The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Linux-смартфон PinePhone доступен для заказа, opennews (??), 17-Янв-20, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


217. "Linux-смартфон PinePhone доступен для заказа"  +/
Сообщение от хотел спросить (?), 18-Янв-20, 05:29 
а есть hard switches?

и что там с запуском андроид приложений?

и что насчет более дорогих но продвинутых комплектаций, типа той же камеры что писали?

ждем март? или уже расскажете что-нибудь?

Ответить | Правка | Наверх | Cообщить модератору

225. "Linux-смартфон PinePhone доступен для заказа"  +/
Сообщение от Аноним (225), 18-Янв-20, 10:30 
Зачем тебе андроид приложение?
Ответить | Правка | Наверх | Cообщить модератору

227. "Linux-смартфон PinePhone доступен для заказа"  +/
Сообщение от groven (?), 18-Янв-20, 10:44 
ну типа вайн на десктопе
Ответить | Правка | Наверх | Cообщить модератору

264. "Linux-смартфон PinePhone доступен для заказа"  +/
Сообщение от хотел спросить (?), 18-Янв-20, 19:45 
> Зачем тебе андроид приложение?

ну например ватсап как альтернатива обычным голосовым звонкам, он есть у всех практически

навител? либо придется покупать отдельно навигатор, что неудобно и затратно

Ответить | Правка | К родителю #225 | Наверх | Cообщить модератору

265. "Linux-смартфон PinePhone доступен для заказа"  –1 +/
Сообщение от Michael Shigorinemail (ok), 18-Янв-20, 19:50 
> ну например ватсап как альтернатива обычным голосовым звонкам,
> он есть у всех практически

Наверное, в моём окружении больше среднего людей, которые не торопятся складировать свои звонки на территории кинетического противника -- пусть и "задаром", ага.

Ответить | Правка | Наверх | Cообщить модератору

303. "Linux-смартфон PinePhone доступен для заказа"  +3 +/
Сообщение от Аноним (303), 19-Янв-20, 06:53 
Ахах лучше своему, лубочному майору добровольно сливать :)
Ответить | Правка | Наверх | Cообщить модератору

340. "Linux-смартфон PinePhone доступен для заказа"  +1 +/
Сообщение от Аноним (-), 20-Янв-20, 19:42 
> Ахах лучше своему, лубочному майору добровольно сливать :)

При том свой майор ближе - так что пусть это Шигорин делает, если настолько железно уверен что у него 100% иммунитет от набутыливания. При том как показала история - это совсем не факт.

Ответить | Правка | Наверх | Cообщить модератору

305. "Linux-смартфон PinePhone доступен для заказа"  –1 +/
Сообщение от хотел спросить (?), 19-Янв-20, 07:23 
>> ну например ватсап как альтернатива обычным голосовым звонкам,
>> он есть у всех практически
> Наверное, в моём окружении больше среднего людей, которые не торопятся складировать свои
> звонки на территории кинетического противника -- пусть и "задаром", ага.

у ватсапа используется протокол Signal, все звонки всегда зашифрованы (в отличии от говнотелеграма, котрый для каналов новостей только и можно использовать - вечно создавать e2e сессии - это маразм)

конечно это все бинарники, но врядли чтобы там что-то было, иначе бы наковыряли в apk много интресного

+ у ватсапа есть возможность привязать пин к номеру телефона, т.е. опсос не может перевыпустить симку и стать тобой

все дыры что находят в ватсап по большей части связаны с груповыми чатами
но были и с обработкой изображений (на моей памяти 1 RCE)

не то чтобы панацея... но и мы не обсуждаем 100% безопасность, иначе кто мешает просто на уровне ядра снимать звук с микрофона (были преценденты, когда спецы модифицировали целые партии трубок, которые в конечном итоге уходили на целевую аудиторию)

в общем в ватсап приемлимая защита на мой взгляд, уж точно лучше чем просто свистеть СОРМу в эфир все вподряд по GSM

так что да... я хочу хотя бы ватсап, но если вдруг матрикс окажется классным, распространится повсюду.. заменит собой всё то можно будет и отказаться от ватсапа, также как я отказался от скайпа.

Ответить | Правка | К родителю #265 | Наверх | Cообщить модератору

325. "Linux-смартфон PinePhone доступен для заказа"  +1 +/
Сообщение от Аноним (-), 20-Янв-20, 12:02 
> у ватсапа используется протокол Signal, все звонки всегда зашифрованы (в отличии от
> говнотелеграма, котрый для каналов новостей только и можно использовать - вечно
> создавать e2e сессии - это маразм)

Телеграм сорцы выложил и можно проверить насколько это совпадает с описанием протокола. Уже какой-никакой аргумент.

> конечно это все бинарники, но врядли чтобы там что-то было, иначе бы
> наковыряли в apk много интресного

Желающих ковырять бинарный крап на голом альтруизме, каждую версию подряд - немного. Так что если там найдется - это либо прилетит эксплойтом сразу и автор будет продавать ботнет кингсайз, либо толкнет дыру на черном рынке - и GOTO 1. Во втором случае половина покупателей еще и окажется из NSA, FBI, ...

> не может перевыпустить симку и стать тобой

Оператор и вообще те кто имеют доступ в SS7 могут делать все что может делать твой номер. Ну и прислать твоим корреспондентам допустим смсочку, с "твоего номера", просящую передобавить туда-то и сюда-то? Мол, оператор обещал номер скоро отключить, или там еще что. Как от этого пин спасет?

> но были и с обработкой изображений (на моей памяти 1 RCE)

А кто аудитил все это?  Могу себе представить только блэкхэтов и гэбню, но им не резон дыры репортить.

> преценденты, когда спецы модифицировали целые партии трубок, которые в конечном итоге
> уходили на целевую аудиторию)

Достаточно пару прог в стоковый образ интегрировать, хватит выше крыши. Ядро патчить - а нафига?

> в общем в ватсап приемлимая защита на мой взгляд, уж точно лучше
> чем просто свистеть СОРМу в эфир все вподряд по GSM

И какие основания для подобного утверждения? Что разработчики мамой клянутся?

> отказаться от ватсапа, также как я отказался от скайпа.

Не понятен смысл этих потуг в набивании цены васапу. Это маркетинговый отдел так прикалывается?

Ответить | Правка | Наверх | Cообщить модератору

335. "Linux-смартфон PinePhone доступен для заказа"  +/
Сообщение от хотел спросить (?), 20-Янв-20, 14:49 
1) https://github.com/signalapp/libsignal-protocol-c

2) А как ты собрался сравнить сорцы с тем что ставят на трубу миллионы пользователей?
Тебе ведь надо защитить оба конца линка.

Ну как сказать.. На 36C3 люди кучу вещей ковыряли. Даже прошивки новых Epyc. Так что не суди по себе.. Всякое есть.

3) Нужно быть дятлом, чтобы доверять смскам. И еще ты всегда можешь позвонить воисом и спросить (ватсап показывает что ключи поменялись например) это ты Вася или не ты? И если Вася подтвердит, что да я ватсап переставлял, трубку менял или еще что... т.е если реально Вася, то всё хорошо.

4) Никто... аудита как такового не было. Вроде Project Zero нашел или независимые.. Не помню.
Да и неважно кто... Адекватных людей хватает.

5) Ну может чтобы скрыть свое присутствие? И чтобы труба внешне не отличалась от неинфицированной?

6) не понял вопрос.. но если отвечать как я его понял, то основание - здравый смысл.

7) опять не понял вопроса.. возможно Остапа понесло.
Но в целом наверное надо сказать что мне похую на любую шнягу касательно маркетинга, чтобы там не подразумевалось в вопросе.

Если обобщить, то я просто написал следующее:

а) мне нужен на трубе ватсап для общения с широким кругом людей, а не только коллегами параноиками у которых может быть матрикс к примеру

б) что телеграм для этого совсем не подходит и намного хуже в этом плане чем ватсап (который тоже конечно неидеальный)

Ну и в принципе всё, не надо флейм разводить. Для меня а и б - очевидные вещи, но если для кого-то по-другому и есть какие-то доводы по поводу некорректности эти утверждений, то я их не услышал этих доводов. А по сему не толкаемся, проходим, проходим ребята.

Ответить | Правка | Наверх | Cообщить модератору

339. "Linux-смартфон PinePhone доступен для заказа"  +/
Сообщение от Аноним (-), 20-Янв-20, 19:39 
> 1) https://github.com/signalapp/libsignal-protocol-c

Это не сорцы васапа... поэтому какая разница что там? Не обязано коррелировать с фактическими действиями бинаря.

> 2) А как ты собрался сравнить сорцы с тем что ставят на трубу миллионы пользователей?

Я отвечаю за свою сторону линка, ремота за свою. И таки да, если с другой стороны тупарь с трояном - вообще совсем ничего не поможет. Задача секурного обмена не решается в этой формулировке даже чисто теоретически. И горе тому кто не учтет этот момент.

> Тебе ведь надо защитить оба конца линка.

В этом месте мы замечаем что корреспондент-тупарь - одна большая уязвимость сам по себе. Поэтому обсуждать с таким что-то важнее покупки картошки - не стоит. А картошку и по GSM линку вроде не особо страшно.

> Ну как сказать.. На 36C3 люди кучу вещей ковыряли. Даже прошивки новых
> Epyc. Так что не суди по себе.. Всякое есть.

Годно ковыряли, слайды понравились. Но для себя на будущее я таки просто предпочту платформы где так делать не требуется :]. А амд... ну, жаль, хорошая была фирма, но увы, процики теперь придется у других покупать. Потому что так хакать систему чтобы рули себе вернуть - а ну нафиг, в вире где толпа стартапов печет сотни SoC это просто странно.

> 3) Нужно быть дятлом, чтобы доверять смскам.

Однако эксперименты с чьим-то гейтом на 1 апреля показали что ведутся и довольно качественно. Ну нет, совсем гур безопасности так не обмануть, конечно.

> И еще ты всегда можешь позвонить воисом и спросить (ватсап показывает что ключи
> поменялись например) это ты Вася или не ты?

А кто сказал что звонок попадет тому кому адресован? SS7 штука занятная, вон тот зимбабвийский оператор может сообщить что Вася роумится у него. И улетит звонок черту на куличики. На этом эффекте даже была забавная анонимоус симка умеющая юзать любого подручного оператора. Но тарифы там довольно злые - потому что она с логической точки зрения всегда в роуминге а выпущена каким-то карманным оператором в каких-то пердях.

> И если Вася подтвердит, что да я ватсап переставлял, трубку менял или еще что...
> т.е если реально Вася, то всё хорошо.

В этот момент гарантий что это именно Вася - не сильно много.

> Да и неважно кто... Адекватных людей хватает.

Жадных, наглых и любопытных больше.

> 5) Ну может чтобы скрыть свое присутствие? И чтобы труба внешне не
> отличалась от неинфицированной?

А как лишняя программа читающая данные с микрофона внешне проявляется? Гуя у нее может не быть совсем, не говоря уж про какие там еще ярлыки. И заметить ее сможет только махровый системщик, твердо знающий что искать, да прочие forensic'и. Они и аномалии в ядре заметят, собственно, половина руткитов себя аномалиями и глюками успешно демаскируют.

> 6) не понял вопрос.. но если отвечать как я его понял, то основание - здравый смысл.

Это какое-то очень лажовое обоснвоание.

> а) мне нужен на трубе ватсап для общения с широким кругом людей,
> а не только коллегами параноиками у которых может быть матрикс к примеру

Тогда я не понимаю какую защиту ты ожидаешь там увидеть. Они сами же и инстальнут троян через 15 минут после того как это станет хоть кому-нибудь интересно. Или их просто отымеют через вулны на которые в их китайском андроиде все давно забили - и владелец, и китайцы.

> б) что телеграм для этого совсем не подходит и намного хуже в
> этом плане чем ватсап (который тоже конечно неидеальный)

Телеграм по крайней мере соответствует тому что декларирует - и это можно проверить. А вот мало чем подкрепленные обещания - в вопросах безопасности штука очень плохая, т.к. дает ложное чувство защищенности. Неверно оценить безопасность - хорошая заявка на залет.

> есть какие-то доводы по поводу некорректности эти утверждений, то я их
> не услышал этих доводов. А по сему не толкаемся, проходим, проходим ребята.

Ну я попытался. Не знаю получилось ли, но если TL;DR то я не считаю security through obscurity сколь-нибудь работоспособным и заслуживающим внимания вариантом. Равно как не считаю что есть какие-то шансы в случае когда на той стороне линка совсем уж дилетант.

Ответить | Правка | Наверх | Cообщить модератору

358. "Linux-смартфон PinePhone доступен для заказа"  +/
Сообщение от хотел спросить (?), 21-Янв-20, 02:14 
> Это не сорцы васапа... поэтому какая разница что там? Не обязано коррелировать с фактическими действиями бинаря.

речь шла про протокол, я про него и написал, сырцов нет - это к матриксу

> Я отвечаю за свою сторону линка, ремота за свою.
>...
> И горе тому кто не учтет этот момент.

получается противоречие, если Васян не очень умный, то может надо позаботиться о его стороне линка?

я между прочим предлагаю хоть как-то подумать за того кто на другом конце
смысл в том что лучше быть защищенным в 95% случаев, чем только в 15%


> А картошку и по GSM линку вроде не особо страшно.

Не думаю.. целевая точка доставки картошки - это ваше раписание в "открытом доступе"
GSM конечно и так сдаст по базовым станциям, но тем не менее простой вопрос, а зачем передавать открытым текстом, если можно разговаривать в более приватном режиме?

> В этот момент гарантий что это именно Вася - не сильно много.

Это почему? Васяна по голосу не узнать потому что он пил месяц не просыхая?
Если Васян скажет что он ничего не менял, ну всё - резервный канал связи, вплоть до личной встречи

> А кто сказал что звонок попадет тому кому адресован?

я про ватсап, воис через мессенджер, но это неважно
но не пофиг ли мне куда уйдет звонок?
ты думаешь прям спецы сидят воис подделывают? ))) не доросли еще!
мне главное чтобы Васян ответил менял он трубу, или нет перставлял мессенджер или нет
и пофиг будет MITM или нет, снятие этой информации никак меня не дискридитируют, просто спецы будут знать что мы о них знаем, но если вы зоне внимание спецы и так на это рассчитывают
и скорее залезут к вам в жильё натыкают жучков и камер, чем будут заморачиваться ватсапом

> А как лишняя программа читающая данные с микрофона внешне проявляется?

список приложений отличается в разных партий трубок - повод нервничать

> Тогда я не понимаю какую защиту ты ожидаешь там увидеть. Они сами же и инстальнут троян через 15 минут после того как это станет хоть кому-нибудь интересно. Или их просто отымеют через вулны на которые в их китайском андроиде все давно забили - и владелец, и китайцы.

см выше

> Телеграм по крайней мере соответствует тому что декларирует - и это можно проверить. А вот мало чем подкрепленные обещания - в вопросах безопасности штука очень плохая, т.к. дает ложное чувство защищенности. Неверно оценить безопасность - хорошая заявка на залет.

Не очень-то и полезно для безопасности заявление, что "мы соответсвуем ведру и можем читать все ваши не секурные чаты". А это 99% всей переписки и звонков...
Я повторюсь, что лучше быть защищенным на 95%, чем на 1%.

> Неверно оценить безопасность - хорошая заявка на залет.

Вот именно друг, и где гарантия, что ты правильно оцениваешь безопасность телеграма?

Ладно давай подытожим и закроем полотно. Суть такая...

Что 99% пользователей не пользуются секретными чатами телеграма, и на декстопе их нет вообще.
Вероятность того что в ватсапе нет никаких закладок и сигнал используется как задекларировано - очень большая. Ватсап ковыряли умельцы и не раз. Ничего прям экстра-неординарного не нашли. Безусловно это еще не гаранития. Но дело в другом:

Зачем мне пользоваться телеграмом, который не имеет E2E шифрования по умолчанию и в 99% случаев *гарантированно* свистит весь контент на сервера телеграма, если я могу использовать ватсап, который всегда E2E и скорее всего (я оцениваю в 95%) не содержит вообще бекдоров и на 100% не содержит бекдоров местного товарищ майора.

И как замена GSM... подчеркиваю именно как замена GSM - это отличный вариант, намного лучше телеграма. А если мне нужен канал поинтереснее, то это и токс и матрикс и что угодно что проверено на 100% и самим скомпилировано если уж прям так надо это всё.
Пароли к примеру я в ватсап не скидываю.

Ответить | Правка | Наверх | Cообщить модератору

368. "Linux-смартфон PinePhone доступен для заказа"  –1 +/
Сообщение от Аноним (-), 21-Янв-20, 21:35 
> речь шла про протокол, я про него и написал

Сферический протокол в вакууме - здорово, а какой смысл им козырять в отрыве от продвигаемой программы? Простейший пример: можно юзать либу, но допустим прихранивать ключи а потом по какому-нибудь магическому пакету сливать это. Бэкдор уровня школьника - и таки полностью нагибает "нормальную" схему.

> сырцов нет - это к матриксу

Может сразу в ООН?

> получается противоречие, если Васян не очень умный, то может надо позаботиться о
> его стороне линка?

Если Васян не очень умный - ему, конечно, можно попробовать помочь, но всегда будет риск что он парой глупых действий аннулирует все потуги.

Пример: WPA2 достаточно секурен сам по себе и https сам по себе - не бэкдор. Однако, если гугл "сбэкапает" ваш пароль от вайфай себе на сервер по https - как вам такая "безопасность"? Они это кстати и делают по дефолту, "но вы можете отключить". Так что достаточно разок подключить что-то левое в свою сеть - и вы можете смело менять пароль, потому что он уже пролюблен.

> смысл в том что лучше быть защищенным в 95% случаев, чем только в 15%

Попробуем инверсию? Факапнуться с оценкой реальной безопасности линка в 5% случаев вроде лучше, чем в 85%, не?

> Не думаю.. целевая точка доставки картошки - это ваше раписание в "открытом доступе"

Ваша мобилка прыгающая по сотам - уже ваше расписание и маршруты. А если у вас вайфай сканит эфир или блюпуп какой типа наушников - то ваш MAC адрес шикарно разлетается, можно и поточнее уже, если нужно, и доступно уже совсем любому желающему.

> простой вопрос, а зачем передавать открытым текстом, если можно разговаривать в
> более приватном режиме?

Ну вот именно картошку - вроде бы однофигственно. А что-то интереснее этого - там ложное ощущение безопасности может доставить неприятных моментов, пожалуй. Потому что если вы надеялись на шифрование а оно вас подвело - это, наверное, плохо.

Я хорошо отношусь к шифрованию. Но когда проприетарное нечто начинает доказывать что у них секурное крипто - не проходит по самым базовым критериям FAQ криптографов и дает ложное ощущение безопасности без должных оснований.

> Это почему? Васяна по голосу не узнать потому что он пил месяц не просыхая?

Помнить детали голоса всех Васянов может оказаться довольно утомительно. И если вы с Васяном каждый день не общаетесь голосом - да мало ли, простыл человек, например? И еще мне кажется что уже недалек день, когда имеючи немного записей Васяна можно будет в реалтайме кроить любые фразы "совсем как Васян". Возможно этот день наступил - как минимум некоторые синтезаторы речи по большому счету делали выжимку из спича диктора и синтезировали из нее "почти как диктор". Все комбо в целом кажется замороченным, но наверное по мере развития технологий это все заскриптуют и станет настолько же сложно как запуск Kali Linux кулхацкерами.

> я про ватсап, воис через мессенджер, но это неважно
> но не пофиг ли мне куда уйдет звонок?

А, если через него - еще может быть.

> ты думаешь прям спецы сидят воис подделывают? ))) не доросли еще!

Насчет этого я не сильно уверен.

> и скорее залезут к вам в жильё натыкают жучков и камер, чем
> будут заморачиваться ватсапом

Ну как бы "залезть в дом" тоже может быть интересное начинание. Например, а что если камеры уже были натыканы ДО залезавших? :)

> список приложений отличается в разных партий трубок - повод нервничать

Пара лишних бинарей в файловой системе - совершенно не обязаны как либо отображаться в манеджере приложений. В именно детальном списке процессов и тредов еще может быть, но кто ж это в андроиде смотреть полезет кроме совсем уж линуксоидов? Около 99% юзерей тупо не заметят ничего вообще :). Иногда конечно бывают забавные факапы - как например "у камеры что-то лампочка включается сама". Это вроде в каком-то браузере такой баг был.


> Я повторюсь, что лучше быть защищенным на 95%, чем на 1%.

А как при этом избежать того что факапы с оценкой защищенности окажутся не в менее 1% случаев а в более чем 90+%? И лучше ли это?

> Вот именно друг, и где гарантия, что ты правильно оцениваешь безопасность телеграма?

Я считаю что наличие сорца положительно влияет на качество аудита кода программы.

> Вероятность того что в ватсапе нет никаких закладок и сигнал используется как
> задекларировано - очень большая.

Не согласен. Как это оценено и какие к тому предпосылки?

> Ватсап ковыряли умельцы и не раз. Ничего прям экстра-неординарного не нашли.
> Безусловно это еще не гаранития.

Более того - найти даже тривиальный бэкдор реверсом затея довольно сложная. А если бэкдор делал не совсем дилетант - весьма маловероятно и крайне трудоемко.

Более того - в некоторых чудных юрисдикциях есть законы по которым разработчик должен сунуть бэкдор если его попросили и не может об этом рассказать под страхом тюряги. И какая гарантия что нечто подобное не имело место в том или ином проекте? В случае проекта с сорцами такие поползновения могут быть довольно шустро запалены теми кто луркает в комитах, изучая чего и почему накомитили. А в случае непонятного бинаря - ну выгрузили вам новый, где 1500 изменений. Попробуйте угадать что за изменения, даже если прошлая версия и не была с бэкдором, например.

> оцениваю в 95%) не содержит вообще бекдоров и на 100% не содержит бекдоров
> местного товарищ майора.

Про местного товарищмайора может быть и верно для вашей юрисдикции. Но товарищмайоры иногда умеют и кооперироваться, да и если вы с Васяном станете интересны, кмк даже эти имеют шансы развести васяна на несколько кликов. Или поюзать какие-нить дыры в старинном непатченом китайском андроиде, etc.

> И как замена GSM... подчеркиваю именно как замена GSM - это отличный
> вариант, намного лучше телеграма.

Насчет "намного лучше" позволю себе не согласиться. Если что-то вкусно выглядит но пруфов не показывает - возможно, это вообще ловушка? Как минимум было бы очень логично вопить про секурность, не показывая пруфов. А потом совершенно случайно окажется что немного приукрасили. Нет-нет, что вы, ключи сливали в какой там еще файл в отладочных целях, и слив произвольного файла по какому там магическому пакету - это для отладки, вы ничего не подумайте  :).

> А если мне нужен канал поинтереснее, то это и токс и матрикс и что угодно что проверено
> на 100% и самим скомпилировано если уж прям так надо это всё.

Вот токс и матрикс я еще могу понять в плане кивания на хоть какую-то безопасность.

> Пароли к примеру я в ватсап не скидываю.

Более того - я бы вообще дважды подумал до того как печатать на мобилке сколь-нибудь ценные пароли.

Ответить | Правка | Наверх | Cообщить модератору

348. "Linux-смартфон PinePhone доступен для заказа"  +2 +/
Сообщение от OpenVMS (?), 20-Янв-20, 22:01 
шигорин — чебурнет эксплорер.
Ответить | Правка | К родителю #265 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру