Палит вашу маршрутизацию "в мир", включая все IP (включая внутренние) "по дороге". Для деятелей, любящих устраивать срач на форуме — скажу сразу: под "палит" понимается доступ к, и откровенный вывод соответствующего окна GUI "в лоб" показывающего ваш текущий маршрут (без IP адресов). Сливается ли куда-то эта информация или нет — не изучал, но такое поведение не понравилось априори. Снёс.
-
XSS.stack #1 – первый литературный журнал от юзеров форума
Session (https://getsession.org), проблема анонимности
- Автор темы BlackByte
- Дата начала
Бро, ты видимо слишком умный, а я слишком глупый. Абсолютно не понимаю, о чем ты ведешь речь, при этом для меня твое первое предложение противоречит второму. Некоторые слова как "GUI-окно" или что ты вкладываешь в "маршрут" и "внутренние IP" - я не понимаю в принципе.
BlackByte, представь на мгновение, что я клиент твоего элитного консалтинг сервиса и проконсультируй, пожалуйста. Лучшая реклама получится, как мне кажется.
Проблемы в Session действительно имеются: начиная с юрисдикции - Австралия - где власти могут абсолютно законными методами просить разработчиков вшить бэкдор, заканчивая использованием неаудированного протокола (который был два года назад сменен с Сигналовского тихо и без внятной на то причины):
Другой проект той же компании у меня по опр причинам тоже вызывает огромный интерес: https://lokinet.org/
Разговор о мессенджерах очень актуальный, хотелось бы больше технических деталей и подробностей по проблемам. А то по Токсу все ушло в прошлый раз куда-то в никуда.
BlackByte, представь на мгновение, что я клиент твоего элитного консалтинг сервиса и проконсультируй, пожалуйста. Лучшая реклама получится, как мне кажется.
Проблемы в Session действительно имеются: начиная с юрисдикции - Австралия - где власти могут абсолютно законными методами просить разработчиков вшить бэкдор, заканчивая использованием неаудированного протокола (который был два года назад сменен с Сигналовского тихо и без внятной на то причины):
Другой проект той же компании у меня по опр причинам тоже вызывает огромный интерес: https://lokinet.org/
Разговор о мессенджерах очень актуальный, хотелось бы больше технических деталей и подробностей по проблемам. А то по Токсу все ушло в прошлый раз куда-то в никуда.
- Автор темы
- Добавить закладку
- #3
Не, бро, модераторы глупыми не бывают, не притворяйся. Ты слишком добрый и слишком занятой. Вероятно, это я не сумел корректно донести мысль. Что ж, попробуем еще разок.
Специально для тебя, я пошел и снова слил дистриб этого прекрасного мессенджера, чтобы наглядно показать тебе что именно я имел в виду. Вот то самое окно (элемент GUI), которое показывает маршрут твоего трафика (они называют это Path). Т.е. софтина не просто осуществляет коммуникацию вовне с использованием маршрутизации хоста, но и показывает тебе как именно ее трафик идет в мир (причем делает это криво, путает последовательность хопов). Учитывая, что это банальная визуальная репрезентация трассировки с последующим определением принадлежности IP каждого хопа к стране - вот на кой она это делает? Если такая функциональность есть, что мешает дописать несколько строк и сливать это налево? (повторюсь, я не проверял). Т.е. у тебя есть некая точка терминации трафика, а тут какая то софтина все ипишники которые ДО (и которые ты бы не хотел никуда светить) берет и палит (может палить в теории). Вот и весь посыл. Как тебе такое нравится? Мне не нравится, о чем я выше и написал.
Учитывая вот ровно то, что ты написал, мне вся эта картина не нравится. Понятно, что так можно сказать про любой софт работающий на машине, но тут прям явным образом говорят "смотри чувак, вот так идет твой трафик". Как знать, может вся эта инфа сливается через неаудированный протокол по тихому смененный два года назад?
Не люблю сарказм.
Вложения
Это не твой трейс к апстриму или к серверам Session, потому что архитектура заявлена как "децентрализованная", то что ты видишь носит название "Onion routing": https://getsession.org/blog/session-protocol-technical-information
При этом:
Источник: https://r.jordan.im/download/technology/jefferys2020-2.pdf
Т.е. то, что ты видишь в этом окне, должны быть три случайно выбранных ониона (Service Node), через которые будет идти весь роутинг на момент текущей сессии.
Откуда берутся онионы:
Можете засетапить сами и посмотреть, что происходит с трафиком на стороне ноды: https://docs.oxen.io/oxen-docs/using-the-oxen-blockchain/oxen-service-node-guides
P. S. Немножко неловко себя ощущать защитником мессенджера, который мне не нравится по причинам, что я уже озвучил ранее, но давайте не превращаться в форум домохозяек. Если есть утверждение, что сливается трейс куда-то, то вероятно нужно подтвердить утверждение как-то хотя бы слепком трафика, либо обосновать логически. А то сильно печально становится от таких выводов из ничего
- Автор темы
- Добавить закладку
- #5
Заявлено может быть что угодно. Вот только поясни мне пожалуйста, каким образом, если терминация трафика осуществляется во Франции, это прекрасное приложение рисует мне в качестве начальной точки штаты? Если следовать этой логике (и если я верно ее понял, доки пока не читал), то от Франции должно быть три выбранных ониона, а не от штатов. Таким образом, показывает оно именно текущую маршрутизацию трафика, реальную. А не какие-то там луковые слои. Могу ошибаться, конечно. Подождем аргументов спецов по сетям.
Должны быть, угу.
Хорошая попытка, но нет. Я несколько раз написал, что НЕ утверждаю про слив (написал что МОЖЕТ сливать).
Давайте. Предлагаю начать с внимательного прочтения того, о чем я пишу. См. выше.
Это дискуссия из разряда:
- Вероятно, что большинство нод Тора администрируются спецслужбами США, которые являются истинными разработчиками протокола и используют его недокументированные возможности для снифа трафика с целью деанонимизации пользователей.
- Какие ваши доказательства?
- Прочитайте внимательно, о чем я пишу. Я НЕ утверждаю, что это так и написал "вероятно".
Окей, бро, збс. Едем дальше
- Вероятно, что большинство нод Тора администрируются спецслужбами США, которые являются истинными разработчиками протокола и используют его недокументированные возможности для снифа трафика с целью деанонимизации пользователей.
- Какие ваши доказательства?
- Прочитайте внимательно, о чем я пишу. Я НЕ утверждаю, что это так и написал "вероятно".
Окей, бро, збс. Едем дальше
Как я это вижу -- было сказано что софтина смотрит маршрутизацию. Поставил, чтобы составить свое мнение. Подтверждаю, вижу в окошке трейс до точки выхода своего трафика в мир. Если уважаемый братва думает что маршрутизация от хоста может строиться в обход статических роутов прибитых гвоздями, то ему пора на форум домохозяек))) Без обид.Это дискуссия из разряда:
- Вероятно, что большинство нод Тора администрируются спецслужбами США, которые являются истинными разработчиками протокола и используют его недокументированные возможности для снифа трафика с целью деанонимизации пользователей.
- Какие ваши доказательства?
- Прочитайте внимательно, о чем я пишу. Я НЕ утверждаю, что это так и написал "вероятно".
Окей, бро, збс. Едем дальше
Добавлю свои 5 копеек: маршрутизация часто DE-DE-DE, DE-DE-FR, DE-US-DE, AU-AU-FR. Страны не смущают? Особенно то что могут быть и три одинаковые... А страны из группы 9 Eyes. Что мешает отслеживать? Практически ничего.
Другие 5 копеек: чтобы запустить ноду - нужно купить их крипту и удерживать, просто запустить ноду как в Status не получиться. За их протокол без PFS - ...
Чтобы потом эти копейки с верху на глаза не поставили.
Другие 5 копеек: чтобы запустить ноду - нужно купить их крипту и удерживать, просто запустить ноду как в Status не получиться. За их протокол без PFS - ...
Чтобы потом эти копейки с верху на глаза не поставили.
- Автор темы
- Добавить закладку
- #9
В точку! Не может, о том и речь. Так что в окошке рисуется не луковый роутинг, а реальный (по крайней мере по странам).
Бро, я Session здесь защищать не хочу, лол, НО - давайте все таки будем объективными и набор стран объясняется довольно просто: популярными хостерами VPS. Я не знаю ни одной более-менее активной p2p сети, что была бы построена не на хостах внутри стран 9 глаз (пользователи или серверы). Да, было бы охренительно круто организовать 1000 нод в абузоустойчивых ДЦ или просто "интересных" странах, но реально ли это?
Именно поэтому все часто и пляшет вокруг технологий - а именно протоколов и криптографии. Отсюда мне лично интересно читать о проблемах в протоколах и криптографии, но с какими-то обоснованиями, а не конспирологическими теориями из ниоткуда.
Но это мое мнение. Не как модератора, личное.
Если у них P2P модель и образно тебе пишет условный Кребс и цепочка через условного
Приложение не дает настроить прокси и кстати оно работает очень галимо через тор)
Дальше в самом приложении:
- без гугл сервисов даже в их FDroid есть это говно
- без гугл сервисов вы будете получать сообщения раз в 15 минут (тема не однократно поднималась чтобы висел сервис в фоне, но что-то мешает разрабам)
- работа звонков это отдельный ужас и до сих пор не сделали чтобы не палили IP. Аудита не было, не удивлюсь если можно как-то "пингануть звонком" того кто его не разрешал
- без PFS ваши сообщения и так "временно" будут на нодах и их шифрует
Я не эксперт в области криптографии и это чисто моё мнение. И для меня это слишком шарашкина контора чтобы она позиционировалась как:
- free for everyone (платные ноды)
- open source (в клиенте гугл говно)
- secure (без PQA, PFS, звонки сливают IP)
- anonymous (роут через одну страну)
Из поста ТС сразу было ясно, что к протоколам суть поста имеет отдаленное отношение, ибо ТС сразу сказал что не проверял. По итогу срач как обычно, ты ему про ивана, он тебе про барана.
Но то что апп видит и показывает реальный маршрут -- я понимаю почему ТС это не нравится. Продолжай считать маршрутизацию конспирологией)
Ахаха, зачёт!))
Можешь поподробнее объяснить? При звонке трафик каким-то другим способом передаётся? Как это можно посмотреть и контролировать?
И можешь ли в этом плане годное по посоветовать, чтобы аналогично сквозному шифрованию в переписке аудиозвонки шли
А как можно шифрование звонков и правильную передачу трафика проверить самостоятельно?
Perfect Forward Secrecy was removed from Session in order to make it easy for the security agencies to spy on messages.
How do you like the chain USA-GERMi-UKRAPINE ? session 3To xyuH9| 2k%
- Автор темы
- Добавить закладку
- #18
Не стоит мешать людям заблуждаться (=