Несмотря на требования закона Яровой, Telegram отказывается расшифровывать переписку пользователей. Павел Дуров пишет, что в лондонский офис в последние недели приходят требования ФСБ выдать ключи шифрования в соответствии с законом Яровой. Павел подчёркивает, что аналогичная ситуация была в Иране, «и за все годы работы мы не заблокировали ни один политический канал и не выдали властям ни байта личных данных». В одном из документов от 14 сентября 2017 года (pdf) от ФСБ на имя Павла Дурова содержится копия протокола об административном правонарушении в отношении компании Telegram Limited Liability Partnership. По мнению юристов Telegram, такие административные протоколы неизбежно ведут к судебным процессам.
В письме от ФСБ сказано, что протокол составлен за правонарушение, предусмотренное частью 2.1 статьи 13.31 КоАП РФ «по факту неисполнения обязанности предоставлять в федеральный орган исполнительной власти в области обеспечения безопасности информацию, необходимую для декодирования принимаемых, передаваемых, доставляемых и (или) обрабатываемых электронных сообщений».
Компании Telegram предлагалось направить законного представителя компании в Приёмную ФСБ на Кузнецком Мосту, 22 с документами, удостоверяющими личность и служебное положение. Компания этого не сделала, поэтому 14 сентября старший консультант Организационно-аналитического управления Научно-технической службы ФСБ России Овчинников Д.Н. (с участием переводчика) составил протокол об административном правонарушении в отсутствие представителя Telegram.
За отказ передать ключи шифрования мессенджеру грозит штраф до 1 млн руб. По факту наложения штрафа Роскомнадзор может вынести предписание о необходимости устранения нарушения — срок его исполнения составляет не менее 15 дней. Если предписание не исполняется, то в течение суток доступ к сервису на территории России блокируется.
В перспективе Россия может присоединиться к Ирану и тоже завести уголовное дело на Павла Дурова.
«Отсутствие возможности изредка посещать Россию для меня более болезненно, чем невъезд в Иран, — прежде всего, из-за родителей. Но переживём — глобус большой», — написав Павел, сопроводив свой пост картинкой:
У Telegram в России около 10 миллионов пользователей. Их количество особенно выросло после угроз блокировки сервиса Роскомнадзором.
Документы от ФСБ:
> Извещение от ФСБ (31.08.2017, получено ответчиком 11.09.2017)
> Копия протокола об административном правонарушении (14.09.2017)
Комментарии (198)
servermen
27.09.2017 11:04+6Vps, с установленным на нем софтом, пойдет в массы?
Ryav
27.09.2017 11:19Если распишите на примере + озвучите стоимость, то последователей прибавится.
vconst
27.09.2017 11:24Какая там стоимость? Это открытый проект, единственные затраты — аренда VPS, а при пользовании Free Tier на AWS — целый год бесплатно.
willyd
27.09.2017 11:49Free Tier на AWS — целый год бесплатно.
Трафик будет слегка стоить. Но там копейки будут если не качать.
Я думаю имелось ввиду, out-the-box решение. Тоесть что-то типа AMI образа, с уже предустановленным софтом и минимальной админкой для пользоввателей которые не будут в этом разбираться.
x86d0cent
27.09.2017 17:34Free Tier на AWS — целый год бесплатно
Free Tier на GCP — always free, если в США. Но трафик только 1GB (да и то за исключением некоторых регионов).willyd
27.09.2017 21:23+1Free Tier на GCP — always free
Только для AppEngine и с жесткими ограничениями на открытие сокетов cloud.google.com/appengine/docs/standard/python/socketsx86d0cent
27.09.2017 21:42+1Про конкретные ограничения AppEngine не в курсе, но речь не о нем, а о Compute Engine.
1 f1-micro instance per month (US regions only — Excluding Northern Virginia)
30 GB-months HDD, 5 GB-months snapshot
1 GB network egress from North America to all region destinations per month (excluding China and Australia)
vconst
27.09.2017 11:23+1Ммммм… Какая вкуснятина! Как только выдастся время — побегу его тестировать!
Спасибо!
Cenzo
27.09.2017 22:00+2Закон о VPN уже готов, это будут решать так же административными мерами и парой тройкой показательных дел, как в случае с выходным узлом ТОР. А «организацию VPN» еще и отягчающим будут считать.
IIgorT
27.09.2017 11:19Синхронненько с Ираном. Совпадение конечно
Gorthauer87
27.09.2017 12:21+1Так я понял история еще летом началась, просто после истории с Ираном Дуров опубликовал и эту
vconst
27.09.2017 11:26-7У Ализара — дьявольская карма!
Добавить или убавить? :)
Sirion
27.09.2017 11:27А как, кстати, получается дробная карма? И как её сделать обратно целой?
caveeagle
27.09.2017 11:36+2Дробная карма получается, когда вы взаимно с кем-то обмениваетесь плюсиками или минусами. Тогда каждому прибавляется не 1, а меньше (вероятно, чтобы сократить накрутки среди своих?)
kekekeks
27.09.2017 12:47+3вероятно, чтобы сократить накрутки среди своих
А раньше ковровые пермабаны без суда и следствия были. Либерализируется хабр.
Fagot63
27.09.2017 17:44-3Раньше это когда? От года до полугода назад три моих подряд зарегистрированных аккаунта забанили перманентно. Регистрация следующего акка происходила после блокировки пред идущего. Активный не забаненный акк был всегда один. При этом причиной указывали «виртуал» и «виртуал виртуала». Аккаунты были простые, без возможности голосования в карму, но модератора с синдромом вахтера это не остановило.
Valerij56
27.09.2017 18:04+1Не там синдромы ищешь.
Fagot63
27.09.2017 19:45-2А что это по вашему? Виртуал или нет проверяется за пять минут, хотя бы по датам регистрации аккаунтов, вопрос в тп канул во тьму. Но конечно же модераторы очень заняты чтобы сделать простейшую проверку и банят лишь за одинаковую почту отличающейся одной цифрой.
Valerij56
27.09.2017 20:08От года до полугода назад три моих подряд зарегистрированных аккаунта забанили перманентно. Регистрация следующего акка происходила после блокировки пред идущего. Активный не забаненный акк был всегда один.
По правилам так и быть должно. Более того, тебя вообще должны были перманентно забанить за генерацию множественных аккаунтов.Fagot63
27.09.2017 20:18Я русским по белому выше написал. Следующий акк регистрировался после бана пред идущего. Какие множественные акки. Активный всегда один был.
kazaff
28.09.2017 03:30У меня совершенно аналогично в facebook. 4 (четыре, Карл!) раза регистрировался, а затем меня без видимых причин банят, это только за последние 3 месяца. Использовал аккаунты только для чтения постов и редких комментариев.
Возможно ли, что акки используются кем-то посторонними? Как это проверить?Fagot63
28.09.2017 10:04Ну в моем случае причина хоть и очень сильно надуманная все же была. Почту для регистрации акков делал вида: УкоготоФГМ_001@rambler.ru, УкоготоФГМ_002@rambler.ru и т.п. Поэтому акки и связали причиной «виртуал» и «виртуал виртуала» Другой вопрос в том что модератору было недосуг провести простейшую проверку. Да и причина мягко говоря не соответствовала бану.
Создавать виртуалов
Всегда приятно поговорить с умным человеком, но создавать для этого добавочные аккаунты и накручивать с них карму и голоса за публикации не стоит.
Какая накрутка на аккаунтах с возможностью только комментировать?
Victor_Grigoryev
27.09.2017 12:01+4Ни один западный сервис не должен сотрудничать с этим отребьем. Пускай блокируют, пользователи — не глупы (по крайней мере те, кому сервисы действительно нужны) и сами разберутся, как восстановить доступ. Пускай блокируют и осознают, что мировое сообщество клало байт на эти министерства правды.
willyd
27.09.2017 12:08+595% не будут разбираться с обходом блокировок и найдут замену.
keydon2
27.09.2017 20:00+1Давайте на обезяьн ориентироваться, а то вдруг очередной интерфейс не осилят.
Пускай будет две кнопки «банан» и «выход».willyd
27.09.2017 21:33+1Интернет аудитория потому и стала настолько большой. Нужно включить виндоус и два раза нажать на интернет.
Половина пользователей не осилят настроить статическую адресацию, не говоря уже о OpenVPN. А самые популярные сервисы VPN почему-то предлагают приложения, как раз с двумя кнопками.
keydon2
27.09.2017 12:19+3Почему только западные? Свои в первую очередь не должны сотрудничать, ибо так патриотичнее. Своя страна как никак в гетто превращается.
Norno
27.09.2017 14:00+3Чтобы отечественный сервис мог нормально не сотрудничать, он для начала должен перестать быть отечественным, в противном (лучшем) случае он просто перестанет существовать.
alpet_m
27.09.2017 12:32Интересно, ради чего вся эта возня происходит? Чтобы всем доказать, какой Telegram надежный и спецслужб не боится? Все равно доверять тайную переписку, можно лишь решениям с открытым исходным кодом, таким как BitMessage например. Или использовать вместе с классическими мессенджерами отдельное шифрование сообщений. Я помниться ещё в 2006 году использовал ICQ & Jabber в Miranda IM, вместе с плагином GnuPG.
Chupaka
27.09.2017 13:05+1Открытый исходный код не значит, что бинарник у вас собран именно по нему :) Так что доверять тайную переписку, получается, вообще никому нельзя.
Ndochp
27.09.2017 13:16+1Ну так собрать. И отключить обновления.
Chupaka
27.09.2017 13:52Т.е. по сути пользоваться штучным продуктом, с необходимостью разбираться в его коде — ведь третьей стороне доверия нет.
keydon2
27.09.2017 20:12+2На самом деле речь идет о вероятности безопасности. Ведь вы тоже могли упустить закладки из-за непрофессионализма(как и любой эксперт в принципе)+независимые от софта факторы(дыры ОС, шпиен стоящий за спиной и т.п.).
Закрытый софт можно проанализировать только на уровне «в вайршарке ничего не понятно», журналисты говорят пользуются этой штукой.
Открытый же софт при большом доступе независимых экспертов осталяет очень малый шанс на закладки. Конечно он должен быть достаточно популярен, чтобы его периодически проверяли. А проверить, что экзешник не подменили не так сложно — подписи, хэши(в т.ч. независимых экспертов на независимых ресурсах).Chupaka
28.09.2017 08:25У двух последовательно собранных экзешников разве не будут разные хэши из-за разных таймстампов? А уж если собирать на разных машинах, с чуточку различающимися настройками компилятора/линкера — вообще пиши пропало. Я хотел сказать лишь, что нельзя смело утверждать, что какой-то экзешник был собран именно с данными исходниками. А закладку в код можно внести и незаметно: много ли людей насторожилось бы, увидев в коде своего любимого мессенджера "=" вместо "=="? А тем не менее, попытка добавить такое в кернел была: http://lkml.iu.edu/hypermail/linux/kernel/0311.0/0627.html
vanxant
27.09.2017 18:26Для этого нужно быть уверенным, что у вас нет закладки в компиляторе.
Sadler
27.09.2017 18:46Нужно понимать, кто хотел и мог бы внедрить данную конкретную закладку и корректировать свои действия в зависимости от степени угрозы тех или иных организаций и групп. Нельзя проверить на наличие закладок вообще всё, но можно минимизировать возможный ущерб от неблагоприятной ситуации и снизить вероятность её наступления.
DeboshiR
27.09.2017 13:43Есть тема, что у российских спецслужб и так есть доступ к телеге. А все эти песни-пляски в СМИ только поднимают интерес к сервису как к одному из самых безопасных.
alpet_m
27.09.2017 16:20Вот у меня схожие мысли. Есть там люди, которые пилят бюджеты на обеспечении псевдобезопасности в стране, а происходящее в СМИ — имитация их бурной деятельности. Ничего личного, они просто хотят зарабатывать :)
sim2q
28.09.2017 06:30всё это конечно здорово когда у вас 1-3 корреспондента, но в реальности всё упрется во френдов с темой: «А чё это… А зОчем… Ой… это сложно»
Risel_24
27.09.2017 13:12Пусть блокируют, только в телеграме уже встроена встроена возможность подключения через прокси, так что даже те, кто не хочет использовать VPN и прочие подобные средства, смогут без особых проблем обойти блокировку, просто открыв настройки.
MikeVC
27.09.2017 13:17Для реально секретной переписки используется шифр вида «Бабушка заходила вчера, принесла пирожки с малиной. Говорит очень соскучилась». :)
И передаются ЛЮБЫМ каналом.
Так что вся эта возня с блокировками — не более чем передел рынка а за одно контроль за политическими соперниками.willyd
27.09.2017 13:44www.goodreads.com/book/show/230543.Mr_Nice
Иногда, при большом желании, могут и это использовать.
denilenko
27.09.2017 13:43+2Я одного не понимаю: в ФСБ действительно сидят настолько далекие от IT люди, которые не понимают что такое End-to-End шифрование (и не могут объяснить это вышестоящему начальству) и что даже перехватив такой трафик, расшифровать его без конечных устройств нельзя, или мы чего-то не знаем о telegram'е (да и прочих мессенжерах в общем-то тоже)?
Valerij56
27.09.2017 14:09+1Помните старый анекдот, про прапорщика, останавливающего поезд?
Так вот это реализация анекдота в реальности. С той тольо разницей, что Госдура предварительно приняла Закон, по которому поезд должен останавливаться по команде «прапорщика».
EnigMan
27.09.2017 14:43+10Похоже, вы просто не понимаете, как работает любая бюрократия. Есть закон, по которому ключи шифрования должны быть выданы ФСБ. Если вы не способны выдать эти ключи, это не проблема ФСБ, это ваша проблема, как вы ее будете решать не интересует ровным счетом никого. Не можете — в бан. И от того, что все прекрасно все понимают, не изменится ничего, от слова «совсем».
shpaker
27.09.2017 15:24+2End-to-End шифрование разве распространяется в Телеграме на групповые чаты и не на секретные чаты?
Chupaka
27.09.2017 15:39-2На групповые и несекретные чаты распространяется Perfect Forward Security, видимо
n1nj4p0w3r
28.09.2017 07:57+1Perfect Forward secrecy может и распространяется, но от митма с валидным сертификатом это никак не спасет.
Chupaka
28.09.2017 08:28Но валидный сертификат — это не ключ шифрования, при PFS ключ шифрования генерируется на сессию и не компрометируется ключом сертификата, разве нет? Предлагаю не мешать в кучу разные понятия.
n1nj4p0w3r
28.09.2017 15:31+1PFS вам не поможет т.к. после единичного MITM учетная запись будет незаметно скомпрометирована, а хранящаяся плейнтекстом история переписки доступна для чтения
Chupaka
28.09.2017 15:38Для MITM нужен оригинальный сертификат с закрытым ключом (все ведь более-менее адекватные люди используют KEY Pinning?). Много сайтов уже слили свои ключи ФСБ? А иностранных сайтов?
n1nj4p0w3r
28.09.2017 15:44+1ФСБ и просят приватный ключ телеграмма, причем тут паблик кей спиннин? Он вообще не защищает ни от чего кроме MITM с помощью «другого валидного сертификата»
Chupaka
28.09.2017 16:16Вам надо подтянуть теорию. ФСБ просят "информацию, необходимую для декодирования принимаемых, передаваемых, доставляемых и (или) обрабатываемых электронных сообщений" — ключ шифрования сообщений. При PFS для шифрования сообщений используется сессионный ключ, который невозможно восстановить, даже если злоумышленник доберётся до приватного ключа сертификата. А сертификат с пиннингами нужен для предотвращения MitM.
n1nj4p0w3r
28.09.2017 16:281. ФСБ требует закрытый ключ телеграмма что дает им возможность провести незаметный mitm, т.к. получить доступ к истории они могут просто валидно авторизовавшись через свежевыписанную симку, вопрос в именно в незаметности.
2. Паблик кей пиннинг нужен только для защиты от случаев когда к твоему домену выписывают еще один валидный сертификат недоверенному лицу, по ошибке или злому умыслу.
3. PF, HPKP в контексте этого запроса вообще не имеют никакого значения т.к. такой случай равносилен компрометации всей инфраструктуры смотрящей на клиента. Береги приватный ключ с молоду, etc.Chupaka
28.09.2017 16:36ФСБ требует закрытый ключ телеграмма
Вы это где увидели? Я выше написал обратное.
n1nj4p0w3r
28.09.2017 16:41Вы написали свои домыслы основываясь на домыслах, что в ФСБ нет квалифицированных кадров и приплели с боку HPKP который по-факту вообще мало кто использует и в случае компрометации приватного ключа так вообще кроме проблем ничего не создает.
Chupaka
28.09.2017 17:16Я написал свои выводы, основанные на тексте статьи. Вы же пишете свои домыслы, ничем их не обосновывая и приписывая ФСБ додуманные вами качества, а мне — упоминание технологий (типа HPKP), которые я не упоминал. H в HPKP — это HTTP. Telegram работает на MTProto, не на HTTP :)
vanxant
27.09.2017 18:34+2Думается, в ФСБ есть достаточно разбирающиеся в криптографии люди.
End-to-end и прочие баззворды для них не значат совершенно ничего, это просто маркетинговый бульщит. Малейшие косяки в реализации протокола или алгоритма, банально слабый random() для ключей могут снизить стоимость перебора со штатных 2^128 или сколько там до каких-нибудь 2^40 — которые уже вполне подбираются на нормальном оборудовании.
motpac
27.09.2017 13:50+11Я прошу прощения за репост картинки с другого новостного ресурса, но она просто не может не быть здесь сейчас!!!
Fedorkov
27.09.2017 23:33+2Роскомнадзор и ФСБ — это разные организации.
Cenzo
28.09.2017 02:34Что-то типа: правая рука и левая?)
Fedorkov
28.09.2017 02:45+2Разные ветви власти, не имеющие общего начальника.
Cenzo
28.09.2017 03:03-2Просто копипаст с офсайтов:
«Указом Президента от 12.03.2007 №320 Федеральная служба по надзору в сфере связи и Федеральная служба по надзору за соблюдением законодательства в сфере массовых коммуникаций и охраны культурного наследия преобразованы в Федеральную службу по надзору в сфере массовых коммуникаций, связи и охраны культурного наследия. Новая структура подчиняется напрямую Правительству РФ.»
«Руководство деятельностью ФСБ России осуществляется Президентом Российской Федерации»Fedorkov
28.09.2017 03:07+2Правительство — это исполнительная власть.
Cenzo
28.09.2017 03:20Я даже соглашусь, что в теории и по учебнику это так)
Fedorkov
28.09.2017 03:29+2Ну так давайте предъявлять претензии к власти по закону, а не к тому, что они не решают проблемы по нашим «понятиям». Бардака и так хватает.
Cenzo
28.09.2017 03:55-1Как-то пробовал по закону предъявлять претензии к власти, получается что законы представляют нечто следующее (по моим ощущениям):
1. Вождь всегда прав
2. Если вождь не прав, смотри пункт 1.
На этом прекращу, так как ресурс технический а не политический (к сожалению политика стала лезть и в технологии тоже)
cicatrix
27.09.2017 13:50+1Просветите меня неграмотного, если я не прав, но я до сих пор считал, что, если не знать ключа, то переписку из Телеграм можно только брут-форсом.
Дуров ответил отказом — молодец, но он именно отказался, а не написал, что требование невыполнимо. Означает ли это, что переписку всё-таки можно расшифровать?
Alexeyslav
27.09.2017 14:13Да, если сохранять ключи вместе с сообщениями. Даже если ключи нельзя вытянуть прямо сейчас, можно выпустить апдейт клиента который позволит передать в центр ключи на указанном девайсе и т.п. а перехваченный зашифрованный трафик у них допустим уже есть.
Впрочем, то что он отказался вовсе не значит что это возможно — он выразил свою принципиальную позицию вне зависимости от того возможно ли это.
Cenzo
28.09.2017 02:44+3Всё, что зашифровано сервером — так же сервером и расшифровывается, что означает, что все ключи там хранятся где-то рядом и доступ к ним имеют как минимум админы того самого железа, где они хранятся. Ну и все те, кто сможет «уговорить» админов или руководство компании дать немного доступа к нужной базе данных.
Шифровать данные всегда лучше peer-to-peer, когда вы уверены в подлинности получающей стороны, а все протоколы и, тем более, исходники открыты. При этом желательно не использовать никакие центральные сервера телеграма, так как это открывает хотя бы сам факт и время разговора между людьми (которые перед этим слили им свои номера телефонов). Но это для настоящих параноиков)
PKav
27.09.2017 14:36-1Я вот думаю, этот закон вообще реально как-то использовать? Да хотя бы ради слежки за оппозиционерами.
Представим, что закон Яровой выполняется на 100%, Телеграм передает ключи расшифровки спецслужбам. Приходит запрос: нужна переписка пользователя А за 1 сутки начиная с даты X.
1. Выяснить номер телефона А, под которыми он зарегистрирован в Телеграмме. Не факт, что поиск по фамилии найдет правильные намера.
2. Найти IP-адреса пользователя А и всех серверов Телеграм, с которыми он соединялся в дату X и сутки после. Точек выхода пользователя А может быть много: мобильный интернет (не факт, что по своей SIM-карте), домашний интернет, интернет на работе, соседский интернет, кафе, и т.д. При чем человек может за день начать общение в Телеграм из дома, продолжить по GSM пока едет на работу, потом с интернета на работе, потом опять GSM по дороге домой и WiFi из дома. При этом при каждом обрыве связи IP-адреса пользователя А и сервера Телеграм могут меняться. Если же человек использует прокси, то задача усложняется — нужно найти все цепочки А — прокси — Телеграм.
3. Найти TCP-потоки в записанных данных. Вот я сейчас смотрю, и вижу, что только у ОДНОГО провайдера ОДИН аплинк загружен на 220 ГБит/с. И ведь не факт, что трафик КОНКРЕТНОЙ сессии пользователя А пошел именно по конкретному маршруту и по тому же самому маршруту вернулся обратно. А сессий много. И с разными IP с обеих сторон.
В итоге получается, что при подобном запросе оператор спецслужб получает жуткий геморой. Ему придется сделать кучу официальных запросов к провайдерам и длительных запросов к базе записанного интернет-трафика, чтобы получить все цепочки данных и, наконец, расшифровать переписку. И это в идеальном случае, если все ответят быстро и ничего не перепутают. Иначе время выполнение задачи увеличивается в разы. К моменту расшифровки данные станут неактуальны.inkvizitor68sl
27.09.2017 14:48+1Так они это и поняли =)
Теперь хотят от всех средств общения админку, в которой можно жмякнуть на кнопочку и спокойно почитать все сообщения/письма.
Valerij56
27.09.2017 15:16-2Всё, что вы написали — правильно. Только вы не учитываете, как это будет работать в реальности. На самом деле на всех чуть-чуть засветившихся несогласных (а повод при нынешнем законодательстве может быть любой, например, «обсуждал возможности смены действующей власти, и признал, что легальными методами это невозможно», при большом желании можно объявить экстремизмом) будет заведено электронное досье. И каждый засветившийся постоянно будет под лупой.
Цели такой глобальной слежки в том, чтобы иметь на всех компромат. При необходимости заставить человека сотрудничать, а при желании — отнять бизнес или заставить платить дань. Вовсе не все «подозреваемые» реально будут оппозиционерами, следить могут и за владетелями «вкусной» собственности, совершенно независимо от того, как эта собственность появилась.PKav
27.09.2017 15:20Вот уж кто, а потенциальные жертвы спецслужб явно осознают всё это и озаботятся дополнительным туннелированием своего трафика через зарубежные VPN-сервисы. Они обязательно прочитают статьи, проконсультируются с IT-специалистами или привлекут их за деньги, после чего всё будет настроено как надо, и никакие спецслужбы ничего не найдут.
kucheriavij
27.09.2017 15:25при запрете vpn это будет еще один способ «взять на карандаш» определенных личностей
PKav
27.09.2017 15:27Ну пусть берут. реальных доказательств-то не будет. Конечно, всё может скатиться в средневековье, когда под пытками люди признавались вообще во всех грехах, каких им скажут, но тут уж против лома нет приема.
kucheriavij
27.09.2017 15:35+1Ну пусть берут. реальных доказательств-то не будет.
Почему не будет? Все будет.
Конечно, всё может скатиться в средневековье
если подавляющее большинство не перестанет вести себя так, как ведут себя (верить новостям, и прочим СМИ, да поддерживать тех кто у них забирает деньги), то именно это нас и ждет
против лома нет приема
есть способ, всем давно известный, но стоит ли эта игра свеч?
Valerij56
27.09.2017 15:44Весь смысл моего спича состоит в том, что все мы давно уже являемся вполне реальными, о никакими-то «потенциальными» жертвами наших спецслужб. Уточнять не стану, дабы не углубляться в политоту.
Mayflower
27.09.2017 15:31+1Какие IP-адреса? В Telegram пользователь регистрируется через номер телефона.
1. Находите номер телефона человека через базы мобильных операторов
2. Запрашиваете переписку из аккаунта Telegram по этому номеру
3. profitPKav
27.09.2017 15:34Пункт 2 — Телеграм шлет в зад, говоря «У вас есть ключи, сами расшифровывайте, мы ничего не храним». Провайдер шлет в зад, говоря «У нас стоят ваши системы „СОРМ“ и „Яровая“, у вас к ней полный доступ, вот сами и ищите.» Далее как написано выше.
rustavelli
27.09.2017 16:10+5потом такие провайдеры будут бегать и сами искать свои лицензии. Провайдеру сложнее всех исполнить все 9.5 правил ведения бизнеса в этой стране.
PKav
27.09.2017 16:14Так сам Ростелеком и пошлет. У них нет людей чтобы заниматься этой ахинеей, да и платят там, по слухам, не очень. К тому же у рядовых сотрудников вряд ли будет доступ к БД с трафиком — NDA они не подписывают, и продать дампы налево будет очень большой соблазн.
rustavelli
27.09.2017 16:16+1к ростелекому придут друзья путина и скажут, что нельзя посылать чекистов.
Нельзя просто так взять и прекратить самодурство в этой стране.PKav
27.09.2017 16:20Послать — не значит сказать «Идите на фиг, мы вам ничего не дадим». Послать — значит «У вас есть полный доступ к базе трафика, а у нас нет такого доступа. Делайте любые запросы, какие вам надо, а мы не можем».
rustavelli
27.09.2017 16:22+1и с этим страна справится. Наймут под это дело толпу фсбэшников и поднимут пошлины, чтобы их прокормить.
kucheriavij
27.09.2017 16:19Просто придет нужный человек, с корочкой, которому ну никак нельзя отказать. Одному Ивану устроят отгул за счет организации, а нужный человек будет работать за его компом. Делов-то
Jesting
28.09.2017 10:30Есть такая штука как Transparent data encryption в Оракле — данные в базе есть, но если админ со своим паролем зайдёт то по факту ничего не сможет увидеть потому что всё зашифровано. Оракл это сделал чтобы соответствовать PCI DSS.
CityCat4
28.09.2017 09:59+1Провайдер шлет в зад
Ну, если телега допустим теоретически может, то насчет провайдера бровки домиком и вопрос: Чи-вооооо? Ни один вменяемый провайдер никогда не пошлет в сад Контору, потому что работать ему после этого… хорошо если до конца дня дадут :)
CityCat4
28.09.2017 08:36Про закон о том, что симки без паспортных данных продавать не будут, слышали? Выстроится очень простая цепочка Фамилия->телефон->IP, возможно IP даже и не понадобится. Сначала будут данные, потом подтянется аналитика. Вы видимо не работали никогда с СМП. Там тоже кажется, что данных о сотне юзеров льется много (и да, их на самом деле много). Но морда с набором фильтров и аналитики все решает
PKav
28.09.2017 08:52SIM-карты уже давно по паспорту. Вот только никто не запрещает пользоваться SIM-картами, зарегистрированными на другого человека. При чем для звонков и интернета могут использоваться разные SIM-карты разных операторов.
IP-адрес ничего не решает, их целая куча у каждого человека и у серверов, и меняться они могут довольно часто. Плюс NAT с несколькими адресами выхода. Плюс маршруты трафика частенько меняются. А уж если человек использует прокси… Это надо расшифровывать и фильтровать всё и искать везде. Найти и скомпоновать можно, но на это уйдет куча времени и усилий, данные уже будут неактуальны.CityCat4
28.09.2017 10:05Неактуальным может стать одноразовый пароль для оплаты в интернет-банке. А переписка между Алисой и Бобом может сохранять свою актуальность годы и десятилетия — смотря какая Алиса, смотря какой Боб. Если чел выловил допустим чье-то фото неглиже, да еще точно знает чье, актуальность угрозы «сделай это/не делай это» будет сохраняться много-много лет…
PKav
28.09.2017 10:17Те, кому есть что скрывать, используют шифрование со своими ключами, там уже никаких вариантов прочесть переписку в обозримом будущем.
vanxant
28.09.2017 12:39там уже никаких вариантов прочесть переписку
Вы забываете про терморектальный криптоанализ.PKav
28.09.2017 12:41Это уже средневековые методы, там не обязательно искать кого-то конкретного, признаться в совершенно любом преступлении может совершенно любой человек. Надеюсь, что до этого не дойдет.
vanxant
28.09.2017 12:49Да не нужно никому признание. Люди в пыльных шлемах просто навестят вашего собеседника Боба и вежливо попросят «телефон для позвонить» на полчаса. И вся ваша переписка — вот она.
PKav
28.09.2017 13:03Вот я и говорю, что против средневековых методов нет приёма. Но это уже вне области IT и обсуждать это тут бессмысленно.
CityCat4
29.09.2017 06:24+1А у нас «область ИТ» — сферическая корова в вакууме? Обсуждение любой ситуации имеет смысл только когда учитываешь все риски. Риск терморектального криптоанализа в России — он реален. Поэтому я всегда ржунимагу, когда читаю такие вот заявления, что можно построить сколько-нибудь устойчивую защиту от государства, используя только технические методы. От соседа, от жены, от конкурента — можно, потому что у них теже права, что у тебя. От государства — нет, потому что оно, когда ему необходимо, просто правила меняет.
dimm_ddr
28.09.2017 15:22Если есть возможность применить ректальный термоанализ, то переписка и не нужна. И голое фото сделать несложно и получить признание с подписью.
vanxant
28.09.2017 21:35+1Вы не поняли. Ваша лично тушка может быть успеет сибаса. А вот ваши родственники, или ваши деловые партнёры, или с кем вы там много переписываетесь — они могут и не успеть сибаса.
Самое главное, что ваши партнеры могут оказаться даже отнюдь не жертвами, а заказчиками.
vanxant
28.09.2017 12:46никто не запрещает пользоваться SIM-картами, зарегистрированными на другого человека
Вы таки не поверите, но…
Тут ещё вот какая проблема. «На другого человека» — это либо ваш знакомый, и это ничем не секурнее оформления на себя, либо «тот чувак из перехода», который оформляет стопицот симок на одного и того же бомжа. Но их сейчас активно гоняют, а симки заставляют или переоформлять, или блокируют.
Плюс NAT с несколькими адресами выхода. Плюс маршруты трафика частенько меняются. А уж если человек использует прокси
Да-да, а на другом конце линии сидит обычный ламер Боб, у которого пароль от гугла, в том числе на бэкапы с перепиской, 123.PKav
28.09.2017 12:54SIM-карта на знакомого — это значит нужно будет просмотреть всех знакомых в соцсети и запросить данные и трафик по каждому. Уже кошмарно долго и муторно.
А вообще, я в курсе где все эти системы ставят и как это работает у провайдеров. Там сплошной пофигизм и раздолбайство со всех сторон. И если эти системы реально потребуются, пользы от них не будет никакой. Как всегда потратят миллиарды, а выбивать признание продолжат дубинками и бутылками, при чем не факт, что из виновных. Страна такая.CityCat4
29.09.2017 06:27+1Все зависит от мотивации. Заявы на хищение мобил обычно полисы не берут. Не помните, у Киркорова однажды мобилу тиснули? Нашли мгновенно… Так и здесь — надо будет, все просмотрят и отфильтруют. Главное — чтобы данные шли. А они идут…
Coffin
27.09.2017 16:19+1Самый главный вопрос, которым надо задаться.
Если на телегу завели, то на других не заводят, потому что они что-то предоставили или после телеги будет вазап, вайбер и так далее и останемся только со спутникачатом?CityCat4
28.09.2017 10:14Тут два варианта.
— Дуров слил и пытается прикрыться хайпом
— Дуров не слил и его нагибаютUgrum
28.09.2017 10:51Сова приложила ухо к груди Буратино.
— Пациент скорее мертв, чем жив, — прошептала она и отвернула голову назад на сто восемьдесят градусов.
Жаба долго мяла влажной лапой Буратино. Раздумывая, глядела выпученными глазами сразу в разные стороны. Прошлепала большим ртом:
— Пациент скорее жив, чем мертв…
Народный лекарь Богомол сухими, как травинки, руками начал дотрагиваться до Буратино.
— Одно из двух, — прошелестел он, — или пациент жив, или он умер. Если он жив — он останется жив или он не останется жив. Если он мертв — его можно оживить или нельзя оживить.CityCat4
29.09.2017 06:28+1И никто из них прав не был :) Буратино был ни жив ни мертв — деревяшка живой быть не может :)
dimm_ddr
28.09.2017 15:23Вотсап от фейсбука, с ним почему-то пока публично не ссорятся. Что с вайбером — хз. Плюс у Дурова уже отобрали ВК, возможно просто считают его более легкой целью по этой причине.
Tyusha
27.09.2017 18:12+4Я плохого мнения об IT уровне наших спецслужб. На эту тему у меня есть история из далёкого 2005 года. Наверное кое-что поменялось с тех пор, но была…
История несколько сюрреалистичная, что она и мне самой начинает казаться недостоверной, но её богу, это было на самом деле. Я тогда работала в одном системном интеграторе, который заигрывал с ФСБ (тендеры, откаты, наверное что-то в этом духе, меня это мало касалось). И вот однажды зовёт меня директор, говорит: надо нашим друзьям оказать одну услугу, это по твоей части (занималась сайтами, дизайном и т.п.).
Приезжаю куда-то в район Пречистенки. Там, её богу, конспиративная «квартира» ФСБ под прикрытием коммерческой фирмы. Звоню, захожу и охреневаю. Представьте холл, полумрак, по периметру всё сплошняком задрапировано чёрными шторами, рядом с которыми также по периметру помещения стоят торшеры с масляными светильниками или спиртовками, короче говоря с открытым огнём. Выглядит, как логово сатанистов или как минимум салон чёрной магии.
Из-за гардин появляется дядя и провожает меня. За шторами уже нормальные помещения. Идём куда-то в очень богато обставленный кабинет к какому-то начальнику, причём в одном из подземных этажей. И вот задание. У них были сканы каких-то бумаг плохого качества. Вернее сканы были нормальные, сами бумаги были чём-то перепачканы. Не удивлюсь, если это была кровь. Теперь держитесь. Задача в Фотошопе сделать так, чтобы их можно было прочесть.
Ну ладно, говорю, сделаю, что смогу (подниму там контрастность, посмотрю, что в каналах). Отвели меня в какое-то ещё более глубокое подвальное помещение типа серверной и оставили наедине (!) с Фотошопом.
Безопасность там была ну просто никакая. Я конечно поостереглась лазить, куда не следует, но будь желание, там по всей видимости, можно было много что натворить.
Ну а сама бумага — это был документ на красивом бланке какого швейцарского банка — сертификат каких-то золотых счётов. На нём было фото какого-то бородача с арабским именем, а дальше добрую половину занимал какой-то буквенно-цифровой шифр. Не спрашивайте что это, не знаю.
В общем привела скан в более приличный вид. Насколько помню, прочесть буквы-таки там при желании стало можно.
До сих пор не понимаю, чем была вся эта история, и какова моя роль в ней. Причём никаких подписок или слов, что мы тебя закопаем, если проговоришься, не было. Просто: помоги, пожалуйста.
Но если и в самом деле наши спецслужбы работают так… С представлением обо всём компьютерном на уровне: «ты же программист, ты сможешь»… То это звиздец. Дармоеды.
CityCat4
28.09.2017 10:13однажды зовёт меня директор
никаких подписок… не было
С Вас — какая подписка? Директор дал все подписки, и при необходимости он даст все что о Вас знает :)
поостереглась лазить, куда не следует, но будь желание, там по всей видимости, можно было много что натворить.
Есть предположение, что там ничего нельзя было натворить, потому что наверняка камера, а может и не одна, да и комп мог вовсе быть не включен в сеть :)
Holmax
27.09.2017 18:12-1Это обычная попытка «подсушить» репутацию после того, как она была подмочена скандалом с телеграфом, в ходе которого выяснилось, что телеграмм вполне себе не иностранный.
indiamed
27.09.2017 19:26ООО «Телеграф» уже давно передал все ключи. Паша как всегда устраивает цирк с конями, в который уже мало кто верит :)
aleksandros
27.09.2017 21:19Думаю всё сложнее. ООО «Телеграф» — это подрядчик, работающий на Telegram LLD, зарегистрированную на каких-нибудь Каймановых островах. Они просто отсылают код, а ключи — это «к хозяину».
indiamed
27.09.2017 21:24+1ООО «Телеграф» просто разбирает ру спам и платит своим сотрудникам ЗП в 200 000 руб/месяц. Ну и офис где работают борцы со спамом находится рядом с офисом Вконтакте, в Доме Зингера. Что тут сложного? :)
aleksandros
28.09.2017 08:58Ну, владелец здания может сдавать свои помещения хоть под овощебазу. Это отдельное юрлицо, и то, что рядом расположено другое юрлицо, у которого есть какие-то отношения с ФСБ, не значит ровным счётом ничего.
indiamed
28.09.2017 09:46То есть это случайно так совпало?
aleksandros
28.09.2017 10:02Вы же наверняка знаете, что там был офис Контакта. Многие разработчики оттуда ушли в Телеграф и наверно все довольны, что не пришлось переезжать.
Посудите сами, вы работали в магазине А, а затем перешли в магазин Б напротив. Никто же не будет говорить, что это одно и тоже просто потому, что магазины находятся в одном ТЦ.indiamed
28.09.2017 10:07Что и следовало доказать, что разработчики, а не борцы со спамом, Телеграмма находятся (и находились все это время) в России, со всеми вытекающими от сюда проблемами. Почему Павел скрывал сей факт?
aleksandros
28.09.2017 11:26Не знаю. Но по документам, так сказать, они не разработчики. Сомневаюсь, что фсбшники похитят возле дома какого-нибудь сисадмина Васю, и угрозами заставят втихаря скопировать ключи и не вякать.
r85qPZ1d3y
27.09.2017 20:06+1Люди, которые считают, что телеграмм никуда ничего не сливает, по своей наивности не отличаются от людей, которые до сих пор считают, что соц сеть вконтакте никуда ничего не сливает, и там всё конфиденциально.
m0Ray
27.09.2017 20:17+1Всё было б хорошо и задорно, если б не фатальный недостаток Telegram — привязка к телефонному номеру. «Надёжность» ОКС7 сводит на нет преимущества end-to-end шифрования. Ключи получить таким образом, правда, не удастся, скорее всего, но вот заблокировать или выдать себя за известного собеседника…
BasiC2k
27.09.2017 20:42Решение проблемы — стеганография. Текст можно зашифровать и спрятать в картинке, которую можно передать открытым способом. Через любой разрешённый месенджер.
Павел, на заметку!
kireevco
28.09.2017 01:56Как бороться с неподконтрольной компрессией в данном случае?
Corewood
28.09.2017 09:05Ну Вы как не в России живёте! Запретить «все эти ваши фотошопы» или вовсе обмен изображениями в сети, делов-то!
KorDen32
28.09.2017 17:08Почему неподконтрольной? Алгоритмы более-менее детерминированы, и зная параметры, можно знать, чего от данной конкретной реализации в данном мессенджере ожидать. Картинки обычно пережимаются только при отправке в сеть.
kireevco
28.09.2017 23:19Ну я к тому, что, во-первых нужно знать какой алгоритм используется для сжатия перед загрузкой, далее какая оптимизация происходит на серверах кеширования итд. ведь часто бывает jpg-> webp или другие связки. Например, как сделать end2end таким образом в facebook?
Sheti
27.09.2017 21:15+1Был уже в истории один забавный персонаж который воевал с Посейдоном путём избивания моря. ФСБ походу неправильно поняла этот исторический урок.
hamsta
28.09.2017 11:20-1Почему, мистер Дуров? Зачем продолжаете бороться? Неужели вы верите в какую-то миссию?
aka_Sauer
Хм, а ведь совсем недавно ещё, из Росскомпозора их просили «просто предоставить информацию о сервисе»…
Теперь вот следующий ожидаемый шаг.
JohnLivingston
Зато теперь Дуров может сказать "Мы такие все в белом, информацию предоставили, законы выполнили, шифрование расшифровать никак, а если заблокируете, то будете злобными борцами со свободой".
Жду такого исхода. Ну либо Рамзан позвонит и попросит не блокировать.
А Дуров — молодец.
Fllash
Либо даже еще смешнее. Вспомните историю, когда его хотели заставить регистрироваться в реестре ОРИ. Вкратце, Дуров никаких никуда обращений/заявлений не подавал, лишь сказал, мол, «все нужные рег.данные и так лежат у нас в открытом доступе, можете взять оттуда, если вам так надо».
А закон Яровой, в части расшифровки данных и/или их хранения, обязаны исполнять именно «организаторы распространения информации».
Таким образом, получается ерунда: Телеграм хоть и зарегистрирован в реестре, но никаких заявлений не подавал. Возможно, их юристы сыграют на этом, к примеру, что их внесли ошибочно или незаконно, а соответственно, никакой ответственности они не несут и никакого неисполнения закона не было.
Может, на первый раз и прокатит ;)
General_Failure
berliozz
Вы всерьез верите в весь этот цирк. Мой внутренний параноик говорит о том, что телегу давно и успешно читают, все мастер ключи есть, никакой анонимности для наших силовых структур, конкретно в этом мессенджере нет. А все это представление, исключительно для PR.
В прошлый раз Паша «не сдался», и аудитория телеги в РФ сильно подросла. Сейчас устроят еще одну массированную атаку и еще людей наберут. Нужно же выдавливать буржуйские решения, свои люди, должны под своим колпаком ходить.
Жду p2p мессенджер, который был бы удобен, быстр и имел хороший интерфейс.
RubyFOX
Status?
tmin10
Tox?
Barabek
Было бы любопытно понять, на чем основаны такие предположения
romxx
«внутренний параноик», написано же.
tangro
Потому что как-то глупо ожидать, что созданный в России сервис мог бы в теории повести себя как-то иначе.
instalator
Потому что вся переписка хранится на серверах, а шифрованная только в секретных чатах.
Alexey2005
Telegram хорош тем, что поверх него можно прикрутить PGP, чтобы на сервер уходили уже криптованные данные. После чего вопрос о ключах и расшифровке резко теряет актуальность.
Да и вообще с клиентом можно делать всё что угодно — исходники-то открыты. Какой ещё мессенджер может таким похвастаться?
Boba_Fett
А существует ли клиент, который делает описанное?
Ivush
Pidgin с плагинами PGP и telegram.
sim2q
О! спасибо! OTR же…
devpreview
Wire.
nehrung
Поэтому подождём, пока Дуров придумает другой способ авторизации. Судя по Токсу, такие способы есть.
ivlis
Если вы настоящий параноик, то у вас куча сим-карт разных стран мира.
sim2q
IMEI же… :(
nevzorofff
1. IMEI меняется.
2. Дешёвая мобила из ломбарда в соседнем городе.
willyd
Код вы можете получить на один телефон, а пользоваться мессенджером с другого девайса.
Kobalt_x
А в корректность MtProto мне тоже тупо поверить или группу топ криптоаналитиков для анализа всех возможных атак нанимать?
pulsatrix
А что такое — мастер ключ?
darkfrei
Что-то вроде пароля «00000000» для запуска американских ракет, чего не было, но во что верят. А может и было, но как проверить?
avost
Я так полагаю, ваш внутренний параноик доказал узявимость протокола телеграмма (и существование для него такой сущности, как "мастер ключи")? Может быть он тогда поделится с общественностью математическим доказательством? Хоть какая-то польза была бы.
Kobalt_x
А ваш внутренний параноик доказал корректность протокола? А также корректность реализации протокола(случайность констант итд)? Или все же как в пословице про гром и мужика?
avost
А, то есть вы просто, извините, ветры пустили. А я уж думал, что-то хотя бы не совсем идиотское будет…
Если по пунктам, то 1) бремя доказательства лежит на утверждающем 2) я ничего такого не утверждал 3) все (кроме одного) криптографические протоколы построены исходя из принципа грома и мужика.
Kobalt_x
1) в данном случае да, но к NIH cryptography доверия всё-таки меньше чем к другим проверенным и неоднократно изученных криптоалгоритмам
3) Lo05? или вы имели в виду какой-то другой?
Delphin92
Поясните, пожалуйста, это ФСБ пиарит Телеграмм, или Дуров ФСБ?
prospero78su
А я смею предположить, что ключи шифрования у кого надо давно есть. А это — всего лишь работа на публику, так сказать — для внешнего потребления.
Нога, это у кого надо нога. (с) «Берегись автомобиля»
u-235
Всё таки «Гараж».
adson
… и все-таки «Берегись автомобиля», пересмотрите еще раз, примерно середина фильма
Dioxin
Именно. Разговор с Мироновым который поставил капкан в свое авто.
u-235
Был не прав, вспылил… прошу дать возможность загладить, искупить.
gearbox
… сознаю свою вину, меру, степень, глубину…
blind_oracle
Сикрет чаты реализованы на клиенте, читайте исходники, проверяйте. А обычные чаты — это не для настоящих параноиков.
prospero78su
Одно дело — исходники.
Другое дело — вы скачали готовую программу, а потом ещё она 10 раз сама обновилась без уведомления.
blind_oracle
Если ты — истинный параноик, то будешь собирать всё сам и отключишь обновления. Иначе — не паришься и доверяешь дяде :) Третьего не дано.
prospero78su
Расскажите, плиз: а как вы проверяли закрытый код сервера. Второй логичный вопрос: а Вы бы стали просто так выкидывать 12 миллионов долларов на содержание сервера ежегодно. Ведь рекламы у Telegram нет и бизнес-модель скажем прямо — отсутствует?!
Как работает модель безопасности Jabber+OpenPGP — мне понятно. Как работает модель безопасности Telegram — вообще ни разу.
blind_oracle
Понятия не имею, у меня их нет.
У WhatsApp тоже не было финансовой модели много лет, только сейчас начали что-то про бизнес-чаты придумывать. Это не мешало им работать бесплатно и до покупки фейсбуком. Так что не аргумент.
prospero78su
Вы проверяли? Вы можете гарантировать это на 146%? Если Вы это можете, товарищ майор, то докажите что вы уже на пенсии?
Заблуждаетесь. Продавались стикеры, рекламные массовые рассылки, платные аккаунты. Кроме того — привязка к номеру телефона, как и в Telegram. А номер телефона привязан к паспорту, на всякий случай.
Не может годами работать инфраструктура за спасибо. Кто-то её финансировал. Зачем?
Товарищ майор, благодарю за службу!))
kelegorm
Это нога, того, кого надо, нога.
prospero78su
Лингвонаци детектед.