🤔MAX можно изолировать

энтузиаст написал CryptoLayer для сквозного шифрования поверх любых мессенджеров

Зачем гадать, читают ли спецслужбы или администраторы ваши чаты в Telegram, VK или национальных платформах вроде MAX, если можно рассматривать любой мессенджер исключительно как источник слива информации? 😎Российский разработчик выложил на GitHub опенсорсный проект CryptoLayer, который накладывает собственный независимый криптографический слой поверх популярных сервисов связи.

🟦Концепция инструмента строится на полном недоверии к серверной инфраструктуре. Сообщения шифруются строго локально на устройстве с помощью проверенной связки AES-256-GCM и эллиптических кривых для обмена ключами.

Чтобы трафик не триггерил автоматические спам-фильтры и цензуру характерными абракадабрами шифротекста в Base64, зашифрованные байты упаковываются в цепочки обычных человеческих слов. Для стороннего наблюдателя или сервера чата это выглядит как случайный набор текста, а адресат с установленным CryptoLayer разворачивает его обратно в исходный файл или диалог. 🟢Готовые модули уже умеют работать с Telegram (через MTProto) и VK, а открытая модульная архитектура позволяет сообществу дописать плагины хоть для мессенджера MAX, хоть для Discord или SSH-каналов. Конечно, метаданные (время активности и связку аккаунтов) такой подход не скроет, да и независимому коду еще предстоит пройти проверку временем... 🦔 CyberYozh

Часть 4: что вы отдаёте, устанавливая корневой сертификат Успокоительный аргумент звучит так: установленный корень ничего не ломает. Если сайт подписан GlobalSign, российский корень в проверке не участвует, ваш трафик к гуглу никто не читает. Это правда. И это ответ не на тот вопрос. Опасность корневого сертификата не в том, что происходит сегодня. Она в том, что становится возможным завтра — без вашего участия и без единого предупреждения. Объясню на пальцах. Корневой сертификат — не замок и не ключ. Это список людей, чью подпись вы заранее согласились признавать настоящей. Пока никто ничего не подделывает, список лежит и не мешает. Но добавив туда кого-то, вы уже не сможете отличить его подпись от честной. Механизма отличить нет — в этом весь смысл подписи. Что конкретно вы отдаёте. Первое. Любой сертификат, подписанный этим корнем, браузер примет молча. В том числе выпущенный на google.com, на signal.org, на почту вашей организации. Замочек зелёный, предупреждения нет. Второе. Проверить факт такого выпуска нельзя. Центр не пишет в Certificate Transparency — публичного журнала, где всплыл бы чужой сертификат на ваш домен, попросту не существует. Механизм, который поймал голландцев и казахов, здесь не работает. Третье. Точка перехвата уже стоит. ТСПУ на сетях операторов, СОРМ в законе. Не хватало ровно одного элемента, и, установив корень, вы приносите его сами. Четвёртое. Вы про него забудете. Через год, через три. Он переживёт переустановку браузера и, вполне возможно, ваше пребывание в этой стране. Практическая часть. Нужно для банка и госуслуг — не ставьте корень в систему. Держите отдельный браузер только под эти сайты: Яндекс.Браузер для сбера и госуслуг, всё остальное — в Chrome или Firefox без корня. Скучно, зато контуры разделены. Не ставьте корень на телефон. На мобильном разделить почти нечем, а приложений, ходящих в сеть без вашего ведома, там втрое больше. Если приложение с certificate pinning отказывается работать — корень не поможет. Там список допустимых подписей зашит внутрь, и лечится это только обновлением от разработчика. Знайте, где его выключить. Windows — certmgr.msc. macOS — Связка ключей. Android — доверенные сертификаты в настройках безопасности. У Firefox список свой, отдельный. Загляните туда прямо сейчас, многие удивятся находкам. И общее. Установка корневого сертификата — не техническая настройка. Это решение о том, кому вы делегируете право удостоверять личность вашего собеседника. Такие вещи делают осознанно, а не по инструкции с баннера.

Часть 3: почему Russian Trusted Root CA не доверяет никто Вопрос задают регулярно и обычно с подтекстом — мол, политика, санкции, русофобия. Отвечаю по порядку и начну со скучного. Сертификат министерства деградации никто и не отвергал. Он не проходил процедуру. Совсем. Попадание в корневое хранилище — не голосование и не решение по симпатиям. У Mozilla вся кухня публичная, в багтрекере: заявка, выложенные политики CP/CPS, соответствие Baseline Requirements, работа с Certificate Transparency, проверка домена из нескольких географических точек, публичное обсуждение, где посторонние люди месяцами ковыряют вашу документацию. И сверху — независимый аудит WebTrust или ETSI за весь период работы. На аудите всё и заканчивается. Аудиторы WebTrust аккредитованы через CPA Canada, ETSI — через европейские органы аккредитации. Государственный удостоверяющий центр из России такого аудита не получит физически. А без него заявку даже не начнут читать. Замкнутый круг, к чьей-либо доброй воле отношения не имеющий. Теперь по существу. Допустим, аудит волшебным образом появился. Дальше начинается оценка рисков, и она короткая. Корень в хранилище — это возможность выпустить действующий сертификат на любой домен планеты. Не на свои сайты. На любые. Корневые программы задают ровно один вопрос: какова вероятность, что этот центр выпустит сертификат не по своей воле, а по указанию? Для центра, который принадлежит государству, где СОРМ прописан в законе, а ТСПУ уже стоят на сетях операторов, ответ считается в уме. Точки перехвата развёрнуты. Не хватает одной бумажки, которая сделает перехват невидимым для браузера. И это не умозрительная конструкция, а живой прецедент по соседству. Казахстан требовал от абонентов ставить государственный корень в 2015, 2019 и 2020 годах. В 2019-м его действительно применили — перехватывали трафик к Facebook, Google и Twitter. После чего Chrome, Firefox и Safari внесли этот сертификат в чёрный список прямо в код браузера. То есть он перестал работать даже у тех, кто поставил его сам. Про русофобию. Из хранилищ вычищали всех подряд, без оглядки на флаг: голландцев, турок, китайцев, американцев, канадцев (см. предыдущую часть). Разница в одном: ни один из них не был государственным центром страны с законодательно обязательной прослушкой. Порог тут объективно выше, и это следствие модели угроз, а не риторики. С самими сертификатами, к слову, всё в порядке. Обычный RSA, обычный X.509, никакого ГОСТа. Проблема не в криптографии. Проблема исключительно в том, кто за них ручается. Спойлер: НИКТО Итог на сегодня: корня нет в Chrome, Firefox, Safari и Edge. Доверяют ему Яндекс.Браузер и Атом, куда его вшили разработчики, плюс корпоративные контуры, куда его раскатали групповыми политиками. Деталь, которую все путают: он не заблокирован, как казахстанский. Он просто отсутствует. Разница принципиальная — установленный вручную, он работает. Вот про это вручную и будет последняя часть.

❗️Бесплатные VPN сливают данные 2 миллиардов пользователей 🔍Исследователи из Мичиганского университета и других вузов прогнали через систему аудита MVPNalyzer 281 популярный сервис из Google Play (суммарно 2,4 млрд скачиваний). Результаты закономерно паршивые: приватность там осталась только на маркетинговых баннерах.

🟦Дырявые туннели и MITM: У 29 приложений трафик шел мимо зашифрованного коридора (утекали DNS-запросы и чистый веб-трафик), а 4 сервиса вообще работали без шифрования. Хуже того, 5 приложений скачивали файлы конфигурации по открытому HTTP - хакер в том же публичном Wi-Fi может подменить сервер и полностью перехватить сессию.

🟦Тотальный трекинг: 246 приложений стабильно стучат на рекламные серверы, а 76 сливают рекламный ID устройства. Попутно собираются цифровые отпечатки (модель, ОС, параметры экрана), а одна утилита втихую отправляла на сторону точные GPS-координаты пользователя.

🟦Древняя криптография: Из 108 изученных конфигураций OpenVPN только одна оказалась безопасной. Остальные до сих пор сидят на уязвимых и мертвых шифрах вроде Blowfish и 3DES, либо принудительно отключают шифрование в процессе работы.

Чудес не бывает: если вы не платите за продукт, значит, продукт - это ваш трафик. 👁 КАК НАДЗОРНЫЙ КАПИТАЛИЗМ ПРЕВРАТИЛ ВАШУ ЖИЗНЬ В ТОВАР - видео в тему 📱 🦔 CyberYozh