Компании Meta* и Yandex уличили в скрытом отслеживании пользователей и манипуляциях для обхода предоставляемых браузерами средств обеспечения конфиденциальности, таких как режим инкогнито и возможность очистки Cookie. Активность по деанонимизации сеансов применялась на платформе Android при открытии сайтов, использующих системы web-аналитики Яндекс Метрика или Facebook Pixel...Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63350
Ну с Метой хрен с ним, мы в России живём.
А вот на вторых "товарищей" уже пробы негде ставить!
"Установите Яндекс браузер!"
У меня такой и мне нравится.
https://youtu.be/smVOVUMWf7w?si=J_eBP8L7buzzt3p3&t=129
https://www.youtube.com/watch?v=dQw4w9WgXcQ
> У меня такой и мне нравится.У нас отличные одеяла! Бесплатно! Налетай, разбирай, соплеменникам раздавай!
Гнать трафик всех приложений через локальный прокси-сервер?
AdGuard? Хорошая штука. Но с проприетарными ловушками.
Сначала недружественные страны следили за нами я молчал...а погодите, уже?
Кек, я думаю любое приложение, установленное на телефоне себя так ведёт, вроде ютуба.
Помните те PWA приложения для десктопа от гугла или UWP от майков? Где они сейчас?
Кто по вашему в здравом уме будет ставить добровольно приложение с телеметрией?
>недружественныеНу, а кто их таковыми назвал ?
Поищите на 3dшке статью об аудите телефонных приложений .8
> Кто по вашему в здравом уме будет ставить добровольно приложение с телеметрией?Вот у тебя браузер стоит. Сейчас в интернете полно сайтов с телеметрией от самых известных (и почему-то считающихся богатыми) компаний.
Чром глубже заходит?
> Чром глубже заходит?С точки зрения россиян - западный майор тупо дальше, поэтому - вообще не зайдет, во всех смыслах этого слова. А вот местный, которому яндекс все и сливает - очень даже может. Во всех смыслах этого слова.
Не надо писать гадости в соцсетях, и не придётся сидеть и трястись под одеялом из-за срaной телеметрии.
> Помните те PWA приложения для десктопа от гугла или UWP от майков? Где они сейчас?И ещё один бред основанный на незнании технологий
Других поэтов, кхе-кхе, сервисов у меня для вас нет. Иосиф Виссарио... тьфу, что это я! ВВП.А вообще эти говноеды (да-да, именно это слово прекрасно описывает Яндекс) давно уже заслуживают коллективный иск.
А за утечку как штрафанут по полной:
https://habr.com/ru/news/698402/
>А за утечку как штрафанут по полной:
>https://habr.com/ru/news/698402/"Cуд постановил выплатить 13 пользователям сервиса доставки «Яндекс Еда» по 5 тыс. рублей за утечку персональных данных"
Т.е. в итоге заплатить 65 тыс. руб. компенсации. Ты это называешь "по полной"?
Он это называет сарказмом
Новые законы почитай, что изменилось после 30 мая этого года, там другие штрафы и даже Яндексу будет больно, а уж если коллективный иск, то вообще тяжко-)
> а уж если коллективный искМне недавно историю рассказывали. Сейчас, когда ипотеку берёшь, деньги идут не застройщику, а банку на определённый счёт, и застройщик по окончании строительства эти деньги получает. Не застроился к обещанной дате - деньги возвращают покупателями в полном объёме.
Один застройщик по достижении срока сдачи продемонстрировал прогресс, далёкий от завершения. Когда людям начали возвращать деньги, они в мысле носились по офисам застройщика и банкам, лишь бы деньги им не возвращали, а продолжали строить, авось когда-нибудь достроится.
С вашим "коллективным иском" будет то же самое:
люди: мы подаём коллективный иск,
яндекс: нам жалко столько денег, мы лучше из страны уйдём
люди: э, нет, стойте, мы передумали, нам нужна яндекс музыка с рекламой, яндекс карты и яндекс поиск со встроенной слежкой, яндекс самокаты с краснобородыми/красногребенными, так что фиг с ними с утечками, это же не вы виноваты в конце концов
s/в мысле/в мыле/
> Т.е. в итоге заплатить 65 тыс. руб. компенсации. Ты это называешь "по полной"?А ты расчитывал, что они тебе дом построят в кач-ве компенасации и на авто ещё останется, пускай и отечественное? Поумерь свой пыл в оценке стоимости своих персональных данных. Данные политиков, "звёзд" и прочих певцов ртом примерно столько и стоят. Нет, наказывать их надо. Но иск должен быть коллективным.
Не знаю почему, но у меня есть нюх на что-то, что потом оказывается фуфлом: яндекс, фейспук, жан-клод ван дамм...
Современная кибербезопасность это не антивирусы и прочие, уже устаревшие методы борьбы, а в первую очередь открытый контроль сетевого трафика.
поди теперь докажи, ты хакнул пентагон или какой-то яндекс через свой браузер :) И по факту никто ничего не докажет, ибо нету никакого аудит лога, а сядет очередной козлик.
Не согласен!
Основа кибербезопасности - цифровая гигиена и чистоплотность, т.е. держаться подальше от помоек и рассадников (Facebook, Instagram, Yandex Maps, Yandex Navigator, Yandex Search, Yandex Go, etc)
То есть, остаться без удобной навигации при передвижении на любом транспорте, отказаться от поездок на такси. Остаться без обратной связи со своими.., ну, например, любимыми музыкантами. Ну, в общем, понятно. Вместо этого сидеть дома и создавать 449 правил для браузера в Никс ОС, к примеру. Мысль то ясна. Но не всякий сможет стать тибетским монахом.
Если вы не умеете ориентироваться в городе по мобильным картам с отключенным GPS - это деградация, я считаю.
Какая разница, включен GPS или нет, если ты всё равно смотришь пространство вокруг себя, и владелец карт это видит? Тут только на OSM переходить.
> Какая разница, включен GPS или нет, если ты всё равно смотришь пространство
> вокруг себя, и владелец карт это видит? Тут только на OSM переходить.Тут тоже вопрос интересный. А если я Антарктиду побраузить решил - это автоматически означает что я полярник и мой сосед - пингвин? Но в целом да, утечка :)
> я полярник и мой сосед - пингвинА ещё Лариса, 30 лет, находится в 400 метрах от вас.
Допустим, я умею. Раньше многие умели. По бумажным атласам, к примеру. Достаточно хорошо ориентировались. Но не так как сейчас с gps, конечно. А когда-то одежду из шкур шили костяной иглой. Ткацких станков не было. Ход мысли очередного луддита мне ясен-понятен, я не первый день трусь здесь.
> Если вы не умеете ориентироваться в городе по мобильным картам с отключенным GPS - это деградация, я считаю.Если вы не умеете ориентироваться в саванне с мозгом неандертальца с отключенными ментальными возможностями home sapiens - это деградация, я считаю.
Если вы не умеете дышать жабрами под водой как рыба - это деградация, я считаю.
Если вы не умеете размножаться делением - это деградация, я считаю.
Если вы не примордиальные квантовые флуктуации - это деградация, я считаю.
Если вы пользуетесь телефоном вместо бумажной карты то вот это деградация мозга. Совсем уже без своих компутеров беспомощные стали, ни лошадь запрячь не можете, ни валенки скатать, всё надо в инете искать как сделать.
Ооо, а вы умеете ориентироваться в лесу по картам без gps? Научите пожалуйста
Солне всходит на востоке, заходит на западе. Деревья обрастают мхом с северной стороны. Музыка обычно слышна со стороны ближайшей турбазы.
Что из этого вы не знали?
Так стдрадайте - у вас локальный монополист творит что хочет и управы на него никакой нет.
А у нас это у кого? У нас у русских на монополиста управы нет или у нас у американцев?
А других стран на планете не существует?
Я про РФ.
У капстран. Чел из будущего пишет.
> Так стдрадайте - у вас локальный монополист творит что хочет и управы на него никакой нет.А который из этих 2 монополистее? У одного Бэкдор.Браузер, у другого - SpyApp. Вот и выбирайте! :)
У нас червивый не только яндекс, но и сбер. Достаточно зайти на один только рамблер чтобы составить представление о них. Формулировки некоторых новостей, комментарии к новостям которые почти никто не трёт. Создаётся такое ощущение как будто в селюковскмй сортир попал. А ведь это считай исторически первый крупный сайт Рунета и во что он превратился.
Навигацию заменить на 2gis (хотя сбер... хрен редьки не слаще), такси да - монополия (но можно вызывать звонком), музыка вся есть на music.youtube.
> заменить на 2gisКоторая для нормальной работы (и даже для обычной настройки) требует регистрации (и данные пластиковой карты) и - опять же - включённый GPS, Яндекс Карты - только GPS, хотя в настройках есть опция, что может работать и без него..
> Которая для нормальной работы (и даже для обычной настройки) требует регистрации (и данные пластиковой карты)А? Каво? Зачем для пользования 2gis регистрироваться, а тем более карту привязывать?
Эмм, а чем ютуб мьюзик лучше? Так же следит за всем, что ты делаешь. И делает это даже поболее других.
Да, таки перечень замен вообще непонятен.
>а чем ютуб мьюзик лучше?Объёмом фонотеки.
Да что ты прицепился к нему, отставить буллинг! Слуха всё равно нет ни у него, ни у тебя, если вы это с серьёзными минами обсуждаете. Да, Opus прозрачнее мрз, но всё же потери, искажения.
на Organic Maps
Про музыку согласен - вообще ВСЯ, музыка, что есть на сраных стримингах, есть в ютубе. И даже намного больше - очень много музыки есть ТОЛЬКО на ютубе, это конечно всякое инди и авангард.
Вообще не понимаю людей, кто выкидывает деньги на этих стримингах - контент там ограниченный, так что смысла платить за них вообще не вижу.
Та же хрень с тем же кинопоиском - я пробовал, месяц попользовался и дропнул - нафига когда там полтора фильма, а все остальное есть на разных сайтах, а сейчас уже и в рутубе.
У людей наверно дофига лишних денег.
Я понимаю что они внешне похожи, кроме формы носа обычно, но разве ж это люди? Это гои, сэр. У гоев инстинкты и wow-факторы. В основном стадный и вытесняющий соответственно. Учите матчасть.
> Про музыку согласен - вообще ВСЯ, музыка, что есть на сраных стримингах, есть в ютубе.Так-то оно так. Но вот только на ютупе качество шакальное.
> все остальное есть на разных сайтах, а сейчас уже и в рутубе.А вот и "патриоты" на смену заступили.. 😆
Я про книги добавлю, подключил мтс сервис, на халяву на месяц потестить, из книг которые мне понравились за последние пару лет там было 0, решил послушать то, что они рекламировали у блогеров, их эксклюзив - который я конечно скачал на торрентах, и это просто лютая дичь.и
> очень много музыки есть ТОЛЬКО на ютубе, это конечно всякое инди и авангард
Ну вот не только инди, есть и обычные композиции
Может лучше Magic Earth?
>То есть, остаться без удобной навигации при передвижении на любом транспорте, отказаться от поездок на такси.Вот оно! Вот в этом вся суть цифрового рабства - добровольно отдать всю информацию о своей частной жизни в обмен за бесплатные "удобства". Ни кто не спорит - "удобства" действительно удобны, но они совсем не бесплатны. Кого-то устраивает такая цена, кого-то нет.
>суть цифрового рабстваПредположим, что вы гражданин РФ. То есть, у вас нет аккаунта на госуслугах, нет электронного банкинга? Вы не заказываете товары на маркетплейсах? И так далее... Поздравляю! Вы: https://i.ytimg.com/vi/oIA49KW-fus/hqdefault.jpg
У меня нет аккаунта на госуслугах (хожу в МФЦ и налоговую ножками 2-3 раза в год), нет электронного банкинга, приложения банка на телефоне нет, через сайт переводы делаю раз в месяц, не заказываю с маркетплейсов (у нормальных магазинов есть свои сайты, до более мелких можно тупо позвонить или ножками сходить). В магазинах пользуюсь исключительно наличкой. Чувствую себя превосходно, когда как-то оплачиваю онлайн - чувствую себя "грязным" и буквально перед глазами вижу SQL INSERT с данными оплаты и другими моими персональными данными, которые в лучшем случае будут использоваться для таргетированной рекламы и спам звонков (коих у меня уже ~5/день), а в худшем на допросе у товарища майора, который говорит, что деньги, которыми я оплатил шаурму по СБП (кто не в курсе, сейчас есть терминалы оплаты СБП на мелких точках они - основа переводов) были далее переведены какому-то враждебному вооружённому формированию, или экстремисткой организации (хотя даже эта организация была признана экстремистской уже после моего последнего перевода, да-да, у нас закон имеет обратную силу, если кто не знал). Так что ну нафиг ваше "удобство", мне важнее безопасность.
Где-то сутрировать, где-то передёрнуть.. Ну, а в целом, это нездоровье развившееся на базе полученных технических знаний. Видал такое.
> Где-то сутрировать, где-то передёрнуть.. Ну, а в целом, это нездоровье развившееся на
> базе полученных технических знаний. Видал такое.А может это - на основе массовых посадок по 10 лет лагерей? За репосты и лайки, в том числе - дофигалетней давности? Майоры почти прямым текстм сказали спасибо за досье, и пошли упаковывать на основе анализа социалок. Вам не нравится майор? У вас есть выбор. Вон там дитя гор с номерами АМР - упакуют в багажник. Но тоже за посты в социалочке, или что там им не нравится. Полный ассортимент удовольствий. Безопасность которую вы заслужили.
вэб версия или 2гис
монополист так цены взвинтил, что да — отказаться от яндекс такси
у музыкантов мессенджера нет? - сирисли?)можно в изолированном контейнере модифицированные проги ставить, это же андроид)
>не всякий сможет стать тибетским монахо
я эту мантру про vpn слышал - многие прониклись и научились пользоваться)
Полне возможен компромиссный подход. Есть приложение shelter, всякую такую гадость вроде яндекса можно засунуть таким образом в отдельный профиль. Можно отдельный смартфон для этого купить (или свой старый взять).
На сколько мне известно, loopback общий для всех профилей в системе. В GrapheneOS запланировано введение создание отдельных loopback-интерфейсов для каждого профиля, но это, пока что, только планы, да и касается только GrapheneOS.
OSMAnd~
>>отказаться от поездок на такси.С такими ценами - заневолю откажешься, кроме самых критичных случаев. За 5 минут скакнуть в 2 раза может.
Я пользуюсь удобной навигацией и такси и одновременно держусь как можно дальше от поделий яндекса. Не натягивай сову на глобус - весь мир как-то без твоего любимого яндекса живёт и ничего. гугл-карты, опенстритмапс, даблгис, автолига и 100500 других "приложений для такси" - это всё работает и (насколько я знаю) не сливает твои данные товарищу майору.
> Не натягивай сову на глобус - весь мир как-то без твоего любимого яндекса живётвесь мир думает что yango это какой-то другой, правильный яндекс, нисливает-нисливает
гугл-карты я лично имел недавно щщастье сравнить на территории Грузии, даже не РФ где живет большинство здешних обитателей.
Если яндекс хоть и завел в е..ня но все же кое-как позволил из них выбраться, то гугл просто показывал что "вы находитесь в оппе, нет тут дорог и быть не может".
В некоторых других странах по ним и вовсе можно заехать на территорию заселенную людоедами, без всяких проблем. А выехать оттуда - эт уж как получитсо.osm сделанный полутора васянами - ну это вот просто не смешите мои тапочки.
С приложениями для такси тоже все не так однозначно - где-то их просто нет или они такие что лучше б не было, где-то они даже есть но "машин в настоящее время нет, будете ждать следующие 20 минут?"
Ну и насчет не сливают... убер еще в 2010м кажется попался на использовании не по назначению апи, позволяющего проверить заряд батареи. Предполагалось что оно нужно для того чтоб приложению воздержаться от повышенной нагрузки при разряженной, отложив красивости на потом, но разумеется эти небрезгливые придумали поинтереснее.Так что не сливать они могут только в одном случае - если за этот хлам им не заплатили.
В свое время свободно скачивал с сайта 2ГИС карты через TOR. Сейчас это можно делать через VPN и использовать на смартфоне без интернета (настроить сетевой фильтр). Лично для меня это не актуально, т.к. смартфоном не пользуюсь, но может кому-то пригодится.
>Основа кибербезопасности - цифровая гигиена и чистоплотность, т.е. держаться подальше от сети интернет, поскольку все современные технологии дырявые напорочь даже без фич созданных по злому умыслу.Не благодарите
С чего ты взял, что антивирусы про безопасность? Касперский известен тем, что сам заражает своими лабораторными вирусами экосистему Windows.
Те, кому известно, сейчас в одной комнате с тобой?
Они всегда здесь. Присутствуют во всех местных комнатах. Обязаловка!
Заглядывай иногда в новостные сводки.
>контроль сетевого трафикаИ облегчать им задачу не надо:
https://opennet.ru/56830-tls
А кому надо облегчать задачу?
А что с яндекс клавиатурой? Тоже сливает?
А там ещё колонки с алисой...
Сделайте кто нибудь программу, чтобы Яндекс Алиса заговорила голосом товарища майора
Я даже знаю, где взять образ персонажа - мини-сериал "Нереальная история", серии "Советские учёные".
Безусловно, все процедуры по оптимизации стиля и устранению ошибок осуществляются исключительно на пользовательских устройствах. Данный процесс характеризуется абсолютной безопасностью и конфиденциальностью данных, что подтверждается тщательной реализацией мер защиты информации. Таким образом, можно с уверенностью констатировать, что пользователи могут не беспокоиться о сохранности своих данных и корректности проводимых операций.
Конечно. Я потому поставил свободную реализацию клавиатуры с F-Droid. Потому что Яндекс клавиатура это по сути keylogger.
Они это еще оттестили на PuntoSwitcher.
К слову об этом: Яндекс Карты сливают ваше местоположение и связывают его с вашим Яндекс аккаунтом, даже если вы не залогинены в приложении :)
как неожиданно и приятно
Ну, когда ты будешь в розыске, там будет уже не до яндекс.карт. Там однозначно смарт придётся уничтожать со всем его содержимым и как-то крутиться.
> Ну, когда ты будешь в розыске, там будет уже не до яндекс.карт.к сожалению, они к этому моменту УЖЕ слили твои постоянные маршруты, адреса явок и, вероятно, даже подслушали пароли.
> Там однозначно смарт придётся уничтожать со всем его содержимым и как-то
Уже не поможет. Ставь на подоконник сорок восемь утюгов и прыгай в окно.
> крутиться.
как-то крутиться могут только миллиардеры (юаневые) казахского происхождения. Удалил вон все приложения - и спит себе спокойненько, под надежной охраной. А тебя лучшая в мире доставка мгновенно примет, и доставит, куда-надо.
Тут не обязательно быть в розыске. Достаточно подождать очередного слива юзербазы, и вот ты уже или ценный актив для мошенников, или кекич для школоло, который будет на тебя доставки (еды/дилдаков/еще чего смешного) заказывать.
За мной уже второй год следят мусора, по ошибке, наверно дело фабрикуют. У меня нет на мобиле никаких яндексов/инстаграмов и т.п. Стоит изменить маршрут и через 10 минут появляются сразху две машины, влетают например во двор и становятся вилкой - одна чуть до меня, вторая сразу после. Короче, отслеживают не через приложухи, а через сам смартфон.
Второй год следят и не могут понять, что не того ловят? Сказочник, у тебя паранойя :)
Если бы, я после 8-ми месяцев слежки, когда 3-е оперов в наглую зашли в пиццерию и ели пиццу за соседним столом, написал заяву в ФСБ (я там сдал одного из оперов наркоконтроля который барыжит изъятым веществом, а другого мента сдал за посредничество в выкупе водительских прав из суда читай взяка cудье). Когда заяву передавал показал ФСБ'нику видеозаписи слежки за предыдущие 8-м месяцев, у него сомнений в слежке не возникло.
> Короче, отслеживают не через приложухи, а через сам смартфон.А если выключить или дома включенный оставить?
Я не пробовал дома оставлять, я их на эту мобилу регулярно записываю на видео на всякий случай. Поэтому дома оставлять не хочу.Если кто-то не вкурсе то слежка в МВД устроена так - опер выносит предложение о слежке непосредственному начальнику, начальник одобряет и пересылает своему начальнику и тот окончательно утверждает слежку. После этого запрос на __неглассное наблюдение__ уходит в спец.отдел внешнего наблюдения и они уже следят. Те кто следит только в общих чертах имеют представление о том за кем следят, в мелкие детали их не посвещают. За эти почти полтора года слежки за мной уже отследило больше 30-ти человек, работают группами по 3 человека, в прошлом месяце работали сразу две группы одновременно т.е. 6 человек. Полагаю, что их раз в два-три месяца меняют, завозят из других городов т.к. те лица которые ранее за мной следили я больше не видел, а город у меня маленький.
И ещё, зимой возле моего дома пару месяцев в середине дня один из оперов круги нарезал, его все соседи спалили и со мной резко перестали здороваться и шугались меня. Думаю, если мобилу оставить дома не поможет, за подъездом должны тоже следить.
К слову об этом: гугл делает то же самое.
birdie ещё вот такое писал на vc.ru, но всем по фигу:https://vc.ru/id1155993/1722873-a-vy-znali-ili-kak-gosudarst...
На habr заметку не пропустили - "недостаточно исследований".
А в чём, собственно, проблема? Обычный идентификатор устройства. То, что приложения банков сканируют твои порты и очень интересуются твоими программами, а карты отсылают на сервер записанные в фоне аудиоданные и снимки экрана (естественно, это телеметрия, также необходимая для разработки таких приложений, как фонарик, и обычно она встраивается централизовано во все приложения) тебя же не беспокоит?
Кто ещё остался человеком тго беспокоит конечно, но кто их слушает,
В могиле остался. Зато остался.
https://github.com/0bbedCode/XPL-EX
> birdie ещё вот такое писал на vc.ruэээ... ну у банков, к примеру, к конкретному экземпляру телефона обычно привязана упрощенная идентификация. И в общем ничего ужасного в том что они узнают этот экземпляр, по-моему, нет.
В отличие от доброго яндекса, который делился информацией о том куда ты ходишь и что там делаешь, причем в привязке к твоему акаунту, а не к какому-то там всего лишь телефону.
Зачем оно конечно понадобилось какой-то там вшивой Ленте и 2gis - безусловно, более серьезный вопрос.
Есть существенная разница между банками и Яндексом. Банки свою прибыль делают на финансовых инструментах, а Яндекс зарабатывает рекламой.
> Есть существенная разница между банками и Яндексом. Банки свою прибыль делают на
> финансовых инструментах, а Яндекс зарабатывает рекламой."прозрачный gif 1x1 ничего рекламировать не может"(c) можешь тут поиском пройтись.
Не рекламой он зарабатывает, давным-давно.
>Не рекламой он зарабатывает, давным-давноНеужели продаж умной колонки "Алиса" хватает для содержания инфраструктуры и дивидентов акционерам Яндекса?
> Неужели продаж умной колонки "Алиса" хватает для содержания инфраструктуры
> и дивидентов акционерам Яндекса?Отож, х...рень с микрофоном отсылающая запись с него на серваки яндесса... встроенный стукач и анализировать при помощи AI как удобно. Характерный инвестор набегает, нагибает.
Видимо врут они в своих отчетах о заработках, раз не рекламой зарабатывают
Коллега, банки лет 100 уже НЕ делают прибыль на фин инструментах.
>В отличие от доброго яндекса, который делился информацией о том куда ты ходишь и что там делаешь, причем в привязке к твоему акаунту, а не к какому-то там всего лишь телефону.Это пока ты не посмотришь и не увидишь, что яндекс метрика вкорячена в личные кабинеты и приложения банков
>Пробное внедрение данной спецификации в Chrome оказалось неудачным из-за возникновения проблем с совместимостью с некоторыми устройствами.Кто бы мог подумать?!
Майкрософт хочет унификации узб устройств. Вы знали?
Абсолютно всё равно, не пользуюсь никакими приложениями на телефоне, кроме банковских. Телефон только для банкинга и для звонков. Всё.
Телефон только для SMS
Так и их сливают:
https://opennet.ru/58613-realme
Не веду никаких денежных дел с телефона, это неподконтрольное устройство.
Наверное только с компа? Комп - подконтрольное устройство. Комп не смартфон!
Ладно, вру. Приходишь в банк, на почту, заполняешь реквизиты, бумажные квитанции-фиганции.. Но, блин, сотрудники банка тебе же вааще неподконтрольны!
Но если воспользуются твоими реквизиатми, то им срок.
Это пока.
У меня уже куча банков у кого только мобильное приложение, и офиса у этих банков для посетителей нет.И телефон у меня таки подконтрольный, но сил для этого пришлось приложить конечно весомо.
Смартфонов подконтрольных то и не существует, только относительно подконтрольные и те на Линуксе. А банки с линуксом не работают, если только через waydroid изловчится.
LineageOS без gapps - мне такого уровня контроля более чем достаточно.
А если без гулагаппс но с MicroG?
У меня так и есть - мне норм.
Банковские приложения, использующие Hardware Attestation API вместо Play Integrity API и SafetyNet, поддерживаются на GrapheneOS.Некоторые банки прислушиваются к своим пользователям и переводят приложения на использование аппаратной аттестации.
https://grapheneos.org/articles/attestation-compatibility-guide
На сколько мне известно, только GrapheneOS проходит эти проверки, помимо стокового Android и его OEM-вариаций.
Play Integrity API разрешает только ОС явно одобренные Google, и GrapheneOS в этот список не входит. Они даже иск на них собирались подавать (не знаю, как сейчас у них с этим обстоят дела). У проекта есть очень хорошие юристы.
> Некоторые банки прислушиваются к своим пользователям и переводят приложения на использование
> аппаратной аттестации.+1 причина не ставить эту спайварь и малварь от банков.
> Key attestation gives you more confidence that the keys you use in your app are stored in a device's hardware-backed keystore.
> Device attestation is a security mechanism that verifies whether a device is genuine, untampered, and running software that has not been compromised. It involves checking the integrity of the device's hardware and software to ensure that it meets the necessary security standards before granting it access to certain services or data.
> At its core, device attestation works by using cryptographic techniques to generate proof that can be validated by a trusted server or authority. This proof typically includes details about the device’s hardware, software version, and security posture. The server then evaluates this proof against predefined criteria to determine whether the device can be trusted. If the attestation fails, the device may be denied access to certain resources or services, protecting the network or application from potential threats.
>> Key attestation gives you more confidence that the keys you use in your app are stored in a device's hardware-backed keystore.
>> Device attestation is a security mechanism that verifies whether a device is genuine,Про это все Беня Ф. сказал еще дофига лет назад, что those who would give up essential liberty to obtain little temporary safety, deserve neither.
А вот это - просто эталонная реализация того что он имел в виду. Хоть в его время и не было банковских приложений от "благодетелей", но благодетелей которые хотят отжать свободы (в данном свободу случае владения, свободу распоряжения якобы-своим имуществом, и свободу от щпионажа гугли, его партнеров и кого там еще) - в обмен на эту "маленькую временную безопасность" в виде этого "gives .. more confidence" в данном случае.
Свободу нельзя забрать, только отдать. Люди сами соглашаются на такие условия.Не согласен — не пользуйся услугами этого банка, всё.
Я лично не вижу проблемы в аппаратной аттестации. Её может поддерживать любая основанная на AOSP ОС, которая соответствует вполне себе адекватным требованиям.
Если ты не доволен тем, что банковское приложение требует от твоего устройства следования некоторым стандартам безопасности, то не пользуйся им, и всё.
> Свободу нельзя забрать, только отдать. Люди сами соглашаются на такие условия.Именно. О том и комент, +1 причина не ставить такие программы.
> Не согласен — не пользуйся услугами этого банка, всё.
Я и не собираюсь юзать банк который ТРЕБУЕТ поставить свою спайварь/малварь, да еще будет требовать доказать что ему девайс такой-нетакой.
> Я лично не вижу проблемы в аппаратной аттестации. Её может поддерживать любая
> основанная на AOSP ОС, которая соответствует вполне себе адекватным требованиям.Аха, юзер не имеет права рулить "своим" устройством и что-либо менять. Грубо говоря за покраску стены в камере - расстрел через повешение. Свобода как она есть.
> Если ты не доволен тем, что банковское приложение требует от твоего устройства
> следования некоторым стандартам безопасности, то не пользуйся им, и всё.Именно это я и делаю. И именно это и был посыл моего комента. Рекомендация не использовать то что выглядит как малварь, и ведет себя как рабовладелец, в именно том стиле каком Беня предупреждал. И, конечно, те кто ставит такой крап не получат ни свободы, ни безопасности.
Фигасе, ты мегабанкир!
Так приходится: swift дорогой и ходит плохо: часто вообще не доходит или ждать неделями.
Золотая корона больше не работает, и тоже драли на каждом шаге комиссию.
Да, понятно. Первый - это Тинькофф. Что не так с такими банками желаю тебе узнать на своей шкуре.
Нет у меня тбанка и не было никогда, нафиг бы он не упал когда есть другие.Я про всякие криптобиржи и криптокарты больше имел ввиду. Но и местные банки тоже на банкинг через сайт забили, что удивительно, даже те у кого приложение по сути открывало внутри тот же сайт.
у тиньк... простите, z-банка решительно ни одной фичи в приложении, которые не дублировались бы обычным сайтом.
А вот к примеру у сбера это не так.Добавляет оптимизма что троянец от сбера устанавливается исключительно методом "дай мобило погонять" сотруднику сбера. С отключением защиты гуглоплея.
> троянец от сбера устанавливается исключительно методом "дай мобило погонять" сотруднику сбера. С отключением защиты гуглоплея.ЧО? У меня Галакси. В Галакси стор буквально сегодня обновился. А есть ещё рустор (который я удалил за ненадобностью).
Вы там в своём ,,, совсем что-ли?
д-лы устанавливающие хз что из хз каких сторов - это прямо вишенка на тортик.
Это даже пожалуй круче чем сотруднику сбера "дать погонять". Поскольку ты еще и сам этот гуаностор себе поставил (а у него, между прочим - полным-полно очень интересных доступов)
> д-лы устанавливающие хз что из хз каких сторов - это прямо вишенка на тортик.В этом смысле китайцы отжигают. Поставили как-то хомы себе сбер. Сами. Через апп-гальюн от х-вой дороги. Сначала, конечно сам апп-гальюн. Гальюн оказался - с дрожжами! Поэтому бонусом заапдейтил половину системных х-ых прог, без спроса.
А поскольку денег много не бывает - проги новой версии прописали себя везде, сделали почти takeover системы на манер малвари, стали нагло выкидывать рекламу, прямо при просмотре локальных мувиков (!!), дико тупить, и вообще вести себя мило и пушисто, так что типичный вопрос пользователей - "блин, мне что, телефон теперь сменить надо, от другой фирмы?!".
Особенно прикольная страница с отзывами в х-ском апп-гальюне. Это просто топ фрода, в лучших традициях алиэкспресса.
Картина маслом:
- Рейтинг программы от плохойдороги: 4.9.
- Комент с 5 звезд под ним, "Отличная программа, все зашибись", 1 лайк и 35 ДИЗлайков на него.
- Комент "ну бесилово, как его снести?!" - 1 звесда - 45 лайков, 0 дизлайков.Т.е. х-вая дорога сама своим гамнопрогам отзывы накручивает в лучших традициях али. И смысла в рейтингах того апп-гальюна ровно ноль. Это п...ж и наглая накрутка как на али. Да, и кстати снести "бесилово" - и правда целый квест. Я все же догадался и подсказал хомам как ЭТУ МАЛВАРЬ выпилить. В настройках - applications - таки, позволяет выпилить и апдейты на системные проги. Но, конечно, типовой хома в жизни ЭТО не найдет. Это надо точено знать, что так можно было. Заодно судя по радостным пискам около 2 гигз свободных откуда-то образовалось :)
Китайцы сильно разные есть.Плохая дорога - конечно пример как не должно быть, одного залоченного загрузчика достаточно чтобы обходить их стороной. Но блютуз наушники у них не плохие, очень живучие.
блеквью, улефон - там практически стоковый андройд, кажется в улефоне так вообще никаких прог от вендора и не было и никакого подозрительного поведения тоже.
В блеквью помнится было нечто вроде трояна, сидело в двух системных приложениях и хотело сливать данные.
Хлаоми - хз. Разблокировка разгрузчика почти по паспорту, родной софт я мельком смотрел - не интересное было - сразу брал под LineageOS. Железо - странноватое: ребутается на зарядке магнитным кабелем, и сам аппарат тоже бывает ребутается, редко.
Был ещё хайскрин, типа из рф но самый китайческий из всех внутри - куча хлама от местных операторов, правда оно мёртвым грузом лежало. Насчёт троянизации - уже не помню.
> Плохая дорога - конечно пример как не должно быть, одного залоченного загрузчика
> достаточнону лично мне - недостаточно (я в целом рад что никакой васян не подменит без моего ведома загрузчик)
Но вот горячее желание всунуть без мыла свои "услуги", даже не задумываясь о том что они нахрен тут никому не упали - таки не очень радует.
И да, у меня нет хреноводорожного id, и не будет. (Без него чудо-программы, к счастью, не работают и не могут ничего понаобновлять без спросу.)
> ну лично мне - недостаточно (я в целом рад что никакой васян
> не подменит без моего ведома загрузчик)Этот васян (или Ляо) уже прошивку тебе сделал - и малвари в нее понапихал немеряно, с аргументом что вассала надо держать в ежовых рукавицах. Да так что ты хрен удалишь ЭТО, по крайней мере без финтов с заподвыподвертом. А залоченй загрузчик это замок на клетке чтоб вассал уж точно не сбег. Такой себе благодетель.
> Но вот горячее желание всунуть без мыла свои "услуги", даже не задумываясь
> о том что они нахрен тут никому не упали - таки не очень радует.Those who would give up eseential liberty to obtain little temporary safety, deserve neither.
> И да, у меня нет хреноводорожного id, и не будет.
Deserve neither.
> (Без него чудо-программы, к счастью, не работают и не могут
> ничего понаобновлять без спросу.)Без него и половина функциональности телефона не работает, нахрен! А если ты вдруг еще и часы какие-нибудь купишь - начиная с энной версии они вообще не юзабельны без этого аккаунта как я понял. Т.е. примерно как у эппла стало. Попробуй вообще юзать iDevice без эппл ID? А вот и луноликие у белого человека - научились. Это все конечно для твоей же безопасности, смотри не перепутай.
> Этот васян (или Ляо) уже прошивку тебе сделал - и малвари в нее понапихал немерянококой ужос!
Но женское белье, кстати, почему-то не мне вылезает по поводу и без, а тем, другим васянам.
Повторяю - на залоченый загрузчик мне наплевать потому что я не собираюсь ставить прошивку от совершенно неведомых васянов вместо хотя бы известного мне Ляо (и нет, я не верю в ваши тысячи карих глаз). И я в целом даже рад что этого не сделают за меня.
> Без него и половина функциональности телефона не работает, нахрен!
ну видимо мне не очень пока нужна та половина.
> А если ты вдруг еще и часы какие-нибудь купишь
чтоб потом ныть что хреновина предназначенная для отслеживания твоей активности - на самом деле за тобой следит? Спасибо, меня устраивают глупые часы, показывающие только время.
> кокой ужос!Как бы заранее не предупреждают что смотрелка мувиков...
1) Вышибет более приличные полееры типа VLC из дефолтов.
2) При просмотре даже локальных мувиков станет кидать попапы с рекламой.
3) Попутно сливая кучу хлама на мутные китайские серваки. А заодно и на гугловские. Денег много не бывает.И вот этим господам предлагают - доверять? Считая благодетелями? Защищающими от чего-то? ORLY? :)
> Но женское белье, кстати, почему-то не мне вылезает по поводу и без,
> а тем, другим васянам.Как говорится, если вам кажется что дела идут хорошо - значит вы просто чего-то не заметили.
> Повторяю - на залоченый загрузчик мне наплевать потому что я не собираюсь
> ставить прошивку от совершенно неведомых васяновУ васянов как раз бывают прошивки сделаные "для себя" а не "на продажу" и они соответственно ведут себя значительно культурнее в плане отсутствия там "бесилова" и прочих сливов на мутные сервера чайников и гуглы и проч.
Некоторые такие "васяны" достаточно известные и заодно позволяют нормальный рекавери прошить, которым можно адекватные бэкапы делать и вообще менеджить это как белый человек, который реально ВЛАДЕЕТ девайсом, а не просто пущен белым человеком в погостить.
> вместо хотя бы известного мне Ляо
Ты то наверное назло бабушке и на минном поле попрыгаешь. Хоть там и известно что - мины есть. Но их хороший человек ставил, не враг же какой-то! Правда на результат это знание не влияет.
> (и нет, я не верю в ваши тысячи карих глаз).
То ли дело тысячи честных узких глаз за глаза называющие таких гусем, при том - дырявым (я так понял это форма выражения презрения у чайников такая).
> И я в целом даже рад что этого не сделают за меня.
В смысле? Бэкдоров теье прям с фабы напихали "честные" узкие глаза. А понятия у честности у них довольно специфичные - чем сильнее на@$#%л партенров по бизнесу, тем круче ты. Восточнй менталитет - это вот так.
>> Без него и половина функциональности телефона не работает, нахрен!
> ну видимо мне не очень пока нужна та половина.Эта половина так по жизни все время сокращается в новых версиях.
>> А если ты вдруг еще и часы какие-нибудь купишь
> чтоб потом ныть что хреновина предназначенная для отслеживания твоей активности - на
> самом деле за тобой следит?Ну как бы одно дело - локально померять пульс и кислород, и совсем другое - в принудиловку требовать акаунт на который сливать кучу биометрии, серийники девайсов и что там еще за анализы кала. А без этого акаунта - оно вообще не работает как я понял, начиная с энной версии. Раньше работало но денег много не бывает а отчеты инвесторам о удвоении надоев с нелохов в аккаунтах - казать надо.
> Спасибо, меня устраивают глупые часы, показывающие только время.
Сам по себе пульс-оксиметр, шагомер и отображение уведомлялок - безобидные и удобные фичи. Если их не сдабривать - вон тем. Почему одно обязано идти в комплекте с другим - ?
>> кокой ужос!
> Как бы заранее не предупреждают что смотрелка мувиков...
> 1) Вышибет более приличные полееры типа VLC из дефолтов.ну это у кого и кобыла... того, приличная. У меня вот нет vlc.
У оченьплохойдорожной video нет учетки - видимо поэтому ей некуда кидать попапы, пока ни одного не видали (видео при этом она воспроизводит - жалуясь между делом что я не люблю их онлайн фичу).>> Повторяю - на залоченый загрузчик мне наплевать потому что я не собираюсь
>> ставить прошивку от совершенно неведомых васянов
> У васянов как раз бывают прошивки сделаные "для себя" а не "натак и китаец сделал - для себя... ой... ну то есть все правильно.
Причем у китайца есть эта... репутация. А васяна я в первый и последний раз по какому-то мутному нику в Б-гом забытой борде вижу. И нет, знакомиться с ним ближе я не собираюсь, оно мне надо?
> В смысле? Бэкдоров теье прям с фабы напихали "честные" узкие глаза. А
бабло пока не сп-ли, этой, как ее... дискредитации - не подложили.
Чо там еще могут быть за бэкдоры - неочевидно, поскольку в телефоне у меня в общем-то - телефон, а не вся личная жизнь. Я, разумеется, не за ужасные узгоглазые бэкдоры переживаю, а за то что под Ростовом ментам про неприкосновенность частной жизни лучше не объяснять.
> понятия у честности у них довольно специфичные - чем сильнее на@$#%л
> партенров по бизнесу, тем круче ты. Восточнй менталитет - это вотв отличие от тебя - я работал с китайцами. Нет, совсем не так. Особенности там другие, они есть и их нужно учитывать, но пока ты уважаемый клиент - они вообще говоря - стараются.
(и не потому что прекрасно понимают что в случае чего другой китаец будет уважать этого клиента, а им его денег не достанется, а потому что так принято)К сожалению, не могу сказать того же о русских контрагентах. Они вот своих не кидают. Волки только вот им свои.
>>> Без него и половина функциональности телефона не работает, нахрен!
>> ну видимо мне не очень пока нужна та половина.
> Эта половина так по жизни все время сокращается в новых версиях.хез, номер вроде пока набирает.
> Ну как бы одно дело - локально померять пульс и кислород, и
> совсем другое - в принудиловку требовать акаунт на который сливать кучуну модным девляпсам так проще. Позволяет на самой хреновине ничего локально не хранить и обновлениями ее прошивки особо не напрягаться. И вообще, всетакделают.
И некитайцы тоже.Где китайцу каких-то других девов достать... Из MIT теперь только фрипластелинов присылают. А из cmu индусов.
>> Спасибо, меня устраивают глупые часы, показывающие только время.
> Сам по себе пульс-оксиметр, шагомер и отображение уведомлялок - безобидные и удобные
> фичи. Если их не сдабривать - вон тем. Почему одно обязаноя предпочитаю видеть стрелки. А не освещать часами все вокруг при попытке просто узнать время.
> идти в комплекте с другим - ?
ну вон там чувак деньгов собирает, на шибкоумные часы без облачной фигни или почти без (во всяком случае, ты там будешь решать, чего тебе надо сливать а что нет) Ну и как, много ты ему уже заслал?
Я-то жядный, у меня китайские стрелочки за $1. Надысь я их ловко повесил на заборчик - через неделю забрал. А повесишь ту хрень - еще и забор сопрут.
> ну это у кого и кобыла... того, приличная. У меня вот нет vlc.А таки он даже полным хомам заходит. Просто потому что жрет все что играется, и не особо тормозит/глючит при отсутствии рекламы. Т.е. условный мувик с торентов или некий .ts или как там его, с древнего фотика присланый какой-то каргой с мыльницей ее молодости - играется. Что удобно. И никакой рекламы. И бесплатно.
А на iDevice у него ВНЕЗАПНЫЙ бонус есть: вебморда! Так на него можно заливать мувики по сетке. Просто. Быстро. С любого девайса. Что попало. Попробуй другими способами на япл что-то с ведроида закачать, м? Хорошо получается? :)
> У оченьплохойдорожной video нет учетки -
Да вот они стали в новых версиях чуть не с ножом к горлу требовать и попапы кидать. Зарегистрируйся, с...! А ну жми! Попозже, но - жми! В общем упаси заапдейтить. А в новых моделях встроят, наверное, по дефолту, и ответ на "как у..ть бесилово?!" станет - "вернув продавцу".
> пока ни одного не видали (видео при этом она воспроизводит -
> жалуясь между делом что я не люблю их онлайн фичу).Ну вот они постепенно градус повышают и если энная версия только ноет, то поновее и попапы в рыло кажет, блокирующие. А в более новых моделях она наверное сразу такая будет и хрен выпилишь.
>> У васянов как раз бывают прошивки сделаные "для себя" а не "на
> так и китаец сделал - для себя... ой... ну то есть все правильно.Обычно этим все же не китайцы занимаются, смотри всякие 4PDA если интересно.
> Причем у китайца есть эта... репутация. А васяна я в первый и
> последний раз по какому-то мутному нику в Б-гом забытой борде вижу.Ээээ... респины попсовых респинов ведроида без подлян - достаточно известные штуки. Но у тебя как всегда - ручник не отпущен и ты больше доверяешь мутночайникам. Наверное и смс с текстом не лох шлешь на короркие номера? :)
> И нет, знакомиться с ним ближе я не собираюсь, оно мне надо?Я уже познакомился с тем что китайцы могут. Не понрвилось. Ибо - откровенная малварь, спайварь и адварь.
> бабло пока не сп-ли, этой, как ее... дискредитации - не подложили.
Ну вот насчет чего там сп-ли - это такой отдельный вопрос.
> у меня в общем-то - телефон, а не вся личная жизнь.
Ну как минимум список контактов и кучу всяких идентификаторов типа IMSI, а может и идентификаторов сот, если не GPS локации - улетает при случае на раз.
> Я, разумеется, не за ужасные узгоглазые бэкдоры переживаю, а за то
> что под Ростовом ментам про неприкосновенность частной жизни лучше не объяснять.Но я бы посмотрел что с тобой случится если бы они прочухали что ты - вон то, с опеннета. Интересно же сколько лет лагерей выпишут :)
> в отличие от тебя - я работал с китайцами. Нет, совсем не так.
Это опыт покупки у них довольно много чего. Включая всякую электронную комплектуху и проч. Конечно если точно знать что ищешь - порой бывают хорошие предложения. Но реально - поиск жемчуга в д@рьме. Везде фрод, фэйки, накрутки и приукрас параметров.
И это идет даже так далеко как официальные спеки процов. То что там 2.5 ГГц написано - это значит что некоторые из - даже забутявились. А реально - спасибо если все на 2 работают, но лучше 1.8 поставить, от греха. И вот такое - у китайцев цуко везде!
> пока ты уважаемый клиент - они вообще говоря - стараются.
Они вон то - для ВСЕХ в официальных спеках на проц вываливают, нате на лопате. И если не знать вот этот заскок китайского менталитета - можно конкретно налететь.
> будет уважать этого клиента, а им его денег не достанется, а
> потому что так принято)То что они уважают и лыбятся - не значит что при случае не лоханут в спеках и проч.
> К сожалению, не могу сказать того же о русских контрагентах.
Эти к счастью мне никогда были не интересны - по части электронных компонентов мне от ЭТИХ ктулху упаси что-то покупать.
>> Эта половина так по жизни все время сокращается в новых версиях.
> хез, номер вроде пока набирает.Ну вот номер - да, наберет. Но это и вон тот девайс с драйвером для линуха могет.
>> Ну как бы одно дело - локально померять пульс и кислород, и
>> совсем другое - в принудиловку требовать акаунт на который сливать кучу
> ну модным девляпсам так проще. Позволяет на самой хреновине ничего локально не
> хранить и обновлениями ее прошивки особо не напрягаться. И вообще, всетакделают.Ей таки надо кое-что хранить пока девайс офлайн. И оно таки при этом живет. Т.е. это целенаправленный слив данных и навязывание аккаунта, и трек и параметров юзера, и чего за гаджетов он докупил.
...
> А из cmu индусов.Ну извините, господа. Вы ж хотели дофига за нифига?!
> я предпочитаю видеть стрелки. А не освещать часами все вокруг при попытке
> просто узнать время.Кстати бонусом микро-фонарик не так уж и плохо. Хомы вполне светят фонариком из циферблата на замок дверь открыть и проч. Можно, конечно, отдельный таскать, но...
> ну вон там чувак деньгов собирает, на шибкоумные часы без облачной фигни
> или почти без (во всяком случае, ты там будешь решать, чего
> тебе надо сливать а что нет) Ну и как, много ты ему уже заслал?Да я даже не уверен что мне такой чувак нужен.
> Я-то жядный, у меня китайские стрелочки за $1. Надысь я их ловко
> повесил на заборчик - через неделю забрал. А повесишь ту хрень
> - еще и забор сопрут.Учитывая что для их работы потребуется х-ский аккаунт - сможешь потом в гости как раз ходить. А если более креативно подойти к вопросу - израильтяне ж показали как надо было. Правда, они еще и денег за это получили. Не, ты ТАК - не сможещь!
> Китайцы сильно разные есть.У них есть общее. Восточный метод ведения бизнеса: врать, кидать, лошить, на@#$вать. Культура "ведения бизнеса" такая. Вылезает везде, от рейтинга товара на али, до спеков электроники, которые лучше сразу делить на 2.
> Плохая дорога - конечно пример как не должно быть,
Они стандартный пример бизнеса по китайски. Большая часть продаванов на али такие же. И с отзывами на товары там та же история. Положительные коменты ставит площадка, либо продавец при покрытии фрода площадкой. Отрицательные отзывы выпиливают и сливают.
> Но блютуз наушники у них не плохие, очень живучие.
Надеть радиомаяк с мутной фирмварью от мошенников, светящий уникальным маком в эфир, с достоинством "живучий"? А вы затейник.
> блеквью, улефон - там практически стоковый андройд, кажется в улефоне так вообще
> никаких прог от вендора и не было и никакого подозрительного поведения тоже.Ну вот относительно НЕтехнологичные китайцы - могут не иметь ресурсов чтобы сильно звереть с малварью. Но в целом типично китаефон стучит и гуглу и на непонятные китайские сервера. В случае РФ потом хомы еще и прикольно удивляются - чего это им 10 лет лагерей? Ах, сами досье на себя собрали? Порой наступает пора отдуться за свою тупость.
> Был ещё хайскрин, типа из рф но самый китайческий из всех внутри
> - куча хлама от местных операторов, правда оно мёртвым грузом лежало.
> Насчёт троянизации - уже не помню.Насчет мервости груза - ты ж сам програмер и думаю прекрасно в курсе как оно может ждать зеленого свистка без шума и пыли, а потом - делать что-нибудь в ущерб нелоху. Кроме всего прочего подождать месяцок - отличный способ нагнуть поведенческий анализ. Сколько типов будет под снифером месяц гонять?
Чего? Я поставил себе сбер на телефон самсунг с магазина приложений самсунг. Это небезопасно?
Ты же не понял, что я написал, да? Потому что для вас таких здесь после core2duo началась страшная чёрная техномагия от которой вы пытаетесь отмахаться своими луддитскими кадилами. Такого лютого нездоровья в каментах как здесь нет больше нигде.
> Это небезопасно?кто бы мог подумать, да?
> таких здесь после core2duo началась страшная чёрная техномагия от которой вы
> пытаетесь отмахаться своими луддитскими кадилами. Такого лютого нездоровья в каментах
> как здесь нет больше нигде.А может, тут еще сохранились типы догажывающиеся как технологии работают, и подозревающие что волшебники быват не только добрые, но еще и всякие, по типу властелина колец? И вот так добровольно нацепить GPS-трекер и писать на себя досье - можно, конечно, но потом боком выходит, особенно если вы не фанат служения Сауронам всяким.
А можно плз краткий гайд и ссылок..? :)
Почти всегда безопасность мобильных устройствах на голову выше, чем настольных систем.
Это с GSM-модулем то? Смешно, да.
> Это с GSM-модулем то? Смешно, да.Да. С точки зрения программного обеспечения мобильные устройства зачастую безопаснее настольных.
Безопасность настольных систем, в целом, повсеместно сломана, так как во время их зарождения почти никто об этом не беспокоился, сформировался слишком большой пласт ПО, с которым нужно поддерживать совместимость.
Уязвимости именно в GSM модулях гораздо более редкие и ценные, чем уязвимости в ПО, которое принимает с него сигналы (например, уязвимость в iMessage, используемая Pegasus).
И для их смягчения достаточно включить режим "В самолёте" и, желательно, использовать ориентированную на безопасность ОС (GrapheneOS или iOS в lockdown mode).
А на настольных системах все приложения одного пользователя зачастую не изолированы друг от друга. Например, Linux. Хорошо, если человек озаботился настройкой межсетевого экрана, что уж говорить про SELinux или AppArmor, строгую изоляцию через пространства имён, hardened_malloc, защиту ядра. Есть Flatpak, да, но изоляция там, на данный момент, дырявая и по умолчанию выдаётся слишком много разрешений. Приходится вручную всё это настраивать. AppImage использует устаревший и небезопасный fuse2, а некоторые только в таком виде и поставляют приложения.
На Linux нет поддержки должного Verified Boot, только костыли над Secure Boot.
Windows (не-Home) безопаснее, чем Linux на настольных системах, особенно если у тебя есть Secured-Core PC и есть время настроить заплатки безопасности.
MacOS безопаснее и Windows, и настольного Linux.
> Безопасность настольных систем, в целом, повсеместно сломана, так как во время их зарождения почти никто об этом не беспокоился, сформировался слишком большой пласт ПО, с которым нужно поддерживать совместимость.Тоже самое можно сказать про DNS или смартфоны. Только в случае смартфонов по другим причинам не беспокоились о безопасности.
> Уязвимости именно в GSM модулях гораздо более редкие и ценные, чем уязвимости в ПО, которое принимает с него сигналы (например, уязвимость в iMessage, используемая Pegasus).
Сам факт его наличия + проприетарность + уязвимость протокола связи, кот. также, как и в случае DNS, не разрабатывался с опорой на безопасность, сносит на нет использование смартфона с наличием GSM-модуля. Использование без модуля - обсуждаемо, но только в рамках F-droid и подобного.
> И для их смягчения достаточно включить режим "В самолёте" и, желательно, использовать ориентированную на безопасность ОС (GrapheneOS или iOS в lockdown mode).
Я глубоко не вникал в конкретную ОС на смартфоны, но было время, когда интересовался. В результате чего принял решение пользоваться телефоном, где только есть 2G, нет внутренней памяти для телефонной книги. Для важных переговоров сотовая связь точно не подходит. Нужно иметь это ввиду.
> включить режим "В самолёте"Если вы доверяете, что это реально работает в проприетарном ПО и firmware. Я могу довериться только аппаратному отключению (физическое размыкание), как в Librem и подобном.
> GrapheneOSПодобные решения мало чем поддерживаются. Насколько мне известно. Это скорее громадное исключение.
Comparison of Android-based Operating Systems:
https://eylenburg.github.io/android_comparison.htm
> iOSПроприетарное - заведомо с бекдором. В другое я не поверю. Слишком велик шанс заложить какую-нибудь ерунду.
> А на настольных системах все приложения одного пользователя зачастую не изолированы друг от друга. Например, Linux. Хорошо, если человек озаботился настройкой межсетевого экрана, что уж говорить про SELinux или AppArmor, строгую изоляцию через пространства имён, hardened_malloc, защиту ядра.
А как это по вашему должно быть изолировано? Дырявыми песочницами? Мне уже хватило "безопасности", когда протолкнули возможность загружать/выгружать модули. Вот уж, действительно, безопасно.
Это не отменяет факта, что у Linux есть над чем работать. Впрочем, уже лет 10 Linux ломают всякие ньюфаги и корпорации, но это тема отдельная.
> Есть FlatpakЗдесь про безопасность можно забыть. Сразу.
> AppImage использует устаревший и небезопасный fuse2, а некоторые только в таком виде и поставляют приложения.
Если кто-то толкает дурь, сформировавшуюся у них в голове, если не знают как поставлять ПО, то таких разработчиков нужно обходить или использовать на отдельной машине, организованной специально для этого, если ну прям очень хочется, что аж не можется.
> На Linux нет поддержки должного Verified Boot, только костыли над Secure Boot
Это поганное "изобретение" копрорастов вообще не нужно. А что M$ прогнули и железо ПК - факт известный.
> Windows (не-Home) безопаснее, чем Linux на настольных системах, особенно если у тебя есть Secured-Core PC и есть время настроить заплатки безопасности.
> MacOS безопаснее и Windows, и настольного Linux.Вам меня никогда не убедить, что проприетарное ПО безопаснее открытого и что его существование вообще имеет место быть. Я считаю это террором в отношении свободы индивидов.
Закрытое ПО - гарантия закладок и гарантия, что как раз перед теми, кто опасен, пользователь абсолютно беззащитен, потому что взломщики и государство точно найдут способ получить доступ к заложенным бекдорам.И вообще, когда я пишу про безопасность, то я имею ввиду защиту ото всех. Это первое.
Второе. Если пользователь дурак, не умеющий пользоваться ПК, то все это г*вн*, которое решает за пользователя то или иное без его согласия (=ведома), что ему можно, что ему нужно, никак не поможет. Это только дает возможность разработчику ставить р*ком пользователя.
> Тоже самое можно сказать про DNS или смартфоны. Только в случае смартфонов по другим причинам не беспокоились о безопасности.В случае смартфонов, о безопасности беспокоились гораздо больше, чем на настольных системах.
На Mac, iPhone и Android компании-разработчики ПО участвуют в разработке аппаратного обеспечения. Они могут продвигать функции безопасности типа Verified Boot, ограничения API и обязательной изоляции не смотря на обратную совместимость.
Например, до тех пор, пока Google не стали заставлять разработчиков приложений использовать выборщик файлов, его почти никто не использовал и просто запрашивали разрешение на доступ ко всем файлам:
> In Android 4.4, support was added for apps using the system file picker to have users choose files for them. In Android 5, it was extended to directories. Adoption of this was extremely poor until they began coercing apps to use it. There's now also forced photo picker support.DNS — это протокол прикладного уровня. Его можно легко обернуть шифрованием (DoT) или использовать другой протокол (DoH, DNSCrypt). Достаточно иметь поддержку на сервере и клиенте.
Приложения на Linux редко создаются с учётом того, что у них нет доступа ко всем каталогам пользователя. Нет API, как в Android, обновления которого можно насильно продвигать, тем самым вынуждая разработчиков адаптировать свои приложения к новым функциям безопасности.
> Сам факт его наличия + проприетарность + уязвимость протокола связи, кот. также, как и в случае DNS, не разрабатывался с опорой на безопасность, сносит на нет использование смартфона с наличием GSM-модуля.
"Режим в самолёте" отключает любую передачу данных по GSM. Даже если в GSM-модуле есть уязвимости, позволяющие ему сделать что-то плохое в обход основной ОС, то они явно очень редки и очень ценны, и на абы кого из не тратят. В большинстве своём эксплуатируются уязвимости в ОС или установленных приложениях, обрабатывабщих сигналы с GSM (SMS, например). В этом случае через GSM полезная нагрузка просто доставляется, и "Режима в самолёте" достаточно.
> Использование без модуля - обсуждаемо, но только в рамках F-droid и подобного.
F-Droid — это очень небезопасный способ установки приложений. Разработчики показательно игнорируют базовые практики безопасности. Например, почти все приложения (~91%) в стандартном репозитории собираются на их серверах и подписываются одним ключом.
> Я глубоко не вникал в конкретную ОС на смартфоны, но было время, когда интересовался. В результате чего принял решение пользоваться телефоном, где только есть 2G, нет внутренней памяти для телефонной книги. Для важных переговоров сотовая связь точно не подходит. Нужно иметь это ввиду.
Так называемые Dumb phones почти всегда менее безопасны, чем современные смартфоны (Samsung, например). 2G — это древний небезопасный протокол. Использование телефона в режиме LTE-only гораздо более безопасно.
> Если вы доверяете, что это реально работает в проприетарном ПО и firmware. Я могу довериться только аппаратному отключению (физическое размыкание), как в Librem и подобном
"Режим в самолёте" в значительной степени реализован на стороне ОС, которая вполне себе может быть FOSS (GrapheneOS, например).
Физические переключатели — это безусловно полезная возможность, но я не знаю ни одного смартфона с достаточным уровнем безопасности на аппаратном уровне и при этом предоставляющем такую возможность.
Есть ли в Librem физические переключатели для сенсоров (акселерометр и тому подобное), которые могут быть использованы для прослушки?
Безопасность в PureOS (Librem) находится на уровне типичного дистрибутива Linux, и гораздо и гораздо хуже, чем на почти любом современном устройства на основе Android или iOS.
Соответственно, получить программный доступ к сенсорам не составит особого труда при целевой атаке.
Не только к сенсорам, но и ко всем данным.В GrapheneOS есть отдельное разрешение на получение доступа к сенсорам.
> Подобные решения мало чем поддерживаются. Насколько мне известно. Это скорее громадное исключение.
Поддерживаются пожертвованиями. Их хватает для того, чтобы проект жил и развивался. Будь денег чуть побольше, то они нанимали бы разработчиков для реализации usability функций, типа замены стандартных приложений AOSP на собственные.
Я не знаю ни одного FOSS проекта для мобильных устройств, который хотя бы стремился к достижению такого уровня защищённости.
> Проприетарное - заведомо с бекдором. В другое я не поверю. Слишком велик шанс заложить какую-нибудь ерунду.
Открытость кода не гарантирует его защищённость.
> А как это по вашему должно быть изолировано? Дырявыми песочницами? Мне уже хватило "безопасности", когда протолкнули возможность загружать/выгружать модули. Вот уж, действительно, безопасно.
Это не отменяет факта, что у Linux есть над чем работать.
В Android же реализовали относительно хорошую изоляцию между приложениями. Если добавить ограничения на IPC, доступ к сети и сенсорам для пользовательских приложений, то будет совсем замечательно.
> Это поганное "изобретение" копрорастов вообще не нужно. А что M$ прогнули и железо ПК - факт известный.
Проверка целостности всего привилегированного ПО — это очень ценная функция безопасности.
Ключи почти всегда можно заменить.
На х86_64 почти нет полноценных реализаций Verified Boot, если они вообще есть. Secure Boot — это та самая мишура, не предоставляющая должной защиты.
Полноценный Verified Boot есть на мобильных устройствах и Mac'ах.
> Вам меня никогда не убедить, что проприетарное ПО безопаснее открытого
Я и не пытаюсь. Проприетарное ПО не обязательно безопаснее открытого, но и в обратную сторону это тоже действует. Так уж получилось, что компании, стоящие за проприетарными ОС, имеют гораздо больше ресурсов, возможностей и мотивации для улучшения безопасности своего ПО. Как минимум, от "несертифицированных" угроз. Большинство разработчиков очень пренебрежительно относятся к безопасности своего ПО, если им за это не дают по голове. И желания этих компаний оказывают большое давление на своих работников.
В случае с Linux всё иначе. Он не создавался как ориентированный на безопасность проект, поэтому в нём накопился большой багаж небезопасных практик и плюющих на безопасность людей. И от этого не так-то и просто избавиться, если вообще возможно.
Разработчики GrapheneOS хотят, по возможности, уйти от использования Linux к какому-нибудь ориентированному на безопасность микроядру.
> и что его существование вообще имеет место быть
Это и есть ограничение свободы индивидов. Каждый имеет право делать со своей интеллектуальной собственностью всё, что он хочет.
> потому что взломщики и государство точно найдут способ получить доступ к заложенным бекдорам.
На данный момент, подход почти ко всем user-facing открытым ОС найти куда проще. Так уж сложилось. Не стоит испытывать ложное чувство безопасности из-за факта открытости ПО.
> И вообще, когда я пишу про безопасность, то я имею ввиду защиту ото всех.
Это вопрос модели угроз.
> Если пользователь дурак, не умеющий пользоваться ПК, то все это г*вн*, которое решает за пользователя то или иное без его согласия (=ведома), что ему можно, что ему нужно, никак не поможет. Это только дает возможность разработчику ставить р*ком пользователя.
Это вопрос осознанности. Если пользователя устраивает это, то почему бы и нет?
> Есть ли в Librem физические переключатели для сенсоров (акселерометр и тому подобное), которые могут быть использованы для прослушки?Физических переключателей нет, но программно их можно отключить.
> Физических переключателей нет, но программно их можно отключить.У акселерометров обычно максимальная частота отсчетов такая, что для прослушки они вот вообще совсем не катят. Если оно ускорение 10 раз в секунду кажет - и что вы там услышать сможете?
На сколько мне известно, это программное ограничение, которое можно обойти, если система недостаточно защищена.
Боже, написал какой-то километровый ысер, а по-факту пшик. Все твои аргументы разбиваются просто о тот факт, что твои якобы более защищенные ОС все закрытые и проверить там ничего невозможно. Просто верить им и тебе на слово?> В случае с Linux всё иначе. Он не создавался как ориентированный на безопасность проект, поэтому в нём накопился большой багаж небезопасных практик и плюющих на безопасность людей. И от этого не так-то и просто избавиться, если вообще возможно.
Ой, а винда (ты ж ее подразумеваешь) можно прям подумать изначально создавалась безопасной, ага. Особенно Windows 9.X, с которым NT тянет (тянул) совместимость. А еще где все работают под админом. Самому то не смешно? Сейчас бы винду называть безопасной, это ж оксюморон какой-то. Винда в плане безопасности полностью себя дискредитировала уже давно, еще во времена Win95-98, затем и в линейке NT, с кучей вирусни, вымогателей, троянов и просто дыр в сетевых службах, в которые все долбились через Интернет.
> Открытость кода не гарантирует его защищённость
Видимо закрытость кода гарантирует, ясно. В открытом коде можно хоть аудит провести. А в закрытом ты предлагаешь тебе (а ты, кстати, кто ваще?) и им верить на слово.
> твои аргументы разбиваются просто о тот факт, что твои якобы более защищенные ОС все закрытые и проверить там ничего невозможно. Просто верить им и тебе на слово?Не нужно мне верить наслово.
GrapheneOS очень даже открытая и очень даже безопасная.
Для аудита безопасности не обязательно иметь доступ к исходникам. Да, спрятать бекдор там чуть попроще, но в открытом ПО его тоже вполне себе возможно. На Windows, как на самую популярную ОС для настольных систем, обращены взоры большинства исследователей безопасности.
> Ой, а винда (ты ж ее подразумеваешь) можно прям подумать изначально создавалась безопасной, ага. Особенно Windows 9.X, с которым NT тянет (тянул) совместимость. А еще где все работают под админом. Самому то не смешно? Сейчас бы винду называть безопасной, это ж оксюморон какой-то. Винда в плане безопасности полностью себя дискредитировала уже давно, еще во времена Win95-98, затем и в линейке NT, с кучей вирусни, вымогателей, троянов и просто дыр в сетевых службах, в которые все долбились через Интернет.Да, не создавалась. В ней тоже накопился большой багаж, но они-то его хотя бы стараются разгребать. В сообществе Linux хватает небезразличных людей, но лобби антибезопастников слишком сильное. Это не корпорпция, где как руководство скажет, так и будет. В современном мире, когда атаки на системы становятся всё более и более изощерёнными, им приходится уделять безопасности гораздо больше внимания, чем раньше.
В Linux сложилось такое сообщество (Линус тоже туда входит) именно по этим причинам, и из-за структуры проекта чистка — очень сложная задача. Проще новую ОС написать.
Linux — гораздо менее популярная ОС, с гораздо менее ценным контингентом на настольных системах. Поэтому и атаки происходят реже.
> Видимо закрытость кода гарантирует, ясно.
Я заявил ровно обратное. Ни открытость, ни закрытость исходного кода никак не гарантируют его защищённость.
> В открытом коде можно хоть аудит провести.
Можно провести аудит как закрытого, так и открытого кода. С последним ситуация обстоит попроще, да, но аудит закрытого кода — это обычное дело.
> А в закрытом ты предлагаешь тебе и им верить на слово.
В том-то и дело, что *предлагаю*. Даже не предлагаю, а просто высказываю своё мнение по поводу безопасности user-facing ОС.
> а ты, кстати, кто ваще?
У Анонима спрашивать такое — некультурно...
>> Видимо закрытость кода гарантирует, ясно.
> Я заявил ровно обратное. Ни открытость, ни закрытость исходного кода никак не
> гарантируют его защищённость.Закрытость исходного кода вообще ничего не гарантирует. Только сотрясание воздуха. Вот в чем огромная разница в сравнении с открытым исходным кодом. При личном желании можно провести аудит исходного кода или оплатить за услугу тому, кто это сделает.
>> В открытом коде можно хоть аудит провести.
> Можно провести аудит как закрытого, так и открытого кода. С последним ситуация
> обстоит попроще, да, но аудит закрытого кода — это обычное дело.Аудит закрытого кода невозможно провести, потому что он закрыт. Можно только попробовать поработать со скомпилированной программой, но это не аудит исходного кода. Это аудит программы.
> Закрытость исходного кода вообще ничего не гарантирует. Только сотрясание воздуха. Вот в чем огромная разница в сравнении с открытым исходным кодом. При личном желании можно провести аудит исходного кода или оплатить за услугу тому, кто это сделает.Открытость исходного кода тоже ничего не гарантирует. Безусловно наличие исходников программы облегчает аудит. Но всё равно упирается это в доверие: к автору программы, к его среде, к цепочке поставок, к аудитору и так далее.
Спрятать бекдор можно и там, и там.
Взять, например, историю с американским университетом, студненты которого намеренно подавали в Linux патчи с вложенными уязаимостями для своего доклада. И, насколько я помню, патчи проходили до того, как они не опубликовали свою работу. Тут нужно уточнение.
Скольким людям хватит квалификации для того, чтобы самостоятельно проводить аудиты используемых ими программ?
> Аудит закрытого кода невозможно провести, потому что он закрыт. Можно только попробовать поработать со скомпилированной программой, но это не аудит исходного кода. Это аудит программы.
Важно именно то, как ведёт себя программа. Аудит исходного кода проводят именно по тому, что он в значительной мере отражает поведение конечного исполняемого файла. Но не только он влияет на поведение программы, а и, например, такие заплатки как CFI.
>[оверквотинг удален]
> облегчает аудит. Но всё равно упирается это в доверие: к автору
> программы, к его среде, к цепочке поставок, к аудитору и так
> далее.
> Спрятать бекдор можно и там, и там.
> Взять, например, историю с американским университетом, студненты которого намеренно подавали
> в Linux патчи с вложенными уязаимостями для своего доклада. И, насколько
> я помню, патчи проходили до того, как они не опубликовали свою
> работу. Тут нужно уточнение.
> Скольким людям хватит квалификации для того, чтобы самостоятельно проводить аудиты используемых
> ими программ?Очередная демагогия. Вы отличаете разницу между невозможностью провести аудит исходных текстов и наличием таковой? Обсуждаемый предмет был в этом.
Да и не обязательно самостоятельно проводить аудит. Да и когда люди пользуются открытым ПО, то есть шанс, что кто-нибудь залезет с какой-то целью в исходники, чтобы с чем-нибудь разобраться. В закрытом ПО такой возможности нет, а значит нет никакой вероятности наткнуться на что-то в исходном тексте программы, потому что исходников нет. 0! Понимаете?>> Аудит закрытого кода невозможно провести, потому что он закрыт. Можно только попробовать поработать со скомпилированной программой, но это не аудит исходного кода. Это аудит программы.
> Важно именно то, как ведёт себя программа. Аудит исходного кода проводят именно
> по тому, что он в значительной мере отражает поведение конечного исполняемого
> файла. Но не только он влияет на поведение программы, а и,
> например, такие заплатки как CFI.Хватит заниматься демагогией. Вопрос был не в том, почему проводят аудит исходного кода, и только ли он влияет на поведение программы.
Аудит исходного кода пользователем закрытой программы невозможен. Т.е. нельзя проверить ошибки или умышленную вредоносность исходных текстов. К тому же это насилие по отношению к пользователю.
> Вы отличаете разницу между невозможностью провести аудит исходных текстов и наличием таковой?Да, определённо. Для аудита безопасности программы необязательно иметь её исходники.
> Да и когда люди пользуются открытым ПО, то есть шанс, что кто-нибудь залезет с какой-то целью в исходники, чтобы с чем-нибудь разобраться.
Это всего-лишь вероятность. Да, наличие исходников программы даёт большое преимущество. Но на практике это зависит от отношения корня проекта к этому, и, соответственно, его структуры и сообщества.
На практике, найденные проблемы могут не решаться годами.
GrapheneOS — это пример открытого проекта с хорошим системным подходом к его безопасности.
AOSP, пусть в меньшей степени, но тоже таковым является.
Linux и F-Droid — это примеры открытых проектов без хорошего системного подхода к безопасности.
> В закрытом ПО такой возможности нет, а значит нет никакой вероятности наткнуться на что-то в исходном тексте программы, потому что исходников нет.
Есть обратная инженерия и другие подходы, типа fuzzing. И вероятность что-то так найти далеко не нулевая.
> Аудит исходного кода пользователем закрытой программы невозможен. Т.е. нельзя проверить ошибки или умышленную вредоносность исходных текстов.
Аудит исходного кода возможен теми, кто её разрабатывает, и теми, кого они для этого привлекают извне. И они вполне себе могут считаться пользователями этого ПО.
> Т.е. нельзя проверить ошибки или умышленную вредоносность исходных текстов.
Вредоносных текстов, в целом, нет. Но исполняемого файла — возможно.
> К тому же это насилие по отношению к пользователю.
Пользователь добровольно согласился на такие условия.
Утверждение, что закрытое ПО всегда является вредоносным — это гипотеза, которую невозможно доказать.Сравнивать количество найденных уязвимостей бессмысленно. Важен именно системный подход к безопасности проекта. При прочих равных, открытый проект получает значительное преимущество, но только если у них похожие подходы к безопасности.
Это также вопрос доверия и репутации.
Если для системы важна "бытовая" безопасность с относительно тривиальной моделью угроз, то я предпочту проприетарный Windows с гораздо более лучшим подходом к безопасности, чем открытый Linux — с заведомо плохим.
> Так называемые Dumb phones почти всегда менее безопасны, чем современные смартфоны (Samsung, например). 2G — это древний небезопасный протокол. Использование телефона в режиме LTE-only гораздо более безопасно.Мы сейчас сравниваем телефон и смартфон. Второй однозначно здесь проигрывает. Мы не про идеальный мир, где кнопочное простое устройство для звонков работает на LTE, а лучше вообще не только по единому проприетарному протоколу, контролируемому государством.
> Есть ли в Librem физические переключатели для сенсоров (акселерометр и тому подобное), которые могут быть использованы для прослушки?
> Безопасность в PureOS (Librem) находится на уровне типичного дистрибутива Linux, и гораздо и гораздо хуже, чем на почти любом современном устройства на основе Android или iOS.Я вам привел пример умного решения, а вы здесь начали перечислять минусы проекта Librem. Я не утверждал, что Librem - это панацея.
> Открытость кода не гарантирует его защищённость.
Я этого и не утверждал. Я утверждал, что концепция закрытого кода однозначно небезопасна.
> Проверка целостности всего привилегированного ПО — это очень ценная функция безопасности.
> Ключи почти всегда можно заменить.
> На х86_64 почти нет полноценных реализаций Verified Boot, если они вообще есть. Secure Boot — это та самая мишура, не предоставляющая должной защиты.
> Полноценный Verified Boot есть на мобильных устройствах и Mac'ах.Закрытый опломбированный системный блок в относительно защищенном или находящимся под присмотром помещении с процессором, кот. не имеет всякую ерунду по типу IME, открытым умно продуманным модульным железом. Установлено оптимизированное ПО, кот. не потребляет много ресурсов, не греет атмосферу, экономно расходует электричество, не провоцируя размножение электростанций и подобного. За этим устройством пользователь со здоровыми привычками, а не навязанными графическими интерфейсами от M$, огрызков и кед с гномом со своей метафорой рабочего стола. Зачем городить огород, гоняя костыль костылем, затыкая следствия, а не занимаясь решением проблемы?
> Проприетарное ПО не обязательно безопаснее открытого, но и в обратную сторону это тоже действует.
В обратную это никак не действует. Еще раз: проприетарное ПО - это насилие. Точка. Это не должно даже обсуждаться. Мне не интересно обсуждать сорта г*вн*.
> Так уж получилось, что компании, стоящие за проприетарными ОС, имеют гораздо больше ресурсов, возможностей и мотивации для улучшения безопасности своего ПО.
Иметь ресурсы и мотивацию для улучшения не находятся в одной парадигме, ну т.е. вообще никакой зависимости между ними нет.
> В случае с Linux всё иначе. Он не создавался как ориентированный на безопасность проект, поэтому в нём накопился большой багаж небезопасных практик и плюющих на безопасность людей. И от этого не так-то и просто избавиться, если вообще возможно.
А я считаю, что это из-за ньюфажества, тупизма, влияния корпораций.
>> и что его существование вообще имеет место быть
> Это и есть ограничение свободы индивидов. Каждый имеет право делать со своей
> интеллектуальной собственностью всё, что он хочет.Нет. Вы про вседозволенность. Свобода - отсутствие инициированного насилия. Насилие - любое физически обнаружимое воздействие на индивида и/или его имущество, каковое (взаимодействие) было совершено без его согласия.
Интеллектуальная собственность - это огромный аппарат насилия.>> И вообще, когда я пишу про безопасность, то я имею ввиду защиту ото всех.
> Это вопрос модели угроз.В данном случае это не так. Когда задают вопрос "можно ли настроить маршрутизатор на безопасное соединение с интернет", то ответ один - нет, а не с миллионами оговорок. Четкий и понятный вопрос-ответ.
> Это вопрос осознанности. Если пользователя устраивает это, то почему бы и нет?
Потому что это относится к насилию. Я уже вышел об этом написал. Инициированное насилие в свободном обществе должно быть запрещено.
И вот что, мне надоело ваше пустословие и переливание из пустого в порожнее. Это мой последний ответ на ваши сообщения в этой ветке.
> Мы сейчас сравниваем телефон и смартфон. Второй однозначно здесь проигрывает. Мы не про идеальный мир, где кнопочное простое устройство для звонков работает на LTE, а лучше вообще не только по единому проприетарному протоколу, контролируемому государством.С точки зрения принципа "меньше функциональности — меньше площади для атаки" — да. Но на практике безопасности таких устройств не уделяют должного внимания, если уделяют вообще. В звонилки, особенно дешёвые, иногда заносят вредоносное ПО прямо с фабрики из-за отсутствия должного контроля.
> Нет. Вы про вседозволенность.
Вседозволенность — это отсутствие негативного отклика вне зависимости от совершённых действий.
> В обратную это никак не действует. Еще раз: проприетарное ПО - это насилие
Этого утверждения я не понимаю. С моей точки зрения, оно противоречит данному тобой определению насилия. Создатель-владелец ПО делится с тобой, по своему желанию, исполняемым файлом на своих условиях (не делиться с остальными), но не даёт исходный код. Фактически, он делится с тобой информацией, совершена сделка. Где здесь насилие? Принимающий согласился на эти условия добровольно. Если он начнёт нарушать условия сделки, то он начнёт вмешиваться в свободу создателя ПО, и у него будет полное право дать ему по голове.
> Иметь ресурсы и мотивацию для улучшения не находятся в одной парадигме, ну т.е. вообще никакой зависимости между ними нет.
Без мотивации (или стимуляции) не будет движения. Без ресурсов, но с мотивацией/стимуляцией движение будет направлено на получение ресурсов.
> Закрытый опломбированный системный блок в относительно защищенном или находящимся под присмотром помещении с процессором, кот. не имеет всякую ерунду по типу IME, открытым умно продуманным модульным железом. Установлено оптимизированное ПО, кот. не потребляет много ресурсов, не греет атмосферу, экономно расходует электричество, не провоцируя размножение электростанций и подобного. За этим устройством пользователь со здоровыми привычками, а не навязанными графическими интерфейсами от M$, огрызков и кед с гномом со своей метафорой рабочего стола. Зачем городить огород, гоняя костыль костылем, затыкая следствия, а не занимаясь решением проблемы?
Это почти описание смартфонов на базе Android.
> В данном случае это не так. Когда задают вопрос "можно ли настроить маршрутизатор на безопасное соединение с интернет", то ответ один - нет, а не с миллионами оговорок. Четкий и понятный вопрос-ответ.
Именно из-за этого и вводятся компромиссы, а зависимости от модели угроз. Использование более дорогостоящего, но более безопасного оборудывания. Использование менее производительной, но более безопасной ОС, требующей регулярного обновления. Создание очень ограничивающих правил межсетевого фильтра. Использование прокси/VPN.
> Потому что это относится к насилию. Я уже вышел об этом написал. Инициированное насилие в свободном обществе должно быть запрещено.
Странное для меня определение слова "свобода". Для меня "свобода" — это возможность делать то, что я хочу. Своя свобода заканчивается там, где начинается чужая. Если человек при нападении на другого человека с большой вероятностью получит по голове сразу же, то вероятность его нападения резко снижается. Он не хочет нападать, потому что он знает, что с ним произойдёт после.
Свобода всегда связана с опасностью.
> И вот что, мне надоело ваше пустословие и переливание из пустого в порожнее. Это мой последний ответ на ваши сообщения в этой ветке.
В таком случае я тоже заканчиваю.
>> В обратную это никак не действует. Еще раз: проприетарное ПО - это насилие
> Этого утверждения я не понимаю. С моей точки зрения, оно противоречит данному
> тобой определению насилия. Создатель-владелец ПО делится с тобой, по своему желанию,
> исполняемым файлом на своих условиях (не делиться с остальными), но не
> даёт исходный код. Фактически, он делится с тобой информацией, совершена сделка.
> Где здесь насилие? Принимающий согласился на эти условия добровольно. Если он
> начнёт нарушать условия сделки, то он начнёт вмешиваться в свободу создателя
> ПО, и у него будет полное право дать ему по голове.Не противоречит. Читайте внимательно. В определении насилия написано "физически обнаружимое воздействие". Что можно обнаружить в закрытом коде? Он неизвестен. Разве это не очевидно? Т.е. дают фантик, на котором написано, что там конфета с такими то свойствами, а там еще рицин есть, про который не написано нигде.
Поэтому ПО должно поставляться только с исходниками, а за их отсутствие должна быть предусмотрена уголовная ответственность за распространение таким поделий.
Поэтому когда занимаются декомпиляцией, чем угодно с закрытым ПО, то по закону это является нарушением, а по факту насилием по отношению к индивидам. Забавно, не правда ли? Вам определенно нужно изучить вопрос глубже, чтобы беседовать со мной на тему свободы.>> Потому что это относится к насилию. Я уже вышел об этом написал. Инициированное насилие в свободном обществе должно быть запрещено.
> Странное для меня определение слова "свобода". Для меня "свобода" — это возможность
> делать то, что я хочу.Ваше "хочу" может являться инициированным насилием по отношению к другому. Разбиритесь что такое инициированное и ответное насилие, перечитайте еще раз определение, которое я дал.
> Своя свобода заканчивается там, где начинается чужая.
Никуда она не заканчивается. Перечитайте еще раз определение и подумайте.
>Если человек при нападении на другого человека с большой вероятностью
> получит по голове сразу же, то вероятность его нападения резко снижается.
> Он не хочет нападать, потому что он знает, что с ним
> произойдёт после.У вас полная каша в голове по этой теме. Давайте разбираться.
Свободу никто не может дать, она изначально есть у каждого. Ее можно дать только в случае, когда ее предварительно отняли.
Ограничения, накладываемые на общество, могут повышать свободу каждого индивида, а могут понижать. Например, ограничения на инициированное насилие в виде удара по лицу несут каждому индивиду гарантию, что ему не ударят по лицу, т.к. вмешается государство и однозначно последует ответное насилие за проступок, который закреплен закондательством с целью сохранения свободы каждого индивида. Данное регулирование повышает свободу каждого индивида. А вот ограничения в виде блокировок интернет-ресурсов или книг - это чистейшее насилие со стороны государства, называемое цензурой.> Свобода всегда связана с опасностью.
Конечно, правящая верхушка (=стационарный бандит по теории оседлого бандита) хочет править вечно и сохранять и преумножать ресурсы, которые кстати говоря являются общими на планете Земля, манипулируя индивидами в обществе. На эту тему есть хорошее стихотворение Юрия Нестеренко "Государство - твой враг".
Если интересна тема свободы, то на эту тему уже много литературы. Если сжато, то можно ознакомиться здесь:
А. В. Столяров. Информационная свобода и информационное насилие. Диссертация на соискание учёной степени кандидата философских наук. МГУ, Москва, 2012.
http://www.croco.net/croco/papers/stolyarov_philosophy_thesi...
> Поэтому когда занимаются декомпиляцией, чем угодно с закрытым ПО, то по закону
> это является нарушением, а по факту насилием по отношению к индивидам.Исправление:
Поэтому когда занимаются декомпиляцией, взломом и подобным с закрытым ПО, то по закону это является нарушением, а по факту закрытое ПО - насилие по отношению к индивидам. Чьи интересы в таком случае защищает государство, как не корпораций, в т.ч. через которые занимается репрессиями граждан? Вопрос риторический.
> Не противоречит. Читайте внимательно. В определении насилия написано "физически обнаружимое воздействие". Что можно обнаружить в закрытом коде? Он неизвестен. Разве это не очевидно? Т.е. дают фантик, на котором написано, что там конфета с такими то свойствами, а там еще рицин есть, про который не написано нигде.Аудит бинарных файлов — это обычное дело так-то. Наличие исходного кода необязательно для обнаружения бекдоров.
Для того, чтобы воздействие считалось насилием, оно должно быть *обнаружимым*. Если его нельзя обнаружить, то и насилием оно не является.
В случае с конфетой, рицин там может быть найден при употреблении конфеты (опытным путём) или посредством лабораторного анализа. И только тогда это будет считаться насилием, по твоему же определению.
В случае же закрытого ПО, поиск бекдоров более чем возможен — затруднён, но возможен. Утверждение о том, что всё закрытое ПО содержит бекдоры — это гипотеза, которую невозможно доказать.
> Поэтому ПО должно поставляться только с исходниками, а за их отсутствие должна быть предусмотрена уголовная ответственность за распространение таким поделий.
Это попытка ограничения свободы создателей ПО.
> Поэтому когда занимаются декомпиляцией, чем угодно с закрытым ПО, то по закону это является нарушением, а по факту насилием по отношению к индивидам. Забавно, не правда ли?
Зависит от местного законодательства. На сколько мне известно, сама по себе обратная инженерия не является преступлением, но она может быть нарушением договорённости между владельцем ПО и его пользователем. Последний сам, по своей воле, согласился на это и принял его условия. Это уже, по определению, не может быть насилием.
> Вам определенно нужно изучить вопрос глубже, чтобы беседовать со мной на тему свободы.
На данный момент, я удовлетворён своим определением.
> Ваше "хочу" может являться инициированным насилием по отношению к другому. Разбиритесь что такое инициированное и ответное насилие, перечитайте еще раз определение, которое я дал.
Да, может. А в чём проблема-то? Сам факт, что инициировать насилие могут все стороны, поддерживает свободу каждого.
> Свободу никто не может дать, она изначально есть у каждого. Ее можно дать только в случае, когда ее предварительно отнялиСвободу нельзя отнять, никак. Свободу можно только отдать. Свободный человек стоит горой за своё либо до победы, либо до смерти.
> Ограничения, накладываемые на общество, могут повышать свободу каждого индивида, а могут понижать.
Ограничивать других может только тот, кому эти "другие" отдали свою свободу. Так что ни о каком повышении или понижении и речи не идёт.
Свободные люди договариваются между друг-другом.
> Например, ограничения на инициированное насилие в виде удара по лицу несут каждому индивиду гарантию, что ему не ударят по лицу, т.к. вмешается государство и однозначно последует ответное насилие за проступок, который закреплен закондательством с целью сохранения свободы каждого индивида. Данное регулирование повышает свободу каждого индивида.
Люди отдают свою свободу некой организации (государству) в этом случае.
В этом случае эта организация получает монополию на насилие. Как она сказала — так и будет.
Свобода — это про двухнаправленную опасность: от себя и к себе.
Такая вот мнимая безопасность — это про однонаправленную опасность со стороны монополиста.
"Пожертвовавший свободой ради безопасности не заслуживает ни свободы, ни безопасности" — Бенджамин Франклин.
Никаких гарантий на то, что против тебя не инициируют насилие, никто дать не может. Если ты не представляешь опасности для потенциальных нападающих (включая организацию), то и защитить себя не можешь. Может быть, кто-то там вместо тебя даст нападающим по голове, но это уже будет никакая не защита, а "воспитательные процедуры".
> А вот ограничения в виде блокировок интернет-ресурсов или книг - это чистейшее насилие со стороны государства, называемое цензурой.
Это ничем не отличается от вышеописанного.
> Конечно, правящая верхушка (=стационарный бандит по теории оседлого бандита) хочет править вечно и сохранять и преумножать ресурсы, которые кстати говоря являются общими на планете Земля, манипулируя индивидами в обществе. На эту тему есть хорошее стихотворение Юрия Нестеренко "Государство - твой враг".
Люди сами отдали им свою свободу. Эта проблема решается соответственно — её нужно просто "вернуть".
Ресурсы не являются общими. Каждый, кто добывает эти ресурсы имеет право посягать на них.
Поэтому всё идёт к автоматизации добычи базовых ресурсов: воды, еды и тепла. Люди будут уверены в том, что они не умрут от жажды, голода или холода. Хочешь большего — трудись.
> На данный момент, я удовлетворён своим определением.Тогда на этом и закончим.
> Свободные люди договариваются между друг-другом.О чем с тобой договариваться, когда ты такой ливацкий бред несешь? Ты путаешь вседозволенность со свободой. Выйди уже с этой парадигмы и обрати внимание, что насилие по отношению к индивиду или его имущество - это не свобода.
> О чем с тобой договариваться, когда ты такой ливацкий бред несешь?Разве мы пытались о чём-то договориться? Я считаю себя правым, ты считаешь правым себя.
> Выйди уже с этой парадигмы и обрати внимание, что насилие по отношению к индивиду или его имущество - это не свобода.
Нет. Я тебя ни к чему не призывал, к слову, когда как ты пытаешься меня переубедить.
Это твоё определение, и я считаю его неверным в корне, так что это бессмысленно.
Я и не утвержал, что насилие — это свобода.
> Свобода (лат. libertas) - это способность разума мыслить и действовать в соответствии со своей волей, но с учетом высших законов и порядка. Это способность действовать беспрепятственно и неограниченно в соответствии со своими желаниями.
Сам факт того, что каждый каждому может дать по голове (а не только некий монополист), поддерживает свободу всех и каждого. Адекватные люди договариваются, чтобы друг друга не бить.
То есть, их воля заключается в том, чтобы не инициировать насилие в отношении других людей, с которыми они договорились. Иначе они рискую получить "негативный отклик".
Вседозволенность — это отсутствие негативного отклика вне зависимости от совершённых действий. Определение кроется в словосочетании "всё дозволено". Другие свободные люди, обычно, не дозволяют применять насилие в свою сторону.
А что это за "адекватные люди" я расписывать не собираюсь, ибо слишком. Адекватность относительно реальности зависит от состояния биохимии, в целом.
В любом случае, мы слишком сильно отклонились от тематики форума, так что определённо пора заканчивать.
> Я и не утвержал, что насилие — это свобода.Дай свое определение насилия.
>> Свобода (лат. libertas) - это способность разума мыслить и действовать в соответствии со своей волей, но с учетом высших законов и порядка. Это способность действовать беспрепятственно и неограниченно в соответствии со своими желаниями.
А тебя не смущает, что мы ведем беседу о свободе в соц.-политическом контексте, а ты применяешь сюда свободу воли из философии и строишь на этом свой дискурс?
> Вседозволенность — это отсутствие негативного отклика вне зависимости от совершённых
> действий. Определение кроется в словосочетании "всё дозволено".Вот именно.
Вседозволенность - безграничная дозволенность.
Ты писал: "Для меня "свобода" — это возможность делать то, что я хочу".
Вдумайся.
А я пишу, что свобода - отсутствие инициированного насилия. Определение насилия я уже писал в переписке выше. Т.е. нельзя к свободному индивиду применять инициированное насилие. Нельзя и все. Насилие и свободный индивид несовместимы. Ты считаешь как-то иначе?Разумеется, что от какого-то типа насилия на настоящем этапе развития цивилизации отказаться невозможно. Например, находясь в общественном месте мы навязываем свой внешний вид окружающим. От рекламы на улице, например, отказаться возможно. Вообще без проблем. На всякий случай: в случае согласия на получение рекламы по индивидуальным каналам связи реклама не будет являться насилием по отношению к согласному индивиду. Опять же, если согласие будет явным: какая реклама, объем, по каким источникам и т.д.
>Другие свободные люди, обычно, не дозволяют применять насилие в свою сторону.
Другие могут и не понимать, что в их сторону идет насилие. Ты ведь не понимаешь, что использование закрытого ПО пользователем - это насилие со стороны разработчика.
Система авторского права, которая по своему устройству на самом деле должна называться издательским правом, это целый раздел узаконенного насилия, который начался еще со статута королевы Анны и носил характер перераспределения влияния на индивидов с отдельных частников на государство (в т.ч. создание цензуры).
Я устал от этого. У меня больше нет причин продолжать этот разговор, так как я добился своей цели.> НАСИЛИЕ – общественное отношение, в ходе которого одни индивиды (группы людей) с помощью внешнего принуждения, представляющего угрозу жизни, подчиняют себе других, их способности, производительные силы, собственность.
Это более-менее подходит. Только его стоит расширить и на другие явления, не только людей. Насилие касается даже элементарных веществ, которые постоянно пытаются занять всё свободное пространство, отобрать электроны.
> А тебя не смущает, что мы ведем беседу о свободе в соц.-политическом контексте, а ты применяешь сюда свободу воли из философии и строишь на этом свой дискурс?
Есть конкретное определение свободы, и на него не влияет "социально-политический" контекст. Это всё выдумка людей, когда как я говорю о настоящей свободе, а не прописанной в законодательстве.
> Вот именно.
Вседозволенность - безграничная дозволенность.
Ты писал: "Для меня "свобода" — это возможность делать то, что я хочу".
Вдумайся.Вдумался. Ничего не поменялось. Если кто-то хочет забрать всё имущество у другого человека, а тот никак не реагирует, то это вседозволенность для первого, так как другой человек дозволил ему делать всё что угодно. Если за этим следует хоть какая-то негативная реакция, то это уже не вседозволенность. В любом случае, оба являются свободными (второй позволил это сам).
> А я пишу, что свобода - отсутствие инициированного насилия. Определение насилия я уже писал в переписке выше. Т.е. нельзя к свободному индивиду применять инициированное насилие. Нельзя и все. Насилие и свободный индивид несовместимы. Ты считаешь как-то иначе?
Можно. А кто свободному человеку может хоть что-то запретить? Можно лишь пригрозить насилием. Инициированное насилие не может отсутствовать, это невозможно. *Весь* мир держится на насилии, без преувеличения. Вся природа держится на насилии, а люди, что, какие-то особенные? Вещества стремятся занять всё окружающее пространство, забрать электроны у других; бактерии стремятся съесть всё, что им доступно; люди стремятся занять максимально большие территории. Растения применяют насилие к минералам, растворяя и поглощая их, и бактериям, высасывая из них полезные для них вещества. И именно из-за взаимнонаправленной опасности всё это поддерживается в балансе. То, что перестаёт быть опасным относительно других, поглощается.
Именно на взаимнонаправленной опасности строится договороспособность. Бактерии занимают отдельные ниши, и применяют насилие в отношение тех, кто посягает на их субстрат.
> Нельзя и все.
Хех. Так а что ему запрещает это делать?
> Разумеется, что от какого-то типа насилия на настоящем этапе развития цивилизации отказаться невозможно. Например, находясь в общественном месте мы навязываем свой внешний вид окружающим. От рекламы на улице, например, отказаться возможно. Вообще без проблем. На всякий случай: в случае согласия на получение рекламы по индивидуальным каналам связи реклама не будет являться насилием по отношению к согласному индивиду. Опять же, если согласие будет явным: какая реклама, объем, по каким источникам и т.д
Есть 2 типа людей, которые всячески избегают применения насилия: адекватные, биохимически здоровые люди, которые представляют опасность относительно других; и биохимически нездоровые люди, "слабые и немощные", не способные физически применять насилие.
И причины не применять насилие у них совершенно разные. Для последних — это последняя возможность выжить.
"Лучше быть жестоким, если жестокость есть в наших сердцах, чем пытаться прикрыть своё бессилие покрывалом ненасилия." — Махатма Ганди
Реклама не является насилием. Люди сами соглашаются на такие условия. Это договорённость.
> Другие могут и не понимать, что в их сторону идет насилие. Ты ведь не понимаешь, что использование закрытого ПО пользователем - это насилие со стороны разработчика.
Я считаю это утверждение неправильным.
Разработчик предоставляет пользователю, по договорённости, принятой обоими сторонами, свою программу. Обе стороны обязуются выполнять эти договорённости.
И где же тут *насилие*?
Если пользователь нарушает их, то у автора есть полное право дать ему по голове, если он представляет достаточную опасность для пользователя.
Если автор нарушает их, то у пользователя есть полное право дать ему по голове, если он представляет достаточную опасность для автора.
Это касается как закрытых, так и открытых проектов.
Если человек "не понимает" что в его сторону применяется насилие, то никакое это уже не насилие. Человек позволил это сделать, добровольно.
Ладно, всё.
> А на настольных системах все приложения одного пользователя зачастую не изолированы друг от друга. Например, Linux. Хорошо, если человек озаботился настройкой межсетевого экрана, что уж говорить про SELinux или AppArmor, строгую изоляцию через пространства имён, hardened_malloc, защиту ядра.Дак в Линуксе всё это есть! И selinux, и apparmor и всякие hardening'ы, и X^W, и KASLR, и пространство имен, и фаерволлы, и куча-куча все еще чего. Бери и настраивай, ядро все это умеет и предоставляет.
> Windows (не-Home) безопаснее, чем Linux на настольных системах, особенно если у тебя есть Secured-Core PC и есть время настроить заплатки безопасности.
Ну понятно - винда безопаснее (что-т ржу) потому, что там если есть время можно что-то настроить. А если у меня есть время все в линуксе настроить, то что?
> MacOS безопаснее и Windows, и настольного Linux.
Сильное заявление. А как ты аудит проводил?
> Дак в Линуксе всё это есть! И selinux, и apparmor и всякие hardening'ы, и X^W, и KASLR, и пространство имен, и фаерволлы, и куча-куча все еще чего. Бери и настраивай, ядро все это умеет и предоставляет.Есть, да, и это всё можно вручную настроить, но настойка и поддержка таких политик на *настольной* — это непросто. Почти всё это есть и в Windows, и в MacOS, только они предоставляют куда больше этого.
Например, ядро Linux, по умолчанию, собирается без CFI, требующего LLVM для сборки. В пользовательском пространстве почти ничего, за исключением Chromium, не использует CFI.
Поддержка Intel CET/AMD ShadowStack в пользовательском пространстве неразвита. Для его включения нужно явно включить его поддержку через переменную окружения glibc. Из-за того, что значительная часть приложений в Linux несовместимы с теневым стеком, а в большинстве дистрибутивов флаг`-cf-protection` установлен по умолчанию, это вызывает поломку системы.
Linux уязвим к атакам переполнения буфера с последующей перезаписью исполняемой памяти. Правильно проведённая атака с использованием ROP/JOP может обойти ограничение W^X. В Windows и MacOS давно есть защита от таких атак. В Linux есть редкоиспользуемый SELinux memexec и SARA LSM, который даже не приняли в основное дерево.
Windows поддерживает защиту через виртуализацию. Почти вся операционная система работает в гипервизоре, за исключением небольшой части, типа гипервизора. Это усложняет иньекцию вредоносного кода в ядро. В Linux ничего подобного нет.
Пользовательские пространства имён в Linux открывает значительное пространство для атаки.
В Windows нет альтернативы пространствам имён в Linux так что приходится запускать приложения в песочницах.
> Ну понятно - винда безопаснее (что-т ржу) потому, что там если есть время можно что-то настроить. А если у меня есть время все в линуксе настроить, то что?
Это вопрос времени и сил, затраченных на достижение цели. Но далеко не все проблемы на Linux можно решить обычной настройкой Это должно быть решено на фундаментальном уровне.
Даже в Fedora почти все процессы работают как unconfined_t, а ведь это, в некотором смысле, первопроходец SELinux политик на настольных системах
Основные разработчики пренебрежительно относятся к безопасности своего поделия. Многие проблемы висят неисправленными годами:
https://syzkaller.appspot.com/upstreamВ Linux всё очень плохо с системным подходом к безопасности.
Ядра у MacOS и Windows тоже монолитные и написаны, в основном, на C, но они хотя бы стараются это исправить.
В Windows гораздо сложнее получить пароль администратора через keylogging. Запрос на пароль и привилегированные окна запускаются в отдельном, изолированном рабочем столе. Для ввода пароля при входе нужно нажать зарезервированную ядром комбинацию Ctrl+Alt+Del.
В Linux же есть xorg, атаки через LD_PRELOAD и слив информации через procfs.
В Windows LD_PRELOAD-атаки смягчаются через разрешение загрузки только подписанных DLL и ограничения доступных для этого каталогов.
В стабильных дистрибутивах Linux пакеты замораживаются, а исправления получают только уязвимости, получившие CVE.
> Сильное заявление. А как ты аудит проводил?
Не проводил я никакого аудита. Это просто моё мнение, подкреплённое имеющейся у меня информацией и чужими мнениями.
> Основные разработчики пренебрежительно относятся к безопасности своего поделия. Многие проблемы висят неисправленными годами: https://syzkaller.appspot.com/upstreamА где дашбоард syzbot'а для винды? Просто чтоб сравнить как разботчики винды относятся к безопасность своего поделия.
Его нет. Открытая реализация syzkaller для Windows очень ограниченная. Есть проприетарные реализации, но открытой статистики по ним нет.https://github.com/google/syzkaller/blob/master/docs/windows...
> Его нет. Открытая реализация syzkaller для Windows очень ограниченная. Есть проприетарные
> реализации, но открытой статистики по ним нет.
> https://github.com/google/syzkaller/blob/master/docs/windows...Так... кажется я наконец понял. Надо просто закрыть доступ к результатам фаззинга ядра линукс и он резко станет безопасным.
> Так... кажется я наконец понял. Надо просто закрыть доступ к результатам фаззинга ядра линукс и он резко станет безопасным.У Windows тоже хватает своих проблем. Нет смысла выводить на публику неиспользуемые в дикой среде уязвимости. Просто их решают более охотно.
В Windows гораздо более лучший системный подход к обеспечению безопасности системы, вот о чём речь.
Он не станет безопасным. Windows тоже нельзя назвать безопасным. Это спектральная характеристика. Windows, в целом, более безопасен чем Linux, в целом.
> Нет смысла выводить на публику неиспользуемые в дикой среде уязвимости. Просто их решают более охотно.Ты серьезно? Ты покажи результаты фаззинга ядра винды, и тогда я скажу: "Да, эти уязвимости полная фигня по сравнению с CVE в линуксе". Ну а по такой логике можно закрыть доступ к исходникам линукса, удалить статистику syzbot'а. А зачем выводить на публику неиспользуемые в дикой среде уязвимости в линуксе?
> Ты серьезно? Ты покажи результаты фаззинга ядра винды, и тогда я скажу:
> "Да, эти уязвимости полная фигня по сравнению с CVE в линуксе".CVE не являются показателем безопасности системы в целом.
Я привёл статистику с syzbot'a как показатель того, что огромное количество дыр (в основном, мелких) остаётся неисправленнымм на протяжении многих лет. Насчёт Windows можно только гадать, но не думаю, что ситуация там обстоит хуже в этом плане.
Структура последних версий Windows (не-Home) более защищённая, чем в Linux. Взять, например,запуск всей системы в гипервизоре (VBS), изоляцию привилегированных процессов и проверку подписей при подгрузке DLL.
> Ну а по такой логике можно закрыть доступ к исходникам линукса,
> удалить статистику syzbot'а.Совсем нет. Для *закрытого* проекта Windows в этом нет смысла. Тихо нашли, тихо исправили.
> А зачем выводить на публику неиспользуемые в дикой
> среде уязвимости в линуксе?Потому что это открытый проект. Исправление этих проблем в любом случае отобразится в древе коммитов.
Android (GrapheneOS в частности) — это пример, как можно сделать из Linux более-менее безопасную FOSS user-facing ОС.
> Его нет. Открытая реализация syzkaller для Windows очень ограниченная. Есть проприетарные
> реализации, но открытой статистики по ним нет.
> https://github.com/google/syzkaller/blob/master/docs/windows...Ты видимо не понял о чем я. По твоей ссылке - syzkaller под винду. Ну есть он под винду и что? Я спрашивал не про это, а про то где можно посмотреть результаты фаззинга самой винды(!), ее ядра. Чтоб сравнить с линуксом и убедиться, что уж разработчики винды то не пренебрежительно относятся к безопасности своего поделия.
Я ведь написал, что дашборда нет. Syzkaller используется внутри Microsoft, и полученная информация не уходит на публику.
> Я ведь написал, что дашборда нет. Syzkaller используется внутри Microsoft, и полученная
> информация не уходит на публику.Извини, друг, но если ты утверждаешь что винда более безопасна, чем линукс потому что в линуксе смотри вон сколько багов, которые никто не чинит годами и приводишь ссылку на syzbot, а по винде аналогичной статистики не предоставляешь, то изначальное заявление о том, что винда безопаснее - это просто ложь.
> Я привёл статистику с syzbot'a как показатель того, что огромное количество дыр (в основном, мелких) остаётся неисправленнымм на протяжении многих лет. Насчёт Windows можно только гадать, но не думаю, что ситуация там обстоит хуже в этом плане.
А почему ты думаешь, что в винде именно лучше, а не хуже? Это просто какая-то спекуляция бездоказательная.
Про всякие виртуалки, в которых запускается софт - это всё костыли от дырявости. Дырявое ядро, что вместо его полного переписывания проще софт в виртуалках гонятью Я ведь тоже в линуксе могу весь софт в виртуалках запускать.
Эта статистика была предоставлена мною как часть утверждения о том, что среди разработчиков Linux мало людей, которые серьёзно относятся к безопасности. И Линус относится к таким людям.> А почему ты думаешь, что в винде именно лучше, а не хуже? Это просто какая-то спекуляция бездоказательная.
Да, так оно и есть. Это лишь моё предположение.
> Про всякие виртуалки, в которых запускается софт - это всё костыли от дырявости. Дырявое ядро, что вместо его полного переписывания проще софт в виртуалках гонятью Я ведь тоже в линуксе могу весь софт в виртуалках запускать.
Да, это костыль. Linux тоже является дырявым монолитным ядром, и тоже нуждается в таких костылях, чтобы прожить подольше. В Windows и MacOS гораздо активнее пытаются исправить накопленные проблемы безопасности без переписывывания всей системы.
Эта система отличается от простого запуска виртуальных машин. Это чем-то похоже на QubesOS, отдалённо. Самым привилегированным процессом в системе становится не огромное ядро, а гипервизор с защитником. И этот защитник может запрещать выполнять подозрительные/опасные операции в ядре, так как он стоит выше него.
Когда ты запускаешь виртуальные машины на Linux-хосте, то безопасность содержимого гостевых ОС зависит от безопасности хоста. VBS — это небольшая программа относительно монолитного ядра, и, соответственно, площадь атаки меньше. Да и в Linux нет подобной функциональности, которая позволяет защищать гостевое ядро Linux в виртуальной машине.
Я считаю, что рано или поздно появится открытая микроядерная secure by design ОС, что посягнёт на место Linux на user-facing системах.
> Это должно быть решено на фундаментальном уровне.Android — это пример того, как Linux можно следать гораздо безопаснее.
На телефоне тот же номер что прописан в банке? Если да - то очередной вектор атаки. Спите спокойно:)
Когда в юзерспейс системы уже внедрен вредоносный код для слежки, не важно чем ты пользуешься.
>не пользуюсь никакими приложениями на телефоне, кроме банковскихТелефон-это первое, через что утекут твои деньги и персональные данные. С твоим компом им повозиться придется дольше.
>>не пользуюсь никакими приложениями на телефоне, кроме банковских
> Телефон-это первое, через что утекут твои деньги и персональные данные. С твоимхотел написать что вообще-то последнее, но тут вылез чувак с помойко-сторамИ - даже не одним.
Так что у таких - да, первое. А так - могу дать погонять телефон. Денег там копейки, но что утечет - все твое. Нет, какой еще пин. Сам подбери. Не можешь - отдавай мобило обратно, следущщий! И да, рута нет, дебаг выключен.> компом им повозиться придется дольше.
В компе ВНЕЗАПНО по умолчанию нулевая защита программ, запущенных от одного и того же юзера друг от друга. Никаких тебе индивидуально выдаваемых разрешений на коннекты к 127.0.0.1 у них нет. Более того, есть дебаг апи, позволяющие спокойно гулять по чужой памяти (потому что предполагается что ты не запускаешь троянцев...ой?!!)
Нет никаких защитных апи типа того на которое нарвался недавно ownloud - любая программа ПО УМОЛЧАНИЮ, кто бы мог подумать, может прочитать любой файл на диске который можешь прочитать ты сам. Потому что это ТВОИ файлы и тво...ой...не совсем твоя программа.
Даже защита внутри одного и того же браузера (Браузера, а не подделок бесполезных) и то надежнее. (например, куки private session таки изолированы от профиля, для чего яндекс-шпиону и понадобились троянские вставки в такси и картах)
>В компе ВНЕЗАПНО по умолчанию нулевая защита...Комп, внезапно, не подключен у тырнету, пока не подключишь. Мобильник-только если симки нет, а это редкость.
> хотел написать что вообще-то последнее, но тут вылез чувак с помойко-сторамИ -
> даже не одним.
> Так что у таких - да, первое. А так - могу дать
> погонять телефон. Денег там копейки, но что утечет - все твое.
> Нет, какой еще пин. Сам подбери. Не можешь - отдавай мобило
> обратно, следущщий! И да, рута нет, дебаг выключен.Ох уж эти примеры. Напоминают "отсканируй мой паспорт и попробуй на меня что-нибудь оформить - не получится". Если у вас не приходит в голову как можно это сделать или как можно воспользоваться вашими данными, то это не значит, что нет людей, которые в этом лучше вас разбираются. Если вы не умеете вскрывать двери от застройщика за 5 минут, то значит ли это, что другие этого не смогут?
>Телефон только для банкингаТвой телефон это открытая книга, ведя с него банкинг и привязывая карты это фактически, как на кредитку поставить кучу стороннего софта. У тебя ещё и двухфакторка ... с этого же телефона? :-))) Диванные безопасники.
На телефоне... кроме банковских... Это уже смартфон = дыра. Начиная от железа и заканчивая ПО.
Яндекс опять спалился на слежке) Прям подолжение сериала :)
Так ни одна другая достаточно крупная корпорация не отличается.
Ну да, это вам не Макрософак со своим Эджем. Вперёд товарищи на окнас с эджем
Людоедов уличили в том, что они ели людей. Вот это сюрприз (нет)!
Одни хотя бы признали:
>После раскрытия результатов исследования компания Meta удалила из скриптов Facebook Pixel отправку запросов на localhost.Впрочем контора американская, и проблема их граждан.
Только вот данные они собирали со всех.
Да ты что Яндекс за мной в замочную скважину подсматривал на кухне. Отошёл на минутку, а куска колбасы нет!
От этого может помощь неплохой аддон jshelter он может блокировать запросы с сетевым портам из javascripta.
Как же надоели эти советы с костылями на изначально костыльную *ерь, называемую испольнение на стороне клиента.
интересно, а ublock предотвращает такое поведение?
если включишь лист Block Outsider Intrusion into LAN
AdBlock в пору уже свой бравузер запилить, популярность была бы наверное не ниже хрома.
Хозяин интернета его отманифест по самые помидоры и это восприняли бы за одно как прогресс и борьбу за правильные идеалы.
Браузер уже есть firefox и в нём даже второй манифест работает
Так и в ЯБ работает,но пугают тем, что отключат когда-нибудь и не все списки от Адгуард там можно обновить. Дропают мал по малу,пока в виде неудобства,а потом прикроют лавочку. Кто сможет пропетлять вообще останутся только с Опеннет как у пользователей Линкс.
как uBlock должен предотвратить установленные в систему шпионы, юзающие эксплоиты ОС?
https://chromewebstore.google.com/detail/ublock-origin-lite/...
https://www.opennet.dev/openforum/vsluhforumID3/137016.html#229
Ну надо же, какая неожиданность (нет). Они бы ещё для полного смеха уличили бы гугл в слежке на андройдах. Нуно осознать, что смартфоны это открытая книга и расслабиться. Не надо ими пользоваться для передачи конфиденциальной инфы, не надо привязывать кредитки к смартфону и т.д. и т.п..
Просто не бери кредиты. Тогда у тебя не будет кредиток. Нечего привязывать. Профит!
Без карты ты даже ни в одном интернет магазине ничего не купишь...
Наличные то они почему-то не берутс.
На wildberries купишь. И еду с доставкой тоже купишь. Исключения есть.
Но без номера телефона все равно не получится.
Не все местные понимают разницу между кредитной и дебетовой картой. Профит!
Для тебя будет откровением, кто без кредитки даже машину в прокат не возьмёшь в какой-нить гейропе и т.п. вещи. Кредитка она внезапно, далеко не только (вернее уже давно не для) получения кредитов. С добрым утром.
На сколько я понимаю, это только в США так. Как вы выразились, в гейропе до сих пор наличка в ходу, а продавцы даже от дебетовой карты нос воротят. Машина в прокат берется легко с помощью дебетовой карты или просто заплатив наличными. Да, я тут живу и точно это знаю.P.S. для прикола как-нить попробуй в Кипре оплатить кредиткой проезд в автобусе, много нового о себе узнаешь.
Вот прикольные вы люди, разваливающиеся машины от греческого ашота за наличку это "взять легко"? Вы хоть в курсах для чего и почему кредитки требуют за такие и другие вещи? И почему по другому ты могёшь только держать пару машин и уходить от налогов беря наличку? У одного телефоны безопасные, у другого "легко". "Фантазирующие жители гейропы".
Я не знаю что ты тут сам нафантазировал житель не-гейропы. Однако я действительно не понимаю почему у тебя "легко" в кавычках, когда речь идёт о дебетовой карте, будто это чем-то отличается от кредитной. А во-вторых, как наличка и уход от налогов связаны я хз - платишь наличкой, тебе всегда выдают чек.
> Я не знаю что ты тут сам нафантазировал житель не-гейропы. Однако я
> действительно не понимаю почему у тебя "легко" в кавычках, когда речь
> идёт о дебетовой карте, будто это чем-то отличается от кредитной.вот и не понимай дальше. Как из лагеря для бешенцев тебе разрешат дальше чем на сто метров выходить - узнаешь.
Наличкой он в европе платит... Единственные места где я за двадцать лет платил наличкой - какие-нибудь автоматы по продаже воды в аэропортах. (А, ну еще дойчебан, они "особенные". Впрочем, это как раз инфа 20летней давности, полагаю и они уже давно научились хотя бы в mastercard)
> во-вторых, как наличка и уход от налогов связаны я хз -
ну просто персонаж с совершенно незамутненным сознанием.
> Единственные места где я за двадцать лет платил наличкойДаже страшно представить, где ж ты в европах путешествовал)
Скандинавия (копенгаген, осло) запросто платил наличкой.
Причем как в магазинах, так и покупка билетов на паром и даже на самолет (но там рианэир, перелет дешевле чем поесть в нормальной харчевне)Чехия, Венгрия, Германия - тоже нигде не говорили "у нас только карта".
На крупные купюры делали козлиную морду, но наверное жадность побеждала))
> Даже страшно представить, где ж ты в европах путешествовал)практически везде. Заплатить наличкой в ларьке с пирожками ты можешь в любой стране.
Просто мне оно низачем не надо, чемодан нала с собой таскать. Как-то вот за все время ни разу не попалось мест где не было бы терминала.А вот арендовать машину в любой нормальной а не у турка-нелегала конторе - хрена с два (и нужна кредитка или хотя бы бин кредитки... только во втором случае можно не обрадоваться результату).
Забронировать отель - ну разьве что только совсем в странных местах - когда-то на Корсике потребовали аж "почтовый перевод", но даже там это был исключительный случай где-то в глуши.
Купить авиабилет - тоже далеко не везде получится за нал.Общение с государственными органами - если ты таки выпустился из уежи...убежища? а, не, все правильно - пошлины, налоги и т д - тоже только картой, кассовых аппаратов не завезли им.
Крупные купюры (причем часто "крупной" кажется аж 50 евро) тоже только в криминальном квартале после захода солнца, ну или в большом супермаркете при покупке на большую сумму - но тоже могут посмотреть криво.
> практически везде. Заплатить наличкой в ларьке с пирожками ты можешь в любой
> стране.
> Просто мне оно низачем не надо, чемодан нала с собой таскать. Как-то
> вот за все время ни разу не попалось мест где не
> было бы терминала.Тогда не удивляйся, но ты приближаешь своими действиями отказ государства от наличных, т.е. ты забиваешь гвоздь в свободу общества, и, в частности, индивида. Если все операции будут через карту, то это мало того, что ограничивает свободу, т.к. все деньги будут у банков, т.е. у государства, так это все еще будет облагаться налогами, в т.ч. продажа банка огурцов знакомому.
Ну и, разумеется, государство будет полностью знать о финансовых интересах каждого индивида. Дальше не нужно объяснять?
опять носители шапочек из фольги...Не хотел бы тебя огорчать, но деньги и так... даже не у банков. Они у государства. Потому что то что ты называешь деньгами - это государственные обязательства (причем обязаны они примерно ничего). По сути это долговая расписка. Не очень надежного должника, но как-то так получилось что мы не очень хотим оперировать золотыми слитками при каждой оплате.
> так это все еще будет облагаться налогами
ты не поверишь, но если в государстве принято платить налоги - их таки принято - платить. Даже с продажи за нал. А обманывать - не принято, и налоговые декларации большинство людей, о ужас, заполняют честно. И если банок с огурцами становится слишком много - приходится их учитывать и отчитываться об успехах огуречного бизнеса.
> Ну и, разумеется, государство будет полностью знать о финансовых интересах каждого
> индивида.понятие банковской тайны, неожиданно, совершенно ортогонально использованию конкретных платежных средств.
(и внезапно, у денежных купюр существуют номера)Где-то государство не лезет сверх меры в эту самую банковскую тайну, и знает о твоих платежах только банк (и в общем-то только то что ему рассказал продавец). Где-то просят на кассе паспорт.
> опять носители шапочек из фольги...История учит, что как-то так выходит, что носители шапочек из фольги обычно оказываются правы. Иногда даже архивы рассекречивают спустя десятки лет, а иногда и спустя 200 лет не все рассекречено (например, некоторые английские архивы времен наполеоновских войн, есть там какие-то настолько вонючие тайны, что сэры даже сейчас не хотят раскрыть публике)
> Как из лагеря для бешенцев тебе разрешат дальше чем на сто метров выходить - узнаешьЯ не беженец, а уехал по приглашению компании, которая сделала все въездные визы и разрешение на работу.
> продавцы даже от дебетовой карты нос воротят.Ты видимо в какой-то не той гейропе живешь.
Давеча у меня приняли карту используя телефон в качестве терминала => и такое уже докатилось, с местными то регуляциями.
Каршеринги - ну открой sixt тот же, смотри сам че они хотят.
А если ты опыт кипра и какого то дяди ашота, который свою машину в аренду сдает, пытаешься на усю европу натянуть, ну... грустно быть тобой
Я не говорил, что тут не принимают карты, более того я везде плачу картой. Я говорил, что здесь предпочитают наличку (особенно местные).
Так по дебетовой карте мне дадут машинку в гейропе? Ну, окей, я скажу им "банковская карта", они поймут?
Ни один грамотный сотрудник банка не назовёт банковскую карту кредитной, если на ней нет кредита. А как там васяны их называют.. ну, что с них взять. С добрым утром.
> Так по дебетовой карте мне дадут машинку в гейропе?как повезет. Могут не дать если бин дебетовый (например европейская именно дебитка)
Могут дать и рад ты _не_будешь_.> Ну, окей, я скажу им "банковская карта", они поймут?
они-то поймут, только система проверяет что это кредитка. Может облажаться, но тут еще неизвестно, кому повезло.
> Ни один грамотный сотрудник банка не назовёт банковскую карту кредитной, если на
> ней нет кредита. А как там васяны их называют.. ну, чтопривет тебе из стран где нет вовсе дебетовых карт или есть только для гастарбайтеров и сомнительных личностей (причем и они зачастую на самом деле кредитные просто с околонулевым лимитом и ежедневным биллингом).
> с них взять. С добрым утром.
С добрым утром. Страной самой-лучшей-в-мире-доставки мир не исчерпывается.
ВНЕЗАПНО, карты были изобретены именно кредитными. Интересно, догадаешься ли ты - почему именно так?
Проверка по бинам это нерабочая хрень. Банк на изичах может выдать карту с кредитным бином без собственно кредита
> Проверка по бинам это нерабочая хрень.смотря для кого. Для неудачника-бешенца с именно дебетовкой - рабочая, и он не рад. С другой стороны, зачем ему машина, за бесплатным супом можно и пешком дойти.
> Банк на изичах может выдать карту с кредитным бином без собственно кредита
а это уже снова проблема того кому выдали.
> не надо привязывать кредитки к смартфонуИ почему же не надо? Как раз надо, это весьма удобно и снимает с тебя значительную часть ответственности. Если ты пробакланил кредитку потому что на стрёмном сайте заказывал непойми какую контрабанду, банк может и отказаться возмещать ущерб или его значительную часть без официального заявления в полицию о мошенничестве. Эта процедура может занять год. В случае с картой на телефоне, Гуглпей или Эпплпей тихо возместит ущерб, а дальнейшие разговоры будут между ними и их страховым агентом.
Как вы там живёте? В эльфийских лесных дебрях? Где добрые гуглы и эплы спешат со всех ног возместить тебе ущерб. :D :D :D У тебя ещё, наверно, и подтверждение переводов и платежей завязанно на этот же телефон - банковское приложение и подтверждение в одном устройсте, ведь это удобно. Т.е. потеря телефона это, как потеря кредитки с прикреплённым паролем. Но понятно, что гугл прибежит и всё возместит - смешные вы. Только почему-то что в гейропе, что у нас всё завалено заявами в ментовку по поводу кражи денег со счетов. Но понятное гугл уже бежит всем всё возмещать. :D :D :D
> В случае с картой на телефоне, Гуглпей или Эпплпей тихо возместит ущерб, а дальнейшие разговоры будут между ними и их страховым агентом.Что-то какая-то фантастика, граничащая с бредом.
Вы недооцениваете количество и изощрённость слежки современных коммерческих корпораций. Даже файрфокс за вами следит и отправляет всякую ерунду на свои серверы например от каких сайтов пароли вы сохраняеете. А ещё один челоек свеже установленную Убунту ставил и 24 часа записывал трафик и там нашлись довольно подозрительные вещи.
В текущем мире каким-бы пароноиком вы нибыли вы всё равно недооцениваете реальность...
>количество и изощрённость слежкиВсё так, главное к кому эти данные попадут.
Лучше бы они оставались только лишь на месте...
Это как оставить кран открытым или не до конца закрытым. В первом случае будет потоп, в последнем можешь особо не переживать. По деньгам и последствиям первое серьёзнее.
А параноиком, даже твой сосед может настучать, что собственно происходит во множестве стран.
Локальный прокси-сервер, избегать регистраций, фальшивить личные данные, реже пользоваться (либо поставил, попользовался, удалил), использовать закладки или PWA вместо приложений, вычищать автоматической чистилкой локальные данные, облака на флешку (тут придётся познать смысл термина минимализм). Всё не перекроешь, но ограничить можно. Вопрос лени.
> даже твой сосед может настучатьУх, повеяло блатняком под гитарку, беломорканалом, несменяемой неделями майкой-алкоголичкой, домино под портвешок, понятиями, общестенной баней (а после бани — сам бог велел), поучениями салапетов как жизнь устроена, синими наколками с голыми женщинами, звёздамин а коленях, пьяными спорами, дракой, и уставшим от жары и алкашни участковым.
Весь запад стучит друг на друга в полицию, если у тебя нет купленной лицензии на строительные работы в собственном домовладении.
И правильно делает: жильё - для жилья, а не строительных работ тебя такого красивого с перфоратором в выходной.
>А ещё один челоек свеже установленную Убунту ставил и 24 часа записывал трафик и там нашлись довольно подозрительные вещи.Хозяйке на заметку.
Убуту не использовать.
> Вы недооцениваете количество и изощрённость слежки современных коммерческих корпораций.
> Даже файрфокс за вами следит и отправляет всякую ерунду на свои
> серверы например от каких сайтов пароли вы сохраняеете.Во-первых, не надо сохранять пароли, во-вторых, нужно использовать браузер отдельным пользователем (да, современный JS-веб такой), сделать много настроек в браузере (где-то валялось на гитхаб: ищите).
> А ещё один
> челоек свеже установленную Убунту ставил и 24 часа записывал трафик и
> там нашлись довольно подозрительные вещи.Не нужно использовать это копроративное поделие. Это как копаться в г*вн* и пытаться найти полезные ингредиенты для употребления в пищу.
> В текущем мире каким-бы пароноиком вы нибыли вы всё равно недооцениваете
> реальность...Если хранение паролей в браузере и использование Ubuntu - это паранойа, то тогда у меня для вас однозначные новости.
> После раскрытия результатов исследования компания Meta удалила из скриптов Facebook Pixel отправку запросов на localhost.И все? Ни миллиардных штрафов, ни показательной кастрации Цукерберга?
На 8 год "зоркий глаз" заметил...А до того никого не смущало что запускаешь любое приложение яндекса и в процессах появляется "яндекс метрика".
И оно там висит - а зачем оно мне надо?
И ведь оно так настойчиво висело, прямо как троян какой...
Касательно ФБ и прочих бигкорпов - а ничего что они деньги в самсунг вагонами завозят за то чтобы их нафиг ненужные приложения становились системными и не удаляемыми, а за два вагона денег - ещё и не отключаемыми.
Это просто так наверное было, типа вагоны с деньгами лишние были, места на парковке уже не было и оплатить парковку вагонов с деньгами было жалко денег...
Да да.И чото исследователи похоже даже манифесты в тех же самсунгах не смотрели, а там чего то тому же пёсбуку даются всякие пермишены на грани добра: типа разрешено смотреть список запущенных процессов....
> на сайт yandexmetrica.com, доменное имя которого резолвилось в IP-адрес 127.0.0.1Хотел было забанить на локальном DNS сервере, потом вспомнил что всякие DNS rebind крутилки обычно включены. У того же dnsmasq оно есть, хз может некоторые вендоры роутероутеров из коробки это активируют.
Остаётся только посочувствовать людям, кому приходится держать:
> приложения для Android, такие как Facebook, Instagram, Yandex Maps, Yandex Navigator, Yandex Search, Yandex Go: Taxi Food и Yandex Browserу себя в мобиле.
Понимаю в РФ выбора уже нет, проще выйти на улицу без документов чем без мобилы вот с этим.
Начал про Самсунг, который вроде глобальный, а закончил почему-то сочувствием жителям РФ
Вот именно по этому я и сижу на лисе с uBlock, где в опциях есть блокировка localhost. Ну и я уже не говорю о том, что Yandex Virus я себе ни под каким предлогом никогда не установлю.
А Мордакигу и Инсту?
Я чет упустил, они уже новый продукт выпустили? Где скачать этот антивирус?
>Мобильные приложения запускали отдельные обработчики соединений на локальном сетевом интерфейсе (127.0.0.1),
>Компании Facebook и Yandex воспользовались тем, что платформа Android не ограничивает создание слушающих сокетов в привязке к интерфейсу loopbackНе платформа "Андроид", а браузер от гулага. И вообще: меня лично не затронуло. Потому что у меня стоит umatrix (где такие трюки блокируются по-умолчанию), и потому что я сервисами на лопате (это не никнейм смартфона, а отсылка к инциденту с блинами) не пользуюсь (пользовался бы - подобные соединения были бы обнаружены).
Вангую: теперь коммуникация будет через канал на кеше CPU.
Пишите аналоговыми двоичными кодами теперь сюда. Как в последних околоЗВ.
Вроде-бы что то такое уже было
Ну и конечно это муть про мобильные платформы, где мутят любую "безопасность", но только не разрешение отрубить проге интернет.
Используем контейнеры и будет безопасность.
Вырубать интернет прогам, которые заточены на работу в интернете - браво)
Ах да — прогам можно запретить трафик wifi\ мобильный, с коробки, уже очень давно.
Контейнеры... Безопасность... Это уже полное непонимание как это работает. Контейнеры у него безопасными стали, что невозможно по самой их природе, потому что они обладают тьюринг-полнотой.
В Android 16 завезли возможность закрывать приложению доступ к сети. Как я понял, это сейчас опционально, и работает только на тех приложениях, которые явно указали поддержку этого флага.В GrapheneOS этот переключатель доступен давно (вероятно, разработчики Android взяли идею отсюда), и работает на любых приложениях. Более того, запланировано введение поддержки запретов для loopback и интернета отдельно.
Первый запуск программы. Разрешения. "Разрешить программе доступ к..." Разрешить Инсте доступ к сети? Нет, конечно же! И так далее.
Я это уже давно на себе испытал. Когда-то на Андроиде в Яндекс Браузере щёлкнул по рекламе женского нижнего белья. И всё, как ни пытался удалять куки и кэш, а сайты всё равно показывают рекламу нижнего белья.
И что же в этом плохого? Я, например, обожаю женское нижнее бельё. В основном, определённого рода, конечно. Но время от времени удаётся его на кого-то надеть. Это же замечательно!
Зачем такие сложности? Просто накрывай подушкой
Ни разу не видел релевантной мне рекламы. Только то, что меня не интересует.
Вы очевидно минималист и на вас вообще никакая реклама не действует. Учитывая,что даже борец с луддиизмом - Ипоня до сих пор включает свой десятилетний комп помимо огрызка тех же лет,то вы в своей среде находитесь. Продаваны таких не любят.
А что тут такого? Если вы не ставить фаерфокс с расширениями для обеспечения безопасности, то естественно, что с вами это будут делать. Альтернативный движок просто обязателен, для существования таких дополнений как umatrix, ublock origin, и так далее.
Яндекс единственный браузер под Linux, который при установке, а также при обновлении прописывается в автозапуск, создаёт ярлык в /etc/xdg/autostart. При втором запуске сам устанавливает галочку работать в фоновом режиме. В случае обнаружения Яндекс браузера на компьютере его следует немедленно удалить.
Ну бывает и хуже. Есть же телега, которая назойливо просит права на то, чтобы позвонить, чтобы подтвердить регистрацию, а потом долго пытается изобразить вам, что есть какие то проблемы с кодом из смс, так что надо вот именно позвонить. Расчет на лохов, которые потом не догадаются эти права отобрать.А про яндекс мы все и так знаем. Распространяется как вирус, прописывается в автозапуск на винде и потом слушает микрофон через легаси апи, т.к. там нельзя права отобрать на это, не отняв их у всех остальных прог.
А это ещё русская компания или нет?
Ну, с телегой то есть нюанс в том что есть FOSS-версия клиента, которому доверия чуть больше
Как хорошо в убунте/дебиане - любой пакет может себя куда угодно прописать.
Щёл 2025 год, линух до сих пор не выделил по аналогии с ведроидом раздел /data для установки туда сторонних приложений. Ну да, это тебе не вейланд пилить по одной строчке в год, тут нужно архитектуру с нуля продумывать и решать проблемы с совместимостью.
Ну есть /opt. А для модников докеры, снапы и флатпаки
Сейчас бы в ядре (ты же сам сказал линух) такой ерундой заниматься как директория для сторонних приложений. Можно прям в драйвер файловой системы запихнуть, ага.
В любом Linux дистрибутиве любой пакет может прописать себя куда угодно, так как делает это не сам пакет, а менеджер пакетов (apt, dnf или что там есть). Менеджер пакетов может делать что угодно, разбрасывает файлы как указано в deb или rpm файле.
Если собирать докер контейнер, то просто так браузер из докера не вылезет. В NixOS любой пакет можно относительно просто тоже засунуть в контейнер. Тут как раз вопрос в том, что в мейнстримных дистрах никто не пытается никак усилить безопасность, а разработчики, в силу их извесности, очень любят что-то вставлять.
Безопасность настольных систем на Linux фундаментально сломана.Flatpak, Snap и тому подобное не сильно-то и помогает.
То есть тебя не смущает, что браузер в 2025 спокойно прописывается в /etc? Может он ещё в /etc/passwd пропишется? С какого перепуга установщик в 2025 вообще требует рут права для установки? Безопасность линуха примерно как у винды хp, куда хочу туда и прописываюсь. Почему в ведроиде не требуется рут доступ для установки сторонних приложений?
А вы чего от Андроида хотели? В Линукс он в /opt тихо сидит и ругается каждый раз, что не по умолчанию. Даже этого без рута не сделать.
Это конечно очень серьёзный вопрос, действительно, ничто не мешает менеджеру пакетов забросить содержимое файла пакета в /etc/passwd. Безопасность держится на доброй воле, разработчики Яндекс браузера это прекрасно демонстрируют. Поэтому Яндекс браузер надо или не устанавливать или удалять.
Зачем настолько топорно прикидываться шлангом?> То есть тебя не смущает, что браузер в 2025 спокойно прописывается в /etc?
Прикинь, я из-под root'а могу выполнить `rm /etc/passwd', и это сработает. Всё, у линукса безопасность на уровне win3.11 for workstations.
Установщику нужен рут чтоб установить софт за пределами $HOME. А тебя не смущает, что для того чтобы поправить конфиг grub'а, нужен рут? Если хочешь ставить пакеты не из-под рута, то ставь себе в хомяк, в чем проблема?
P.S. и причем тут вообще линукс и твои сраные установщики? Покажи мне на git.kernel.org в какой подсистеме эти установщики часть ядра ?
> Установщику нужен рут чтоб установить софт за пределами $HOMEНапомни, зачем вообще ему это делать?
Потому что ты его запустил из-под su/sudo и сказал именно это сделать.
> Яндекс единственный браузер под Linux, который при установке, а также при обновлении
> прописывается в автозапуск, создаёт ярлык в /etc/xdg/autostart. При втором запуске сам
> устанавливает галочку работать в фоновом режиме. В случае обнаружения Яндекс браузера
> на компьютере его следует немедленно удалить....антивырусом Касперского, конечно. Он дорозавьет идею - и пропишет себя руткитом на уровне ядра. Кто сказал что ваш компьютер не может быть плацдармом? :)
Кто вообще в своём уме ставит ябеду на линукс? Всякий раз, когда я видел, чтобы кто-то ставил на линукс ябеду, я понимал, что человек на линуксе проездом и скоро уйдёт назад.
Благо, в Android завозят поддержку виртуализации (в основном, Google Pixel и Samsung). Вполне возможно, будет поддержка виртуализации Android, а не только Linux.В GrapheneOS поддержка виртуальных машин для приватности/безопасности должна быть лучше.
Больше всего негодования у меня даже не к Яндексу или Мете, а к владельцам сайтов, которые размещают эти трекеры. Когда нажимаешь на кнопку юблока и видишь кучу заблокированного мусора, сразу понимаешь, какое у разработчиков сайта отношение к своим пользователям.
В точку, но только сайты без этих трекеров почти и не найдёшь, постараться нужно.
Очень правильные слова, только вряд ли ты понял их истинное значение: сайты без трекера ты именно что НЕ НАЙДЕШЬ. Потому что яндекс засунет их в самую задницу поиска.Хочешь чтоб твой сайтик нашли - ставь метрику!
Кто в своём уме вообще ищет через яндекс?
Практически каждый западный заказчик требует телеметрию на свой сайт от Макрософака или Гулага. И кроме того, если хочешь чтобы в самом популярной поисковой системе твой сайт находили не на 10 странице - придется пользоваться бесплатно. Монополия на такую информацию им позволяет обладать информацией, которую спокойно можно использовать для весьма разных целей. Так-что пользователи могли бы и сами задуматься что непосредственно на это влияют. Вы же не будете мне рассказывать что не пользуетесь поиском Гугл?
>если хочешь чтобы в самом популярной поисковой системе твой сайт находили не на 10 странице - придется пользоваться бесплатноЧревато class action lawsuit.
Не точно, но предполагаю, что с Google аналитикой при ранжировании начинает учитываться популярность страницы. Но не это главное, с Google аналитикой новые материалы начинают появляться в поисковой выдаче спустя считанные минуты после публикации (бот сразу приходит индексировать страницу, которая впервые засветилась в Google аналитике), а без - через дни или недели.
Просто напомню:
Аркадий Волож заявил в интервью Bloomberg, что после отъезда из России удалил со своего телефона все приложения «Яндекса»
(пруфы дол... ищут - сами!)Санкции с этого... израильского бизнесмэна казахского происхождения - сняты, а денежки от продажи (а не отдачи, как скажем у запрещенного-олега) бизнеса на тотальной слежке - переведены в юани и уплыли через Китай в Амстердам (попробуй ты, васян, что-то подобное провернуть - тебе заблокируют счета от Китая до Амстердама, и скажи спасибо если останется зарплатная карточка в сбере. Но вернуть свои бабки ты никогда уже не сможешь.)
кстати, а я ж правильно помню, что "кинопоиск" это теперь тоже яндекс?
Да, очень давно.
Ага и открывается он с редиректом на авторизацию в куяндексе, и прочими их капчами.
Я ничего против КП не имел но пользоватся им теперь даже чтобы прочитать 3 строчки о кине не могу.
> Я ничего против КП не имелСейчас заимеешь: https://x.com/SolominaTatiana/status/1929941529230995816
(извинити товарищмаёр за запрещенные сайты, но это даже для вашей уважаемой Конторы по-моему пока перебор)
Разумеется, наш казахский непричемыш совершенно непричем. Денежки из юаней переведены в нормальные запрещенные евры, и теперь их неотличить от денежек белых людей.
Говорю же мне на КП пофиг, я туда всегда из поиска попадал чтобы почитать про кино.
В начале они капчей завесились, а теперь редиректом, я же давно все домены яндекса поблочил и на редиректе оно дохнет потому что открыть не может чтобы средиректить обратно.Со стороны уже вполне можно сказать что цифровой гуглаг построен: вк+телега+яндекс - все там и всех трекают по полной. А если ты не там - то считай что ты сам себе обнулил соц рейтинг и сервисы тебе не доступны.
> Сейчас заимеешь: https://x.com/SolominaTatiana/status/1929941529230995816(извинити товарищмаёр за запрещенные сайты, но это даже для вашей уважаемой Конторы по-моему пока перебор)
И что ты пытался сказать? По ссылке ничего нет, кроме обещания что-то рассказать про цензуру. Но только обещания.
> И что ты пытался сказать? По ссылке ничего нетэксперт 0п3нн3та не умеет открыть тред?
Ну следовало ожидать.> рассказать про цензуру. Но только обещания.
ну конечно.
Через каждые 3 поисковых запроса ян декс выставляет капчу, она вам тоже не надоела?
Я заблочил дома домены яндекса где то в 2023 году, так что нет, не надоедает :)
Из дома выходить пробовали?
Ага, я как Форрест Гамп - однаждый уехал в отпуск за границу и не вернулся.
Тут от куяндекса только такси, одно из трёх - так что я легко без него обхожусь.
Карты у меня всегда были от OSM.
Так что есть куяндекс или его нет - даже лучше.
Это в какой стране кроме РФ яндекс на такси катает? Я живу в Кипре с 2022г, тут кроме Uber и каких-то каршерингов типа InDrive ничего не видел.
ну так не живи в ...(хм, первая же ссылка в запрещенных поисковиках говорит что нет на кипре никакого убера)
чемодан, вокзал, тель-авив - вот тебе yango, и лететь от тебя всего пол-часика. (Говорят что там он уже успешно успел любимое дело - выдавить демпингом всех конкурентов вместе с адекватными водителями. Остались нелегалы-гастарбайтеры-кидалы.)
Ну или в Абу-Даби если тебе с теми чуваками в юбках веселее.
Фины позапрещали-позапрещали сливать данные о своих гражданах в бездонные закрома - а потом плюнули и рукой махнули - деньги казахского бизнесмена не пахнут же ж. Тем более он - мамой клянется - не сливает в РФ. Ни один байтик не пересекает финскую границу с РФ! Напрямую. А только и исключительно через прокладку в нидерландах! Вроде и с норвегами такая же фигня.
Пардон, перепутал с Bolt. Uber я тут и правда не видел.
присутствует в тбилиси, баку, стамбуле
> Через каждые 3 поисковых запроса ян декс выставляет капчу, она вам тоже
> не надоела?ты у меня - допереключаешься!
>кстати, а я ж правильно помню, что "кинопоиск" это теперь тоже яндекс?А яп равильно помню, что все ресурсы находящиеся на территории России, подконтрольны спецслужбам России.
> Аркадий Волож заявил в интервью Bloomberg, что после отъезда из России удалил
> со своего телефона все приложения «Яндекса»Как бы он догадыватся как вся эта спайварина работает, зачем же ему ходить с трекером который сам и взрастил? Чтобы ему за "отъезд из россии" было проще и дешевле насыпать чтоли? :)
Хотя вот этого не жалко будет. Если кто сам создал п-ц и сам пал от него - чтож, справедливость восторжествовала и отлилось наконец правильному персонажу. Так что вот этот сочувствия не дождется.
Тю,выслуживается и прикидывается идеологически правильным, а может быть там Яндекс такси не вызвать.
> Тю,выслуживается и прикидывается идеологически правильным, а может быть там Яндекс такси
> не вызвать.Мне кажется, что он удалив программы - и на яндекс такси не ездит, конечно. От греха. Учитывая в чьих лапах сейчас яндекс - там могут и со зла насыпать, и не со зла данные продолбать оптом - кому попало - ибо после всей той истории наверняка пойдет внутренняя технологическая деградация компании и ее управления.
> Мне кажется, что он удалив программы - и на яндекс такси не
> ездит, конечно. От греха. Учитывая в чьих лапах сейчас яндекс -конечно, ну зачем ему такси когда персональный водитель есть.
Не осталось ли у него при этом ЕЩЕ и лапы в ТОМ самом яндексе - наукой не установлено.Но история с юанями как бы намекает...
Я использую Яндекс.Браузер каждый день. Отличный браузер. Функция синхронного многоголосого перевода видео на ютубе подкупает. А уж сколько времени мне он экономит, благодаря тому, что может выдавать краткое содержание видео! Я уже молчу про вшитые алгоритмы шифрования ГОСТ, благодаря чему я могу пользоваться всякого рода брелоками для работы с госорганами! Ну и приятно, что подумали о мелочах. Когда заходишь на "неприличный" сайт -- браузер сам активирует режим Инкогнито, так что о чистке истории браузера можно больше не беспокоиться! Ну и под капотом -- это тот же самый Chrome, так что рендерится всё всегда идеально: запиленное для Chrome точно так же работает и в Yandex.Browser, полная совместимость. =)
> Функция синхронного многоголосого перевода видео на ютубе подкупает.К счастью, для использования этого сервиса не требуется какой-то конкретный проприетарный браузер. Есть свободный скрипт под любой браузер, куда установится расширение Tamper Monkey (под Android это Firefox): https://github.com/ilyhalight/voice-over-translation
> А уж сколько времени мне он экономит, благодаря тому, что может выдавать краткое содержание видео!
Очевидно, это тоже не функция самого браузера, и можно её использовать массой способов.
> активирует режим Инкогнито, так что о чистке истории браузера можно больше
> не беспокоиться!И сам же его и снимает вон теми прогами. Но менее явно. Чем радостно подставляет наивного питекантропа, являясь по сути наживкой для майора для ловли на живца.
> Ну и под капотом -- это тот же самый Chrome, так что
...так что шпионит и нашим и вашим, да? :)
Я использую Google Chrome каждый день. Отличный браузер. У него лучший движок для перевода веб-страниц на русский язык. Всякая телеметрия летит не товарищу майору, а за бугор, и фиг чем они с нашими спецслужбами поделятся! Подкупает! А ещё это -- стандарт де-факто, под него все сайты и пилятся, поэтому у меня всё всегда работает идеально. =)
Я использую Uzbl каждый день. Отличный браузер. Можно всё настроить под себя. Управляется чисто с клавиатуры и имеет гибкую систему расширений. Не бывает такого, чтобы что-то нельзя было допилить. Да, надо время потратить на то, чтобы настроить идеально, но оно того стоит! Под капотом там Webkit, как у Safari, а это -- один из двух браузеров, под которые сайты пилятся, так что проблем в основном нет. Немного расстраивает отсутствие мобильной версии, но с этим жить можно. =)
Я использую Safari каждый день. Отличный браузер. Идеально работает в экосистеме Apple, и один из двух браузеров, под которые реально пилятся сайты. Энергопотребление минимальное, что особенно заметно на MacBook, батарея живёт дольше, чем с другими браузерами. Чувствую себя элитарием, потому что Apple! =)
> Я использую Safari каждый день. Отличный браузер. Идеально работает в экосистеме Apple,
> и один из двух браузеров, под которые реально пилятся сайты. Энергопотребление
> минимальное, что особенно заметно на MacBook, батарея живёт дольше, чем с
> другими браузерами. Чувствую себя элитарием, потому что Apple! =)А реально - обычный напыщенный и бесполезный баклан, который пытается примазаться к технологиям к которым не имеет отношения.
Я использую Mozilla Firefox каждый день. Отличный браузер. Настоящий борец за конфиденциальность -- встроенная блокировка трекеров и защита от фингерпринтинга реально работают. Открытый исходный код является огромным плюсом: я уверен, что никто не пихает в браузер скрытую телеметрию. Gecko, может, и не такой популярный, как Chromium, но сайты отображаются корректно, а баги редки. API расширений совместим с Chrome, так что тысячи их! Немного более требовательный к ресурсам, но свобода того стоит! =)
Вот, одобряю :) И Мозиллка ещё участвует в разработке всяких стандартов типа DoH :)
А мне больше интересно посмотреть, какой пост сколько минусов наберёт. По-моему отличный опрос получился. Максимально непредвзятый. Жаль под конец, мало народу уже. =)
> А мне больше интересно посмотреть, какой пост сколько минусов наберёт. По-моему отличный
> опрос получился.Алярма! Уязвимость в комментах Опеннета! Несанкционированные опросы через голосовалки к комментам! Метаяндексу даже и не снилось! :))
Та прекращай. Один медалист свои виртуалки натравил и все.)
> Вот, одобряю :) И Мозиллка ещё участвует в разработке всяких стандартов типа DoH :)Увы, но ты последние новости явно не читал. Потому что они уже даже и в политики подрихтовали - и теперь мало чем лучше хрома и яндекса.
А в целом вся эта клика ведет себя как типичная малварь! При том наиболее наглые и агрессивные ее виды. Вирусы тоже попав в систему - порой вулны патчат. Чтобы конкуренту не досталось. Вот DoH - это из той же серии. Перекрыть кислород конкуренту, и грести профит с аналитики самим, на пару с партнерами. Ибо никакой DoH от телеметрии мозиллы и ее драконовских полисей относительно аддонов ессно не спасет.
Яндекс ведет себя одинаково во всех сферах своей деятельности. Кто там работал или работает, растолкуйте. Там такая корпоративная этика? Премии и повышения за новые паскудные идеи?
Да всем в принципе наплевать на все. Критику лично к себе не относят, потому что всегда найдется кто-то, на кого можно свалить ответственность. Сами лично себя считают душеньками.
> Яндекс ведет себя одинаково во всех сферах своей деятельности. Кто там работал
> или работает, растолкуйте. Там такая корпоративная этика? Премии и повышения за
> новые паскудные идеи?ты интервью Воложа хотя бы в пересказах осилишь сам найти? Какого ЕЩЕ тебе знамения надо-то?! Молнией по балде? Так тоже ж уже было, никто и внимания не обратил... (ой... и капча 00666, как по заказу)
Я правильно понял, что проблема возникает только когда из приложения открывается веб страница и я в этом окне лазию по сайтам? Никогда так не делаю, разве что если ссылка на промо акцию, но там и так надо вводить данные, да и в урле зашит идентификатор. Но дальше в этом окне я никогда не хожу по сайтам.
Нет.
В новости же расписано как оно работает.Приложения этих гадов висят в фоне и слушают соединения на 127.0.0.1, когда ты открываешь что то в браузере там один из линков ведёт на 127.0.0.1 и так они сливают в приложение сайт а в сайт уникальный идент пользователя.
Собственно, то, что зайдя с аккаунтом Яндекса с любого приложения на андройде, ты оказываешься залогиненным на всех, в т.ч. на сайтах того же Я в браузере никого не смущало. А статья про то, как это делается - сразу - фу ...
> Собственно, то, что зайдя с аккаунтом Яндекса с любого приложения на андройде,так тебе ж говорят - не нужен тебе акаунт. Достаточно самого приложения.
Да и private sessions в браузере как-то вот не так должны были бы работать... хотя... кому они там должны...
Неправильно понимаешь.
Нужно соблюдение двух условия: приложениях этих покемонов на телефоне и сайт с фэйсбучной/яндекс-аналитикой на странице. Всё - оно уже уследит за тобой (если не предпринято специальных мер).
И да, браузеру не обязательно быть яндекс-браузер и т.п.
Я эту хрень кстати еще давно понял что что-то не так с яндексовыми приложениями. В общем искал в Яндекс Go определенную информацию (по LTE).Затем через некоторое время уже дома запустил Chrome (ничего не открывал) и сделал в нем сброс истории + очистил пользовательские данные. По Wi-Fi уже.
Запустил Хром чистый. И через предложку гугла открыл новость на 3DNews и тут увидел рекламу яндекса ровно ту которая просочилась через Яндекс Go.
Сейчас они это используют для рекламы, а завтра будут для нужд спецслужб. Думайте.
Про "умных помощников" по типа Алисы и других я вообще молчу, лучше избавьтесь от них. Продайте, подарите.
Доморощенные конспирологи - так работает вся реклама от гуглов, меты и всех остальных и уже лет 15 уж точно. Всё что ты ищешь любмыи каналами продаётся. Это блин основа всего интернета. "Думайте" (с) кл*уны. Думать как-то раньше надо было, сейчас уже поздновато.
Искал довольно специфическую тему, потом открыл виртуалку с туннелированым в неё Tor-ом (в которую белый IP не просачивается). Также чистый профиль браузера. Открываю сайт с мемами и приколами, а там гугл-реклама с именно тем запросом, который я искал.
Где-то слышал, что комп можно идентифицировать на 98% при помощи программы на JavaScript, которая опрашивает оборудование.
Как пример, Precision Timing Fingerprinting.
>Сейчас они это используют для рекламы, а завтра будут для нужд спецслужб. Думайте.Думать должны не мы, а ты. Яндекс с самого начала следит за гражданами, для нужд спецслужб. И для этого тебе не нужно ставить программы Яндекса. Например, если ты пользуешся поисковиком Яндекса - он тебя уже посчитал.
>>Сейчас они это используют для рекламы, а завтра будут для нужд спецслужб. Думайте.
> Думать должны не мы, а ты. Яндекс с самого начала следит за
> гражданами, для нужд спецслужб. И для этого тебе не нужно ставить
> программы Яндекса. Например, если ты пользуешся поисковиком Яндекса - он тебя
> уже посчитал.Я еще в 22 году весь софт яндекса и меилру удалил вместе с аккаунтами. Да и до этого по сути не пользовался. Не ощущаю никакого дискомфорта.
Да ладно, кто бы мог подумать!
И ведь эту мерзость (шпионское ПО) пишут обычные люди, обычные программисты. И им ни капельки не стыдно. Я просто выполнял приказ. Я просто зарабатываю деньги как могу. Если не я, то наймут другого.
А может они этим гордятся ? "Вот как я поиемел анонимуса !!!1111"
Программисты кончились 15 лет назад. Это такие бородатые еще, в свитерах. Или выглядящие как физики-ядерщики из НИИ. С высокими моральными устоями, полученными из огромного количества научной фантастики )))Сейчас это отрасль, обслуживающая маркетологов (барыг и мошенников). Никакой морали нет ни у заказчиков, ни у исполнителей. Цель - деньги. Вопрос если и возникнет, то типа такого, а почему мне должно быть стыдно?
Сам на работе точно ничего такого не делаешь?
Способ отслеживания через WebRTC закрывается через включение политики WebRTC "Disabled non-proxied UDP" или "Default public interface only".В некоторых ориентированных на приватность/безопасность браузерах первое — значение по умолчанию.
В Chromium 137 добавили заплатку для уязвимости, эксплуатируемой Yandex, но пока что только как экспериментальный флаг. Его постепенно вводят в оборот.
И вот тут у меня сложилось в голове "2+2": "интерпрайзынй" firewalld который вслед за шляпой запихнули в свой дистр примерно 80% издателей по умолчанию никак не блокирует исходящий трафик. Вобще. И в документации на сайте шляпы ни слова о том - как это сделать.
фаерджейл может дропнуть инет для аппликухи.
> И вот тут у меня сложилось в голове "2+2":а больше в единственную извилину не поместилось?
> "интерпрайзынй" firewalld который вслед за шляпой запихнули в свой дистр примерно
> 80% издателей по умолчанию никак не блокирует исходящий трафик.а траффик на локалхост (внезапно, если бы ты умел читать новость - ты бы понял что никакого отдельного исходящего траффика в данном случае нет) - вообще никакой файрвол не фильтрует.
> Вобще. И в документации на
> сайте шляпы ни слова о том - как это сделать.потому что ВНЕЗАПНО - если это сделать так как только ты и умеешь - работать вообще ничегошеньки и не будет.
(а так - делается в пару строчек через rich rules, но для этого надо понимать что делаешь, а не героически самому себе @нус заблокировать)
ДАЖЕ в вендепоганой, у которой хотя бы - файрвол, а не пакетный фильтр из прошлого века, умеющий проверить какому конкретно _приложению_ (не "pid" дурацкому и не юзеру!) нужен доступ - outbound rules по умолчанию выключены.
>И ведь эту мерзость (шпионское ПО) пишут обычные люди, обычные программисты. И им ни капельки не стыдно. Я просто выполнял приказ. Я просто зарабатываю деньги как могу. Если не я, то наймут другого.Оправдания этих людей не избавляют их от ответственности. Написал шпионское ПО - ты автоматически вне закона, ты преступник.
> Написал шпионское ПО - ты автоматически вне закона, ты преступник.В каком это государстве? В РФ, США или Европе за шпионское ПО премию дадут и повышение по званию.
Вот для чего требовали установки "российского ПО" на все телефоны, кто бы сомневался...
Нероссийское ПО может быть и недоступным.
Например? Firefox? APK есть на официальном сайте! Chrome есть в Андроиде.
Тьфу,прикинулся шлангом и решил, что никто не заметил?
Это то, чего нужно опасаться в первую очередь, ведь яндекс браузер не имеет своего собственного движка. И поскольку разработка своего движка - дело затратное, то скорее движок появится у какого-нибудь любителя, типа ladybird, чем у яндекса. А яндекс браузер этот факт маскирует.
Переедет на Ледибирд и все. По сути ЯБ и из ФФ можно сделать если без перевода видосиков конечно, а в остальном норм. Всякие Яндекс движки поисковые легко устанавливаются и не видно примитивных сообщений связанных с ограничениями законодательства той страны.
>Переедет на Ледибирд и все.И сразу после этого сайты перестанут открываться.
>По сути ЯБ и из ФФ можно сделатьНельзя. Во-первых лицензия, во-вторых, тогда придётся самим движок делать, либо довольствоваться тем, что даёт апстрим.
Я про пользовательский уровень, а не разработчиков тут умничал.
Лучше всегда удалять, всё что можно удалить в новых телефонах и планшетах!!! Всё поменьше лазеек останется.
Интересно, какой процент трекеров заблокирована ublock origin из коробки? По идее, даже настроек по умолчанию против этого хватит.
Кстати Яндекс это контора которая тырыт технологии из опенсорса и за счет этого и живет, своего ничего нет и небыло и не будет.
Из последнего - первыми ИИ прикрутили,даже хозяин интернета похудел от такого.
Чяго? Кого они прикрутили? Поспешили и людей насмешили. Опять же не отменяет того факта что они просто скрысыли весь стаф и по бырому в продакш, учитывая что этой ненужной никто не пользуется, то и нагрузки нет особо.
И что за хозяин интернета? Если вы про гугл, то они похудели не от яшки, а от OPENAI, хотя щас уже тоже воткнули в поиск и у них в отличии от яшки пользовательская база миллиарды. Не смешно?
В вашем круге общения вероятно не пользуются, а я вот пользуюсь. В ЯБ Нейро появился раньше, а потом уже и эти подтянулись. При чем тут пользовательская база? ИИ заменяет что ли?
> При чем тут пользовательская база?Ну если не понимать, что выпустить проект, который будет обслуживать сотни миллионов человек и проект, который обслуживает сотню тысяч - намного легче, тогда не знаю не причем.
Учитывая какое это все галлюционирующее было и есть. то вообще стоило ли? Чтобы сказать япервый?
Мне перевод видосиков вообще зашел. Вот недавно на Рутубе посмотрел лекцию про квантовый развод в таком переводе и стал очень умным. Всю тему засрал 40 минутами потока сознания из часа с лишнем какого-то профессора из западного универа, в моей интерпретации конечно,но всех победил.)
> Из последнего - первыми ИИ прикрутили,даже хозяин интернета похудел от такого.Другими словами: они не создают инновации, они перепродают интеграцию созданного другими. Они не владельцы ядра технологии.
Увы, те, с кого всё начиналось уже не там да далече. И уже 15 лет назад контора была куда ближе к просто маркетингу с разработкой, и относительно далеко от создания нового.
Прикрутить ИИ или договориться о интеграции с общественным транспортом - нехитрое дело использования API и могут около того, что все. А вот создать своё работающее с большим отрывом лучше других - это совсем про другое и не про то, что было центральным в компании за 10+ лет.
Новое как появляется? Делают то чего другие пока не делали. Баста.
Нет ничего позитивного, в том, что прикрутили плоховато работающий, сырой, не подходящий под потребности продукт. Это ооочень много кто делал, делает и будет делать, но это - старо.Новое появляется у разрабатывающих ИИ код. А они тут не передовики.
Просто бизнесмены и маркетологи, стригущие купоны на сервисах поверх чужих изобретений. Нет стоящей упоминания ценности в прикручивании косолапого продукта к сервису. ИИ на сегодня работает очень ограниченно и специфически. И не они его создают.
Это как с Роса,РедОС и прочими? Я не успел,хотя умел,а потому это кака? Купончиков на всех не хватает. Идеи нужны,а сервисмены найдутся.
> Это как с Роса,РедОС и прочими? Я не успел,хотя умел,а потому это
> кака? Купончиков на всех не хватает. Идеи нужны,а сервисмены найдутся.В РедОСе вообще Yandex Browser выступает в качестве системного WebView Engine. Там зонд уже интегрирован основательно.
Поэтому никаких мобильных приложений. Всё в браузере. Увы и ах.
Поржал сквозь слёзы:> ... развивается второй вариант спецификации - LNA (Local Network Access), для поддержки которой не требуется изменение на стороне устройств и достаточно изменений на стороне сайтов, которым нужен доступ к интранет-ресурсам.
Вебня - гуманитарная помойка.
>Компании Facebook и Yandex воспользовались тем, что платформа Android не ограничивает создание слушающих сокетов в привязке к интерфейсу loopback (127.0.0.1)Я довольно часто дебажил софт на своём основном смартфоне, где помимо всего есть и приложения яндекса. Никогда не замечал открытых сетевых сокетов вообще ни от кого
Категоричность выражения "вообще ни от кого" говорит о многом.Без рутования, или - наоборот в режиме разработки со всеми инструментами. Другие нюансы, затрудняющие пользователю понять происходящее. Начиная с: как много лет тому назад был опыт.
С фридой, запущенной с рутовыми привилегиями через эксплойт, чтобы приложения не чувствовали себя в песочнице из-за adb или рута. Вот в начале мая в последний раз
Специально для таких случаев, в приложухах яндекса есть ряд условий, по которым они выключают прослушивание 127.0.0.1Дебаг - очевидно один из таких случаев. В яндексе работают не очень этичные люди, но они совершенно не дураки.
На работе пофиг, а дома на компе и на смартфоне предпочитаю нейтральные браузеры. На компе в основном Thorium Browser, иногда Waterfox. На смартфоне в основном Луна, иногда DuckduckGo, Waterfox.
Удалили с пояснением: "Вам легче от того что на opennet используется google аналитика?" , Аноним (-), 13:53 , 04-Июн-25 (300)
СКРЫТО Отмодерировано: ASKBOT,mc, Пояснение от mc: клевета, Время: Wed Jun 4 15:53:42 2025Лень перепроверять, в прошлом году видел используется гугл аналитика.
> Лень перепроверять, в прошлом году видел используется гугл аналитика.Если бы вы присмотрелись внимательнее, то заметили бы, что это _закомментированный_ блок.
<!--
<script>
(function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){
...
</script>
-->Этот комментарий на страницах висит с дремучих времён, так как когда-то временами Google Analytics требовался при показе рекламы. Последние года 3-4 он точно не включался. Во времена когда он был активен на приватность он не влиял, так как показывался одновременно с рекламой Google Adsence, что хотел Google через блок Adsence и так получал.
Насколько я помню загружался js скрипт от гугл аналитики.
Вероятно, вы не обратили внимание, что код для загрузки скрипта находится внутри комментария.Посмотрел статистику в интерфейсе Google аналитики, на основном сайте активный код оставался только на странице pda.shtml, которая давно не используется, и на сайте wiki.opennet.ru, который работает в отдельной виртуальной машине и я забыл удалить там код.
В России 4 июня стартовал пилотный проект по мгновенной блокировке сайтов, занимающихся кражей персональных данных граждан.
Думаете яншу заблочат первым? Первый по кражам данных на Руси
Так ведь они не ради граждан блокируют, а ради себя. Яндекс в безопасности.
> Компании Facebook и Yandex воспользовались тем, что платформа Androidне ясно при чём тут андроид если это авторы браузеров разрешают подключения из интернета в локальную сеть
Ну значит надо закрывать возможность слушать на портах за запросом разрешения у пользователя (как это сто лет назад сделано в Windows Firewall). Это будет правильный подход.
Firewall в Linux это редкая прогрпмма самому надо устанавливать. И простые они Огненные стены для Linux запросов не выдвют только блокировать в узком деапазоне.
Так речь про Android, там всё на месте, в том числе и изоляция. Просто какие-то моменты недоизолировали, надеюсь гуголь обратит внимание на исследование и в следующей версии API запретит такое безобразие.
Подозрительно что в новости только про фб и яшу. Заказняк от гугла чтоль?
Во-первых, основная вина тут на Google-е, который не даёт полноценно рулить фаерволом без root-а.
Во-вторых, в статье много красивых картинок, схемок и всего такого, но не освещены очень важные моменты как-то: должно ли быть явно запущено приложение вышеназванных компаний, или оно незаметно для пользователя крутит свой демон-сервис; как со всем эти работают adBlock и аналоги (режут метрики вовремя или уже после того, как всё отработало). В общем, стиль статьи это типичный алармизм и всепропальщина при минимуме полезной информации.
Дополню про вину Google-а: и который вообще придумал лочить загрузчик и блокировать root-учётку в Андроид-устройствах. Если вас сажают в клетку и отбирают ключ — это не для вашей безопасности, это для их безопасности. Новость рассказывает о закономерном результате такого подхода.
Вина того, кто сделал, то, что сделал.И Гугл тут не причём. Даже если Гугл знатно блокировал и урезал возможности карманного компьютера.
> Вина того, кто сделал, то, что сделал.
> И Гугл тут не причём. Даже если Гугл знатно блокировал и урезал
> возможности карманного компьютера./0
> Дополню про вину Google-а: и который вообще придумал лочить загрузчик и блокировать
> root-учётку в Андроид-устройствах. Если вас сажают в клетку и отбирают ключ
> — это не для вашей безопасности, это для их безопасности. Новость
> рассказывает о закономерном результате такого подхода.1. oem unlock есть на всех вменяемых устройствах
2. среднему пользователю нельзя ни в коем случае давать права рута
3. вы можете сделать oem unlock + magisk и превратить ваше устройство в ре шето, потому что любой сможет получить к нему полный доступ.Безопасность не бывает бесплатной.
> 1. oem unlock есть на всех вменяемых устройствахВот только большая часть устройств на рынке, получается, ко вменяемым не относится.
> 2. среднему пользователю нельзя ни в коем случае давать права рута
Но тебе, конечно, можно.
> 3. вы можете сделать oem unlock + magisk и превратить ваше устройство
> в ре шето, потому что любой сможет получить к нему полный
> доступ.А мой ПК с root-учёткой Р Е Ш Е Т О или нет?
P. S. Админы ресурса, вы совсем уже из ума выжили? Р Е Ш Е Т О у вас уже «неприемлемая лексика»? А ну бегом к психиатрам сдаваться!
> А мой ПК с root-учёткой Р Е Ш Е Т О илину если ты имеешь странную привычку скажем КАЖДУЮ программу которую ты лично не написал запускать от отдельного пользователя в отдельном неймспейсе (и я уж не знаю как обеспечивать при этом хоть какое взаимодействие с другим софтом, если программка чуть сложнее /bin/ls) - то... все равно это ненадежнее и слабее защищено чем стоковый ведроидофон.
Вина гугл в том, что не обеспечили достаточной изоляции.
Вина на гугле. который вместо манифест2 продвинул манифест3, где убрали возможность фильтрации.
Мораль: не устанавливай ничего от яндекса –> не будет сливов.
Да и старое - тоже. Т.к. современные приложения иногда состоят только из скачивалки кода приложения в локальный кеш. Для таких разговор про старое новое - разговор про версию скачивалки, а приложение всегда свежак.
Такие техники уже запрещены.
Как и чем? До тех пор пока апп может хоть что-то сохранять в ФС, ничего не запретить. Причём всегда остаётся Хухло-Плэй, как пример крайности самого развитого зонда.Контэйнеризация, изоляция должна быть другой глубины. Да только конечный пользователь для любого большого бизнеса обстоятельство второстепенное, всего лишь последствие основной цели.
Из-за кучки больных параноиков, лепить изоляцию, контэйнеризацию и т.п. без какого либо профита для себя. А потом они скажут, что им и этого недостаточно, и вообще, откройте им весь код для аудита и т.д.
Приложения яндекса предустанавливаются на смартфоны по закону. И скорее всего их нельзя просто удалить.
>Приложения яндекса предустанавливаются на смартфоны по беспределу.
> Мораль: не устанавливай ничего от яндексаА что Яндекс когда то делали что то нормальное.
Не делали, поэтому пользуйтесь поделками индусов-школьников в на F-Droid, там действительно качественный софт, и никакой телеметрии!
> поделками индусов-школьников в на F-DroidА что поделки Яндекс отличаются чем то от поделок индусов-школьников в на F-Droid.
Тем, кто не занимается вредительством, бояться нечего.
> Тем, кто не занимается вредительством, бояться нечего.товарищ Cpaлин, произошла чудовищная ....ой... товарищлейтенант не над ааааааа!!!!
Любителям яндекса неожиданное подъехало:оказывается, хреняндекс после команды от когонада, заблюрил на своих снимках все военные объекты (во всяком случае - в Москве)
Т.е. теперь можно просто удобно открыть maps, выбирать оттуда все размазанные кляксы и не рисковать развед-агентурой на месте, а сразу туда и наводиться.
Причем для большего удобства можно потом переключить в режим карты - кляксы на них не распространяются, и ты точно не попадешь в какой-нибудь фонтан посреди газона вместо заводских корпусов.
Вопросы - куда смотрит гестапа, и кто ета сделаль - в смысле, это вот те же люди что встроили троянца в приложения, или какая-то национал-предательская сволочь из офиса в Ереване?
(ну то есть я помню про бритву Хэнлона, но не могут же они быть настолько феноменально...или они именно такие и есть?)
Заблюрили только то, где на карте действующие военные объекты обозначены, а не какие-то секретные места.
