Pinned toot

TL;DR: Принимаю реквесты.

Тут совершенно внезапно для меня господин @holystubofcheese в "посоветуйте подписки-треде" напомнил мне о изначальной цели создания этого аккаунта (за что ему отдельная благодарность). В последнее время я как-то слишком дохуя ударился в политические темы. Но ведь шифропанк гораздо интереснее выебонов высокопоставленных гондонов в дорогих пиджачках. Поэтому я принимаю реквесты, на какую тему прямо или косвенно касающуюся шифропанковских штучек мне стоит раскидать по хардкору. Пожалуй, стоит оговориться, что я не хардкорный матанщик, а больше по прикладным темам, поэтому на вопрос "что более криптостойкое, AES-256 или Кузнечик" я вряд ли что-то интересное сказать смогу. Вбрасывайте интересующие вас вопросы. Не обещаю ответов быстрых, зато обещаю вдумчивых.

Слово в копилочку против обвешивания каждого угла камерами. Видеозаписи работают постфактум, а низкоранговые мобы о последствиях все равно не задумываются. Наказать их может и накажут, только тебе то от этого легче наврятли станет.

По личному опыту в тот единственный раз, когда камеры могли бы помочь избежать серьёзных проблем они оказались нерабочими. @rf

Рубрика
Выпуск бонусный.

Некий анонимус из числа читающих мои посты зареквестировал пост на тему настройки безопасности в линуксах. Универсальных советов тут будет очень мало в силу того, что каждый эти линуксы использует по-разному. Кому-то жизненно нужны игры. Кто-то днями и ночами сидит в видеоконфах. Кто-то постоянно работает с MSOffice-документами, а кому-то нужна защита от 0day RCE. Для этих юзкейсов будут принципиально разные методы защиты. Всё же капитан очевидность попробует найти несколько универсальных советов, которые будут полезными для каждого.

1. Регулярные обновления.
2. Изоляция активностей. Нужно запустить файл от анонимуса из интернетов - сделай это в виртуалке.
3. Выбор софта - только FOSS. Остальное - либо нахуй, либо в виртуалку. Лучше нахуй.

Собственно, из универсального всё. Линукс - это лишь ядро. Остальное юзер строит сам. В этом-то - в свободе действий - и вся прелесть "полноценных" систем, в отличие от тех, что предлагают нам в мобильных устройствах. И конкретные действия по обеспечению приватности и безопасности будут зависеть именно от того, что включается в "остальное".

@rf
>Впрочем, как-то раз в моей практике было такое, что пришло сообщение "привяжите актуальный номер телефона в течение недели, а не то аккаунт грохнем". Если это массовая практика сейчас, то это абсолютно положительный момент.

Протестировал. Получился примерно пикрелейтед. При нажатии на ссылку, отправляет смс на привязанный номер, также даёт привязать новый. В общем, даже оперативно удалить аккаунт пользователя телеграма при включённой 2фа потенциальный злоумышленник не сможет.

Show thread

Рубрика
Выпуск 4.
@nand: "Хотелось бы оставаться анонимным в интернете, защититься в первую очередь хотелось бы от своего интернет провайдера.
Какой VPN лучше использовать, сторонний (тогда каких провайдеров посоветуешь) или поднимать свой.
Что не так с Tor, что насчет схем VPN-Tor-VPN, Double VPN?"

В первую очередь предлагаю рассмотреть вопрос, а нужно ли это простому обывателю, который не делает ничего незаконного? Цпвлс не шлёт, веществами не торгует, экстремизм не репостит. Мой ответ однозначный - да, нужно. Это нужно всем.

Начнём с закона Яровой, СОРМов и прочей анально-оккупационной дряни. Операторы обязаны хранить трафик, буквально, "пока харды не закончатся". И я не думаю, что харды у них заканчиваются быстро. Плюс к этому, думаю очевидно, что значительная часть трафика идёт к ресурсам из списка ОРИ, которые, в свою очередь, предоставляют сессионные ключи TLS куда надо (mail-archive.com/nginx-ru@ngin). Это открывает возможность к оптимизации хранения трафика к ресурсам из списка, чтобы не записывать гигабайты шифромусора, а только то, что может быть интересно этим самым "кому надо".

Вторая причина, почему это нужно всем. Я неоднократно наблюдал, как коррумпированные работники интернет-провайдера в логах смотрели кто выходил в сеть с указанного IP-адреса в определённый период времени. Причём делали они это буквально за шоколадку/бутылку пива а иногда и даже вовсе за спасибо. Повторяю ещё раз. "Вычислить по IP и набить ебальник" - это не шутка и не старый мем, а суровая реальность жизни, причём была она такой всегда. Тем более, корпоративные ресурсы провайдера вполне можно взломать и получить доступ к тем же логам. И даже если потерпевший как-то узнает о произошедшем, доказать он такое вряд ли сможет, а если и каким-то чудом сможет - то о получении компенсации от недобросовестного провайдера можно будет только мечтать.

Также я в обозримом прошлом видел предложение следующей услуги: составляется вполне официальный запрос о содействии в расследовании уголовного дела и выдаче данных, посылается оператору, полученные данные выдаются заказчику. Опять же, тот, чьи данные были выданы о выдаче не узнает. А если случится чудо и узнает, то коррумпированные составители запроса пожмут плечами, скажут: "Ну, была какая-то там оперативная информация, не подтвердилась, скажите спасибо, что не посадили и идите нахуй". Услуга стоила не три копейки, но и не запредельные миллионы.

Кто-то сейчас точно скажет: "Ну это у вас в сраной рашке так, а в цивилизованной %страна-нейм% всё по-другому". А я на это отвечу, что вопрос только в цене, и я не думаю, что среди всех, кто имеет доступ к искомой информации в "цивилизованной" стране не найдётся ни одного, у которого не было бы избытка кредитов, жизненных трудностей или просто жадности до звонких монет.

С вопросом о необходимости определились. Теперь о методах. Если цель заключается исключительно в скрытии активности от своего интернет-провайдера, вполне хватит однохопового шифрованного прокси, через который перенаправляется весь трафик. Обычно под этим понимается VPN в "базовой комплектации". Сразу стоит оговориться, что многочисленные браузерные дополнения, в названиях которых фигурирует три заветных буквы к VPN не имеют ни малейшего отношения, это обычный прокси, даже не всегда шифрованный, и максимум, что от таких можно выжать - это обход блокировок, но ни о какой анонимности-приватности-безопасности речи там быть не может. Могут следить, могут втыкать рекламу. Поэтому про это говно нет смысла даже разговаривать.

Что получает пользователь, забивший в поисковик запрос "VPN"? Многочисленные сервисы, обещающие кнопку "сделать заебись", ты только заплати им. И всё-то у них анонимно, и логи у них не хранятся, и мамой они клянутся, и репутацией дорожат. Чего стоят эти обещания, можно увидеть по следующим двум ссылкам: theregister.com/2011/09/26/hid habr.com/ru/news/t/511678/
А после этих ссылок стоит послать все платные VPN-сервисы впн ко всем хуям. Однако, стоит отметить, что при некоторых узкоспециализированных юзкейсах они всё же будут полезны, но рядовому пользователю всё же вряд ли пригодятся. Кроме того, очень забавно наблюдать предложения VPN-сервисов поставить проприетарный клиент вместо использования всем известных открытых, но это уже отдельная степень идиотизма.

Ещё о негативных аспектах использования сервисов VPN-провайдеров можно почитать тут: tdemin.github.io/posts/2017-08

Следующий вариант. VPN на арендованном сервере. Для скрытия деятельности от провайдера - идеально. Провайдер действительно не будет знать ничего, кроме IP VPN-сервера, ну ещё протокол узнает, если включит DPI. Для чего-то большего, в т.ч. попыток в анонимность - рекомендовал бы поискать что-то посерьёзнее. Пример: Вася на форуме посёлка Вялые Херы заочно выебал мамку админа, находясь при этом за VPN на личном сервере. Админ форума при таком раскладе может поискать IP VPN-сервера Васи на предмет, не связан ли он с другими аккаунтами форума. Если Вася не совсем дурак и не ходил одновременно под личный и под тролльский аккаунт с IP своего VPN, то админ форума всё равно может обратиться к своему коррумпированному другу, работающему у интернет-провайдера с просьбой поискать IP VPN-сервера в логах. Из логов увидит, что к этому впн подключался только Вася, ну а дальше переходим к самой первой части повествования. Да, это заметно дороже и трудозатратнее в исполнении, однако всё ещё реализуемо. Особенно хорошо реализуемо, если у админа форума друг не работник интернет-провайдера, а обычный младший лейтенант полиции, в таком случае всё произойдёт ещё быстрее.

Добавляем к VPN ещё один сервер, получаем Double VPN. Целесообразно использовать для этого сервер в другой стране и у другого провайдера, чем первый. И нет, один сервер с двумя IP - это не даблвпн, а хуйня. С Double VPN сохраняем все преимущества обычного, плюс к этому добавляем что на уровне младшего лейтенанта полиции и коррумпированного работника провайдера вопрос с деанонимизацией решить не выйдет. Для деанона в данном случае придётся организовывать судебные ордера и это определённо будет долго, довольно дорого и шумно.

Следующий вариант - тор. Представляет собой трёххоповый шифрованный прокси. Для скрытия активности от провайдера в принципе подходит, с определёнными оговорками (использование как прозрачный system-wide прокси). Провайдер видит, что абонент пользуется тором. Тор обеспечивает анонимность пользователя, и даже если у атакующей-деанонимизирующей стороны есть IP exit-ноды, он обычно бесполезен. Пока за использование тора в России санкций нет. Но я не уверен в том, как долго это продлится, и нет ли каких-то негласных указаний у провайдеров касательно активных юзеров тора (скорее всего, пока нет, но быть уверенным в этом нельзя). Ведь одно дело, когда юзер запускает торбраузер раз в неделю, чтобы обойти блохировку русракера, другое - когда весь трафик прозрачно торифицирован. Лично моя персональная рекомендация: при слишком активном использовании тора (та же прозрачная торификация) скрывать тор от провайдера, например, тем же однохоповым впн перед тором (самый простой и в то же время надёжный вариант). Но из обоснований такого совета у меня исключительно конспирологические предположения. Впрочем, я точно помню, что читал статью о том, как некий школьник использовал тор, чтобы посмотреть хентай, а его гард-нода случайно оказалась экзит-нодой лжеминёра, в итоге постучали в дверь именно школьнику. (Если у кого-то в поисках этой статьи будет успех больше, чем у меня, прошу поделиться ссылкой.)

Что не так с тором? Да в принципе, всё с ним так. Свободный проект на открытых стандартах, проаудировать который может любой желающий. Кто-то ставит ему в укор происхождение из американских военных лабораторий, но ведь и интернет в принципе тоже родился именно там. Кто-то утверждает про то, что в самом торе есть какие-то мифические уязвимости и эксплойты, но я ни разу не видел ни малейших пруфов этого. Были уязвимости в фаерфоксе, на котором основан торбраузер, был heartbleed в openssl, были тайминг-атаки, но я ни разу не слышал, чтобы уязвимость была в самом протоколе. Говорят о возможности деанонимизации с помощью вредоносных нод, но рядом с этими разговорами неизменно приписывают, что для этого нужно чтобы звёзды сложились очень экзотическим образом. Для уменьшения вероятности атаки с вредоносными нодами советую исключить использование нод страны своего пребывания. Деанонимизация тора путём попытки раскрутить цепочку с помощью судебных ордеров выглядит нереализуемой из-за того, что одновременно каждым из серверов тора пользуются сотни человек. Попробовать-то конечно могут, но это будет дико дорого даже для госбюджетов и будет иметь околонулевой шанс успеха. В общем, Tor - это хорошо.

Дальше идут цепочки вида VPN-Tor-VPN. Рядовому пользователю они понадобятся лишь в совсем экзотических случаях, когда нужно и сохранить анонимность и тайну использования тора. Бывает, когда конечный ресурс запрещает использование тора, а отказаться от использования такого ресурса не выходит по объективным причинам. Вышеупомянутая схема VPN-Tor сама по себе даёт хороший уровень приватности, безопасности и анонимности. Добавление в конце ещё одного сервера даёт совсем небольшой прирост к этому уровню. Плюс к этому, чем сложнее и запутаннее в реализации схема, тем больше вероятность допустить ошибку. Поэтому цепочка вида VPN-Tor-VPN зачастую оказывается избыточной, да и скорости с пингами при её использовании будут довольно поганенькие по меркам тех, кто привык к гигабиту по оптике.

В качестве дисклеймера повторюсь, что я рассматриваю исключительно случаи, когда не совершается никакой откровенно незаконной деятельности. С иными случаями, пожалуйста, не ко мне. Да, безопасность едина для всех, и не может быть случая, когда для Васи с завода и гражданина по фамилии Навальный всё безопасно, а для наркоторговца Пети и Шамиля Басаева - небезопасно. Поэтому в принципе всё вышесказанное актуально и для менее этично настроенных граждан, но в таких случаях могут быть дополнительные нюансы. Также необходимо помнить, что универсальной кнопки "сделать анонимно/приватно/безопасно" - не существует. Идеальное для себя и своего юзкейса решение можно найти только самому.

@rf

Тут @iron_bug и @L29Ah в дискуссии о свободе слова напомнили мне презабавнейший случай. Спешу поделиться им с публикой, ну и не без удовольствия проедусь катком асфальтоукладчика по священной корове всяких там Мизулиных.

В далёком 2013 году я убивал время путём листания социальной сети Вконтакте. Такой гадостью баловался каждый, а кто говорит что не баловался - тот баловался вдвойне. И зацепился мой взгляд за комментарий, в котором некто предлагал купить архив со страшно-ужасно-незаконным детским порно. К комментарию был приложен список, из которого можно было понять, что предлагаемые файлы разных жанров и направлений, иными словами просто надёрганы из интернета. Мне сразу стало интересно, кто ж такой смелый, что выбрасывает такие предложения в откровенно сотрудничающей с кем надо соцсети? Открыл профиль, посмотрел. Страничка принадлежала пацану лет 15. Но самое интересное было не это, а его открытый список групп, в котором было немало групп как раз такой "незаконно-похабной" тематики. Некоторые из них были с открытым списком пользователей. Я часов шесть, не меньше, провёл рассматривая профили участников. Больше всего удивило то, что профили у многих были вполне правдоподобные и подробно заполненные данными реально существующих людей. Фейкоакки были исключением, а не правилом. Но основным из этой ситуации оказался следующий вывод. Настоящих педофилов (напоминаем, что педофилия - это психиатрический диагноз) там от силы процента 2-3. Максимум. Остальные - как раз скучающие школьники-студенты, которые с голубых экранов услышали, что детское порно запрещено и подумали, раз его запрещают, то, наверное это что-то пиздецки интересное. Эффект Стрейзанд в действии. Эти господа-участники в открытую активно делились сокровенными файлами между собой, наращивая количество "незаконного" контента в общем доступе.

Так что да, любая цензура, какими бы благими целями не оправдывалась либо просто бессмысленна, либо ведёт к негативным последствиям в долгосрочной перспективе. И за то, что по известным любому завсегдатаю имиджборд тегам можно найти сотни гигабайт "запрещёнки" стоит благодарить именно Мизулину, её подсосов и единомышленников. Равно как и за то, что эти самые теги известны широкому кругу лиц.

@drq @blank @nihonium

Если списки блокировки получат широкое распространение внутри Федиверса, #fediblock рискует превратиться в местный самопровозглашённый Роскомнадзор. Например, *требовать* от админов блокировки всех инстансов по списку - а кто откажется, тот попадёт в список сам.

Представь себе картину. Приходит к тебе такой паладин в белом пальто и говорит: "У вас тут Злой Гик за свободу слова высказывается. Причём для всех, даже для нацистов. Значит он пособник нацистов, а следовательно и сам нацист. Вы предоставляете платформу пособнику нацистов. Вы что, сами нацисты? А ну забаньте его немедленно. И заодно вот эти полторы тысячи инстансов - там тоже нацисты сидят".

И это даже не то чтобы сильная гипербола, я таких логических цепочек за последние годы в интернете очень много видел, люди на полном серьёзе такое пишут.

@drq @blank @nihonium

Джо Роган в последнее время много эту тему обсуждает, и он выступает против деплатформинга людей, даже если они высказывают сомнительные идеи - потому что деплатформинг создаёт нездоровый прецедент и уже вовсю используется для устранения политических конкурентов. Мне нравится его фраза:

"The answer to the 'bad speech' is a good speech"

Единственный способ по-настоящему победить людоедов - это быть убедительнее, чем они. Представлять аргументы, которые более убедительны, чем аргументы людоедов. Выставлять людоедов идиотами - тем более, что они сами рады тебе в этом помочь.

Если дать людоеду свободу слова - он тут же начинает радостно позориться. Нормальному человеку даже не нужно особенно стараться, чтобы выглядеть хорошо на его фоне. А вот когда начинаешь затыкать людоеду рот, он начинает выглядеть как мученик, страдающий от системной диктатуры. И в каком-то смысле реально превращается в него.

Сложная тема, короче.

Религии - странная штука. Сначала требуют от всех вокруг безоговорочной веры в плохо написанные древние фентези-сказки, а потом готовы убивать людей за неуважение к их персонажам. Прикиньте если бы фандом Гарри Поттера резал людям головы за карикатуры на Дамблдора.

@rf

Иногда у меня возникает желание отдохнуть и разгрузить мозги в каком-нибудь ААА-продукте игровой индустрии. Но, в связи с тем, что доблестные разработчики положили невообразимых размеров болтище на оптимизацию, мой пк оказывается недостаточно мощным для приличного слоя новинок. В связи с этим возникает классический вопрос про два стула. Стул первый: провести апгрейд ПК. В принципе, это всегда неплохо, но на все остальные задачи мне мощности железа хватает, и даже с небольшим запасом. Поэтому возникает стул номер два: приобрести пс4 с модифицированной прошивкой с возможностью запуска пиратских игр. Таки да, вопрос пиратства для меня принципиален так как вариантов приватной и анонимной оплаты в популярные продукты не завезли, и это не единственная причина, почему сторонники копирастии идут мимо треда, ибо вопрос "лицензия или пиратка" давно и безапелляционно решён.

Непосредственно о моих вариантах, по цене для меня они будут плюс-минус одинаковы. Но предполагаю, что ПК вновь устареет через года 2-3, если на вопрос оптимизации всё так же будет забиваться хер. В то же время, новинки с поддержкой пс4 вряд ли будут выходить дольше, да и в шутаны, коими является заметная часть AAA-продуктов, и которые мне интересны в первую очередь с джойстика играть не очень удобно. Современные консоли вообще в руках не держал, поэтому могу быть не осведомлён о каких-то иных подводных камнях.

В общем, что подскажете, господа уважаемые?

Quick reminder, "anonymous" data is never anonymous. Not on Apple, not on Google, not anywhere.

"We moved to GitHub because everyone's already there"

"We shut down the mailing lists because most of our users prefer to use GitLab in their web browser"

"We're rewriting in Rust because we don't really have any non-x86_64 users"

"We're leaving IRC because Discord is more user-friendly"

What all of these arguments have in common is that they exclude people, centralize infrastructure, and eschew free software for proprietary solutions, all in the name of some ill-defined measure of "progress".

Привет, @rf. Хочу порекомендовать тебе послушать подкаст от https://twitter.com/turbojedi, если ты ещё этого не сделал.

Лейтмотив эпизодов:

Компьютеры не работают.
Компьютеры не работают, потому что 40 лет назад выбрали архитектуру процессоров для калькуляторов вместо разрабатываемой архитектуры для рабочих станций.
Компьютеры не работают из-за бесконечно нарастающего слоя легаси.
Компьютеры не работают из-за нарастающей и неконтролируемой комплексности из-за слоя легаси.
Постоянно нарастающая комплексность делает невозможной предсказуемость работы компьютера, поэтому он, чаще всего, не работает.
Неработающие компьютеры стали общественной нормой и человечество обречено на коллапс.
Высокопроизводительные кластерные системы работают на архитектуре процессоров для калькуляторов.
Компьютеры не работают для гейминга и будут тормозить развитие технологий из-за слоя легаси архитектуры для калькуляторов.
Боль и страдания из-за BIOS. Боль и страдания из-за BIOS в UEFI. Мы обречены на боль и страдания в UEFI. Другие архитектуры, где нет боли и страдания из-за легаси BIOS, но туда хотят портировать UEFI.

Ссылки:

https://usilenie.plus/podcast/7/ https://usilenie.plus/podcast/9/ https://zavtracast.ru/200-2.html (первая половина подкаста)

И так как более реквестов у меня нет, напомню о том, что их можно оставить тут: qoto.org/@blank/10499780720440

Show thread

Рубрика
Выпуск 3. Часть 2.
@vegan: "И ещё, что не так с Protonmail (или все с ним хорошо?) и какие есть годные альтернативы? Как можно получать почту из страны, где Protonmail и т.п. заблокирован и местный бизнес просто не может отправить письмо, чек, подтверждение заказа, билет в кино?"

Выбор почтового сервера является непростой задачей даже для продвинутого пользователя. Я бы даже сказал, одной из наиболее сложных. Протоколу SMTP почти 40 лет. Он тащит за собой недочёты ещё с тех самых времён. Да, их пытаются заткнуть заплатками и костылями, но из-за необходимости держать обратную совместимость получается откровенно хуёво. Но даже при всех недочётах и дырах почта всё ещё выигрывает у тех технологий, что пытаются её заменить. И отсутствие почтового адреса сделает нахождение в интернете крайне затруднённым. Поэтому в этом выпуске не будет идти речь о "не прикасайтесь, детишки, к этому говну, оно вас сожрёт", ибо альтернатив нет, а где есть - они обычно в разы хуже. Впрочем, может и сожрать, если завернуть не туда. Сейчас все имеющиеся игроки рынка почтовых сервисов из кожи вон лезут, крича что именно они являются наиболее приватными и безопасными. Очень смешно становится, когда о приватности начинает говорить гугл, который не скрываясь сканирует корреспонденцию пользователя для таргетинга рекламы (habr.com/en/post/219447/ habr.com/ru/post/232359/). Но я думаю, что тут все и так знают, что гугл говно, корпорации говно, россиянские корпорации говно в кубе и про попсовые почтосервисы говорить нет смысла, всё уже миллион раз рассказано и даже протестировано многими на собственном опыте.

Что не так с Protonmail? Ну, начнём с этапа регистрации. При нажатии кнопки Signup с онион-домена идёт редирект без предупреждения на клирнет-версию. Затем придётся поперебирать exit-ноды, чтобы найти ту, с которой можно зарегистрироваться без указания номера телефона. Это возможно, я лично такое практиковал. Пару раз было такое, что сразу после регистрации срабатывал антифрод и аккаунт блокировался. Благо, у меня не было такого, что аккаунт блокировался уже в ходе его использования, но всё может случиться впервые. Далее читаем политику приватности, видим что они собирают телеметрию с помощью Matomo. На мой взгляд, та информация, что собирается таким образом не выбивается из юзкейса оптимизации ресурса. Они обещают, что максимально анонимизируют собранную информацию и не хранят её на машинах, подключенных к сети. Насколько этому можно доверять и насколько стоит с этим мириться - пусть каждый решит для себя сам, поэтому двигаемся дальше. Метадату писем владельцы сервера будут видеть в любом случае: так устроен протокол. Они утверждают, что не хранят незашифрованных писем (и это технически осуществимо), но теоретически они могут перехватить их в незашифрованном виде в момент передачи на сервер получателя или приёма. Они утверждают о e2e, но хранят ключи расшифровки на своём сервере. Были случаи внесудебного раскрытия информации, если говорить о том случае, что известен мне - была раскрыта только метадата, без текста писем (пикрелейтед). В общем, с приватностью у них дела обстоят на три с плюсом по пятибалльной шкале. Это всё ещё в разы лучше гугла, и в десятки раз лучше майлру с яндексом. Проедемся по юзабилити. Вебморда на тяжёлом жс, имап только с проприетарной мокрописькой и только для платных аккаунтов. Приложение отсутствует в f-droid, но exodus трекеров в приложении не обнаружил. Сервис уведомлений зависит от GSF. Мягко говоря, совсем не то, что хотелось бы видеть. Практикуется бан неугодных (dstormer6em3i4km.onion/i-was-j). А вот в плане безопасности у них действительно всё на достаточно приемлемом уровне, на мой взгляд. Естественно, при выкрутке настроек на максимум. Протон тяжело поймать на фишинг, так как атакующему изначально неизвестно сколько этапов аутентификации потребуется. Даже успешная попытка спереть куки даст низкий шанс на успех, так как сессия живёт очень непродолжительный период времени. Сброс пароля по номеру телефона не предусмотрен, что радует; и допускается возможность отключения функции сброса вообще, что радует вдвойне. Сессии логируются, уровень логов настраивается, возможность очистки логов допускается. В общем, говоря о защите протона от хакеров, как государственных так и не очень я не могу найти чего-то такого, до чего я мог бы докопаться.

Что до альтернатив. У меня сейчас нет ни одного почтовика, в который я мог бы ткнуть пальцем и сказать: "Вот, он хороший". Одни ущемляют анонимов, ограничивая регистрацию без прокси (Tutanota). Другие могут докопаться до идеологии (Riseup). Третьи - нестабильно работают в последние месяцы (cock.li). Четвёртые не дадут акк, пока не спустишься в яму и не станцуешь "Яблочко" (Disroot). У пятых сервер стоит в Санкт-Петербурге (Elude). Шестые не дают работать иначе, кроме как через свою тяжёлую и убогую вебморду (Protonmail, Tutanota). Пользуясь седьмыми, ты будешь светиться как новогодняя ёлка надписью СМОТРИТЕ Я КИБЕРАКТИВИСТ (Riseup). Восьмые платные (даже пример приводить не буду, тысячи их), а платить за почту лично я считаю выбрасыванием денег на ветер, ибо пользователь получает плюс-минус то же самое, ну разве что ещё с обещанием не подглядывать в почту. А платить за обещания - весьма недалёкий ход. (Исключение - предоставление почтового сервиса для пользовательского домена, в этом случае действительно оплата идёт не только за обещания.) Некоторые наоборот, считают плату за сервис плюсом, обосновывая это тем, что иначе схемы монетизации ресурса неясны, но что мешает в дополнение к платным аккаунтам монетизировать другими, "мутными" путями? Наличие онион-зеркала - вообще редкость, хотя в наше-то время оно должно быть даже у неофициального сайта общественного туалета посёлка Вялые Херы.

В общем, конкретных рекомендаций я дать не могу. Мои критерии выбора:
1. Никаких требований деанонимизации. "Выключите прокси", "дайте номер телефона" - сразу нахуй. Корпорации отсеиваются уже на этом моменте. С чуть меньшей вероятностью нахуй отправятся те, кто попросят станцевать "Яблочко".
2. Бесплатность.
3. Возможность использования IMAP. "IMAP only for premium users" и "IMAP через проприетарную мокропиську" - не считается.
4. Я не хочу платить за обещания, поэтому пообещай мне не сканить мои письма просто так.
5. Онион-домен. В крайней степени желателен.

Могу предложить начать поиски почтовика вот с этих ссылок. Не всё написанное там считаю верным, но как минимум это заслуживает внимания.
digdeeper.neocities.org/ghost/
zsxjtsgzborzdllyp64c6pwnjz5eic
dismail.de/serverlist.html

Дальше, насчёт блокировок почтовиков вопрос очень интересный. Я начну не с государственных блокировок, а с пользовательских. Гитхаб, к примеру, не позволяет зарегистрировать аккаунт на почту cock.li. Видел форума, где и вовсе был белый список почт для регистрации: где-то подтверждения отправлялись только на gmail и yahoo, где-то наоборот, поддерживали исключительно отечественного производителя. Это уёбищнейшая практика. Какое, блядь, админу форума посёлка Вялые Херы дело до того, какой почтовик я использую? По какому праву он решает, каким почтовиком я пользоваться могу, а каким нет? Я считаю сомнительной с этической точки зрения практикой блокировку адресов 10-минутных почт, но когда в этот банлист добавляют и другие почты, просто за то что они не лезут в анус своим пользователям, то это совсем уже пиздец.

Что с этим делать? С чёрными списками - обходить. Есть куча сервисов 10-минутных почт. Хоть один из них, да будет не забанен. С белыми списками - только слать нахуй такие ресурсы. Не показывать же аусвайс гуглу просто потому что какой-то хуй из интернета так захотел, в самом деле.

Дальше, о государственных блокировках. В первую очередь я обращаюсь к исследованию за авторством ValdikSS: ntc.party/t/email/400 . Там мы можем увидеть, что блокировки доставки писем реализованы довольно криво и выборочно, но такая проблема действительно существует. Также, бросился в глаза один момент, в достоверности которого я усомнился:
>ожидайте проблемы с доставкой и приёмом почты от владельцев почтовых ящиков на территории РФ, в особенности от организаций, использующих собственные почтовые серверы: провайдеры для физических и юридических лиц применяют более жесткие блокировки

Когда я тестировал (было это где-то года полтора назад), провайдер для юридических лиц не блокировал "запрещённые" ресурсы. Телеграм и рутрекер спокойно открывались без дополнительных танцев с бубном. И это была вполне официальная практика, то есть не недосмотр провайдера. Из этого я делаю предположение, что от компаний, которые почтовик селфхостят не должно быть проблем с доставкой почты на "запрещённый" почтовик. Я не знаю, может быть почтовики блокируются как-то иначе или ситуация с блокировками для юрлиц изменилась. Если у кого-то есть впска на территории РФ с российским айпишником (на хостинг-провайдеров распространяются те же правила, что и на юрлиц), либо сервак где-то на работе, то очень прошу проверить, как ходят письма. Это очень важный момент, от этого зависит, насколько допустим селфхост с серверами в рф.

Что с этим делать? Выгнать слабоумных с государственных должностей ссаными тряпками. Иными средствами эта проблема не решается. Нужно бороться с болезнью, а не с её симптомами. Можно, конечно, попридумывать всякие там костыли с переадресациями, возможно это даже будет работать, но в итоге все равно будет какое-то говно и однозначный ущерб приватности.

Рассуждая о селфхосте. Селфхост - это наиболее идеологически верный способ решения данной проблемы. Верный идеологически, но я не не могу сказать, насколько он реализуем на практике, ведь там совсем не так просто, как кажется. Сперва заебёшься настраивать всякие там DKIM, хуим и прочие штуки, без которых тебя не пропустит ни один антиспам. А потом всё равно соснёшь, потому что письмо на твой сервер почему-то идёт аж 15 минут, а с твоего сервера несмотря на все настройки и вовсе ничего не доходит получателю просто потому что его копроративный господин так решил.

Централизация почтовых сервисов вокруг крупных игроков очевидно даёт негативные эффекты. Плохо, конечно, когда вокруг монополистов собираются частные юзеры, но вдвойне плохо, когда к этим же монополистам идёт бизнес, доверяя таким образом свои коммерческие тайны третьим лицам. А от этих самых третьих лиц особого рвения в защите чужих секретов я не замечал никогда. У мелких предпринимателей, даже если и есть свой сайт (что стало уже редкостью, сейчас приоритетным направлением продвижения в интернете являются сосальные сети), то почта для коммерческих предложений в подавляющем большинстве случаев окажется вида v.pupkin@mail.ru. Средние же, чаще всего, воспользуются чем-то типа бесплатной почты для доменов, опять же, наиболее вероятно что у рашкосервиса. Или точно так же будут принимать коммерческие предложения на своё родное личное мыло на зондосервере. А селфхост даёт возможность, которую я называю эксюрисдикционностью. Тебе становится просто плевать на закидоны местного царька. Запретил царёк отправлять письма на какой-либо почтовик - ты просто перенёс сервер в соседнюю страну, перенастроил днс и не испытываешь проблем с тем, что твой клиент не может получить чек на почту. Любая государственная блокировка работает в первую очередь не против владельцев конкурирующего сервиса из враждебно настроенного государства, а против своих же собственных граждан, которые этим сервисом пользуются. Лучше всего это проиллюстрировала Украина, забанив российские корпорации. То, что ебала жаба гадюку это бесспорно, но основной ущерб понесли как раз своя, родная украинская экономика, украинские граждане и фирмы, которым понадобилось переделывать свою деловую инфраструктуру для доступа к критично важной для своего бизнеса информации. А вот если бы они селфхостились, такой проблемы у них никогда бы не возникло. Интернет изначально задумывался как отказустойчивая децентрализованная сеть, но в том, во что его превратили копрорасты децентрализацией не пахнет.

В общем, могу сказать, что селфхост стоит всячески продвигать и развивать, чтобы копрорастов и ебанашек, дорвавшихся до власти можно было спокойно слать нахуй, но насколько он юзабелен будет в имеющихся реалиях, и будет ли вообще, я никаких гарантий дать не могу.

@rf

Рубрика
Выпуск 3. Часть 1.
@vegan: "что лучше, Signal или Telegram для общения с не активистами?"

В следующем видео содержится вполне обстоятельный ответ на данный вопрос, а я тем временем расскажу почему дела обстоят именно так.
invidious.snopyta.org/watch?v=

Все, кто употребляет в одном приложении слова "привязка мобильного телефона" и "приватно" или "безопасно" без отрицания либо нагло пиздят, либо не понимают о чём говорят. За пруфами, пожалуйста, на хабр. Вбиваем в поиск "перехват sms", "перевыпуск sim" и наслаждаемся. Лично мне бельше всего понравился вот этот материал: habr.com/ru/post/396367/
>22 июля 2016 в 17:46
>Примерно три месяца назад Павел Дуров предупредил пользователей, что авторизация по SMS в мессенджере Telegram скомпрометирована.
>Представители Telegram заверили, что закроют уязвимость в течение ближайших дней.
Спустя 4 года альтернатив смс-аутентификации так и не завезли. Безопасность, хуле.

Аутентификация по смс это не только небезопасно, но ещё и неприватно и неэтично. Мессенджеры, заточенные на номер телефона, а также приложения двойного назначения, о которых я говорил двумя постами ранее экспортируют вашу телефонную книгу к себе на сервер. Уверены, что среди ваших контактов не будет таких, которые резко против того, чтобы их номер в сочетании с именем из телефонной книги знал владелец приложения? Кроме того, это ещё одна причина почему сим без регистрации не спасёт гения русской демократии от перехвата смс кровавой гэбней. Ведь все равно условный Усманов, и не только он увидит, что номер, купленный в переходе пять пользователей сохранили в своих телефонных книгах под именем "Пупкинидзе Васисуалий Абрамович". Телефонная книга твоего приятеля запросто оказывается на серваке, например майлру или сбербанка (ведь поиск аккаунтов вконтакта и банковские переводы по номеру телефона - это так удобно!), а уже эти неуважаемые господа поделятся этой инфой со всеми, кто спросит. Дальше снова вступает в игру перехват смс и открывает возможности для импостинга даже в случае, если логи старых переписок получить не удалось. Обыватель не обратит внимание на предупреждение о том, что ключи поменялись, а даже если и обратит, то успокоится после слов "а, да я телефон новый купил просто" без каких-либо дополнительных проверок. Проходили уже этот момент на практике.

Про сбор базы номеров пользователей мессенджеров банальным перебором лично я писал ещё где-то за год-полтора до того, как пошла шумиха про деанон бунтующих гонконгцев. Поэтому тоже особо заостряться на этой теме не вижу смысла, оставлю ссылку на исследования и скажу что собранные базы вовсю монетизируются, в том числе и всякого рода бандитами и мошенниками: habr.com/ru/company/vdsina/blo

От теории идём к практике. Все уже поняли, что мессенджеры с привязкой номера телефона говно, но жизнь нам не даёт остановиться на этом. Нужно выбрать менее отвратительный сорт говна из представленных. В первоначальном вопросе-то был безальтернативный выбор, поэтому от сравнения сортов уйти не удастся. Мне не хватит компетенции, чтобы сравнить где протокол шифрования математически более устойчивый, да зачастую это и ни к чему, очень часто хватает внимательного рассмотрения с точки зрения рядового пользователя, чтобы понять, насколько бы криптостойким там шифрование не было, это всё маркетинговая фикция.

Сигнал я тестил не так активно, но что-то он мне подозрительно сильно напоминает вотсап. Благо, вотсап уже даже бабушки не рассматривают как что-то секурное. Даже развитие у сигнала с вотсапом идёт слишком параллельно для простого совпадения: один был для исключительно для смартфонов, и второй так же. У одного появляется какой-то мокрописечно-костыльный десктопный клиент в браузере, и у второго появляется подобие. Наконец, одни выкатывают не настолько костыльный десктопный клиент у одного, и вторые тоже подхватывают. Механизмы работы у них схожи, но это я чуть попозже рассмотрю. В общем, для меня сигнал - это просто вотсап без фейсбука. Отсутствие фейсбука это шаг в верную сторону, но там и без того проблем хватает.

Одним из наиболее критичным аргументов против сигнала в пользу телеграма будет наработанная юзербаза последнего. Даже о xmpp слышали больше, чем о сигнале. А если человек так и так согласен ради меня такого хорошего ставить новый мессенджер и пользоваться им, то зачем я ему буду советовать сигнал, когда я ему могу посоветовать xmpp с нормальным шифрованием? Wire? Tox? Matrix? Что угодно, что не требует обязательной привязки номера телефона и только за счёт этого фактора по умолчанию выигрывает в плане приватности и безопасности. Основная проблема непопсовых мессенджеров именно в том, что ты оказываешься единственным контактом в листе твоего собеседника, он перестаёт следить за онлайном, и по итогу приходится периодически передавать по альтернативным каналам связи просьбу выйти, в данном примере, в сигнал, что является просто адски неудобным костылём. Использование сигнала в таких условиях не имеет ни малейшего практического смысла. Телеграм же уже есть у гораздо большего количества аудитории. Миллионы мух, как говорится...

Есть и другие преимущества телеграма в сравнении с сигналом:
1. Телефон требуется один раз только при регистрации, потом можно принимать одноразовые коды в имеющуюся сессию.
2. Наличие возможности связаться с контактом, не раскрывая ему свой номер и не узнавая его номер.
3. Наличие вменяемого десктопного клиента и возможность иметь несколько сессий одновременно. Я не тестил актуальный десктопный клиент сигнала, поэтому не знаю, требуется ли во время использования десктопного клиента держать смартфон в сети (знаю, что раньше вотсап таким бредом занимался), но залогиниться (не говоря уже о регистрации) без смартфона не получится однозначно, что однозначно относит десктопный клиент к числу неполноценных обрубков.
4. Активная борьба сигнала с альтернативными клиентами и отсутствие в f-droid тоже не добавляет уверенности в добросовестности сигнала.

Так же стоит отметить, что Сигнал принадлежит компании, базирующейся в Калифорнии. Многие вполне обоснованно критически относятся к американской юрисдикции, поэтому стоит иметь этот факт в виду. С учётом этого и вышесказанного, становится совершенно непонятно, за что Сигнал столь любим господином Сноуденом. Не хотелось бы верить в то, что ему тупо занесли грязных бумажек за рекламу.

Что же касается телеграма, помимо обозначенных выше общих для всех "телефоннономерных" мессенджеров недостатков стоит отметить отсутствие e2e по умолчанию, невозможность участия в e2e-зашифрованной сессии для десктопных платформ. Очень неоднозначный ход, когда оставляют так называемые секретные чаты для андроида и ios, не делают их поддержку в telegram desktop для винды и линуха, мотивируя это тем, что пользователь может запутаться в секретных чатах, но тут же добавляя поддержку секретных чатов в клиенте для macos. Ход подозрительный, если не сказать более. Странно, что до сих пор нет форков десктопных клиентов с поддержкой e2e-шифрования, это косвенно указывает на то, что секретные чаты используют не так уж и много народа. Также еще стоит отметить очень активный датамайнинг в отношении пользователей, осуществляемый всеми, кому не лень. Базы собираются не только по формату юзерид - номер телефона - юзернейм, но ещё и по активности. Например, прикладываю образец результата поиска интересов пользователя от некоего бота. Конкретно этот бот собирает, как я понял, по публичным групповым чатам. (Приложенный скрин бот выдаёт как образец, но я по результатам личных тестов могу сказать, что он довольно точный. Так, у одного пользователя он выдал город проживания, несколько тематических сообществ и профессию. У другого в списке интересов помимо прочего оказалось название организации, в которой он работает.) Но стоит отметить что это не проблема протокола телеграма или его реализации, ибо при желании даже публичные xmpp-чаты подобным образом парсить можно. На форумах спамеров базы для таргетированного спама, собранные с помощью вотсапа разлетаются только так. А младший брат вотсапа такой участи избежал исключительно из-за малой популярности. Если бы сигнал имел такую же юзербазу, то и его бы тоже активно парсили.

Резюмируя вышесказанное. При безальтернативном выборе между сигналом и телеграмом лично мой выбор будет в пользу телеграма именно по причинам наличия юзербазы, самостоятельного десктопного клиента (а не придатка к смартфону) и отсутствия необходимости держать постоянную сим-карту для приёма аутентификационных смс. Стабильная работа через тор тоже идёт в плюс продукту Дурова. Сигнал же в моих глазах в имеющихся условиях является квинтессенцией понятия бесполезности. Естественно, при использовании телеграма необходимо соблюдать меры предосторожности, такие как использование при регистрации одноразового номера далёкой страны, максимально закрыть номер телефона настройками приватности, использование 2fa, ну и ограничить звонки во избежание утечек ip через p2p. На этом месте обычно возникает вопрос, не угонят ли аккаунт при использовании сервисов приёма смс? Нет, если юзать 2фа, при таком раскладе его могут только уничтожить и создать новый вместо него. Впрочем, как-то раз в моей практике было такое, что пришло сообщение "привяжите актуальный номер телефона в течение недели, а не то аккаунт грохнем". Если это массовая практика сейчас, то это абсолютно положительный момент. Но чаще вообще никаких проблем не возникает, у меня есть аккаунты, которые живут уже больше 3 лет. Да, использование сервисов приёма смс это откровенный костыль, но телеграм хотя бы допускает использование такого костыля, в отличие от конкурентов. Конкретных сервисов советовать не буду, ибо мне за рекламу не платят. Также настоятельно рекомендуется разнести активность по нескольким аккаунтам, чтобы осложнить жизнь датамайнерам. Естественно, не передавать никакой критичной информации по небезопасным каналам, коим является абсолютно любой мессенджер с привязкой телефона. Ну а лучше всего, таки да, не использовать мессенджеры с обязательной привязкой номера телефона вообще. Для осуществления мессенджером функции передачи сообщения номер телефона объективно нахуй не нужен.

Ну и раз зашёл разговор про мессенджеры, не могу не упомянуть одну активно пережёвываемую легенду. На случай, если мне её все-таки кто-то сможет разъяснить. Легенда эта о невероятной сложности столь любимого мной xmpp. С каких пор для того, чтобы придумать логин и пароль требуется быть доктором технических наук? С задачей придумать логин и пароль для инстаграма или что там сейчас в моде среднестатистический пользователь успешно справляется. Тут-то что не так? Я наблюдал детей по 12-14 лет, которые успешно осваивали жаббер, девушек, которые считались неразбирающимися в технике, да кого угодно. Мне рассказывали о том, что conversations устанавливали бабушкам-дедушкам и они никакой разницы с тем же вотсапом не замечали. Откуда растут ноги у этого бреда?

Про почтовые сервисы поговорим в следующий раз, ибо и без того много букв вышло. Холивар объявляю открытым.

@rf

Рубрика
Выпуск 2.
@abslimit: "Твое отношение к существующей системе PKI в Интернете и как рассматриваешь альтернативы ей?"

В первую очередь, говоря о PKI речь ведут о TLS и HTTPS, в этом контексте и будем рассуждать. В том виде, в котором это реализовано сейчас - это откровенный костыль. Мы сначала налепим DNS на TCP/IP, а только потом поймём, что это нихрена не защищено от подмены и перехвата, повесим сбоку кое-как криптографию и прокатаемся на этом велосипеде вот уже 30 лет. Даже на вики определение CA звучит как "сторона, чья честность неоспорима...". Ну это же бред. Даже если предположить, что в центрах сертификации работают святые, не подверженные никакому давлению со стороны бандитов из правительства и бандитов обыкновенных (а это совершенно точно не так), остаётся ещё человеческий фактор. CA могут хакнуть, могут обмануть при осуществлении проверки. Такое уже было, причём не раз. В общем, вопрос доверия, а в наше время все почему-то постоянно просят доверять третьей стороне без каких-либо гарантий.

Вопрос действительно очень сложный. Не притрагиваться к PKI в текущих условиях означает остаться без шифрования собственных ресурсов. Митмят сейчас все, кому не лень, начиная от государств и заканчивая хакерами. Естественно, что в ответ на митмы активно навязывается повсеместное шифрование, и это правильно. Селф-сигнед сертификаты не дают достаточного уровня безопасности, ибо сложно проверить, действительно ли сертификат сгенерирован легитимной стороной или всё тем же васяном посередине. Текущая система PKI это зло, но зло в имеющихся условиях неизбежное, и заметно меньшее чем доступные альтернативные варианты.

Централизация это всегда плохо. Говоря о PKI, нельзя сказать, что там всё жёстко централизовано, всё-таки CA не один, но тем не менее, выбор совсем небольшой. По факту, стоит выбор между бесплатным Let's Encrypt и платными CA, которые не предполагают сохранения анонимности пользователя. По крайней мере, я таких не видел. Большая часть CA расположена в США, что накладывает еще ограничения на выбор.

Отдельно ещё раз проедусь по летсэнкрипту. Доступность шифрования - это, безусловно, хорошо, но в то же время летсэнкрипт открыл возможность получать заветный зелёный замочек для всяких там accountmanagement.google.totally-not-a-phishing.com. Но это опять же, зло меньшее, чем безальтернативное: "покажи аусвайс, заплати с кредитки или останься с голой жопой перед майорами, лейтенантами и даже сраными сержантами, не говоря уже о хакерах из 9Б класса". А попадающиеся на фишинг - сами себе злобные буратины.

О реальных альтернативах PKI можно будет поговорить, когда система традиционных доменных имён с ICANN во главе промарширует нахуй. Сейчас ближе всего к приемлемому варианту находятся хидден-сервисы тора. Изначально криптографически подтверждена идентичность сервера, а шифрование обеспечивается by design протокола. Альтернативы будут, когда сеть будет более децентрализованной. А пока что мы движемся в прямо противоположном направлении.

Show more
Qoto Mastodon

QOTO: Question Others to Teach Ourselves. A STEM-oriented instance.

No hate, No censorship. Be kind, be respectful

We federate with all servers: we don't block any servers.