NÚKIB: Analýza komunikačních aplikací s end-to-end šifrováním (diskuse)

[Jendа]

WhatsApp má zaškrtnuto multiplatformní, ale ve skutečnosti funguje jen na Androidu/iOS. Jde to provozovat ve virtuálu, ale je s tím opruz (fyzická kamera, která prý jde emulovat v Android Studio, ale to je takový bloat že jsem to nedal), a navíc to neumí hovory. Ty by měla umět jejich desktopová Win verze, ale ta mi ve VirtualBoxu zobrazí jen béžový obdélník. Vlastně na hlasový hovor bych si mohl protunelovat zvuk z toho virtuálu přes pulseaudio, ale meeeeeh.

Fascinující je ten mor jak vyžadují PSTN telefonní čísla.

[Gréta]

2 platformy == multiplatformní :D :D

[Paulus]

Grétka už dostala vycházky ze svého blázince?

[/pol/]

Tobě nefunguje na Linuxu webovej prohlížeč nebo co?

[Jendа]

Jak se používá WhatsApp ve webovém prohlížeči? (jak píšu mj. v odkazovaném článku, vyžaduje to mít někde puštěný androidí klient, od včera tvrdí, že jen jednou za 14 dní, do včera to bylo nutné nonstop, jinak to vůbec nefungovalo, a je nutné naskenovat androidím klientem QR kód z webového prohlížeče)

[Max]

Ještě dodám, že ten bazmek mají pro iPhone, ale pro iPad už ne.
Zdar Max

[Jakub Lucký]

Já jsem emuloval webkameru pro Android-Whatsapp ve Virtualboxu a šlo to. Ale opruz to byl...

[Jakub Lucký]

Jo, koukám, že ty to v tom návodu máš...

[Jendа]

Emuloval? Jak? Mně šel jenom passthrough fyzické kamery (což se blbě dělá s virtuálem běžícím na serveru v serverovně).

[Jakub Lucký]

Ten passthrough jsem ve Virtualboxu zprovoznil i pro V2L loopback...

[Margzen]

Nevím co si myslet o kvalitě zbytku studie, když je v textu tato perla:

Dalším problémem je užívání vlastního šifrování. Šifrovací protokol MTProto není natolik důvěryhodný jako široce prověřené šifry formátu AES, a byly v něm nalezeny zranitelnosti.

MTProto je schéma postavené nad AES (klíč derivuje klasickou DH), nikdy nebylo prolomeno, odkazované zranitelnosti jsou generické side-channel útoky vedoucí k úniku některých metadat (např. jestli zprávu odeslal server nebo klient).

A jaký smysl má označit u closed-source aplikace, že má end-to-end šifrování, když uživatel nemá ten "end" pod kontrolou? I kdyby byla aplikace auditovaná, stačí jeden update a zadní vrátka jsou zpět.

[Mayhem]

To vite, to jsou ti "statni odbornici". Hlavne, ze se vydala brozura.

[j]

To skorem vypada, ze ty jejich plky ctes poprvy, 100% toho co z NUKIBu vypadne je kokotina vedle kokotiny. I zdejsi neblbejsi prispevatele tomu jen stezi muzou konkurovat.

Je z toho vzdy naprosto zjevny, ze to sepisuje nekdo za domaci ukol, protoze pise o vecech, o kterych nema paru.

Mluvit pak o bezpecnosti cehokoli, co se te snazi na kazdym kroku identifikovat (pozadavky na telefoni cislo) a nutne to k provozu potrebuje server treti strany ... muze leda debil z NUKIBu.

Mimochodem, vsim sis, ze ta jedna stranka s jednou tabulkou je zovana analyzou? lol ...

BTW: I pokud budes pouzivat OS, tak pokud si pokazdy sam neudelas audit zdrojaku a sam si to neprekompilujes pomoci stejne zauditovanyho kompileru, tak nevis, co vlastne pouzivas.

---

Dete s tim guuglem dopice!

[Margzen]

Jo, poprvé něco od nich čtu. Vypadá to jako středoškolskej referát z donucení. Napiš dvě stránky o Nerudovi.

K tomu poslednímu odstavci, jo, jasně. Já jsem to spíš myslel prakticky, tyhlety firmy se ohání auditem třetí strany kterým dokazují, že tam nemají backdoory. Jenže s Play Store nebo jinak nazvaným "Remote Code Execution" nástrojem tu auditovanou verzi může výrobce kdykoliv vyměnit za cokoliv, a koncovej uživatel nemá možnost zjistit, co se změnilo. S fossem můžu udělat vždycky git diff (a dělávám, když mi jde o bezpečnost nebo prachy).

[j]

A ted si predstav, ze tihle dementi maj pravomoc narizovat ... par mesicu zpet trebas to, jak maj fungovat mailservery, pochopitelne v rozporu s RFC i vseobecne beznym nastavenim.

---

Dete s tim gugulem dopice!

[billgates]

A dnes upozornuju na vishingove telefonaty: https://www.nukib.cz/cs/infoservis/hrozby/1830-upozornujeme-na-stale-trvajici-kampan-podvodnych-vishingovych-telefonatu/

[Margzen]

No, dyť jo. Musíme držet krok s mladýma.

Blend of voice +‎ phishing

    A form of phishing using a telephone call to the prospective victim.

https://en.wiktionary.org/wiki/vishing

[Rezza]

Jako třeba ten jejich návod na open source není úplně blbý. Měli i komentáře na GitHubu k tomu. Ano, byly tam některé nesmysly, ale že si vůbec někdo u nás všiml, že open source vývoj existuje, to není zlé.

[mp]

Veřejná infrastruktura části západní Evropy přechází na Matrix a ve zprávě nuke-ibu ani zmínka

https://matrix.org/blog/2021/07/21/germanys-national-healthcare-system-adopts-matrix

https://matrix.org/blog/2018/04/26/matrix-and-riot-confirmed-as-the-basis-for-frances-secure-instant-messenger-app