• XSS.stack #1 – первый литературный журнал от юзеров форума

Telegram небезопасен! Телега сливает логи.

Отслеживать
pa3k сказал(а):
Ну совсем в крайности впадать тоже не надо. Дуров на волне хайпа внедрил в головы, что телега прям приватна и безопасна, вот большинство и повелось.

И вот тут как раз получается такая тема - начинаешь в личке, пишешь - "го в жабу", а тебе в ответ - "я жабу не юзаю, давай в тг". И, к сожалению, приходится юзать тг для таких случаев.
У меня лично такого никогда не было, ни единого раз.
Все адекватные люди на форуме имеют жабу.

@admin предлагаю за отказ от жабы (+ ОТР) банить, так же как и за отказ от гаранта. =) Сразу будет повод отсеить немного людей
 
Pyramidion сказал(а):
У меня лично такого никогда не было, ни единого раз.
Все адекватные люди на форуме имеют жабу.

@admin предлагаю за отказ от жабы (+ ОТР) банить, так же как и за отказ от гаранта. =) Сразу будет повод отсеить немного людей
Офигеть, а что потом? Баним всех, кто не юзает жаббер thesecure.at? Тоже отсеит немного людей:D
 
Pyramidion сказал(а):
У меня лично такого никогда не было, ни единого раз.
Все адекватные люди на форуме имеют жабу.

@admin предлагаю за отказ от жабы (+ ОТР) банить, так же как и за отказ от гаранта. =) Сразу будет повод отсеить немного людей
Кто не пользуется OMEMO предлагая OTR, банить тогда)) Зачем старьё (OTR) пинать?! От Telegram никуда не убежать, он будет в сделках полюбому у многих. Предложил бы блокировать кто не использует Pidgin ещё)) Мне только один раз попадался продавец которому не удобен xmpp, но тот тоже предложил тогда на форуме сделку провести. Чем форум не нравится? Здесь точно кинутым оказаться меньше всего процентов, а конфиденциальную инфу можно в записки пихать, либо надёжный PGP использовать.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Pyramidion сказал(а):
предлагаю за отказ от жабы (+ ОТР) банить
Это мы уже проходили. Дай таким как ты красную кнопку, и банить вскоре будут тех, у кого ник не начинается с Piram..
И будем все пирамидонами за пару лет. Нафиг.
 
Adam сказал(а):
Кто не пользуется OMEMO предлагая OTR, банить тогда)) Зачем старьё (OTR) пинать?! От Telegram никуда не убежать, он будет в сделках полюбому у многих. Предложил бы блокировать кто не использует Pidgin ещё)) Мне только один раз попадался продавец которому не удобен xmpp, но тот тоже предложил тогда на форуме сделку провести. Чем форум не нравится? Здесь точно кинутым оказаться меньше всего процентов, а конфиденциальную инфу можно в записки пихать, либо надёжный PGP использовать.
Stallman сказал(а):
Это мы уже проходили. Дай таким как ты красную кнопку, и банить вскоре будут тех, у кого ник не начинается с Piram..
И будем все пирамидонами за пару лет. Нафиг.
Заклевали сразу. С вами никакой инициативы проявлять нельзя.
А по поводу сделок на форуме, мне нравится - можно и на форуме проводить.
 
Pyramidion сказал(а):
Заклевали сразу. С вами никакой инициативы проявлять нельзя.
А по поводу сделок на форуме, мне нравится - можно и на форуме проводить.
Инициатива когда предлагаешь чего то, о чём неизвестно и более надёжно. Про otr все знают, а про Telgram говорить нечего без доков, просто слухи, что он не безопасен, не более. Там тоже впринципе никто не мешает использовать дополнительное шифрование, левый номер, прокси. Предлагать устаревший и косячный метод не стоит. Не удобны большинству ваши жабы, не стабильные сервера, глючные программы, косячный otr без шифра в оффлайне, без передачи файлов, без конференций)) Голубиную почту тогда лучше, про неё точно все забыли, никто не перехватит))
 
Adam сказал(а):
Инициатива когда предлагаешь чего то, о чём неизвестно и более надёжно. Про otr все знают, а про Telgram говорить нечего без доков, просто слухи, что он не безопасен, не более. Там тоже впринципе никто не мешает использовать дополнительное шифрование, левый номер, прокси. Предлагать устаревший и косячный метод не стоит. Не удобны большинству ваши жабы, не стабильные сервера, глючные программы, косячный otr без шифра в оффлайне, без передачи файлов, без конференций)) Голубиную почту тогда лучше, про неё точно все забыли, никто не перехватит))
Особенно если голубя зашифровать под воробья и отправить пешком))) Да пусть люди пользуются чем хотят, по сути никаких проблем нет. Это больше трёп)
 
Я бы советовал jabber + OTR приоритет PGP (естественно трафф через тор), либо ТОХ.
 
Eject сказал(а):
Ну и каждые пол года еще юзать телефон. (или через сколько там номер уходит другому владельцу!?)
У некоторых операторов забирается уже через три месяца,.. у меня так было с мегафоном и мтс,.. к сожалению
 
Raskolnikov сказал(а):
Хм, раз зашла тема про мессенджеры, что скажите за wickr? Давно заметил, что многие, кто промышляет чернухой используют его.
По этой теме есть довольно зачетная статья с подробностями анализа на хабре вроде. Попробую найти.
Если кратко, то:

Лидером в категории «Архитектура» является Wickr Me (коммерческая версия обычного викра), который содержит меньше выявленных недостатков, чем у конкурентов (по сравнению с телегой и сигналом).
Архитектура имелось в виду следующее:
защищенность данных мессенджера (например, конфигурационные файлы, необходимые для работы мессенджера),
защищенность каналов связи (например, реализация передачи данных на сервер мессенджера),
защищенность резервных копий (например, файлы приложения, создаваемые как мессенджером, так и операционной системой смартфона),
защищенность данных профиля пользователя (например, логин пользователя, местоположение)
В этой категории есть общий для всех трех мессенджеров недостаток — возможность обхода биометрической аутентификации
Эксплуатируя этот недостаток, можно получить доступ к данным пользователя мессенджера.

Также считается, что Wickr Me не раскрывает исходный код, поэтому менне так сказать открыт для общества,....

Ну и про недостатки конечно:
(все выявленные недостатки были обнаружены на устройствах с root-доступом или к устройству применен jailbreak)
1/ возможность обхода описанной выше биометрической аутентификации (состоит в том, что пользователь аутентифицируется лишь на основе результата функции evaluatePolicy («true» или «false») и мессенджер не использует системные механизмы авторизации при доступе к значениям из защищенного хранилища Keychain: потенциальный злоумышленник может подменять результат выполнения процедуры аутентификации для ее обхода, излечимо говорят)
2/ небезопасное хранение чувствительных данных в локальном хранилище (спорный момент, но о нем поподробнее)
iOS: -передаваемые файлы, а также кэшированные изображения из чатов в открытом виде;
-ключ шифрования базы данных мессенджера в Keychain. Поскольку не используется локальная аутентификация для доступа к значениям из Keychain (см. «Возможность обхода биометрической
аутентификации»), хранение ключа шифрования базы данных мессенджера в Keychain снижает уровень защищенности данных;
-файлы конфигурации мессенджера, в которых присутствуют параметры, использующиеся для шифрования;
-IP-адрес устройства в лог-файлах мессенджера;
-сообщения чатов в открытом виде в базе данных мессенджера.
Android: -файлы конфигурации мессенджера, в которых присутствуют параметры, использующиеся для шифрования, а также информация о номере телефона пользователя;
-сообщения пользователя (в том числе черновики) в открытом виде;
-контактная информация пользователей мессенджера, с которыми переписывался владелец устройства.

Эксплуатация вышеуказанных недостатков возможна только при наличии физического доступа к смартфону!!!

ИТОГ: Wickr Me круче чем Телега или Сигнал, но помните, адепты-анонимусы )) что абсолютно безопасных мессенджеров нет!
 
O0X сказал(а):
А давайте посчитаем.

Подобрать восьми значный цифровой пароль, на пятидесяти компьютерах, уровня фермы, по времени занимает шесть часов. Уж извините за возможные неточности, пишу по памяти, думаю некоторые из вас и поймут откуда эти цифры взяты, где вообще это реализовано. Ну пусть даже в моих данных будут некоторые неточности, но это очень и очень незначительные временные промежутки.
Номер телефона в РФ - восьмизначный. Сколько потребуется времени, чтоб сгенерировать базу всех номеров и добавить в софт, который добавит их в контакты телеги? Даже более того скажу, софт уже имеется готовый, даже добавлю, что в телеге знают про этот момент, признаком чего стало введение защиты, довольно давно, двадцатисекундной задержки при массовом добавлении, ну и разумеется эта защита уже обходится. Посыл ясен? Нет вообще никаких проблем, даже админу более-менее сплоченного форума, собрать и деанонимизировать абсолютно всех пользователей телеги, любой страны. Сгенерить номера, добавить в контакты через номер, сопоставить с никами и вывести всё в любой удобный, для обработки, формат.

А теперь давайте подумаем.
Так а отчего такой шум то был, вокруг блокировки? Неужели у ФСБ не было возможности собрать базу пользователей, ну и далее уже протроянить интересующие аккаунты, прогрузив например приложение откуда угодно, официально. Но нет, они пошли совершенно иным и казалось бы, глупым путем, подняв столько шума. А че там было то, в тот период, когда блокировали телегу? Ответ ищите сами, гуглите Gram. Возможно я и ошибаюсь, но пришёл к выводу, что это просто огромная рекламная компания зарождающегося, на тот момент, Gram. Два миллиарда $ собрали без особых проблем, а когда запустят, то 200 миллионов пользователей телеги, станут автоматическими аккаунтами новой крипты, а это уже конкурент банковским системам.

А про анонимность, то да, трубка в тундре решает проблему с анонимностью, а потом на 3-4 удаленных компьютерах открыт tor с телегой. Единственная проблема в этой схеме, приходится постоянно удалять свои, да и чужие, сообщения, но это решается скриптом. У меня так настроена телега, несколько версий, чтоб попеременно принимать код, дабы не потерять аккаунт. Но пользуюсь редко, там настроены ряд сервисов, для передачи файлов, загрузки файлов на проверку, малварь собирает на сервере, отправляет в телегу, ну и прочее, для удобства.

Из интересного, то там можно собрать форум, из чатов. Сижу у итальянских жуликов в таком, крайне интересное и удобное решение.

Деанонимизировать в телеге несложно. По крайней мере определить номер телефона не составляет вообще никакого труда. Месяц, два, три максимум, если у меня будет клиент на такое, соберу без проблем :)
Про пароли - примерно да, все так.
Про Телеграм: он — ПРИВАТНЫЙ, а не анонимный) Если человек состоит в открытых чатах — человек уже сам приоткрывает вуаль своей приватности.
Отдельный вопрос про Gram: проект не затух? он похож на МММ из 90х, день собрали, а потом чтот как-то все сошло на нет,... поправьте меня, если ошибаюсь
 
Игорь Бедеров вроде с ними и работает, он много им помогает, у него и благодарностей от МВД/ФСБ много
russian_osint_youtube сказал(а):
Друзья, с вашего разрешения оставлю ссылки на интервью с iРозыск (по усмотрению администрации).

? Как ФСБ/МВД деанонимизируют хакеров в Telegram | Интервью с Игорем Бедеровым | Russian OSINT #4

?ДЕАНОН В TELEGRAM, BTC НАВАЛЬНОГО И ОТРАВЛЕНИЕ В СОЛСБЕРИ | Игорь Бедеров | Russian OSINT #5

admin сказал(а):
Зачем много говорить о Telegram? Достаточно взглянуть официальную политику конфиденциальности мессенджера. Согласно пункту 8.3, telegram готов выдать ваш IP адрес и номер телефона при наличии решения суда.
 
jae lynne сказал(а):
У некоторых операторов забирается уже через три месяца,.. у меня так было с мегафоном и мтс,.. к сожалению
Да у меня тоже было, самое неприятное что никнейм в таком случае освобождается, в моем случае скамер кидал людей от моего имени :(
 
Eject сказал(а):
Да у меня тоже было, самое неприятное что никнейм в таком случае освобождается, в моем случае скамер кидал людей от моего имени :(
нехило. а как так вышло, что ты не заметил?
 
bleue сказал(а):
нехило. а как так вышло, что ты не заметил?
Забросил этот акк, он протух, юзернейм освободился.
Чего тут замечать.
Скамеры часто парсят контактные данные с форумов вроде этого, проверяют доступность юзернейма в тг, если он доступен идут кидать людей.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх