[dryukov]

Уходим в I2P всей страной и всем миром ! )))))

[snvoronkov]

12 минут назад, dryukov сказал:

Уходим в I2P всей страной и всем миром ! )))))

Вот где помойка так помойка...

[alexwin]

13 часов назад, snvoronkov сказал:

Тупой, да?

 

1) Берем публичный у А.

2) Берем публичный у Б.

3) А хочет написать Б и просит его публичный. Генери пару Б2 и отдаем публичную часть А.

4) А пишет и шифрует на ключе Б2. Дешифруем, шифруем на публичном Б и отправляем ему.

...

 

Типичный MitM.

Умник,иди подтяни основы ассиметричного шифрования,а не винегретом из ключей жонглируй.

Изменено 19 апреля, 2018 пользователем alexwin

[LostSoul]

9 минут назад, alexwin сказал:

Умник,иди основы подтяни основы ассиметричного шифрования,а винегретом из ключей жонглируй.

даже если написано упрощенно , сути это не меняет.

на этапе первоначального хендшейка протокол уязвим к подмене "в средней точке"

 

[alexwin]

1 минуту назад, LostSoul сказал:

даже если написано упрощенно , сути это не меняет.

на этапе первоначального хендшейка протокол уязвим к подмене "в средней точке"

 

Так,и где эта средняя точка должна располагаться? Я не вникал,так как tl;dr.

[Sergey Gilfanov]

41 минуту назад, Антон Богатов сказал:

Туплю. Что это означает? Сервер телеграма таки и есть MitM для всех клиентов?

Я смотрел, что там делается, очень по диагонали. Но выглядит так, что у тебя нет возможности запомнить публичный ключ собеседника при получении его контакта/первого сообщения и начать вопить и нервничать, если тот внезапно начало другим приватным ключиком пользоваться. Смотри, например, HTTP Public Key Pinning. Т.е. в результате ты не можешь обнаружить внезапно возникшего MtiM.

Может быть в Telegram защита от подобного другим способом достигается, но мне лень и некогда разбираться.

[snvoronkov]

1 минуту назад, alexwin сказал:

Так,и где эта средняя точка должна располагаться? Я не вникал,так как tl;dr.

Т.е.,  не просто туп, а еще и с гонором и нежеланием обучаться? :-)

 

Ну, мои поздравления, чё! Соболезную.

 

2 минуты назад, Sergey Gilfanov сказал:

и начать вопить и нервничать, если тот внезапно начало другим приватным ключиком пользоваться.

Мало того, оно там еще и как штатная функция фигурирует. (Исходник не смотрел.)

[alexwin]

10 минут назад, snvoronkov сказал:

Т.е.,  не просто туп, а еще и с гонором и нежеланием обучаться? :-)

 

Ну, мои поздравления, чё! Соболезную.

Да,с гонором и нежеланием читать/изучать/вникать в то,что не стоит выеденного яйца/мне не пригодиться нигде.Типа протоколов телеграмма или его архитектуры.

 

Поздравления и соболезнования свои рекомендую оставить при себе,скрутить в трубочку и засунуть в надежное место.

Изменено 19 апреля, 2018 пользователем alexwin

[alexwin]

58 минут назад, andryas сказал:

Мало того, они все ели огурцы.

Более того,и телеграм-то им не необходим,чтобы продолжать свою деятельность. Раньше без телеграма как-то справлялись и не че. А тут понимаешь,нашли панацею: долбанем по телеграму и искореним терроризм на корню.

Изменено 19 апреля, 2018 пользователем alexwin

[LostSoul]

Кстати о птичках и смене ключа.

У нас транспорт xmpp <--> WhatsApp сделан на базе spectrum2 + yowsup2

так вот,  реализация вацап протокола в yowsup2 позволяет запретить обмен с контактом если его ключ изменился.

Штатно в оригинальном клиенте WhatsApp сделано так - если контакт произвел переустановку на новое устройство, то генерируется новый ключ.  Ты шлешь ему сообщение закрытое известным тебе ключем,  в ответ от сервера ( или от клиента через сервер, хз )  прилетает "у собеседника новый ключ, кодируй им"  , родное приложение безмолвно соглашается и повторяет отправку с новым ключём.

С реализации yowsup2 можно настроить чтоб указанная замена ключа проводилась только с подтверждением с нашей стороны ( зайти и вычистить ключ из файлика по аналогии с known_hosts в openssh )

Сообщения, закрытые старым ключем доходят до собеседника ( в оригинальное приложение WhatsApp , но пишут про ошибку декодирования )

 

Из чего напрашивается вывод - переустановка WhatsApp на новое устройство не позволяет получить ключи для декодирования ранее записанной на сьемнике переписки. 

Однако если перенести бекап файлов  истории с старого на новое устройство, то они успешно импортируются.

 

 

[pers123]

2 часа назад, taf_321 сказал:

Скажу больше, террористы вовсю пользуются протоколами HTTP и HTTPS!

А еще буквами алфавита...

[alexwin]

9 часов назад, Ivan_83 сказал:

Ты хочешь написать мне в телегу в секретный чат.

Создаёшь этот чат, у тебя генерится ключевая пара, публичный уходит мне, идёт он через сервер телеги.

Сервер телеги может его пропустить как есть, а может сгенерировать свою ключевую пару, твой публичный ключ совокупить со своим приватным и отправить тебе ответ типа от меня. А мне отправить свой публичный ключ.

В таком случае у сервера будет два сессионых ключа и он сможет все сообщения от меня к тебе расшифровывать, сохранять/фильтровать/изменять и отправлять их дальше к тебе и наоборот.

Да это-то понятно. Но официальная формулировка-то какая была? "Дуров,отдай ключи",а не "Дуров,подсоби с MitM". Это не одно и тоже,согласись.

 

Теперь взглянем на ситуацию с такого ракурса. Спецслужбы приходят к Дурову и говорят: "Дуров,отдай ключи". Дуров быстро кумекает,что если занять определенную позицию,можно срубить неплохой пеар; если сделать правильные ходы,можно получить слона в обмен на пешку (как выше выразился @sdy_moscow,получить +8). Дуров одевается в белое,влезает на белого коня и возглашает "А вот куй!",приглашая тем самым принять участие в игре. Поднимается вой до небес,из которого общественность узнает,что Дуров - защитник прав,свобод и ценностей,весь в белом и на коне,которого мочат спецслужбы,которые нагло хотят попирать эти права и свободы,читая переписку всех и вся. В игру вступает Роскомандзор,который подобно слону в посудной лавке,кладет полинтернета,но Телеграм стоит.

На выходе: Дуров на коне и с ног до головы весь в белом (с дивидендами в виде пеара и возросшего количества пользователей/популярности телеги),спецслужбы и РКН - с ног до головы в парафине. Во-общем,очередная "многоходовочка".

[snvoronkov]

А тем временем:

 

Цитата

# sed 's/^.*\///' ipsubnet_new.txt |awk '{s+=2^(32-$1)}END{print s}'
17673472

> 17.5 лямов IP уже.

 

Т.е., /8 успешно забанен. Бурим дальше.

[Антон Богатов]

31 минуту назад, snvoronkov сказал:

А тем временем:

 

> 17.5 лямов IP уже.

 

Т.е., /8 успешно забанен. Бурим дальше.

Как выражается Жаров, «восьмой уровень» выгружен. :)))

Пора делать ставки, когда дойдет хотя бы до /3 :)

[alibek]

/8 еще вчера был достигнут, почти 20 миллионов адресов было в блоке.

Потом часть адресов убрали, сегодня снова стали отгружать понемногу.

Почему "хотя бы до /3"? /3 это одна восьмая интернета, какое-то нелогичное число.

Лучше /1 — половина интернета нам, половина вам.

[LostSoul]

1 минуту назад, Антон Богатов сказал:

Пора делать ставки, когда дойдет хотя бы до /3 :)

бессмысленно.  телега непотопляема оттого что живет через Apple  APNS и Google GCM.

Если начать банить их диапазоны то повалятся все push сервисы, начиная от push в сбербанк онлайн :-)

 

ждем пока два указанных фигуранта перестанут предоставлять сервис дурову

 

[Антон Богатов]

2 минуты назад, alibek сказал:

Почему "хотя бы до /3"? /3 это одна восьмая интернета, какое-то нелогичное число.

Не понимаете вы логику наших чиновников: «ладно уж, один байт оставим на бедность нищебродам»:)

А так, конечно, все может кончиться /0 и обязательным чебураторным рутсервером на IX Ростелекома.

Ну а потом придет Маск со Старлинком  и рунет станет распределительной сетью портала госуслуг.

 

5 минут назад, LostSoul сказал:

бессмысленно.  телега непотопляема оттого что живет через Apple  APNS и Google GCM.

Если начать банить их диапазоны то повалятся все push сервисы, начиная от push в сбербанк онлайн 

Спасибо! Теперь я понимаю, что происходит. До урыстов такие штуки доходят небыстро.:)

[pppoetest]

2 минуты назад, Антон Богатов сказал:

Ну а потом придет Маск со Старлинком

Вояки грозятся глушить.

[alexwin]

2 минуты назад, Антон Богатов сказал:

Ну а потом придет Маск со Старлинком

Потом роскомнадзор будет аналогичным ковровым методом глушить спутники :).

[alibek]

23 минуты назад, LostSoul сказал:

Если начать банить их диапазоны то повалятся все push сервисы, начиная от push в сбербанк онлайн :-)

Ну это только если делать, как РКН до сих пор делал.

А если более грамотно, то все прекрасно блокируется.

На основе программного кода клиента можно написать бота, который будет получать все эти адреса прокси-серверов и блокировать их в режиме реального времени.

[mmikel]

1 час назад, LostSoul сказал:

У нас транспорт xmpp <--> WhatsApp сделан на базе spectrum2 + yowsup2

 

и стабильно работает?

[alibek]

22 минуты назад, Антон Богатов сказал:

Ну а потом придет Маск со Старлинком

ИМХО не взлетит.

Ломать всегда легче, чем строить.

[M-a-x-Z]

Интересно, а РКН мог бы отомстить Дурову.

Просто объявить, что ключи переданы и остановыить блокировку.

Репутация телеги в западных странах, на которые Павел делает ставку, после этого будет безнадёжно испорчена, даже если Дуров подаст в суд и в суде докажет обратное.

 

И репутация РКН на внутреннем хайпе подросла бы.

[LostSoul]

1 минуту назад, alibek сказал:

А если более грамотно, то все прекрасно блокируется.

А вы точно понимаете что такое GCM , его природу и назначение?

 

Оно как бы придумано чтоб смартфон в режиме глубокого сна меньше аккамулятора жрал.

Вместо того чтоб 50-100 установленных у вас  интерактивных приложений , проверяли наличие новых событий каждый на своем сервере они все проверяют единственную назначенную гуглом точку проверки.

А в эту единственную точку гугл ставит указатель, что "есть новое событие от приложения сбербанк, вацап, телеграм,  адрес обработки события".

 

И заодно с этим, система Android в режиме глубокого сна принудительно блокирует сетевую активность всего кроме сервиса проверки gcm.

Так что если заблокировать gcm , то ни один вацап или скайп не уведомит вас о новом сообщении пока вы принудительно экран не включите "посмотреть чего нового".

 

Но заблокировать его не так просто,  так как адреса "точки проверки" выдаются из огромных диапазонов,  так же используемых для множества других сервисов гугл. А само назначение вроде бы происходит по https с google play серверов

 

[alexwin]

1 минуту назад, M-a-x-Z сказал:

Просто объявить, что ключи переданы и остановыить блокировку.

Репутация телеги в западных странах, на которые Павел делает ставку, после этого будет безнадёжно испорчена, даже если Дуров подаст в суд и в суде докажет обратное.

Ну так это же Роскомнадзору придется доказывать,а не Дурову. Ложь легко вскроется,и будет еще больший обсер.