Posts of Может, вам повезет?

Игры разума Слухи о том, что Telegram в том или ином качестве является продуктом государства, ходят уже минимум десять лет. Старая русская поговорка, «не бывает дыма без огня», заставляет рассматривать эту возможность всерьёз. По обоснованному предположению, которое имеет существенный «фундамент» из полученных автором сведений, мессенджер Telegram разрешен к использованию на как минимум некоторых крайне чувствительных режимных объектах. Важно тут то, что лица с доступом к государственной тайне также, как можно судить, могут им свободно пользоваться на рабочем месте. Для некоторых это даже предпочтительный метод коммуникации. Исходя из публичных сведений о курирующем деятельность таких организаций государственном органе (который всегда присутствует на объекте в той или иной форме), он никогда бы не разрешил использование «оппозиционного» мессенджера (коим Telegram себя представляет), особенно так «вольно». Теория о том, что конечным бенефициаром Telegram выступает государство, частично подтверждается «контуженной» моделью безопасности оного, которая позволяет мгновенно и без дополнительных запросов получать доступ к сообщениям из всех чатов, кроме секретных. Так как обмен ключей MTProto, который используется в секретных чатах, проходит только через сервера Telegram, нет никаких сомнений, что и их можно перехватить. Сам Дуров «не брезгует» визитами в Россию, даже несмотря на свою «оппозиционность». Достоверно известно, что он посещал свою родину около 50-ти раз с момента блокировки Telegram в 17-м году. Кроме этого, в момент разблокировки мессенджера, он находился в Санкт-Петербурге. Источник: утечка базы данных «пограничников». Автору известно о дополнительном числе визитов в 25-м году, часть которых была задокументирована ещё в публикации «Дополнение к хронологии подготовки к блокировке мессенджера Telegram». С большой долей уверенности можно сказать, что сейчас происходит повторение 17-го года, когда Telegram «рекламировался» как безопасный (ха-ха) и оппозиционный. С тех пор, толком ничего и не поменялось — он заблокирован, все сидят через VPN, Дуров периодически позволяет себе незначительные «выпады» в сторону государства. Начитанный читатель возразит: «Так государство двигает мессенджер «Макс»! Автор, где логика!?». Мессенджер «Макс» — долгосрочная замена Telegram, ибо Дуров, как можно судить, израсходовал свой ресурс. Точно так же было с печально известным Алексеем Анатольевичем Навальным (террорист, экстремист), которого использовали для раскола российской оппозиции, затем выбросили. Аналогия со всем известным средством контрацепции будет уместна. Контроль над одним не означает «девственную» чистоту другого. К тому же, их дизайн одинаков до мелочей. Как видится, все описанные факты идеально подпадают под определение понятия «медовая ловушка» (honeypot) — продукт, который создаётся государством для слежки за определённой группой лиц, но имеющий «независимый» и «безопасный» бренд. Отдельного вывода здесь не требуется, ведь он, как и множество других деталей, уже присутствует в структуре текста, с которой автор и приглашает вас внимательно ознакомиться. Вам повезёт. || Интернет-сайт

Вышла новая стабильная версия Opengram, 13.1.1b. Из нового — Opengram Reload, система безопасного резервного копирования сессий. «Безопасность» обеспечивается путём шифрования файла с информацией, необходимой для восстановления сессии в другом клиенте Opengram. Сделать такую «копию» можно в разделе «Конфидециальность» через соответствующее меню. Для доступа к файлу генерируется фраза восстановления BIP39 (12 слов). Она предоставляет более чем 128 бит энтропии, что делает любые методы перебора паролей бессмысленными. Готовый файл экспорта можно хранить даже в «облаке», при условии того, что вы не храните там же фразу восстановления от него. Его можно сделать недействительным в любой момент через завершение соответствующей сессии. Сам Telegram никакой смены устройства/клиента не видит. Разве что запрос новых временных ключей, ибо копируется только постоянный. В предыдущем техническом релизе, 13.1.1a, были исправлены множество ошибок в других функциях. Если у вас ранее были проблемы с фильтром сообщений или режимом «призрака», теперь их быть не должно. Продвинутым пользователям стоит ознакомиться с тегом 7237b, остальным — скачать готовый файл со страницы GitHub Releases. Вам повезёт. || Интернет-сайт

Дайджест «О том, что было, будет или есть» за октябрь 2026 Как и ожидалось, месяц выдался весьма спокойный. Единственное, что, по мнению автора, достойно обсуждения — подготовка «почвы» для все новых ограничений цифровых свобод во имя мифической «безопасности». О том, что было: Дорогое Минцифры вновь пытается воскресить «лихорадочный сон» своих фактических управленцев. Речь идёт про тарификацию исходящего иностранного интернет-трафика. К сожалению, объяснить несостоятельность данной «затеи» своему начальству у местных «мальчиков на побегушках» никак не получается, что периодически приводит к её возвращению в медиа-пространство. Можно точно сказать, что эта, как и все последующие попытки, не приведут к хоть какому-то результату. Даже провальные попытки заблокировать большинство VPN имеют больший практический вес. Гораздо важнее то, что фокус государства переключился с общей инфраструктуры на конкретные устройства граждан. Об этом сигнализирует попытка «протолкнуть» предустановку российских корневых сертификатов на устройства с Android. Для простоты повествования перечислять всю «мелочь», которая сейчас находится в «зачатке», мы не будем. Важно понимать то, что речь идёт о тренде, который имеет весьма натуральные причины. Инфраструктура массового надзора, вроде СОРМ и ТСПУ, имеет свои лимиты, а также легко нейтрализуется обычными практиками информационной безопасности. Полностью заблокировать VPN нельзя, как и, во многих случаях, перехватить, но можно попытаться скомпрометировать само устройство, на котором он будет установлен — путём «вшивания» российского ПО «двойного назначения» (как пример, мессенджер «Макс»), а скоро — и полностью контролируемых государством сертификатов. О том, что есть: Автор «Может, вам повезёт?» крайне рекомендует всем читателям ознакомиться с материалами про «отношения» мессенджера Telegram с российским государством, вышедшими в прошлом году. В первую очередь, это «Дополнение к хронологии подготовки к блокировке Telegram», где рассказывается непубличная история о том, как Павел Дуров «обивал пороги» российского правительства. Далее, «Птицы-небылицы» и «Суперпозиция Новака» дают детальное представление о том, как связанные с Дуровым функционеры украли около 500 миллионов рублей через криптовалюту The Open Network (TON). «Прогресс» не стоит на месте, и в этом году автор наконец смог подтвердить несколько своих гипотез о том, кто на самом деле является создателем и бенефициаром проекта Telegram. Соответствующий материал выйдет в начале ноября. О том, что будет: Повторяя прогноз на предыдущий месяц, особых «потрясений» в ноябре ждать не стоит. Нельзя сказать, что это ничего не значит, ведь, как гласит старая русская поговорка — «в тихом омуте черти водятся». Вам повезёт. || Интернет-сайт

Про взлом Binance не написал только ленивый. Причём, большинство «спикеров» привычно переняли роль «попугаев», повторяя слова, смысл которых они не понимают. Если убрать название компании и сумму ущерба, останется только «фактура» дела, которую стоит уже высечь в граните: не существует полностью безопасной централизованной платформы. Этот принцип, к слову, распространяется на любую информационную систему в принципе. При этом, методы взлома, как и методы защиты от них, хорошо изучены и известны. Хакеры, взломавшие Binance, не использовали «темную магию». Скорее всего, речь шла о хорошо изученных классах ошибок, защищаться от которых пытаются всю историю современного интернета. По мнению автора, важно тут то, что этот «инцидент» подтверждает исключительную опасность хранения криптовалюты на централизованных биржах. Любимый многими ЦБ, кстати, разрешил только такой тип кошельков в РФ. Хранили бы пользователи Binance свои средства на отдельном крипто-кошельке или даже простеньком iPhone, ущерб был в более чем сто раз меньше. К сожалению, история не «терпит» сослагательного наклонения. Что история «терпит» и даже поощряет, так это обучение на чужих ошибках. Вам повезёт. || Интернет-сайт

Искажения времени Говоря про безопасность информационных систем, нельзя не затронуть тему системного времени, ведь большинство устройств не защищены от простейших атак по его искажению. Время достаточно чувствительно для информационной безопасности. Например, ключ автора «Может, вам повезёт?», которым тот подписывает теги в репозитории Opengram, действителен только один год. Это не значит, что Opengram будет существовать только в течение действия этого ключа. После истечения он, разумеется, будет заменен, и устройства должны маркировать его соответственно. Допустим, что сотовая сеть, или любой другой тип подключения к интернету содержит в себе атакующего. В нашем случае, нужно понимать, что в такой роли может выступать государственное ТСПУ. Из базовой теории информационной безопасности следует, что любую такую систему стоит воспринимать как враждебную, пока не доказано обратное. Так как спецификации ТСПУ засекречены, доказать её безопасность невозможно. ТСПУ может в любой момент перехватить запрос через незашифрованный (!) NTP и подменить ответ на собственный, тем самым отодвинув время на произвольную величину. Таким образом, ключ, который должен быть истекшим, можно сделать действительным. То же самое относится к сертификатам безопасности у веб-сервисов, ведь те тоже имеют ограниченный срок действия. В случае с kremlinkernel.com, это шесть дней. Опять же, путём перехвата запроса к серверам NTP можно сделать уже истекший сертификат действительным. Есть серьёзные основания полагать, что подобные атаки уже применяются на ограниченной основе, дабы не привлекать внимание. Как защититься? Существует такая вещь, как Network Time Security (NTS). В GrapheneOS и некоторых дистрибутивах Linux оно включено по умолчанию. Из-за того, что NTS получает обновления времени по зашифрованному и аутентифицированному каналу, исказить системное время становится экспоненциально сложнее. «Может, вам повезёт?» вскоре выпустит руководство по настройке NTS в системах Linux. Оно будет исключительно простое, на уровне «скопировать, затем вставить». В случае с абсолютным большинством сборок Android, macOS/iOS/iPadOS и Windows, самостоятельно настроить NTS там нельзя. Вам повезёт. || Интернет-сайт

Про инцидент с приложением для отслеживания крипто-кошельков FomoPeek. По сообщениям СМИ, оно использовало цепочку из 8-ми уязвимостей в iOS 12.0 — 26.1 и осуществляло кражу приватных ключей и прочей информации с устройства. Ничего «экстраординарного» в этом «кейсе» нет. Приложение успешно воспользовалось тем, что пользователи не обновлялись длительное время. Для справки, у многих уязвимостей после выхода обновлений безопасности появляются публичные примеры на GitHub и прочих ресурсах. По большей части, это применимо к Android, но и iOS исключением не является. Из-за этого даже отставание от обновлений безопасности на месяц напрочь разрушает модель безопасности устройства. Автор может даже вам привести конкретный пример, CVE-2026-49881, критический уровень опасности. У неё есть публичный пример на GitHub. Использовав код из репозитория Supersonic/TLPE, автор может запросто написать полноценное шпионское ПО за несколько дней. При этом, оно будет работать на всех устройствах Android 17, которые не имеют обновлений безопасности за октябрь этого года. Совет тут только один. Обновляйтесь вовремя, друзья. Вам повезёт. || Интернет-сайт

Вышла новая стабильная версия клиента Opengram, 13.1.1. Ничего примечательного, кроме ряда исправлений и обновления компонентов Telegram до последней версии, в этом релизе нет. Продвинутым пользователям стоит ознакомиться с тегом 7237, остальным — скачать готовый пакет со страницы GitHub Releases или этого веб-сервера. Вам повезёт. || Интернет-сайт

Банки «попросили» Минцифры обязать производителей предустанавливать российские государственные сертификаты на устройства с Android. Краткая справка. «Может, вам повезёт?» считает, что сертификаты НУЦ Минцифры представляют серьёзную угрозу для конфиденциальности интернет-соединений. Аргументация тут крайне простая. НУЦ контролируется Минцифры (которое, в свою очередь, контролируется одной «службой безопасности») и полностью непрозрачен. Вкупе с враждебной сетевой инфраструктурой (исходя из базовой теории информационной безопасности), ТСПУ, это создаёт крайне удобную среду для перехвата сетевых соединений. «Банкам» этот сертификат не нужен. В приложениях «Сбера», а также многих других, уже «вшит» сертификат Минцифры. Устанавливать его в систему ради указанной цели совершенно бесполезно. Забавно, что ровно этим же образом сотовые операторы просили заблокировать все неподконтрольные сервисы интернет-телефонии, в числе которых был и Telegram. Выводы на усмотрение читателя. Вам повезёт. || Интернет-сайт

Перерасчет алчности По ряду каналов прошлась новость, что в клиенты Telegram скоро будет добавлена лента рекомендаций в отдельной вкладке. Кроме этого, речь также идет про возможность подключить ИИ-агента от популярных провайдеров через API-ключи прямо в приложении. Разумеется, это далеко не всё, но обсуждение десятка-другого мелких правок мы сейчас опустим. Автору интернет-ресурса есть что сказать по этому поводу. В т. ч. и потому, что поддержка клиента Opengram, например, предполагает постоянное взаимодействие с «потугами» команды Дурова. Первое. Лента как таковая не нужна, ибо уже существует. «Листать» непрочитанные сообщения в каналах можно уже как пару лет. Зачем делать из этого отдельную вкладку — загадка. Кроме этого, новый раздел «новости» предполагает также и секцию с отобранными алгоритмом постами со всего Telegram. В своё время Дуров, кстати, сильно «кичился», что у него такой ленты нет — мол, что хочешь, то и читай. Можно уверенно сказать, что изобретение велосипеда происходит ради рекламы в этой самой ленте. Учитывая, насколько Telegram Ads стали назойливыми, её там будет много. Автор (или уже разработчик?) сейчас размышляет, что же с этим «счастьем» делать. Наиболее вероятно, что вкладка с новостями в Opengram будет отключена по умолчанию. Те, кому она нужна, смогут включить её самостоятельно. Второй вариант — «вырезать» весь код, связанный с «Новостями», по аналогии с Telegram Wallet. На данный момент «железных» оснований, как в случае с последним, для этого нет. Telegram Wallet был опасен тем, что работал в одной и той же песочнице и памяти с обычным Telegram, через которые проходит чудовищное количество потенциально вредоносных данных. Соответственно, существовал неиллюзорный риск взлома этого «кошелька» через уязвимость в медиа-библиотеке, например. Второе. В случае с ИИ-агентами прямо в приложении, всё достаточно просто. Даже без учёта того, что мало кто будет выпускать API-ключи и оплачивать токены, это совершенно бесполезно. Гораздо проще пользоваться «соседним» приложением провайдера (тем же ChatGPT или Claude), чем пытаться «вкорячить» их же прямо в Telegram. Из-за того, что у этой «фичи» нет даже намека на адекватную модель использования, в Opengram её не будет. Вместо добавления «свистелок», команде мессенджера стоило бы задуматься о его безопасности, которая сейчас находится на достаточно низком уровне. Но это же для «лохов», ведь так? Вам повезёт. || Интернет-сайт

Сегодня интернет-сайту «Может, вам повезёт?», kremlinkernel.com, исполняется год. Изначально, сделан был он по двум причинам: во-первых, автору было хорошо известно о грядущей блокировке Telegram ещё в сентябре прошлого года. Соответственно, была необходимость в создании отдельного «зеркала». Во-вторых, сам Telegram неоднократно удалял канал «Может, вам повезёт?». Несколько позже было установлено, что наиболее вероятный заказчик — «Лига Безопасного Интернета». Об этом свидетельствовала как и публичная «эвристика», так и ряд непубличных сведений, которые получил автор. До недавнего времени kremlinkernel.com работал на системе CMS WordPress, у которого все же больше минусов, чем плюсов. Один из таких — высокая поверхность атаки из-за «раздутости» оного. В конце сентября профессиональная «чуйка» автора все больше говорила о том, что использование подобного рода решений становится опаснее с каждым днём. Из-за этого было принято решение полностью переписать сайт. Так как «Может, вам повезёт?» тяжело назвать веб-приложением, разумнее всего было сделать его статичным. В современном мире уже давно слово «статичный» не означает «деревянный». Обычный CSS сейчас покрывает чрезвычайно большой ряд задач. Весьма забавно, что ровно через месяц с начала разработки в PHP появилась критическая уязвимость, которая позволила бы запросто взломать прошлый сайт на WordPress. Кроме всего перечисленного, теперь «Может, вам повезёт?» также использует собственный форк анти-бот системы Anubis. Автору уж никак не нравилось её стандартное оформление. Также, после первого посещения читать публикации можно даже без интернета. Итоговый результат доступен на kremlinkernel.com. Общий дизайн теперь должен отражать эмоциональную палитру обсуждаемых тем, насколько это возможно. Вам повезёт. || Интернет-сайт

No text

No text

No text

Для Android: Вам нужно зайти в раздел «Защита и конфидециальность» в настройках, далее перейти в «Дополнительные настройки защиты и конфидециальности», затем «Шифрование и учётные данные» и наконец «надёжные сертификаты». Далее нужно отключить все сертификаты eMudhra (см. последний скриншот). Это полностью безопасно и не привидет к спонтанной поломке абсолютного большинства сервисов. Вам повезёт. || Интернет-сайт

Новость про тривиально взломанные промежуточные центры индийского УЦ eMudhra пересказывать нет смысла. Проблема в том, что «вопрос» с ними только открывается. Если «в двух словах», то любой может выпустить с их помощью сертификат и использовать его для перехвата соединений, например. По-хорошему, этому должны мешать списки Certificate Transparency, т. е. блокчейн, в котором хранятся все запросы на выпуск сертификатов. Вот только используют его в основном браузеры, и то не все. В программах, особенно для компьютеров, применение CT стремится к нулю. Android начал требовать применять CT только в приложениях для 17-й версии. Взломанным «промежуточным» центрам будут доверять сотни миллионов устройств ещё как минимум несколько кварталов. Это просто «праздник десятилетия» для всех видов спецслужб (в т. ч. отечественных), хакеров и сервисов корпоративного шпионажа. Когда у пользователя на узле связи стоит де-факто автоматизированный «хакер» (в нашем случае, ТСПУ), ничего не мешает ему осуществить перехват соединения с помощью подделанных сертификатов. Пользователь не получит предупреждение о том, что его соединение идёт через сертификат, выпущенный «Петром» через утекщий, но доверенный приватный ключ. Единственный способ — отключить их. Автор выложит инструкцию для Android (большинство устройств которого не получат обновлённое хранилище сертификатов вовсе) следующим постом в Telegram-канале ресурса. Для всех остальных — спросите у любого ИИ-ассистента, как отключить тот или иной корневой сертификат на вашей ОС. Важно заметить, что на iOS/macOS это сделать нельзя. Далее нужно будет отключить четыре «корня» eMudhra. Этой «халявой» также будут пользоваться операторы перехватчиков сотовой связи, которые достаточно популярны в Москве, например. При этом, даже в пределах МКАДа многие базовые станции вообще не шифруют трафик. Об этом услужливо сообщает GrapheneOS/Pixel OS, например. Единственный способ получить приемлемое шифрование данных в этом случае — использовать VPN. В связи с серьёзностью ситуации, поделитесь этой публикацией с друзьями/знакомыми. Чем больше людей будут «в курсе», тем меньше вреда будет нанесено. Вам повезёт. || Интернет-сайт

Проблема атрибуции, часть первая Описав технологический «базис» функций аппаратной защиты данных, таких как Duress PIN, стоит поговорить об их практическом применении. В российском контексте, их полезность в большей мере состоит в «выбивании стула» из под юридических доказательств причастности того или иного человека к сетевому аккаунту. Широко известно, что во многих уголовных делах о «дискредитации ВС РФ» тем или иным образом фигурирует полицейское насилие. Мол, затолкали в машину, дали несколько раз в «морду», затем попросили дать пароль от телефона. Дорогие «оборотни в погонах» делают это не ради собственного удовлетворения, а для создания «атрибуции» конкретного «физика» к аккаунту в желаемой социальной сети. Так получилось, что обычное насилие многократно более эффективно чем российские комплексы для проведения операций «цифровой криминалистики», которые практически бесполезны против устройств с адекватной моделью безопасности. При этом, если устройство содержит только «кашу» из зашифрованных алгоритмом AES-256 данных, а пароль вводить некуда, те же самые «оборотни» попадают в «тупик». Когда нет простого способа восстановления зашифрованных данных (например, ноутбук с тем же аккаунтом), то у следствия возникает нужда доказать, что конкретный «Вася» является владельцем аккаунта «Правительство Инсайды Онлайн». Если «Вася» не был откровенным «идиотом» и следовал базовым принципам операционной безопасности, то задача эта — крайне ресурсоемкая, из-за чего, с поправкой на текущее положение органов «правопорядка» — практически невыполнима. Стоит отметить, что данная модель угроз предполагает «правовое государство», а не «государственный беспредел», что может показаться весьма смешным. Справедливости ради, в некоторых местах оно все ещё существует. В российском контексте подобное «сжигание» данных не влечёт уголовного наказания. Истории про задержанных в США, Британии, и прочих странах запада здесь нерелевантны, ведь «Может, вам повезёт?» — российский интернет-ресурс. Это только самый простой, и, как следствие, распространённый пример. Существует множество «оригинальных» способов уничтожения данных и с традиционных компьютеров, речь о которых пойдёт в будущих материалах. Вам повезёт. || Интернет-сайт

МИД Катара тут высказал одну достаточно простую, но интересную мысль: мир, возможно, уже не стоит на «пороге» третей мировой, а проходит её первый год. Этому, по субъективной оценке автора, появляется все больше подтверждений. Например, военная кампания под маркой «СВО» с самых первых её месяцев перестала быть региональной. В полной мере это продемонстрировал «Оранжевый человек», отключив системы Starshield/Starlink и перестав давать разведанные стране 404 на весьма символический период времени. Результат был не только на конкретных «лицах» руководства 404, но и на объектах двойного назначения. Оказалось, что дроны, использующие проприетарную связь не так эффективны, если за океаном сидит полоумный застройщик, у которого «горит» поддержка на выборах. Широко известно, что 404 воет оружием стран НАТО, американскими технологиями и китайскими комплектующими. От себя — только «пушечное мясо». Хотелось бы прокомментировать недавние решения «начальства» по вопросу сотрудничества с страной, которая целенаправленно повышает эффективность обозначенных ими же «врагов», но сейчас это воспринимают как «фейки» о чем-то там. Про ближний восток можно и не говорить. За прошедший год от Ирана «отхватили» примерно все страны персидского залива. Израиль там чисто для «украшения» был. Теперь военных баз США в регионе нет, только если в ИИ-картинках Белого Дома. И чем это не зачатки «третей мирововой», спрашивается? Вам повезёт. || Интернет-сайт

Вышла новая стабильная версия клиента Opengram, 13.0.2b. В первую очередь, был добавлен «фильтр» сообщений Opengram Message Filter, который позволяет скрыть любое сообщение по ключевым словам. У каждого аккаунта в приложении свой «список» и ключи шифрования от него. Кроме этого, для каждого аккаунта его можно включить отдельно, по аналогии с «режимом призрака». Message Filter на данный момент распространяется на каналы и чаты с ботами, но не на личные сообщения и группы. Это сделано специально для исключения случайной блокировки сообщений. Причина добавления этой функции крайне проста: автора интернет-ресурса просто достала чрезвычайно навязчивая реклама «Альфа-банка», казино и прочих мошеннических организаций. Несмотря на то, что используются последние компоненты мессенджера Telegram, автором было принято непростое решение полностью «вырезать» новый Telegram Wallet. Во-первых, криптокошельку нечего делать в мессенджере. Во-вторых, администрация мессенджера удаляет аккаунты «направо и налево». Неправльно хоть как-то поддерживать хранение «монет» в таком ненадженом месте. Продвинутые пользователи могут внимательно изучить тег 7175b, в котором содержится и ряд других улучшений. Как всегда, скачать готовый установочный файл можно на странице GitHub Releases или с этого веб-сервера. Вам повезёт. || Интернет-сайт

Именно из-за этого крайне нежелательно устанавливать российские около-государственные программы на традиционные ОС. Например, несчастный мессенджер «Макс» на более-менее защищенном устройстве Android/iOS может читать и записывать файлы только в своей директории. Доступ к галерее — отдельное разрешение. На компьютере же, этот самый «Макс» может не спрашивая включить камеру, отправить любой файл на сервера VK из доступных пользователю директорий, записать звук, а в некоторых случаях — посмотреть другие приложения (привет, оконный сервер X11). Если кто-то захочет опровергнуть вышеперечисленные возможности, автор услужливо «ткнет» опровергающего в закрытый код приложения, который, к тому же, может быть легко изменён по команде сервера. Если «очень надо», то лучше изолировать такие программы в отдельной виртуальной машине. Да, «сбежать» из них все ещё можно, но крайне трудно. Только используйте нормальный гипервизор, например VMware Workstation или встроенный в ядро Linux KVM. Вам повезёт. || Интернет-сайт

В траве сидел «кузнечик» Минцифры тут хочет перевести сети 5G (на данный момент — 4G с новой вывеской) на доморощенный российский алгоритм шифрования «Кузнечик» (он же ГОСТ). Во-первых, российские алгоритмы шифрования хуже, чем проверенные зарубежные. Ответ на вопрос «почему?» содержится в слове «проверенные». Использование «Кузнечика» за пределами государственного контура исчезающе мало. Это значит, что алгоритм хуже «обследован», из-за чего может содержать многие неизвестные ошибки в дизайне. Кроме этого, многие уважаемые криптографы прямо говорили о том, что «Кузнечик» специально нарушает принцип прозрачности «Nothing up my sleeve», что является серьёзным признаком наличия «бэкдора». Из-за этого существует правило «не изобретать кирпич», а использовать международно признанные алгоритмы. Не хотите AES (Rijndael)? Есть ещё два финалиста конкурса AES, шифр Serpent и Twofish. Тот же Serpent существует уже практически 30 лет, что кратно больше, чем «Кузнечик». Во времена его разработки российское государство ещё использовало ущербный алгоритм «Магма», который был буквально «кладезью» ошибок. При этом, на Serpent не существует ни одной теоретической атаки, которая бы хотя бы немного касалась реальности, а не мира «розовых пони» с бесконечными вычислительными мощностями. Что мешало взять его? Отсутствие аппаратных ускорителей в устройствах, может быть. Вот только у «Кузнечика» их тоже нет. Можно твёрдо сказать, что все финалисты AES качественно сильнее российских «поделок». Минцифры же занимается имитацией «цифрового суверенитета», которого у России нет, и даже в следующем десятилетии не появится. Все попытки создать российский процессор, например, сталкивались с безумными уровнями коррупции, вследствие чего проваливались. К тому же, начинать строить «цифровой суверенитет» нужно было ещё в начале нулевых, а не после того, как грянул «гром». Возможно, что сейчас он нужен в том же качестве, что и ежегодный «бордюринг» в Москве — пилить бюджет. Вам повезёт. || Интернет-сайт

Вчера многие «крупные» Telegram-каналы начали «разгон» темы запрета прямого обмена криптовалют. Мол, можно будет только покупать, продавать, спекулировать на изменении курса. И никаких «холодных» кошельков. Переводя на простой «человеческий», Банк России запретил россиянам владеть криптовалютой. Только «циферками» на аккаунте брокера. Конечно, запрет этот «курам на смех». Ровно также, как запрет VPN, запрет безопасных (неподконтрольных) мессенджеров, а также бесчисленное множество других откровенно «чекистких» запретов. Даже не взирая на то, что закон прямо запрещает тем же VPN работать без лицензии, они все равно работают. И даже принимают оплату в безналичных рублях, что, мягко говоря, крайне нежелательно. Если оператор «поумнее» и принимает оплату в криптовалюте, все, что могут сделать российские надзорные органы — начать стучать «ножками» и блокировать протоколы (а заодно — банкоматы). Ни о каком «посадить» при грамотной модели угроз первого речи не идёт. Ровно также будет и с криптовалютами. Начиная с обменников на «Горбушке» заканчивая интернет-сайтами. Другими словами, «запрещалка» не выросла. Вам повезёт. || Интернет-сайт

Спасение утопающих Призывать к защите объектов коммерческих ИТ-компаний, сейчас, как минимум, глупо. Сгоревший суперкомпьютер «Яндекса» — его головная боль. То же самое применимо ко всем последующим объектам, на которые будут падать «обломки» БПЛА. К сожалению, ни о каком завершении кампании по атакам на ЦОД речи не идёт. В первую очередь, необходимо укреплять энергетическую систему. Стоит напомнить, что она сейчас, как можно судить, защищена ровно также, как дата-центры «Яндекса». Жители республики Крым не дадут соврать. Отсутствие интернета (которое вполне можно ожидать при текущем темпе) гораздо менее вредно, чем отсутствие света в центральной части страны. Каждый дрон, который успешно сжигает датацентр, стоит примерно в тысячу раз дешевле, чем его цель. Даже если этих дронов было несколько сотен. Это без учёта того, что у российских ИТ-компаний сильно повреждена цепочка поставок. Принимая во внимание то, что мировой дефицит компонентов для вычислительного оборудования (в частности, оперативной памяти) сохранится как минимум несколько лет, можно сказать, что дрон наносит ущерба в пять тысяч раз больше его стоимости. Ущербом является не только сгоревшее «железо», но и упущенная прибыль конкретной ИТ-компании. Безусловно, через некоторое время пойдут слухи, что «Яндекс» бьют, а какого-то левого провайдера — нет. Мол, принадлежит он «кому надо». Что за этим последует, объяснять не нужно. Это та самая «война на истощение», о которой некоторые «спикеры» так любят поговорить. При этом, даже эти потери не пойдут в никакое сравнение с тем, что будет, если в Московской Области на десять часов пропадает электричество. Вам повезёт. || Интернет-сайт

Самозащита Автор интернет-ресурса на данный момент активно занят созданием собственного сервиса защиты интернет-трафика от перехвата третьими лицами. Это не VPN, по крайней мере, в классическом его понимании. Сервис, разумеется, будет коммерческим. Что отличает его от «расплодившихся» провайдеров с ботами в Telegram, так это полноценная собственная инфраструктура и особое внимание к безопасности. У сервиса будет своё собственное современное приложение для Android (затем — для Windows/Linux/iOS), написанное на языках с приемлемой безопасностью памяти (Kotlin/Java), интерфейсом на Jetpack Compose и системой дизайна Material 3 Expressive. Так как автор интернет-ресурса достаточно хорошо разбирается в современных угрозах, защита от перехвата будет распространятся на получение необходимых данных от сервера. Даже до того, как вы непосредственно подключитесь к инфраструктуре. В рамках оперативной безопасности конкретные методы и способы тут обсуждаться не будут, но большинство из них сейчас считаются передовыми. Из-за массивной конкуренции на этом «поприще», код клиента будет полностью закрыт. Защита от «умников» с декомпилятором JADX/Ghidra тоже там будет. Первое время распространение клиента будет происходить через обычный файл .apk, до момента включения приложения в магазин Play Store. Клиент для iOS/macOS на Swift/Swift UI также планируется, но у автора значительно больше опыта разработки именно на Android (что видно по клиенту Opengram, например), да и в App Store банально сложнее попасть. Ожидать его можно не раньше начала первого квартала следующего года. Клиенты под Linux/Windows, написанные преимущественно на Rust, планируются на начало декабря. «Цена» вопроса также будет крайне конкурентоспособной, с той поправкой, что у большинства сервисов нет даже нормального клиента. Эти затраты, безусловно, надо учитывать. Запуск запланирован на начало ноября. Тогда же появится более подробная информация, «что» и «каким образом» работает. Вам повезёт. || Интернет-сайт

Вышла новая стабильная версия Opengram, 12.10.6c. В первую очередь, было переработано отслеживание прочитанных/просмотренных историй и реакций в чатах при включенном «режиме призрака». Кроме того, теперь его можно включить для конкретного аккаунта, а не приложения в целом. Для этого используются локальные зашифрованные «снимки», по аналогии с их использованием для автоматического создания новых «секретных чатов». Каждый аккаунт (UID) имеет собственный «снимок» и собственные же ключи шифрования в аппаратном хранилище Android StrongBox. Эта версия также содержит исправления для большинства ошибок при входе в аккаунт. Также, теперь клиент будет вам прямо говорить, что конкретно «не так». Скачать можно с соответствующей страницы GitHub Releases или этого веб-сервера. Вам повезёт. || Интернет-сайт

Про упавшие на дата-центры «обломки» беспилотников. Делать акцент на том, что это дата-центры конкретно «Яндекса» — глупо. Они первые, но, как можно судить, не последние. Это значит, что нужно рассматривать вопрос возможных «прилетов» в объекты других компаний. Восстановление подобного числа вычислительных мощностей сейчас чрезвычайно дорого, а во многих случаях невозможно на практике. Это очередное «бутылочное горлышко» в происходящей «войне на истощение». Если НПЗ и логистические центры сейчас более-менее защищены, то ЦОД — нет. Причём, как грамотный монополист, «Яндекс» изменил оферту за пару дней до ударов, но даже «сетку» не повесил для защиты самого «железа». Также, стоит напомнить, что многие ЦОД также являются «транзитными». Если вывести из строя четверть таких в европейской части страны, цены на интернет очень ощутимо пойдут вверх. Видимо, для прекращения происходящей игры в «догонялки» за тактикой противника, нужно чтобы в части регионов ещё и свет погас. Вам повезёт. || Интернет-сайт

Мало кто заметил, что пока подсанкционные коммерческие банки буквально «извиваются» ради возвращения своего приложения в App Store/Play Market, выдумывают названия вроде «Учет Надоя», коммерческая же корпорация VK сидит и ждёт «у моря по морде» со своим «национальным» мессенджером. Все, что было сделано для обхода санкций за более чем квартал — заявление «мальчика на побегушках» из Минцифры, в котором он обещал «решить вопрос». После того, как Cloudflare пометил «Макс» как шпионское ПО ещё в мае этого года, можно было отправить кого-либо в Казахстан и зарегистрировать там «ООО Перун» на случай удаления приложения из магазинов. Новый мессенджер «Макс», под новым же именем «Веды Онлайн», мог использоваться для замены сломанных клиентов у россиян. Как можно судить, более «продуктивно» сидеть на «пятой точке» ровно и пилить бюджет. К сожалению, большинство медиа-ресурсов вообще не могут критиковать корпорацию VK, так как она принадлежит их «работодателям». Хорошим примером будет «сетка» Ксении Собчак, которая страшно боится лишний раз «негатив» написать. Вам повезёт. || Интернет-сайт

Простые истины Некогда Эдвард Сноуден, человек, который рассказал миру об «ужасах» проектов АНБ, подметил, что лучше не использовать мобильные устройства вовсе. Вся причина, мол, в сотовом радио — оно закрыто чуть более чем полностью и имеет прямой доступ к памяти процессора. Из базового курса информационной безопасности мы знаем, что не существует «неуязвимых» чипов, а значит, что рано или поздно сотовый модем будет взломан. Спорить с этим сложно, впрочем, как и с тем, что абсолютное большинство компьютерных операционных систем написано «на отвали», начиная с ядра Linux и заканчивая NT Windows. К слову, внутренней изоляции нет не только в ядре Linux; все существующие дистрибутивы также имеют крайне плохую изоляцию программ (flatpack не в счёт, его используют меньшинство). По-сути, весь код, который запускается от имени обычного пользователя имеет его права доступа. Это означает, что взломанный клиент Telegram Desktop, например, может не только читать свои файлы, но и вообще все, на которые пользователь имеет права чтения. Он же может записывать и удалять файлы при наличии прав на запись. Проблема тут очевидна. Если в Android и iOS взломанное приложение продолжает сидеть в своей «песочнице» (далее нужна уязвимость в изоляции приложения), то в традиционных системах оно может «гулять» практически где хочет. Стоит напомнить, что критическая уязвимость ядра Linux, Copy.Fail, могла быть использована только локально. Соответственно, при таком «отвратительном» качестве ключевого компонента системы отсутствие изоляции программ особенно критично. Как и во многих других аспектах, безопасность традиционных ОС держится на пользователе. Если свести количество используемых программ к минимуму, то риск относительно снижается. Дело в том, что защита должна быть системной и работать по умолчанию, а не рассчитывать на «авось». Этим принципом, например, сейчас руководствуются мобильные ОС. Вам повезёт. || Интернет-сайт

«Альфа-банк», который уже в пору переименовывать в «Альфа-скам», буквально недавно выпустил рекламу своего «ИИ-сканера», который, мол, должен бизнес защищать. Стоит отдать должное «маркетолухам», которые писали посты: жадности на «модные» слова, по типу «ИИ-модели», замечено не было. К сожалению для «Альфы», сейчас каждый «дурак» может настроить ИИ-модель и наказать ей что-то там сканировать. При этом, стоить это будет около 3 т.р., что несколько меньше, чем 500 т.р. у «Альфы». Безусловно, такой сканер может быть полезен, если вы — «Банк России», который не так давно опозорился с прототипом «цифрового рубля». Стоит напомнить, что у последнего чуть-ли не «секреты» были разбросаны по всей системе. Для адекватного «сканирования», одних только «портов» и внешних серверов недостаточно. Более того, нужно сканировать корпоративные устройства, которые (о, боже) тоже имеют уязвимости и часто недоступны извне. Если вам и нужен такой «сканер», гораздо проще арендовать сервер у одного из российских хостинг-провайдеров и использовать широко доступные локальные модели для «сканирования» там. Автор интернет-ресурса использует Cyberstrike-35B от HuiHui в личных целях. Из-за малого количества параметров она может работать даже на персональных компьютерах с достаточной видеопамятью. Если не принципиален вопрос возможной утечки данных и нужно что-то «покруче», то можно использовать Fable 5.1 от Anthropic. Она кратно мощнее любого «сканера» и стоит несколько сотен долларов в месяц. Вполне возможно, что сам «Альфа-сканер» использует зарубежные модели от OpenAI, Anthropic и xAI. Российских, приемлемого качества, нет. Открытые можно запустить без «Альфы». Так зачем переплачивать? С нетерпением ждём «Альфа-антивирус» для «защиты банковского уровня», но уже за миллион рублей. Вам повезёт. || Интернет-сайт

«История» с возможностью оформить рассрочку (кредит) на кассах самообслуживания «Магнита» — далеко не первый такой казус. Более полугода назад автор мельком заметил, что одна из сетей американского фаст-фуда теперь предлагает оформить кредит на свою продукцию при заказе через приложение. В пору напомнить, что ведомство, гордо носящее кличку «Роскомпозор», скоро получит очередные десятки миллиардов на совершенствование своих «коробок» ТСПУ. Видимо, у нас в стране все так хорошо, что можно снова позволить одной из башен «распилить» деньги на провальном проекте «цифровой концлагерь». Вам повезёт. || Интернет-сайт

Отечественные «службы безопасности», как можно судить, делают «ставку» именно на взлом устройств пользователей, а не протоколов коммуникации и тем более криптографических алгоритмов. До достаточно мощного квантового компьютера, который мог бы «сломать» большинство алгоритмов обмена ключей и цифровых подписей (в т. ч. ретроспективно) нашей стране — «как до Китая раком». Когда все-таки это произойдёт, мир уже давно перейдёт на квантово-безопасные решения, т. е. будет слишком поздно. Единственный «рабочий» инструмент перехвата сетевых соединений, который у дорогих «служащих» сейчас есть — системы ТСПУ. И то, нормальный VPN с обфускацией паттернов трафика (см. Mullvad DAITA или NYM Noise Generating Mixnet) делает эту систему практически бесполезной. Ровно так же «нейтрализует» угрозу от этих систем обмен ключами шифрования офф-лайн. В этом случае над зашифрованными сетевыми пакетами можно только «поплакать». Касательно взлома самих устройств, это не так сложно. Необходимо признать, что абсолютное большинство современных компьютеров не имеет адекватных мер защиты. Вкупе с возможностью использовать инфраструктуру как «прокси» (те же сотовые вышки, например), получение информации из смартфона «обывателя» не является «задачей тысячелетия». iPhone предоставляют достойную, но недостаточную защиту против угроз этого характера. Самым лучшим вариантом будет использовать телефоны Google Pixel с операционной системой GrapheneOS. Даже Pixel нежелательно подключать к российским сотовым сетям по вышеописанным причинам. Кроме этого, никогда не стоит передавать хоть сколько-то чувствительную информацию по открытым каналам. К ним относятся сотовые/городские звонки, SMS/MMS, российские мессенджеры (см. причину) и мессенджеры без сквозного шифрования. Для обычного общения подойдёт и Signal. Приемлемую приватность, без необходимости включать VPN, предоставляет собственный сервер протокола Matrix. На данный момент, напрямую перехватить их нельзя. Только через взлом устройства, что, строго говоря, уже не перехват. В компьютерной технике не существует такого понятия как «магия». Сторона «обороны» и сторона «нападения» играют в одну и ту же «игру», правила которой хорошо известны. Проблема в том, что не все хотят их знать. Вам повезёт. || Интернет-сайт