Блокировка Телеграма

[StrangerR]

Рейндел (AES)? Если да, то про него давно ходят слухи, что он с бекдором.

Какие слухи? Алгоритм то открытый. В нем по определению не может быть бэкдоров.
Теоретически могут быть уязвимости. Но пока никто не доказал.

Бэкдоры могут быть в конкретной имплементации.
Имплементация PGP (OpenPGP ) опенсорсная. Любой желающий может проверить на бэкдоры.

Ну как, проверили на бекдоры и уязвимости?

https://habr.com/company/pt/blog/358570/
Критические уязвимости в PGP и S/MIME позволяют читать зашифрованные email-сообщения

Немецкие исследователи информационной безопасности опубликовали информацию о серьезных уязвимостях PGP и S/MIME, которые приводят к раскрытию информации, содержащейся в зашифрованных электронных письмах. В настоящий момент исправлений для этих ошибок безопасности не существует.

Про то и речь. Шифруйте просто PGP текст и вставляйте (шифруйте и подписывайте) и все, и никто вас не расшифрует. Практически все ошибки на сегодня найдены только в обвязке - что и понятно, она вставляет в общем то вполне предсказуемые куски в текст для шифрования и поэтому на них можно играться. а если вы шифруете сами, или у вас свой необычный клиент, то никто ничего не расшифрует, сами эти PGP не ломаются в принципе. Особенно если неизвестна ни одна строчка зашифрованного сообщения.

[StrangerR]

Очевидно, статью вы не читали, ограничившись прочтением комментариев на хабре.

Авторы работы утверждают, что ошибки ни в каких не в плагинах, а в S/MIME и OpenPGP. Не думаю, что вы успели разобраться в их работе и понять, насколько справедливо их заявление. В любом случае, даже если проблемы в конкретных реализациях, это как раз те реализации, которые используются на практике уже не первое десятилетие.

Ничего подобного. Авторы утверждают, что подсунут некоторую бяку в клиента, они могут вызвать неприятные последствия. На практике это все фигня потому что как я уже сказал, тупо шифруйте текстовый файл, подписывайте и передавайте хоть почтовыми голубями хоть емейлом, и никто ничего с ним не сделает.

We use CBC/CFB gadgets to inject malicious
plaintext snippets into encrypted emails that abuse existing
and standard conforming backchannels, for example,
in HTML, CSS, or x509 functionality, to exfiltrate
the full plaintext after decryption.

Типичный фишинг там и ничего более:

Once he opens the email in his client, the manipulated
ciphertext will be decrypted – first the private key of the
victim is used to decrypt the session key s, and then this
session key is used to decrypt the manipulated ciphertext
c. The decrypted plaintext now contains, due to the manipulations,
an exfiltration channel (e.g., an HTML hyperlink)
that will send the decrypted plaintext as a whole
or in parts to the attacker

Ну и как это вам поможет если я тупо буду шифровать текстовые письма PGP ключем получателя (без замороческ с сессией), потом подписывать своим ключем (приватным) и посылать? Да никак, не поможет. Хоть обсобирайся старой переписки. А то что в клиенте могут быть дырки и даже клиент может послать письмо с расшифровкой назад, так это проблема клиента. Свой пишется за 10 минут, и все.
Даже не пишется, просто тупо _текстовый файл аттачится в зашифрованном виде_. И хоть убейся, не расшифровывается.

[StrangerR]

Да чего там далеко ходить. Мы используем провайдеров некоторые из которых присылают файлы зашифрованные PGP. Файл грузится через sftp а публичные ключи пересылаются. И все. Никаких уязвимостей вроде описанной. там вообще уязвимость не в криптографии описана а в почтовых клиентах, ну так если позволять клиенту открывать URL да еще и на публичном интернете, то зачем потом чему то там удивляться??

[Larsonsager]

> Шифруйте просто PGP текст и вставляйте (шифруйте и подписывайте) и все, и никто вас не расшифрует

PGP - это и есть клиент. По вашим словам создаётся впечатление, что вы думаете, что PGP - такой алгоритм шифрования. Но это не так. PGP - как раз программа, позволяющая шифровать почту тем или иным алгоритмом. Зашифровать на бумажке и послать голубями - никакое не PGP.

[StrangerR]

> Шифруйте просто PGP текст и вставляйте (шифруйте и подписывайте) и все, и никто вас не расшифрует

PGP - это и есть клиент. По вашим словам создаётся впечатление, что вы думаете, что PGP - такой алгоритм шифрования. Но это не так. PGP - как раз программа, позволяющая шифровать почту тем или иным алгоритмом. Зашифровать на бумажке и послать голубями - никакое не PGP.

Нет, это OpenPGP клиент для почты. А просто PGP пакет - берете шифруете текстовый файл открытым ключем получателя. подписываете своим приватным, посылаете. Все, финита. Там практически нет вставок. Вы статью то прочитайте. там все построено на дырах в почтовом клиенте, на возможности манипуляции на стороне одного из корреспондентов, да и сама шифрация симметричным ключем уже дырка сама по себе. То есть дырь нашли именно что в имплеметации на определенных клиентах. та же Клеопатра - тупо зашифрует вам файл и тупо его подпишет, и никакое ФСБ или ЦРУ не расшифрует. В алгоритме дыр нету, они есть в имплементациях где наворотили кучу обвязок для удобства и всякие там S/MIME и прочее (как я уже сказал, там для начала сам текст то известен так как туда всунули известные заголовки).

PGP почту не шифрует. Само по себе оно тупо шифрует файл и подписывает файл. И все. И при шифрации вообще ничего не вставляется. Поэтому и расшифровать нереально разве что вы сами корреспондент получателя. То есть подловив одного шпиена можно со временем и другого расшифровать если получатель один ключ использует для них (но он не обязан). Все это именно на кривостях клиентов построено. Там в данной статье без бэкчаннела ничего сделать нельзя, например, а он в нормальных клиентах выключен да и клиент нормальный не имеет прямого доступа в интернет. И все, финита.

там же даже написанно

An attacker
can exploit 23 S/MIME email clients out of which eight
require either a MitM attacker or user interaction like
clicking on a link or explicitly allowing external images.
17 S/MIME clients allow off-path exfiltration channels
with no user interaction.
From the 35 email clients, 28 support OpenPGP and
10 allow off-path exfiltration channels with no user interaction.
Five clients allow SEIP ciphertexts with stripped
MDC and ignore wrong MDCs if they exist. Six clients
support SE ciphertexts, which allow no integrity protection
at all. Three clients – which show OpenPGP messages
as plain text only – are secure against automated
backchannels, but are still vulnerable to backchannels
that require more complex user interaction.

Кривые клиенты, короче. Из 28 в 10 теоретически есть дырка.

[Flash-04]

Развели панику. Чтобы использовать трюк, надо как минимум украсть ключ вашего получателя и отправить "злобное" письмо от его имени. Если вы купитесь и отквотите, то ваш email клиент (а не PGP) начнёт отсылать то что включено в тег. Но опять же это предполагает что ваш получатель полностью скомпрометирован, и непонятно зачем тогда эти телодвижения в принципе делать.

[StrangerR]

Вот вот. Я даже не понял, а есть ли оному трюку хоть малейшая польза для хакеров, по мне так нету...

[Dmitry67]

Из инструкции Штирлица профессору Плейшнеру. Как видим, выкручивались и без end2end шифрования. Так и будем писать, если РКН победит.

- Повторите текст телеграммы, если переговоры между Гиммлером и Даллесом начались.

"Тетя Эльза гостила у нас Берне Лозанне. Чувствует себя хорошо, только очень скучает. Каждую неделю пишет письма домой. Густав".

- А если никаких переговоров нет?

Тогда я напишу: "Не верьте тому, кто пугает вас плохой погодой в Швейцарии. Здесь очень солнечно и тепло". 

#DigitalResistance

[StrangerR]

Из инструкции Штирлица профессору Плейшнеру. Как видим, выкручивались и без end2end шифрования. Так и будем писать, если РКН победит.

- Повторите текст телеграммы, если переговоры между Гиммлером и Даллесом начались.

"Тетя Эльза гостила у нас Берне Лозанне. Чувствует себя хорошо, только очень скучает. Каждую неделю пишет письма домой. Густав".

- А если никаких переговоров нет?

Тогда я напишу: "Не верьте тому, кто пугает вас плохой погодой в Швейцарии. Здесь очень солнечно и тепло". 

#DigitalResistance

Ну так... давно известно. В общем, если я опубликую в Фейсбуке фотку с кошкой, значит ко мне пришло ЦРУ. Если фотку с собакой то из ФБР. А если фотку с белкой то все чисто... явка как назначенно... А если публикую что-то еще то это я на другую страну работаю..._

[stenking]

https://meduza.io/news/2018/05/18/osnov ... narkotikov

2 человека которых я в России реально уважал. Дуров и Овчинников. Люди которые с нуля сделали отличные тех компании а не жульничество единоросов. И обоих кошмарит гебня. Вполне себе чёткий сигнал - или ты вор и один из нас или тебе тут не место.

[Айсберг]

https://meduza.io/news/2018/05/18/osnov ... narkotikov

2 человека которых я в России реально уважал. Дуров и Овчинников.

Ваше демонстративное уважение к этим персонам - лишь доказывает то, что власти всё делают правильно... и ,возможно, даже слишком мягки в своих действиях.

[stenking]

Ваше демонстративное уважение к этим персонам - лишь доказывает то, что власти всё делают правильно... и ,возможно, даже слишком мягки в своих действиях.

Правильно или нет - зависит от конечной цели. Если цель это возвращение обратно в феодальный строй с царём, боярами и тупым религиозным населением то да -всё верно. Нужно гнобить ай-тишных предпринимателей которые сами создают компании и награждать лояльных слуг землями и заводами.

[city_girl]

я так понимаю, что стенкинговское определение "айтишный предприниматель" - это ангел с крылышками и нимбом, светоч разума, мудрости и технического прогресса, несущий доброе-вечно в тупые и темные массы.

[stenking]

Просто показательно как гнобят 2 человек которые имеют потенциал создания реально больших глобальных компаний. Не околокремлёвское мурло, не всякая жуликоватая хрень, не заводы/нефть доставшиеся нахаляву а новые компании которые могут потенциально стоить десятки миллиардов.

А больше ничего такого интересного с России и не вышло. Но может бы мне раскажите?

Pizza company base on a cloud-based information system Dodo IS. There are 150+ stores in 9 countries including the US and China

[Вячеслав Викторович]

Просто показательно как гнобят 2 человек которые имеют потенциал создания реально больших глобальных компаний. Не околокремлёвское мурло, не всякая жуликоватая хрень, не заводы/нефть доставшиеся нахаляву а новые компании которые могут потенциально стоить десятки миллиардов.

А больше ничего такого интересного с России и не вышло. Но может бы мне раскажите?

Pizza company base on a cloud-based information system Dodo IS. There are 150+ stores in 9 countries including the US and China

Пица и макароны - это надо оставить итальянцам, круассаны и лягушек - французам, ну и коку и гамбургеры американцам.
Англичане будут попутно рекламой засирать мозги всем.
А России надо держаться за Газпром, ВПК, Росатом, Роскосмос, Совкомфлот, верфи в Питере и т.д.
В будущем однозначно окупится такой подход.

[Айсберг]

Ваше демонстративное уважение к этим персонам - лишь доказывает то, что власти всё делают правильно... и ,возможно, даже слишком мягки в своих действиях.

Правильно или нет - зависит от конечной цели. Если цель это возвращение обратно в феодальный строй с царём, боярами и тупым религиозным населением то да -всё верно. Нужно гнобить ай-тишных предпринимателей которые сами создают компании и награждать лояльных слуг землями и заводами.

Мы по-разному воспринимаем конечную цель.
Ваше восприятие - кажется мне смешным и никчемным... С нулевой вероятностью хоть какой-то правдивости или даже намёка на правду.
Разумеется, конечная цель - совершенно другая... та самая, достижение Россией которой - Вы и Вам подобные боитесь неимоверно. А страх - порождает те самые глупости, которые Вы пишите, обозначая "цели Путина".
Это нормально... от врагов иного ожидать и не стоит.
Поэтому я и говорю - что бы ни делала власть - Ваши отрицательные оценки её действий лишь доказывают правильность этих действий. Факт!

[stenking]

Ваше демонстративное уважение к этим персонам - лишь доказывает то, что власти всё делают правильно... и ,возможно, даже слишком мягки в своих действиях.

Правильно или нет - зависит от конечной цели. Если цель это возвращение обратно в феодальный строй с царём, боярами и тупым религиозным населением то да -всё верно. Нужно гнобить ай-тишных предпринимателей которые сами создают компании и награждать лояльных слуг землями и заводами.

Мы по-разному воспринимаем конечную цель.
Ваше восприятие - кажется мне смешным и никчемным... С нулевой вероятностью хоть какой-то правдивости или даже намёка на правду.
Разумеется, конечная цель - совершенно другая... та самая, достижение Россией которой - Вы и Вам подобные боитесь неимоверно. А страх - порождает те самые глупости, которые Вы пишите, обозначая "цели Путина".
Это нормально... от врагов иного ожидать и не стоит.
Поэтому я и говорю - что бы ни делала власть - Ваши отрицательные оценки её действий лишь доказывают правильность этих действий. Факт!

А я вполне себе уверен что враг это вы. Религиозный фанатик застрявший в прошлом который насилием насаждает своё безумие. Вполне себе допускаю что вы честно верите в духовность и чистоту России, избранность и прочую муть. Так как найти даже общий язык а не компромис мы не сможем никогда - изоляция вас от нас и есть самое правильное и неагресивное решение. К сожалению "нас" оставить в покое вы не хотите и постоянно должны гадить. Это и есть "цели Путина" - это вся мерзость направленная не на развитие своих путей улучшение мира а на ограничение "наших".

[StrangerR]

Ну. верить можно во что угодно. Но сравнивать VK и OK - мелкие развлекательные системы - и например Крымский мост, ВВЭР, SSJ, MC-21,ПАЭС, даже не смешно. При всех достоинствах частного бизнеса, он на сегодня крупные проекты почти не тянет.

При том что Дуров по своему прав - против дураков надо воевать - и РКН он похоже добил таки. НО в целом - требования к нему были более чем здравые.

[stenking]

Но сравнивать VK и OK - мелкие развлекательные системы - и например Крымский мост, ВВЭР, SSJ, MC-21,ПАЭС, даже не смешно. При всех достоинствах частного бизнеса, он на сегодня крупные проекты почти не тянет.
\

Сегодня он УЖЕ потянул в США. И так же потянет в России лет через 10-20 когда там закончится переход с индустриальной эпохи в пост-индустриальную. ( Впрочем Айсберг и ко вполне себе могут утянуть обратно в medieval age). По сравнению с капитализация топовых ай-ти компаний Крымский мост это игрушка лего ( ( Кстати капитализация лего миллиардов 20 )

Просто вам кажется что если хрень большая и гудит то это УХХХХ а ай-ти это что-то виртуальное и в любой момент может исчезнуть. Но перефразируя вас "верить можно во что угодно." а факты это факты.

Почитайте про Овчинникова немного. Доставка пиццы дронами, анализ биг дейты для приготовления пиццы, конкуренция с домино и пицца хат в США. И это всё с нуля без украденых денег. Вы много знаете Российских компаний которые имеют прибыльные отделения в США? Т.е. хотя обьёмы ещё конечно не очень большие - потенциал отличный.

[adda_]

я так понимаю, что стенкинговское определение "айтишный предприниматель" - это ангел с крылышками и нимбом, светоч разума, мудрости и технического прогресса, несущий доброе-вечно в тупые и темные массы.

Ну скажем так, люди создавшие бизнес с нуля, не зависимо от того, в какой стране они живут, достойны уважения. Не важно чем они занимались (я имею ввиду легальный бизнес). Поэтому скажем Форд или Бил Гейтс и даже Брин с Цукербергом - люди достойные уважения. При этом они естественно не ангелы с крылышками, а вполне реальные люди очень жесткие и может быть даже жестокие когда дело касается бизнеса. Но их главное отличие от большинства российских бизнесменов (Абрамовичей, Дерипасок, Михельсонов, Мордашовых и так далее), которые приватизировали "заводы, дворцы, параходы" во время катастройки - они ни у кого ничего не украли и не отжали.

[adda_]

Просто вам кажется что если хрень большая и гудит то это УХХХХ а ай-ти это что-то виртуальное и в любой момент может исчезнуть. Но перефразируя вас "верить можно во что угодно." а факты это факты.

Почитайте про Овчинникова немного. Доставка пиццы дронами, анализ биг дейты для приготовления пиццы, конкуренция с домино и пицца хат в США. И это всё с нуля без украденых денег. Вы много знаете Российских компаний которые имеют прибыльные отделения в США? Т.е. хотя обьёмы ещё конечно не очень большие - потенциал отличный.

Я очень скептически отношусь к виртуальному бизнесу, при том что он пухнет как на дрожжах. Просто потому что в отличии от бизнеса, который обеспечивает базовые потребности человека (еду, жилье, медицину, электроэнергию и тому подобные вещи), он вторичен. Грубо говоря, если исчезнет весь айти бизнес с виртулаьной реальностью, соц сетями и прочими вещами) человек через неделю - другую привыкнет к этому. А вот если исчезнет еда, вода, лекарства, тепло в доме и так далее, то привыкнуть к этому современному человеку не удастся.

[Вячеслав Викторович]

Просто вам кажется что если хрень большая и гудит то это УХХХХ а ай-ти это что-то виртуальное и в любой момент может исчезнуть. Но перефразируя вас "верить можно во что угодно." а факты это факты.

Почитайте про Овчинникова немного. Доставка пиццы дронами, анализ биг дейты для приготовления пиццы, конкуренция с домино и пицца хат в США. И это всё с нуля без украденых денег. Вы много знаете Российских компаний которые имеют прибыльные отделения в США? Т.е. хотя обьёмы ещё конечно не очень большие - потенциал отличный.

Я очень скептически отношусь к виртуальному бизнесу, при том что он пухнет как на дрожжах. Просто потому что в отличии от бизнеса, который обеспечивает базовые потребности человека (еду, жилье, медицину, электроэнергию и тому подобные вещи), он вторичен. Грубо говоря, если исчезнет весь айти бизнес с виртулаьной реальностью, соц сетями и прочими вещами) человек через неделю - другую привыкнет к этому. А вот если исчезнет еда, вода, лекарства, тепло в доме и так далее, то привыкнуть к этому современному человеку не удастся.

+100500
Прекрасно сформулированно.

[city_girl]

Просто показательно как гнобят 2 человек которые имеют потенциал создания реально больших глобальных компаний. Не околокремлёвское мурло, не всякая жуликоватая хрень, не заводы/нефть доставшиеся нахаляву а новые компании которые могут потенциально стоить десятки миллиардов.

А больше ничего такого интересного с России и не вышло. Но может бы мне раскажите?

Pizza company base on a cloud-based information system Dodo IS. There are 150+ stores in 9 countries including the US and China

вы что серьезно считаете что вк и одноклассники есть "технологический прорыв"? они никогда не будут глобальными и никогда не будут приносить никакой пользы кроме распространения очередной рекламы.

про остальное вы не знаете и рассказывать вам бессмысленно потому что вы не понимаете ничего кроме компьютерных игрушек.

деньги на виртуальных механизмах делать безусловно можно, но миру и людям нужны не сами деньги, а то что на них можно купить.

[city_girl]

я так понимаю, что стенкинговское определение "айтишный предприниматель" - это ангел с крылышками и нимбом, светоч разума, мудрости и технического прогресса, несущий доброе-вечно в тупые и темные массы.

Ну скажем так, люди создавшие бизнес с нуля, не зависимо от того, в какой стране они живут, достойны уважения. Не важно чем они занимались (я имею ввиду легальный бизнес). Поэтому скажем Форд или Бил Гейтс и даже Брин с Цукербергом - люди достойные уважения. При этом они естественно не ангелы с крылышками, а вполне реальные люди очень жесткие и может быть даже жестокие когда дело касается бизнеса. Но их главное отличие от большинства российских бизнесменов (Абрамовичей, Дерипасок, Михельсонов, Мордашовых и так далее), которые приватизировали "заводы, дворцы, параходы" во время катастройки - они ни у кого ничего не украли и не отжали.

Ну что значит ни у кого "не украли и не отжали". Сама идея ВК украдена. ВК поднялся очень хорошо на том, что это была платформа для обмена ворованным и пиратским контентом. Дуров никогда не получил бы финансирование от Мильнера если бы проект не был похож на уже успешный и раскрученный другой проект. И потом я не очень понимаю "построил бизнес с нуля"? Ему принадлежало только 12% компании. Это стартап, где один из основателей поимел хороший пакет в 12%, своих денег у него поднять не было, жил и работал на деньги инвесторов. Наверняка было так в какой-то момент инвесторы захотели начать монетизировать вложенное и тут его пребывание в стартапе закончилось. А преподносится так как будто он все сделал сам, сам все решал и сам решал как и когда продавать свою почти собственную компанию. Даже не сомневаюсь, что те кто покупал доли у мажоритариев, ставили условием выкупить полный пакет.

Так что если начать выбирать кого все-таки уважать, то не так просто разобраться за что именно.