Max (мессенджер)

[phantom]

А что в этом месенджере с шифрованием переписки или с доступом к ней третьих лиц? Как я понимаю шифрования нет и наверное не будет и вся переписка будет лежать на сервере с возможностью доступа третьей стороной

[Umnik]

Да наверняка. За приватными переписками — это в Signal хотя бы.

[Mrak]

1 час назад, Umnik сказал:

За приватными переписками — это в Signal хотя бы.

В сети море слухов, что Сигнал во всю могут читать Американцы, т.е. реальной приватности нет. Хотя проверить этот факт самостоятельно мы, разумеется, не сможем. 

 

1 час назад, phantom сказал:

вся переписка будет лежать на сервере с возможностью доступа третьей стороной

Что же ты такого хочешь там обсудить, что будет для тебя критично? Ведь под третьей стороной ты подразумеваешь не условных конкурентов/жену/любовницу/друзей/бывших и т. п., а правоохранительные органы? 

Так им будет глубоко пофигу на твои списки продуктов, номера банковских карт, флирт с девушкой и даже на отправленное фото твоего большого хозяйства (огорода, разумеется). 

[Umnik]

8 минут назад, Mrak сказал:

В сети море слухов, что Сигнал во всю могут читать Американцы

Нет. Его протокол действительно защищён. Для таких приложений как Сигнал используют проникновение через само устройство, а не мессенджер. То есть давайте отделим одно от другого. Является ли Сигнал действительно хорошим, защищённым клиентом? Да, однозначно. Означает ли это, что я могу переписываться с кем угодно? Нет, конечно, потому что ты или твой собеседник могут быть дурачками, которые понаставят всякого овна на телефоны и сам телефон станет источником утечки данных.

[Mrak]

1 минуту назад, Umnik сказал:

Для таких приложений как Сигнал используют проникновение через само устройство, а не мессенджер.

То есть они ставят программу-шпион на телефон жертвы и через неё видят все переписке в мессенджере, независимо от того, что это за мессенджер?

 

Отсюда вопрос про менеджеры паролей: почему не слышно, чтобы все пароли из КПМ и иных менеджеров паролей таким образом вытягивали? Ведь по идее ставишь программу шпион, ждёшь, пока КПМ разблокируют, вытягиваешь сразу 100% паролей у пользователя. 

[Umnik]

Только что, Mrak сказал:

То есть они ставят программу-шпион на телефон жертвы и через неё видят все переписке в мессенджере, независимо от того, что это за мессенджер?

Ну, если упрощать, то да. Разумеется, мессенджеры умеют этому сопротивляться. Но они сопротивляются во-первых далеко не все (примитивная проверка: если можешь снять скриншот, то защиты нет), во-вторых сопротивляться они могут лишь через системные возможности. А уязвимости в системах закрывают, закрывают, закрывают, да закрыть не могут.

 

Ну и это лишь один из способов. Можно навязать жертве просто поддельную версию. Это будет настоящий мессенджер, он будет работать полноценно. Просто параллельно ещё и сливать, куда надо.

 

Если это какой-то групповой чат из каких-то опасных ребят, то среди этих ребят может быть и сотрудник служб — это вообще всем должно быть очевидно. А в случае 1 на 1, если ты лично не встречался с человеком и вы не сканировали QR коды в приложении друг у друга стоят прям вот рядом, как можно гарантировать, что общается с тем, с кем надо?

 

Возьмём WA. Он то и дело пишет о ваших собеседниках, что ключ изменился. Хоть кто-нибудь реально проверял, это тот же человек или нет? Потому что это стреляет механизм защиты из Signal (WA использует под капотом его протокол со своими доделками). Это сообщение означает, что приложение в лучшем случае было переустановлено (на настоящее или поддельное?), а скорее это вообще уже другой телефон (того же человека или другого?).

 

10 минут назад, Mrak сказал:

почему не слышно, чтобы все пароли из КПМ и иных менеджеров паролей таким образом вытягивали?

Потому что стоимость атаки на Васяна несоизмеримо больше стоимости данных Васяна. Использование целевых атак — а навязать поддельный клиент, внедрить агента (и не обязательно это органы — это могут быть конкуренты или просто враги) — это атака, заточенная под вполне конкретных людей, это очень дорого. Вася просто не представляет ценности для тех, кто проводит подобного рода атаки.

При этом КПМ обеспечивает достаточный уровень защиты, чтобы защитить от таких атакующих, которые не обладают огромными возможностями и бесконечными деньгами.

Это правило в ИБ такое: стоимость атаки должна превышать стоимость данных, но стоимость данных не должна превышать стоимость защиты. Стоимость, понятное дело, не только в деньгах меряется. Вполне может измеряться временем, может измеряться даже чувствами.

 

19 минут назад, Mrak сказал:

Ведь по идее ставишь программу шпион, ждёшь, пока КПМ разблокируют, вытягиваешь сразу 100% паролей у пользователя.

Опасение верное. Такая атака под силу даже мне. Ну и в принципе, это как раз тот уровень, от которого и нужно защищаться КПМ.

 

• КПМ не должен давать считать ввод пароля. Для проверки включи запись экрана. В идеале делать это не системой, а любым приложением, которое умеет транслировать экран. При вводе мастер пароля его не должно быть видно на записи. В простом случае экран просто чёрный будет, в более тонком будет скрыто только само поле ввода
• При копировании пароля в буфер обмена из КПМ, доступ к паролю имеют:
  • текущая активная клавиатура. Следовательно, клавиатуры должны быть только те, которым доверяешь. Клавиатура от Васяна может быть трояном, которая и ввод собирает, и буфер обмена читает
  • системные приложения. Ну это понятно, от системы не скрыться. Потому прошивка не должна быть от Васяна. Типа виндовых ЗверьСиДи
  • то приложение, в которое происходит вставка

То есть работающий в фоне троян не может прочитать буфер обмена, это запрещено в самом Android. Но ещё лучше использовать встроенный в Android механизм ввода паролей через специальный сервис. В этом случае буфер обмена не используется и отваливаются в том числе троянские клавиатуры.

 

Про iOS не скажу, но уверен, что суть у них точно такая же. Сейчас все ОСи одинаково примерно развиваются.