Comments 146
Про статью 23 Конституции РФ можно забыть.
Ну давайте вместе почитаем:
Ограничение этого права допускается только на основании судебного решения
Ви так говорите, как будто получить нужное судебное решение ну ооооочень сложно. А как только получили — всё, Конституция соблюдена до буквы, и можно ограничивать Ваше право на тайну переписки во все отверстия в наиполнейшем соответствии с Конституцией. Так на что Вы жалуетесь-то?
P.S. Если хотите упоминать Конституцию в этой связи, то я про нее в курсе, стоит переадресовать это в КС РФ… ну или забыть про нее, кому-то так комфортнее.
Получение судебного решения предполагает дополнительную защиту интересов объекта действия этой законодательной нормы от потенциального злоупотребления
Это Вы про Басманный суд сейчас? :)
Ну сделают резиновый штамп "ОДОБРИТЬ", если Вы так настаиваете.
Ну так я против эпопеи ничего не имею — я про конкретный комментарий товарища.
Вот только представления о том, что входит в константный базис, а что навешано культурой, тоже заметно менялись. А с развитием биотехнологий и базис становится не таким уж константным.
Понятно, что люди и в самом совершенном обществе хотят есть-пить. Но чтобы они оскотинились и за еду стали резать друг другу глотки надо разрушить их общество. Однако они могут выбрать смерть ради его защиты. И это будет таким же естественным поведением, как защита муравьёв своего муравейника.
А какая причина показывать другим свои соображения?
Я лично не вижу подобной необходимости.
наступит ли такое время, когда люди перестанут скрывать от других свои сообщения,
Как только людям станет совсем-совсем нечего прятать от других (начиная, скажем, с *исек).
(Как Вы понимаете, *иськи — одни из распространённых фоточек, которыми обмениваются люди, состоящие/намеревающиеся состоять в интимной связи, и которые они, как правило — во всяком случае, в данный исторический момент, — совершенно не стремятся продемонстировать кому-бы то ни было, кроме партнёра).
А какая буква заменена звёздочкой — это уже решать читателю в зависимости от его личной ориентации.
совершенно не стремятся продемонстировать кому-бы то ни было, кроме партнёраС чего Вы это взяли? Для многих публичная демонстрация своих достоинств ограничена только некоторыми условными рамками приличия.
Протокол не общепринятый
В рамках ограниченной популяции (а популяция всегда ограничена — сюрприз. этническими, культурными/субкультурными, возрастными рамками).
установлен запрет на игру в Покемон Го в храмах.
А можно пруфец с вынесением решения О запрете неопределенному кругу лиц играть конкретно в эту игру конкретно в храмах?
возможна ситуация, когда формального запрета на ваши действия нет, но вас просто затравят
дети бывают жестоки, да.
Если угрозы насилия нет, то нет причины не «выходить за рамки приличия»
А ненужно насилия. Человек, который не разделяет групповые нормы поведения просто оказывается парией. БОМЖи, например.
дети бывают жестоки, да.Да, да, дети. Если вас не сжигают как ведьму или колдуна, то это не говорит о том, что вокруг мир и порядок. Либо охотятся сейчас в другом селе, либо вы слишком безобразны, либо ничего не ведаете.
«Рамки приличия» — это граничные условия общепринятого протоколаРамки приличия никогда не были и не будут общепринятыми, они будут регулярно отклоняться, и в довольно больших пределах. «Ромео и Джульетта» или «Гамлет» почему-то не запрещены за пропоганду суицида, а толстых обнажённых тётенек, с картин художников эпохи возрождения, без особых проблем печатают в школьных учебниках для лиц младше 18. С этти такой трюк не прокатит, наверное по тому, что оно не такое уродливое.
Если бы никакая ограниченная популяция не тащила свои «общепринятые» правила за свои пределы, то было бы норм. Но это фантастика. Или в вашем мире казаки никогда не били нагайками никого кроме казаков?Протокол не общепринятыйВ рамках ограниченной популяции
А можно пруфец с вынесением решения О запрете неопределенному кругу лиц играть конкретно в эту игру конкретно в храмах?Не утрируйте, пожалуйста. Есть статья 148 УК РФ и прецедент её применения конкретно по этой игре конкретно в храме. Угроза применения этой статьи в подобных случаях явно не ограничивается одним конкретным Русланом Соколовским.
А ненужно насилия. Человек, который не разделяет групповые нормы поведения просто оказывается парией.Это тоже разновидность насилия. Бойкот или общественное порицание — это субъективное насилие, они — насилие только для вас и тех, кто оказался в идентичном положении, так как не имеет признаков нанесения материального ущерба, которые сложнее оспорить.
Или в вашем мире казаки никогда не били нагайками никого кроме казаков?
В моем мире казаков в ближайших примерно 800 километров нет.
Не утрируйте, пожалуйста. Есть статья 148 УК РФ и прецедент её применения конкретно по этой игре конкретно в храме
Да. И это конкретный случай. Не надо с ним в обобщанку пожалуйста.
Это тоже разновидность насилия. Бойкот или общественное порицание — это субъективное насилие
Вы так договоритесь до пэссив-агрессив )
В моем мире казаков в ближайших примерно 800 километров нет.Да, это существенно облегчает игнорирование фактов, имевших место в других локациях.
Да. И это конкретный случай. Не надо с ним в обобщанку пожалуйста.Видите ли, от того, что это один конкретный случай, угроза применения 148 УК РФ никуда не делась и действует в отношении неопределенного круга лиц. Или Вы гарантируете, что никто другой, совершивший поступки идентичные поступкам Соколовского, не будет иметь проблем с УК?
начиная, скажем, с *исекДумаю обывателя больше напугают эксплоиты или средства шифрования. Одного математика в самолёте вообще чуть за террориста не приняли.
Непослушный местный сервис необязательно штрафовать — там можно найти запрещенные вещества или картинки, и прикрыть именем РКН. Ну то есть рычаги влияния были и до этого, а теперь чуть меньше напрягаться нужно будет.
Зарубежный сервис может включить режим «а как насчет нет?» при сопоставимых репутационных издержках. Либо включить режим цифрового сопротивления и посвятить в тайны проксеводства ещё бОльшее количество простых граждан. А вот когда физлиц начнут штрафовать — будет ещё интереснее.
И никогда не будет лишним проверить наличие set pfs в своих crypto-map. Чтобы смело сдать все известные ключи в компетентные органы и с чистой совестью сесть в аэроэкспресс.
И никогда не будет лишним проверить наличие set pfs в своих crypto-map. Чтобы смело сдать все известные ключи в компетентные органы и с чистой совестью сесть в аэроэкспресс.
Не поможет. Заставят пропатчить софт, чтобы сессионные ключи писались в файлик или отправлялись по UDP прямиком товарищу майору.
Дальше только ввод многомиллионных штрафов за обход блокировок.
Им даже придумывать ничего не надо, уже давно есть образцы для подражания — If you get caught using a VPN in the UAE, you will face fines of up to $545,000
Как можно выиграть или не проиграть в игре, правила которой постоянно меняются и меняются не вами? (с)
В конце 20 века была занимательная настольная игра про сражения космических флотов. Так вот, 3 года подряд там выигрывала программа. После первой победы, в правила игры в добавили запрет на использование тактики, применённой программой. После второй — правила усложнили ещё раз. После третьей победы в правилах запретили использовать программы в принципе.
Дело в том, что все компании всегда оставляют себе калитку. И у них эти ключи есть. И компания, если захочет, может расшифровать переписку пользователей. Или отдать ключи кому нибудь. Тайно или явно.
Так что, этот закон по сути гласит: "Корпорации должны делитесь с государством".
Если бы у компании не были ключи, не было бы и что передавать государству.
Ну, ну! Это не так и никогда так не бывало. Не знаю откуда у вас такие идеалистические представления.
В конце концов есть такие алгоритмы в которых компания просто не будет знать ключи шифрования. Но такие алгоритмы (ЕМНИП) не использует ни один мессенджер, разрабатываемым компанией. А там где такие алгоритмы были, их выпилили.
Это мне о чем-то говорит.
А вы верьте, верьте! Вера помогает. А я буду tox использовать.
Причем здесь биткойн??? Биткойн это не средство коммуникации. И что значит "запрещает"???? Никто и ничего не запретил. Компании штрафуют именно за то что не предоставляют государству то чего у них есть. Нельзя отдать то, чего у тебя нет.
Биткойн это не средство коммуникации.
С учетом API-шечного вызова, где в транзакции можно опубликовать данные в блокчейне — вполне себе средство коммуникации.
Нельзя отдать то, чего у тебя нет.Ну в случае с телеграмом это никого не остановило.
Да? А вы уверены что у телеграма нет ключей? Я например не уверен.
Не-е-ет, это вообще принципиально! Если у телеграма ключи все-таки есть, то он в принципе ненадежный.
Потому что имея ключи, телеграм может отдать их, без лишнего шума, кому захочется. Например бандитам, которые угрожают убить там дети, жену и т.д.
И совсем не факт, что ключи не отдавали/продавали уже. Только в газетах об этом не пишут.
Грех государства в том, что делает все это публично и об этом пишут в газетах/на хабре.
Не-е-ет, это вообще принципиально! Если у телеграма ключи все-таки есть, то он в принципе ненадежный.Вопрос надёжности телграма и вопрос передачи ключей государству — это принципиально разные вопросы, и не следует их соединять воедино.
Потому что имея ключи, телеграм может отдать их, без лишнего шума, кому захочется. Например бандитам, которые угрожают убить там дети, жену и т.д.Отлично, теперь кроме бандитов, ключи у которых могут быть, а могут и не быть, ключи гарантированно будут у спецслужб. У одного бандита сил на прочёсывание всего этого массива не хватит, а у государства наверняка найдётся.
Грех государства в том, что делает все это публично и об этом пишут в газетах/на хабре.А чем оно тогда от бандитов отличаться будет? Бандиты, которые не пытаются получить деньги прямо сейчас, а дальше хоть трава не расти, тоже не будут вредить без необходимости. Поскольку вот сейчас он, конечно, отожмёт деньги, а завтра тот у кого он отжал разорится и кормить бандита перестанет.
Вопрос надёжности телграма и вопрос передачи ключей государству — это принципиально разные вопросы, и не следует их соединять воедино.
Все сводится к надежности шифрованной коммуникации. Так что эти вопросы отнюдь не "принципиально разные"!
Все сводится к надежности шифрованной коммуникации. Так что эти вопросы отнюдь не «принципиально разные»!Тогда вам потребуется не только доказательство наличия дыры, но и доказательство эквивалентности доступа к данным государства и бандита. А вы, даже первую часть не выполнили.
Доказывать наличия дыры, как раз не нужно. Достаточно обоснованное сомнение что ее может быть.
Примерно так: Мои приватные ключи хранятся на сервере? Если да, то это не шифрование и там заведомо есть дыра в безопасности. Все.
Примерно так: Мои приватные ключи хранятся на сервере? Если да, то это не шифрование и там заведомо есть дыра в безопасности. Все.Приватные чаты хранят приватные ключи на сервере? У вас точно есть доказательства этому?
А какие "приватные чаты" имеете ввиду? Если телеграма, то я не знаю. Я его не пользуюсь совсем.
Но если они не хранятся на сервере, значит это не те ключи из за которых забанили телеграм.
А какие «приватные чаты» имеете ввиду? Если телеграма, то я не знаю. Я его не пользуюсь совсем.Секретные чаты
Но если они не хранятся на сервере, значит это не те ключи из за которых забанили телеграм.А вы откуда знаете?
А вы откуда знаете?
Достаточно просто прочитать историю конфликта между Телеграм/Дуров и Роскомнадзором, чтобы увидеть, что дело там намного сложнее.
Телеграм заблокировали из за многих причин. И ключи здесь просто одна из них.
Кстати, Дуров никогда не утверждал, что не может отдать ключи, потому что у него их нет. Наоборот – из всех его высказывании подразумевается что: "Ключей не дадим."
Кстати, Дуров никогда не утверждал, что не может отдать ключи, потому что у него их нет. Наоборот – из всех его высказывании подразумевается что: «Ключей не дадим.»Цитата из вашей же ссылки
Вследствие этого Telegram обязан хранить ключи для расшифровки переписки пользователей и предоставлять их по запросу ФСБ России[3][4]. Руководство Telegram настаивает на том, что это требование технически неисполнимо, поскольку ключи хранятся на устройствах пользователей, а сервера мессенджера их не получают[5][6]
Да, я читал. Только это в силе только для секретных чатах. То есть, если захотели бы, то могли бы дать ключи/доступа к ту переписку, которая хранится у них на серверах.
Надо понимать, что история с телеграмом, вообще выходит далеко за пределами закона Яровой, Роскомнадзором и РФ в целом. Дуров вообще строит империю и все что он делает направленно на этом. Получится ли у него – увидим.
Руководство Telegram настаивает на том, что это требование технически неисполнимо, поскольку ключи хранятся на устройствах пользователей, а сервера мессенджера их не получают[5][6]
К слову, вполне себе исполнимо — копированием ключей с устройств пользователя на сервер. Пока это не будет полностью открытый софт, никто не даст гарантий, что очередной апдейт не принесёт такую возможность — сделать копию ключей "для бэкапа" с устройств пользователей на сервер.
Желательно конечно еще и иметь на пользовтаельских устройствах TPM, который физически не позволяет вытащить сам ключ.
Желательно конечно еще и иметь на пользовтаельских устройствах TPM
так он там есть
TPM-то есть, но далеко не везде, это раз. И тем более закрытый софт не проконтролировать на предмет где он хранит пароли и как реализует шифрование, это два. Пока аппаратное хранение ключей без возможности извлечения не будет использоваться повсеместно, нет никакой гарантии, что ключи в один прекрасный момент не уплывают третьим лицам. Также нужен контроль над уже расшифрованными данными, чтобы они не уплывали куда не надо и не хранились в открытом виде.
Ну знаю я про это, так как работаю как раз с security space. А теперь разверните мысль и расскажите, как вы можете заставить, например Телеграм, гарантировать вам то, что 1) сгенерированные e2e ключи сохранятся в HSM никогда не покинут устройства и 2) Ваши чаты расшифрованные и отображенные на вашем девайсе, внезапно после очередного апдейта не улетят "для бэкапа" в плейнтексте на сервер? Где у нас Телеграм хранит е2е ключи?
И да, приложение Телеграма при этом будет подписано всеми необходимыми ключами для запуска в системе. Поэтому, если перечитаете то, о чём я говорил — тут нужен контроль еще и над самим исходным кодом.
расскажите, как вы можете заставить, например Телеграм, гарантировать вам то, что 1) сгенерированные e2e ключи сохранятся в HSM никогда не покинут устройства
Так использование Android Keystore это гарантирует, не?
Чтобы ключи покинули устройство, необходим доступ из TEE к сетевой подсистеме. Который отсутствует by design.
Ваши чаты расшифрованные и отображенные на вашем девайсе, внезапно после очередного апдейта не улетят «для бэкапа» в плейнтексте на сервер?
Апдейта — чего именно?
Так использование Android Keystore это гарантирует, не?
Ну очевидно же, что я говорил о том, что сначала надо гарантировать, что приложение (e.g. Telegram) пользуется тем самым аппаратным TPM. Есть такие гарантии, что а) ключи хранятся и будут всегда храниться не в файлике на диске а в аппаратном устройстве и б) очередной апдейт приложения не заложит бэкдоры для отправки ключей на сервер, либо для отправки уже расшифрованного контента (для бэкапа ведь только, хехе). За этим заканчиваю, тема уже дохлая.
Я утверждаю, что нужен такой "телеграм" в котором ключи не хранились на серверах компании.
Если его нет, то нужно создать. Или нажимать на производителей "телеграмов", чтобы сделали именно так. Ведь рынок, конкуренция, клиент всегда прав...
А если нельзя и не получается, то не лгать самого себя насчет честных бизнесменов и надежности коммуникации.
Я утверждаю, что нужен такой «телеграм» в котором ключи не хранились на серверах компании.При этом сами же раньше говорите что таких нет в принципе. Так какой рынок, какое нажатие если у вас все по определению плохие? Насколько я видел доказательств этого у вас нет, а значит не может и быть параметров по которым вы согласитесь что компания хорошая.
а значит не может и быть параметров по которым вы согласитесь что компания хорошая.
Почему? Вообще-то, презумпция невиновности в отношении компьютерной безопасности не работает. Здесь наоборот – презумпция виновности и тот, кто предлагает софт, протокол, шифрование, должен доказывать что это безопасно. Доказательства телеграма я считаю неубедительными.
Вот, откроют код серверов, посмотрим, подумаем опять.
Почему?Почему что? Почему у вас нет доказательств? Я не знаю, я только знаю что если бы они были, то вы бы их давно показали вместо того чтобы лить воду. Почему не может быть параметров без доказательств вашего текущего утверждения? Потому что утверждение крайне общо само по себе и любой параметр добавленный позже будет ему противоречить. Доказательства же показали бы какие на самом деле параметры вы используете и это уже можно было бы обсуждать.
Код клиента открыт, там должно быть видно как используются ключи.
Наверняка люди, гораздо лучше меня разбирающиеся в коде, проверяли его.
Раз нет сообщений о возможности вытащить ключи, то считаю, что Дуров не врет.
Понятно, что полная уверенность будет, если сам проверишь код и соберешь клиента из исходников.
Ну насчет государство не знаю. А то что Дуров никогда на утверждал, что ключи у него нет написано даже в википедии:
Создатель мессенджера также подчеркнул, что требуемая ведомством дешифрация переписок противоречит Конституции РФ и никак не обезопасит мир от террористов, поскольку поставит под угрозу миллионы пользователей Telegram
В та же википедия написано, что:
Серверы Telegram не сохраняют сообщения из секретных чатов, но сохраняют историю обычных чатов и содержимое адресной книги пользователей на срок использования сервиса и на срок неактивности, указанный в настройках аккаунта (от одного месяца до года). Используемое в мессенджере шифрование не обеспечивает PFS во всех случаях[107][108][109].
Создал свободную крипту, хотел облагодетельствовать себя всех, но его свободное дерзание притушили и никаких призывов протестовать против посягательств на свободу.Протестов, очевидно, не требуется, поскольку 'притушение' пока еще оспаривается в законном порядке, если не ошибаюсь.
Дело в том, что все компании всегда оставляют себе калитку. И у них эти ключи есть
Там где вы учились настолько плохо преподают математику?
Если бы у компании не были ключи, не было бы и что передавать государству.
Увы и ах, карателям математику, судя по всему, преподавали не лучше, чем вам…
Дело в том, что все компании всегда оставляют себе калитку. И у них эти ключи есть. И компания, если захочет, может расшифровать переписку пользователей. Или отдать ключи кому нибудь. Тайно или явно.Чем-то подкрепить это утверждение Вы, конечно же, не можете?
А есть ли такие программы? Мне кажется, что нет.
На основе p2p запросто — нет юрлица, которое должно будет выдавать ключи. Есть одно НО — могут принять новый закон и по поводу этого.
Компании п2п не разрабатывают.
Судя по минусов, выходит что разрабатывают. Ссылочкой не поделитесь?
Ни минусов ни плюсов ставить не могу, но есть такая открытая штука Keybase. С p2p или e2e, как удобнее, шифрованием для всех чатов. Это не p2p по протоколу, так как есть централизация и компания, которую можно оштрафовать и забанить, но ключей она выдать не может по определению.
Странно почему ее еще не забанили? И даже не отштрафовали. А потому что нельзя отдать то, чего не владеешь.
Я например до сегодняшнего дня про неё даже не слышал, и те кто могут оштрафовать скорее всего тоже.
Вот и я об этом! Есть кстати и tox, которого нереально забанить или расшифровать. И другие решения тоже есть. А неизвестно почему все пользуются по сути коммерческими программами у которых ключи хранятся на сервере.
А потом ноют, что вот, плохое государство прижало "честных" бизнесменов отдавать ключи. А сами эти бизнесмены крутят-вертят, но ключи всегда держат у себя на серверах.
Ведь был например skype в детстве p2p. А сейчас что? Весь трафик только через серверы MS.
Притом, что это азбука безопасности – надежное шифрование возможно только если приватные ключи хранятся только локально.
Все остальные варианты – по сути ненадежны и нечего ныть что их читает каждый кому это надо.
А неизвестно почему все пользуются по сути коммерческими программами у которых ключи хранятся на сервере.
Всё известно, не нужно драмы. Используют, потому что удобно. Удобно, когда контакты можно написать в виде username, а не человеконечитаемого кода или QR. Удобно, когда переписки между устройствами синхронизируются. Удобно, когда сообщения доставляются без необходимости держать передающий клиент постоянно в сети.
А кому (и когда) нужно е2е шифрование без ключей на сервере — пожалуйте в секретные чаты. Жаль, на десктопах их до сих пор нет (кстати, кто знает почему?)
Зачем просить ключи у заблокированного мессенджера? И да, можно отдать ключи сегодня, а завтра «сменить замок»и пусть пробуют открыть
Президент подписал закон о повторном отказе передавать ФСБ ключи шифрования. Штрафы сильно вырастут