• XSS.stack #1 – первый литературный журнал от юзеров форума

Поговорим о безопасности TOX?

Отслеживать
atavism сказал(а):
Так а почему? Объясни. Я вот полный профан во внутренностях мобилок и ОС
Ну так книги читай, практикуй, развивайся.
atavism сказал(а):
Не, вообще ни разу. По секрету скажу, ты только никому - "ПК" расшифровывается как "Персональный Компьютер".
Молодец, Википедию читать умеешь. Но есть документация, а есть разговорное, где никто ПК не называет Mac или Linux. Не имеет значения хоть все три ОС возьми, они хуже по безопасности чем андроид, где есть песочница, где каждое приложение в своей ячейке раздельно лежит, а чтобы заразить нужен 0-day или заставить пользователя установить приложение, обойдя кучу предупреждений, а потом запрашивать разрешения и антивирус Google обойти. Для некоторых нужных функций слежки, потребуется разрешение Спец возможностей, где так же предупреждения будут вываливаться пользователю. На компьютере легче замутить любую заразу, вон почитай статьи xrahitel как он обходит защиту Windows подстановкой вируса в сообщении мессенджеров.
 
Последнее редактирование:
вон почитай статьи xrahitel как он обходит защиту Windows подстановкой вируса в сообщении мессенджеров
Ты кажется не понимаешь кое чего. Мессаджами в токсах, телегах, ватсапах и прочем взламывают человека, а не ОС. Причем здесь твой Андройд то и чем он лучше прочего если им будет управлять человек?
 
waahoo сказал(а):
Ты кажется не понимаешь кое чего. Мессаджами в токсах, телегах, ватсапах и прочем взламывают человека, а не ОС. Причем здесь твой Андройд то и чем он лучше прочего если им будет управлять человек?
Нет, не требуется наличие пользователя, только включение приёма данных, дальше используют уязвимости операционной системы.
atavism ты использовал эти самые уязвимости, тебе известна разницу между RCE и LCE?
 
Stanford сказал(а):
Нет, не требуется наличие пользователя, только включение приёма данных, дальше используют уязвимости операционной системы.
Пруф? Интересует "ПК" (Windows по твоему)
 
Пожалуйста, обратите внимание, что пользователь заблокирован
waahoo сказал(а):
взламывают человека, а не ОС
взломай меня полностью, Мессаджам абдулахма хаджубар
 
Stanford сказал(а):
Нет, не требуется наличие пользователя, только включение приёма данных, дальше используют уязвимости операционной системы.
Ну дык это взламывают далёких от АйТи куриц, мы на заре моей молодости прикалывались, на тот момент в аське раскидывали тёлкам 🐄 ратники, а потом читали их переписки)) ;)

Ну а сейчас - любой здравомыслящий человек получив файл от неизвестного контакта заблокирует тебя сразу же, уже увы ушло то беспечное время когда в сети свободно знакомились и общались, сейчас время массовой паранои, истерии и посадок за лайки, репосты и дискредитации там всякого разного...
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Just for reference how bad qTox is here's a small screenshot from my IDS I'm using to monitor traffic:
there's 53 hosts right now, but this was opened less than ~30 seconds before writing this post. If you're not using a VPN please use one.


1653164511617.png
 
Gorg сказал(а):
Ну а сейчас - любой здравомыслящий человек получив файл от неизвестного контакта заблокирует тебя сразу же
Получив.. Больше ничего не требуется, уже будешь в базе, открывать не надо, только получить.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Lanted сказал(а):
Just for reference how bad man*
I Posted that 10hrs ago, My IDS has logged a ton of new IPv4 & Hostnames throughout that span of time, let me explain why VPNs are needed.
1. If you're in a conversation & you're sending photos back & forth your IP will be at the top of the logs, if you're not using a VPN & you're talking to a cop or a federal agent it's not going to end well depending on where you reside.
2. It's P2P obviously traffic can be monitored easily, if a you send a cop a file that's i don't know say 2 MBs in size, well no other client has a 2 MB download on the Intrusion detection system they're going to know what client is you.
3. There's legitimately no reason that Tox is even aware of other P2P Clients using it's software, I Shouldn't have 999+ IPv4 & Host names logged with a 24.3 MBs of traffic being detected, why Tox is aware of others is weird.
4. A P2P Client unless it's a torrent client shouldn't be aware of any other connections to the software, when I use skype it doesn't log every other user who happens to be using it when I'm speaking to someone for a meeting.

It only takes one mistake for any law enforcement agency or attacker to know who you are or if you're using a VPN. If you launched tox right now you'd see me using a VPN but the question is: What IP Belongs to me & is other users using the same one? VPNs share the same IP with everyone who connects to the server so it can hide your shit really good especially when it comes to P2P Clients.

Just a thing for everyone to know: Correlation Attacks are a bitch & If law enforcement agencies can communicate long enough they can simply track anyone down by comparing upload/download sizes with IPv4/host names being used. Just use a VPN and don't allow tox to boot without having an VPN Connection start at boot. It's simple to mitigate risks Tox is a P2P app and this shouldn't have to be stated but Lulzsec's main leader "Sabu" or Hecktor was arrested because he didn't use a VPN and accessed an IRC which lead to his downfall.
 
В новом хуниксе 16 нет токса "due to serious security issues".

Tox / qTox - Whonix Integration

Tox should not be included. It is not secure. Also see the big red warning on the readme:
forums.whonix.org

Tox Handshake Vulnerable to KCI · Issue #426 · TokTok/c-toxcore

Hello, I found this source code confusingly written (and downright scary at times) and the specification woefully underspecified and inexplicit, so it's entirely possible my understanding of the ha...
github.com
Странное решение, учитывая что для реализации атаки нужно иметь статик привкей и быть митмом, что действительно pretty advanced treat model. Тем не менее, современные алгроритмы хендшейков не имеют этой проблемы, т.е. автору было достаточно использовать общепринятый криптографический стек. Бага на гите открыта уже 5 лет, и за это время даже появился POC-форк протокола, в котором реализован нормальный хендшейк. Но воз и ныне там. Впрочем, есть и контраргумент - реализация Noise хендшейка не позволит правдоподобно отрицать что сообщения были отправлены именно вами. Хотя и без нойза такое отрицание, как по мне, тоже не очень plausible.

Короче, для меня атака уровня "украли привкей" - слабый аргумент чтобы перестать пользоваться, так что пришлось ставить руками.
 
Вот и смысл сего базара? Кто мешает запускать токс через прокси тора изначально?
А как блядь пользовались в свое время аськой и никого ничего не е..ло?
А джаббер без пгп и отр? Скажите спасибо Сноудену, что он вас наставил на путь истинный,
вот уж истинный патриот мира. Благодарочка от меня лично, неоцененный патриот свободы.
Мы постоянно слышим фразу «национальная безопасность», но когда государство начинает следить за нашим общением, фиксируя его без веских подозрений, юридического основания и без какой-либо видимой цели, мы должны задать себе вопрос: они и в самом деле защищают национальную безопасность или они защищают свою собственную? Э.Сноуден
 
Последнее редактирование:
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх