Объявление

**unlimited** · 15-03-2016, 03:55

Жаба, конечно, имеет свои сильные стороны. Но и недостатков хватает.
Если жабу угнали, восстановить доступ практически невозможно.
Взломали сервер @jabber.cz и слили базу всех абонентов с паролями/логинами.
И начинаются топики на всех форумах "угнали, дел не иметь"; а сколько фейковых жаб-подделок отравляют людям жизнь. К тому же жаба не защищена от так называемой "атаки посредине" - это, когда злодей пишет Васе от имени Коли, а Коле от имени Васи; причем Вася и Коля думают, что общаются напрямую без "передаста". От этого и ОТР никак не спасает.
А вот мессенджеры не все требуют телефон, некоторым эл.почты достаточно. Телефонный номер удобен для тех, кому важно только сокрытие передаваемой инфы, а данные о личности и местонахождения не имеют значения. То-есть, для обычных, не криминальных целей приватности личной или корпоративной жизни.
Телеграм до последнего времени по совокупности характеристик был действительно лучшим из БЕСПЛАТНЫХ мессенджеров. Платные, естественно, намного надежнее.

**Bes73** · 15-03-2016, 04:37

Сообщение от Nori67 Посмотреть сообщение

Расскажи более подробно, плз, насчет этой возможности и архитектуры) Очень интересно) Насколько я знаю, в секретных чатах не используются сервера, вся информация только на устройствах. И когда она удаляется (а это мб и через неск секунд после получения сообщения) - то удаляется безвозвратно.

Есть такой вид атаки который называется "человек по средине" если таким человеком по средине является владелец сервиса или админ, то для него фальсифицировать факт криптования переписки труда не составит.

Схема на основе фальсификации ОТР выглядит так:
А - первый пользователь.
Б - второй пользователь.
М - тот кто перехватывает и расшифровывает траф.

А > OTR > M > OTR > Б

На М траф не зашифрован. При этом А и Б будут уверены что у них идет прямая конфиденциальная переписка. Если М живет на сервере то проблемы с расшифровкой трафа просто нет. Я мог бы расписать и саму процедуру идентификации и показать в ней как это делается но это будет длинно и не очень интересно.

**Bes73** · 15-03-2016, 04:40

Сообщение от unlimited Посмотреть сообщение

К тому же жаба не защищена от так называемой "атаки посредине" - это, когда злодей пишет Васе от имени Коли, а Коле от имени Васи; причем Вася и Коля думают, что общаются напрямую без "передаста". От этого и ОТР никак не спасает.

Спасает, но не так как вы думаете. Если у Васи и у Коли есть собственные серваки жабы которыми они управляют сами, то это дает гарантию того что при ОТР траф перехватить нет технической возможности. Точнее она есть, но на столько тяжело реализуема что это близко к невозможно.

**Bes73** · 15-03-2016, 04:42

Сообщение от PByCyk Посмотреть сообщение

так вот почти на всех, написанные офлайн сообщения, будь то с отр будь то без отр - хранятся в админке до момента выхода адресата в сеть.

Не пишите в офф ничего конфиденциального. это простое правило. Почти как руки мыть перед едой.

**Brutaliti** · 15-03-2016, 05:05

все это реклама что бы была аудитория и был колпак над пользователями.
все это построено и те кто говорит что да дуров красавчик и телега круто тот очень глуп.

**unlimited** · 15-03-2016, 05:32

Сообщение от Bes73 Посмотреть сообщение

Спасает, но не так как вы думаете. Если у Васи и у Коли есть собственные серваки жабы которыми они управляют сами.

Ключевое слово "собственные".
То-есть, в собственном дата-центре, иначе гарантий нет.
Хлопотно это для организации простой связи, да и накладно.
Проще тогда уж заморочиться минимальным софтом шифрования
с собственными ключами и тогда хоть по эл.почте, хоть в жабе, хоть
в любом мессенджере можно общаться. Впрочем, и это не спасет, если
к вам в машину троян "подселят"

"если попали в прицел снайпера, убегать нет смысла - просто умрете уставшим" (с)

**unlimited** · 15-03-2016, 05:59

Сообщение от Brutaliti Посмотреть сообщение

все это реклама что бы была аудитория и был колпак над пользователями.
все это построено и те кто говорит что да дуров красавчик и телега круто тот очень глуп.

Любой мессенджер борется за аудиторию, что тут необычного?
Дуров сделал максимум из возможного бесплатного на сегодня.
И тут не вопрос веры (тот, кто верит во что-либо, действительно глуп -
ибо не воздастся ему по вере его

), а вопрос вероятности.
Вероятность того, что Дуров агент ФСБ не больше вероятности, что
Циммерман (ПГП) агент АНБ. Микрософт вон тихо-тихо передал ключи от
Скайпа российскому ФСБ для борьбы с терроризмом и норм.
Архитектура Телеграм только в одном моменте уязвима - ключи шифрования раздает Дуров со своего сервера.
Это косяк, но он есть и во всех других мессенджерах. Хотя азбука шифрования говорит о том, что
ключи и текст не должны передаваться по одному каналу, никто так не сделал.
А возможность такая есть - кроме инета, все мессенджеры требуют телефон или почту. Почему не задействуют второй канал для обмена ключами на стадии реги аккаунта хотя бы, непонятно. В банках додумались же до СМС-подтверждений операций по интернету.

**Bes73** · 15-03-2016, 10:02

Сообщение от unlimited Посмотреть сообщение

Ключевое слово "собственные".
То-есть, в собственном дата-центре, иначе гарантий нет.

Не обязательно собственный датацентр. Достаточно быть грамотным в вопросах безопасности.
Реально достаточно. Собственный ВПС и грамотная настройка.

**Я Легенда** · 15-03-2016, 10:06

Я тоже думаю, если террористы хотели бы, сами бы создали. Если они такие вещи проворачивают на уровне гос-ва, то какой то чат- это пустяки..

**Кэйн** · 15-03-2016, 10:24

Сообщение от unlimited Посмотреть сообщение

К тому же жаба не защищена от так называемой "атаки посредине" - это, когда злодей пишет Васе от имени Коли, а Коле от имени Васи; причем Вася и Коля думают, что общаются напрямую без "передаста". От этого и ОТР никак не спасает.

А PGP спасает

Сообщение от unlimited Посмотреть сообщение

А вот мессенджеры не все требуют телефон, некоторым эл.почты достаточно. Телефонный номер удобен для тех, кому важно только сокрытие передаваемой инфы, а данные о личности и местонахождения не имеют значения. То-есть, для обычных, не криминальных целей приватности личной или корпоративной жизни.

Для наших целей телеграмм не подходит

**VizaGold** · 15-03-2016, 10:27

Threema норм мессенджер. Им пользуюсь. Ни к чему не привязан

**Bes73** · 15-03-2016, 10:40

Сообщение от Кэйн Посмотреть сообщение

А PGP спасает

Не спасает. Схема фэйкования одна и та-же. Ну за исключением передачи ключа через офлайн. ОТР ключ можно тоже офлайн передать.

**Кэйн** · 15-03-2016, 10:48

Сообщение от Bes73 Посмотреть сообщение

Не спасает. Схема фэйкования одна и та-же. Ну за исключением передачи ключа через офлайн. ОТР ключ можно тоже офлайн передать.

У PGP два ключа, приватный и публичный. Публичные ключи передаются, а приватные нет. Да и даже имея приватный ключ, нужна еще фраза пароль. Публичный ключ можно также передать через привнот.
И как тогда тот, кто имеет доступ к жабер серверу сможет перехватит переписку?

**SNet** · 15-03-2016, 11:00

так я не понял что надежнее жабер или телеграм?)

**Teodor Bodler** · 15-03-2016, 12:04

Сообщение от Кэйн Посмотреть сообщение

У PGP два ключа, приватный и публичный. Публичные ключи передаются, а приватные нет. Да и даже имея приватный ключ, нужна еще фраза пароль. Публичный ключ можно также передать через привнот.
И как тогда тот, кто имеет доступ к жабер серверу сможет перехватит переписку?

MITM-атака

Объявление

Дуров: у авторов Telegram нет доступа к секретным чатам пользователей

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий

Комментарий