Ответ Lerson в «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

Ну раз пошла такая пьянка, то давайте немного проясним, кто же я такой на самом деле. Хм, с чего бы начать? Началась моя виртуальная жизнь в роли системного администратора в далёком 2008 году, когда юный парнишка, окрылённый идеей создания собственного виртуального мира, одним из первых в Рунете поднял любительский сервер популярной в то время MMORPG. Сервер работал под управлением CoLinux, деля ресурсы с Windows XP. Кто в курсе, как работает сетевой стек старой-доброй «хрюши», должен помнить, каких неимоверных трудов стоило в те далёкие времена снять ограничения на количество подключений, объём потребляемой памяти, получить публичный DNS и защитить сервер от надоедливых школьников, любящих использовать XSpider и Sprut для обнуления твоих трудов.

После принудительного закрытия сервера из-за прямого обращения правообладателя я неожиданно для себя осознал, что мне мало быть администратором пиратского сервера. Вот именно тогда и началась моя основная карьера как кодера. Были поверхностно изучены Delphi, PHP (Devil Studio), C#. Написано ПО, о котором лучше не говорить, но которым вы точно пользовались в те далёкие времена практически каждый день. Правда, продлилась моя любовь к кодингу, онлайн-играм, обходу VAC недолго. Охладев к "проказам", я неожиданно бнаружил, что в Рунете все те, кто рассказывает про Linux, — полные ламеры, наяривающие на Ubuntu и Debian. В итоге, мною были прощупаны десятки дистрибутивов, создано и адаптировано сотни инструкций. Написаны первые строки ARU и приложений на Python, в дальнейшем послужившие основой Cache OS. Конечно, всё это было до 2016 года, когда мир ещё казался добрым и светлым.

Успешно защитив диплом по радиотехнике одним из лучших во всём потоке, я был любезно допущен до экзаменов в МФТИ. В застенках уже этого прекрасного учреждения я познакомился с Василием (Ventureo), нынешним активным разработчиком CachyOS. Наши совместные четырёхлетние усилия послужили вкладом в создание одного из самых быстрых в мире Linux-дистрибутивов - CachyOS. Что это за операционная система и что она умеет, вы всегда можете почитать тут.

Создав на YouTube канал Pasha L и блог на IXBT/Live, мы совместно с Василием выпускали авторские технические материалы, стараясь открыть глаза людям на Linux. Предсказали релиз Steam Deck на ArchLinux, открыли людям глаза на возможность запуска игр, разработали десяток различных библиотек и программных оптимизаций, исправляли руками Xorg. В общем, красноглазили как могли.

Тем не менее ничто не длится вечно. Осознав в 2022 году, что людей уже приучили быть хомячками корпораций, мы приняли решение прекратить активную разработку, ограничившись выпуском небольших исправлений. Я в то время уже закончил МФТИ, Василий же готовился к армии. Наши пути разошлись.

В период с 2022 по 2024 год моя прекрасная тушка путешествовала по офисам различных компаний, принимая активное участие в разработке умных программных алгоритмов и продолжая отправлять в московскую редакцию интересные лично мне материалы. Кому написать локальную Алису с возможностью ролевой игры? Шутка.

Так что, дорогие пикабушники, кричащие, что я грязный кремлебот, — я любознательный человек, который постигает различные сферы: от администрирования сервера и разработки игр до сетевой безопасности, копирайтинга и авторских исследований. Надеюсь, я сумел немного разбавить весь тот поток грязи, что льётся эти два дня в мою сторону. А если нет, то как-то и плевать, я тут не за славой и не ради плюсиков. Моё искреннее желание всегда было помогать людям избавляя их от навязанной лжи, пускай и даже в ущерб себе.

Передаю большой привет парням из FPteam, компании Oracle, Мегафон, Микрон, mail.ru. Без вас, я бы помер от скуки ещё в 2010 году.

Показать полностью 3 1
582

Ответ luis2gerallit в «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

Восхитительный пост.

Привет, меня зовут Павел, я бывший хакер, а ныне один из разработчиков CachyOS

Открываем https://cachyos.org/about/, никакого Павла там и нет.

Тут тоже нет https://github.com/orgs/CachyOS/people. Как будто Павел ни разу не вносит изменения в проект https://github.com/CachyOS. Странно для человека, который разрабатывает этот проект, нет?

Зато Павел под разными никами мелькает на разных ресурсах как копирайтер. Например, вот статья автора - https://www.ixbt.com/live/sw/pyat-prichin-pereyti-s-windows-... (уверен, можно найти еще, это просто была первая, которую можно было просто из его профиля на пикабу найти).

Или отмотать его посты назад, везде там топорные копирайтерские публикации на тему it.

Что побудила покопаться в этом? Ибо Павел вещает странные вещи про STUN серваки

Это называется STUN-серверы.

которые не являются ими.

Хорошо уже об этом высказывались на хабре:

https://habr.com/ru/articles/1006394/#comment_29618506

https://habr.com/ru/articles/1006394/#comment_29618492

+ из самой публикации

Само по себе обращение к сервисам определения IP не преступление — например, это может быть необходимо для корректной настройки P2P‑звонков через WebRTC. Однако у VK (создателей Max) уже давно есть собственные STUN-сервера, предназначенные именно для этой задачи, и следовательно нет необходимости использовать посторонние, особенно иностранные сервисы.

И только Павлу известно как все на деле и зачем там используются ресурсы для определения ip в разных зонах.

Или вот это:

Эту глупость даже комментировать не хочется. Это нужно для кнопки «Поделиться» — чтобы поставить Telegram первым в списке приложений!

Я даже не представляю как Павел сморозил такую глупость. Причем здесь доступность доменов и кнопка "поделиться" -- одному только Павлу известно. Тем более, он сам тут же признает, что сказал какую-то ересь

И для этого нужно сначала спросить систему: «А Telegram вообще установлен?» Это делают практически все приложения на Android

Мы можем android тупо спросить через что мы можем отправить сущность, он подскажет какие приложения могут отправить, доступность доменов не влияет на поведение кнопки.

Или вот это

Автор нашёл механизм P2P-связи и назвал его слежкой, LOL.

Ребята рассылают методички в маркетплейсы, банки на тему: как отслеживать впн на устройствах пользователей и прекращать работу, а Павел как будто живет в вакууме. Пруф https://habr.com/ru/news/1021626/

А еще недавно Павел горел с блокировок от РКН

Спасибо, РКН

Интересно, что же поменялось за год у it копирайтера, что он так решил развернуться на 180, и выдать еще одну статью, которая обеляет макс, и еще серию постов, о том что блокировки благо? Риторический вопрос, да?

Показать полностью
124

Ответ luis2gerallit в «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

Чтож, посмотрим.

URL сервисов для определения IP спрятаны в коде как массивы чисел (например, {104, 116, 116, 112, 115...})

Это делается не для того, чтобы что-то скрыть от пользователя, а для уменьшения размера APK-файла, защиты от конкурентов и усложнения работы автоматических сканеров уязвимостей.

Я, конечно, не спец в андроид разработке, но каким образом это может помочь уменьшить объем файла? Один символ в кодировке UTF-8 занимает 1-2 байта, одно число типа int (а, судя по исходному посту, там используются именно они) занимает 4 байта. Т.е. массив чисел занимает где-то в 2-4 раза больше места, чем аналогичная строка. Про усложнение работы автоматических сканеров и так было написано в исходном посте.

MAX при каждом открытии тайно определяет ваш внешний IP через шесть сервисов (Яндекс, Amazon, Mail.ru и другие).

Пользователь и его собеседник сидит за роутерами, и чтобы установить прямое P2P-соединение, приложение должно узнать свой внешний IP и порт. Для этого оно стучится к STUN-серверу.

Вот именно, внешний IP и порт. Причем эта информация нужна не самому клиенту, а собеседнику, чтобы "стучаться" к этому клиенту. При этом, в оригинальном посте указана следующая информация, которая отправляется на сервер:

{

"type": "HOST_REACHABILITY",

"event": "GET_HOST_REACHABILITY",

"userId": 123456789,

"sessionId": 987654321,

"time": 1712847600000,

"params": {

"hosts": {

"api.oneme.ru": true,

"gstatic.com": true,

"calls.okcdn.ru": true,

"gosuslugi.ru": true,

"mtalk.google.com": true

},

"operator": "25001:MTS",

"connection_type": 0,

"ip": "185.xxx.xxx.xxx",

"vpn": 1

}

}

Кто-нибудь видит здесь порт? Вот и я не вижу. А как стучаться только по IP без порта (который назначается рандомным образом) - я понятия не имею. Нет, это не P2P, это именно слежка. К тому же в "разоблачении" почему-то тактично упущен тот момент, что на сервер также летит еще и информация о статусе VPN.

В MAX встроены ASR (распознавание речи), идентификация голоса и детект ключевых слов во время звонков. Модели доставляются с сервера. Это система прослушки.

Наличие ASR-модели — это давно норма для приложения с поддержкой голосового ввода. Крупные мессенджеры внедряют локальные модели для голосового управления («Ответить», «Завершить вызов», «Отключить микрофон»), для шумоподавления и для определения активности речи. Модель работает локально на вашем телефоне.

Так автор и не отрицает, что модель работает локально на телефоне. Его претензия сводится к тому, что она доставляется с сервера, и сервер может подсунуть туда всё что угодно. Она может распознавать какие угодно ключевые слова и слать отчеты на сервер. При этом, даже не придется обновлять приложение. Да и распознавание ключевых слов происходит именно во время звонка, а не для "голосового управления". Что это, если не потенциальная прослушка?

MAX проверяет, установлен ли Telegram на устройстве!

Эту глупость даже комментировать не хочется. Это нужно для кнопки «Поделиться» — чтобы поставить Telegram первым в списке приложений!

А теперь читаем полную цитату из оригинального поста:

Отдельно: MAX проверяет, установлен ли Telegram на вашем устройстве — ищет три варианта приложения: основной, бета и веб-версию. Официально это для кнопки «Поделиться» (Telegram ставится первым в списке).

Т.е. там изначально буквально это и написано. Зачем это нужно было упоминать в ответном посте - понятия не имею. Наверно просто для того, чтобы обосрать автора лишний раз.

Вывод

Автор разбирается в сетевой безопаности, но читал исходные посты с закрытыми глазами или умышленно вводит вас в заблуждение ¯\_(ツ)_/¯.

Показать полностью
8

Ответ luis2gerallit в «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

1103

Ответ на пост «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

Привет, меня зовут Павел, я бывший хакер, а ныне один из разработчиков CachyOS. На прошлой неделе мне прислали ссылку на громкое «расследование» под названием «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги». Я прочитал оба поста, и как человек за плечами которого много того, о чём публично говорить не стоит, могу громко заявить, что автор умышленно или по незнанию вводит вас в заблуждение. Начнём по порядку.

URL сервисов для определения IP спрятаны в коде как массивы чисел (например, {104, 116, 116, 112, 115...}), чтобы их нельзя было найти поиском и быстрым анализом. Это «инженерия уровня малвари» и намеренное сокрытие следов.

Это не малварь, это базовая работа коммерческого обфускатора. ProGuard, который используют 90% Android-приложений, умеет автоматически превращать строки в массивы байт или int. Это делается не для того, чтобы что-то скрыть от пользователя, а для уменьшения размера APK-файла, защиты от конкурентов и усложнения работы автоматических сканеров уязвимостей. Если бы разработчики ПО действительно хотели бы скрыть веб-адреса, вы бы никогда их не нашли — они лежали бы в нативной библиотеке .so с шифрованием AES-256 и динамической расшифровкой. А тут простой JAVA массив (f28.java), который видит любой, кто открыл JADX. Короче говоря, автор выдаёт стандартную защиту от копипасты и нубо-хакеров за попытку скрыть преступление.

MAX при каждом открытии тайно определяет ваш внешний IP через шесть сервисов (Яндекс, Amazon, Mail.ru и другие). Запросы идут через raw-сокеты в обход стандартных библиотек, а порядок сервисов каждый раз перемешивается. Это «инфраструктура сетевой слежки» в масштабах всей страны.

Это называется STUN-серверы. Они нужны любому мессенджеру с голосовыми и видеозвонками. Пользователь и его собеседник сидит за роутерами, и чтобы установить прямое P2P-соединение, приложение должно узнать свой внешний IP и порт. Для этого оно стучится к STUN-серверу. Шесть серверов — для отказоустойчивости (один упал — работает другой). Их жанглирование (перемешивание порядка) чтобы не перегружать один сервер миллионами запросов. А RAW-сокеты — потому что STUN работает поверх UDP, а не через стандартную HTTP-библиотеку OkHttp, которую автор ожидал увидеть. Да, MAX отправляет ваш IP на свой сервер — иначе как другой пользователь узнает, куда стучаться для звонка? То же самое делают Telegram, Signal, WhatsApp и Wire. Автор нашёл механизм P2P-связи и назвал его слежкой, LOL.

MAX проверяет доступность пяти хостов, включая gosuslugi.ru. Это часть системы сбора данных о пользователе. Комбинация ответов даёт VK полную картину: кто обходит блокировки, кто использует VPN, кто находится за границей.

Это простая диагностика. Приложению нужно знать, почему у вас не идёт звонок. Если Google доступен, а Госуслуги нет — пользователь за границей или у провайдера проблемы внутри РФ. Если Госуслуги доступны, а Google нет — пользователь в России, и его провайдер блокирует западные ресурсы. Если ничего не доступно, кроме API MAX — пользователь на корпоративном прокси с белым списком. На основе этих данных приложение ориентируется, какие подсказки выводить пользователю на экран и какие внутренние сервисы можно задействовать. Если называть проверку доступности сайта «шпионажем», тогда каждый браузер и каждая операционная система шпионят за вами каждую секунду. А учитывая, что правительство планирует сделать из MAX национальный мессенджер "всё влючено", то нет ничего удевительного простукивания им уймы внешних веб-ресурсов.

В MAX встроены ASR (распознавание речи), идентификация голоса и детект ключевых слов во время звонков. Модели доставляются с сервера. Это система прослушки.

Наличие ASR-модели — это давно норма для приложения с поддержкой голосового ввода. С 2024 года крупные мессенджеры внедряют локальные модели для голосового управления («Ответить», «Завершить вызов», «Отключить микрофон»), для шумоподавления и для определения активности речи (чтобы не отправлять пустые пакеты в тишине). Модель работает локально на вашем телефоне. Это легко проверить через сниффинг трафика — который автор, судя по всему, либо не делал, либо не нашёл ничего криминального и потому промолчал.

В коде присутствуют домены main.telegram.org и mmg.whatsapp.net. «Сам факт их наличия рядом с активными проверками примечателен». MAX проверяет, установлен ли Telegram на устройстве!

Эту глупость даже комментировать не хочется. Это нужно для кнопки «Поделиться» — чтобы поставить Telegram первым в списке приложений! И для этого нужно сначала спросить систему: «А Telegram вообще установлен?» Это делают практически все приложения на Android.

Вывод

Автор разбирается в сетевой безопаности, но ничего не знает о стандартах и требованиях к разработке современных приложений на ANDROID или умышленно вводит вас в заблуждение ¯\_(ツ)_/¯.

UPD:

Для мамкиных хейтеров
Ответ Lerson в «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

Показать полностью
14

Ответ на пост «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

Во-первых статья устарела. Ей. Уже недели 2.

Во-вторых, подобным, уже занимается не только скам, но и много кто еще:

Выявление слежки в 30 популярных российских приложениях:
● 22 из 30 приложений детектируют VPN, из них 18 подтверждённо отправляют VPN статус на сервер
● 29 из 30 приложений проверяют наличие root-доступа (все кроме Яндекс Go)
● 24 из 30 запрашивают доступ к микрофону
● 28 из 30 запрашивают доступ к камере
● 24 из 30 отправляют список установленных приложений на свои серверы
● 11 из 30 приложений получают рейтинг RED (максимальная слежка)
● 49 из 68 проверок слежки работают без участия пользователя — сразу после установки

Ссылка на полную статью: https://files.rks.global/russian_apps_search_for_vpn_ru.pdf

265

Ответ на пост «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

Таргетированная реклама это детский лепет по сравнению с тем, когда BigData становится инструментом государства для подавления несогласных. Там, где раньше алгоритм подбирал вам перчатки, теперь он может подобрать статью УК за неосторожное мнение. И вместо перчаток на руках окажутся наручники.

31

Ответ на пост «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

В ответном посте упомянули, что месседжер Max использует определенные сайты для определения вашего IP, возможно, с целью дальнейшей блокировки со стороны РКН

Теперь вопрос.
Почему бы владельцам ВПН не прописать переадресацию при запросе этих доменов или IP сайтов, на свой фальшивый сервис, который на запросы Max будет отдавать IP 127.0.0.1?
Какова вероятность, что при массовом возврате этого IP - РКН снова заблокирует себе анус?

Показать полностью 1
678

Ответ на пост «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

Если я сделал правильные выводы - то приложение MAX нарушает все политики обработки персональных данных, в том числе РФ. У нас такая слежка разрешена только по решению суда.

А значит попросить Apple проверить приложение как минимум стоит.

Показать полностью 2

Ответ на пост «Как MAX помогает РКН строить железный занавес: VPN-детект, сбор IP и проверки на Госуслуги»

Господи, очередная иишная статья, как уже блевать тянет от её оборотов аля "это не то, это это". Интересно кто заказывает эту шляпу, не уж то враги наши?)

Отличная работа, все прочитано!

Темы

Политика

Теги

Популярные авторы

Сообщества

18+

Теги

Популярные авторы

Сообщества

Игры

Теги

Популярные авторы

Сообщества

Юмор

Теги

Популярные авторы

Сообщества

Отношения

Теги

Популярные авторы

Сообщества

Здоровье

Теги

Популярные авторы

Сообщества

Путешествия

Теги

Популярные авторы

Сообщества

Спорт

Теги

Популярные авторы

Сообщества

Хобби

Теги

Популярные авторы

Сообщества

Сервис

Теги

Популярные авторы

Сообщества

Природа

Теги

Популярные авторы

Сообщества

Бизнес

Теги

Популярные авторы

Сообщества

Транспорт

Теги

Популярные авторы

Сообщества

Общение

Теги

Популярные авторы

Сообщества

Юриспруденция

Теги

Популярные авторы

Сообщества

Наука

Теги

Популярные авторы

Сообщества

IT

Теги

Популярные авторы

Сообщества

Животные

Теги

Популярные авторы

Сообщества

Кино и сериалы

Теги

Популярные авторы

Сообщества

Экономика

Теги

Популярные авторы

Сообщества

Кулинария

Теги

Популярные авторы

Сообщества

История

Теги

Популярные авторы

Сообщества