Hacker News Digest

На конференции Hexacon в Париже исследователи из Calif заявили, что взломали iPhone — то, что изначально было их целью. Они показали серию демонстраций, но подчеркнули, что всё будет опубликовано позже, в надлежащее время.

Среди показанных сценариев — взлом Signal в одно нажатие и атака на iMessage, которую авторы сопроводили вопросом: «Но кому какое дело до стороннего приложения, когда все пользуются iMessage?» Отдельно прозвучал риторический вопрос «Умеет ли так ваш iPhone?» и ироничная расшифровка аббревиатуры APT — «Apple Persistent Threat», обыгрывающая термин о целевых атаках. Комментаторы отреагировали эмоционально: один написал, что «игра окончена, пора писать книгу и уезжать на удалённый остров», другой на испанском пожалел, что хотел бы заполучить такой взлом для своего телефона.

Обсуждение дополняет новость техническим контекстом: пользователи отмечают, что парсинг PDF и рендеринг изображений остаются критическими векторами атак в iOS (вспоминая ForcedEntry в Pegasus), и удивляются отсутствию memory-safe языков или WASM в 2026 году. Команду Calif, в которую входят авторы атак BEAST и CRIME, а также сотрудники Google Project Zero, характеризуют как обладающую исключительной экспертизой. При этом @eyalitki критикует их за демонстрацию непатченных уязвимостей в обход правил ответственного раскрытия. В сообществе выражена ностальгия по джейлбрейку и запрос на root-доступ для установки альтернативных ОС на старые устройства и запуска UTM с гипервизором на iPadOS. @reacharavindh отмечает, что Apple может удаленно обнаружить джейлбрейк и заблокировать iCloud и iMessage. Спор о роли LLM в кибербезопасности: @reacharavindh надеется на автоматизацию поиска твиков, а @MarkusWandel считает, что вендоры используют LLM для исправления багов так же эффективно, как и хакеры.

Федеральные следователи США, расследуя деятельность хакерской группы ShinyHunters, недавно похитившей особо чувствительные данные у ФБР, выявили руководителей двух компаний по переговорам о выкупе, поддерживавших необычно тесные связи с вымогателями. По данным источников, один из них, американец, даже помогал ShinyHunters управлять сайтом, давившим на жертв ради выплаты выкупа. С 2019 года группа приписывает себе десятки крупных утечек; после арестов первых участников контроль перешёл к подростку «Рею» из Аммана, а по данным ФБР, только за этот год ShinyHunters вымогатели более 70 миллионов долларов.

В конце сентября группа взломала сайт найма ФБР fbijobs.gov, похитив медицинские и психологические записи, номера социального страхования и домашние адреса сотрудников. Это ускорило аресты: 15 сентября в Нидерландах задержали подозреваемого Пепейна ван дер Стапа, причём при входе в Signal, что позволило прочитать его переписку с переговорщиками из Канады и США. 3 октября в Иордании задержали Рея, сотрудничающего со следствием. 9 октября ФБР арестовало канадского руководителя Эдварда Дубровского, недавно выпустившего книгу о кибервымогательстве.

Скандал выявил конфликт интересов: вознаграждение переговорщиков растёт с суммой выкупа. В июле Анджело Мартино получил 70 месяцев тюрьмы за сговор с Blackcat/ALPHV, а 7 октября Минюст обвинил главу MonsterCloud Зохара Пинаси в мошенничестве — он тайно платил хакерам 8 миллионов, выставляя клиентам счёт на 19 миллионов.

Тред дополняет статью практическими взглядами на индустрию переговоров по выкупу. Опыт в IR подтверждает, что профессиональные переговорщики крайне ценны, так как ускоряют восстановление и экономят средства. Однако в сети идет спор: одни считают их полезными специалистами (ofjcihen), другие — преступниками, чья деятельность подпитывает киберкриминал и должна быть уголовно наказуема (nradov). Финансовые модели посредников основаны на фиксированном гонораре или проценте от выкупа. При процентной модели переговорщики заинтересованы в увеличении суммы выплаты, что выгодно и им, и вымогателям. По мнению Aurornis, данные статьи не подтверждены, так как опираются на исследование Кребса без официальных заявлений ФБР. Доверие к федеральным утечкам подорвано прошлыми ошибками (дела Вена Ли и Ричарда Джуэлла), которые разрушали жизни людей. Также отмечен редкий случай применения нидерландской полицией светошумовых гранат при задержании хакера.

Signal использует zero-knowledge proofs (ZKP) не только для подтверждения пожертвований и резервных платежей, но и для анонимного участия в группах — технология не позволяет привязать пользователя к конкретному действию или сообществу. Клиент Signal изначально не доверяет серверу, и его безопасность можно подтвердить даже без анализа серверного кода, что делает архитектуру устойчивой к компрометации инфраструктуры. ZKP также применяются для проверки соответствия имени пользователя заданным правилам (например, набору символов и длине) без раскрытия самого имени — это сложная математическая конструкция, обеспечивающая приватность на уровне протокола.

Обсуждается возможность «отвязки» номера телефона от уже существующего аккаунта без повторной регистрации, но эксперты сомневаются в её полной безопасности: даже при отвязке могут оставаться следы на устройстве или сервере, а введение «охлаждающего периода» (cooldown) для предотвращения спама считается недостаточным — спамеры всё равно могли бы злоупотреблять системой. Поэтому многие участники считают, что создание нового аккаунта без привязки к номеру телефона — более надёжный и прозрачный путь, чем попытка отвязать существующий, особенно если цель — максимальная анонимность.

Обсуждение выявляет серьезные сомнения в реальной приватности Signal из-за зависимости от Google Play, централизованной инфраструктуры на AWS, отсутствия поддержки децентрализованных альтернатив и потенциального влияния финансирования, несмотря на применение ZKP. Спор: Некоторые утверждают, что Signal остается доверенной платформой для журналистов и политиков, тогда как другие возражают, что американское происхождение, использование AWS и законы вроде Cloud Act подрывают любые претензии на приватность. Спор: Одни считают, что требование оплаты через Google Play Billing оправдано для борьбы со спамом, другие критикуют это как компромисс с крупнейшим нарушителем приватности, предлагая альтернативы вроде Monero. Совет: Пользователи с Linux-устройствами требуют полноценной поддержки Signal без привязки к Google или Apple, указывая на signal-cli+SMS как на неудобный и неполноценный обходной путь. Многие отмечают, что SimpleX и Delta Chat уже годами предлагают регистрацию без номера телефона, без платежей и доступны через F-Droid, что делает их более приватными альтернативами. Спор: Один пользователь утверждает, что использование Signal в Индии может привести к обвинениям в терроризме и репрессиям, тогда как другие не подтверждают эту практику как общепринятую. Совет: Пользователи с Android-планшетами без SIM-карт рады, что теперь могут использовать Signal как полноценное устройство, что расширяет возможности без привязки к телефону. Спор: Критики утверждают, что Signal избегает децентрализации, самопринятия и портабельности аккаунтов, тогда как сторонники считают, что централизация необходима для удобства и безопасности. Спор: Некоторые требуют публикации инфраструктурного кода Signal для проверки и восстановления, другие считают это излишним, особенно для некоммерческой организации. Совет: Пользователи сомневаются в эффективности ZKP, если метаданные платежей, восстановления и антиспам-механизмов могут быть объединены для деанонимизации, что требует более глубокого анализа. Спор: Один пользователь отмечает, что даже если ZKP скрывает действия, сама необходимость покупки через Google Play делает систему неприватной, и предлагает использовать Monero вместо этого. Многие подчеркивают, что приватность не может быть обеспечена только за счет ZKP, если клиентская среда (ОС, сеть, аппаратное обеспечение) сама по себе ненадежна и отслеживает действия. Совет: Пользователи с Linux-десктопами и телефонами требуют, чтобы Signal поддерживался без потери функциональности и без необходимости использовать SMS-шлюзы или сторонние решения вроде signal-cli.

Bluesky скрывает свой логотип в интерфейсе приложения, но оставляет его видимым на скриншотах. При обычном использовании логотип заменяется кнопкой «Follow», однако при делении скриншота он появляется в правом верхнем углу. Это происходит из-за специального компонента GrowthHack.tsx, который использует UITextField с включённым скрытием пароля (isSecureTextEntry). При скриншоте iOS автоматически блочит отображение этого UITextField, позволяя просвечивать логотипу, который на самом деле отрисован в его слое. Такой трюк, известный в приложениях вроде Telegram и Signal, позволяет обойти стандартные механизмы блокировки скриншотов. Логотип остаётся видимым только на скриншотах, а в реальном интерфейсе его заменяет другая кнопка.

Обсуждение подтверждает, что скрытие логотипа на скриншотах — это не просто технический трюк, а часть более широкой проблемы контроля над устройством: пользователи считают, что OS должна обеспечивать полную прозрачность снимков экрана, а не позволять приложениям манипулировать контентом.

• Спор: Некоторые считают, что это полезный способ атрибуции контента, так как Bluesky визуально похож на X, и логотип помогает определить источник; другие возражают, что любое изменение снимка экрана — это нарушение принципа, что пользователь должен видеть и сохранять то, что отображается на экране.

• Спор: Одни пользователи находят метод хитрым, но безвредным, особенно если он помогает избежать визуального шума в снимках; другие называют это злонамеренным, сравнивая с банковскими приложениями, которые блокируют скриншоты, и подчеркивая, что это угроза пользовательскому контролю над собственным устройством.

• Совет: Пользователь @rmwaite делится практическим способом обхода: если удерживать палец при свайпе вниз и обратно в центр управления, скриншот не содержит логотипа — это работает и для Twitter, что указывает на существование обходных путей в iOS.

• Совет: Пользователь @zzo38computer предлагает сделать функцию управления скриншотами настройкой в системе — с возможностью включения/отключения и указанием, какие приложения её используют, чтобы предотвратить злоупотребления и дать пользователю контроль.

• Многие комментаторы сходятся во мнении, что ответственность за эту функцию лежит не на Bluesky, а на Apple, поскольку именно iOS предоставляет API, позволяющий приложениям изменять содержимое скриншотов, и это системная проблема, а не выбор конкретного приложения.

• Пользователи отмечают, что X и Threads используют аналогичные методы, что подтверждает, что это не уникальная практика Bluesky, а отраслевой тренд, поддерживаемый платформой и направленный на маркетинг через скриншоты.

• Совет: Пользователь @vachina рекомендует использовать веб-версию приложений вместо нативных, чтобы избежать таких манипуляций, так как браузер не поддерживает подобные хаки и сохраняет чистый снимок экрана.

• Спор: Один пользователь выражает обеспокоенность, что если логотип появляется только при полном переходе между приложениями, но исчезает при снимке во время переключения, это может быть уязвимостью: если включена функция скрытия паролей, можно случайно зафиксировать их длину или символы.

• Совет: Пользователь @Jaxkr предполагает, что этот трюк был изобретён Никитой Бьером при работе в X, что указывает на передачу метода между платформами и его системное внедрение в экосистеме соцсетей.

• Несколько пользователей отмечают, что подобные техники уже используются в вебе — например, Perplexity добавляет логотип при использовании сочетаний клавиш для скриншотов — что показывает, что это не только нативное поведение, но и распространённая практика.

• Спор: Один пользователь считает, что если приложение может показывать одно на экране и другое на скриншоте, это открывает путь к опасным сценариям — например, подмена QR-кодов или встраивание невидимых меток, что делает эту функцию потенциально опасной.

• Совет: Пользователь @user00005 ссылается на проблему в Graphene OS, призывая поддержать её, чтобы добиться блокировки таких функций на уровне ОС — это указывает на существование альтернативных платформ, стремящихся защитить пользовательский контроль.

• Пользователи отмечают, что подобные практики напоминают вирусный маркетинг iPhone — 'Sent from my iPhone' — и что это не новая тактика, а эволюция старого подхода: использовать каждый снимок как рекламу.

• Спор: Один пользователь выражает опасение, что если такие методы применяются к юридическим доказательствам — например, в суде — то невидимые метки в скриншотах могут использоваться для отслеживания источников, что ставит под угрозу конфиденциальность.

• Совет: Пользователь @thn-gap подтверждает, что использование веб-версии Bluesky и Twitter — это сознательный выбор, чтобы избежать таких манипуляций, и что это подтверждает, что веб-интерфейс остаётся более прозрачным и предсказуемым.

Запуск собственного XMPP-сервера на базе ejabberd позволяет избежать слежки за перепиской и утечек данных, которые характерны для коммерческих мессенджеров. Это особенно актуально на фоне планов ЕС по автоматическому мониторингу всех чатов и сообщений. XMPP поддерживает шифрование OMEMO, обмен файлами, групповые чаты и аудио-/видеозвонки, оставаясь ресурсоэффективным решением.

Для развёртывания сервера требуется настроить DNS-записи для оснвных и вспомогательных поддоменов, установить ejabberd через официальный репозиторий или GitHub, открыть необходимые порты (5222, 5269, 5280 и другие) и настроить конфигурацию в YAML. Ключевые настройки включают отказ от модулей, нарушающих приватность (mod_last, mod_bosh), использование SQLite вместо Mnesia и генерацию свежих DH-параметров. Все шаги автоматизированы с помощью Ansible-ролей в открытом репозитории.

• Участники обсуждают проблемы с клиентами XMPP, особенно на iOS: отсутствие реакций, ненадежные уведомления, неудовлетворительный пользовательский интерфейс и недостаток современных функций (гифки, звонки).
• Многие отмечают простоту настройки и надежность серверов XMPP (Prosody, ejabberd), но подчеркивают, что основная сложность для широкого внедрения — это сетевой эффект и нежелание неподготовленных пользователей мириться с отсутствием привычного удобства.
• В качестве альтернатив упоминаются Matrix (критикуется за сложность и нестабильность), Delta.Chat (на основе email) и Signal (отмечаются проблемы с приватностью из-за номера телефона и возможный уход из ЕС).
• Поднимается вопрос цензуры и тотального мониторинга в ЕС, что может подтолкнуть пользователей к самохостингу и децентрализованным решениям.
• Обсуждаются технические аспекты развертывания: проблемы с блокировкой портов на публичных сетях, необходимость reverse proxy, использование Docker для упрощения установки и управления.

Предложение ЕС «Контроль за чатами» угрожает фундаментальным правом на приватность в Европе, требуя массового сканирования всех сообщений, фото и видео на устройствах пользователей под предлогом защиты детей. Это фактически уничтожает сквозное шифрование, создавая бэкдор для хакеров и враждебных государств, что даже разведки признают катастрофой для национальной безопасности. Германия, исторически защищавшая приватность, сейчас рискует отступить от своих принципов, что стало бы стратегической ошибкой в условиях геополитической нестабильности.

Signal рассматривает это как экзистенциальную угрозу и заявляет, что предпочтёт уйти с рынка, чем встроить систему слежки, поскольку шифрование либо работает для всех, либо не работает вообще. Решение Германии может определить будущее приватных коммуникаций в Европе — сохранятся ли они или будут подорваны массовой слежкой, угрожающей экономической и социальной безопасности. Важно не допустить повторения истории, но уже с масштабными базами данных и крайне чувствительной информацией.

• Пользователи выражают поддержку Signal и её борьбе против инициативы ЕС "Chat Control", видя в ней массовую слежку под предлогом защиты детей.
• Обсуждается опасность принятия закона, который может привести к сканированию всего контента на устройствах и уничтожению приватности и сквозного шифрования.
• Участники сравнивают "Chat Control" с практиками Штази и Гестапо, подчёркивая репрессивный характер инициативы и её угрозу гражданским свободам.
• Высказывается критика в адрес немецких политиков и партий (CDU, SPD), которые, по мнению комментаторов, исторически лоббируют тотальную слежку и ограничение свобод.
• Обсуждаются технические и правовые последствия, включая возможный запрет децентрализованных сетей и необходимость активного политического сопротивления.

ЕС продвигает законопроект ChatControl, который обяжет все платформы обмена сообщениями сканировать личные переписки и изображения пользователей — включая зашифрованные мессенджеры вроде Signal и WhatsApp. Цель формально — борьба с материалами о сексуальном насилии над детьми, но метод подразумевает тотальный мониторинг без возможности отказа. Регламент автоматически применяется во всех странах ЕС и может отменять национальные конституционные гарантии приватности.

Технически сканирование нарушает принципы сквозного шифрования, создаёт риски ложных срабатываний и уязвимо для обхода злоумышленниками. Против выступают учёные и эксперты по безопасности. Инициатива также выгодна коммерческим игрокам, продающим технологии мониторинга. Сейчас идёт обсуждение среди стран-членов ЕС, но если закон примут, это установит глобальный прецендент массовой слежки под предлогом защиты детей.

• Опасения потери контроля над правительством и гражданских свобод из-за массового сканирования личной переписки
• Критика неэффективности мер в борьбе с CSAM, поскольку они не устраняют коренные причины и легко обходятся преступниками
• Сомнения в законности инициативы, противоречащей праву на приватность (Статья 8 ECHR), и мотивах властей
• Предложение технических обходных решений (например, PGP, собственные серверы) и использование открытого ПО для защиты приватности
• Непонимание технических деталей реализации инициативы и её применения к opensource-приложениям и не-EU юрисдикциям

Что такое Chat Control
ЕС хочет заставить мессенджеры и почту сканировать все переписки на «подозрительный» контент автоматически и до отправки. Это касается даже зашифрованных чатов.

Почему это плохо

• Тотальный массовый контроль, а не выборочный.
• Конец приватной переписки и доверию к европейским сервисам.
• Ложные срабатывания: интимные фото, медкарты, ЛГБТ-подростки — всё попадёт в базу.
• Хакеры и злоупотребления: централизованные сканы — приманка для атак и утечек.
• Детей не спасёт: реальные преступники уйдут в даркнет и зарубежные платформы.

Как отразится

• В ЕС: придётся соглашаться или уезжать.
• За пределами: европейские письма и звонки станут «прослушиваемыми» по умолчанию; тренд быстро расползётся в другие страны.

Что делать

1. ЕС-граждане:
   • Написать депутатам Европарламента (пошаблонно тут → saveprivacy.eu).
   • Подписать европетицию Stop Scanning Me.
2. Всем:
   • Перейти на открытые, проверенные мессенджеры с端到端-шифрованием (Signal, Matrix, XMPP+OMEMO).
   • Отказаться от «безопасных» облаков Big Tech, использовать шифрование клиента (Cryptomator, age).
   • Рассказать друзьям, поделиться мемами и роликами (#StopChatControl).

Ссылки

• Кратко и по-русски: edri.org, epicenter.works
• Видео: Patrick Breyer, The Hated One
• Петиции и инфа: stopchatcontrol.eu, saveprivacy.eu

• Chat Control — это предложенный ЕС регламент, обязывающий все сервисы сканировать переписку и файлы, включая зашифрованные, на предмет «запрещённого контента».
• Участники обсуждения считают молчание СМИ и общества тревожным; статья, вызвавшая тред, критикуется за невнятное изложение сути.
• Технически инициатива невыполнима без разрушения end-to-end шифрования и встроенных бэкдоров; злоумышленники просто перейдут на самописные каналы.
• Многие видят в проекте «размыкание» охвата: сначала борьба с CSAM, далее — копирайт, политический диссонанс, коммерческий шпионаж и тренировка ИИ.
• Германия пока против, но новое правительство ещё не высказалось; считается, что позиция Берлина (и/или Парижа) решит исход голосования.
• Пользователи призывают переходить на самостоятельные, несовместимые протоколы и отказываться от «удобных» централизованных мессенджеров.

Цели мастер-класса

• Основные: узнать о «одноразовых» телефонах и получить удовольствие.
• Скрытые: понять границы этих устройств, связать их с общей цифровой гигиеной, научиться делиться знаниями.
• Запреты: не раскрывать личные данные, не поощрять вред или преследование.

Моделирование рисков
Ответьте на три вопроса:

1. Что защищаем?
2. От кого?
3. Что случится, если всё провалится?

Примеры: протест, рейд ICE, онлайн-преследование, борьба с зависимостью от смартфона. Учитывайте риски для всей вашей сети.

Почему смартфон — это риск

• IMEI (железо) и IMSI (SIM) делают полную анонимность почти невозможной.
• Четыре категории утечек:
  1. Идентификация и финансы (платежи, контракты).
  2. Местоположение (GPS, Wi-Fi, вышки).
  3. Коммуникации и соцграф (звонки, контакты).
  4. Контент и хранилище (фото, бэкапы, приложения).

Быстрые меры для любого телефона

• Обновляйте ОС.
• ПИН-код вместо биометрии.
• Отключите облачные бэкапы или шифруйте их.
• Установите Signal.
• Жёстко ограничьте разрешения приложений.
• Выключа­йте радиомодули, когда не нужны.
• Храните минимум чувствительных данных.

Android

• Выключите Google Location History и персонализированную рекламу.
• Используйте Firefox/Brave, F-Droid, GrapheneOS или CalyxOS.

iPhone

• «Запретить отслеживать», ограничить Siri, включить режим Lockdown при высоком риске.

• Мобильные телефоны изначально проектировались как трек-устройства из-за роутинга вызовов и биллинга; «анонимные» бёрнеры почти невозможны в странах с обязательной идентификацией.
• Даже если купить аппарат и SIM за наличные, нужно держать «бёрнер» отдельно от основного телефона и не включать его дома/на работе, иначе корреляция по времени и месту выдаёт владельца.
• Альтернативы: LoRa-мэш (MeshCore), приёмники старых пейджеров, спутниковые телефоны, ham-радио — но всё это текст, ограниченный радиус или требует лицензий.
• eSIM и современные SoC с закрытым baseband делают отслеживание ещё глубже: модем «спит» даже в авиарежиме, а отключить радио полностью нельзя.
• Лучший совет — начать с threat-modeling и, если риск высок, просто оставить телефон домой: любое включённое радио — это маяк.