Войти в систему

Home
    - Создать дневник
    - Написать в дневник
       - Подробный режим

LJ.Rossia.org
    - Новости сайта
    - Общие настройки
    - Sitemap
    - Оплата
    - ljr-fif

Редактировать...
    - Настройки
    - Список друзей
    - Дневник
    - Картинки
    - Пароль
    - Вид дневника

Сообщества

Настроить S2

Помощь
    - Забыли пароль?
    - FAQ
    - Тех. поддержка



Пишет temmokan ([info]temmokan)
@ 2015-11-19 18:30:00
Previous Entry  Add to memories!  Tell a Friend!  Next Entry
Музыка:Adele - Skyfall

К вопросу о переписке в электронный век
А не подскажет ли мне ваш жизненный опыт, чем можно пользоваться для
- относительно безопасного (не перехватываемого) общения, желательно однотипным под многие платформы
- того же для отправления и приёма SMS с телефона под Андроидом
?

Много перебрал, но как-то всё больше выбор между "плохо" и "ещё хуже".

С программой для текстового общения (намёки: ICQ, Jabber...) всё непросто.

Проверил бойко разрекламированный Telegram. Сразу скажу, что с мобильного телефона я предпочитаю самое большее звонить или слать/принимать SMS. Набирать на его экранчике сообщения - это, на мой взгляд, сродни самоистязанию. Добавлю ещё, что у Андроида в целом состояние информационной безопасности крайне аховое, и не хотелось бы поручать сему устройству вести архив переписки. Поэтому - только в шифрованном виде.

Ну так вот, Telegram. Десктоп-версия, как выяснилось, не поддерживает коронной функции приложения - шифрованного разговора (в смысле, текстом). Это как если бы рекламировали программу для работы с электронно почтой, у которой не работала бы всего одна малозначащая функция - отправлять или принимать ту самую почту.

Пробовал много чего ещё, все эти Tox, Wickr, ChatSecure, CryptoCat и прочее - или не для всех платформ есть, или крайне неудобно.

Что посоветуете по своему опыту? Я пока что вернулся к Pidgin (в нём тоже есть и Telegram, и прочее, и давно уже привычный Jabber). Если кто хочет сказать, что Pidgin всё ещё хранит пароли учётных записей в явном виде в своих конфигурационных файлах - так я в курсе, и меры, которые возможно принять, уже принял.

Ну и про SMS. Всем был хорош GoSMS - но и тех.поддержка испортилась, и приложение стало сплошным клубком свистелок и пыхтелок. А нужно, чтобы оно
- не капало на мозги рекламой
- умело вести чёрный список отправителей SMS
- не ело всю память телефона, до которой смогло дотянуться

Бывает такое в природе? Пользовался TextSecure, Textra - но они все уже скурвились, принялись слать рекламу.

Заранее спасибо!


(Добавить комментарий)


[info]vishurshen@lj
2015-11-19 10:17 (ссылка)
Не знаю на сколько безопасно и универсально, но пользуюсь Viber и WhatsApp

(Ответить) (Ветвь дискуссии)


[info]temmokan@lj
2015-11-19 14:13 (ссылка)
WhatsApp, судя по этой статье (https://www.eff.org/secure-messaging-scorecard), не очень надёжно.

Viber, по тому списку, ещё дальше от идеала. Я, естественно, не об удобствах программы говорю, а именно о критериях, по которым проверяла EFF.

(Ответить) (Уровень выше)


[info]vera_croose@lj
2015-11-19 12:30 (ссылка)
Шлите дискеты Новой почтой!
Скорость доставки просто потрясающая :)))

Вы про чайника, статистика по специальности, который обнаружил, что почтовый сервер отправляет почту только на расстояние до 500 миль, не слышали? :)

Он сидел где-то в главном статуправлении США и его работа состояла в том, чтобы отправлять запросы по всей стране.
А почтовик имел слишком малое время на ожидание подтверждения о возможности приема почты. Ну и :)))

Пришел внимательный админ и все исправил.
Поройтесь, может полегчает :)

(Ответить) (Ветвь дискуссии)


[info]temmokan@lj
2015-11-19 14:06 (ссылка)
Э-э-э... а что предлагается исправить?

Речь о программных недостатках. Их программистам надо исправлять, а не системщику.

(Ответить) (Уровень выше)


[info]alexrat@lj
2015-11-19 15:08 (ссылка)
Увы, ничего не могу подсказать, потому что забиваю на секурность. Если кому приспичит, до меня доберутся. А так... да кому я нахер нужен?

(Ответить) (Ветвь дискуссии)


[info]temmokan@lj
2015-11-20 08:44 (ссылка)
Алексей, да дело не в том, кому мы нафиг нужны - а чтобы даже случайно ничто никуда не расползалось. Ибо нефиг.

А если бог с ней, с безопасностью - то чем пользуешься?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]alexrat@lj
2015-11-20 09:03 (ссылка)
Viber потому что бесплатный, WhatsUp потому что там родители из садиковской группы, googletalk и icq для общения со старыми друзьями и знакомыми.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]temmokan@lj
2015-11-30 08:08 (ссылка)
Да, существенно - где исторически был контакт, поскольку люди пользуются тем, к чему давно привыкли. И это нормально.

(Ответить) (Уровень выше)


[info]salamatik@lj
2015-11-19 15:18 (ссылка)
Константин, вот есть: https://www.vipole.com/ru/

(Ответить) (Ветвь дискуссии)


[info]temmokan@lj
2015-11-20 08:46 (ссылка)
О таком ещё не знал, спасибо!

(Ответить) (Уровень выше)

Охренеть
[info]burbilog@lj
2015-11-30 08:33 (ссылка)
Ну то есть некая компания, подчиняющаяся законам БРИТАНИИ!!!! (в которой по закону вы обязаны сдать ключи от любого зашифрованного файла и которая скоро вообще сделает использование любых криптографических средств незаконным, если только не сделана дырка для местных полиментов) сделала некий "защищенный" мессенджер и вы верите написанному на их сайте?!

ПЦ.

Я вообще не понимаю, как можно любую лабуду без исходников считать защищенной. Да, наличие исходников еще не гарантирует отсутствие дырок, но в любом случае это является абсолютно необходимым условием для того, чтобы вообще начать вообще обсуждать программу.

(Ответить) (Уровень выше) (Ветвь дискуссии)

Re: Охренеть
[info]salamatik@lj
2015-11-30 08:52 (ссылка)
выпей стекломоя, полегчает

(Ответить) (Уровень выше) (Ветвь дискуссии)

Угу
[info]burbilog@lj
2015-11-30 09:01 (ссылка)
Уровень ваших познаний в криптографии впечатляет.

(Ответить) (Уровень выше) (Ветвь дискуссии)

вот те и угу, гебешное
[info]salamatik@lj
2015-11-30 09:20 (ссылка)
иди копай сыр на помойке

(Ответить) (Уровень выше) (Ветвь дискуссии)

Re: вот те и угу, гебешное
[info]temmokan@lj
2015-11-30 09:28 (ссылка)
Господа - просьба ругаться где-то ещё. Я как бы не возражаю против спора любого уровня, но просьба не в этих комментариях.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]salamatik@lj
2015-11-30 09:36 (ссылка)
Прошу прощения, не сдержался. Не перевариваю сопливых фашистских хомячков

(Ответить) (Уровень выше)

Re: вот те и угу, гебешное
[info]burbilog@lj
2015-11-30 09:53 (ссылка)
Ну какой спор? Человеку нечего ответить, поэтому спустился на уровень тупого хамства. Не вижу смысла в дальнейшей дискуссии с ним.

(Ответить) (Уровень выше) (Ветвь дискуссии)

Re: вот те и угу, гебешное
[info]temmokan@lj
2015-12-02 21:32 (ссылка)
Это верно.

А я пока продолжу стеганографией заниматься, очень уж увлекательное это дело.

(Ответить) (Уровень выше)

Re: Охренеть
[info]temmokan@lj
2015-11-30 09:42 (ссылка)
Строго говоря, открытого кода мало. Помимо аудита, проделанного над коодом, надо именно из него проверенным опять же софтом и с проверенными опять же библиотеками собрать нужный продукт.

Я таким образом с TrueCrypt работал, пока он был живой.

(Ответить) (Уровень выше) (Ветвь дискуссии)

Re: Охренеть
[info]burbilog@lj
2015-11-30 09:50 (ссылка)
Конечно мало.

Но проблема в том, что почему-то из "открытого кода мало" делают вывод "без разницы, открытый код или закрытый". Т.е. фейл случается еще на уровне базовой логики, "без А нет Б" почему-то превращается тут же в "А неважно".

Причем наличие открытого кода в порядки важнее, чем сборка самостоятельно -- если проект крупный, то и сборки все сигнатурой подписываются, и народ в случае, если с бинарниками что-то не так, хай поднимет...

(Ответить) (Уровень выше) (Ветвь дискуссии)

Re: Охренеть
[info]temmokan@lj
2015-11-30 09:55 (ссылка)
Ну, я-то как раз с этим не спорю.

Беда в том, что у людей базовое понимание принципов безопасности очень часто упрощённое, так скажем. Плюс перлы обыденной логики и пропаганды, типа "честным людям прятать нечего". Я вот вообще не понимаю, как гос.учреждения и прочие стурктуры, где безопасность должна быть главным приоритетом, допускают использование MS Windows и прочих продуктов с закрытым кодом.

Я, кстати, знал человека, который обновления, если можно так сказать, ОС делал переустановкой с более свежего, по всем правилам собранного и подписанного дистрибутива.

(Ответить) (Уровень выше) (Ветвь дискуссии)

Re: Охренеть
[info]burbilog@lj
2015-11-30 10:11 (ссылка)
"честным людям прятать нечего".

Ну это вообще отдельная песня. Люди никак не могут понять, что прятать им есть чего, особенно когда есть выборка из миллионов таких же честных. Например этот честный продает квартиру и детали сделки бегают по открытым почтовым серверам, достаточно сделать выборку таких честных и сразу можно решить, куда присылать братков.

Я вот вообще не понимаю, как гос.учреждения и прочие стурктуры, где безопасность должна быть главным приоритетом, допускают использование MS Windows и прочих продуктов с закрытым кодом.

А там никого она не волнует, вообще. Я в свое время пробовал окучивать госконторы, это такое неграмотное и глубокое болото попила, что ни на какие разумные шаги оно не способно. 99% уходит в попил, 1% исполнителю, даже меньше. Какая там нахрен безопасность? Кому она нужна?

Я, кстати, знал человека, который обновления, если можно так сказать, ОС делал переустановкой с более свежего, по всем правилам собранного и подписанного дистрибутива.

Я так с релиза на релиз убунты перелезаю, иначе такая каша получается... кроме того, устанавливаясь на соседний диск (теперь на соседнюю ssd) всегда можно вернуться обратно, если новая версия слишком поганая (как это вышло с пятнадцатыми)...

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]cdoxni@lj
2015-11-30 20:49 (ссылка)
ты подстилка гебешная! тебя повесят, когда скоро власть в России переменится!

(Ответить) (Уровень выше)

Re: Охренеть
[info]temmokan@lj
2015-12-01 05:46 (ссылка)
В последнее время предпочитаю максимально параноидальный отпрыск Debian - Kali.

Там, к слову, все полезные инструменты уже под рукой.

В остальном - в общем, увы, склонен согласиться, ситуация с безопасностью аховая.

(Ответить) (Уровень выше)

ты охреневшим выродился
[info]cdoxni@lj
2015-11-30 20:48 (ссылка)
хомяк, тебе на помойке место, а не криптографию обсуждать!

(Ответить) (Уровень выше)


[info]burbilog@lj
2015-11-20 10:18 (ссылка)
Безопасно?

Одноразовый шифроблокнот. Ручка, бумага. А отправлять чем угодно.

(Ответить) (Ветвь дискуссии)


[info]temmokan@lj
2015-11-30 07:58 (ссылка)
С классикой не поспоришь. Но это не очень удобно в электронный век.

Есть некоторые мысли, как устроить относительно надёжный способ передачи шифроблокнота или алгоритма его поиска, но...

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]burbilog@lj
2015-11-30 08:14 (ссылка)
Ну, удобство и надежность друг другу просто перпендикулярны. Я тут как-то в свою самописную экранную клавиатуру под андроид прикрутил AES (умеет кодировать/декодировать строку ввода, с коротой работает экранная клавиатура), но заставить скажем подругу пользоваться этим -- дохлый номер. Хотя универсально и можно поверх чего угодно отправлять сообщения, плюс исходник собственный и сам понимаю что и как там происходит.

Надо сказать, что tox мне пондравился, если бы он еще на андроиде батарею бы не жрал... но это увы нерешаемо скорее всего, просто по природе токсовской архитектуры.

Для работы с смсками под андроидом давно пользую chompSMS, мне нравится. Никаких нареканий.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]temmokan@lj
2015-11-30 08:18 (ссылка)
Начсёт удобства и безопасности согласен. Однако не хотелось бы всё переносить в оффлайн и сидеть безвылазно в клетке Фарадея, для вящей надёжности.

В смысле шифрованного зранения относительно удачным вариантом оказалось использование шифрованных контейнеров (при условии, что успеешь выключить питание или ткнуть в "Reset", чтобы остался зашифрованным).

За chompSMS спасибо, сейчас и проверю.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]burbilog@lj
2015-11-30 08:44 (ссылка)
В смысле шифрованного зранения относительно удачным вариантом оказалось использование шифрованных контейнеров (при условии, что успеешь выключить питание или ткнуть в "Reset", чтобы остался зашифрованным).

Опасно -- потому что сервер не защищен, а с него в работающий контейнер влезть элементарно. Наиболее правильно загружать бук с шифрованного раздела, а кроме того гонять на нем специальный демон, который при появлении любого неожиданного девайса, особенно usb, тут же чистит оперативку и делает выключение питания. Но от холодной перезагрузки путем тыканья куда-нибудь в мать не поможет.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]temmokan@lj
2015-11-30 09:27 (ссылка)
Ну, начнём с того, что если есть физический доступ третьих лиц к компьютеру (сервер), то там практически бесполезно что-то хранить. Что ни выдумывай, практически всегда можно придумать сценарий перехвата.

Идеальный вариант - отдельный компьютер, где всё шифровано, начиная с загрузочного раздела - стоящий в клетке Фарадея, которая стоит в вакуумированной, плавающей на магнитной подвеске камере, которая стоит в глубинах озера жидкого азота. Чтобы максимально затруднить перехват.

Но это так, лирика. В реальности приходится пользоваться "довйным дном", если могут вынудить сдать пароль, или вообще не передавать ничего, что составляло бы тайну.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]burbilog@lj
2015-11-30 10:02 (ссылка)
Ну про сервер -- это с концами, да, т.к. его нельзя физически сторожить. С небольшим нотбуком можно быть более-менее уверенным, если:

а) поездить по городу и в случайном месте его купить (вряд-ли скажем по всей москве везде во все модели воткнут хардварные keylogger'ы и прочее)
б) после покупки держать его всегда при себе
в) не налажать с софтом
г) включать только проверив физическую безопасность помещения, чтобы вокруг не было посторонних (ЕМНИП, хозяина шелкового пути прихватили выдернув из рук работающий бук, когда тот сидел в кафешке)

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]temmokan@lj
2015-11-30 10:08 (ссылка)
Осталось добавить простые средства надёжного уничтожения данных "у ней внутре" и переносную клетку Фарадея ("дипломат", выстланный достаточно толстым слоем фольги уже сгодится) - чтобы ушлые люди не могли его отслеживать.

Ну и не ходить с такими предметами в местах общественного доступа, если уж опасаться оптимистов в штатском.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]burbilog@lj
2015-11-30 10:15 (ссылка)
Для надежного уничтожения достаточно выдрать батарею и из оперативки уже ничего не достать, а дальше диск ничем не расшифруют. Plausible deniability и все. Физическое уничтожение имхо перебор.

И не "не ходить", а "не включать". Носить-то как-раз придется, дабы всегда знать, что бук никто больше не трогал и в него ничего лишнего не засунули.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]cdoxni@lj
2015-11-30 20:51 (ссылка)
тебя на Селигере научили криптографии, прыщавый?

(Ответить) (Уровень выше)


[info]temmokan@lj
2015-12-01 05:44 (ссылка)
С поправкой согласен.

Но это уже экстремальный вариант, жизнь по схеме "всё моё ношу с собой", иначе каждое электронное устройство должно быть одноразовым.

(Ответить) (Уровень выше)


[info]cdoxni@lj
2015-11-30 21:01 (ссылка)
Константин Юрьевич, очень лубянским не нравится Vipole - не по зубам.

Они всячески пытаются дискредитировать его в инете с помощью своих шавок.


(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]temmokan@lj
2015-12-01 05:42 (ссылка)
Об этом можно поспорить - насколько не по зубам - но большая просьба не ругаться в комментариях. Препирайтесь где-нибудь ещё.

Важно помнить ещё, что самое слабое звено во всей криптографии - всегда человек. Симметричная криптография при достаточно длинной кодовой фразе и отсутствии инфорамции об исходном тексте "взламывается" только полным перебором, но если человека можно вынудить предоставить эту фразу - то и ломать-то не нужно.

(Ответить) (Уровень выше)