Hacker News Digest

Bluesky скрывает свой логотип в интерфейсе приложения, но оставляет его видимым на скриншотах. При обычном использовании логотип заменяется кнопкой «Follow», однако при делении скриншота он появляется в правом верхнем углу. Это происходит из-за специального компонента GrowthHack.tsx, который использует UITextField с включённым скрытием пароля (isSecureTextEntry). При скриншоте iOS автоматически блочит отображение этого UITextField, позволяя просвечивать логотипу, который на самом деле отрисован в его слое. Такой трюк, известный в приложениях вроде Telegram и Signal, позволяет обойти стандартные механизмы блокировки скриншотов. Логотип остаётся видимым только на скриншотах, а в реальном интерфейсе его заменяет другая кнопка.

Обсуждение подтверждает, что скрытие логотипа на скриншотах — это не просто технический трюк, а часть более широкой проблемы контроля над устройством: пользователи считают, что OS должна обеспечивать полную прозрачность снимков экрана, а не позволять приложениям манипулировать контентом.

• Спор: Некоторые считают, что это полезный способ атрибуции контента, так как Bluesky визуально похож на X, и логотип помогает определить источник; другие возражают, что любое изменение снимка экрана — это нарушение принципа, что пользователь должен видеть и сохранять то, что отображается на экране.

• Спор: Одни пользователи находят метод хитрым, но безвредным, особенно если он помогает избежать визуального шума в снимках; другие называют это злонамеренным, сравнивая с банковскими приложениями, которые блокируют скриншоты, и подчеркивая, что это угроза пользовательскому контролю над собственным устройством.

• Совет: Пользователь @rmwaite делится практическим способом обхода: если удерживать палец при свайпе вниз и обратно в центр управления, скриншот не содержит логотипа — это работает и для Twitter, что указывает на существование обходных путей в iOS.

• Совет: Пользователь @zzo38computer предлагает сделать функцию управления скриншотами настройкой в системе — с возможностью включения/отключения и указанием, какие приложения её используют, чтобы предотвратить злоупотребления и дать пользователю контроль.

• Многие комментаторы сходятся во мнении, что ответственность за эту функцию лежит не на Bluesky, а на Apple, поскольку именно iOS предоставляет API, позволяющий приложениям изменять содержимое скриншотов, и это системная проблема, а не выбор конкретного приложения.

• Пользователи отмечают, что X и Threads используют аналогичные методы, что подтверждает, что это не уникальная практика Bluesky, а отраслевой тренд, поддерживаемый платформой и направленный на маркетинг через скриншоты.

• Совет: Пользователь @vachina рекомендует использовать веб-версию приложений вместо нативных, чтобы избежать таких манипуляций, так как браузер не поддерживает подобные хаки и сохраняет чистый снимок экрана.

• Спор: Один пользователь выражает обеспокоенность, что если логотип появляется только при полном переходе между приложениями, но исчезает при снимке во время переключения, это может быть уязвимостью: если включена функция скрытия паролей, можно случайно зафиксировать их длину или символы.

• Совет: Пользователь @Jaxkr предполагает, что этот трюк был изобретён Никитой Бьером при работе в X, что указывает на передачу метода между платформами и его системное внедрение в экосистеме соцсетей.

• Несколько пользователей отмечают, что подобные техники уже используются в вебе — например, Perplexity добавляет логотип при использовании сочетаний клавиш для скриншотов — что показывает, что это не только нативное поведение, но и распространённая практика.

• Спор: Один пользователь считает, что если приложение может показывать одно на экране и другое на скриншоте, это открывает путь к опасным сценариям — например, подмена QR-кодов или встраивание невидимых меток, что делает эту функцию потенциально опасной.

• Совет: Пользователь @user00005 ссылается на проблему в Graphene OS, призывая поддержать её, чтобы добиться блокировки таких функций на уровне ОС — это указывает на существование альтернативных платформ, стремящихся защитить пользовательский контроль.

• Пользователи отмечают, что подобные практики напоминают вирусный маркетинг iPhone — 'Sent from my iPhone' — и что это не новая тактика, а эволюция старого подхода: использовать каждый снимок как рекламу.

• Спор: Один пользователь выражает опасение, что если такие методы применяются к юридическим доказательствам — например, в суде — то невидимые метки в скриншотах могут использоваться для отслеживания источников, что ставит под угрозу конфиденциальность.

• Совет: Пользователь @thn-gap подтверждает, что использование веб-версии Bluesky и Twitter — это сознательный выбор, чтобы избежать таких манипуляций, и что это подтверждает, что веб-интерфейс остаётся более прозрачным и предсказуемым.

Запуск собственного XMPP-сервера на базе ejabberd позволяет избежать слежки за перепиской и утечек данных, которые характерны для коммерческих мессенджеров. Это особенно актуально на фоне планов ЕС по автоматическому мониторингу всех чатов и сообщений. XMPP поддерживает шифрование OMEMO, обмен файлами, групповые чаты и аудио-/видеозвонки, оставаясь ресурсоэффективным решением.

Для развёртывания сервера требуется настроить DNS-записи для оснвных и вспомогательных поддоменов, установить ejabberd через официальный репозиторий или GitHub, открыть необходимые порты (5222, 5269, 5280 и другие) и настроить конфигурацию в YAML. Ключевые настройки включают отказ от модулей, нарушающих приватность (mod_last, mod_bosh), использование SQLite вместо Mnesia и генерацию свежих DH-параметров. Все шаги автоматизированы с помощью Ansible-ролей в открытом репозитории.

• Участники обсуждают проблемы с клиентами XMPP, особенно на iOS: отсутствие реакций, ненадежные уведомления, неудовлетворительный пользовательский интерфейс и недостаток современных функций (гифки, звонки).
• Многие отмечают простоту настройки и надежность серверов XMPP (Prosody, ejabberd), но подчеркивают, что основная сложность для широкого внедрения — это сетевой эффект и нежелание неподготовленных пользователей мириться с отсутствием привычного удобства.
• В качестве альтернатив упоминаются Matrix (критикуется за сложность и нестабильность), Delta.Chat (на основе email) и Signal (отмечаются проблемы с приватностью из-за номера телефона и возможный уход из ЕС).
• Поднимается вопрос цензуры и тотального мониторинга в ЕС, что может подтолкнуть пользователей к самохостингу и децентрализованным решениям.
• Обсуждаются технические аспекты развертывания: проблемы с блокировкой портов на публичных сетях, необходимость reverse proxy, использование Docker для упрощения установки и управления.

Предложение ЕС «Контроль за чатами» угрожает фундаментальным правом на приватность в Европе, требуя массового сканирования всех сообщений, фото и видео на устройствах пользователей под предлогом защиты детей. Это фактически уничтожает сквозное шифрование, создавая бэкдор для хакеров и враждебных государств, что даже разведки признают катастрофой для национальной безопасности. Германия, исторически защищавшая приватность, сейчас рискует отступить от своих принципов, что стало бы стратегической ошибкой в условиях геополитической нестабильности.

Signal рассматривает это как экзистенциальную угрозу и заявляет, что предпочтёт уйти с рынка, чем встроить систему слежки, поскольку шифрование либо работает для всех, либо не работает вообще. Решение Германии может определить будущее приватных коммуникаций в Европе — сохранятся ли они или будут подорваны массовой слежкой, угрожающей экономической и социальной безопасности. Важно не допустить повторения истории, но уже с масштабными базами данных и крайне чувствительной информацией.

• Пользователи выражают поддержку Signal и её борьбе против инициативы ЕС "Chat Control", видя в ней массовую слежку под предлогом защиты детей.
• Обсуждается опасность принятия закона, который может привести к сканированию всего контента на устройствах и уничтожению приватности и сквозного шифрования.
• Участники сравнивают "Chat Control" с практиками Штази и Гестапо, подчёркивая репрессивный характер инициативы и её угрозу гражданским свободам.
• Высказывается критика в адрес немецких политиков и партий (CDU, SPD), которые, по мнению комментаторов, исторически лоббируют тотальную слежку и ограничение свобод.
• Обсуждаются технические и правовые последствия, включая возможный запрет децентрализованных сетей и необходимость активного политического сопротивления.

ЕС продвигает законопроект ChatControl, который обяжет все платформы обмена сообщениями сканировать личные переписки и изображения пользователей — включая зашифрованные мессенджеры вроде Signal и WhatsApp. Цель формально — борьба с материалами о сексуальном насилии над детьми, но метод подразумевает тотальный мониторинг без возможности отказа. Регламент автоматически применяется во всех странах ЕС и может отменять национальные конституционные гарантии приватности.

Технически сканирование нарушает принципы сквозного шифрования, создаёт риски ложных срабатываний и уязвимо для обхода злоумышленниками. Против выступают учёные и эксперты по безопасности. Инициатива также выгодна коммерческим игрокам, продающим технологии мониторинга. Сейчас идёт обсуждение среди стран-членов ЕС, но если закон примут, это установит глобальный прецендент массовой слежки под предлогом защиты детей.

• Опасения потери контроля над правительством и гражданских свобод из-за массового сканирования личной переписки
• Критика неэффективности мер в борьбе с CSAM, поскольку они не устраняют коренные причины и легко обходятся преступниками
• Сомнения в законности инициативы, противоречащей праву на приватность (Статья 8 ECHR), и мотивах властей
• Предложение технических обходных решений (например, PGP, собственные серверы) и использование открытого ПО для защиты приватности
• Непонимание технических деталей реализации инициативы и её применения к opensource-приложениям и не-EU юрисдикциям

Что такое Chat Control
ЕС хочет заставить мессенджеры и почту сканировать все переписки на «подозрительный» контент автоматически и до отправки. Это касается даже зашифрованных чатов.

Почему это плохо

• Тотальный массовый контроль, а не выборочный.
• Конец приватной переписки и доверию к европейским сервисам.
• Ложные срабатывания: интимные фото, медкарты, ЛГБТ-подростки — всё попадёт в базу.
• Хакеры и злоупотребления: централизованные сканы — приманка для атак и утечек.
• Детей не спасёт: реальные преступники уйдут в даркнет и зарубежные платформы.

Как отразится

• В ЕС: придётся соглашаться или уезжать.
• За пределами: европейские письма и звонки станут «прослушиваемыми» по умолчанию; тренд быстро расползётся в другие страны.

Что делать

1. ЕС-граждане:
   • Написать депутатам Европарламента (пошаблонно тут → saveprivacy.eu).
   • Подписать европетицию Stop Scanning Me.
2. Всем:
   • Перейти на открытые, проверенные мессенджеры с端到端-шифрованием (Signal, Matrix, XMPP+OMEMO).
   • Отказаться от «безопасных» облаков Big Tech, использовать шифрование клиента (Cryptomator, age).
   • Рассказать друзьям, поделиться мемами и роликами (#StopChatControl).

Ссылки

• Кратко и по-русски: edri.org, epicenter.works
• Видео: Patrick Breyer, The Hated One
• Петиции и инфа: stopchatcontrol.eu, saveprivacy.eu

• Chat Control — это предложенный ЕС регламент, обязывающий все сервисы сканировать переписку и файлы, включая зашифрованные, на предмет «запрещённого контента».
• Участники обсуждения считают молчание СМИ и общества тревожным; статья, вызвавшая тред, критикуется за невнятное изложение сути.
• Технически инициатива невыполнима без разрушения end-to-end шифрования и встроенных бэкдоров; злоумышленники просто перейдут на самописные каналы.
• Многие видят в проекте «размыкание» охвата: сначала борьба с CSAM, далее — копирайт, политический диссонанс, коммерческий шпионаж и тренировка ИИ.
• Германия пока против, но новое правительство ещё не высказалось; считается, что позиция Берлина (и/или Парижа) решит исход голосования.
• Пользователи призывают переходить на самостоятельные, несовместимые протоколы и отказываться от «удобных» централизованных мессенджеров.

Цели мастер-класса

• Основные: узнать о «одноразовых» телефонах и получить удовольствие.
• Скрытые: понять границы этих устройств, связать их с общей цифровой гигиеной, научиться делиться знаниями.
• Запреты: не раскрывать личные данные, не поощрять вред или преследование.

Моделирование рисков
Ответьте на три вопроса:

1. Что защищаем?
2. От кого?
3. Что случится, если всё провалится?

Примеры: протест, рейд ICE, онлайн-преследование, борьба с зависимостью от смартфона. Учитывайте риски для всей вашей сети.

Почему смартфон — это риск

• IMEI (железо) и IMSI (SIM) делают полную анонимность почти невозможной.
• Четыре категории утечек:
  1. Идентификация и финансы (платежи, контракты).
  2. Местоположение (GPS, Wi-Fi, вышки).
  3. Коммуникации и соцграф (звонки, контакты).
  4. Контент и хранилище (фото, бэкапы, приложения).

Быстрые меры для любого телефона

• Обновляйте ОС.
• ПИН-код вместо биометрии.
• Отключите облачные бэкапы или шифруйте их.
• Установите Signal.
• Жёстко ограничьте разрешения приложений.
• Выключа­йте радиомодули, когда не нужны.
• Храните минимум чувствительных данных.

Android

• Выключите Google Location History и персонализированную рекламу.
• Используйте Firefox/Brave, F-Droid, GrapheneOS или CalyxOS.

iPhone

• «Запретить отслеживать», ограничить Siri, включить режим Lockdown при высоком риске.

• Мобильные телефоны изначально проектировались как трек-устройства из-за роутинга вызовов и биллинга; «анонимные» бёрнеры почти невозможны в странах с обязательной идентификацией.
• Даже если купить аппарат и SIM за наличные, нужно держать «бёрнер» отдельно от основного телефона и не включать его дома/на работе, иначе корреляция по времени и месту выдаёт владельца.
• Альтернативы: LoRa-мэш (MeshCore), приёмники старых пейджеров, спутниковые телефоны, ham-радио — но всё это текст, ограниченный радиус или требует лицензий.
• eSIM и современные SoC с закрытым baseband делают отслеживание ещё глубже: модем «спит» даже в авиарежиме, а отключить радио полностью нельзя.
• Лучший совет — начать с threat-modeling и, если риск высок, просто оставить телефон домой: любое включённое радио — это маяк.