Взлом Signal

Varnolex

Пассажир
Сообщения
29
Реакции
31
Израильская компания Cellebrite, разработчик шпионских программ, заявила, что сумела взломать мессенджер Signal. Он долгое время считался самым защищенным в мире. Протокол сквозного шифрования Signal позволял успешно защищать переписку и пересылаемый контент.


Cellebrite продает свои технологии в том числе таким странам-нарушителям прав человека, как Венесуэла, Беларусь, Россия, Индонезия и Саудовская Аравия. Теперь компания будет «в законном порядке» предоставлять их силовикам инструменты для взлома переписки в Signal.

Обойти защиту Signal специалисты Cellebrite смогли при помощи программного инструмента Physical Analyzer, предназначенного обработки данных, полученных со смартфона. Об этом компания сообщила в своем блоге в прошлый четверг.

Самый секретный мессенджер


Мобильное приложение Signal использует специальный алгоритм сквозного шифрования с открытым исходным кодом - Signal Protocol. Этот алгоритм получил широкую известность. Для защиты своих пользователей его внедрили разработчики и других мессенджеров – Whatsapp, Facebook Messenger и Skype. Помимо сообщений, Signal Protocol защищает и пересылаемые файлы, что делает его важным инструментом для журналистов. Разработчик получает финансирование в том числе от организаций по защите свободы слова.

Цели и средства

Израильская компания Cellebrite продает свои технологии для взлома мобильных телефонов правоохранителям по всему миру. Ее флагманская разработка – UFED (Universal Forensic Extraction Device). Это программно-аппаратная система, которая позволяет властям быстро разблокировать и извлечь информацию из любого смартфона, находящегося в их распоряжении.

Компанию уже давно критикуют за продажу технологий государствам с плохой репутацией в области прав человека, от Индонезии и Венесуэлы до Беларуси и Саудовской Аравии.


Недавно издание «Хаарец» писало о том, что китайские власти использовали технологии компании для слежки за продемократическими активистами в Гонконге. В итоге Cellebrite объявила, что больше не будет предоставлять свои услуги Китаю. Однако компания все еще продает свое ПО другим одиозным режимам

В частности, Россия закупает устройства UFED на миллионы рублей. Например, в 2018 году управление Следственного комитета по Волгоградской области купило за 800 тыс. руб. мобильный аппаратный комплекс для взлома - UFED Touch2 Ultimate Ruggedized.

Законный взлом

Cellebrite уже заявила, что будет предоставлять правоохранителям разных стран средства для взлома Signal «на законных основаниях».


«Преступники используют это приложение для связи, отправки вложений и заключения незаконных сделок, которые они хотят скрыть от правоохранительных органов», - говорилось в блоге компании. - Cellebrite Physical Analyzer теперь предоставляет законный доступ к данным приложения Signal. Мы неустанно работаем, чтобы дать возможность следователям в государственном и частном секторе находить новые способы ускорить правосудие и спасти жизни».

Скандал с блогом

Вокруг изначальной записи в блоге компании успел разгореться скандал: в ней Cellebrite подробно описала, как использовала открытый код Signal для взлома протокола сквозного шифрования.

Компания отмечала, что правоохранители по всему миру требуют от Signal добавить в свой алгоритм «бэкдор». Это дефект, который намеренно встраивается разработчиком и позволяет получить несанкционированный доступ к данным. Однако пока соглашение не достигнуто. А потому «Cellebrite продолжает усердно работать с правоохранительными органами, чтобы дать им возможность расшифровывать и декодировать данные из приложения Signal», - написали представители компании. Позже компания удалила изначальный пост, заявив, что это был "черновик".

Частный черный список

Израильский адвокат и правозащитник Итай Мак в последнее время ведет свою личную войну против Cellebrite. Он хочет заставить государство признать разработки компании «технологиями двойного назначения». То есть, теми, что могут использоваться как в коммерческих, так и в военных целях.

Это означает, что при их продаже компания должна будет соблюдать те же правила, что и продавцы оружия. При этом за продажей технологий двойного назначения ведется независимый надзор.

Сейчас Cellebrite не подлежит независимому надзору. Как сообщили «Хаарец» источники, знакомые с компанией, в ней ведут свой собственный черный список стран, которым «запрещено» продавать технологии.

Отвечая на обвинения, Cellebrite заявила, что ее разработки «помогают правоохранительным органам собирать цифровые доказательства и ускорять сложные расследования в соответствии с законом».

«Наша технология обслуживает 154 страны и сделала возможным вынесение приговоров по более чем 5 миллионам тяжких преступлений, таких как убийства, изнасилования, торговля людьми и педофилия. Мы предоставляем наши решения только авторизованным агентствам и отслеживаем способы их использования с помощью ряда инструментов», - заявили в компании.

«В крайних случаях, когда наши технологии используется не в соответствии с местным законодательством, мы предпринимаем решительные действия, в том числе разрываем связи с соответствующей стороной. Каждая организация, с которой мы работаем, проходит тщательную проверку», - утверждают в Cellebrite.

Тем не менее, правозащитники подозревают, ее оборудование может быть использовано против инакомыслящих.

Бывший сотрудник американских спецслужб Эдвард Сноуден в то же время сомневается в утверждениях израильской компании. Он написал в своем «Твиттере», что Cellebrite на самом деле не может расшифровать сообщения Signal.

https://detaly.co.il/skandal-izrailskaya-kompaniya-vzlomala-samyj-bezopasnyj-v-mire-messendzher/

Вопрос к знающим-остались ли действительно безопасные мессенджеры,которым можно доверять?
И как обстоит дело с Briar нынче? В сети очень мало информации о нём. Столь ли он анонимен,как к примеру Threma или же накидали пуха?
 

Buuu

Главный по патронам
Проверенный продавец
Сообщения
3.549
Реакции
7.643
Сигнал был говном с закрытым кодом и остался. Пока есть сервера и привязка к телефону - говно это, а не безопасность. Есть же токс, рикошет, викр в конце концов.
 

Varnolex

Пассажир
Сообщения
29
Реакции
31
Сигнал был говном с закрытым кодом и остался. Пока есть сервера и привязка к телефону - говно это, а не безопасность. Есть же токс, рикошет, викр в конце концов.
Согласен. Означает ли это, что приложениям с открытым исходным кодом можно доверять? Меня заинтересовал конкретно Briar, что от себя можешь добавить по поводу него?
Стараюсь или ничего не использовать лишнего в повседневной деятельности или более-менее проверенные ресурсы. Кстати печально известный Liberty владел почтовым ящиком Tutanota, но она красная донельзя и сливает данные по запросу. Не могу исключить и вероятности, что Lib слили они. На таких грустных примерах поэтому пытаюсь учиться.
 

Buuu

Главный по патронам
Проверенный продавец
Сообщения
3.549
Реакции
7.643
про бриар ни чего не скажу, не пользовался. Тутанота не плоха, не слышал сливов с нее, но есть еще протон, райзап
 

Copmba

Местный
Сообщения
949
Реакции
567

Biosphere

Пассажир
Подтвержденный
Сообщения
19
Реакции
23
Выходит @Buuu пиздабол?:Biggrin1:
Человеку свойственно ошибаться.
Поэтому надо проверять любую информацию,а не принимать её на веру.
Узнать информацию о том,под какой лицензией распространяется Signal,не составляет никакого труда.
 

Buuu

Главный по патронам
Проверенный продавец
Сообщения
3.549
Реакции
7.643

cori

Пассажир
Сообщения
3
Реакции
2
Сигнал был говном с закрытым кодом и остался. Пока есть сервера и привязка к телефону - говно это, а не безопасность. Есть же токс, рикошет, викр в конце концов.
как вернуть доступ к заблокированому киви без паспорта
 

Biosphere

Пассажир
Подтвержденный
Сообщения
19
Реакции
23
Кстати печально известный Liberty владел почтовым ящиком Tutanota, но она красная донельзя и сливает данные по запросу. Не могу исключить и вероятности, что Lib слили они. На таких грустных примерах поэтому пытаюсь учиться.
Tutanota не может "сливать" какие либо данные по тому,что все данные зашифрованы на устройстве пользователя.

-Где происходит процесс шифрования?
Шифрование и дешифрование данных всегда происходит локально на вашем устройстве при входе в систему. Все данные зашифрованы, и только вы можете получить доступ к данным со своим паролем.
-Что зашифровано и что можно прочитать?
Тутанота шифрует все данные, хранящиеся в вашем почтовом ящике (контакты, электронные письма, подпись электронной почты, правила почтового ящика, данные счетов, способ оплаты, сертификат и личные ключи ваших собственных доменов). При отправке электронного письма Тутанота автоматически шифрует тему, контент и вложения.
Мы можем читать только следующие метаданные:
адрес электронной почты отправителя
адрес лектронной почты получателя
дата электронного письма
Мы изучаем возможности скрытия метаданных и в будущем.
-Где генерируются мои ключи и как защищен мой закрытый ключ?
Ваш личный и открытый ключи генерируются локально в вашем браузере при регистрации. Ваш закрытый ключ зашифрован вашим паролем. Таким образом, ваш пароль для входа получит статус закрытого ключа. Ключ зашифрован настолько надежно, что только вы можете использовать его для шифрования и дешифрования данных. Вот почему так важен надежный пароль. Автоматическая проверка пароля на клиенте гарантирует, что вы используете надежный пароль. Ваш пароль никогда не передается на сервер в виде обычного текста. Он обрабатывается, а затем хешируется с помощью bcrypt локально на вашем устройстве, так что ни сервер, ни мы не имеем доступа к вашему паролю. Благодаря этому инновационному дизайну вы можете легко получить доступ к своему зашифрованному почтовому ящику с любого устройства (настольного, мобильного).
-Какие алгоритмы шифрования использует Тутанота?
Для шифрования электронной почты между пользователями Тутанота использует стандартизированный гибридный метод, состоящий из симметричного и асимметричного алгоритмов. Тутанота использует AES длиной 128 бит и RSA длиной 2048 бит. Электронные письма внешним получателям шифруются симметрично 128-битным AES.

Открытый код, лицензия GPL v3. (https://github.com/tutao/tutanota)
Для сокрытия IP адреса стоит использовать Tor Browser.
 

Varnolex

Пассажир
Сообщения
29
Реакции
31
Tutanota не может "сливать" какие либо данные по тому,что все данные зашифрованы на устройстве пользователя.

-Где происходит процесс шифрования?
Шифрование и дешифрование данных всегда происходит локально на вашем устройстве при входе в систему. Все данные зашифрованы, и только вы можете получить доступ к данным со своим паролем.
-Что зашифровано и что можно прочитать?
Тутанота шифрует все данные, хранящиеся в вашем почтовом ящике (контакты, электронные письма, подпись электронной почты, правила почтового ящика, данные счетов, способ оплаты, сертификат и личные ключи ваших собственных доменов). При отправке электронного письма Тутанота автоматически шифрует тему, контент и вложения.
Мы можем читать только следующие метаданные:
адрес электронной почты отправителя
адрес лектронной почты получателя
дата электронного письма
Мы изучаем возможности скрытия метаданных и в будущем.
-Где генерируются мои ключи и как защищен мой закрытый ключ?
Ваш личный и открытый ключи генерируются локально в вашем браузере при регистрации. Ваш закрытый ключ зашифрован вашим паролем. Таким образом, ваш пароль для входа получит статус закрытого ключа. Ключ зашифрован настолько надежно, что только вы можете использовать его для шифрования и дешифрования данных. Вот почему так важен надежный пароль. Автоматическая проверка пароля на клиенте гарантирует, что вы используете надежный пароль. Ваш пароль никогда не передается на сервер в виде обычного текста. Он обрабатывается, а затем хешируется с помощью bcrypt локально на вашем устройстве, так что ни сервер, ни мы не имеем доступа к вашему паролю. Благодаря этому инновационному дизайну вы можете легко получить доступ к своему зашифрованному почтовому ящику с любого устройства (настольного, мобильного).
-Какие алгоритмы шифрования использует Тутанота?
Для шифрования электронной почты между пользователями Тутанота использует стандартизированный гибридный метод, состоящий из симметричного и асимметричного алгоритмов. Тутанота использует AES длиной 128 бит и RSA длиной 2048 бит. Электронные письма внешним получателям шифруются симметрично 128-битным AES.

Открытый код, лицензия GPL v3. (https://github.com/tutao/tutanota)
Для сокрытия IP адреса стоит использовать Tor Browser.
Все мы надеемся на это, но никто не знает наверняка.
Месяца три назад прекратил использование их сервиса наткнувшись на статью,достойную внимания, где достаточно убедительно расписан способ и варианты слива. А сейчас ищу ищу и не могу найти.
 

Biosphere

Пассажир
Подтвержденный
Сообщения
19
Реакции
23
Все мы надеемся на это, но никто не знает наверняка.
Месяца три назад прекратил использование их сервиса наткнувшись на статью,достойную внимания, где достаточно убедительно расписан способ и варианты слива. А сейчас ищу ищу и не могу найти.
"Никто не знает наверняка" применимо к проприетарному ПО.
В случае Tutanota код полностью открыт и доступен на https://github.com/tutao/tutanota,поэтому "никто не знает наверняка" здесь не применимо.
Главная угроза для безопасность при использовании Tutanota исходит от самого пользователя и от проприетарных ОС,которые могут украсть пароль.
Чтобы минимализировать эти угрозы при использовании Tutanota, следует использовать Tor Browser,выбрать надёжный пароль плюс дополнительно использовать 2FA и не использовать проприетарные ОС,которые постоянно шпионят за своими пользователями.
 
Сверху Снизу