Буквально недавно вышло достаточно странное видео, где, скажем культурно, «недалекий» автор канала GLUSHILKI и дорогая «служба безопасности» рассказывают, что анонимности в интернете нет.
Кроме шуток, в данном случае стоит обратиться к старой русской поговорке «Ваша песенка стара — позабыть её пора».
То, что безопасных устройств, каналов связи и пресловутых «мессенджеров» нет — широко распространённый миф, которым уже давно орудуют все «службы безопасности», в чьих естественных интересах — как можно больше сократить использование безопасных инструментов.
Простой пример. Даже самые «продвинутые» устройства для проведения операций цифровой криминалистики, Cellebrite Premium, не могут взломать операционную систему GrapheneOS.
Есть основания полагать, что служба Cellebrite Advanced Services все ещё может их открыть в состоянии AFU, но за время транспортировки до них телефон успеет несколько раз перезагрузиться, что вернёт его в BFU.
Сложный пример. Если не проводить обмен ключей по враждебному каналу (т. е. любой российский оператор), а по условно-безопасному (VPN), то осуществить перехват становится многократно сложнее.
Непонятно, какие-там «анонимные мессенджеры» и кто перехватывает. На практике, автор может вас заверить, что при проверке отпечатков ключей, даже Signal перехватить нельзя.
Кроме этого, ни одна в мире «служба безопасности» не может отследить криптовалюту Monero. Это тоже установленный факт. Опять же, непонятно, кого дорогие сотрудники собрались «деанонить».
Можно было бы поверить, что наша «служба безопасности» имеет хорошее шпионское ПО и отлично взламывает сотовые модемы. Профессиональный опыт автора подсказывает, что представленная «неизбирательность» — признак того, что кто-то перепутал себя с «павлином».
Мол, скажем страшные слова, будут бояться и не пользоваться базовыми принципами кибербезопасности.
В пору напомнить, что «Может, вам повезёт?» имеет большую таблицу со всеми выпущенными материалами. Большая часть описанных методов проверяемо даёт «отпор» даже самым сложным угрозам.
Вам повезёт. || Интернет-сайт
Кроме шуток, в данном случае стоит обратиться к старой русской поговорке «Ваша песенка стара — позабыть её пора».
То, что безопасных устройств, каналов связи и пресловутых «мессенджеров» нет — широко распространённый миф, которым уже давно орудуют все «службы безопасности», в чьих естественных интересах — как можно больше сократить использование безопасных инструментов.
Простой пример. Даже самые «продвинутые» устройства для проведения операций цифровой криминалистики, Cellebrite Premium, не могут взломать операционную систему GrapheneOS.
Есть основания полагать, что служба Cellebrite Advanced Services все ещё может их открыть в состоянии AFU, но за время транспортировки до них телефон успеет несколько раз перезагрузиться, что вернёт его в BFU.
Сложный пример. Если не проводить обмен ключей по враждебному каналу (т. е. любой российский оператор), а по условно-безопасному (VPN), то осуществить перехват становится многократно сложнее.
Непонятно, какие-там «анонимные мессенджеры» и кто перехватывает. На практике, автор может вас заверить, что при проверке отпечатков ключей, даже Signal перехватить нельзя.
Кроме этого, ни одна в мире «служба безопасности» не может отследить криптовалюту Monero. Это тоже установленный факт. Опять же, непонятно, кого дорогие сотрудники собрались «деанонить».
Можно было бы поверить, что наша «служба безопасности» имеет хорошее шпионское ПО и отлично взламывает сотовые модемы. Профессиональный опыт автора подсказывает, что представленная «неизбирательность» — признак того, что кто-то перепутал себя с «павлином».
Мол, скажем страшные слова, будут бояться и не пользоваться базовыми принципами кибербезопасности.
В пору напомнить, что «Может, вам повезёт?» имеет большую таблицу со всеми выпущенными материалами. Большая часть описанных методов проверяемо даёт «отпор» даже самым сложным угрозам.
Вам повезёт. || Интернет-сайт
🔥21👏8👍4❤3🤔2💯2
Может, вам повезет?
Буквально недавно вышло достаточно странное видео, где, скажем культурно, «недалекий» автор канала GLUSHILKI и дорогая «служба безопасности» рассказывают, что анонимности в интернете нет. Кроме шуток, в данном случае стоит обратиться к старой русской поговорке…
Отечественные «службы безопасности», как можно судить, делают «ставку» именно на взлом устройств пользователей, а не протоколов коммуникации и тем более криптографических алгоритмов.
До достаточно мощного квантового компьютера, который мог бы «сломать» большинство алгоритмов обмена ключей и цифровых подписей (в т. ч. ретроспективно) нашей стране — «как до Китая раком». Когда все-таки это произойдёт, мир уже давно перейдёт на квантово-безопасные решения, т. е. будет слишком поздно.
Единственный «рабочий» инструмент перехвата сетевых соединений, который у дорогих «служащих» сейчас есть — системы ТСПУ. И то, нормальный VPN с обфускацией паттернов трафика (см. Mullvad DAITA или NYM Noise Generating Mixnet) делает эту систему практически бесполезной.
Ровно так же «нейтрализует» угрозу от этих систем обмен ключами шифрования офф-лайн. В этом случае над зашифрованными сетевыми пакетами можно только «поплакать».
Касательно взлома самих устройств, это не так сложно. Необходимо признать, что абсолютное большинство современных компьютеров не имеет адекватных мер защиты. Вкупе с возможностью использовать инфраструктуру как «прокси» (те же сотовые вышки, например), получение информации из смартфона «обывателя» не является «задачей тысячелетия».
iPhone предоставляют достойную, но недостаточную защиту против угроз этого характера. Самым лучшим вариантом будет использовать телефоны Google Pixel с операционной системой GrapheneOS.
Даже Pixel нежелательно подключать к российским сотовым сетям по вышеописанным причинам.
Кроме этого, никогда не стоит передавать хоть сколько-то чувствительную информацию по открытым каналам. К ним относятся сотовые/городские звонки, SMS/MMS, российские мессенджеры (см. причину) и мессенджеры без сквозного шифрования.
Для обычного общения подойдёт и Signal. Приемлемую приватность, без необходимости включать VPN, предоставляет собственный сервер протокола Matrix.
На данный момент, напрямую перехватить их нельзя. Только через взлом устройства, что, строго говоря, уже не перехват.
В компьютерной технике не существует такого понятия как «магия». Сторона «обороны» и сторона «нападения» играют в одну и ту же «игру», правила которой хорошо известны. Проблема в том, что не все хотят их знать.
Вам повезёт. || Интернет-сайт
До достаточно мощного квантового компьютера, который мог бы «сломать» большинство алгоритмов обмена ключей и цифровых подписей (в т. ч. ретроспективно) нашей стране — «как до Китая раком». Когда все-таки это произойдёт, мир уже давно перейдёт на квантово-безопасные решения, т. е. будет слишком поздно.
Единственный «рабочий» инструмент перехвата сетевых соединений, который у дорогих «служащих» сейчас есть — системы ТСПУ. И то, нормальный VPN с обфускацией паттернов трафика (см. Mullvad DAITA или NYM Noise Generating Mixnet) делает эту систему практически бесполезной.
Ровно так же «нейтрализует» угрозу от этих систем обмен ключами шифрования офф-лайн. В этом случае над зашифрованными сетевыми пакетами можно только «поплакать».
Касательно взлома самих устройств, это не так сложно. Необходимо признать, что абсолютное большинство современных компьютеров не имеет адекватных мер защиты. Вкупе с возможностью использовать инфраструктуру как «прокси» (те же сотовые вышки, например), получение информации из смартфона «обывателя» не является «задачей тысячелетия».
iPhone предоставляют достойную, но недостаточную защиту против угроз этого характера. Самым лучшим вариантом будет использовать телефоны Google Pixel с операционной системой GrapheneOS.
Даже Pixel нежелательно подключать к российским сотовым сетям по вышеописанным причинам.
Кроме этого, никогда не стоит передавать хоть сколько-то чувствительную информацию по открытым каналам. К ним относятся сотовые/городские звонки, SMS/MMS, российские мессенджеры (см. причину) и мессенджеры без сквозного шифрования.
Для обычного общения подойдёт и Signal. Приемлемую приватность, без необходимости включать VPN, предоставляет собственный сервер протокола Matrix.
На данный момент, напрямую перехватить их нельзя. Только через взлом устройства, что, строго говоря, уже не перехват.
В компьютерной технике не существует такого понятия как «магия». Сторона «обороны» и сторона «нападения» играют в одну и ту же «игру», правила которой хорошо известны. Проблема в том, что не все хотят их знать.
Вам повезёт. || Интернет-сайт
👍13🔥8❤2
«История» с возможностью оформить рассрочку (кредит) на кассах самообслуживания «Магнита» — далеко не первый такой казус.
Более полугода назад автор мельком заметил, что одна из сетей американского фаст-фуда теперь предлагает оформить кредит на свою продукцию при заказе через приложение.
В пору напомнить, что ведомство, гордо носящее кличку «Роскомпозор», скоро получит очередные десятки миллиардов на совершенствование своих «коробок» ТСПУ.
Видимо, у нас в стране все так хорошо, что можно снова позволить одной из башен «распилить» деньги на провальном проекте «цифровой концлагерь».
Вам повезёт. || Интернет-сайт
Более полугода назад автор мельком заметил, что одна из сетей американского фаст-фуда теперь предлагает оформить кредит на свою продукцию при заказе через приложение.
В пору напомнить, что ведомство, гордо носящее кличку «Роскомпозор», скоро получит очередные десятки миллиардов на совершенствование своих «коробок» ТСПУ.
Видимо, у нас в стране все так хорошо, что можно снова позволить одной из башен «распилить» деньги на провальном проекте «цифровой концлагерь».
Вам повезёт. || Интернет-сайт
🔥17👏9👍3❤2
«Альфа-банк», который уже в пору переименовывать в «Альфа-скам», буквально недавно выпустил рекламу своего «ИИ-сканера», который, мол, должен бизнес защищать.
Стоит отдать должное «маркетолухам», которые писали посты: жадности на «модные» слова, по типу «ИИ-модели», замечено не было.
К сожалению для «Альфы», сейчас каждый «дурак» может настроить ИИ-модель и наказать ей что-то там сканировать. При этом, стоить это будет около 3 т.р., что несколько меньше, чем 500 т.р. у «Альфы».
Безусловно, такой сканер может быть полезен, если вы — «Банк России», который не так давно опозорился с прототипом «цифрового рубля». Стоит напомнить, что у последнего чуть-ли не «секреты» были разбросаны по всей системе.
Для адекватного «сканирования», одних только «портов» и внешних серверов недостаточно. Более того, нужно сканировать корпоративные устройства, которые (о, боже) тоже имеют уязвимости и часто недоступны извне.
Если вам и нужен такой «сканер», гораздо проще арендовать сервер у одного из российских хостинг-провайдеров и использовать широко доступные локальные модели для «сканирования» там.
Автор интернет-ресурса использует Cyberstrike-35B от HuiHui в личных целях. Из-за малого количества параметров она может работать даже на персональных компьютерах с достаточной видеопамятью.
Если не принципиален вопрос возможной утечки данных и нужно что-то «покруче», то можно использовать Fable 5.1 от Anthropic. Она кратно мощнее любого «сканера» и стоит несколько сотен долларов в месяц.
Вполне возможно, что сам «Альфа-сканер» использует зарубежные модели от OpenAI, Anthropic и xAI. Российских, приемлемого качества, нет. Открытые можно запустить без «Альфы». Так зачем переплачивать?
С нетерпением ждём «Альфа-антивирус» для «защиты банковского уровня», но уже за миллион рублей.
Вам повезёт. || Интернет-сайт
Стоит отдать должное «маркетолухам», которые писали посты: жадности на «модные» слова, по типу «ИИ-модели», замечено не было.
К сожалению для «Альфы», сейчас каждый «дурак» может настроить ИИ-модель и наказать ей что-то там сканировать. При этом, стоить это будет около 3 т.р., что несколько меньше, чем 500 т.р. у «Альфы».
Безусловно, такой сканер может быть полезен, если вы — «Банк России», который не так давно опозорился с прототипом «цифрового рубля». Стоит напомнить, что у последнего чуть-ли не «секреты» были разбросаны по всей системе.
Для адекватного «сканирования», одних только «портов» и внешних серверов недостаточно. Более того, нужно сканировать корпоративные устройства, которые (о, боже) тоже имеют уязвимости и часто недоступны извне.
Если вам и нужен такой «сканер», гораздо проще арендовать сервер у одного из российских хостинг-провайдеров и использовать широко доступные локальные модели для «сканирования» там.
Автор интернет-ресурса использует Cyberstrike-35B от HuiHui в личных целях. Из-за малого количества параметров она может работать даже на персональных компьютерах с достаточной видеопамятью.
Если не принципиален вопрос возможной утечки данных и нужно что-то «покруче», то можно использовать Fable 5.1 от Anthropic. Она кратно мощнее любого «сканера» и стоит несколько сотен долларов в месяц.
Вполне возможно, что сам «Альфа-сканер» использует зарубежные модели от OpenAI, Anthropic и xAI. Российских, приемлемого качества, нет. Открытые можно запустить без «Альфы». Так зачем переплачивать?
С нетерпением ждём «Альфа-антивирус» для «защиты банковского уровня», но уже за миллион рублей.
Вам повезёт. || Интернет-сайт
😁19👍9🔥4
Простые истины
Некогда Эдвард Сноуден, человек, который рассказал миру об «ужасах» проектов АНБ, подметил, что лучше не использовать мобильные устройства вовсе.
Вся причина, мол, в сотовом радио — оно закрыто чуть более чем полностью и имеет прямой доступ к памяти процессора. Из базового курса информационной безопасности мы знаем, что не существует «неуязвимых» чипов, а значит, что рано или поздно сотовый модем будет взломан.
Спорить с этим сложно, впрочем, как и с тем, что абсолютное большинство компьютерных операционных систем написано «на отвали», начиная с ядра Linux и заканчивая NT Windows.
К слову, внутренней изоляции нет не только в ядре Linux; все существующие дистрибутивы также имеют крайне плохую изоляцию программ (flatpack не в счёт, его используют меньшинство).
По-сути, весь код, который запускается от имени обычного пользователя имеет его права доступа. Это означает, что взломанный клиент Telegram Desktop, например, может не только читать свои файлы, но и вообще все, на которые пользователь имеет права чтения.
Он же может записывать и удалять файлы при наличии прав на запись.
Проблема тут очевидна. Если в Android и iOS взломанное приложение продолжает сидеть в своей «песочнице» (далее нужна уязвимость в изоляции приложения), то в традиционных системах оно может «гулять» практически где хочет.
Стоит напомнить, что критическая уязвимость ядра Linux, Copy.Fail, могла быть использована только локально.
Соответственно, при таком «отвратительном» качестве ключевого компонента системы отсутствие изоляции программ особенно критично.
Как и во многих других аспектах, безопасность традиционных ОС держится на пользователе. Если свести количество используемых программ к минимуму, то риск относительно снижается.
Дело в том, что защита должна быть системной и работать по умолчанию, а не рассчитывать на «авось». Этим принципом, например, сейчас руководствуются мобильные ОС.
Вам повезёт. || Интернет-сайт
Некогда Эдвард Сноуден, человек, который рассказал миру об «ужасах» проектов АНБ, подметил, что лучше не использовать мобильные устройства вовсе.
Вся причина, мол, в сотовом радио — оно закрыто чуть более чем полностью и имеет прямой доступ к памяти процессора. Из базового курса информационной безопасности мы знаем, что не существует «неуязвимых» чипов, а значит, что рано или поздно сотовый модем будет взломан.
Спорить с этим сложно, впрочем, как и с тем, что абсолютное большинство компьютерных операционных систем написано «на отвали», начиная с ядра Linux и заканчивая NT Windows.
К слову, внутренней изоляции нет не только в ядре Linux; все существующие дистрибутивы также имеют крайне плохую изоляцию программ (flatpack не в счёт, его используют меньшинство).
По-сути, весь код, который запускается от имени обычного пользователя имеет его права доступа. Это означает, что взломанный клиент Telegram Desktop, например, может не только читать свои файлы, но и вообще все, на которые пользователь имеет права чтения.
Он же может записывать и удалять файлы при наличии прав на запись.
Проблема тут очевидна. Если в Android и iOS взломанное приложение продолжает сидеть в своей «песочнице» (далее нужна уязвимость в изоляции приложения), то в традиционных системах оно может «гулять» практически где хочет.
Стоит напомнить, что критическая уязвимость ядра Linux, Copy.Fail, могла быть использована только локально.
Соответственно, при таком «отвратительном» качестве ключевого компонента системы отсутствие изоляции программ особенно критично.
Как и во многих других аспектах, безопасность традиционных ОС держится на пользователе. Если свести количество используемых программ к минимуму, то риск относительно снижается.
Дело в том, что защита должна быть системной и работать по умолчанию, а не рассчитывать на «авось». Этим принципом, например, сейчас руководствуются мобильные ОС.
Вам повезёт. || Интернет-сайт
👍14🔥5❤3
Может, вам повезет?
Со всей полнотой ответственности можно сказать, что мессенджер «Макс» в большей части создавался для «распила» финансирования. Откуда такие выводы? Из качества кода клиента. Он не выдерживает никакой критики. По-сути, это «франкенштейн», собранный «на скорую…
Мало кто заметил, что пока подсанкционные коммерческие банки буквально «извиваются» ради возвращения своего приложения в App Store/Play Market, выдумывают названия вроде «Учет Надоя», коммерческая же корпорация VK сидит и ждёт «у моря по морде» со своим «национальным» мессенджером.
Все, что было сделано для обхода санкций за более чем квартал — заявление «мальчика на побегушках» из Минцифры, в котором он обещал «решить вопрос».
После того, как Cloudflare пометил «Макс» как шпионское ПО ещё в мае этого года, можно было отправить кого-либо в Казахстан и зарегистрировать там «ООО Перун» на случай удаления приложения из магазинов.
Новый мессенджер «Макс», под новым же именем «Веды Онлайн», мог использоваться для замены сломанных клиентов у россиян. Как можно судить, более «продуктивно» сидеть на «пятой точке» ровно и пилить бюджет.
К сожалению, большинство медиа-ресурсов вообще не могут критиковать корпорацию VK, так как она принадлежит их «работодателям».
Хорошим примером будет «сетка» Ксении Собчак, которая страшно боится лишний раз «негатив» написать.
Вам повезёт. || Интернет-сайт
Все, что было сделано для обхода санкций за более чем квартал — заявление «мальчика на побегушках» из Минцифры, в котором он обещал «решить вопрос».
После того, как Cloudflare пометил «Макс» как шпионское ПО ещё в мае этого года, можно было отправить кого-либо в Казахстан и зарегистрировать там «ООО Перун» на случай удаления приложения из магазинов.
Новый мессенджер «Макс», под новым же именем «Веды Онлайн», мог использоваться для замены сломанных клиентов у россиян. Как можно судить, более «продуктивно» сидеть на «пятой точке» ровно и пилить бюджет.
К сожалению, большинство медиа-ресурсов вообще не могут критиковать корпорацию VK, так как она принадлежит их «работодателям».
Хорошим примером будет «сетка» Ксении Собчак, которая страшно боится лишний раз «негатив» написать.
Вам повезёт. || Интернет-сайт
👍15😁9🔥5❤2
Про упавшие на дата-центры «обломки» беспилотников.
Делать акцент на том, что это дата-центры конкретно «Яндекса» — глупо. Они первые, но, как можно судить, не последние. Это значит, что нужно рассматривать вопрос возможных «прилетов» в объекты других компаний.
Восстановление подобного числа вычислительных мощностей сейчас чрезвычайно дорого, а во многих случаях невозможно на практике. Это очередное «бутылочное горлышко» в происходящей «войне на истощение».
Если НПЗ и логистические центры сейчас более-менее защищены, то ЦОД — нет. Причём, как грамотный монополист, «Яндекс» изменил оферту за пару дней до ударов, но даже «сетку» не повесил для защиты самого «железа».
Также, стоит напомнить, что многие ЦОД также являются «транзитными». Если вывести из строя четверть таких в европейской части страны, цены на интернет очень ощутимо пойдут вверх.
Видимо, для прекращения происходящей игры в «догонялки» за тактикой противника, нужно чтобы в части регионов ещё и свет погас.
Вам повезёт. || Интернет-сайт
Делать акцент на том, что это дата-центры конкретно «Яндекса» — глупо. Они первые, но, как можно судить, не последние. Это значит, что нужно рассматривать вопрос возможных «прилетов» в объекты других компаний.
Восстановление подобного числа вычислительных мощностей сейчас чрезвычайно дорого, а во многих случаях невозможно на практике. Это очередное «бутылочное горлышко» в происходящей «войне на истощение».
Если НПЗ и логистические центры сейчас более-менее защищены, то ЦОД — нет. Причём, как грамотный монополист, «Яндекс» изменил оферту за пару дней до ударов, но даже «сетку» не повесил для защиты самого «железа».
Также, стоит напомнить, что многие ЦОД также являются «транзитными». Если вывести из строя четверть таких в европейской части страны, цены на интернет очень ощутимо пойдут вверх.
Видимо, для прекращения происходящей игры в «догонялки» за тактикой противника, нужно чтобы в части регионов ещё и свет погас.
Вам повезёт. || Интернет-сайт
🔥16❤🔥2❤1👍1💯1
Вышла новая стабильная версия Opengram, 12.10.6c.
В первую очередь, было переработано отслеживание прочитанных/просмотренных историй и реакций в чатах при включенном «режиме призрака». Кроме того, теперь его можно включить для конкретного аккаунта, а не приложения в целом.
Для этого используются локальные зашифрованные «снимки», по аналогии с их использованием для автоматического создания новых «секретных чатов».
Каждый аккаунт (UID) имеет собственный «снимок» и собственные же ключи шифрования в аппаратном хранилище Android StrongBox.
Эта версия также содержит исправления для большинства ошибок при входе в аккаунт. Также, теперь клиент будет вам прямо говорить, что конкретно «не так».
Скачать можно с соответствующей страницы GitHub Releases или этого веб-сервера.
Вам повезёт. || Интернет-сайт
В первую очередь, было переработано отслеживание прочитанных/просмотренных историй и реакций в чатах при включенном «режиме призрака». Кроме того, теперь его можно включить для конкретного аккаунта, а не приложения в целом.
Для этого используются локальные зашифрованные «снимки», по аналогии с их использованием для автоматического создания новых «секретных чатов».
Каждый аккаунт (UID) имеет собственный «снимок» и собственные же ключи шифрования в аппаратном хранилище Android StrongBox.
Эта версия также содержит исправления для большинства ошибок при входе в аккаунт. Также, теперь клиент будет вам прямо говорить, что конкретно «не так».
Скачать можно с соответствующей страницы GitHub Releases или этого веб-сервера.
Вам повезёт. || Интернет-сайт
👍5🔥5❤1❤🔥1
Самозащита
Автор интернет-ресурса на данный момент активно занят созданием собственного сервиса защиты интернет-трафика от перехвата третьими лицами. Это не VPN, по крайней мере, в классическом его понимании.
Сервис, разумеется, будет коммерческим. Что отличает его от «расплодившихся» провайдеров с ботами в Telegram, так это полноценная собственная инфраструктура и особое внимание к безопасности.
У сервиса будет своё собственное современное приложение для Android (затем — для Windows/Linux/iOS), написанное на языках с приемлемой безопасностью памяти (Kotlin/Java), интерфейсом на Jetpack Compose и системой дизайна Material 3 Expressive.
Так как автор интернет-ресурса достаточно хорошо разбирается в современных угрозах, защита от перехвата будет распространятся на получение необходимых данных от сервера. Даже до того, как вы непосредственно подключитесь к инфраструктуре.
В рамках оперативной безопасности конкретные методы и способы тут обсуждаться не будут, но большинство из них сейчас считаются передовыми.
Из-за массивной конкуренции на этом «поприще», код клиента будет полностью закрыт. Защита от «умников» с декомпилятором JADX/Ghidra тоже там будет.
Первое время распространение клиента будет происходить через обычный файл .apk, до момента включения приложения в магазин Play Store.
Клиент для iOS/macOS на Swift/Swift UI также планируется, но у автора значительно больше опыта разработки именно на Android (что видно по клиенту Opengram, например), да и в App Store банально сложнее попасть. Ожидать его можно не раньше начала первого квартала следующего года.
Клиенты под Linux/Windows, написанные преимущественно на Rust, планируются на начало декабря.
«Цена» вопроса также будет крайне конкурентоспособной, с той поправкой, что у большинства сервисов нет даже нормального клиента. Эти затраты, безусловно, надо учитывать.
Запуск запланирован на начало ноября. Тогда же появится более подробная информация, «что» и «каким образом» работает.
Вам повезёт. || Интернет-сайт
Автор интернет-ресурса на данный момент активно занят созданием собственного сервиса защиты интернет-трафика от перехвата третьими лицами. Это не VPN, по крайней мере, в классическом его понимании.
Сервис, разумеется, будет коммерческим. Что отличает его от «расплодившихся» провайдеров с ботами в Telegram, так это полноценная собственная инфраструктура и особое внимание к безопасности.
У сервиса будет своё собственное современное приложение для Android (затем — для Windows/Linux/iOS), написанное на языках с приемлемой безопасностью памяти (Kotlin/Java), интерфейсом на Jetpack Compose и системой дизайна Material 3 Expressive.
Так как автор интернет-ресурса достаточно хорошо разбирается в современных угрозах, защита от перехвата будет распространятся на получение необходимых данных от сервера. Даже до того, как вы непосредственно подключитесь к инфраструктуре.
В рамках оперативной безопасности конкретные методы и способы тут обсуждаться не будут, но большинство из них сейчас считаются передовыми.
Из-за массивной конкуренции на этом «поприще», код клиента будет полностью закрыт. Защита от «умников» с декомпилятором JADX/Ghidra тоже там будет.
Первое время распространение клиента будет происходить через обычный файл .apk, до момента включения приложения в магазин Play Store.
Клиент для iOS/macOS на Swift/Swift UI также планируется, но у автора значительно больше опыта разработки именно на Android (что видно по клиенту Opengram, например), да и в App Store банально сложнее попасть. Ожидать его можно не раньше начала первого квартала следующего года.
Клиенты под Linux/Windows, написанные преимущественно на Rust, планируются на начало декабря.
«Цена» вопроса также будет крайне конкурентоспособной, с той поправкой, что у большинства сервисов нет даже нормального клиента. Эти затраты, безусловно, надо учитывать.
Запуск запланирован на начало ноября. Тогда же появится более подробная информация, «что» и «каким образом» работает.
Вам повезёт. || Интернет-сайт
👍30🔥17❤9👏1😁1
Спасение утопающих
Призывать к защите объектов коммерческих ИТ-компаний, сейчас, как минимум, глупо.
Сгоревший суперкомпьютер «Яндекса» — его головная боль. То же самое применимо ко всем последующим объектам, на которые будут падать «обломки» БПЛА. К сожалению, ни о каком завершении кампании по атакам на ЦОД речи не идёт.
В первую очередь, необходимо укреплять энергетическую систему. Стоит напомнить, что она сейчас, как можно судить, защищена ровно также, как дата-центры «Яндекса». Жители республики Крым не дадут соврать.
Отсутствие интернета (которое вполне можно ожидать при текущем темпе) гораздо менее вредно, чем отсутствие света в центральной части страны.
Каждый дрон, который успешно сжигает датацентр, стоит примерно в тысячу раз дешевле, чем его цель. Даже если этих дронов было несколько сотен. Это без учёта того, что у российских ИТ-компаний сильно повреждена цепочка поставок.
Принимая во внимание то, что мировой дефицит компонентов для вычислительного оборудования (в частности, оперативной памяти) сохранится как минимум несколько лет, можно сказать, что дрон наносит ущерба в пять тысяч раз больше его стоимости.
Ущербом является не только сгоревшее «железо», но и упущенная прибыль конкретной ИТ-компании. Безусловно, через некоторое время пойдут слухи, что «Яндекс» бьют, а какого-то левого провайдера — нет. Мол, принадлежит он «кому надо». Что за этим последует, объяснять не нужно.
Это та самая «война на истощение», о которой некоторые «спикеры» так любят поговорить.
При этом, даже эти потери не пойдут в никакое сравнение с тем, что будет, если в Московской Области на десять часов пропадает электричество.
Вам повезёт. || Интернет-сайт
Призывать к защите объектов коммерческих ИТ-компаний, сейчас, как минимум, глупо.
Сгоревший суперкомпьютер «Яндекса» — его головная боль. То же самое применимо ко всем последующим объектам, на которые будут падать «обломки» БПЛА. К сожалению, ни о каком завершении кампании по атакам на ЦОД речи не идёт.
В первую очередь, необходимо укреплять энергетическую систему. Стоит напомнить, что она сейчас, как можно судить, защищена ровно также, как дата-центры «Яндекса». Жители республики Крым не дадут соврать.
Отсутствие интернета (которое вполне можно ожидать при текущем темпе) гораздо менее вредно, чем отсутствие света в центральной части страны.
Каждый дрон, который успешно сжигает датацентр, стоит примерно в тысячу раз дешевле, чем его цель. Даже если этих дронов было несколько сотен. Это без учёта того, что у российских ИТ-компаний сильно повреждена цепочка поставок.
Принимая во внимание то, что мировой дефицит компонентов для вычислительного оборудования (в частности, оперативной памяти) сохранится как минимум несколько лет, можно сказать, что дрон наносит ущерба в пять тысяч раз больше его стоимости.
Ущербом является не только сгоревшее «железо», но и упущенная прибыль конкретной ИТ-компании. Безусловно, через некоторое время пойдут слухи, что «Яндекс» бьют, а какого-то левого провайдера — нет. Мол, принадлежит он «кому надо». Что за этим последует, объяснять не нужно.
Это та самая «война на истощение», о которой некоторые «спикеры» так любят поговорить.
При этом, даже эти потери не пойдут в никакое сравнение с тем, что будет, если в Московской Области на десять часов пропадает электричество.
Вам повезёт. || Интернет-сайт
💯24❤4🔥3
Вчера многие «крупные» Telegram-каналы начали «разгон» темы запрета прямого обмена криптовалют. Мол, можно будет только покупать, продавать, спекулировать на изменении курса. И никаких «холодных» кошельков.
Переводя на простой «человеческий», Банк России запретил россиянам владеть криптовалютой. Только «циферками» на аккаунте брокера.
Конечно, запрет этот «курам на смех». Ровно также, как запрет VPN, запрет безопасных (неподконтрольных) мессенджеров, а также бесчисленное множество других откровенно «чекистких» запретов.
Даже не взирая на то, что закон прямо запрещает тем же VPN работать без лицензии, они все равно работают. И даже принимают оплату в безналичных рублях, что, мягко говоря, крайне нежелательно.
Если оператор «поумнее» и принимает оплату в криптовалюте, все, что могут сделать российские надзорные органы — начать стучать «ножками» и блокировать протоколы (а заодно — банкоматы). Ни о каком «посадить» при грамотной модели угроз первого речи не идёт.
Ровно также будет и с криптовалютами. Начиная с обменников на «Горбушке» заканчивая интернет-сайтами.
Другими словами, «запрещалка» не выросла.
Вам повезёт. || Интернет-сайт
Переводя на простой «человеческий», Банк России запретил россиянам владеть криптовалютой. Только «циферками» на аккаунте брокера.
Конечно, запрет этот «курам на смех». Ровно также, как запрет VPN, запрет безопасных (неподконтрольных) мессенджеров, а также бесчисленное множество других откровенно «чекистких» запретов.
Даже не взирая на то, что закон прямо запрещает тем же VPN работать без лицензии, они все равно работают. И даже принимают оплату в безналичных рублях, что, мягко говоря, крайне нежелательно.
Если оператор «поумнее» и принимает оплату в криптовалюте, все, что могут сделать российские надзорные органы — начать стучать «ножками» и блокировать протоколы (а заодно — банкоматы). Ни о каком «посадить» при грамотной модели угроз первого речи не идёт.
Ровно также будет и с криптовалютами. Начиная с обменников на «Горбушке» заканчивая интернет-сайтами.
Другими словами, «запрещалка» не выросла.
Вам повезёт. || Интернет-сайт
🔥19❤2
В траве сидел «кузнечик»
Минцифры тут хочет перевести сети 5G (на данный момент — 4G с новой вывеской) на доморощенный российский алгоритм шифрования «Кузнечик» (он же ГОСТ).
Во-первых, российские алгоритмы шифрования хуже, чем проверенные зарубежные. Ответ на вопрос «почему?» содержится в слове «проверенные». Использование «Кузнечика» за пределами государственного контура исчезающе мало.
Это значит, что алгоритм хуже «обследован», из-за чего может содержать многие неизвестные ошибки в дизайне.
Кроме этого, многие уважаемые криптографы прямо говорили о том, что «Кузнечик» специально нарушает принцип прозрачности «Nothing up my sleeve», что является серьёзным признаком наличия «бэкдора».
Из-за этого существует правило «не изобретать кирпич», а использовать международно признанные алгоритмы. Не хотите AES (Rijndael)? Есть ещё два финалиста конкурса AES, шифр Serpent и Twofish.
Тот же Serpent существует уже практически 30 лет, что кратно больше, чем «Кузнечик». Во времена его разработки российское государство ещё использовало ущербный алгоритм «Магма», который был буквально «кладезью» ошибок.
При этом, на Serpent не существует ни одной теоретической атаки, которая бы хотя бы немного касалась реальности, а не мира «розовых пони» с бесконечными вычислительными мощностями.
Что мешало взять его? Отсутствие аппаратных ускорителей в устройствах, может быть. Вот только у «Кузнечика» их тоже нет. Можно твёрдо сказать, что все финалисты AES качественно сильнее российских «поделок».
Минцифры же занимается имитацией «цифрового суверенитета», которого у России нет, и даже в следующем десятилетии не появится. Все попытки создать российский процессор, например, сталкивались с безумными уровнями коррупции, вследствие чего проваливались.
К тому же, начинать строить «цифровой суверенитет» нужно было ещё в начале нулевых, а не после того, как грянул «гром». Возможно, что сейчас он нужен в том же качестве, что и ежегодный «бордюринг» в Москве — пилить бюджет.
Вам повезёт. || Интернет-сайт
Минцифры тут хочет перевести сети 5G (на данный момент — 4G с новой вывеской) на доморощенный российский алгоритм шифрования «Кузнечик» (он же ГОСТ).
Во-первых, российские алгоритмы шифрования хуже, чем проверенные зарубежные. Ответ на вопрос «почему?» содержится в слове «проверенные». Использование «Кузнечика» за пределами государственного контура исчезающе мало.
Это значит, что алгоритм хуже «обследован», из-за чего может содержать многие неизвестные ошибки в дизайне.
Кроме этого, многие уважаемые криптографы прямо говорили о том, что «Кузнечик» специально нарушает принцип прозрачности «Nothing up my sleeve», что является серьёзным признаком наличия «бэкдора».
Из-за этого существует правило «не изобретать кирпич», а использовать международно признанные алгоритмы. Не хотите AES (Rijndael)? Есть ещё два финалиста конкурса AES, шифр Serpent и Twofish.
Тот же Serpent существует уже практически 30 лет, что кратно больше, чем «Кузнечик». Во времена его разработки российское государство ещё использовало ущербный алгоритм «Магма», который был буквально «кладезью» ошибок.
При этом, на Serpent не существует ни одной теоретической атаки, которая бы хотя бы немного касалась реальности, а не мира «розовых пони» с бесконечными вычислительными мощностями.
Что мешало взять его? Отсутствие аппаратных ускорителей в устройствах, может быть. Вот только у «Кузнечика» их тоже нет. Можно твёрдо сказать, что все финалисты AES качественно сильнее российских «поделок».
Минцифры же занимается имитацией «цифрового суверенитета», которого у России нет, и даже в следующем десятилетии не появится. Все попытки создать российский процессор, например, сталкивались с безумными уровнями коррупции, вследствие чего проваливались.
К тому же, начинать строить «цифровой суверенитет» нужно было ещё в начале нулевых, а не после того, как грянул «гром». Возможно, что сейчас он нужен в том же качестве, что и ежегодный «бордюринг» в Москве — пилить бюджет.
Вам повезёт. || Интернет-сайт
👍19🔥11💯11😁2❤1
Может, вам повезет?
Простые истины Некогда Эдвард Сноуден, человек, который рассказал миру об «ужасах» проектов АНБ, подметил, что лучше не использовать мобильные устройства вовсе. Вся причина, мол, в сотовом радио — оно закрыто чуть более чем полностью и имеет прямой доступ…
Именно из-за этого крайне нежелательно устанавливать российские около-государственные программы на традиционные ОС.
Например, несчастный мессенджер «Макс» на более-менее защищенном устройстве Android/iOS может читать и записывать файлы только в своей директории. Доступ к галерее — отдельное разрешение.
На компьютере же, этот самый «Макс» может не спрашивая включить камеру, отправить любой файл на сервера VK из доступных пользователю директорий, записать звук, а в некоторых случаях — посмотреть другие приложения (привет, оконный сервер X11).
Если кто-то захочет опровергнуть вышеперечисленные возможности, автор услужливо «ткнет» опровергающего в закрытый код приложения, который, к тому же, может быть легко изменён по команде сервера.
Если «очень надо», то лучше изолировать такие программы в отдельной виртуальной машине. Да, «сбежать» из них все ещё можно, но крайне трудно.
Только используйте нормальный гипервизор, например VMware Workstation или встроенный в ядро Linux KVM.
Вам повезёт. || Интернет-сайт
Например, несчастный мессенджер «Макс» на более-менее защищенном устройстве Android/iOS может читать и записывать файлы только в своей директории. Доступ к галерее — отдельное разрешение.
На компьютере же, этот самый «Макс» может не спрашивая включить камеру, отправить любой файл на сервера VK из доступных пользователю директорий, записать звук, а в некоторых случаях — посмотреть другие приложения (привет, оконный сервер X11).
Если кто-то захочет опровергнуть вышеперечисленные возможности, автор услужливо «ткнет» опровергающего в закрытый код приложения, который, к тому же, может быть легко изменён по команде сервера.
Если «очень надо», то лучше изолировать такие программы в отдельной виртуальной машине. Да, «сбежать» из них все ещё можно, но крайне трудно.
Только используйте нормальный гипервизор, например VMware Workstation или встроенный в ядро Linux KVM.
Вам повезёт. || Интернет-сайт
🤔10👍6🔥4❤2
Может, вам повезет?
Вышла новая стабильная версия Opengram, 12.10.6c. В первую очередь, было переработано отслеживание прочитанных/просмотренных историй и реакций в чатах при включенном «режиме призрака». Кроме того, теперь его можно включить для конкретного аккаунта, а не приложения…
Вышла новая стабильная версия клиента Opengram, 13.0.2b.
В первую очередь, был добавлен «фильтр» сообщений Opengram Message Filter, который позволяет скрыть любое сообщение по ключевым словам.
У каждого аккаунта в приложении свой «список» и ключи шифрования от него. Кроме этого, для каждого аккаунта его можно включить отдельно, по аналогии с «режимом призрака».
Message Filter на данный момент распространяется на каналы и чаты с ботами, но не на личные сообщения и группы. Это сделано специально для исключения случайной блокировки сообщений.
Причина добавления этой функции крайне проста: автора интернет-ресурса просто достала чрезвычайно навязчивая реклама «Альфа-банка», казино и прочих мошеннических организаций.
Несмотря на то, что используются последние компоненты мессенджера Telegram, автором было принято непростое решение полностью «вырезать» новый Telegram Wallet.
Во-первых, криптокошельку нечего делать в мессенджере. Во-вторых, администрация мессенджера удаляет аккаунты «направо и налево». Неправльно хоть как-то поддерживать хранение «монет» в таком ненадженом месте.
Продвинутые пользователи могут внимательно изучить тег 7175b, в котором содержится и ряд других улучшений.
Как всегда, скачать готовый установочный файл можно на странице GitHub Releases или с этого веб-сервера.
Вам повезёт. || Интернет-сайт
В первую очередь, был добавлен «фильтр» сообщений Opengram Message Filter, который позволяет скрыть любое сообщение по ключевым словам.
У каждого аккаунта в приложении свой «список» и ключи шифрования от него. Кроме этого, для каждого аккаунта его можно включить отдельно, по аналогии с «режимом призрака».
Message Filter на данный момент распространяется на каналы и чаты с ботами, но не на личные сообщения и группы. Это сделано специально для исключения случайной блокировки сообщений.
Причина добавления этой функции крайне проста: автора интернет-ресурса просто достала чрезвычайно навязчивая реклама «Альфа-банка», казино и прочих мошеннических организаций.
Несмотря на то, что используются последние компоненты мессенджера Telegram, автором было принято непростое решение полностью «вырезать» новый Telegram Wallet.
Во-первых, криптокошельку нечего делать в мессенджере. Во-вторых, администрация мессенджера удаляет аккаунты «направо и налево». Неправльно хоть как-то поддерживать хранение «монет» в таком ненадженом месте.
Продвинутые пользователи могут внимательно изучить тег 7175b, в котором содержится и ряд других улучшений.
Как всегда, скачать готовый установочный файл можно на странице GitHub Releases или с этого веб-сервера.
Вам повезёт. || Интернет-сайт
👍11❤2🔥1👏1
МИД Катара тут высказал одну достаточно простую, но интересную мысль: мир, возможно, уже не стоит на «пороге» третей мировой, а проходит её первый год.
Этому, по субъективной оценке автора, появляется все больше подтверждений. Например, военная кампания под маркой «СВО» с самых первых её месяцев перестала быть региональной.
В полной мере это продемонстрировал «Оранжевый человек», отключив системы Starshield/Starlink и перестав давать разведанные стране 404 на весьма символический период времени. Результат был не только на конкретных «лицах» руководства 404, но и на объектах двойного назначения.
Оказалось, что дроны, использующие проприетарную связь не так эффективны, если за океаном сидит полоумный застройщик, у которого «горит» поддержка на выборах.
Широко известно, что 404 воет оружием стран НАТО, американскими технологиями и китайскими комплектующими. От себя — только «пушечное мясо».
Хотелось бы прокомментировать недавние решения «начальства» по вопросу сотрудничества с страной, которая целенаправленно повышает эффективность обозначенных ими же «врагов», но сейчас это воспринимают как «фейки» о чем-то там.
Про ближний восток можно и не говорить. За прошедший год от Ирана «отхватили» примерно все страны персидского залива. Израиль там чисто для «украшения» был. Теперь военных баз США в регионе нет, только если в ИИ-картинках Белого Дома.
И чем это не зачатки «третей мирововой», спрашивается?
Вам повезёт. || Интернет-сайт
Этому, по субъективной оценке автора, появляется все больше подтверждений. Например, военная кампания под маркой «СВО» с самых первых её месяцев перестала быть региональной.
В полной мере это продемонстрировал «Оранжевый человек», отключив системы Starshield/Starlink и перестав давать разведанные стране 404 на весьма символический период времени. Результат был не только на конкретных «лицах» руководства 404, но и на объектах двойного назначения.
Оказалось, что дроны, использующие проприетарную связь не так эффективны, если за океаном сидит полоумный застройщик, у которого «горит» поддержка на выборах.
Широко известно, что 404 воет оружием стран НАТО, американскими технологиями и китайскими комплектующими. От себя — только «пушечное мясо».
Хотелось бы прокомментировать недавние решения «начальства» по вопросу сотрудничества с страной, которая целенаправленно повышает эффективность обозначенных ими же «врагов», но сейчас это воспринимают как «фейки» о чем-то там.
Про ближний восток можно и не говорить. За прошедший год от Ирана «отхватили» примерно все страны персидского залива. Израиль там чисто для «украшения» был. Теперь военных баз США в регионе нет, только если в ИИ-картинках Белого Дома.
И чем это не зачатки «третей мирововой», спрашивается?
Вам повезёт. || Интернет-сайт
👍12🔥10❤4🤔1
Проблема атрибуции, часть первая
Описав технологический «базис» функций аппаратной защиты данных, таких как Duress PIN, стоит поговорить об их практическом применении. В российском контексте, их полезность в большей мере состоит в «выбивании стула» из под юридических доказательств причастности того или иного человека к сетевому аккаунту.
Широко известно, что во многих уголовных делах о «дискредитации ВС РФ» тем или иным образом фигурирует полицейское насилие. Мол, затолкали в машину, дали несколько раз в «морду», затем попросили дать пароль от телефона.
Дорогие «оборотни в погонах» делают это не ради собственного удовлетворения, а для создания «атрибуции» конкретного «физика» к аккаунту в желаемой социальной сети.
Так получилось, что обычное насилие многократно более эффективно чем российские комплексы для проведения операций «цифровой криминалистики», которые практически бесполезны против устройств с адекватной моделью безопасности.
При этом, если устройство содержит только «кашу» из зашифрованных алгоритмом AES-256 данных, а пароль вводить некуда, те же самые «оборотни» попадают в «тупик».
Когда нет простого способа восстановления зашифрованных данных (например, ноутбук с тем же аккаунтом), то у следствия возникает нужда доказать, что конкретный «Вася» является владельцем аккаунта «Правительство Инсайды Онлайн».
Если «Вася» не был откровенным «идиотом» и следовал базовым принципам операционной безопасности, то задача эта — крайне ресурсоемкая, из-за чего, с поправкой на текущее положение органов «правопорядка» — практически невыполнима.
Стоит отметить, что данная модель угроз предполагает «правовое государство», а не «государственный беспредел», что может показаться весьма смешным. Справедливости ради, в некоторых местах оно все ещё существует.
В российском контексте подобное «сжигание» данных не влечёт уголовного наказания. Истории про задержанных в США, Британии, и прочих странах запада здесь нерелевантны, ведь «Может, вам повезёт?» — российский интернет-ресурс.
Это только самый простой, и, как следствие, распространённый пример. Существует множество «оригинальных» способов уничтожения данных и с традиционных компьютеров, речь о которых пойдёт в будущих материалах.
Вам повезёт. || Интернет-сайт
Описав технологический «базис» функций аппаратной защиты данных, таких как Duress PIN, стоит поговорить об их практическом применении. В российском контексте, их полезность в большей мере состоит в «выбивании стула» из под юридических доказательств причастности того или иного человека к сетевому аккаунту.
Широко известно, что во многих уголовных делах о «дискредитации ВС РФ» тем или иным образом фигурирует полицейское насилие. Мол, затолкали в машину, дали несколько раз в «морду», затем попросили дать пароль от телефона.
Дорогие «оборотни в погонах» делают это не ради собственного удовлетворения, а для создания «атрибуции» конкретного «физика» к аккаунту в желаемой социальной сети.
Так получилось, что обычное насилие многократно более эффективно чем российские комплексы для проведения операций «цифровой криминалистики», которые практически бесполезны против устройств с адекватной моделью безопасности.
При этом, если устройство содержит только «кашу» из зашифрованных алгоритмом AES-256 данных, а пароль вводить некуда, те же самые «оборотни» попадают в «тупик».
Когда нет простого способа восстановления зашифрованных данных (например, ноутбук с тем же аккаунтом), то у следствия возникает нужда доказать, что конкретный «Вася» является владельцем аккаунта «Правительство Инсайды Онлайн».
Если «Вася» не был откровенным «идиотом» и следовал базовым принципам операционной безопасности, то задача эта — крайне ресурсоемкая, из-за чего, с поправкой на текущее положение органов «правопорядка» — практически невыполнима.
Стоит отметить, что данная модель угроз предполагает «правовое государство», а не «государственный беспредел», что может показаться весьма смешным. Справедливости ради, в некоторых местах оно все ещё существует.
В российском контексте подобное «сжигание» данных не влечёт уголовного наказания. Истории про задержанных в США, Британии, и прочих странах запада здесь нерелевантны, ведь «Может, вам повезёт?» — российский интернет-ресурс.
Это только самый простой, и, как следствие, распространённый пример. Существует множество «оригинальных» способов уничтожения данных и с традиционных компьютеров, речь о которых пойдёт в будущих материалах.
Вам повезёт. || Интернет-сайт
❤10🔥7👍2
Новость про тривиально взломанные промежуточные центры индийского УЦ eMudhra пересказывать нет смысла. Проблема в том, что «вопрос» с ними только открывается.
Если «в двух словах», то любой может выпустить с их помощью сертификат и использовать его для перехвата соединений, например.
По-хорошему, этому должны мешать списки Certificate Transparency, т. е. блокчейн, в котором хранятся все запросы на выпуск сертификатов. Вот только используют его в основном браузеры, и то не все.
В программах, особенно для компьютеров, применение CT стремится к нулю. Android начал требовать применять CT только в приложениях для 17-й версии.
Взломанным «промежуточным» центрам будут доверять сотни миллионов устройств ещё как минимум несколько кварталов. Это просто «праздник десятилетия» для всех видов спецслужб (в т. ч. отечественных), хакеров и сервисов корпоративного шпионажа.
Когда у пользователя на узле связи стоит де-факто автоматизированный «хакер» (в нашем случае, ТСПУ), ничего не мешает ему осуществить перехват соединения с помощью подделанных сертификатов.
Пользователь не получит предупреждение о том, что его соединение идёт через сертификат, выпущенный «Петром» через утекщий, но доверенный приватный ключ.
Единственный способ — отключить их. Автор выложит инструкцию для Android (большинство устройств которого не получат обновлённое хранилище сертификатов вовсе) следующим постом в Telegram-канале ресурса.
Для всех остальных — спросите у любого ИИ-ассистента, как отключить тот или иной корневой сертификат на вашей ОС. Важно заметить, что на iOS/macOS это сделать нельзя. Далее нужно будет отключить четыре «корня» eMudhra.
Этой «халявой» также будут пользоваться операторы перехватчиков сотовой связи, которые достаточно популярны в Москве, например. При этом, даже в пределах МКАДа многие базовые станции вообще не шифруют трафик.
Об этом услужливо сообщает GrapheneOS/Pixel OS, например. Единственный способ получить приемлемое шифрование данных в этом случае — использовать VPN.
В связи с серьёзностью ситуации, поделитесь этой публикацией с друзьями/знакомыми. Чем больше людей будут «в курсе», тем меньше вреда будет нанесено.
Вам повезёт. || Интернет-сайт
Если «в двух словах», то любой может выпустить с их помощью сертификат и использовать его для перехвата соединений, например.
По-хорошему, этому должны мешать списки Certificate Transparency, т. е. блокчейн, в котором хранятся все запросы на выпуск сертификатов. Вот только используют его в основном браузеры, и то не все.
В программах, особенно для компьютеров, применение CT стремится к нулю. Android начал требовать применять CT только в приложениях для 17-й версии.
Взломанным «промежуточным» центрам будут доверять сотни миллионов устройств ещё как минимум несколько кварталов. Это просто «праздник десятилетия» для всех видов спецслужб (в т. ч. отечественных), хакеров и сервисов корпоративного шпионажа.
Когда у пользователя на узле связи стоит де-факто автоматизированный «хакер» (в нашем случае, ТСПУ), ничего не мешает ему осуществить перехват соединения с помощью подделанных сертификатов.
Пользователь не получит предупреждение о том, что его соединение идёт через сертификат, выпущенный «Петром» через утекщий, но доверенный приватный ключ.
Единственный способ — отключить их. Автор выложит инструкцию для Android (большинство устройств которого не получат обновлённое хранилище сертификатов вовсе) следующим постом в Telegram-канале ресурса.
Для всех остальных — спросите у любого ИИ-ассистента, как отключить тот или иной корневой сертификат на вашей ОС. Важно заметить, что на iOS/macOS это сделать нельзя. Далее нужно будет отключить четыре «корня» eMudhra.
Этой «халявой» также будут пользоваться операторы перехватчиков сотовой связи, которые достаточно популярны в Москве, например. При этом, даже в пределах МКАДа многие базовые станции вообще не шифруют трафик.
Об этом услужливо сообщает GrapheneOS/Pixel OS, например. Единственный способ получить приемлемое шифрование данных в этом случае — использовать VPN.
В связи с серьёзностью ситуации, поделитесь этой публикацией с друзьями/знакомыми. Чем больше людей будут «в курсе», тем меньше вреда будет нанесено.
Вам повезёт. || Интернет-сайт
👍10🔥5❤4🤬1
Может, вам повезет?
Новость про тривиально взломанные промежуточные центры индийского УЦ eMudhra пересказывать нет смысла. Проблема в том, что «вопрос» с ними только открывается. Если «в двух словах», то любой может выпустить с их помощью сертификат и использовать его для перехвата…
Для Android:
Вам нужно зайти в раздел «Защита и конфидециальность» в настройках, далее перейти в «Дополнительные настройки защиты и конфидециальности», затем «Шифрование и учётные данные» и наконец «надёжные сертификаты».
Далее нужно отключить все сертификаты eMudhra (см. последний скриншот). Это полностью безопасно и не привидет к спонтанной поломке абсолютного большинства сервисов.
Вам повезёт. || Интернет-сайт
Вам нужно зайти в раздел «Защита и конфидециальность» в настройках, далее перейти в «Дополнительные настройки защиты и конфидециальности», затем «Шифрование и учётные данные» и наконец «надёжные сертификаты».
Далее нужно отключить все сертификаты eMudhra (см. последний скриншот). Это полностью безопасно и не привидет к спонтанной поломке абсолютного большинства сервисов.
Вам повезёт. || Интернет-сайт
👍18🔥5❤3