หมวดหมู่: dropsafe (dropsafe)

ฉัน — อเล็ก มัฟเฟตต์ — สร้างภาพนี้และประดิษฐ์วลีนี้ (เป็นที่ยอมรับว่าค่อนข้างชัดเจนและมีแนวโน้มว่าจะไม่เป็นต้นฉบับ) และฉันให้สิทธิ์ใช้งานรูปภาพนี้ภายใต้เงื่อนไข CC-BY-SA

การทำงานร่วมกันตามที่เรียกร้องในปัจจุบันสำหรับ …

1. ขยายกราฟโซเชียลให้กว้างกว่าแต่ละแพลตฟอร์มเพื่อให้เชื่อมโยงกัน รั่วไหลข้อมูลประจำตัวที่ไม่ปะติดปะต่อกัน ฯลฯ ดู: XKeyScore
2. ทำให้เกิดความสับสนเกี่ยวกับความปลอดภัยของแพลตฟอร์มใด ๆ (“…ฉันกำลังใช้ E2E ในการแชทกลุ่มนี้หรือไม่”)
3. แพลตฟอร์มใหม่ที่ปลอดภัยใด ๆ ที่ใหญ่โตจะถูกกีดกันในที่สุด เพื่อประโยชน์ในที่สุดของการรักษาความปลอดภัยของรัฐและบริการข่าวกรอง
4. ให้โอกาสทางธรรมชาติสำหรับการสกัดกั้นข้อความที่ชัดเจนที่ “สะพาน”
5. ให้โอกาสตามธรรมชาติสำหรับการโจมตีดาวน์เกรด เช่น: เชื่อมโยงผู้ใช้ Telegram เข้ากับการแชท iMessage สำเนาของทุกอย่างจบลงที่ Telegram
6. ให้โอกาสที่เป็นธรรมชาติสำหรับข้อผิดพลาดของผู้ใช้ (“…อ๊ะ ฉันส่งมันทาง SMS / Telegram Cleartext / …”)
7. ขัดขวางการพัฒนา e2ee ที่กำลังดำเนินอยู่ (“…พวกเขาสามารถเปลี่ยนไปใช้ Matrix ได้ทั้งหมด” / “…พวกเขาสามารถใช้ MLS ซึ่งยังคงเป็นร่างมาตรฐาน…”)

คลี่คลาย

2/ ไม่มีการกล่าวเกินจริงเกี่ยวกับ “ลัทธิสุดโต่ง” ในที่นี้ เช่น นี่คือบล็อกโพสต์ของวันนี้จาก @matrixdotorg เกี่ยวกับข้อเสนอ และบอกตามตรงว่าฉันรู้สึกสยดสยองในหลายมิติที่พวกเขาสามารถเสนอสิ่งนี้ได้ ด้วยเหตุผลดังต่อไปนี้:

3/ ในลำดับที่กลับกัน: จุดทั้งหมดของสภาพแวดล้อมที่เข้ารหัสแบบ end-to-end คือ “ข้อมูลของคุณ” ถูกล็อคไว้ที่:

– โทรศัพท์ของคุณ
– โทรศัพท์ของผู้เข้าร่วมคนอื่น ๆ
– และไม่มีที่ไหนอีกแล้ว

ไม่มีใครจับข้อมูลของคุณเป็นตัวประกัน ยกเว้นในโทรศัพท์ของคุณ — ที่ซึ่งคุณสามารถบันทึก/สำรองข้อมูล ฯลฯ

4 / เมื่อพิจารณาถึงความสำคัญ/การใช้ “ข้อความที่หายไป” ที่เพิ่มขึ้น และอื่นๆ ก็ยังเป็นที่ถกเถียงกันอยู่ว่าข้อมูลที่เพิ่มมากขึ้นนั้นควรจะหมดอายุแทนที่จะคงอยู่ และการมีข้อมูลอยู่ภายในแอปเดียวที่มีนโยบายเดียวเกี่ยวกับเรื่องนั้น ช่วยให้ผู้คนให้เหตุผล แบบจำลองภัยคุกคาม

5/ สิ่งนี้เรียกอีกอย่างว่า “…เรามาสลับไปใช้ Snapchat กันเถอะ เพื่อให้เราสามารถส่งรูปเปลือยของกันและกันให้กันและกันได้ และมั่นใจมากขึ้นอีกหน่อยว่า (ก) รูปภาพจะไม่คงอยู่ บวกด้วย (ข) ฉัน’ จะได้รู้ว่าคุณโกง / จับภาพหน้าจอ” -effect

คนอยากได้ของแบบนี้.

6/ กล่าวโดยย่อ: ผู้คนต้องการข้อเสนอที่มีคุณค่าและความแตกต่างของคุณลักษณะแอปพลิเคชันเป็นโซลูชันสำหรับความต้องการของพวกเขา…

แต่ #การทำงาน ร่วมกัน เป็นกลุ่มคนที่ต้องการ “ไคลเอนต์แชทเดียวที่จะปกครองเครือข่ายแชททั้งหมด”

7/ พูดตามตรง: มีบางครั้งที่มันใช้ได้ผล แต่มันหายไปแล้ว ประเด็นไม่ใช่สำหรับอลิซที่จะส่งข้อความถึงบ๊อบอีกต่อไป แทนที่จะให้สิ่งอำนวยความสะดวกในการส่งข้อความและเป็นคุณลักษณะเช่นรูปภาพที่หายไปหรือการชำระเงินหรือ GIF และ Emoji หรือตัวกรองซึ่งมีมูลค่าแพลตฟอร์ม

8/ ดังนั้นเมื่อ @matrixdotorg พูดถึง “สวนที่มีกำแพงล้อมรอบ” เนื่องจากไม่มีข้อมูลใดถูกล็อกไว้ใน E2E สิ่งที่พวกเขากำลังพูดถึงคือ “การมีส่วนร่วมของผู้ใช้”

สรุป: “เราคิดว่ามีคนจำนวนมากเกินไปที่ใช้ <แพลตฟอร์มขนาดใหญ่> มากกว่า <อย่างอื่น>”

นั่นเป็นเพียง… ความอิจฉาและความโอหัง

9/ เมื่อ @matrixdotorg พูดว่า:

“เราสามารถตั้งค่าสถานะให้ผู้ใช้ทราบว่าการสนทนาของพวกเขาไม่ปลอดภัย …. จริงๆ แล้ว นี่คือสิ่งที่แอปสื่อสาร (รวมถึงแอปที่ใช้เมทริกซ์ด้วย!) ควรทำอยู่ดี”

ฉันไม่เห็นด้วย เนื่องจากสิ่งที่คุณควรทำคือทำให้การสนทนามีความปลอดภัยมากขึ้น:

10/ เมื่อ @matrixdotorg พูดว่า:

“บริดจ์ดังกล่าวต้องเข้ารหัสอีกครั้ง…ทำลายการรับประกันการเข้ารหัสแบบ end-to-end…เราสามารถเรียกใช้บริดจ์ในที่ที่ค่อนข้างปลอดภัย – เช่น ลูกค้าของผู้ใช้…[หรือกระจาย] พวกเขาไปทั่วอินเทอร์เน็ต”

คุณต้องถาม: พวกเขากำลังพยายามบรรลุอะไร และทำไม?

11/ จากนั้นคุณอ่าน @matrixdotorg กำลัง เขียน:

“ผู้ดูแลประตูสามารถเปลี่ยนไปใช้โปรโตคอลเข้ารหัสแบบ end-to-end แบบกระจายศูนย์ เช่น Matrix เพื่อรักษาการเข้ารหัสแบบ end-to-end ตลอด”

…แล้วคุณจะเข้าใจว่าความสนใจของพวกเขาอยู่ที่ใด

12/

— และสิ่งที่น่าเศร้าก็คือ —

ฉันเป็นแฟนตัวยงของ Matrix และ @BriarApp และ @r2refresh และแอปพลิเคชันความปลอดภัยแบบกระจายจำนวนมาก

13/ แต่เมื่อพวกเขาออกจากความโอหัง เต็มใจที่จะบั่นทอนการรักษาความปลอดภัยของผู้คนหลายพันล้านคนเพื่อให้มีการเติบโตในระดับหนึ่ง — โดยการวาดภาพ เช่น ขั้นตอนที่จำเป็นเพื่อต่อต้าน “สวนข้อมูลที่มีกำแพงล้อมรอบ” ที่ไม่มีอยู่จริง — พวกเขาได้ กระโดดฉลาม

สุขสันต์วันลอยกระทง GIF

14/ พื้นหลังเพิ่มเติมที่บล็อกโพสต์นี้:

ทวีตดั้งเดิมโดย Alec Muffett ( @AlecMuffett ) เมื่อ 2022/03/26

เนื้อหานี้มีการป้องกันด้วยรหัสผ่าน หากต้องการดู โปรดป้อนรหัสผ่านของคุณด้านล่าง:

รหัสผ่าน:

แดนถามคำถามบางอย่างกับฉัน นี่คือสิ่งที่ฉันเขียนตอบ เช่นเดียวกับคำลงท้ายฉบับหนึ่งที่ฉันเพิ่มให้กับ Dan และอีกบทหนึ่งจากการสนทนาอื่นที่ฉันมีที่อื่น ซึ่งฉันแบ่งปันที่นี่เพื่อความเกี่ยวข้อง

ที่ฉันได้แก้ไขย่อยเพื่อความชัดเจน ฉันได้เพิ่ม [วงเล็บเหลี่ยม]

เฮ้แดน

คุณถามคำถามสามข้อกับฉัน:

1. เหตุใดคุณจึงดำเนินโครงการ tor นี้ – เพื่อช่วยให้ชาวรัสเซียเข้าใจสิ่งที่เกิดขึ้นจริงหรือไม่?
2. สำหรับคนธรรมดามันทำงานอย่างไร?
3. คุณมั่นใจหรือไม่ว่าจะสามารถอยู่รอดได้รับความสนใจจากหน่วยงานของรัสเซีย นั่นคือผู้คนจะ [แน่นอน] ไม่เปิดเผยตัว?

มาเริ่มกัน เลยดีกว่า นี่ไม่ใช่การไม่เปิดเผยตัวตน แต่เกี่ยวกับการเข้าถึง

มันเกี่ยวกับ สิ่งที่ฉันได้อธิบายไว้ในบทความที่อื่นว่า “ดุลยพินิจ”

อ้าง:

ฉันชอบที่จะเห็นสิ่งนี้เป็นความก้าวหน้า: ด้วย HTTP เราเคยประหลาดใจที่แพ็กเก็ตได้รับจาก A ถึง B เลย จากนั้นเราก็ต้องการความเป็นส่วนตัวและความสมบูรณ์ในระดับหนึ่งจากการมาถึงของ HTTPS และตอนนี้ทั้งสองก็ถูกนำมาใช้ในบทบาทเสริม ตามความเหมาะสมที่สุด

ทันทีที่ตระหนักได้ทันทีว่า “ว้าว Onion Networking Kinda Makes Sense” — มีคุณสมบัติอื่นที่เราสามารถนำเสนอได้: “ดุลยพินิจ” และควบคู่ไปกับ “การต้านทานการบล็อก” และ “ตัวตน” ที่กันระเบิด อย่างหลังนั้นมีความแน่นอนกว่ามาก ทำได้มากกว่าหนึ่งอย่างด้วย HTTPS และ DNS

HTTPS และ Onions เป็นส่วนผสมที่ลงตัวสำหรับไซต์เชิงพาณิชย์ แต่ฉันจะพูดอย่างนั้น HTTPS ร่วมกันปกป้องข้อมูลของคุณในระดับ “เว็บเบราว์เซอร์ที่พูดคุยกับเว็บเซิร์ฟเวอร์” และ Onion Networking ย้ำว่าที่ระดับ “ชุดของหลอด” ของคอมพิวเตอร์ที่พูดคุยกับคอมพิวเตอร์

มันเหมือนกับมีเข็มขัดนิรภัยและถุงลมนิรภัย เข็มขัดและเหล็กดัด

แน่นอนว่าไม่ใช่ทุกคนที่ต้องการเสนอเว็บไซต์ของตนอย่างสุขุม แต่ก็ไม่เป็นไร นี่ไม่ใช่เกมผลรวมเป็นศูนย์ ไม่ใช่ว่า “สิ่งหนึ่งที่ต้องสูญเสียเพื่อให้อีกฝ่ายชนะ” มีพื้นที่มากมายสำหรับมูลค่าที่หลากหลายเพื่อเสนอให้กับผู้ใช้ และเป็นเรื่องดีที่มีกล่องเครื่องมือที่ใหญ่ขึ้น

https://medium.com/@alecmuffett/tor-is-end-to-end-encryption-for-computers-to-talk-to-other-computers-34e41d81c9e2

---

หลายคนได้ยิน “ตอร์” และคิดว่า “ไม่เปิดเผยตัวตน” และฉันก็เหมือน “ฉัน” เพราะนั่นเป็นการเข้าใจผิดที่มีมายาวนานหลายสิบปีซึ่งสื่อได้ก่อขึ้น

ไม่มีบริการ Onion Service [สามารถเสนอ] ไม่เปิดเผยตัวตนสำหรับผู้ที่ยินดีโพสต์วิดีโอ “ฉันอยู่ที่สี่แยก X และ Y และเพิ่งดื่มกาแฟในร้านกาแฟแห่งนี้ นี่คือภาพที่มีข้อมูลส่วนบุคคลของฉันฝังอยู่ในนั้น” — ดังนั้นจึงเป็นหัวข้อที่ดีที่สุดที่ไม่เคยสัญญาและหลีกเลี่ยงโดยรวม

เพื่อตอบคำถาม 3; และตรงไปตรงมาถ้าคุณต้องการตอบคำถามที่สองสำหรับคนธรรมดา คำตอบก็คือ:

“Tor เป็นการเข้ารหัสแบบ end-to-end สำหรับเว็บเบราว์เซอร์เพื่อพูดคุยกับเว็บไซต์ในระดับ ‘series of tubes’…”

…เหมือนกับการเข้ารหัสแบบ end-to-end ที่ คุณถูกจับ [รายงานคำวิจารณ์ที่ร้องขอโดยรัฐบาล] ภายใต้ร่มธงของ “#NoPlaceToHide” [ดู ข้อโต้แย้งสไตล์ “สอนการโต้เถียง” จาก NCA ]

Twitter เองนั้น เต็มไปด้วยเรื่องอื้อฉาวเช่น “เราใช้แฮ็กเกอร์ซาอุดิอาระเบียและพวกเขาไปสอดแนมผู้ไม่เห็นด้วย” :

— ซึ่ง [การสอดแนมข้อความ] จะเป็นไปไม่ได้หากพวกเขาใช้การเข้ารหัสแบบ end-to-end ที่เหมาะสมสำหรับ Twitter Direct Messages

แต่พวกเขาไม่ได้ [ทำอย่างนั้น] — และ [สิ่งนี้] นำฉันไปสู่ไทม์ไลน์:

ครั้งแรกที่ฉันพูดกับ Twitter เกี่ยวกับการตั้งค่าไซต์ Onion ในปี 2014 ไม่นานหลังจากการเปิดตัวไซต์ Facebook Onion ซึ่งฉันเป็นผู้นำ ฉันสามารถพิสูจน์คำกล่าวอ้างนี้ได้ เนื่องจากแจน เชามันน์เป็นผู้จัดการที่เกี่ยวข้องในขณะนั้น – ตอนนี้เขาอยู่ที่ Yahoo – และ [เขา] ยอมรับสิ่งนี้ [ท่ามกลางคำตอบ] พร้อมด้วย [พนักงานทวิตเตอร์] คนอื่นๆ อีกหลายคนที่ช่วย [ตามจุดต่างๆ]

ตั้งแต่ [2014] ฉันได้ติดต่อมาอีกประมาณ 3 ครั้ง ดังนั้นเราจึงสามารถใช้คุณลักษณะนี้เมื่อหลายปีก่อน และตอนนี้มันก็จะมีความเป็นผู้ใหญ่มากขึ้น แต่ [แทน] มันเร่งรีบ

ทำไม [มันช่างเร่งรีบ]? คำตอบ: ไม่ใช่ปูติน

ตั้งแต่ปี 2014 Twitter ได้ปฏิเสธทุกความพยายามจนถึงวันที่ในการติดตั้งการเข้ารหัสแบบ end-to-end ทั้งสำหรับไซต์หรือสำหรับ DM เนื่องจากกลัวว่าจะถูกนักข่าวกดไลน์ “Dark Web = Evil” และ สำรองโดย (เช่น) เลขานุการประจำบ้านของวันนั้น

ทว่า: โอกาสดีๆ ครั้งหนึ่งในการบอกเล่าเรื่องราว และทันใดนั้น นาดีน ดอร์รีส์ก็มาถึง:

อย่างที่ฉันพูด จากการสนทนาบางส่วน WhatsApp ได้เปิดตัวบริการเข้ารหัสแบบ end-to-end ที่ชาวยูเครนสามารถเข้าถึงได้เพื่อค้นหาว่ากำลังเกิดอะไรขึ้นในสถานที่ของพวกเขาแบบนาทีต่อนาทีแบบเรียลไทม์ พื้นฐานและที่ที่พวกเขาสามารถรับการสนับสนุนฉุกเฉินและความช่วยเหลือ

– นาดีน ดอร์รีส์, DCMS

---

ใช่แล้ว [การเข้ารหัสแบบ end-to-end] คือสิ่งที่บริการเสนอโดยค่าเริ่มต้น ดังนั้นจึงไม่ยืดเยื้อและเป็นเรื่องแปลกที่ตอนนี้ DCMS ดูเหมือนจะต้องการเครดิตสำหรับ [การเข้ารหัสราวกับว่ามันเป็นนวัตกรรม]

ดังนั้นสื่อควรดูที่การเล่าเรื่องของตัวเอง: หากตอนนี้เป็นความคิดที่ดี มันก็เป็นความคิดที่ดีเสมอมา และควรทำเมื่อหลายปีก่อน และคุณควรพิจารณาถึงสิ่งที่ทำให้ #NoPlaceToHide backdoor แตกต่างจากที่ผู้บุกรุก Twitter ของรัสเซียจะใช้

ฉันกำลังโพสต์สิ่งนี้เป็นบล็อกโพสต์เมื่อคุณใช้งานจริง

Postscript #1 เขียนให้ Dan

ว่าคนประเภทไหนใช้ Tor

Tor ไม่ใช่ VPN แต่เพื่อจุดประสงค์ในการรายงานการละเมิดมักจะถูกรวมเข้าไว้ด้วยกัน ซึ่งทำให้เกิดความเสียหายต่อชื่อเสียงอย่างน่าเสียดาย

จากเวลาของฉันที่ Facebook ปริมาณของความไม่ดี/ความประพฤติมิชอบเป็นเปอร์เซ็นต์ที่มาถึงโดย Tor ในตัวของมันเอง นับประสาผ่านที่อยู่ของหัวหอม มักจะอยู่ในตัวเลขกลางหลักเดียวของเปอร์เซ็นต์ หรือจะแตกต่างกันออกไป เป็นผู้ใช้ที่ “ซน” ประมาณ 3 ถึง 7% มากกว่าผู้ใช้ที่ “ดี” ตามความแตกต่างในวงกว้าง

นี้อาจฟังดูมาก แต่เปอร์เซ็นต์ “ซุกซน” สำหรับ VPN และการรับส่งข้อมูลทางอินเทอร์เน็ตแบบข้อความธรรมดาอาจเกิน 40% – ตัวเลขที่มีขนาดใหญ่ใกล้เคียงกันเป็นเรื่องธรรมดา

จากสิ่งนี้: โดยทั่วไป Tor และโดยเฉพาะอย่างยิ่ง Onion Services มักจะทำหน้าที่เป็น “ตัวกรอง” สำหรับผู้ที่ใช้บริการตามวัตถุประสงค์ที่ออกแบบมาจริงๆ

นี่ไม่ใช่เรื่องที่นักข่าวมักต้องการบอก บางทีคุณสามารถเปลี่ยนสิ่งนั้นได้

Postscript #2 เกี่ยวกับการสร้างบริการ Facebook Onion จากการสนทนาที่อื่น

ฉันไม่สามารถพูดแทน Twitter ได้ ฉันไม่รู้ว่ามีคนกี่คนที่ใช้ Twitter แทน Tor ในแง่ที่เข้าใจง่าย โดยไม่คำนึงถึงจำนวนดังกล่าว: ตัวเลขดังกล่าวอาจไม่มีประโยชน์อย่างสิ้นเชิงในตอนแรก เพราะตามธรรมเนียมแล้ว Twitter ปฏิบัติต่อ Tor ในลักษณะที่ไม่เป็นมิตร

เมื่อฉันพยายามทำให้ Tor เป็นที่ยอมรับและยินดีต้อนรับใน Facebook ฉันได้ทดลองสุ่มตัวอย่างที่อยู่ IP ของการติดตั้งหน้าและตัดกับชุดโหนดทางออก Tor และปรับขนาดผลลัพธ์

สิ่งนี้ทำให้ฉันมีสนามเบสบอลประมาณ 330,000 คนต่อเดือนที่ใช้ Facebook ผ่าน Tor วัด ณ จุดหนึ่งในประวัติศาสตร์ที่ Facebook เป็นศัตรูเพียงเล็กน้อยต่อ Tor

นั่นเป็นจำนวนเล็กน้อย – ตอนนั้น Facebook มีผู้คนประมาณ 1.5 พันล้านคน นั่นคือ 0.022% ของฐานผู้ใช้ อย่างไรก็ตาม มันเกี่ยวกับประชากรของประเทศไอซ์แลนด์ด้วย เมื่อเห็นว่าเรามีคำแปลภาษาไอซ์แลนด์ ฯลฯ ดูเหมือนโง่ที่จะปฏิเสธการมีอยู่ของคนกลุ่มนี้

เรื่องสั้นโดยย่อ: ฉันให้เหตุผลในการสร้างหัวหอมบนพื้นฐานของความเป็นไปได้ ง่ายพอสมควร เป็นประโยชน์ต่อการเชื่อมต่อ และขอให้เราซื่อสัตย์ด้วย: เป็นประโยชน์ต่อชื่อเสียง…

และในเดือนเมษายน 2559 เราได้เพิ่มผู้ใช้งานรายเดือนเป็นประมาณ 1 ล้านคน เนื่องจากเราเลิกเป็นศัตรูกับทอร์แล้ว ประกอบด้วยผู้คนที่ใช้ Facebook ทั้งแบบข้ามสายงานและใช้งาน Tor แบบเดิมๆ [ในปี 2016] หัวหอมให้บริการเพียง 10% (หรือมากกว่านั้น) ของปริมาณการใช้งานนั้น [แต่ก็ ใช้ได้สำหรับเหตุผลที่ฉันอธิบายไว้ที่อื่น และมีแนวโน้มที่จะเพิ่มขึ้นอย่างมากเมื่อเวลาผ่านไป เนื่องจากเทคโนโลยีใหม่ เช่น ส่วนหัวของ Onion-Location]