Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в Telegram Desktop, позволяющая отправить произвольные файлы при клике на ссылку"	+/–
Сообщение от opennews (??), 09-Окт-26, 12:00
Раскрыты подробности и метод эксплуатации уязвимости (CVE-2026-107181) в Telegram Desktop, официальном клиенте Telegram для настольных систем. Проблема вызвана отсутствием должной обработки неэкранированных символов-разделителей в командах IPC, что позволяло при клике на отправленную ссылку организовать передачу атакующему любых файлов с системы жертвы, включая файлы с сессионными ключами, которые можно использовать для захвата учётной записи в Telegram. Уязвимость устранена в выпуске Telegram Desktop 7.2.9... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66431
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
Сообщение от Аноним (1), 09-Окт-26, 12:00
А что СМС-подтверждение из телеги ещё приходит?
Ответить | Правка | Наверх | Cообщить модератору

	16. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от Аноним (16), 09-Окт-26, 12:52
	Да, но очень просит купить премиум за 500 форинтов, а то "дорого очень смс слать" (веб версия при этом логинится без каких либо проблем и смс)
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (1), 09-Окт-26, 13:12
	Логинится в существующую учетку, а если новый заводить, смс уже не требует, сомнительно. Во многих странах смс это средство идентификации и защиты от ботов.
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (23), 09-Окт-26, 13:29
	Ага, только не помогает это, можно одноразовые номера за копейки покупать во многих странах. Включая Россию, кстати, несмотря на все законы о запретах анонимных симок. Но требовать платить это ужасное решение, конечно, они просто жадные. Были бы адекватнее, поставили бы какую-нибудь капчу вместо этого. Не цифры или выбор квадратиков, естественно, это уже легко ботами проходится, а что-то вроде сравнения форм фигур, частей паззлов и подобного, это пока может защитить
	Ответить | Правка | Наверх | Cообщить модератору

	34. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от lbccom (??), 09-Окт-26, 13:58
	>> Ага, только не помогает это, можно одноразовые номера за копейки покупать во многих странах сомнительное заявление но смс выглядит лучше, чем обязательная завязка на частные сервисы appla/googla/ms/vk
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Анонисссм (?), 09-Окт-26, 20:20
	>можно одноразовые номера за копейки покупать во многих странах. недавно пробовал, все варианты за бакс типа каазахстана и зимбабве - не пашут, рабочее начинается с 3-5 баксов (мексика, турция)
	Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

	110. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от Аноним (110), 10-Окт-26, 11:00
	Я фиг знает где ты там и что покупал, мне хватило 15 рублей чтобы арендовать номер для регистрации в ChatGPT и Claude
	Ответить | Правка | Наверх | Cообщить модератору

	112. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Pondesss (?), 10-Окт-26, 11:10
	Восстание машинков начнется не с фразы "И восстали машины из пепла ядерного огня", а с "Я оплатил чат жпт"... Кэмерон ошибался, но с другой стороны был близок.
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+6 +/–
	Сообщение от Аноним (106), 10-Окт-26, 09:41
	> смс это средство идентификации и защиты от ботов. Это же очевидное враньё от владельцев мессенджеров. Злоумышленникам (которым сервис нужен для единичных транзакций либо проведения кампании по распространению спама/малвари) ничего не стоит набрать симок за копейки. А вот обычных честных пользователей, у которых один–два активно используемых номера — это лишает псевдонимности, поскольку позволяет однозначно идентифицировать и связать профиль телеграмма с внешними источникам данных.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	131. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (131), 12-Окт-26, 00:01
	Да, чтоб демократический товарищ майор тебе sim hijack устроил. Вот это слово забавляет "во многих странах". А ещё во многих странах мужики друг друга крепко, чё теперь тоже перенимать?
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	26. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (26), 09-Окт-26, 13:31
	>  А что СМС-подтверждение из телеги ещё приходит? У них для особо паскудных локаций и другие варианты есть :)
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

2. Скрыто модератором	+9 +/–
Сообщение от No Name (?), 09-Окт-26, 12:03
Это дыра или рeшето?
Ответить | Правка | Наверх | Cообщить модератору

	10. Скрыто модератором	+/–
	Сообщение от Аноним (10), 09-Окт-26, 12:34
	IQ-тест
	Ответить | Правка | Наверх | Cообщить модератору

	43. Скрыто модератором	+/–
	Сообщение от Жироватт (ok), 09-Окт-26, 15:00
	Это норка
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

3. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+4 +/–
Сообщение от Аноним (10), 09-Окт-26, 12:03
Няшные диаграммы.
Ответить | Правка | Наверх | Cообщить модератору

4. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+9 +/–
Сообщение от Аноним (4), 09-Окт-26, 12:07
ну вроде работает как и задумывали, чо чинить то
Ответить | Правка | Наверх | Cообщить модератору

6. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+2 +/–
Сообщение от Аноним (6), 09-Окт-26, 12:12
Открыть Телеграм, увидеть 7.2.9, закрыть Телеграм.
Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–3 +/–
Сообщение от Аноним (10), 09-Окт-26, 12:20
Зачем эта спайварь когда есть веб морда?
Ответить | Правка | Наверх | Cообщить модератору

	12. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от limafresh (ok), 09-Окт-26, 12:41
	В чём конкретно он "спайварь"? Докажите. И он нужен, потому что Qt даёт нативный опыт и быстродействие, а веб медленный. Для тех, кто редко пользуется, сойдёт, но для остальных нет.
	Ответить | Правка | Наверх | Cообщить модератору

	17. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Нил Нонэниевич (?), 09-Окт-26, 13:00
	Без аудита любой кусок софта - потенциальная спайварь.
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+3 +/–
	Сообщение от Аноним (23), 09-Окт-26, 13:30
	Он с полностью открытым кодом, бери и аудируй https://github.com/telegramdesktop/tdesktop
	Ответить | Правка | Наверх | Cообщить модератору

	51. Скрыто модератором	–3 +/–
	Сообщение от Нил Нонэниевич (?), 09-Окт-26, 15:20
	> бери и аудируй Жду донат в размере 18 миллионов долларов - и как деньги прибудут на моё счёт, то сразу начинаю неистово аудировать. Ну а если эти деньги уже потратили на (цитирую) "люксовые бренды и ювелирные украшения", то без моего аудита посидите, значит не так сильно надо.
	Ответить | Правка | Наверх | Cообщить модератору

	113. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Ык (?), 10-Окт-26, 13:04
	Я слышал что там закрытые библиотеки используются И еще что сервер все чтитает и переписка скармливается нейросетям
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

	72. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+8 +/–
	Сообщение от Аноним (72), 09-Окт-26, 17:53
	Дурову доверять себя не уважать. Этот же Дуров на всех углах рассказывал это приватно и безопасно в отличии от всяких там Вацапов а потом для регистрации начали требовать номер сотового а потом не просто номер а ещё и наличие умнофона с Android либо iOS. Сливание номера тилипона, контактов из адресной книжки конечно способствую безопасности.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	75. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от Аноним (75), 09-Окт-26, 18:00
	а главное всю переписку пользователей продал елону шмаксу для "тренировки" ЫЫ :)
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (85), 09-Окт-26, 20:42
	а ссылочку на пруфы?
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (75), 09-Окт-26, 21:38
	> а ссылочку на пруфы? гугл заблокировали? или вы телегой не пользуетесь в принципе? //x.com/durov/status/1927705717626003759 //x.com/elonmusk/status/1927839555828220165 """ @durov Pavel Durov Telegram Messenger 28 мая 2025 г. 🔥 This summer, Telegram users will gain access to the best AI technology on the market. @elonmusk and I have agreed to a 1-year partnership to bring xAI’s @grok to our billion+ users and integrate it across all Telegram apps 🤝 💪 This also strengthens Telegram’s financial position: we will receive $300M in cash and equity from xAI, plus 50% of the revenue from xAI subscriptions sold via Telegram 💰 Together, we win ❤️📈🏆 """ """ Elon Musk X @elonmusk 29 мая 2025 г. No deal has been signed """ """ @durov Pavel Durov Telegram Messenger 28 мая 2025 г. True. Agreed in principle, but formalities are pending. """ И главный вопрос без ответа :))))) """ Jeremiah @jeremiahrogers 28 мая 2025 г. Will any telegram data be provided for training as a part of the deal? """
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от limafresh (ok), 09-Окт-26, 18:33
	> а потом для регистрации начали требовать номер сотового А разве они не с самого начала его требовали?
	Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

	116. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (72), 10-Окт-26, 14:15
	Насколько помню, то не с самого.
	Ответить | Правка | Наверх | Cообщить модератору

	121. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от limafresh (ok), 10-Окт-26, 15:57
	Разве там когда-то была регистрация по почте?
	Ответить | Правка | Наверх | Cообщить модератору

	100. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от X86 (ok), 10-Окт-26, 07:19
	Чего это веб медленный? Включите аппаратное ускорение в браузере. И можно эффекты отключить
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	132. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 12-Окт-26, 01:14
	> Чего это веб медленный? Включите аппаратное ускорение в браузере. И можно эффекты > отключить 1) Это не нативный код. И соответственно обречен работать медленнее. Можно рассказать про JIT но собссно компиляция тоже ресурсы - жрет. И RAM тоже. А код все равно менее оптимальный будет. Потому что компил с хорошим уровнем оптимизации это весьма ресурсоемкое развлечение. 2) Браузеры нынче далеко не пушинки сами по себе. 3) У JS как ЯП нет для скорости вообще совсем ничего. Он динамически типизируемый и значит всегда надо делать кучу проверок что тип данных - не изменился. И так далее. Блин там даже изначально удобных машинам типов данных то - не было. Потом голимый перфоманс задолбал и все ж сделали какие там uint8 array или byte array, как их там, но в целом - JS делался уж точно не для скорости работы. И никакое "аппаратное ускорение" к этому не относится никак.
	Ответить | Правка | Наверх | Cообщить модератору

	138. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–1 +/–
	Сообщение от Аноним (138), 12-Окт-26, 11:03
	> Он динамически типизируемый и значит всегда надо делать кучу проверок что тип данных - не изменился Есть TS со строгой типизацией, уже несколько лет все пишут на нём. Да, телеграм веб тоже. Дальше даже не читал
	Ответить | Правка | Наверх | Cообщить модератору

	145. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (145), 12-Окт-26, 18:52
	> Есть TS Ты сначала погугли, как он работает. Спойлер: оно транслируется в JS, да ещё и раково выглядящий, т.к. куча проверок происходит в рантайме просто потому что в JS по другому и не получится, все объекты могут на ходу изменится в любую кракозябру.
	Ответить | Правка | Наверх | Cообщить модератору

	129. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от YetAnotherOnanym (ok), 11-Окт-26, 21:46
	> В чём конкретно он "спайварь"? Докажите. Ты новость-то хоть прочёл, под которой каменты постишь? Если в тексте новости не прочёл, прочти тут: "позволяло при клике на отправленную ссылку организовать передачу атакующему любых файлов с системы жертвы, включая файлы с сессионными ключами, которые можно использовать для захвата учётной записи в Telegram".
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	130. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от limafresh (ok), 11-Окт-26, 22:04
	А вы в курсе, что уязвимости в софте (они везде бывают, кроме хэллоуворлдов) и спайварь (когда в софт намерено внедряют слежку) - это абсолютно разные вещи? > Ты новость-то хоть прочёл, под которой каменты постишь? А вы русский язык хоть выучили, перед тем как так откровенно позориться?
	Ответить | Правка | Наверх | Cообщить модератору

	148. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от YetAnotherOnanym (ok), 14-Окт-26, 21:43
	> абсолютно разные вещи Абсолютно никакой разницы, если этот фрагмент кода позволяет злоумышленнику сделать что-то вредоносное.
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–12 +/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 12:47
	А уэб-морда и является Desktop версией, которая рисуется Electron'ом.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	15. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+8 +/–
	Сообщение от limafresh (ok), 09-Окт-26, 12:52
	Зачем так нагло врать? Telegram Desktop написан на Qt, а не является веб-обёрткой, в отличие от многих.
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+8 +/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 13:45
	Вы правы, приношу извинения. Пользовался пару раз и сложилось впечатление, что идентичен Web-морде. Я ошибся. Плюсик за исправление.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+2 +/–
	Сообщение от limafresh (ok), 09-Окт-26, 14:03
	Принимаю, спасибо
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–3 +/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 14:38
	> Принимаю, спасибо Принимает он. Положи чужое извинение туда, где взял. Не тебе оно, а Telegram предназначалось. Твоя только благодарность за исправление )))
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от limafresh (ok), 09-Окт-26, 15:21
	Как скажете
	Ответить | Правка | Наверх | Cообщить модератору

	68. Скрыто модератором	+/–
	Сообщение от Аноним (68), 09-Окт-26, 17:37
	ЧСВ
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	91. Скрыто модератором	–1 +/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 21:54
	ЧЮ=0
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (55), 09-Окт-26, 15:41
	> А уэб-морда и является Desktop версией, которая рисуется Electron'ом. Вот прям со всем ее Qt? Вы там протрезвейте до того как писать на форум.
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

	59. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 15:57
	> Вот прям со всем ее Qt? https://try.qt.io/projects/oxyscan - Why not?
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 15:59
	>> Вы там протрезвейте до того как писать на форум. Пока ты очухался, я уже и проспаться успел.
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 09-Окт-26, 22:07
	>> Вот прям со всем ее Qt? > https://try.qt.io/projects/oxyscan - Why not? Да вы что-то мелко плаваете. Надо в браузере бутануть - виртуалку с линухом. И в нем уже запустить браузер. Вот тогда жор ресурсов будет что надо.
	Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

	97. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–1 +/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 22:10
	> Да вы что-то мелко плаваете. Во времена телефонов с 48 гигами рамы на системные требования не жалуются.
	Ответить | Правка | Наверх | Cообщить модератору

	133. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 12-Окт-26, 01:16
	>> Да вы что-то мелко плаваете. > Во времена телефонов с 48 гигами рамы на системные требования не жалуются. А на что жалуются? На цены этих телефонов и вообще этой самой DRAM? :D
	Ответить | Правка | Наверх | Cообщить модератору

	135. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от timur.davletshin (ok), 12-Окт-26, 08:10
	> А на что жалуются? На цены этих телефонов и вообще этой самой > DRAM? :D Я лично не жалуюсь.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от Аноним (26), 09-Окт-26, 13:33
	>  Зачем эта спайварь когда есть веб морда? Эта спайварь в принципе даже так то открытая. Другое дело что серваки самодурова - метаданные гребут разумеется лопатой. И еще каким-то AI и хрен знает чему еще скармливают потом оптом.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	81. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–1 +/–
	Сообщение от Аноним (81), 09-Окт-26, 18:52
	> когда есть веб морда дак в веб-морде не всё можно...
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

11. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+2 +/–
Сообщение от Аноним (11), 09-Окт-26, 12:39
>Уязвимость устранена в выпуске Telegram Desktop 7.2.9 https://github.com/telegramdesktop/tdesktop/
Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–2 +/–
Сообщение от Метрика (?), 09-Окт-26, 13:06
Телега такая телега, а если серьезно анонимный мессенджер с регистрацией по номеру телефона, это сюр... Для безопасности нужен мессенджер P2P по типу Gnutella только не для файлов, а для сообщений, но такого конечно не будет, ведь как тогда ваши переписки читать
Ответить | Правка | Наверх | Cообщить модератору

	25. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+3 +/–
	Сообщение от фф (?), 09-Окт-26, 13:31
	поднимите свой jabberd, и юзайте абсолютно анонимный xmpp безо всяких смс регистраций не хотите xmpp? есть еще анонимне - smtp, можно даже свой сервер не поднимать - protonmail телефон не спрашивает. + почту можно шифровать вполне стандартным почтовым клиентом - тогда даже админы сервера не увидят чего вы пишете. Анонимности тогда будет мешать ваш ip, но тут можно воспользоваться впн, правда там уже тоже спрашивают номер телефона (ну или аккаунт телеграмма, который привязан к номеру), кажется круг замкнулся. вот только по-моему и телеграм обещал приватность,а не анонимность. Хотя тут возможно я чего пропустил, спорить не буду.
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (26), 09-Окт-26, 13:34
	> поднимите свой jabberd, и юзайте абсолютно анонимный xmpp безо всяких смс регистраций Или качаете любой клиент Tox - и скипаете историю с сетапом своего сервака, трахом с регистрацией доменов, какими там еще записями DNS и что там еще за аций кластерфак.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (145), 09-Окт-26, 15:11
	Современные клиенты позволяют прописать айпишник сервака и привязаться к самоподписному сертификату (который даже "протухший" будет работать, т.е. одноразовая настройка). Файловый сервер так же работает внутри xmpp чисто с айпишниками и даже без https. Jingle вообще как обычный ICE работает, там даже поддержка сервера не нужна т.к. это p2p тема между звонящими, и если всё завёрнуто в впнку (а не завёртывать при отсутствии своей DNS зоны смысла нету) то проблем с p2p звонками не будет никогда, никакие TURN прокси поднимать не нужно.
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 09-Окт-26, 15:48
	> Современные клиенты позволяют прописать айпишник сервака и привязаться к самоподписному > сертификату (который даже "протухший" будет работать, А вон то - просто работает. Без вот всего этого кластерфака. Ну то-есть совсем. Ни доменов, ни сертификатов, в общем - не надо спрашивать какие-то 3rd party "а можно ли", попутно рискуя что толи разделегируют, толи голуби мира на датацентр сернут, толи еще хрень какая-то. Оно просто работает, покуда кому-нибудь надо. Если сыкотно айпи светить - оно даже через tor и http/socks прокси работает, т.е. через примерно все оверлеи, квн-ы и прочие прелести. > т.е. одноразовая настройка). А вон то по сути zeroconf для неискушенных. > сервер так же работает внутри xmpp чисто с айпишниками и даже > без https. Jingle вообще как обычный ICE работает, там даже поддержка > сервера не нужна т.к. это p2p тема между звонящими, И работает это все - как обычно в жабере. Т.е. раз через три. А вон те таки доперли и нормальный эквивалент STUN в каждом клиенте, и аналог TURN который opt-in по желанию узлов, и - вот - релей трафа в TCP через вон тех если иначе - ну совсем уж не прокатило. И все это - интегрировано в протокол и zeroconf для обычного чайника. Гуры могут настроить p2p core более детально. > и если всё завёрнуто в впнку (а не завёртывать при отсутствии своей DNS > зоны смысла нету) то проблем с p2p звонками не будет никогда, > никакие TURN прокси поднимать не нужно. А вон то еще и штатно через http/socks пропихивается, приветы телеграму, в эту игру могут играть и двое.
	Ответить | Правка | Наверх | Cообщить модератору

	61. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от nuclight (??), 09-Окт-26, 16:08
	А кто именно такое это самое "вон то"?
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 09-Окт-26, 17:46
	> А кто именно такое это самое "вон то"? Tox и некоторые иные p2p на тему. Там оно жить будет столько сколько надо тому кто это засетапил. Забыв 3rd parties спросить "а можно ли". Ни у каких 3rd party никакого особого контроля над происходящим нет. А по приколу в локалке сие живет даже если внешка совсем отвалилась.
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (86), 09-Окт-26, 21:15
	Локалкп нам не нужна, она деанонимизирует. Только Tox через Tor! А то p2p светят IPшники.
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 09-Окт-26, 21:54
	> Локалкп нам не нужна, она деанонимизирует. Ну, э, если меня деанонимизирует в локалке мой же бот и те кто физически рядом и пользуюься теми же мощностями - это наверное не так уж страшно, а? Я так то к tox-bot всякое управление прикрутил - можно светом пощелкать по сети и проч. > Только Tox через Tor! А то p2p светят IPшники. Ну узнал ты что у меня айпи в локалке 192.168.0.2 допустим. И чего тебе это даст, так по жизни? А вне локалки таки да - коммуникации только через всякие секурные каналы. И какой там у меня внешний айпи - я тебе при всем желании не скажу. Тем более что их несколько.
	Ответить | Правка | Наверх | Cообщить модератору

	122. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (122), 10-Окт-26, 16:19
	> Ну, э, если меня деанонимизирует в локалке мой же бот и те кто физически рядом и пользуюься теми же мощностями - это наверное не так уж страшно, а? Рад за Вас, что у Вас так все хорошо настроено в локальной сети! Наверняка сеть разделена на сегменты для доверенных и для недоверенных клиентов. И они физически (или както по другому) не пересекаются. Мобильные клиенты (со всякими максами, шмаксами, кашперскими, телегами, ..., и прочим добром) изолируются друг от друга. Может это и неудобно немного. Через какой (какие) IP будут уходить пакеты? Сможет ли их посмотреть провайдер (по закону не имеет права ;)? DNS запросы обрабатываются через dnscrypt к доверенным серверам. Или хотя бы через внутренний механизм резолвинга через сеть Tor. К стати, что на Ваш взгляд будет получше? В локалной сети настроен honeypot с IDS (на шлюзе по умолчанию), что бы понимать кто есть кто в локалке! Ну и прочая парранойя ;) > Ну узнал ты что у меня айпи в локалке 192.168.0.2 допустим. И чего тебе это даст, так по жизни? У устройства с IP 192.168.0.2 наверняка имеется имя хоста (и прочая информация на разных уровнях модели OSI). А вдруг, кто то из локальной сети отправит DNS запрос (куда, да хоть к стандартному резолверу в локальной сети) на определение IP адреса для данного имени хоста? Куда уйдет этот запрос? Сможет ли их посмотреть провайдер (по закону не имеет права ;)? А если к имени хоста будет добавлен домен, ну например collect.kaspersky.com или другой какой нибудь. Куда уйдет этот запрос? Сможет ли их посмотреть провайдер (по закону не имеет права ;)? >  И какой там у меня внешний айпи - я тебе при всем желании не скажу. Тем более что их несколько. Сможет ли их посмотреть провайдер (по закону не имеет права ;)? Через какой (какие) IP будут уходить запросы (пакеты)? Сможет ли их посмотреть провайдер (по закону не имеет права ;)? Ну и прочая парранойя ;) Может чего дурного сказамши, прошу прощения. И вообще, один дурак может задать столько вопросов, что и сто мудрецов не справятся!
	Ответить | Правка | Наверх | Cообщить модератору

	125. Скрыто модератором	+1 +/–
	Сообщение от Аноним (125), 10-Окт-26, 19:07
	Для пятницы слишком серьезно!
	Ответить | Правка | Наверх | Cообщить модератору

	134. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 12-Окт-26, 01:46
	> Рад за Вас, что у Вас так все хорошо настроено в локальной сети! В современном мире по другому как-то не айс. > Наверняка сеть разделена на сегменты для доверенных и для недоверенных клиентов. И > они физически (или както по другому) не пересекаются. Смотря что понимать под пересечением. Сегментов и правда несколько. Вот тут - боле доверяемый, вот тут менее доверяемый, между ними нет 100% роутинга все и вся. На самом деле внешний мир считается "враждебным" и мои системы окружены "outer layer" из небольших устройств. Они гейтвеи-фильтры-приваси-впн и что там еще. > изолируются друг от друга. Может это и неудобно немного. А зачем изолировать вообще все девайсы друг от друга? Я чуть проще делаю - есть более доверяемый сегмент куда вхожи всякие опенсорсные доверяемые штуки. И менее доверяемый с всякой пакостью типа вон того. > Через какой (какие) IP будут уходить пакеты? Сможет ли их посмотреть провайдер Токсы будут юзать локалочные IP между собой. Можно воткнуть bootstrap на свой роутер или что там - и слушать им на разные ифейсы. И релей через него разрешить. Тогда даже изолированные клиенты найдут - его, а потом через него зацепятся. Не напрямую так через бутстрапа в роли релея, если уж паранойя долбит. Так можно их каждого в отдельный сегмент загнать если реально охота. У tox p2p core довольно хорошо настраивается если это надо. > (по закону не имеет права ;)? Я предпочитаю не уповать на это и "не по паспорту а по морде", чтоб награбленое оказалось бы им - малоинтересным и неинформативным :) > DNS запросы обрабатываются через dnscrypt к доверенным серверам. Или хотя бы через > внутренний механизм резолвинга через сеть Tor. Как-то так, да. И вообще половину запросов в tor сразу и пропихать... пусть там поломают голову - при том с обеих сторон - что это вообще за нахрен такой и кто там где на самом деле. > К стати, что на Ваш взгляд будет получше? Сделать это все себе самому с пониманием threat model. Я на достаточно жесткий вариант ориентировался - мой сетап удержит даже ME/PSP бэкдоры, вероятно. И будет крайне неудобен атакующим вообще. Потому что например по дефолту - вот тут вообще нет выхода в сеть и надо еще явно программе этот выход - отсыпать. Или она будет без сети. > В локалной сети настроен honeypot с IDS (на шлюзе по умолчанию), что > бы понимать кто есть кто в локалке! Я просто иногда снифак типа tcpdump на подходящем девайсе запускаю. Узнал немало интересного. Скажем что китаероутер может - агресивно сканить LAN на тему перебора всех девайсов в LAN. А потом - вероятно сливает это хозяевам, иначе нахрен бы ему это делать для всех кроме DHCP клиентов. Но не - весь диапазон брутит. Так что перешивать на openwrt или иное открытое добро или юзать свои железки. То что в продается порой тот еще кусок трояна. > У устройства с IP 192.168.0.2 наверняка имеется имя хоста (и прочая информация > на разных уровнях модели OSI). Может и имеется. Но слаться в сеть вообще не обязано. Тем более вон тому в нероутабельный сегмент. А иногда я его еще и меняю по приколу. Имя хоста в смысле. И порчие MachineID и проч. А уж мак рандомизнуть - у меня вон там стартовый скрипт прикалывается. А в сетевых железках это местами аж в бутлоадер вхреначено - лично мной - так что мак становится левым срвзу после power up (у провов есть такой спорт - "трекинг перемещения ассетов" по mac, и я в курсе, и - вот - тоже подарков подогнал, хе-хе). Да, и imet сотового свистка я менять - умею. При смене сим с IMSI я и IMEI синхронно меняю. > А вдруг, кто то из локальной сети отправит DNS запрос (куда, да > хоть к стандартному резолверу в локальной сети) на определение IP адреса > для данного имени хоста? Этого "стандартного ресольвера" может и не быть или на нем не обязана быть регистрация всех девайсов. Ибо нефиг. > А если к имени хоста будет добавлен домен, ну например collect.kaspersky.com или > другой какой нибудь. Так то есть даже способ коммуникации в сильно зафайрволеной сети через DNS... но вон та срань с касперским вон те хосты - не увидит совсем. Они могут не получать ip по dhcp, не регать имя в локалочном DNS, и пакеты не обязаны ходить сегмент-сегмент. > Куда уйдет этот запрос? Сможет ли их посмотреть провайдер (по закону не > имеет права ;)? На самом деле в наиболее интересных сегментах dns leak зарублен совсем. А на вот этой VM нет даже - блин - дефолтного гейта. Но я с вами как-то общаюсь. И конечно я не скажу вам какой тут внешний айпи. Потому что и сам его не знаю. > Через какой (какие) IP будут уходить запросы (пакеты)? Сможет ли их посмотреть > провайдер (по закону не имеет права ;)? > Ну и прочая парранойя ;) Через разные. Желательно эн, и периодически меняемых. Или как-то не очень обычно, чтобы вся типовая аналитика - нагнулась малость или казала бесполезный хлам. Большая часть прямого конекта - зарублена и программы коммуницируют через "гейтвеи" и "прокси". А в линухе дефолтовый namespace - просто без сети, персональный подарок любителям чекать новые версии, или что там еще :) > Может чего дурного сказамши, прошу прощения. > И вообще, один дурак может задать столько вопросов, что и сто мудрецов > не справятся! Но правильнй вопрос содержит в себе половину ответа. И это даже частично получилось.
	Ответить | Правка | К родителю #122 | Наверх | Cообщить модератору

	141. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от Аноним (141), 12-Окт-26, 12:00
	Ваш пост порадовал, немного уменьшил уровень моей парранои, вселил надежды на трезвое (в том смысле, что все оно происходит в соответствии с принципом стационарности) настоящее, и добавил веры в сетлое (в том смысле, что оно все таки будет, и каждый получит свой уровень осещенности ;) будущее! Спасибо Вам! Жги еще!!! До встречи! Постойте постойте, а как я Вас узнаю?! А зачем Вам меня узнавать?! Ну, например, что бы установить бюст на родине (при жизни ;)! Вы считаете, что такому как я необходим бюст на родине, да еще и при жизни?! Я не могу решить этот вопрос единолично, так как родина одна а нас (вас ;) много. Но каждый может установить любой бюст в своем огороде! Более интересный вопрос, какова поверхностная плотность бюстов в моем огороде, и какова плотность всех достойных по моему мнению бюстов по площади моей (и других родин к бюстам их достойных людей) родины?! Все, хорошего настроения!!!
	Ответить | Правка | Наверх | Cообщить модератору

	146. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от Аноним (145), 12-Окт-26, 19:10
	> не надо спрашивать какие-то 3rd party "а можно ли" В современном интернете такого не бывает, абсолютно все p2p протоколы требуют как минимум STUN сервер, иначе дальше пинга сервиса через mDNS оно не улетит. > И работает это все - как обычно в жабере. Т.е. раз через три. А вон те таки доперли и нормальный эквивалент STUN в каждом клиенте, и аналог TURN который opt-in по желанию узлов, и - вот - релей трафа в TCP через вон тех если иначе - ну совсем уж не прокатило. > И все это - интегрировано в протокол и zeroconf для обычного чайника. Гуры могут настроить p2p core более детально. Во-первых, неправда. Работает оно отлично, я даже удивлён что на ведроидах ещё остался софт который вообще не жрёт батарею при наличии постоянно висячего в фоне TCP соединения с серваком. Во-вторых, вы сраниваете полноценный месенджер с историей сообщений, файловым сервером (это всё не требует от юзера постоянно висеть онлайн, чтобы все сообщения дошли), групповыми звонками работающими по эквиваленту ICE, автоматической конфигурацией всего и вся через сервер и т.д., и Tox, в котором из коробки даже баунсеров нету, чтобы юзер как в IRC мог оффлайн сообщения читать. И в обоих случаях вам всё равно нужен статичный айпишник / домен для STUN сервера, а в итоге вообще полноценный TURN (с авторизацией, чтобы вы потом как вконтактик и яндекс не стали впнкой для всех остальных), потому что "IPv6 ненужон". > А вон то еще и штатно через http/socks пропихивается, приветы телеграму, в эту игру могут играть и двое. Conversations и его форки имеют опцию пропихиваться через socks прокси. Весь протокол тупо одно TLS соединение с сервером.
	Ответить | Правка | К родителю #56 | Наверх | Cообщить модератору

	49. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–2 +/–
	Сообщение от Метрика (?), 09-Окт-26, 15:17
	В P2P ничего поднимать не нужно, серверов нет, точек отказа тоже, загуглите про DHT хотябы
	Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

	57. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 15:50
	DHT bootstrap уже не является проблемой? Блокируешь домены по пальцам руки и нету вашего DHT.
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 09-Окт-26, 17:50
	> DHT bootstrap уже не является проблемой? Сильно меньшая проблема. К тому же клиенты кешируют потом кучу узлов и вон то как-то импакит только совсем новых клиентов разве что. > Блокируешь домены по пальцам руки и нету вашего DHT. Совсем не факт. Тот же tox если что и через tor/vpn/socks-like на ура прицепится. Да и свой бутстрап поставить - СИЛЬНО проще. Т.е. буквально запустить одну программу, она автоматически сгенерит ключи, никаких доменов и проч не надо. Все что надо это знать для пуска с толкача triple IP:port:DHTKEY - и оно завертится. Но реально оно и еще в локалке допустим ищет клиентов. Если кто уже был в сети - оно через него вылезет. И часть узлов с него подтащит. И опять же завертится. И суммарно эффективная удавка этого - никак не "пару доменов".
	Ответить | Правка | Наверх | Cообщить модератору

	89. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 21:53
	> Сильно меньшая проблема. К тому же клиенты кешируют потом кучу узлов и вон то как-то импакит только совсем новых клиентов разве что. Для этого надо первый раз забутстрапиться... > Но реально оно и еще в локалке допустим ищет клиентов. Если кто уже был в сети - оно через него вылезет. ... о чём я и говорил.
	Ответить | Правка | Наверх | Cообщить модератору

	92. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 09-Окт-26, 21:58
	> Для этого надо первый раз забутстрапиться... В принципе оно может найти вокруг броадкастами тех кто уже - бутстрапнулся. И "внезапно" стартануть. Более того. Оно постепенно так будет собирать "частичный" сегмент DHT из локальных систем. Он может быть и изолированным - типа независимый DHT. Но в какой-то момент кто-то где-то все же достучится - и толпа адресов nodes начнет разлетаться по всей структуре. И она может в результате заджойниться в основной DHT, совершенно прозрачно для участников. Видно это будет скорее всего как якобы-офлайн контактов в недоступной части, с их появлением онлайн когда прокатило и процесс пошел. >> Но реально оно и еще в локалке допустим ищет клиентов. Если кто уже был в >> сети - оно через него вылезет. > ... о чём я и говорил. В общем то идеи там частично стырены с Skype. Не так полно и продвинуто - но это явно сложнее мочить чем всякие жаберы. Которые гиморно поднимать с 1 стороны и просто терять - с другой.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 22:08
	> В общем то идеи там частично стырены с Skype. Помнящим, что Шкайп был P2P когда-то, респект. > Которые гиморно поднимать с 1 стороны и просто терять - с другой. Клиенты под XMPP уже (или пока) лучше, чем под P2P клиенты. У P2P был настолько корявый старт, что лично мне ставить очередной Jami (его не переименовали опять во что-нибудь более невнятное?) нет никакого желания. А про Tox вообще молчу... - зоопарк то падающих, то неработающих клиентов. Matrix... - системные требования для обычной чатилки на 50 человек как у XMPP, умноженное на 5-10.
	Ответить | Правка | Наверх | Cообщить модератору

	142. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 12-Окт-26, 14:01
	> Помнящим, что Шкайп был P2P когда-то, респект. Tox частично содрал идеи по части пролезания и zeroconf. Не настолько хардкорно, но другие и так не смогли. State of art в интересующих областях надо знать. >> Которые гиморно поднимать с 1 стороны и просто терять - с другой. > Клиенты под XMPP уже (или пока) лучше, чем под P2P клиенты. 1. Клиент у ремоты - random() и строить всех ремот мне - нахрен нужно. 2. Дефолтные гарантии XMPP с опциональщиной все и вся, от базовых вещей типа delivery ack до end to end шифрования это EPIC FAIL. Нельзя уповать что это еще и работать будет. 3. Приваси и секурити в полной з@днице! Куча минных полей и подстав, ничего не гарантировано, обычный хомяк вообще налетит и залетит только в путь. 4. Сложный сетап и зависимость от 3rd party. Не, я вообще совсем не хочу связываться ни с какими DNS, испрашивать разрешения каких-то к@злов с сертификатами и проч. А потом какой-нибудь гамноцензор это за 2 минуты может еще и - зарубить. Я буду поддерживать технологии которые обеспечивают иное соотношение вот этого вот. В tox я могу рассчитывать что файло - передается, квитирование доставки - работает, perfect forward secrecy - не "опция", end to end crypto по дефолту, а никакой сервак по пути метаданные оптом не нагреб - за его отсутствием. И все это без траха с сертификатами, DNS, WTF... если есть Вася и Петя и желание коммуницировать, третий в общем то - лишний. > У P2P был настолько корявый старт, что лично мне ставить очередной Jami > (его не переименовали опять во что-нибудь более невнятное?) нет никакого желания. А у меня tox будет работать столько сколько надо - мне. Без спроса у 3rd party можно ли, что, как, в каком объеме. И независимо от вашего (не)желания. > А про Tox вообще молчу... - зоопарк то падающих, то неработающих клиентов. Worksforme. И на мобилках, и на десктопе, и на ноуте, все дела. Я даже выводок ботов себе накорябал. Они спамят меня интересными эвентами, позволяют порулить светом и проч, все такое. И скажу что самодурову нехило б у них поучиться как вменяемые апя messenger in a lib делать. Ибо бот к этой штуке делается минут за 10 даже на сишке. Но можно и на чем-то еще, биндингов есть. И не только работает - но и с гарантиями что PFS, end to end crypto, вот это все. Оно по другому просто не умеет. И главное - это все более-менее zeroconf для неискушенных юзерей. А продвинутые могут p2p core нехило настроить. > Matrix... - системные требования для обычной чатилки на 50 человек > как у XMPP, умноженное на 5-10. Matrix вообще не p2p и в общем то - еще один кластерфак типа жабы - только еще кривее и залоченый на 1 фирму по сути. И если мы про невнятный старт, Jabber/XMPP в этом смысле - в топчарте. Горбатый протокол где ничерта не работает. И до сих пор таким и остался - ибо сказ о кульных клиентах не отменяет random() у произвольной ремоты. В обзем эталонный designed by comittee.
	Ответить | Правка | Наверх | Cообщить модератору

	143. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от timur.davletshin (ok), 12-Окт-26, 14:52
	Увы, но Tox - это сплошные глюки. Пропадающие сообщения, падающие видеозвонки и пр. И протокол, который то ломают, то переписывают: https://blog.tox.chat/2023/03/redesign-of-toxs-cryptographic.../ Уж лучше слонёнок Matrix тогда. Там хоть люди есть.
	Ответить | Правка | Наверх | Cообщить модератору

	150. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от timur.davletshin (ok), 20-Окт-26, 08:07
	> Tox частично содрал идеи по части пролезания и zeroconf. Не настолько хардкорно, > но другие и так не смогли. В Tox пердоли нестандартные, они для пробивания портов используют DHT. Насколько он у тебя не зависит от DNS (или от предварительно расшаренного списка нод), можешь узнать в tcpdump. Внутри локалки они broadcast/multicast используют. Если у вас нет IPv6 ULA, то будут проблемы. > State of art в интересующих > областях надо знать. Технологии пролезания давно стандартизованы, их надо только уметь реализовывать, а не городить огород. > Worksforme Я даже скачал qTox, чтобы проверить, насколько он works. При попытке выбрать камеру в настройках упал. Падает стабильно. Микрофон видит только встроенный. Но и это не беда. Попросил пару человек, что из моих знакомых пользуются, добавить в контакты - клиент упал опять. Вот тебе сообщения, чтобы не думал, что вру... [05:19:05.187 UTC] (default) src/video/camerasource.cpp:489 : Debug: Closing device "/dev/video0" subscriptions: 0 [05:19:05.196 UTC] (default) src/platform/posixsignalnotifier.cpp:92 : Critical: Crash signal 11 received Короче, ничего не изменилось за пару лет. Глюкалово то ещё. Мобильных клиентов нет. Я уже не говорю о том, что мобильные устройства вообще с P2P не дружат. > В tox я могу рассчитывать что файло - передается, квитирование доставки - работает, perfect forward secrecy - не "опция", end to end crypto по дефолту, а никакой сервак по пути метаданные оптом не нагреб - за его отсутствием. И все это без траха с сертификатами, DNS, WTF... если есть Вася и Петя и желание коммуницировать, третий в общем то - лишний. Наивный человек, красивая сказка. Между вами ISP, без него никак. DHT без DNS (или без предварительно расшаренных нод) не стартует. DHT подвержена атакам, пересчитать пользователей Tox труда не составит. Ты хотя бы в файлик, где пиры хранятся, загляни для разнообразия, какой там "анонимизм", там даже имена учёток перечислены:         {             "ipv4": "155.138.135.37",             "ipv6": "2001:19f0:b002:17a:5400:4ff:fecf:6eda",             "maintainer": "Kusoneko",             "port": 33445,             "public_key": "BE7ED53CD924813507BA711FD40386062E6DC6F790EFA122C78F7CDEEE4B6D1B",             "status_tcp": false,             "status_udp": true,             "tcp_ports": [             ]         },         {             "ipv4": "",             "ipv6": "200:832f:2e56:91a6:678e:aaaf:80bf:4a8a",             "maintainer": "Dima(Yggdrasil)",             "port": 33445,             "public_key": "444361B1717AD5E10D9C03EA1C714A846C9D3B16A875186D0034DC516A49F013",             "status_tcp": false,             "status_udp": true,             "tcp_ports": [             ]         } АНОНИМИЗМ! > А потом какой-нибудь гамноцензор это за 2 минуты может еще и - зарубить. Я буду поддерживать технологии которые обеспечивают иное соотношение вот этого вот. Вот она, твоя неблокируемость. Выгрузил список нод из исходников и всё. Нету твоего Tox'а: [05:25:52.783 UTC] (default) src/net/bootstrapnodeupdater.cpp:234 : Debug: No user bootstrap nodes file at "~/.config/tox/bootstrapNodes.json" , using built-in nodes [05:25:52.785 UTC] (default) src/net/bootstrapnodeupdater.cpp:162 : Debug: Loaded 38 bootstrap nodes from ":/conf/nodes.json" Тебе бы на радиолюбителя экзамен сдать и получить позывной, чтобы можно было потом организовать пакетную станцию для независимой коммуникации с таким же "независимым".
	Ответить | Правка | К родителю #142 | Наверх | Cообщить модератору

	128. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от фф (?), 11-Окт-26, 18:35
	> В P2P ничего поднимать не нужно, серверов нет, точек отказа тоже, загуглите > про DHT хотябы а вы прям уверены, что в этом вашем Р2Р анонимность есть?
	Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

	29. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+3 +/–
	Сообщение от Аноним (11), 09-Окт-26, 13:35
	>а если серьезно анонимный мессенджер с регистрацией по номеру телефона, это сюр А где-то декларируется, что он анонимный ? Сигнал тоже просто пишет про приватность или конфиденциальность, а не анонимность: https://signal.org/ru/
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	31. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–1 +/–
	Сообщение от Аноним (26), 09-Окт-26, 13:36
	> Сигнал тоже просто пишет про приватность или конфиденциальность, а не анонимность: Это те красавы у которых - тадам - их core либа которую всем сватали - была с фееричнейшей дырой в этом самом шифорвании так что приватность и конфиденциальность шли туда же куда и слоны, крупным оптом? Но немамонт и второй раз джентльменам на слово поверит.
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (11), 09-Окт-26, 13:52
	Чего? «Signal Protocol» много кто использует: https://en.wikipedia.org/wiki/Signal_Protocol
	Ответить | Правка | Наверх | Cообщить модератору

	71. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 09-Окт-26, 17:52
	> Чего? > «Signal Protocol» много кто использует: > https://en.wikipedia.org/wiki/Signal_Protocol А фееричная дыра в дефолтовой криптолибе сватаемой всем по моему как раз у именно signal была. Так что все кто юзал ту либу - залетчики: там полный слом end to end crypto.
	Ответить | Правка | Наверх | Cообщить модератору

	140. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Гаврош (?), 12-Окт-26, 11:08
	Это всё софистика. ПРИВАТНЫЙ значит уже ничего из моей РЕАЛЬНОЙ инфы (ФИО, телефон, мыло, адрес) не утечёт сторонним лицам. Завязка Телеги на телефон - УЖЕ полная деанонимизация. А Дуров всё из себя целочку корчит "мы ничего не передаём!". Ещё как передаёт! Во Франции ему только показали бутылку - сразу же всё сдал с потрохами. 👎
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	40. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Ilya Indigo (ok), 09-Окт-26, 14:49
	С какого это бадуна телега стала или была ананимным мессенджером? Вот это сюр!
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	53. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+3 +/–
	Сообщение от аниме эксперт (?), 09-Окт-26, 15:27
	Павло Де Дур ее пиарил как продукт который уважает privacy, типа лучше воцап и т.д. По факту тг это ханипот для спецслужб. Собственно, они и не скрывают, что сотрудничают со всеми. А то что сообщения хранятся на сервере (в отличие от того же воцапа) - ред флаг для любого человека, у которого iq выше хлебушка.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (54), 09-Окт-26, 15:38
	Правильно, у высокоразвитых представителей хомо сапиенс переписька должна мгновенно удаляться. Желательно до того, как её кто-то прочтёт. В том числе и отправитель, который это пишет.
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–1 +/–
	Сообщение от nuclight (??), 09-Окт-26, 16:10
	Точно, любой IMAP-сервер теперь тоже редфлаг! Соввсем анонимы кукухой поехали... Хранение сообщений на сервере - это норма для качественного продукта XXI века, а все эти ваши просто как обычно маскируют "мы не умеем" под "безопасность" (ага, как стадо OpenBSD).
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	74. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 09-Окт-26, 17:57
	> Точно, любой IMAP-сервер теперь тоже редфлаг! Соввсем анонимы кукухой поехали... Ну а что это? Типов которые смогут поставить и захотят свой почтарь ставить нынче осталось - мизер. Их можно хоть поименно перечислить на 1 листочке бумаги на всю страну.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от зайчаток_разума (?), 09-Окт-26, 18:07
	IMAP подразумевает удаление сообщений из хранилища. Сообщения могут быть зашифрованы. Совсем реганутые реганулись. =) Сравнивать сервера на стандартных протоколах с проприетарными сервисами. Там уже не пресловутый хлебушек. Там только нитка, которая уши держит. =)
	Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

	151. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от nuclight (??), 24-Окт-26, 06:32
	Ничо он не подразумевает. Хошь удаляй, хошь не удаляй - сугубо вопрос выбора. Особенно поржал с "зашифрованы" - ну да, опеннетные с IQ ниже плинтуса даже не осознают, что начинают спорить сами с собой, поддерживая как раз *мой* тезис.
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (84), 09-Окт-26, 20:35
	Удобство и приватность понятия несовместимые.
	Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

	108. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (106), 10-Окт-26, 10:04
	Хранить можно и зашифрованные сообщения и никогда не требовать ключей от пользователей. Но нет, шифрование переписки в телеге хоть и реализовано, но искуственно усложнено и сделано неудобным. А по умолчанию всё не шифруется — читай Паша, читай трёхбуквенные, кто хошь читай.
	Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

	65. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Ilya Indigo (ok), 09-Окт-26, 16:19
	> продукт который уважает privacy Продукт который УВАЖАЕТ приватность, это не то что НЕ анонимный, он даже НЕ безопасный! Противоричие в словах Пабло дэ Балоболуа, конкретно в этом, нет! Вы путаете тёплое с красным!
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	58. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 15:52
	Плюсую. Протестующих в Ю. Корее в своё время хорошо и нехитро задеанонимизировали.
	Ответить | Правка | К родителю #40 | Наверх | Cообщить модератору

	96. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–1 +/–
	Сообщение от Аноним (-), 09-Окт-26, 22:10
	> Плюсую. Протестующих в Ю. Корее в своё время хорошо и нехитро задеанонимизировали. Ну понятно что в америке^W корее - линчуют. И да, так то - тебе не понравилось бы работать на Самсунге каком. Ибо там ПАХАТЬ надо. В корейском понимании вджоба, а это хуже чем китайский даже.
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от timur.davletshin (ok), 09-Окт-26, 22:12
	> Ну понятно что в америке^W корее - линчуют. И да, так то > - тебе не понравилось бы работать на Самсунге каком. Ибо там > ПАХАТЬ надо. В корейском понимании вджоба, а это хуже чем китайский > даже. Никакого отношения к протестам это не имело.
	Ответить | Правка | Наверх | Cообщить модератору

	95. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 09-Окт-26, 22:08
	> Для безопасности нужен мессенджер P2P по типу Gnutella только не для файлов, > а для сообщений, но такого конечно не будет, ведь как тогда > ваши переписки читать Откройте для себя уже Tox :). Есть, работает, простейщий бот делается минут за 15.
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	127. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (127), 11-Окт-26, 07:21
	Плюсую! Хотя зачем в Tox-е более 5 максимум 10 процентов человеков!?! С остальными придется разговаривать в телеге о погоде ;) К стати, как там со звонками? Зачем нужен бот? Каких клиентов посоветуете?
	Ответить | Правка | Наверх | Cообщить модератору

	144. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (-), 12-Окт-26, 17:04
	> Плюсую! Хотя зачем в Tox-е более 5 максимум 10 процентов человеков!?! Чтоб протокол побыстрей начали детектить/банить всякие жандармы :). Впрочем даже так его в любое нечто вывешивающее сокс упихать можно, в tor там или что у кого. А блок получится "частичным" из-за того что клиенты могут пролезать через друг друга. В РФ внутренний траф не фильтруют или фильтруют сильно слабее, согласно моим "распределенным экспериментам измерения конективити". > С остальными придется разговаривать в телеге о погоде ;) К стати, как > там со звонками? Так то они есть. Но я не особый фанат этого и не пользуюсь ни аудио ни видео звонками, так что ничего полезного не скажу. > Зачем нужен бот? Завернуть себе в месенжер интересные потоки сообщений например. Я загнал некоторые новостные потоки, ряд интеерсных системных событий, все такое. А в вооон том боле можно и светом пощелкать и проч, удаленно :) > Каких клиентов посоветуете? Для компов qtox, консольный toxic есть, для телефонов aTox или TrifA. Работают себе, каши особо не просят, настроить поведение p2p можно, etc.
	Ответить | Правка | Наверх | Cообщить модератору

	147. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (147), 12-Окт-26, 19:58
	TRifA похоже изгнана из хухле плей :( хотя наверно поудбнее Atox будет. Есть только в f-droid Atox непонятно как зо звуком работает. > Завернуть себе в месенжер интересные потоки сообщений например. Я загнал некоторые новостные потоки, ряд интеерсных системных событий, все такое. А в вооон том боле можно и светом пощелкать и проч, удаленно :) Можно пару ссылочек, для начала. Спс. Про телегу сам не хочу разговаривать :( Жандармы отдельная тема. Но они и их семьи тоже кушать хотят! И обедать в ресторанах на Лазурном бережке!!! Что с этим поделаешЪ?!? Красиво жить не запретишь. Правда ведь!?
	Ответить | Правка | Наверх | Cообщить модератору

	114. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Ык (?), 10-Окт-26, 13:17
	>Для безопасности нужен мессенджер P2P Или отсутствие мессенджера :) Основная проблема этих мессенджеров что там нет знакомых и друзей. С кем переписываться?  А всех перетаскивать - большая работа. Вот когда в них будет много людей - легко откажусь от телеграмма
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

36. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
Сообщение от Аноним (36), 09-Окт-26, 14:18
Забавная у них 7.3.0 версия. Точне чейнджлог к ней: * Money :D
Ответить | Правка | Наверх | Cообщить модератору

39. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+2 +/–
Сообщение от Ilya Indigo (ok), 09-Окт-26, 14:44
> при отсутствии выставленного пользователем локального пароля Имеется ввиду парольная 2FA после смс?
Ответить | Правка | Наверх | Cообщить модератору

	47. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+2 +/–
	Сообщение от Анонимный Ананас (?), 09-Окт-26, 15:11
	Нет, именно локальный пароль при запуске клиента телеги. Тогда ее запустить не смогут на другом ПК не зная его.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от Аноним (145), 09-Окт-26, 15:14
	Имеется ввиду тот бесполезный пароль на морде самого приложения, который буквально локальный.
	Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

	64. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от nuclight (??), 09-Окт-26, 16:11
	Как это бесполезный, им локальные ланные шифруются.
	Ответить | Правка | Наверх | Cообщить модератору

44. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+2 +/–
Сообщение от Tron is Whistling (?), 09-Окт-26, 15:03
"если указать символ ";" среди параметров ссылки" Однако. Это ошибка разряда младшего школьника.
Ответить | Правка | Наверх | Cообщить модератору

50. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
Сообщение от Аноним (145), 09-Окт-26, 15:17
> Для совершения атаки задействована команда OPEN вместе с URI-схемой "interpret:", предназначенной для запуска служебных сценариев через IPC, которые использовались для автоматической отправки новых релизов в каналы. Это и подобные вещи должны быть под галочкой "я продвинутый админ локалхоста, я хочу чтобы скрипт на питоне имел доступ к клиенту".
Ответить | Правка | Наверх | Cообщить модератору

67. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
Сообщение от Аноним (67), 09-Окт-26, 16:39
> но из-за отсутствия чистки "../" в файловых путях Ну это классика. Как вообще можно это забыть? Уже столько дыр подобных было, что у каждого разработчика уже должен сформироваться условный рефлекс на работу с фаловыми путями.
Ответить | Правка | Наверх | Cообщить модератору

109. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
Сообщение от Аноним (109), 10-Окт-26, 10:54
А это точно уязвимость, а не часть бизнеса?
Ответить | Правка | Наверх | Cообщить модератору

	115. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Ык (?), 10-Окт-26, 13:43
	У них вся переписка, на этом делается бизнес помасштабнее.
	Ответить | Правка | Наверх | Cообщить модератору

	139. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Гаврош (?), 12-Окт-26, 11:05
	Точно уязвимость. Из серии "и на старуху бывает проруха". Умный брат Дуров-2 так заумничал с протоколом, что позабыл элементарные спец-символы 😆  И какой смысл в неуязвимом теле, если пятка голая?!
	Ответить | Правка | К родителю #109 | Наверх | Cообщить модератору

111. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
Сообщение от Pondesss (?), 10-Окт-26, 11:05
В Ximper уже есть фикс, скоро будет в Сизифе, просто держу в курсе
Ответить | Правка | Наверх | Cообщить модератору

	117. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (117), 10-Окт-26, 15:13
	Доигрались опеннетные токсики, нормальный человек уже боится поделиться новостью, не оправдываясь...
	Ответить | Правка | Наверх | Cообщить модератору

123. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
Сообщение от bublick (ok), 10-Окт-26, 16:40
Пароль от двухэтапной проверки поможет от данной уязвимости?
Ответить | Правка | Наверх | Cообщить модератору

124. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	–1 +/–
Сообщение от Аноним (124), 10-Окт-26, 18:04
уязвимость актуальна для виндузятников. у линукс-юзеров поди угадай, откуда телеграм запущен и сколько от него ../ до папки с downloads и называется ли она так вообще.
Ответить | Правка | Наверх | Cообщить модератору

	137. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+1 +/–
	Сообщение от Гаврош (?), 12-Окт-26, 11:02
	Перебором всегда можно докопаться до уязвимой инфы. Ключевое тут не то, сколько времени придётся гадать, а то, что это в принципе возможно! В протоколе, который Дуров расхваливал чуть ли не как банковский сейф.
	Ответить | Правка | Наверх | Cообщить модератору

	149. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
	Сообщение от Аноним (149), 16-Окт-26, 00:44
	ежу понятно, что от таргетированной атаки это не спасёт. но от случайных кликов на нацеленное на неопределённый круг лиц — вполне.
	Ответить | Правка | Наверх | Cообщить модератору

136. "Уязвимость в Telegram Desktop, позволяющая отправить произво..."	+/–
Сообщение от Гаврош (?), 12-Окт-26, 11:00
> отсутствием должной обработки неэкранированных символов-разделителей хаха! Это же школотронство чистой воды! Я в своё время ещё думал - ну как у "серьёзных дядь" могут быть уязвимости типа sql injection? (простая подстановка хитрой строки) А вон оно как... Пока Дуров с умным видом рассказывает, насколько надёжный Телеграм-протокол, простой Васян подставляет символ и всё, 3.14зда клиенту! 🤦 Ну как так можно писать, ну?!
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема