцией.
Продаются гораздо более серьёзные данные, чем какая-то база идентификаторов. Наглядный пример — после подкупа чиновника женщине из Екатеринбурга прописали около 60-ти мигрантов в квартиру. С помощью «самых безопасных» госуслуг.
Предположим, что все, кто будут иметь доступ к этой базе — «розовые пони в белых пальто» и железно взяток не берут. Даже в этом случае сервер с базой данных можно будет взломать. Учитывая количество «точек отказа» в российских системах, злоумышленников будет беспокоить только значительное удорожание операции.
2. Специальное оборудование позволяет изменять номер IMEI по запросу.
Получив доступ к этой базе данных, можно будет подстроить каждый индивидуальный слот условного SIM-бокса под ожидаемые параметры. Сложнее? Определённо. Существенно, когда на «кону» сотни миллионов рублей? Конечно нет.
Это не потребительский телефон, в котором этот номер охраняется иногда лучше, чем сохранность образа операционной системы.
Представленный пакет мер в лучшем случае является «контрпродуктивным», если не брать в расчёт обыкновенное «вредительство».
На порядок более эффективным является улучшение эвристических механизмов, направленных на нахождение SIM-боксов и прочего специализированного оборудования. Как минимум, их поведение можно детерминистически отличать от обыкновенной потребительской «звонилки».
kremlinkernel.com
1. Получить доступ к базе данных IMEI не составит труда.
Не потому, что существуют некие «предатели», а потому что каждый мобильный оператор и даже профильные надзорные органы поражены коррупцией.
Продаются гораздо более серьёзные данные, чем какая-то база идентификаторов. Наглядный пример — после подкупа чиновника женщине из Екатеринбурга прописали около 60-ти мигрантов в квартиру. С помощью «самых безопасных» госуслуг.
Предположим, что все, кто будут иметь доступ к этой базе — «розовые пони в белых пальто» и железно взяток не берут. Даже в этом случае сервер с базой данных можно будет взломать. Учитывая количество «точек отказа» в российских системах, злоумышленников будет беспокоить только значительное удорожание операции.
2. Специальное оборудование позволяет изменять номер IMEI по запросу.
Получив доступ к этой базе данных, можно будет подстроить каждый индивидуальный слот условного SIM-бокса под ожидаемые параметры. Сложнее? Определённо. Существенно, когда на «кону» сотни миллионов рублей? Конечно нет.
Это не потребительский телефон, в котором этот номер охраняется иногда лучше, чем сохранность образа операционной системы.
Представленный пакет мер в лучшем случае является «контрпродуктивным», если не брать в расчёт обыкновенное «вредительство».
На порядок более эффективным является улучшение эвристических механизмов, направленных на нахождение SIM-боксов и прочего специализированного оборудования. Как минимум, их поведение можно детерминистически отличать от обыкновенной потребительской «звонилки».
kremlinkernel.com
👍16🔥3
Похоже, что у квази-государственной корпорации VK отозвали ещё один сертификат — в этот раз, для большинства её веб-сервисов.
Вместо использования сертификатов Let's Encrypt (который уже заявил, что продлевать сертификат мессенджера Max не будет), был выбран другой западный центр, HARICA. Он находится в Греции, а значит, подпадает под влияние европейского административного давления, и, в меньшей мере, их же санкций.
Российский НУЦ Минцифры в который раз был проигнорирован, хотя является самым надежным решением в сложившейся ситуации. Скорее всего, и в этой юрисдикции сертификат у них отберут.
Незамеченными остаются риски такой «беготни» по удостоверяющим центрам. Во-первых, далеко не все из них имеют первоклассную безопасность, а во-вторых, некоторые могут начать выпускать поддельные сертификаты для сервисов VK под вышеупомянутым административным давлением.
kremlinkernel.com
Вместо использования сертификатов Let's Encrypt (который уже заявил, что продлевать сертификат мессенджера Max не будет), был выбран другой западный центр, HARICA. Он находится в Греции, а значит, подпадает под влияние европейского административного давления, и, в меньшей мере, их же санкций.
Российский НУЦ Минцифры в который раз был проигнорирован, хотя является самым надежным решением в сложившейся ситуации. Скорее всего, и в этой юрисдикции сертификат у них отберут.
Незамеченными остаются риски такой «беготни» по удостоверяющим центрам. Во-первых, далеко не все из них имеют первоклассную безопасность, а во-вторых, некоторые могут начать выпускать поддельные сертификаты для сервисов VK под вышеупомянутым административным давлением.
kremlinkernel.com
💯13👍3🔥3🤔3
Каскад
Главным событием недели, разумеется, оказался обозримый факт несостоятельности защиты воздушного пространства Москвы.
Автор «Может, вам повезёт?» хоть и не является военным экспертом, но имеет значительный набор знаний в смежных дисциплинах, вроде радиоэлектроники и искусственного интеллекта.
Если кратко, то текущее поколение дронов использует либо компьютерное зрение для навигации (на базе самого обычного машинного обучения), либо бортовой терминал спутниковой группировки Starlink.
Первые нейтрализовать можно только кинетическим перехватом (т. к. глушить попросту нечего). Вторые же возможно подавить, что уже было проделано во время иранских протестов. Почему этого не происходит — вопрос третий.
Переходя к профильной теме канала, вслед за «прилетами» в Москве можно ожидать многократное ухудшение доступности систем связи. То, что давно стало «обыденностью» для регионов, начинает постепенно добираться до столицы.
Эти меры будут направлены исключительно на противодействие распространению информации об ударах. Если совсем грубо, речь идёт о введении «военной цензуры» путём саботажа телекоммуникационных систем.
Других способов установления хоть какой-то цензуры у текущей системы управления нет. Профильные ведомства с треском проваливают собственные обязательства по блокировке VPN, которые сейчас доступны всем и каждому.
Из-за этого, в том числе, блокировка любой платформы лишь способствует популяризации VPN, а следовательно, утере государственного контроля над трафиком граждан.
Даже запрет на публикацию видеоматериалов атак БПЛА не останавливает широкую публику, которая действует в рамках правила «всех не поймают».
Тем не менее, «Может, вам повезёт?» крайне рекомендует удалять из подобных видео метаданные вашего устройства. Больше всего для этого подходят специальные приложения, вроде Secure Camera от GrapheneOS.
Это приложение не записывает метаданные в ваши медиа, а также имеет функцию записи видео без звука.
Удаление метаданных из фотографий путём создания скриншота также работает не всегда. Особенно это касается ОС Android, где к каждому сделанному скриншоту прикрепляется номер сборки системы, что, в большинстве случаев, позволяет точечно определить модель устройства.
kremlinkernel.com
Главным событием недели, разумеется, оказался обозримый факт несостоятельности защиты воздушного пространства Москвы.
Автор «Может, вам повезёт?» хоть и не является военным экспертом, но имеет значительный набор знаний в смежных дисциплинах, вроде радиоэлектроники и искусственного интеллекта.
Если кратко, то текущее поколение дронов использует либо компьютерное зрение для навигации (на базе самого обычного машинного обучения), либо бортовой терминал спутниковой группировки Starlink.
Первые нейтрализовать можно только кинетическим перехватом (т. к. глушить попросту нечего). Вторые же возможно подавить, что уже было проделано во время иранских протестов. Почему этого не происходит — вопрос третий.
Переходя к профильной теме канала, вслед за «прилетами» в Москве можно ожидать многократное ухудшение доступности систем связи. То, что давно стало «обыденностью» для регионов, начинает постепенно добираться до столицы.
Эти меры будут направлены исключительно на противодействие распространению информации об ударах. Если совсем грубо, речь идёт о введении «военной цензуры» путём саботажа телекоммуникационных систем.
Других способов установления хоть какой-то цензуры у текущей системы управления нет. Профильные ведомства с треском проваливают собственные обязательства по блокировке VPN, которые сейчас доступны всем и каждому.
Из-за этого, в том числе, блокировка любой платформы лишь способствует популяризации VPN, а следовательно, утере государственного контроля над трафиком граждан.
Даже запрет на публикацию видеоматериалов атак БПЛА не останавливает широкую публику, которая действует в рамках правила «всех не поймают».
Тем не менее, «Может, вам повезёт?» крайне рекомендует удалять из подобных видео метаданные вашего устройства. Больше всего для этого подходят специальные приложения, вроде Secure Camera от GrapheneOS.
Это приложение не записывает метаданные в ваши медиа, а также имеет функцию записи видео без звука.
Удаление метаданных из фотографий путём создания скриншота также работает не всегда. Особенно это касается ОС Android, где к каждому сделанному скриншоту прикрепляется номер сборки системы, что, в большинстве случаев, позволяет точечно определить модель устройства.
kremlinkernel.com
👍15❤2🔥1👏1
Журналист «Важных Историй»* (т. н. «независимое СМИ») Роман Анин* вновь поднял тему связи мессенджера Telegram с ФСБ, предоставив все новые «экспертные» заключения.
Для справки, — год назад «Важные Истории» выпустили расследование, где выяснили, что инфраструктуру мессенджера Telegram обслуживает единственное лицо в виде компании Global Network Management Владимира Веденеева.
С его же слов, команда мессенджера не была ни в одном из четырёх существующих датацентров, а все обслуживается чуть-ли не Веденеевым лично.
«Кейс» г-на Анина строится на том, что в протоколе MTProto уникальный идентификатор устройства передаётся в открытом виде, что, мол, позволяет отслеживать пользователей.
GNM в лице Веденеева, исходя из материала, пользуется этой уязвимостью для отслеживания пользователей. Кроме этого, у GNM есть куратор из ФСБ, и несколько госзаказов от них же, что составляет «мотив» преступления.
Именно в этом моменте Роман Анин делает эдакий «мостик» в виде предположения о том, что ФСБ имеет над GNM влияние, а следовательно, может устанавливать вредоносное оборудование прямо на узлы мессенджера.
Следуя этому сценарию, гораздо эффективнее было бы «заражать» оборудование самих серверов, а не узлов связи, большинство проходящих по которым данных все равно зашифровано.
Даже если Дуров использует шифрование дисков, ничего не мешает GNM установить в материнскую плату чип, который эти ключи из памяти вытащит. «Может, вам повезёт?» крайне сомневается, что Telegram использует чипы безопасности (вроде серверных Google Titan) в своих серверах.
В данном случае, ФСБ бы удалось получить доступ ко всем «облачным чатам» (т. е. каналам, группам и обычным перепискам) на этих серверах, без необходимости что-то отслеживать на сетевом уровне.
«Отслеживание» пользователей по открытым идентификаторам может происходить только в том случае, если пользователь не использует VPN. Из России в Telegram без использования VPN в принципе невозможно зайти.
В лучшем случае, GNM видит сотни таких идентификаторов с IP-адресов европейских провайдеров. Так как VPN по своей природе шифруют весь трафик, российские надзорные органы также не видят этих идентификаторов, а следовательно, не могут отслеживать пользователей.
Роман Анин делает «медвежью услугу» своим же коллегам, отвлекая внимание от реальных проблем мессенджера на простое ухудшение приватности. Подробнее об этом можно прочитать в статье «Конкретные провалы в безопасности мессенджера Telegram».
* — иноагент
kremlinkernel.com
Для справки, — год назад «Важные Истории» выпустили расследование, где выяснили, что инфраструктуру мессенджера Telegram обслуживает единственное лицо в виде компании Global Network Management Владимира Веденеева.
С его же слов, команда мессенджера не была ни в одном из четырёх существующих датацентров, а все обслуживается чуть-ли не Веденеевым лично.
«Кейс» г-на Анина строится на том, что в протоколе MTProto уникальный идентификатор устройства передаётся в открытом виде, что, мол, позволяет отслеживать пользователей.
GNM в лице Веденеева, исходя из материала, пользуется этой уязвимостью для отслеживания пользователей. Кроме этого, у GNM есть куратор из ФСБ, и несколько госзаказов от них же, что составляет «мотив» преступления.
Именно в этом моменте Роман Анин делает эдакий «мостик» в виде предположения о том, что ФСБ имеет над GNM влияние, а следовательно, может устанавливать вредоносное оборудование прямо на узлы мессенджера.
Следуя этому сценарию, гораздо эффективнее было бы «заражать» оборудование самих серверов, а не узлов связи, большинство проходящих по которым данных все равно зашифровано.
Даже если Дуров использует шифрование дисков, ничего не мешает GNM установить в материнскую плату чип, который эти ключи из памяти вытащит. «Может, вам повезёт?» крайне сомневается, что Telegram использует чипы безопасности (вроде серверных Google Titan) в своих серверах.
В данном случае, ФСБ бы удалось получить доступ ко всем «облачным чатам» (т. е. каналам, группам и обычным перепискам) на этих серверах, без необходимости что-то отслеживать на сетевом уровне.
«Отслеживание» пользователей по открытым идентификаторам может происходить только в том случае, если пользователь не использует VPN. Из России в Telegram без использования VPN в принципе невозможно зайти.
В лучшем случае, GNM видит сотни таких идентификаторов с IP-адресов европейских провайдеров. Так как VPN по своей природе шифруют весь трафик, российские надзорные органы также не видят этих идентификаторов, а следовательно, не могут отслеживать пользователей.
Роман Анин делает «медвежью услугу» своим же коллегам, отвлекая внимание от реальных проблем мессенджера на простое ухудшение приватности. Подробнее об этом можно прочитать в статье «Конкретные провалы в безопасности мессенджера Telegram».
* — иноагент
kremlinkernel.com
👍9❤4🔥3
Цифровой суверенитет по-русски. Часть четвёртая
У проблемы отзыва сертификатов у российских сервисов западными центрами доверия уже сейчас есть возможное решение. Его можно отнести к классу «полумер» (полноценным решением будет полностью отечественный браузер, о чем было сказано в предыдущей части), но это не отменяет эффективность оного.
Ситуация такова, что отечественные сертификаты НУЦ Минцифры, которые отозвать нельзя, сейчас не имеют доверия в большинстве систем. В том числе из-за исторических прецедентов.
«Корень» потенциального решения находится именно здесь; если система не доверяет российским сертификатам, то можно заставить российские приложения им доверять.
Подобную модель, например, использует браузер Firefox, который имеет отдельное от системы хранилище сертификатов. Нет технических преград для ее масштабирования на нынче подсанкционные сервисы.
Очевидный минус этого решения — вне приложений доверия к этим сертификатам все равно не будет, что уменьшает его релевантность, например, для веб-сервисов.
Тем не менее, для потребительского сектора, где большинство использует именно приложения, эта модель имеет смысл. Возможно применение «гибридного» подхода, когда сайт условного VK или «Яндекса» будет использовать западные сертификаты, а их же приложения — отечественные.
Даже в этом варианте предоставленный метод сохраняет свои плюсы, ведь даже при отзыве сертификата у сайта, приложение будет функционировать, что помогает сократить потенциальный ущерб от таких «неполадок».
Выразить свой взгляд на решение возникшей проблемы можно по следующим контактам.
kremlinkernel.com
У проблемы отзыва сертификатов у российских сервисов западными центрами доверия уже сейчас есть возможное решение. Его можно отнести к классу «полумер» (полноценным решением будет полностью отечественный браузер, о чем было сказано в предыдущей части), но это не отменяет эффективность оного.
Ситуация такова, что отечественные сертификаты НУЦ Минцифры, которые отозвать нельзя, сейчас не имеют доверия в большинстве систем. В том числе из-за исторических прецедентов.
«Корень» потенциального решения находится именно здесь; если система не доверяет российским сертификатам, то можно заставить российские приложения им доверять.
Подобную модель, например, использует браузер Firefox, который имеет отдельное от системы хранилище сертификатов. Нет технических преград для ее масштабирования на нынче подсанкционные сервисы.
Очевидный минус этого решения — вне приложений доверия к этим сертификатам все равно не будет, что уменьшает его релевантность, например, для веб-сервисов.
Тем не менее, для потребительского сектора, где большинство использует именно приложения, эта модель имеет смысл. Возможно применение «гибридного» подхода, когда сайт условного VK или «Яндекса» будет использовать западные сертификаты, а их же приложения — отечественные.
Даже в этом варианте предоставленный метод сохраняет свои плюсы, ведь даже при отзыве сертификата у сайта, приложение будет функционировать, что помогает сократить потенциальный ущерб от таких «неполадок».
Выразить свой взгляд на решение возникшей проблемы можно по следующим контактам.
kremlinkernel.com
👍9❤2🔥1
С небольшим «перерывом» после мессенджера Max, все остальные приложения квази-государственной корпорации VK были удалены из App Store.
О том, почему Apple может и будет продолжать удаление приложений российских разработчиков, можно прочитать в публикации «Корень проблемы», в которой это рассматривается на примере одного «Макса».
Стоит напомнить, что профильный министр ещё тогда пообещал «решить вопрос» и вернуть мессенджер на былое место. Непревзойдённая эффективность нашего «решалы», что называется, «налицо».
kremlinkernel.com
О том, почему Apple может и будет продолжать удаление приложений российских разработчиков, можно прочитать в публикации «Корень проблемы», в которой это рассматривается на примере одного «Макса».
Стоит напомнить, что профильный министр ещё тогда пообещал «решить вопрос» и вернуть мессенджер на былое место. Непревзойдённая эффективность нашего «решалы», что называется, «налицо».
kremlinkernel.com
😁26👏8🔥2
Дмитрий Песков посоветовал россиянам переходить на Android.
Тем временем, пока эта картинка используется в качестве шутки, «Может, вам повезёт?» действительно переживает за информационную безопасность пресс-секретаря президента.
Даже последний iPhone не может достойно защищать своего пользователя от шпионского ПО. Это не экспертные выводы автора интернет-ресурса, об этом недавно сообщило ФСБ.
Если устройства российских чиновников активно заражают, то, должно быть, произошла страшная ошибка, вследствие чего Дмитрий Сергеевич об этом не был уведомлен.
Будем надеяться, что новый телефон на Android скоро появится в руках уважаемого чиновника.
Тем временем, пока эта картинка используется в качестве шутки, «Может, вам повезёт?» действительно переживает за информационную безопасность пресс-секретаря президента.
Даже последний iPhone не может достойно защищать своего пользователя от шпионского ПО. Это не экспертные выводы автора интернет-ресурса, об этом недавно сообщило ФСБ.
Если устройства российских чиновников активно заражают, то, должно быть, произошла страшная ошибка, вследствие чего Дмитрий Сергеевич об этом не был уведомлен.
Будем надеяться, что новый телефон на Android скоро появится в руках уважаемого чиновника.
😁30🔥7👏1