Názory k článku
Švýcarská armáda zakázala všechny chatovací aplikace kromě Threema
-
Ondra Satai NekolaZlatý podporovatel -
Ondra Satai NekolaZlatý podporovatel
Presne tak.
Server muze poskodit jine vlastnosti bezpecnosti (leakovat metadata...), otazka je, jak presne souvisi tyhle zdrojaky s buildem na Play... Ale v principu skutecne jde vzit ty zdrojaky, zauditovat, vybuildit a nainstalovat.
-
To je pěkné, má to ale několik háčků:
1. Signal server není kompletně open source, ale některé části jako anti-spam jsou uzavřené z "bezpečnostních důvodů".
2. možná už se v tom zlepšili, ale dřív kód zveřejňovali s velkým zpožděním za aktualizacemi samotného serveru.
3. i kdyby bylo všechno nakrásně v pořádku, jak si ověříte, že ten kód, který zveřejnili, do posledního bitu reprezentuje software, který na tom jejich serveru běží? U centralizovaného softwaru, který provozuje někdo jiný jako službu, jsou ty výhody otevřeného kódu celkem limitované. Nakonec jim člověk musí stejně důvěřovat. -
No a rekni mi, co s tim dal? Pokud si to rozbeham, tak signal.org se mnou federovat nebude, muzu samo kamosum dat upravenej klient s pripojenim na muj servr, ale tim to hasne. Signal je proste uzavrenej system bez moznosti overit, co na servru opravdu bezi. Nastesti to z pohledu navrhu protokolu nehraje vyznamnou roli.
-
V tomhle je svycarsko jako amerika. Spousta zbrani a porad tam nekdo strili. Nastesti se jedna "jen" a sebevrazdy. Kamos mi vysvetloval ze ty pusky jsou upraveny tak aby si nedosahl rukou na spoust kdyz si ji drzis u hlavy. Tak to delaji palcem u nohy. A ty granaty muzou drzet. Neni to ale samozrejmost ani nutnost. Proste kdo chce vybavi si papiry na drzeni. Vetsina vsak drzi jenom tu automaticku pusku jak maji narizeno.
-
O Švýcarsku se hodně mluví, ale když jsem si o tom něco četl, odhaloval jsem mýtus za mýtem. A vlastně nemám chuť ani čas se stát odborníkem na Švýcarsko ani na (de)regulaci zbraní, tak mne kdyžtak opravte.
Pokud vím,
1. aktivní záložníci 20-34 let mají držení pušky nařízeno, ale dnes už ji bez dalšího povolení nepřechovávají nabitou,
2. starší si pušku (a náboje) musí vypapírovat a koupit podobně jako u nás,
3. o granátech jsem nic nenašel, ale sotva budou legální kromě těch gumových. Upozorňuji, že Švýcarsko na rozdíl od ČR reguluje i např. vystřelovací nožíky nad 5 cm. -
Filip JirsákStříbrný podporovatelPoleno asi narážel na to, že nejslabším místem end-to-end šifrování je výměna klíčů mezi uživateli. Když pro sdílení klíčů použijete server, musíte najednou důvěřovat i serveru – protože server samozřejmě může uživateli prezentovat nějaký svůj podvržený klíč místo skutečného klíče uživatele. Takže pokud má být end-to-end šifrování opravdu takové, aby server komunikaci nemohl odposlouchávat, musí si uživatelé bezpečným způsobem ověřit klíče. Což uživatelé většinou nedělají, protože je to nepohodlné a uživatelé nevědí, proč by to vlastně měli dělat.
-
Filip JirsákStříbrný podporovatel
Přesně tak. Komunikace z různých důvodů stejně jde vždy přes server. Akorát že v případě opravdového E2E šifrování server nevidí do dat, protože jsou zašifrovaná klíčem protistrany, který server nezná. Pokud ovšem důvěřujete serveru ohledně klíčů protistrany, server vám může podstrčit svůj klíč. Pak ve skutečnosti nepůjde o E2E komunikaci s protějším klientem, ale budou tam dvě E2E komunikace – vy budete komunikovat E2E se serverem, ten si zprávy dešifruje, přečte, a pak je pošle druhým E2E šifrovaným kanálem protějšímu klientovi.
-
Ty si odborník na nechápanie písaného textu... v prvom komentári som nevedel ani že Threema má open-source client. O serveru tam nebolo slovo, a v druhom už som i napísal že z klientu je to zväčša znát. Navyše reaguješ na prvý koment, takže docela dosť mám pocit že narázaš na niečo, čo som ani v tom komentári nenapísal... druhým komentárom som narážal že keď je to len klient, tak i tak nejaké dáta Threema získava (metadáta), ktoré tu už spomenuté boli.
8. 1. 2022, 10:58 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
Ne, vy jste v druhém komentáři pořád trval na tom, že může existovat nějaké end-to-end šifrování, které ovšem není plně implementováno v klientovi. Což je nesmysl, princip end-to-end šifrování je právě v tom, že to zašifruje klient a nemůže to rozšifrovat nikdo jiný, než klient adresáta. Pokud klíče má nebo může mít někdo jiný, než klient, není to end-to-end šifrování.
K tomu, aby end-to-end šifrování dávalo smysl, je pak samozřejmě potřeba ještě vědět, komu který klíč patří. To je ve skutečnosti na celé věci to nejtěžší.
-
Zformuloval som vetu zrejme neštastne pravda, ale keď som hovoril že nie vždy je vidieť či je šifrovaná end to end zo zdrojákov klienta, myslel som tým že ak je kód obfuskovaný, nie že by to malo byť niečo mať so serverom.
"to je len client." Tým som poukázal že dal odkaz len na zdrojáky klienta, ale nič som nepísal o tom že zdrojáky servera sú potrebné. (a trocha je to blbo napísané, lebo som pri edite toho komentu odmazal časť bez odmazania inej časti)
"I když z toho väčšinou je vidieť či je alebo nie je end to end šifrovaná." bolo mysleno nie že v iných prípadoch je potrebný zdroják serveru, ale že v iných prípadoch to nie je poznať kvôli obfuskaci kódu.Dúfam že už sa chápeme.
8. 1. 2022, 15:03 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
Nemusíte se snažit dodatečně to nějak zamluvit, to první vyjádření bylo jasné. Když se někdo snaží ostatní přesvědčit, že jeho klient pro end-to-end šifrovanou komunikaci je bezpečný a zveřejní zdrojáky, nebude kód obfuskovat. Navíc pokud by měl kód všechny klíče nebo veškerou komunikaci (nebo alespoň drtivou většinu) odesílat někam pryč, nepodaří se to v kód utajit. Věta „to je len client“ se jednoznačně vůči něčemu vymezuje, říká, že tam něco chybí.
Já myslím, že se chápeme od začátku. Je zbytečné snažit se to dodatečně zamaskovat, že se vlastně nechápeme.
-
-
Řekl bych, že nemají důvěru: jednak měli Wire v letech 2019-2020 sídlo firmy oficiálně v USA, tj. byli pod jejich jurisdikcí se vším, co to obnáší (NSA) a jednak pokud vím Wire pořád shromažďuje metadata na serverech v cleartextu, tj. ne end-to-end šifrované. Což je zrovna u vojáků problém, protože podle časů a místa připojení můžete ledacos zjistit. Nebylo by to poprvé :-)
-
-
Filip JirsákStříbrný podporovatel
Není. A takových prací, které nejsou jako jakákoli jiná, je docela dost. Být profesionálním vojákem je podle mne podobné třeba tomu být lékařem. Lékařem je člověk také 24 hodin denně a když má někdo akutní zdravotní problém, lékař má povinnost takovému člověku pomoci kdykoli. Nemůže říct „sorry, padla, přijďte si zítra ráno do ordinace, tedy pokud vydržíte krvácet tak dlouho“.
-
Ozbrojene slozky jsou velmi mimoradna prace, kde _VE SLUZBE_ podlehate uplne jinym zakonum. Jste povinen vykonavat rozkazy a pokud se proti nim provinite, tak jdete pred vojensky soud. Navic (podobne jako policista ve sluzbe) pro vojaky ve sluzbe neplati zakladni premisa demokratickeho statu "co neni zakazano, je dovoleno". Pro ozbrojene slozky plati "ve sluzbe nesmim delat nic jineho, nez mi uklada zakon ktery mou organizaci definuje"
-
Filip JirsákStříbrný podporovatel
I soukromá komunikace může vyzradit služební tajemství. Vzpomeňte na „běhací“ aplikace, které vyzradily, kde vojáci ve svém volném čase běhají – což ovšem bylo více než dostatečné pro určení polohy základny.
-
za hranou čeho? Švýcarské ústavy? Znáš jí?
Co máte pořád všichni s omezováním svobody, více co ta proklamovaná svoboda vlastně je a jak jí omezují? I u nás je běžné, že do řady provozů nemůžeš mít mobilní telefon a žádné omezování svobody to není, stejně jako do řady míst nemůžeš nosit zbraně.
Je naopak naprosto logické, že vojákům ve službě omezují komunikační prostředky, to dělá i naše armáda, mimochodem, to je také omezením svobody?
-
-
Jan HrachStříbrný podporovatelBojí se šmírování a oznamují věci na Facebooku?! (nedivil bych se, kdyby ty příspěvky byly jen „RSS“ nějakého jejich oficiálního webu, ale nevypadá to tak)
-
Tak šmírování veřejně publikovaných informací jaksi moc nevadí, že... To je jaksi v pořádku, aby zveřejněné informace pro veřejnost byly přečteny co největším počtem lidí, aby to bylo vidět.
Nebo se snad domníváte, že armáda používá Facebook pro šíření svých vnitřních směrnic pro své vojáky a zaměstnance? -
Vlastimil Tokar (neregistrovaný)
Za prve si nemyslim ze v dnesnej spolocnosti moze existovat nieco spojene s komunikaciou do ktoreho v pripade potreby nebude mat pristup tajna sluzba, kludne zite v iluzii.
Za druhe, tu na slovensku od pripadu "Kočner" Vam uz nikto nic doleziteho v sprave neposle a ani nezatelefonuje. Strasne sa to zmenilo, vsetko sa zacalo znovu riesit osobne aj ked uz ani na "polovnickej chate" sa clovek nemoze citit bezpecne :-) -
Případ Kočner ukazuje hlavně to, že ti kriminálníci, kterým na tom závisí doslova celý život, ani nejsou schopní se naučit, jak s těmi technologiemi bezpečně pracovat. Kočnerovi nikdo Threemu neprolomil. On měl nešifrované zálohy všech chatů ve vlastním telefonu, dal to policii na stříbrném podnose.
Stejně tak jediné známé prolomení Telegramu bylo to, že si daná skupina kriminálníků kromě SMS ověření nenastavila heslo. Policii tak stačilo odchytávat ve spolupráci s operátorem ověřovací SMS.
-
A co něco s otevřeným protokolem, nezávislé na konkrétní aplikaci?
Když kolem mě lidi řešili WhatApp a jeho změnu podmínek nakládání s daty uživatelů, tak jsem zkusil Matrix https://cs.wikipedia.org/wiki/Matrix_(protokol) a jako klienta vybral Everest.
Paradoxně, protože instant messaging aplikaci v podstatě nepoužívám, tak ani nemůžu posoudit, zda je to použitelná volba. Máte s tím zkušenost?
-
Asi neni moc použiteľné, keď to nikto nepoužíva. Ja mám Telegram, Signal, Viber, WhatsApp a používam to čo má druhá strana. Snažím sa prefereovať Telegram a presviedčať ľudí, aby ho používali, ale nie vždy sa to dá. Takže musím pouzívať aj Signal, WA, Viber a Skype.
Threemu u nás používal jeden oligarcha z mafiánskych zoznamov. Akurát si urobil nezašifrovaný backup. A polícia sa k nemu dostala a obvinila ho z vraždy novinára a ďalších pripravovaných vrážd: politikov, sudcov a prokurátorov. Teda zadžali ho kôli miliardovým podvodom so zmenkami, ale akonáhle sa jeho telefón ocitol v rukách polície, tak ho začali spájať aj s vraždou novinára a plánovaním ďalších vrážd.
8. 1. 2022, 11:11 editováno autorem komentáře
-
Úplně super by byl protokol, sada klientů a síť serverů. Třeba jako to má email nebo xmpp. Teda super pro uživatele, na druhé straně barikády už to tak super není a proč lít peníze do něčeho co mi neumožní držet uživatele pěkně pod krkem. Ta správná legrace by byla kdyby Švýcaři povolili používat cokoli co prošlo bezpečnostním auditem, dá se to provozovat v uzavřené síti a umí se to bavit i s něčím jiným než samo se sebou.
-
KateStříbrný podporovatel
Matrix je skvělý protokol. Everest klient ovšem neznám, a to se vývojem kolem Matrixu živím, nepletete si to s Elementem? :) Jinak co se týče feature complete klientů, na desktopu je to hlavně Element (Electron), NHeko (C++ a Qt), na mobilu Element a Fluffychat (Flutter).
-
Máte pravdu, omlouvám se za mystifikaci, ten klient se skutečně jmenuje Element.
Když byla bouře kolem WhatsAppu, tak jsem si přečetl několik článků o alternativách a tenhle klient/protokol mi z toho vycházel nejlépe.
Ve finále si to Ti, kterým jsem ho radil nakonec nepoužívají, ale vrátili se k WhatsAppu :( -
KateStříbrný podporovatel
I bez toho je na Matrixu dost rozsáhlá komunita chatů na všechno možné, což je fajn :) A díky bridgům je zároveň Matrix asi nejlepší „klient“ pro IRC, včetně historie zpráv lepší než dokáže poskytnout bouncer.
