Session (https://getsession.org), проблема анонимности

[BlackByte]

Палит вашу маршрутизацию "в мир", включая все IP (включая внутренние) "по дороге". Для деятелей, любящих устраивать срач на форуме — скажу сразу: под "палит" понимается доступ к, и откровенный вывод соответствующего окна GUI "в лоб" показывающего ваш текущий маршрут (без IP адресов). Сливается ли куда-то эта информация или нет — не изучал, но такое поведение не понравилось априори. Снёс.

 

[bratva]

bratva сказал(а):
Бро, ты видимо слишком умный, а я слишком глупый.

bratva сказал(а):
Абсолютно не понимаю, о чем ты ведешь речь, при этом для меня твое первое предложение противоречит второму. Некоторые слова как "GUI-окно" или что ты вкладываешь в "маршрут" и "внутренние IP" - я не понимаю в принципе.

bratva сказал(а):
заканчивая использованием неаудированного протокола (который был два года назад сменен с Сигналовского тихо и без внятной на то причины)

bratva сказал(а):
BlackByte, представь на мгновение, что я клиент твоего элитного консалтинг сервиса и проконсультируй, пожалуйста. Лучшая реклама получится, как мне кажется.

Не, бро, модераторы глупыми не бывают, не притворяйся. Ты слишком добрый и слишком занятой. Вероятно, это я не сумел корректно донести мысль. Что ж, попробуем еще разок.

Специально для тебя, я пошел и снова слил дистриб этого прекрасного мессенджера, чтобы наглядно показать тебе что именно я имел в виду. Вот то самое окно (элемент GUI), которое показывает маршрут твоего трафика (они называют это Path). Т.е. софтина не просто осуществляет коммуникацию вовне с использованием маршрутизации хоста, но и показывает тебе как именно ее трафик идет в мир (причем делает это криво, путает последовательность хопов). Учитывая, что это банальная визуальная репрезентация трассировки с последующим определением принадлежности IP каждого хопа к стране - вот на кой она это делает? Если такая функциональность есть, что мешает дописать несколько строк и сливать это налево? (повторюсь, я не проверял). Т.е. у тебя есть некая точка терминации трафика, а тут какая то софтина все ипишники которые ДО (и которые ты бы не хотел никуда светить) берет и палит (может палить в теории). Вот и весь посыл. Как тебе такое нравится? Мне не нравится, о чем я выше и написал.

Учитывая вот ровно то, что ты написал, мне вся эта картина не нравится. Понятно, что так можно сказать про любой софт работающий на машине, но тут прям явным образом говорят "смотри чувак, вот так идет твой трафик". Как знать, может вся эта инфа сливается через неаудированный протокол по тихому смененный два года назад?

Не люблю сарказм.
Вложения
Screenshot from 2023-10-26 14-49-51.png

 

[BlackByte]

Специально для тебя, я пошел и снова слил дистриб этого прекрасного мессенджера, чтобы наглядно показать тебе что именно я имел в виду. Вот то самое окно (элемент GUI), которое показывает маршрут твоего трафика (они называют это Path). Т.е. софтина не просто осуществляет коммуникацию вовне с использованием маршрутизации хоста, но и показывает тебе как именно ее трафик идет в мир (причем делает это криво, путает последовательность хопов). Учитывая, что это банальная визуальная репрезентация трассировки с последующим определением принадлежности IP каждого хопа к стране - вот на кой она это делает? Если такая функциональность есть, что мешает дописать несколько строк и сливать это налево? (повторюсь, я не проверял). Т.е. у тебя есть некая точка терминации трафика, а тут какая то софтина все ипишники которые ДО (и которые ты бы не хотел никуда светить) берет и палит (может палить в теории). Вот и весь посыл. Как тебе такое нравится? Мне не нравится, о чем я выше и написал.

The other foundational component of Session is an onion routing protocol, referred to as onion re-
quests, which enables Session clients to obfuscate their IP addresses by creating a 3-hop randomised
path through the Service Node network. Onion requests use a simple onion routing protocol which
successively encrypts each request for each of the three hops, ensuring:
• the first Service Node only knows the IP address of the client and the IP address of the middle
Service Node,
• the middle Service Node only knows the IP address of the first and last Service Nodes, and
• the last Service Node only knows the IP address of the middle Service Node and the final
destination IP address for the request.

Each Session client establishes a path on startup, and once established, all requests for messages,
attachments and meta information are sent through this path.

Service Nodes are the community-operated nodes which make up the Oxen Network. There are currently over 1,000 nodes in the network. These Service Nodes are responsible for storing and routing your Session messages.

Это не твой трейс к апстриму или к серверам Session, потому что архитектура заявлена как "децентрализованная", то что ты видишь носит название "Onion routing": https://getsession.org/blog/session-protocol-technical-information

При этом:


Источник: https://r.jordan.im/download/technology/jefferys2020-2.pdf

Т.е. то, что ты видишь в этом окне, должны быть три случайно выбранных ониона (Service Node), через которые будет идти весь роутинг на момент текущей сессии.
Откуда берутся онионы:


Можете засетапить сами и посмотреть, что происходит с трафиком на стороне ноды: https://docs.oxen.io/oxen-docs/using-the-oxen-blockchain/oxen-service-node-guides

P. S. Немножко неловко себя ощущать защитником мессенджера, который мне не нравится по причинам, что я уже озвучил ранее, но давайте не превращаться в форум домохозяек. Если есть утверждение, что сливается трейс куда-то, то вероятно нужно подтвердить утверждение как-то хотя бы слепком трафика, либо обосновать логически. А то сильно печально становится от таких выводов из ничего

 

[bratva]

bratva сказал(а):
Это не твой трейс к апстриму или к серверам Session, потому что архитектура заявлена как "децентрализованная"

bratva сказал(а):
Т.е. то, что ты видишь в этом окне, должны быть три выбранных ониона, через которые будет идти весь роутинг на момент текущей сессии.

bratva сказал(а):
Если есть утверждение, что сливается трейс

bratva сказал(а):
давайте не превращаться в форум домохозяек

Заявлено может быть что угодно. Вот только поясни мне пожалуйста, каким образом, если терминация трафика осуществляется во Франции, это прекрасное приложение рисует мне в качестве начальной точки штаты? Если следовать этой логике (и если я верно ее понял, доки пока не читал), то от Франции должно быть три выбранных ониона, а не от штатов. Таким образом, показывает оно именно текущую маршрутизацию трафика, реальную. А не какие-то там луковые слои. Могу ошибаться, конечно. Подождем аргументов спецов по сетям.

Должны быть, угу.

Хорошая попытка, но нет. Я несколько раз написал, что НЕ утверждаю про слив (написал что МОЖЕТ сливать).

Давайте. Предлагаю начать с внимательного прочтения того, о чем я пишу. См. выше.

 

[BlackByte]

Это дискуссия из разряда:
- Вероятно, что большинство нод Тора администрируются спецслужбами США, которые являются истинными разработчиками протокола и используют его недокументированные возможности для снифа трафика с целью деанонимизации пользователей.
- Какие ваши доказательства?
- Прочитайте внимательно, о чем я пишу. Я НЕ утверждаю, что это так и написал "вероятно".

Окей, бро, збс. Едем дальше

 

[bratva]

bratva сказал(а):
Это дискуссия из разряда:
- Вероятно, что большинство нод Тора администрируются спецслужбами США, которые являются истинными разработчиками протокола и используют его недокументированные возможности для снифа трафика с целью деанонимизации пользователей.
- Какие ваши доказательства?
- Прочитайте внимательно, о чем я пишу. Я НЕ утверждаю, что это так и написал "вероятно".

Окей, бро, збс. Едем дальше

Пожалуйста, обратите внимание, что пользователь заблокирован

Как я это вижу -- было сказано что софтина смотрит маршрутизацию. Поставил, чтобы составить свое мнение. Подтверждаю, вижу в окошке трейс до точки выхода своего трафика в мир. Если уважаемый братва думает что маршрутизация от хоста может строиться в обход статических роутов прибитых гвоздями, то ему пора на форум домохозяек))) Без обид.

 

[darkcoder_io]

Добавлю свои 5 копеек: маршрутизация часто DE-DE-DE, DE-DE-FR, DE-US-DE, AU-AU-FR. Страны не смущают? Особенно то что могут быть и три одинаковые... А страны из группы 9 Eyes. Что мешает отслеживать? Практически ничего.
Другие 5 копеек: чтобы запустить ноду - нужно купить их крипту и удерживать, просто запустить ноду как в Status не получиться. За их протокол без PFS - ...

Чтобы потом эти копейки с верху на глаза не поставили.

 

[nightly]

darkcoder_io сказал(а):
Если уважаемый братва думает что маршрутизация от хоста может строиться в обход статических роутов прибитых гвоздями

В точку! Не может, о том и речь. Так что в окошке рисуется не луковый роутинг, а реальный (по крайней мере по странам).

 

[BlackByte]

nightly сказал(а):
Добавлю свои 5 копеек: маршрутизация часто DE-DE-DE, DE-DE-FR, DE-US-DE, AU-AU-FR. Страны не смущают? Особенно то что могут быть и три одинаковые... А страны из группы 9 Eyes. Что мешает отслеживать? Практически ничего.
Другие 5 копеек: чтобы запустить ноду - нужно купить их крипту и удерживать, просто запустить ноду как в Status не получиться. За их протокол без PFS - ...

Чтобы потом эти копейки с верху на глаза не поставили.

Бро, я Session здесь защищать не хочу, лол, НО - давайте все таки будем объективными и набор стран объясняется довольно просто: популярными хостерами VPS. Я не знаю ни одной более-менее активной p2p сети, что была бы построена не на хостах внутри стран 9 глаз (пользователи или серверы). Да, было бы охренительно круто организовать 1000 нод в абузоустойчивых ДЦ или просто "интересных" странах, но реально ли это?

Именно поэтому все часто и пляшет вокруг технологий - а именно протоколов и криптографии. Отсюда мне лично интересно читать о проблемах в протоколах и криптографии, но с какими-то обоснованиями, а не конспирологическими теориями из ниоткуда.

Но это мое мнение. Не как модератора, личное.

 

[bratva]

bratva сказал(а):
Бро, я Session здесь защищать не хочу, лол, НО - давайте все таки будем объективными и набор стран объясняется довольно просто: популярными хостерами VPS. Я не знаю ни одной более-менее активной p2p сети, что была бы построена не на хостах внутри стран 9 глаз (пользователи или серверы). Да, было бы охренительно круто организовать 1000 нод в абузоустойчивых ДЦ или просто "интересных" странах, но реально ли это?

Именно поэтому все часто и пляшет вокруг технологий - а именно протоколов и криптографии. Отсюда мне лично интересно читать о проблемах в протоколах и криптографии, но с какими-то обоснованиями, а не конспирологическими теориями из ниоткуда.

Но это мое мнение. Не как модератора, личное.

Если у них P2P модель и образно тебе пишет условный Кребс и цепочка через условного недохостера из DE (давайте вспомним удивительный случай с jabber.ru как магически у двоих хостеров подменились серты) что мешает отследить? Никаких задержек нет; мусора в траффе; ничего. Хотя бы миксовать страны и не давать делать цепочку через одну страну.
Приложение не дает настроить прокси и кстати оно работает очень галимо через тор)

Дальше в самом приложении:
- без гугл сервисов даже в их FDroid есть это говно
- без гугл сервисов вы будете получать сообщения раз в 15 минут (тема не однократно поднималась чтобы висел сервис в фоне, но что-то мешает разрабам)
- работа звонков это отдельный ужас и до сих пор не сделали чтобы не палили IP. Аудита не было, не удивлюсь если можно как-то "пингануть звонком" того кто его не разрешал
- без PFS ваши сообщения и так "временно" будут на нодах и их шифрует кастраткастомным алгоритмом. Продолжать?)

Я не эксперт в области криптографии и это чисто моё мнение. И для меня это слишком шарашкина контора чтобы она позиционировалась как:
- free for everyone (платные ноды)
- open source (в клиенте гугл говно)
- secure (без PQA, PFS, звонки сливают IP)
- anonymous (роут через одну страну)

 

[nightly]

bratva сказал(а):
Отсюда мне лично интересно читать о проблемах в протоколах и криптографии,

bratva сказал(а):
но с какими-то обоснованиями, а не конспирологическими теориями из ниоткуда.

nightly сказал(а):
и их шифрует кастрат

Пожалуйста, обратите внимание, что пользователь заблокирован

Из поста ТС сразу было ясно, что к протоколам суть поста имеет отдаленное отношение, ибо ТС сразу сказал что не проверял. По итогу срач как обычно, ты ему про ивана, он тебе про барана.

Но то что апп видит и показывает реальный маршрут -- я понимаю почему ТС это не нравится. Продолжай считать маршрутизацию конспирологией)

Ахаха, зачёт!))

 

[darkcoder_io]

nightly сказал(а):
работа звонков это отдельный ужас и до сих пор не сделали чтобы не палили IP. Аудита не было, не удивлюсь если можно как-то "пингануть звонком" того кто его не разрешал

Можешь поподробнее объяснить? При звонке трафик каким-то другим способом передаётся? Как это можно посмотреть и контролировать?
И можешь ли в этом плане годное по посоветовать, чтобы аналогично сквозному шифрованию в переписке аудиозвонки шли

 

[larryalcina]

larryalcina сказал(а):
Можешь поподробнее объяснить? При звонке трафик каким-то другим способом передаётся? Как это можно посмотреть и контролировать?
И можешь ли в этом плане годное по посоветовать, чтобы аналогично сквозному шифрованию в переписке аудиозвонки шли

Прямо у них пишет какая реализация и почему сливает ИП.

SimpleX/Signal

 

[nightly]

nightly сказал(а):
Прямо у них пишет какая реализация и почему сливает ИП.

SimpleX/Signal

А как можно шифрование звонков и правильную передачу трафика проверить самостоятельно?

 

[larryalcina]

Perfect Forward Secrecy was removed from Session in order to make it easy for the security agencies to spy on messages.

 

[lifeofhonzi]

How do you like the chain USA-GERMi-UKRAPINE ? session 3To xyuH9| 2k%

 

[rootplug]

rootplug сказал(а):
session 3To xyuH9

Не стоит мешать людям заблуждаться (=