«Свобода» и сеть интернет

[DmitryK]

Хочу напомнить, что верёвку можно отрезать как с нашей стороны, так и с той. В эти игры можно играть вдвоём

[Вело-рок]

Я знаю английские и американские языки, я помню как что называется.

Что то сразу вспомнилось как ты тут на русском кривлялся, изголлялся.
Куда чего делось

[light_gray]

Что то сразу вспомнилось как ты тут на русском кривлялся, изголлялся.
Куда чего делось

У него в его голове сегодня по расписанию другой человек

[Вело-рок]

Что то сразу вспомнилось как ты тут на русском кривлялся, изголлялся.
Куда чего делось

У него в его голове сегодня по расписанию другой человек

Помощница из белого списка. ВПН не нужно и РКН не блокирует.

[Аорон Флегон]

И как можно заблокировать обновления linux, если…Зеркал по миру раскидано. Тот, кто кидает новость про РКН и блокировку обновлений Linux — кретин.

[РАК]

А чё за нах может быть : вот пишу, все открывается, (кроме приложения М видео), но наверху сейчас спойлер "нет подключения к интернету"

[lucky]

"Когда приватность в ТГ стоит 500 рублей.

На фоне суеты с замедлением ТГ и слухов про блокировку, в сторах и рекламе начал активно форситься клиент с незамысловатым названием «Telega». Разработчики обещают, что он будет работать в РФ без VPN даже при тотальном шатдауне. Звучит заманчиво и хочется срочно поставить? А теперь давайте посмотрим, что у него под капотом (спасибо bruhcollective за декомпиляцию)

Внутри полный набор товарища майора:
Клиент подменяет адреса дата-центров Telegram (DC1-5) на свои собственные прокси. Весь ваш трафик, включая медиа и файлы, идет через промежуточные сервера разрабов.
При авторизации на сторону разработчика улетает не только номер телефона (который в обычном клиенте скрыт), но и auth_key_id. Это технически позволяет отслеживать активность конкретной сессии и, возможно, банить юзера точечно.
В коде найдена функциональность для блокировки каналов и чатов независимо от ТГ. То есть, если РКН скажет заблокировать канал, в официальном приложении он может работать, а в приложении выдаст заглушку что материалы недоступны.
При включенном фильтре клиент отправляет на сервер ID всех открываемых вами чатов. Идеально для построения социального графа... кто с кем общается и что читает

Но самое занятное вскрылось в последних находках. В библиотеках клиента обнаружили функцию проверки флага isPfsEnabled, которой нет в оригинальном коде Дурова. Perfect Forward Secrecy (PFS) - это механизм, гарантирующий, что даже если злоумышленник украдет долговременные ключи шифрования, он не сможет расшифровать переписку, записанную в прошлом. В официальном клиенте Telegram этот параметр - константа, всегда равная true. Его нельзя выключить, это база безопасности MTProto. А вот в «Telega» это переменная, значение которой прилетает с сервера конфигурации разработчиков

Получается, что разрабы «Telega» могут удаленно, без обновления приложения, отключить PFS для конкретного пользователя или для всех сразу. Это превращает шифрование в ничто, т.к. если трафик перехватывается (а он может перехватываться через их прокси), то при наличии ключей его можно будет расшифровать постфактум.

Еще из интересного... приложение имеет галочку верификации и рекламируется через официальную платформу Telegram Ads. Это наводит на очень нехорошие мысли о том, что Кто-то мог пойти на сделку, типа... Окей, мы не дадим вам ключи шифрования, но разрешим работу специального клиента, который будет всё соблюдать.

Ну и на десерт про лицензионное соглашение. Пользователи, которые не поленились прочитать юридическую часть, нашли там прекрасное:
Разработчики прямо пишут, что могут передавать персональные данные госорганам.
Ответственность за разглашение данных третьим лицам? Отсутствует.
Максимальная компенсация за любой ущерб - 500 рублей

Вот и получается, что «Телега» - не простой форк, а с доступом к ТГ ценой приватности."

[Lirix]

это вообще капец дырявая штука. нет ни какой защиты от MITM атаки

[light_gray]

Еще из интересного... приложение имеет галочку верификации и рекламируется через официальную платформу Telegram Ads. Это наводит на очень нехорошие мысли о том, что Кто-то мог пойти на сделку, типа... Окей, мы не дадим вам ключи шифрования, но разрешим работу специального клиента, который будет всё соблюдать.

Ну, вот тут разрешения не требуется в общем-то. Серверный код Телеграма никому не известен, это как бы святая святых бизнеса, а вот КЛИЕНТ Телеграма - опенсорсный и никто не запрещает скомпилить свой клиент и юзать на здоровье. А то, что в этом клиенте могут быть приятные для неких интересантов фенечки - ну так а кому легко?

это вообще капец дырявая штука. нет ни какой защиты от MITM атаки

Ну так об этом и речь. Левый клиент, левые прокси - что может пойти не так?

Даже с включением прокси в оригинальном клиенте уже есть нарушения приватности, начиная от определения твоего ипишника владельцами прокси и кончая хрен там пойми еще, когда вроде поток шифрованный, но из него можно найти кучу данных.

Это было с Вацапом, когда исследовали поток данных и выяснили, что при определенных условиях полностью деанон пользователя можно получить, ибо масса технических данных передается открыто. Переписку - нет, тут с этим откровенно сказали, что без ключей шифрования нихрена не получить, но вот определить адресатов - как два пальца.

[Lirix]

light_gray, там еще корневой сертификат минцифры зашит