Самозащита

Автор интернет-ресурса на данный момент активно занят созданием собственного сервиса защиты интернет-трафика от перехвата третьими лицами. Это не VPN, по крайней мере, в классическом его понимании.

Сервис, разумеется, будет коммерческим. Что отличает его от «расплодившихся» провайдеров с ботами в Telegram, так это полноценная собственная инфраструктура и особое внимание к безопасности.

У сервиса будет своё собственное современное приложение для Android (затем — для Windows/Linux/iOS), написанное на языках с приемлемой безопасностью памяти (Kotlin/Java), интерфейсом на Jetpack Compose и системой дизайна Material 3 Expressive.

Так как автор интернет-ресурса достаточно хорошо разбирается в современных угрозах, защита от перехвата будет распространятся на получение необходимых данных от сервера. Даже до того, как вы непосредственно подключитесь к инфраструктуре.

В рамках оперативной безопасности конкретные методы и способы тут обсуждаться не будут, но большинство из них сейчас считаются передовыми.

Из-за массивной конкуренции на этом «поприще», код клиента будет полностью закрыт. Защита от «умников» с декомпилятором JADX/Ghidra тоже там будет.

Первое время распространение клиента будет происходить через обычный файл .apk, до момента включения приложения в магазин Play Store.

Клиент для iOS/macOS на Swift/Swift UI также планируется, но у автора значительно больше опыта разработки именно на Android (что видно по клиенту Opengram, например), да и в App Store банально сложнее попасть. Ожидать его можно не раньше начала первого квартала следующего года.

Клиенты под Linux/Windows, написанные преимущественно на Rust, планируются на начало декабря.

«Цена» вопроса также будет крайне конкурентоспособной, с той поправкой, что у большинства сервисов нет даже нормального клиента. Эти затраты, безусловно, надо учитывать.

Запуск запланирован на начало ноября. Тогда же появится более подробная информация, «что» и «каким образом» работает.

Вам повезёт. || Интернет-сайт

Спасение утопающих

Призывать к защите объектов коммерческих ИТ-компаний, сейчас, как минимум, глупо.

Сгоревший суперкомпьютер «Яндекса» — его головная боль. То же самое применимо ко всем последующим объектам, на которые будут падать «обломки» БПЛА. К сожалению, ни о каком завершении кампании по атакам на ЦОД речи не идёт.

В первую очередь, необходимо укреплять энергетическую систему. Стоит напомнить, что она сейчас, как можно судить, защищена ровно также, как дата-центры «Яндекса». Жители республики Крым не дадут соврать.

Отсутствие интернета (которое вполне можно ожидать при текущем темпе) гораздо менее вредно, чем отсутствие света в центральной части страны.

Каждый дрон, который успешно сжигает датацентр, стоит примерно в тысячу раз дешевле, чем его цель. Даже если этих дронов было несколько сотен. Это без учёта того, что у российских ИТ-компаний сильно повреждена цепочка поставок.

Принимая во внимание то, что мировой дефицит компонентов для вычислительного оборудования (в частности, оперативной памяти) сохранится как минимум несколько лет, можно сказать, что дрон наносит ущерба в пять тысяч раз больше его стоимости.

Ущербом является не только сгоревшее «железо», но и упущенная прибыль конкретной ИТ-компании. Безусловно, через некоторое время пойдут слухи, что «Яндекс» бьют, а какого-то левого провайдера — нет. Мол, принадлежит он «кому надо». Что за этим последует, объяснять не нужно.

Это та самая «война на истощение», о которой некоторые «спикеры» так любят поговорить.

При этом, даже эти потери не пойдут в никакое сравнение с тем, что будет, если в Московской Области на десять часов пропадает электричество.

Вам повезёт. || Интернет-сайт

Вчера многие «крупные» Telegram-каналы начали «разгон» темы запрета прямого обмена криптовалют. Мол, можно будет только покупать, продавать, спекулировать на изменении курса. И никаких «холодных» кошельков.

Переводя на простой «человеческий», Банк России запретил россиянам владеть криптовалютой. Только «циферками» на аккаунте брокера.

Конечно, запрет этот «курам на смех». Ровно также, как запрет VPN, запрет безопасных (неподконтрольных) мессенджеров, а также бесчисленное множество других откровенно «чекистких» запретов.

Даже не взирая на то, что закон прямо запрещает тем же VPN работать без лицензии, они все равно работают. И даже принимают оплату в безналичных рублях, что, мягко говоря, крайне нежелательно.

Если оператор «поумнее» и принимает оплату в криптовалюте, все, что могут сделать российские надзорные органы — начать стучать «ножками» и блокировать протоколы (а заодно — банкоматы). Ни о каком «посадить» при грамотной модели угроз первого речи не идёт.

Ровно также будет и с криптовалютами. Начиная с обменников на «Горбушке» заканчивая интернет-сайтами.

Другими словами, «запрещалка» не выросла.

Вам повезёт. || Интернет-сайт

В траве сидел «кузнечик»

Минцифры тут хочет перевести сети 5G (на данный момент — 4G с новой вывеской) на доморощенный российский алгоритм шифрования «Кузнечик» (он же ГОСТ).

Во-первых, российские алгоритмы шифрования хуже, чем проверенные зарубежные. Ответ на вопрос «почему?» содержится в слове «проверенные». Использование «Кузнечика» за пределами государственного контура исчезающе мало.

Это значит, что алгоритм хуже «обследован», из-за чего может содержать многие неизвестные ошибки в дизайне.

Кроме этого, многие уважаемые криптографы прямо говорили о том, что «Кузнечик» специально нарушает принцип прозрачности «Nothing up my sleeve», что является серьёзным признаком наличия «бэкдора».

Из-за этого существует правило «не изобретать кирпич», а использовать международно признанные алгоритмы. Не хотите AES (Rijndael)? Есть ещё два финалиста конкурса AES, шифр Serpent и Twofish.

Тот же Serpent существует уже практически 30 лет, что кратно больше, чем «Кузнечик». Во времена его разработки российское государство ещё использовало ущербный алгоритм «Магма», который был буквально «кладезью» ошибок.

При этом, на Serpent не существует ни одной теоретической атаки, которая бы хотя бы немного касалась реальности, а не мира «розовых пони» с бесконечными вычислительными мощностями.

Что мешало взять его? Отсутствие аппаратных ускорителей в устройствах, может быть. Вот только у «Кузнечика» их тоже нет. Можно твёрдо сказать, что все финалисты AES качественно сильнее российских «поделок».

Минцифры же занимается имитацией «цифрового суверенитета», которого у России нет, и даже в следующем десятилетии не появится. Все попытки создать российский процессор, например, сталкивались с безумными уровнями коррупции, вследствие чего проваливались.

К тому же, начинать строить «цифровой суверенитет» нужно было ещё в начале нулевых, а не после того, как грянул «гром». Возможно, что сейчас он нужен в том же качестве, что и ежегодный «бордюринг» в Москве — пилить бюджет.

Вам повезёт. || Интернет-сайт

Именно из-за этого крайне нежелательно устанавливать российские около-государственные программы на традиционные ОС.

Например, несчастный мессенджер «Макс» на более-менее защищенном устройстве Android/iOS может читать и записывать файлы только в своей директории. Доступ к галерее — отдельное разрешение.

На компьютере же, этот самый «Макс» может не спрашивая включить камеру, отправить любой файл на сервера VK из доступных пользователю директорий, записать звук, а в некоторых случаях — посмотреть другие приложения (привет, оконный сервер X11).

Если кто-то захочет опровергнуть вышеперечисленные возможности, автор услужливо «ткнет» опровергающего в закрытый код приложения, который, к тому же, может быть легко изменён по команде сервера.

Если «очень надо», то лучше изолировать такие программы в отдельной виртуальной машине. Да, «сбежать» из них все ещё можно, но крайне трудно.

Только используйте нормальный гипервизор, например VMware Workstation или встроенный в ядро Linux KVM.

Вам повезёт. || Интернет-сайт

Вышла новая стабильная версия клиента Opengram, 13.0.2b.

В первую очередь, был добавлен «фильтр» сообщений Opengram Message Filter, который позволяет скрыть любое сообщение по ключевым словам.

У каждого аккаунта в приложении свой «список» и ключи шифрования от него. Кроме этого, для каждого аккаунта его можно включить отдельно, по аналогии с «режимом призрака».

Message Filter на данный момент распространяется на каналы и чаты с ботами, но не на личные сообщения и группы. Это сделано специально для исключения случайной блокировки сообщений.

Причина добавления этой функции крайне проста: автора интернет-ресурса просто достала чрезвычайно навязчивая реклама «Альфа-банка», казино и прочих мошеннических организаций.

Несмотря на то, что используются последние компоненты мессенджера Telegram, автором было принято непростое решение полностью «вырезать» новый Telegram Wallet.

Во-первых, криптокошельку нечего делать в мессенджере. Во-вторых, администрация мессенджера удаляет аккаунты «направо и налево». Неправльно хоть как-то поддерживать хранение «монет» в таком ненадженом месте.

Продвинутые пользователи могут внимательно изучить тег 7175b, в котором содержится и ряд других улучшений.

Как всегда, скачать готовый установочный файл можно на странице GitHub Releases или с этого веб-сервера.

Вам повезёт. || Интернет-сайт

МИД Катара тут высказал одну достаточно простую, но интересную мысль: мир, возможно, уже не стоит на «пороге» третей мировой, а проходит её первый год.

Этому, по субъективной оценке автора, появляется все больше подтверждений. Например, военная кампания под маркой «СВО» с самых первых её месяцев перестала быть региональной.

В полной мере это продемонстрировал «Оранжевый человек», отключив системы Starshield/Starlink и перестав давать разведанные стране 404 на весьма символический период времени. Результат был не только на конкретных «лицах» руководства 404, но и на объектах двойного назначения.

Оказалось, что дроны, использующие проприетарную связь не так эффективны, если за океаном сидит полоумный застройщик, у которого «горит» поддержка на выборах.

Широко известно, что 404 воет оружием стран НАТО, американскими технологиями и китайскими комплектующими. От себя — только «пушечное мясо».

Хотелось бы прокомментировать недавние решения «начальства» по вопросу сотрудничества с страной, которая целенаправленно повышает эффективность обозначенных ими же «врагов», но сейчас это воспринимают как «фейки» о чем-то там.

Про ближний восток можно и не говорить. За прошедший год от Ирана «отхватили» примерно все страны персидского залива. Израиль там чисто для «украшения» был. Теперь военных баз США в регионе нет, только если в ИИ-картинках Белого Дома.

И чем это не зачатки «третей мирововой», спрашивается?

Вам повезёт. || Интернет-сайт

Проблема атрибуции, часть первая

Описав технологический «базис» функций аппаратной защиты данных, таких как Duress PIN, стоит поговорить об их практическом применении. В российском контексте, их полезность в большей мере состоит в «выбивании стула» из под юридических доказательств причастности того или иного человека к сетевому аккаунту.

Широко известно, что во многих уголовных делах о «дискредитации ВС РФ» тем или иным образом фигурирует полицейское насилие. Мол, затолкали в машину, дали несколько раз в «морду», затем попросили дать пароль от телефона.

Дорогие «оборотни в погонах» делают это не ради собственного удовлетворения, а для создания «атрибуции» конкретного «физика» к аккаунту в желаемой социальной сети.

Так получилось, что обычное насилие многократно более эффективно чем российские комплексы для проведения операций «цифровой криминалистики», которые практически бесполезны против устройств с адекватной моделью безопасности.

При этом, если устройство содержит только «кашу» из зашифрованных алгоритмом AES-256 данных, а пароль вводить некуда, те же самые «оборотни» попадают в «тупик».

Когда нет простого способа восстановления зашифрованных данных (например, ноутбук с тем же аккаунтом), то у следствия возникает нужда доказать, что конкретный «Вася» является владельцем аккаунта «Правительство Инсайды Онлайн».

Если «Вася» не был откровенным «идиотом» и следовал базовым принципам операционной безопасности, то задача эта — крайне ресурсоемкая, из-за чего, с поправкой на текущее положение органов «правопорядка» — практически невыполнима.

Стоит отметить, что данная модель угроз предполагает «правовое государство», а не «государственный беспредел», что может показаться весьма смешным. Справедливости ради, в некоторых местах оно все ещё существует.

В российском контексте подобное «сжигание» данных не влечёт уголовного наказания. Истории про задержанных в США, Британии, и прочих странах запада здесь нерелевантны, ведь «Может, вам повезёт?» — российский интернет-ресурс.

Это только самый простой, и, как следствие, распространённый пример. Существует множество «оригинальных» способов уничтожения данных и с традиционных компьютеров, речь о которых пойдёт в будущих материалах.

Вам повезёт. || Интернет-сайт

Новость про тривиально взломанные промежуточные центры индийского УЦ eMudhra пересказывать нет смысла. Проблема в том, что «вопрос» с ними только открывается.

Если «в двух словах», то любой может выпустить с их помощью сертификат и использовать его для перехвата соединений, например.

По-хорошему, этому должны мешать списки Certificate Transparency, т. е. блокчейн, в котором хранятся все запросы на выпуск сертификатов. Вот только используют его в основном браузеры, и то не все.

В программах, особенно для компьютеров, применение CT стремится к нулю. Android начал требовать применять CT только в приложениях для 17-й версии.

Взломанным «промежуточным» центрам будут доверять сотни миллионов устройств ещё как минимум несколько кварталов. Это просто «праздник десятилетия» для всех видов спецслужб (в т. ч. отечественных), хакеров и сервисов корпоративного шпионажа.

Когда у пользователя на узле связи стоит де-факто автоматизированный «хакер» (в нашем случае, ТСПУ), ничего не мешает ему осуществить перехват соединения с помощью подделанных сертификатов.

Пользователь не получит предупреждение о том, что его соединение идёт через сертификат, выпущенный «Петром» через утекщий, но доверенный приватный ключ.

Единственный способ — отключить их. Автор выложит инструкцию для Android (большинство устройств которого не получат обновлённое хранилище сертификатов вовсе) следующим постом в Telegram-канале ресурса.

Для всех остальных — спросите у любого ИИ-ассистента, как отключить тот или иной корневой сертификат на вашей ОС. Важно заметить, что на iOS/macOS это сделать нельзя. Далее нужно будет отключить четыре «корня» eMudhra.

Этой «халявой» также будут пользоваться операторы перехватчиков сотовой связи, которые достаточно популярны в Москве, например. При этом, даже в пределах МКАДа многие базовые станции вообще не шифруют трафик.

Об этом услужливо сообщает GrapheneOS/Pixel OS, например. Единственный способ получить приемлемое шифрование данных в этом случае — использовать VPN.

В связи с серьёзностью ситуации, поделитесь этой публикацией с друзьями/знакомыми. Чем больше людей будут «в курсе», тем меньше вреда будет нанесено.

Вам повезёт. || Интернет-сайт

Сегодня интернет-сайту «Может, вам повезёт?», kremlinkernel.com, исполняется год.

Изначально, сделан был он по двум причинам: во-первых, автору было хорошо известно о грядущей блокировке Telegram ещё в сентябре прошлого года. Соответственно, была необходимость в создании отдельного «зеркала».

Во-вторых, сам Telegram неоднократно удалял канал «Может, вам повезёт?». Несколько позже было установлено, что наиболее вероятный заказчик — «Лига Безопасного Интернета». Об этом свидетельствовала как и публичная «эвристика», так и ряд непубличных сведений, которые получил автор.

До недавнего времени kremlinkernel.com работал на системе CMS WordPress, у которого все же больше минусов, чем плюсов. Один из таких — высокая поверхность атаки из-за «раздутости» оного.

В конце сентября профессиональная «чуйка» автора все больше говорила о том, что использование подобного рода решений становится опаснее с каждым днём.

Из-за этого было принято решение полностью переписать сайт. Так как «Может, вам повезёт?» тяжело назвать веб-приложением, разумнее всего было сделать его статичным.

В современном мире уже давно слово «статичный» не означает «деревянный». Обычный CSS сейчас покрывает чрезвычайно большой ряд задач.

Весьма забавно, что ровно через месяц с начала разработки в PHP появилась критическая уязвимость, которая позволила бы запросто взломать прошлый сайт на WordPress.

Кроме всего перечисленного, теперь «Может, вам повезёт?» также использует собственный форк анти-бот системы Anubis. Автору уж никак не нравилось её стандартное оформление. Также, после первого посещения читать публикации можно даже без интернета.

Итоговый результат доступен на kremlinkernel.com. Общий дизайн теперь должен отражать эмоциональную палитру обсуждаемых тем, насколько это возможно.

Вам повезёт. || Интернет-сайт

Перерасчет алчности

По ряду каналов прошлась новость, что в клиенты Telegram скоро будет добавлена лента рекомендаций в отдельной вкладке. Кроме этого, речь также идет про возможность подключить ИИ-агента от популярных провайдеров через API-ключи прямо в приложении.

Разумеется, это далеко не всё, но обсуждение десятка-другого мелких правок мы сейчас опустим.

Автору интернет-ресурса есть что сказать по этому поводу. В т. ч. и потому, что поддержка клиента Opengram, например, предполагает постоянное взаимодействие с «потугами» команды Дурова.

Первое. Лента как таковая не нужна, ибо уже существует. «Листать» непрочитанные сообщения в каналах можно уже как пару лет. Зачем делать из этого отдельную вкладку — загадка.

Кроме этого, новый раздел «новости» предполагает также и секцию с отобранными алгоритмом постами со всего Telegram. В своё время Дуров, кстати, сильно «кичился», что у него такой ленты нет — мол, что хочешь, то и читай.

Можно уверенно сказать, что изобретение велосипеда происходит ради рекламы в этой самой ленте. Учитывая, насколько Telegram Ads стали назойливыми, её там будет много.

Автор (или уже разработчик?) сейчас размышляет, что же с этим «счастьем» делать. Наиболее вероятно, что вкладка с новостями в Opengram будет отключена по умолчанию. Те, кому она нужна, смогут включить её самостоятельно.

Второй вариант — «вырезать» весь код, связанный с «Новостями», по аналогии с Telegram Wallet. На данный момент «железных» оснований, как в случае с последним, для этого нет.

Telegram Wallet был опасен тем, что работал в одной и той же песочнице и памяти с обычным Telegram, через которые проходит чудовищное количество потенциально вредоносных данных.

Соответственно, существовал неиллюзорный риск взлома этого «кошелька» через уязвимость в медиа-библиотеке, например.

Второе. В случае с ИИ-агентами прямо в приложении, всё достаточно просто. Даже без учёта того, что мало кто будет выпускать API-ключи и оплачивать токены, это совершенно бесполезно.

Гораздо проще пользоваться «соседним» приложением провайдера (тем же ChatGPT или Claude), чем пытаться «вкорячить» их же прямо в Telegram.

Из-за того, что у этой «фичи» нет даже намека на адекватную модель использования, в Opengram её не будет.

Вместо добавления «свистелок», команде мессенджера стоило бы задуматься о его безопасности, которая сейчас находится на достаточно низком уровне. Но это же для «лохов», ведь так?

Вам повезёт. || Интернет-сайт

Банки «попросили» Минцифры обязать производителей предустанавливать российские государственные сертификаты на устройства с Android.

Краткая справка. «Может, вам повезёт?» считает, что сертификаты НУЦ Минцифры представляют серьёзную угрозу для конфиденциальности интернет-соединений.

Аргументация тут крайне простая. НУЦ контролируется Минцифры (которое, в свою очередь, контролируется одной «службой безопасности») и полностью непрозрачен.

Вкупе с враждебной сетевой инфраструктурой (исходя из базовой теории информационной безопасности), ТСПУ, это создаёт крайне удобную среду для перехвата сетевых соединений.

«Банкам» этот сертификат не нужен. В приложениях «Сбера», а также многих других, уже «вшит» сертификат Минцифры. Устанавливать его в систему ради указанной цели совершенно бесполезно.

Забавно, что ровно этим же образом сотовые операторы просили заблокировать все неподконтрольные сервисы интернет-телефонии, в числе которых был и Telegram.

Выводы на усмотрение читателя.

Вам повезёт. || Интернет-сайт

Вышла новая стабильная версия клиента Opengram, 13.1.1.

Ничего примечательного, кроме ряда исправлений и обновления компонентов Telegram до последней версии, в этом релизе нет.

Продвинутым пользователям стоит ознакомиться с тегом 7237, остальным — скачать готовый пакет со страницы GitHub Releases или этого веб-сервера.

Вам повезёт. || Интернет-сайт

Про инцидент с приложением для отслеживания крипто-кошельков FomoPeek.

По сообщениям СМИ, оно использовало цепочку из 8-ми уязвимостей в iOS 12.0 — 26.1 и осуществляло кражу приватных ключей и прочей информации с устройства.

Ничего «экстраординарного» в этом «кейсе» нет. Приложение успешно воспользовалось тем, что пользователи не обновлялись длительное время.

Для справки, у многих уязвимостей после выхода обновлений безопасности появляются публичные примеры на GitHub и прочих ресурсах. По большей части, это применимо к Android, но и iOS исключением не является.

Из-за этого даже отставание от обновлений безопасности на месяц напрочь разрушает модель безопасности устройства. Автор может даже вам привести конкретный пример, CVE-2026-49881, критический уровень опасности.

У неё есть публичный пример на GitHub. Использовав код из репозитория Supersonic/TLPE, автор может запросто написать полноценное шпионское ПО за несколько дней.

При этом, оно будет работать на всех устройствах Android 17, которые не имеют обновлений безопасности за октябрь этого года.

Совет тут только один. Обновляйтесь вовремя, друзья.

Вам повезёт. || Интернет-сайт

Искажения времени

Говоря про безопасность информационных систем, нельзя не затронуть тему системного времени, ведь большинство устройств не защищены от простейших атак по его искажению.

Время достаточно чувствительно для информационной безопасности. Например, ключ автора «Может, вам повезёт?», которым тот подписывает теги в репозитории Opengram, действителен только один год.

Это не значит, что Opengram будет существовать только в течение действия этого ключа. После истечения он, разумеется, будет заменен, и устройства должны маркировать его соответственно.

Допустим, что сотовая сеть, или любой другой тип подключения к интернету содержит в себе атакующего. В нашем случае, нужно понимать, что в такой роли может выступать государственное ТСПУ.

Из базовой теории информационной безопасности следует, что любую такую систему стоит воспринимать как враждебную, пока не доказано обратное. Так как спецификации ТСПУ засекречены, доказать её безопасность невозможно.

ТСПУ может в любой момент перехватить запрос через незашифрованный (!) NTP и подменить ответ на собственный, тем самым отодвинув время на произвольную величину.

Таким образом, ключ, который должен быть истекшим, можно сделать действительным.

То же самое относится к сертификатам безопасности у веб-сервисов, ведь те тоже имеют ограниченный срок действия. В случае с kremlinkernel.com, это шесть дней.

Опять же, путём перехвата запроса к серверам NTP можно сделать уже истекший сертификат действительным.

Есть серьёзные основания полагать, что подобные атаки уже применяются на ограниченной основе, дабы не привлекать внимание.

Как защититься? Существует такая вещь, как Network Time Security (NTS). В GrapheneOS и некоторых дистрибутивах Linux оно включено по умолчанию.

Из-за того, что NTS получает обновления времени по зашифрованному и аутентифицированному каналу, исказить системное время становится экспоненциально сложнее.

«Может, вам повезёт?» вскоре выпустит руководство по настройке NTS в системах Linux. Оно будет исключительно простое, на уровне «скопировать, затем вставить».

В случае с абсолютным большинством сборок Android, macOS/iOS/iPadOS и Windows, самостоятельно настроить NTS там нельзя.

Вам повезёт. || Интернет-сайт

Про взлом Binance не написал только ленивый. Причём, большинство «спикеров» привычно переняли роль «попугаев», повторяя слова, смысл которых они не понимают.

Если убрать название компании и сумму ущерба, останется только «фактура» дела, которую стоит уже высечь в граните: не существует полностью безопасной централизованной платформы.

Этот принцип, к слову, распространяется на любую информационную систему в принципе. При этом, методы взлома, как и методы защиты от них, хорошо изучены и известны.

Хакеры, взломавшие Binance, не использовали «темную магию». Скорее всего, речь шла о хорошо изученных классах ошибок, защищаться от которых пытаются всю историю современного интернета.

По мнению автора, важно тут то, что этот «инцидент» подтверждает исключительную опасность хранения криптовалюты на централизованных биржах. Любимый многими ЦБ, кстати, разрешил только такой тип кошельков в РФ.

Хранили бы пользователи Binance свои средства на отдельном крипто-кошельке или даже простеньком iPhone, ущерб был в более чем сто раз меньше.

К сожалению, история не «терпит» сослагательного наклонения. Что история «терпит» и даже поощряет, так это обучение на чужих ошибках.

Вам повезёт. || Интернет-сайт