Hacker News Digest

Mullvad закрывает свои публичные зашифрованные DNS-серверы (DoH), запущенные в 2022 году, и переходит на финансовую поддержку Quad9 как лидера в области конфиденциального DNS. Внутри VPN Mullvad эти серверы были избыточны, так как весь трафик уже шифруется, а внутренние DNS обрабатывают запросы. За пределами VPN они использовались Mullvad Browser по умолчанию для защиты от наблюдения со стороны провайдера и предлагались как бесплатный публичный сервис для всех.

С 2 ноября 2026 года пользователям, вручную настроившим DoH-серверы Mullvad, необходимо перейти на Quad9, следуя официальным руководствам. Mullvad Browser с настройками по умолчанию или с включённой блокировкой рекламы автоматически переключится на Quad9. Пользователи с кастомными настройками DoH должны вернуть их к значениям по умолчанию, иначе изменений не произойдёт. Профили DoH для iOS и macOS перестанут работать и должны быть заменены на официальные профили Quad9 для соответствующих систем. Mullvad сосредоточит ресурсы на поддержке Quad9, а не на дублировании её усилий.

Закрытие публичного DNS Mullvad ослабляет децентрализацию и устойчивость к цензуре, так как пользователи концентрируются вокруг меньшего числа операторов, а судебные блокировки становятся эффективнее. Quad9 признан технически надёжным, но не заменяет разнообразие резолверов. Для обхода национальных блокировок и фильтрации рекламы рекомендуются: - локальный кэширующий резолвер Unbound с публичными чёрными списками; - NextDNS, ControlD, AdGuard DNS и joindns4.eu (в отличие от Quad9, не блокирующего рекламу); - numa с odoh-режимом для приватности и фильтрации (самоподдерживаемый проект без широкой проверки). Запуск собственного резолвера предпочтительнее централизованных сервисов из-за риска одноточечных отказов и уязвимости для спецслужб — критики считают, что часть таких сервисов уже может быть скомпрометирована, как узлы Tor. Quad9 блокирует домены в Европе по судебным постановлениям, что отличает его от Mullvad и ставит под сомнение его нейтральность как замены. Также обсуждается риск подделки DNS-ответов из-за отключения DNSSEC на фронтенде, хотя Quad9 объясняет это предотвращением BOGUS-ответов. На Windows DoH часто работает нестабильно из-за закрытия TCP-соединений между запросами. Утверждение о «высокоспециализированном» характере публичного DNS считается преувеличенным: Unbound настраивается за пару часов с помощью чёрных списков без специальных знаний.

Германская Sovereign Tech Agency выделила €508 640 на развитие Flatpak — платформы для безопасной упаковки и распространения Linux-приложений. Двухлетний проект, реализуемый совместно с Modal Collective и Para-Real Ltd., нацелен на закрытие ключевых пробелов в изоляции приложений: отдельный контроль аудио (без доступа к микрофону), изоляция сети по зонам (локальная/интернет), поддержка VPN-приложений и автозаполнение паролей через защищённые порталы. Эти улучшения сделают Flatpak конкурентоспособным с Android и iOS в плане безопасности.

Проект объединит опытных разработчиков из GNOME и других сообществ — включая Philip Withnall, Zelda Ahmed и Sam Hewitt — для реализации новых порталов, системы прав доступа (entitlements), механизма намерений (intents) и миграции на libdex. Цель — не только улучшить функциональность, но и создать устойчивую инфраструктуру поддержки: расширить круг экспертов, внедрить тестирование и формализовать управление проектом. Flatpak используется в Fedora Silverblue, SteamOS и GNOME OS, но его развитие замедлилось из-за нехватки ресурсов. Эта инвестиция — первый крупный шаг к превращению его в надёжную основу для будущих десктоп-ОС.

STF вложила €500k в Flatpak, что вызвало резкую критику: технологию сочли слабой (недостаточная песочница, раздутые разрешения, привязка к Linux), а модель финансирования — нежизнеспособной без найма разработчиков и стратегической устойчивости. **Спор о формате финансирования:** @ho_schi критикует временное проектное финансирование без штата; @eigenspace считает, что ограниченные деньги лучше тратить на конкретные deliverables. **Альтернативы Flatpak:** @EffrafaxOfWug и @regexorcist предпочитают firejail/bubblewrap как более лёгкие решения; @banger180 и @pinkwah защищают Flatpak при настройке через Flatseal. @ho_schi, @trentor, @username_my1 и @WhyNotHugo сходятся, что государству стоит финансировать инфраструктурный C/C++ (cURL, ffmpeg, GCC), а не упаковщики, и сэкономленные на отказе от Windows/Office средства направить в открытый стек. @j1elo, @Nux, @oytis, @znpy, @megous и @koe123 считают €500k пустой тратой: есть Nix и системные пакеты, а изоляция приложений на десктопе в принципе плохая идея — лучше task/workspace изоляция. **Проблемы песочницы:** @TekMol, @kalaksi, @bashZorina_09, @minimeow и @blizdiddy отмечают, что Flatpak-приложения (например, Calibre) часто получают полный доступ к диску, превращая песочницу в «security theater». **Практические советы:** - @pinkwah, @bashZorina_09, @meibo: управлять разрешениями через FlatSeal или магазин приложений; Flathub принимает PR на ужесточение прав. - @kodoman: podman + pipewire + Xephyr как более гибкая замена. - @JanisErdmanis: flatpak-builder завязан на Linux, сборка с macOS практически невозможна. - @robin_reala: Sovereign Tech Agency нанимает Director of Technology. **О STF:** @trlphj считает, что деньги идут на веб-проекты и упаковку, а не на фундаментальный C/C++; @nwellnhof уточняет, что STF нанимает разработчиков через fellowship. @jimbob45 и @goodpoint критикуют модель в целом: OSS-компании живут на госсубсидиях, а государственный контроль финансирования — это то же, что критикуют в Microsoft.

Масштабный рост скрейперов, направленных на сбор данных для обучения ИИ, превратил открытый веб в источник огромного трафика, исходящего из миллионов уникальных IP‑адресов. Большая часть запросов генерируется из «жилых» и мобильных сетей, где устройства задействованы как часть ботнетов без ведома их владельцев; такие сети часто называют residential proxies. Запросы выглядят как обычные браузеры, но почти не скачивают изображения или CSS, а после обнаружения IP‑адрес обычно игнорируют.

После публикации статьи о проблеме в начале 2025 г. Google заблокировал крупный провайдер IPIDEA, что временно снизило нагрузку, однако вскоре появились новые источники — в том числе уязвимые медиа‑стриминговые устройства и компании, продающие «этично» полученные IP‑адреса, например Bright Data, предлагающие бесплатный VPN, превращающий каждый клиент в узел сети‑прокси. Эти практики позволяют операторам запускать произвольный код на миллионах устройств, не ограничиваясь лишь сбором контента. Таким образом, борьба с скрейп‑ботнетами требует не только технических фильтров, но и внимания к экосистеме устройств, которые могут стать частью злоумышленнических сетей.

• Обсуждается рост агрессивных веб‑скрейперов и их влияние на сайты, особенно на новостные ресурсы и архивные проекты.
• Упоминаются резиденциальные прокси‑сети, которые используют обычных пользователей в качестве «масок» для ботов.
• Предлагаются альтернативы вроде proof‑of‑work, но отмечается, что они добавляют задержки и не всегда эффективны против масштабных ботнетов.
• Вызываются идеи по улучшению общих архивов (Common Crawl) и защите контента без ущерба для обычных пользователей.

That's absolutely sad to read." – this line appears in a post on a decentralized network, reflecting disappointment with recent statements by the head of the privacy‑focused VPN Mullvad. The leadership’s involvement in a controversy is seen as disheartening, especially given Mullvad’s reputation for strong anonymity and no‑logs policies. Viewing the conversation on the web version of Mastodon requires JavaScript, with a fallback to native apps for browsers without script support.

The controversy stems from a leaked internal memo where the CEO voiced support for a policy critics say erodes user privacy, sparking heated debate. At the same time, the technical note reminds users that the Mastodon web interface depends on JavaScript, and those unable to run it can use dedicated apps on Android, iOS or desktop. This mix of ethical concerns and platform constraints shows how even privacy‑oriented services face scrutiny and technical limits today. The situation underscores the broader tension between privacy advocacy and corporate governance in the fediverse.

• Обсуждается, что сооснователь Mullvad Даниэль Бернтссон финансирует экстремальную шведскую партию Örebropartiet, что вызвало споры о политике компании.
• Участники делятся мнениями: одни считают партию правым популистским движением, другие – левым популистским с радикальными взглядами на миграцию.
• Мнения разделяются: некоторые пользователи продолжат пользоваться Mullvad, другие отменяют подписку из-за политических возмущений.
• Есть запросы к альтернативным VPN‑провайдерам и обсуждение того, насколько политические убеждения должны влиять на выбор сервисов.

Меры, которые называют «проверкой возраста», на деле превращаются в всеобъемлющую слежку за каждым, кто пользуется интернетом, — пишет автор. Эта политика объединяет анти‑технологических активистов и консервативных политиков, которым alike нужен минимум лет для доступа к онлайн‑контенту. Они не замечают, что требуемый контроль данных делает рекламную индустрию surveillance‑технологий похожей на детскую игру, а затем используют полученный контроль, чтобы заставить всех установить VPN, а потом запретить её. Для рекламодателей такой закон — идеальный сценарий: каждый пользователь обязан передавать всю свою онлайн‑активность в государственную базу, что делает их бизнес ещё более прибыльным.

При этом «возрастная проверка» часто опирается на сомнительные биометрические методы, например, измерение формы лица, которые пока не способны отличить 17‑летнего от 18‑летнего. Без такой слежки платформы не могут таргетировать детей на анорексию, экстремизм или кибербуллинг, значит, основные угрозы появляются именно из‑за массового наблюдения. Технологические компании используют эту ситуацию, чтобы учить детей обходить блокировки, а затем запрещать обходы, превращая защиту в инструмент контроля. Таким образом, попытка «спасти детей от шпионажа» оказывается самой глупой, очень, очень глупой формой шпионажа.

• Age‑verification превращается в массовый мониторинг всех пользователей, а не только детей.
• Родители уже контролируют доступ детей к интернету; дополнительные законы лишь создают новые барьеры.
• Решения требуют от владельцев платформ хранить персональные данные, что повышает риск злоупотребления.
• Технологический профсоюзный отказ от реализации может остановить внедрение таких систем.

Законодатели в нескольких странах предлагают запретить VPN-сервисы, демонстрируя полное непонимание их технических функций и реального применения. По данным EFF, такие запреты основаны на ложном представлении о VPN как исключительно инструментах для незаконной деятельности, игнорируя их законные uses: от защиты конфиденциальности в публичных сетях до обеспечения безопасности удаленных сотрудников. Один из законодателей заявил: "VPN — это просто способ скрыть преступную деятельность", что показывает поверхностное понимание технологии.

Такие запреты создадут больше проблем, чем решат. VPN используются миллионами обычных пользователей для защиты банковских данных, журналистами для безопасной связи с источниками, а компаниями — для защиты корпоративной информации. Полный запрет VPN не остановит киберпреступников, но лишит законопослушных граждан важных инструментов безопасности. EFF призывает к взвешенному подходу, основанному на технической грамотности, а не на популистских решениях, которые подрывают цифровую безопасность и частную жизнь.

• Законы о верификации возраста через ID технически неосуществимы и создают риски утечек данных, так как сайты не могут отличить VPN-трафик.
• Подобные меры повторяют исторические попытки контроля над шифрованием (например, Clipper Chip) и копируют практики авторитарных государств.
• Предлагается альтернатива: родительские пароли для фильтрации контента на устройстве вместо тотальной интернет-цензуры.
• Участники видят в законах стремление к усилению контроля и слежке под предлогом защиты детей, что ведёт к авторитаризму.
• Законы намеренно составлены с расплывчатыми требованиями, чтобы создать невозможные для исполнения условия и оправдать дальнейшие ограничения.

Preston Byrne представляет 4chan и другие американские сайты в судебных разбирательствах против британского регулятора Ofcom, защищая их от Закона об онлайн-безопасности. Автор бесплатно защищает все американские веб-сайты, работающие законно в США, от попыток Великобритании нарушить Первую поправку Конституции. Он подчеркивает, что даже самые спорные платформы, такие как SaSu, 4chan, Gab и Kiwi Farms, заслуживают защиты.

В случае с SaSu, который заблокировал доступ для пользователей из Великобритании, Ofcom продолжает преследование, утверждая, что геоблокировка не работает. Однако автор демонстрирует обратное с помощью теста через VPN, показав, что блокировка функционирует. Он объясняет, что геоблокировка ненадежна из-за неточностей в базах данных геолокации, где IP-адреса могут быть некорректно привязаны к регионам. Byrne считает, что стратегия Ofcom заключается в выборе самых "радиоактивных" целей для публичного унижения, и единственный способ противостоять этому — защищать каждый сайт, как указал судья Брандейс: "солнечный свет — лучший антисептик".

• UK-регулятор Ofcom требует от американского сайта блокировать доступ для британских пользователей, что вызывает споры о суверенитете и свободе слова.
• Сторонники свободы слова утверждают, что это является экстерриториальным применением закона, что противоречит принципу, что сайт не обязан соблюдать законы страны, в которой он не базируется.
• Обсуждение также затрагивает вопрос о том, кто должен решать, какие сайты доступны в стране, и кто должен нести ответственность за блокировку контента.
• Некоторые участники обсуждения поднимают вопрос о том, что если страна может требовать от иностранной компании соблюдать её законы, то почему она не может требовать того же от физических лиц, и что это может означать для свободы передвижения и частной жизни.
• В конце концов, обсуждение подводит к тому, что вопрос о том, кто имеет право регулировать интернет, и какие законы применимы к глобальной сети, остаётся нерешённым.

Недавно на рейсе British Airways из Гонконга в Лондон автор обнаружил бесплатный WiFi для "сообщений" через программу лояльности. Оказалось, что для регистрации достаточно ввести email без верификации прямо в полёте. Бесплатный интернет работал с WhatsApp, Signal и WeChat (без изображений), но блокировал Discord и обычные сайты.

Автор выяснил, что система использует SNI (Server Name Indication) из TLS-рукопожатия для определения типа трафика. SNI раскрывает домен до установления шифрования, позволяя авиакомпании блокировать не-whitelisted домены. Эксперименты показали, что даже прямые подключения по IP без SNI блокируются, а использование SNI от WhatsApp (wa.me) обходит ограничение, позволяя установить соединение с любым сайтом через хост-заголовок HTTP.

• Обсуждение началось с описания способа обхода ограничений Wi-Fi в самолётах и круизных лайнерах с помощью VPN, DNS-туннелирования и прочих техник, включая использование порта 53/UDP и DNS-over-HTTPS.
• Участники обменялись историями о том, как они обходили плату за Wi-Fi в полёте, используя различные комбинации инструментов вроде OpenVPN, WireGuard, Iodine и прочих.
• Обсуждались также такие темы, как SNI-утечки, обфускация трафика и их влияние на приватность пользователей.
• Упоминались также вопросы о том, как авиакомпании и другие транспортные компании могут отслеживать и ограничивать использование VPN и прокси-серверов.
• В конце обсуждение перешло к обсуждению более широких тем, таких как приватность и безопасность в сети, а также о том, как технические меры могут быть использованы для обхода цензуры и ограничений.

Блогер bookofjoe делится находкой: в блоге запущен прямой эфир из пустыни Намиб, где у водопоя собираются животные — от зебр и антилоп до слонов. Автор особенно рекомендует трансляцию учителям для уроков естествознания.

Он сам начинает день с этого стрима, поскольку разница во времени позволяет видеть животных в их пиковую активность. На кадрах уже заметили семью страусов, выжидающих своей очереди, и других обитателей пустыни.

Простое решение для школ: вместо поиска картинок к уроку, учитель может транслировать реальную жизнь в реальном времени. Автор также делится, что уже поделился ссылкой с другом-учителем.

Пост завершается технической заметкой: камера установлена в Etosha National Park, и для хорошего качества нужен VPN, так как поток геоблокирован вне Намибии.

• Пользователи делятся ссылками на трансляции водопоя в пустыне Намиб, обсуждая их технические детали и влияние на зрителей.
• Обсуждается, как такие трансляции влияют на восприятие природы и как они могут быть использованы в различных контекстах.
• Участники делятся личными историями, связанными с наблюдением за животными в их естественной среде.
• Обсуждается, как технические аспекты трансляции, такие как питание от солнечных панелей и передача данных на расстоянии 35 км, влияют на восприятие.
• Участники делятся ссылками на другие трансляции и ресурсы, которые могут быть использованы для наблюдения за животными в их естественной среде.

Разработчики создали Wireguard-FPGA — полностью аппаратную реализацию VPN Wireguard на основе ПЛИС Artix7. Проект с открытым исходным кодом, включая весь RTL, встраиваемое ПО, битстримы и инструменты сборки, что позволяет любому провести полный аудит безопасности. Идея в том, что аппаратная реализация обеспечивает wire-speed производительность даже на недорогих FPGA, а открытость гарантирует отсутствие бэкдоров. Вместо традиционных программных реализаций, которые могут быть уязвимы для атак по сторонним каналам, этот подход обеспечивает физическую изоляцию и эффективность. Проект приглашает к сотрудничеству и аудиту.

• Проект представляет собой реализацию WireGuard на FPGA, что позволяет достичь высокой производительности и низкого энергопотребления, но вызывает вопросы о целесообразности, поскольку обычное ПО может справляться с подобной задачей.
• Обсуждение затрагивает вопрос о том, почему не используется QUIC вместо WireGuard, несмотря на то, что он может предложить схожие возможности и при этом не требует специализированного оборудования.
• Участники обсуждения также поднимают вопрос о том, почему не используется уже готовое решение, такое как OpenVPN или IPSec, которые могли бы быть более подходящими для корпоративного использования.
• Некоторые участники высказывают мнение, что проект является "академическим грантваром", поскольку он не решает практическую задачу, а вместо этого служит демонстрацией возможностей FPGA.
• В то же время, другие участники подчеркивают, что это может быть полезно для обучения и исследований, а также может быть полезно в ситуациях, где требуется высокая безопасность и производительность.
• Наконец, обсуждение также затрагивает вопрос о том, почему не используется уже готовое решение, такое как OpenVPN или IPSec, которые могли бы быть более подходящими для корпоративного использования.

Во время 12-часового перелёта из Канады в Гонконг на борту Air Canada автор обнаружил, что бесплатный Wi-Fi ограничен только мессенджерами. Вместо того, чтобы заплатить 30 CAD за полный доступ, он решил «взломать» систему. С помощью эксперта по безопасности сетей они попробовали три подхода: самоподписанный SSL-сертификат, маскировка DNS-запросов и туннелирование DNS. Первые два метода провалились из-за жёсткой фильтрации IP и отсутствия UDP. Третий подход оказался рабочим: туннель через DNS позволил обойти ограничения и получить полный доступ к GitHub и другим сайтам.

• Пользователи обсуждают, что если ICMP-запросы не проходят, это не обязательно означает блокировку IP-адреса — возможно, просто блокируется ICMP.
• Участники обсуждают, что если DNS-запросы проходят, то можно использовать DNS-туннель, чтобы обойти ограничения.
• Участники обсуждают, что если есть ограничения на использование VPN, то можно использовать прокси на порту 53, который обычно используется для DNS-запросов.
• Участники обсуждают, что если есть ограничения на использование VPN, то можно использовать прокси на порту 53, который обычно используется для DNS-запросов.
• Участники обсуждают, что если есть ограничения на использование VPN, то можно использовать прокси на порту 53, который обычно используется для DNS-запросов.

ExpressVPN принадлежит британско-израильской компании Kape Technologies, которую контролирует миллиардер Тедди Саги через свою фирму Unikmind Holdings. Kape также владеет CyberGhost, Private Internet Access и другими VPN-сервисами, создавая крупную корпоративную сеть. Сделка по покупке ExpressVPN обошлась в $936 млн.

NordVPN и Surfshark управляются литовскими основателями через Nord Security, но после слияния в 2022 году фактически находятся под одним контролем. Nord Security также приобрела Atlas VPN в 2021 году. В отличие от Kape, эта группа сохраняет более прозрачную структуру без прямых связей с медиахолдингами или спорными фигурами.

• Обсуждается непрозрачность индустрии VPN: сомнительные практики владения, продажа данных, отсутствие реальной анонимности и риск компрометации.
• Рекомендуются Mullvad и AirVPN как наиболее надежные поставщики, в то время как другие (NordVPN, ExpressVPN, ProtonVPN) подвергаются критике за связи с Tesonet, Kape Technologies и потенциальные связи с государственными структурами.
• Предлагаются альтернативы VPN: Tor, SSH-туннели, многосторонние реле (например, Obscura) и самостоятельные решения на VPS для повышения конфиденциальности.
• Основные сценарии использования VPN — доступ к геоблокированному контенту и пиринговым сетям, но не для серьезной анонимности.
• Подчеркивается системная проблема: законодательное давление на приватность и недоверие к юрисдикциям, что делает технологические решения вторичными.

Автор блога удаляет Disqus из-за ужасного качества встраиваемой рекламы. Изначально он почти забыл о её появлении, так как Disqus обещал ненавязчивый подход, но при отключении блокировщика обнаружил криво оформленные и мошеннические объявления, портящие чистый, минималистичный дизайн сайта.

Из-за использования Pi-hole и VPN автор годами не сталкивался с рекламой и осознал, насколько плох опыт обычных пользователей. Disqus не только ухудшал впечатление от блога, но и монетизировал чужие данные, нарушая приватность. Вместо комментариев он предлагает связаться через GitHub или Twitter, но открыт к рекомендациям приватных или самохостовых систем.

• Пользователи критикуют Disqus за обилие рекламы, трекеров, низкую производительность и сложность борьбы со спамом, что заставляет искать альтернативы.
• Предлагаются различные решения для комментариев: самохостинг (Isso, Remark42, Comentario), использование сторонних сервисов (GitHub Discussions через Giscus, Hyvor Talk), интеграция с федеративными платформами (Mastodon, Bluesky) или полный отказ от комментариев.
• Распространена точка зрения, что содержательные обсуждения ушли в соцсети (HN, Reddit) и Fediverse, а комментарии на блогах часто не стоят усилий по поддержке и модерированию.
• Многие предпочитают минималистичные подходы: запрос комментариев по email, кросс-постинг статей в сообщества для обсуждения или простое удаление функционала комментариев.
• Подчёркивается важность контроля над данными, производительности и приватности при выборе системы комментариев, а также сложность борьбы со спамом без централизованных решений.

Технология eSIM, упрощая подключение к сотовым сетям без физической SIM-карты, создаёт серьёзные риски приватности и безопасности. Исследование показывает, что трафик пользователей travel-eSIM часто маршрутизируется через сторонние сети, включая китайскую инфраструктуру, независимо от реального местоположения — это подвергает данные юрисдикционному воздействию и потенциальному наблюдению.

Продавцы eSIM получают доступ к конфиденциальным данным пользователей, могут удалённо управлять устройствами и назначать публичные IP без ведома владельцев. Также обнаружены операционные риски: сбои удаления профилей и их блокировка. Рекомендации включают усиление прозрачности, контроля пользователя и регулирования, особенно с ростом распространения eSIM в смартфонах и IoT.

• Исследование выявило проблемы с маршрутизацией данных через третьи страны (например, Гонконг) и доступом реселлеров к конфиденциальной информации пользователей при использовании туристических eSIM.
• Многие пользователи критикуют eSIM за сложность переноса между устройствами по сравнению с физическими SIM-картами и потенциальные ограничения со стороны операторов.
• Обсуждаются риски безопасности, включая возможные скрытые уязвимости eSIM, что подтверждается строгими ограничениями на их использование в таких странах, как Китай.
• Отмечается, что многие проблемы (маршрутизация, конфиденциальность) связаны не с технологией eSIM как таковой, а с бизнес-моделями MVNO и реселлеров.
• В качестве решений для защиты данных при использовании eSIM предлагается использовать VPN (например, WireGuard) и выбирать проверенных провайдеров.

Что такое GrapheneOS
Android для Google Pixel, заточенный под безопасность и приватность. Работает только на Pixel 8/9 (7 лет обновлений).

Профили

• Разные пользователи = изолированные шифрованные контейнеры.
• Можно полностью выключить профиль, тогда его приложения не работают в фоне.
• Переключение: тянем шторку → иконка внизу → PIN.

Google
Play Services ставятся в 1 клик из собственного магазина GOS; можно жить без Google вообще.

Установка
С браузера за 15 минут с Linux/Win/Mac; проверка образа после загрузки через TPM. OTA-обновления автоматом.

Разрешения
Сеть, камера, микрофон и т.д. – отдельно для каждого приложения и профиля. Удобно ставить апп в «владельца» без сети, потом клонировать туда, где нужно.

Производительность
Без графического shell, чистый AOSP + hardened ядро: быстрее stock-Pixel и без рекламы.

Безопасность

• Песочницы приложений, отключение метаданных Bluetooth/Wi-Fi, эксплойт-защита памяти, авто-перезагрузка если загрузчик разблокирован.
• Возможность показать «proof of boot» – что прошивка не тронута.

Мой сценарий
1 профиль – без сети, 2 – VPN+FIDO, 3 – SIM+Signal, 4 – камера. Переключаюсь по мере надобности.

Девайс
Pixel 8a, 8 ГБ ОЗУ, 256 ГБ ПЗУ, цена ~500 €, заряд 1-2 дня, камера отличная.

Итог
GrapheneOS = Pixel + годы обновлений + контроль над каждым приложением. Если нужен безопасный Android – бери Pixel и ставь GOS.

• GrapheneOS вызывает споры: кто-то хвалит «без-глючность» и песочницы, кто-то ругает отказ от root и «кастрюлю» с профилями.
• Покупка Pixel для GOS в США часто сопровождается требованием персональных данных; часть пользователей платит наличными и вводит фейки.
• Главные плюсы: сильное разграничение прав приложений, отключение Google Play, обновления без глюков, возможность мульти-профилей и VPN-наблюдения.
• Главные минусы: нет автозаписи звонков, сложность переключения профилей, проблемы с RCS/Fi/банковскими и платёжными приложениями, отсутствие root «из коробки».
• Часть комментаторов считает, что GOS всё-таки уменьшает утечки к Google, даже если сервисы Google всё же нужны; альтернативы — /e/OS, рут-образы или полный отказ от смартфона.

Мелвин Брэгг уходит из «In Our Time»
После 26 лет и более 1000 выпусков легендарный ведущий покидает культовую передачу Radio 4.

Программа, стартовавшая в 1998 году, стала одним из самых скачиваемых подкастов BBC, в том числе среди аудитории до 35 лет. Брэгг обсуждал с учёными мира от возраста Вселенной до царицы Зенобии.

Он останется «другом Radio 4» и в 2026-м появится в новом проекте (подробности позже).

Брэгг: «Передача с обманчивым названием, начавшаяся с полугодового контракта, подарила невероятное путешествие. Спасибо слушателям».

С 1961-го в BBC, он также вёл Start the Week и множество культурных программ. Почётный член Королевского общества и Британской академии, пэр и кавалер Почётного ордена.

• Слушатели скорбят об уходе Мелвина Брэgga из «In Our Time» и хвалят его умение жёстко, но уважительно держать экспертов в узде.
• Подкаст считается эталоном интеллектуального радио: без воды, с глубоким погружением в тему и верой в умную аудиторию.
• Избранные любимые выпуски: планктон, механизм Антикитеры, Гилгамеш, крокодилы, викторианские канализации и «Сознание» 1999 года.
• Архив из 1000+ эпизодов доступен через BBC (VPN/get_iplayer) и каталог Braggoscope; за пределами Великобритании вставляют рекламу.
• Общая мольба: найти достойного преемника и сохранить формат — чай/кофе в конце обязателен.

Ключевые выводы исследования

• 8 популярных коммерческих VPN обслуживают >700 млн пользователей, но скрывают собственность и имеют критические уязвимости.
• 3 VPN связаны с НОАК Китая, у остальных найдены признаки китайского контроля.
• Отсутствие прозрачности позволяет злоумышленникам снимать шифрование и перехватывать трафик.

Почему важна прозрачность
VPN переносят доверие от интернет-провайдера к самому сервису. При выборе пользователи должны решить:

• Прозрачность — знать, кто видит данные.
• Анонимность — не знать, но полагаться на обещания.

Риски для пользователей

• Авторитарные государства могут использовать скрытые связи VPN для слежки.
• Отсутствие публичной информации о владельцах и разработчиках усиливает уязвимости.

• Коммерческие VPN часто продаются через страх не-технических пользователей, хотя реальные сценарии — это обход геоблоков, торренты и «неполиткорректный» контент.
• Модель доверия к единому VPN-узлу критикуется; предлагаются решения вроде iCloud Private Relay и MASQUE-релеев, разделяющих «кто» и «что».
• Подозрения вызывают «популярные» VPN (Nord, Express), их рекламные бюджеты и возможные связи с разведками; Mullvad считается одним из самых прозрачных, но его IP-адреса всё чаще банят.
• Некоторые «бесплатные» или малоизвестные VPN/прокси-сервисы превращают клиентов в узлы резидентного прокси и продают их трафик третьим лицам.
• Даже при смене IP браузерное фингерпринтирование легко идентифицирует пользователя; HTTPS сделал старые аргументы «VPN для безопасности в публичном Wi-Fi» почти бесполезными.

Пройдите CAPTCHA, чтобы подтвердить запрос.
Нажмите «Войти» или создайте аккаунт.

• Вход: имя аккаунта, пароль, «запомнить меня»
• Забыли пароль? | Войти через OpenID

Меню

• Создать аккаунт / настроить отображение
• Искать: интересы, каталог, случайные журналы и сообщества
• Магазин: услуги, подарки, мерч

Ссылки
Политика конфиденциальности • Условия • FAQ • Поддержка • Исходный код

© 2009-2025 Dreamwidth Studios, LLC.

• Пользователи обсуждают, как неуклюжие и противоречивые законы (Миссисипи, UK Online Safety Bill) заставляют сайты блокировать целые штаты и страны, хотя геоблокировка легко обходится VPN.
• Все жалуются на невозможность отслеживать сотни подобных законов: запустил маленький сайт — и уже нарушил законы в семи штатах и тринадцати странах.
• Поднимается вопрос: почему сайт, расположенный в другом штате или стране, должен подчиняться миссисипскому закону, если это межгосударственная или международная коммуникация?
• Многие отмечают, что штрафы огромны ($10 000 за каждого «непроверенного» пользователя), а сроки вступления закона — буквально недели, что делает соблюдение невозможным для мелких площадок.
• Итог: законодатели не понимают технологий, геолокация неточна, VPN всё равно всё обходит, а интернет всё больше дробится на «свободные» и «пуританские» зоны.

Почему я перешёл на MiniPC

Пару лет экспериментов убедили: это моё будущее.

Плюсы

• Цена и заменяемость
  Заводская сборка и масштаб снижают цену. Поломки редки: нет вентиляторов, низкая температура, медленный износ.

• Компактность
  Прячется за ТВ, помещается на ладонь, легко переносится.

• Энергоэффективность
  20–50 Вт под нагрузкой, 6–12 Вт в idle. Для 24/7-сервисов выгодно и экологично. ARM/RISC-V обещают ещё меньше энергии.

• Специализация
  Один тип MiniPC не универсален, но набор из разных закрывает все задачи:

  • обычные — офис/браузер;
  • 4–6 LAN-портов — роутер, фаервол, VPN;
  • 4–6 M.2 — компактный NAS (до 20 ТБ);
  • мощный — хост контейнеров и «облако»;
  • Mac mini — macOS без отказа от Linux.

• Простота сборки
  «Монолит» из одного большого ПК требует редкой материнки, кучи PCI-устройств, корпуса с отсеками, сложной логистики и возвратов. Несколько MiniPC решают то же быстрее и дешевле.

• Участники активно обсуждают, как Mini-PC стали «новыми домашними серверами»: дешёвые, экономные (6–50 Вт), легко кластеруются под Proxmox/K8s и заменяют дорогое «энтерпрайз» железо.
• Популярны бывшие корпоративные NUC/HP/Lenovo и китайские 5560U/16 ГБ за $200–300; их ставят за TV, в туалет, за лазер, за StepMania — «дешевле, чем облако».
• Главные боли: шум (особенно в «геймерских» версиях), неремонтопригодность (паяная RAM/CPU, кастомные кулеры), высокий процент брака дешёвых китайцев и отсутствие апгрейдов.
• Мечтают о «тихом Mac-mini-размере» с RTX 4060/780M для игр, но физика (300 Вт TDP) и цена (~$2000) пока не позволяют; вариант — ПК в соседней комнате + длинный кабель/KVM.
• Valve, по мнению многих, была права с идеей Steam Machine, но рано и промахнулась в Linux-играх; новая попытка в 3–5 лет, возможно, совместит Proton, Mini-PC и приставочную форму.

Сокращённый перевод на русский (markdown)

---

4chan как новый «Pirate Bay» для расширения блокировок в Великобритании?

Закон об онлайн-безопасности (OSA) позиционируется как защита детей, но фактически вводит жёсткую цензуру: от новостей с войны до критики самого закона. Взрослые вынуждены подтверждать личность, иначе им показывают «детский» интернет. Зарубежные платформы рискуют огромными штрафами, поэтому многие просто закрывают доступ для британцев.

Правительство сводит дискуссию к дихотомии: «или вы за детей, или за онлайн-хищников». Критиков обвиняют в «пособничестве», а VPN-пользователей называют «не помогающими защитить детей». Лондон также требует от зарубежных компаний удалять посты британцев, критикующих политику. Госдеп США уже упрекнул Великобританию в подавлении свободы слова.

Полиция Лондона пригрозила преследовать «враждебные» посты, включая тех, кто пишет из-за рубежа. Конгрессмены США ответили: преследование американцев навредит союзу.

Теперь, используя 15-летний опыт блокировки пиратских сайтов, власти готовятся расширить фильтрацию на обычные ресурсы, не выполняющие требования OSA. 4chan, получив уведомление от Ofcom, оказался удобным «примером», как когда-то Pirate Bay.

• Пользователи HN удивлены, что впервые за долгое время меры по цензуре встретили не только осуждение, но и поддержку.
• Основной тезис: блокировка 4chan — «троянский конь» для введения тотального контроля над интернетом и свободой слова.
• Многие считают, что Онлайн-безопасный акт (OSA) превращает Великобританию в полицейское государство, где власть контролирует не только контент, но и доступ к нему через ISP, рекламодателей и платёжные системы.
• Участники обсуждают технические обходы (VPN, TOR 2.0, локальное архивирование) и политические последствия: если британцы не проголосуют против, такие меры расползутся по всему Западу.
• Подспудно звучит тревога, что «защита детей» — лишь предлог для укрепления власти элит и подавления инакомыслия.

Крупнейший немецкий провайдер Telefonica изменил работу DNS через два часа после того, как с его сети проверили мой сайт cuiiliste.de.
Сайт публикует список доменов, которые тайно блокирует частная организация CUII (четверка крупнейших ISP: Telekom, Vodafone, 1&1, Telefonica/o2).

Раньше блокировки легко выявлялись: DNS отдавал CNAME на notice.cuii.info. После публикаций CUII убрала эту метку, и Telefonica остался последним, кто её оставил.

В пятницу в 11:06 с IP Telefonica кто-то проверил домен blau-sicherheit.info (принадлежит самой Telefonica). Мой сервис показал «заблокирован». Через два часа Telefonica убрал CNAME и начал отвечать «домен не существует», что сломало мой скрипт.

Пришлось переписать логику: теперь я дополнительно фильтрую блокировки по известным спискам.

Совпадение? Скорее попытка скрыть будущие ошибки CUII и уменьшить прозрачность.

• Немецкая CUII раньше блокировала сайты без суда по внутреннему решению, но после критики теперь использует только судебные приказы.
• Участники считают, что цензура под предлогом авторского права всё равно остаётся, а старые блокировки не снимаются.
• Рекомендуют отказаться от DNS провайдера и переходить на зашифрованные (DoH/DoT) или распределённые решения, включая VPN, I2P, Yggdrasil.
• Некоторые подчёркивают, что технологические обходы важны, но конечное решение — политическое; другие считают, что «физический» уровень всегда остаётся последним рубежом.

Как военный проект стал щитом приватности

На скрипучем поезде в тумане я пытаюсь зайти на сайт, но Wi-Fi блокирует его. Запускаю Tor Browser — страница открывается мгновенно.

Tor, или «тёмная сеть», ассоциируется с криминалом, но финансируется частично правительством США, а BBC и Facebook ведут в нём «зеркала» для обхода цензуры. Суть: трафик шифруется и прыгает по серверам мира, скрывая пользователя и обходя блокировки.

От криптовойн до Tor

90-е: хакеры-циферпанки вооружают гражданских военным шифрованием, предупреждая, что интернет может стать тоталитарным. Бизнес и Пентагон поддерживают: свободный поток данных = рыночная победа.

В исследовательской лаборатории ВМС США (NRL) инженеры ищут способ скрыть IP подлодок. Их решение — луковая маршрутизация — ложится в основу Tor.

Двойная игра государства

Сегодня одни ведомства финансируют Tor, другие требуют «задних дверей». Технологии, рождённые для шпионажа, стали инструментом сопротивления цензуре и массовой слежке.

• @neilv использовал Tor для скрытого мониторинга международной торговой площадки, выбирая выходные узлы под нужные регионы.
• @palsecam и @jmclnx рассказали, что запускать ретранслятор или bridge дёшево (VPS за $5) и безопасно, помогая обходить цензуру.
• Некоторые считают Tor «мертвым» или скомпрометированным; другие советуют прятаться в толпе, использовать VPN, residential-прокси или переходить на i2p.
• Книга «Tor: From the Dark Web to Your Browser» доступна бесплатно от MIT Press и получила положительные отзывы.
• Основные советы по безопасности: брать Tails на флешке, не ставить расширений в Tor Browser, не логиниться личными данными.

Я использую Tailscale около четырех лет, чтобы объединять свои устройства, серверы и приложения. Расскажу, как применяю его, о полезных фишках и подводных камнях.

Tailscale — это по сути оркестрация WireGuard с приятными надстройками. Продукт по подписке, но у него очень щедрый бесплатный тариф для личного использования. Клиенты — с открытым исходным кодом; есть и сторонний контроль-сервер Headscale, если не хочется облака.

Базовое подключение

Tailscale позволяет легко связать устройства, даже если они не торчат в интернет. Ставите клиент на телефон/компьютер/сервер/Raspberry Pi, авторизуете — и он общается с остальными по приватным IP Tailscale.

Это обычная идея VPN, но здесь всё просто: не нужно настраивать сеть и раздавать ключи — ставите клиент и логинитесь.

Например, мой домашний автоматизационный сервис на Raspberry Pi за двумя роутерами: поставил Tailscale, вошел — и сразу могу SSH с ПК или телефона, даже из разных сетей.

Есть особая поддержка SSH: Tailscale принимает подключения на 22 порт с tailnet и сам выполняет аутентификацию. Никаких ключей и паролей: вошли в Tailscale — можете войти на машину. Особенно удобно с телефона, где управлять ключами неудобно.

Можно публиковать не целую машину, а отдельные сервисы как отдельные узлы tailnet: есть официальный Docker-образ, Go-библиотека, и сторонние инструменты (например, мои Centauri и tsp).

Это больше, чем VPN

Чтобы не запоминать IP, я долго вручную добавлял DNS-записи. Перешел на MagicDNS — он автоматически создает DNS по имени машины.

Сначала меня смущало, что он меняет резолвер на устройствах — “слишком магично”. Разобрался, привык. Можно задать и свой upstream DNS. Я везде использую NextDNS, и Tailscale сам настраивает его на всех устройствах.

Помимо коротких имен, есть формат machine.your-tailnet.ts.net. Его можно «перебросить» на глобальную маршрутизацию и получить TLS-серты.

Нужно быстро показать локальный сервис? Включите funnel: tailscale funnel 127.0.0.1:8080 Без доп. опций сервис будет доступен по HTTPS:443. Дайте ссылку https://machine.your-tailnet.ts.net — трафик пойдет на ваш 8080. У посетителей Tailscale не нужен. Пользуюсь редко, но удобно.

Команда serve делает похожее, но только внутри tailnet. Так же работает Docker-образ Tailscale для публикации обычного сервиса. Для тестов с телефона: вместо танцев с Wi‑Fi/локалхостом/IP просто запускаю tailscale serve и захожу с устройства.

• Включение tailscale funnel мгновенно привлекает ботов, сканирующих новые HTTPS-сертификаты из CT-логов.
• Пользователи делятся альтернативами: Headscale, NetBird, Nebula, Zerotier и «чистый» WireGuard.
• Mullvad-интеграция позволяет использовать выходные ноды Tailscale для смены геолокации.
• Настоятельно не рекомендуют запускать dev-серверы и OIDC-серверы через funnel из-за риска блокировки и атак.
• Чтобы не светить домены, применяют wildcard-сертификаты и нестандартные порты.
• Tailscale собирает телеметрию по умолчанию; её можно отключить, но это не анонимный VPN.