Поделюсь двумя хорошими агрегаторами по OSINT:

* https://osinthub.org/
* https://github.com/jivoi/awesome-osint

#osint

YouTube как наглядный пример. Платформа-монополист, у которой есть деньги на борьбу с блокировкой рекламы, реализацию верификации по паспорту, где тонна рекламы и тёмных паттернов вроде Shorts и интегральных лент, но нет никакого желания бороться с зашкаливающим количеством ботов. За деньги можно купить подписку на снятие ограничений на стороне клиента, не сервера. Просто отвратительно

#enshittification #щитпост

Для тех, кто собирается покупать новый iPhone - ещё раз посмотрите на ценник и вспомните, что вы покупаете за эти деньги компьютер (современный телефон - это компьютер, пускай и на обрезанной ОС), на который вы можете устанавливать программы и игры ТОЛЬКО из белого списка. Да-да, App Store - это фактически реестр разрешённых программ. И даже а ЕС, где якобы разрешены сторонние сторы, в них тоже будет ПО из белого списка, отличается только метод загрузки. И нет никаких гарантий, что нужная вам программа не будет удалена из белого списка. Как и нет никакой возможности откатить обновление, если с ним что-то не так.

Есть разные костыли и обходы, но они ненадёжны и могут стоить денег. Официальный сертификат разработчика Apple стоит $100/год, "неофициальный" - дешевле, но его могут отозвать. Отозванные сертификаты работают только с кастомными DNS от Васяна, которые могут быть небезопасны и занимают слот VPN

#iphone #щитпост

Обзор мессенджеров с шифрованием для безопасного общения в нашем с вами 1984 году.

1. Signal - золотой стандарт и самый популярный безопасный мессенджер. Плюсы: много пользователей, низкий порог вхождения, абсолютно вся коммуникация и большинство метаданных шифруются или не собираются, минимум, большая аудитория. Минусы: централизован (если центральный скурвится, плохо будет всем), у разработчика есть диктаторские замашки, в приложение встроили щиткоин, исходный код сервера частично закрыт, есть привязка к телефону, но его можно скрыть. Рекомендую использовать форк Molly.

2. XMPP - Quicksy, Conversations и прочее. Федеративный протокол, можно выбрать удобное приложение и сервер, которому вы доверяете. Плюсы: множество серверов и приложений на выбор, огромное количество функций, нет привязки к телефону. Минусы: зоопарк клиентов, хранение метаданных на сервере, порог вхождения чуть выше (можно использовать Quicksy)

3. Delta Chat - мессенджер с шифрованием, работающий поверх электронной почты. Плюсы: можно использовать уже существующий почтовый аккаунт (хоть Яндекс), общаться даже с теми, у кого нет приложения, есть интересные расширения. Минусы: метаданные хранятся на почтовом сервере, первое отправленное сообщение не шифруется, переписка с теми, у кого нет Delta Chat - тоже не шифруется, некоторые сервера могут давать временная блокировку при активной переписке.

4. Jami - полностью децентрализованный мессенджер без серверов с использованием пиринга и децентрализованных хеш-таблиц. Плюсы: тотальная децентрализация, достаточно богатый функционал, анонимность. Минусы: легко потерять аккаунт, если не сделать резервную копию, функционал может отличаться на разных платформах

5. WhatsApp - наименее мерзкий мейнстримный мессенджер, обладающий встроенным шифрованием. Плюсы:, есть у всех. Минусы: привязка к телефону, закрытый исходный код, собирает метаданные и передаёт рекламным компаниям, бекапы по умолчанию не зашифрованы. Рекомендации: настроить шифрование бекапов или отключить их, ограничить или полностью отключить доступ к контактам и создавать новые чаты через костыли. Есть моды.

6. Google Messages (если у вас есть RCS). При использовании "функций чата" включается честное end-to-end-шифрование. Зависит от поддержки оператором и от того, как сойдутся звёзды. Плюсы: установлен по умолчанию, у многих он уже есть. Минусы: может отвалиться в любой момент, закрытый исходный код, уйма метаданных уходит к гуглу и на сервера оператора, шифрование работает только с теми собеседниками, у которых тоже есть Messages

Мессенджеры, которых стоит избегать:

1. Telegram - подментованное КГБ-шное решето. Шифрование спрятано в какой-то жопе и сомнительного качества, все данные хранятся в открытом виде на серверах, сосёт уйму метаданных. Рекомендуемый клиент - Nagram X Fork.

2. Discord - нет шифрования, все данные хранятся в открытом виде на серверах, сосёт уйму метаданных. Десктопный клиент сканирует жесткий диск и инжектит непонятную библиотеку в другие процессы. Рекомендуемые клиенты - Vesktop, Revenge.

3. Session - оверхайпнутый форк Signal. Нет PFC, в случае взлома или заражения устройства - аккаунт взломан без возможности восстановления контроля.

Общие рекомендации:
* отключите в iOS резервное копирование для ваших мессенджеров в iCloud - иначе вся ваша переписка будет лежать на серверах Apple в открытом виде
* используйте разные аккаунты для разных задач
* используйте виртуальные и одноразовые номера
* не давайте доступ к контактам, если нет доверия и необходимости
* отключите автозагрузку вложений, даже картинок (поможет уберечься от 0day-уязвимостей)
* всегда обновляйте мессенджеры и ОС до последней версии
* используйте отдельные профили пользователей, приложения и аккаунты для компрометирующих переписок
* настройте таймеры для автоудаления переписки, всё важное сохраняйте в безопасные заметки
* не переписывайтесь через телефон, если это возможно, и не храните там переписку

Бонус: для звонков можно пользоваться безопасной звонилкой Jitsi Meet. Список серверов тут

#безопасность #мессенджеры #приватность #android #ios

Несколько причин, почему я не рекомендую пользоваться Kali Linux как основной системой:

1. Плохая совместимость. Kali хоть и основан на Debian, имеет свои версии библиотек, порой несовместимые с десктопным софтом. В частности, я сталкивался с проблемами, например, при попытке установить клиент Mega.nz.

2. Kali - это коммерческий дистрибутив. Offensive Security зарабатывает с продаж курсов, сертификаций и рекламы партнёрского ПО. В дистрибутив встроены демо-версии и своеобразная реклама платного ПО - Metasploit, Burp Suite и т.д.

3. Ограниченный набор софта. Да, есть множество скриптов с гитхаба, ориентированных на Kali (часть из которых написано малолетними долбоёбами и вызывает pip без виртуального окружения и ломает систему, лол), но в конкурирующем дистрибутиве выбор побогаче + AUR, да и всё это можно запустить на любом дистре, если нужно.

4. Большой вес и медлительность при менеджменте пакетов. Базовая версия Kali включает себя достаточно большое количество инструментов, а пакетный менеджер APT достаточно медлительный в силу своей архитектуры, поэтому обновление системы может занимать порой до получаса, и даже больше.

Однако, совсем отказываться от Kali не стоит, ведь это как минимум, единственный дистрибутив, содержащий в основном ядре драйверы с поддержкой инъекции пакетов для Wi-Fi. Лучшие сценарии использования - это загрузка с флешки по необходимости или же использование дистрибутива внутри вашей основной системы.

Дистрибутив - это инструмент, а не святой Грааль, используйте то, что подходит под ваши задачи и потребности. Я лишь поделился своим опытом и назвал причины, по которым не стоит устанавливать его как основную ОС

#kali #хакинг

VOT - расширение, добавляющее закадровый машинный голосовой перевод видео в браузере на многих сайтах. Реализовано в виде UserJS.

Как установить:
1. Установить расширение к браузеру для поддержки UserJS - я использую Violentmonkey.
2. Установить скрипт.

После этого на популярных видеохостингах должна появиться кнопка, как на скриншоте.

Можно добавить поддержку своих доменов (свой инстанс Piped, например), для этого достаточно отредактировать скрипт (можно прямо из Violent Monkey) и в секции c записями типа

 // @match          *://disk.yandex.ru/*

добавить новую строчку по типу

// @match          *://piped.example.ru/*

Желающие могут поднять свой воркер (прокси для запаросов к сервису перевода) на CloudFlare (не подойдёт для РФ), DenoDeploy или Render.com.

После поднятия своего воркера нужно указать его в настройках расширения

Другие интересные и полезные скрипты можно найти на сайтах GreasyFork и OpenUserJS

#firefox #chrome

Samsung пробили очередное дно

Недавнее обновление программного обеспечения от производителя, защищённых от пользователя смартфонов с неработающими уведомлениями Samsung добавило рекламу на главные экраны их дорогущих холодильников. Пользователи могут отключить рекламу, включив вместо них фотографии или картинки, но это ограничивает функциональность холодильника. Другой вариант — отключить холодильник от Интернета, что также удаляет такие функции, как планирование и рецепты, сделав дорогущий умный холодильник тупым.

Никогда не вникал в тему умных холодильников, но искренне не понимаю, зачем они нужны. Неужели нельзя просто загрузить фотографию продуктов в LLM и попросить подобрать рецепты? Неужели в доме нужно ещё одно постоянно подключенное к интернету шпионское устройство?

#samsung #щитпост

Увидел вот такое в чейнджлоге GrapheneOS.

Получается, Google открывает исходный код исправлений безопасности для всех, кроме избранных вендоров только спустя 3-4 месяца.

То есть первыми исправления безопасности получают Пиксели, потом вендоры первого эшелона и лишь через 3-4 месяца - все остальные. А ведь после получения доступа к патчам нужно ещё интегрировать их в своё китайское кастомное говно.

То есть Google намеренное делает практически все устройства на Android кроме пикселей уязвимыми к уже известным атакам в течение минимум 3-4 месяцев.

Получается, что если у вас не iPhone, и не Pixel, ваш телефон априори дыряв, потому что корпорации так захотелось.

#android