Фотография
нажмите — покажем
нажмите — покажем
MAX может лишиться новых сертификатов SSL, который отвечает за шифрование, из-за санкций
Сервис бесплатных SSL-сертификатов Let’s Encrypt заблокировал домен Max.ru и не будет выпускать для него новые сертификаты. Об этом говорится в ответе представителей организации подписчику ASTRA.
«Наше расследование показало, что санкции не позволяют нам предоставлять услуги max.ru. Домен был заблокирован в нашей системе, и новые сертификаты для него выпускаться не будут», — говорится в письме службы поддержки.
Мессенджер Max перешел на сертификаты Let’s Encrypt 6 июня 2026 года после того, как предыдущий удостоверяющий центр GlobalSign отозвал его SSL-сертификат. Тогда соединения с доменом max.ru начали определяться браузерами как небезопасные, а часть связанных сервисов столкнулась с перебоями до завершения миграции на нового поставщика сертификатов.
На данный момент действующий сертификат Let’s Encrypt остается активным. Из ответа компании не следует, будет ли он отозван досрочно. Однако срок действия сертификатов Let’s Encrypt ограничен 90 днями, а после его истечения получить новый сертификат для домена через этот сервис, вероятно, будет невозможно.
Ранее нацмессенджер удалили из App Store, а AppGallery — магазин приложений для устройств Huawei — включил для него геоблок.
UPD: «В МAX действуют и будут действовать все необходимые сертификаты для обеспечения безопасного соединения в соответствии с мировыми стандартами» — прокомментировали ASTRA ситуацию в пресс-службе VK.
🌱 Покупка ASTRA VPN — это ваш вклад в работу издания. Купить: @astrvpn_bot
86.9K · Ray De'Bloisзачем кому-то покупать бесполезную подписку чтобы дать тебе ключ
Почему бесполезную?
Она бесплатная. Там просто нужен не ру номер на бонусный счёт
Фотография
нажмите — покажем
нажмите — покажем
Фотография
нажмите — покажем
нажмите — покажем
Опять херня какая-то в рунете происходит — это скриншоты из двух разных мониторинговых сервисов и картинки похожие.
25.1K · Фотография
нажмите — покажем
нажмите — покажем
🌐 Telegram научился притворяться браузером — и это не VPN (или как это конкретно работает и работало раньше но сейчас просто начали все использовать)
В РФ Telegram блокирует не DPI, а провайдер просто режет адреса датацентров Telegram. Они известны, их немного, и блокировать их целиком дешевле, чем анализировать протокол. Обычно сейчас так и поступают.
💡 Идея обхода оказалась изящной. У Telegram, кроме «обычных» адресов, есть веб-инфраструктура для браузерной версии — она живёт на 443 порту, за настоящими сертификатами и доменом web.telegram.org. Что если взять обычный MTProto-поток и положить его в WebSocket, отправив туда же, куда ходит вкладка браузера? Провайдер видит HTTPS к сайту Telegram. Блокировать его тем же топорным способом уже неудобно.
Это и есть WSS-транспорт. Ключевое отличие от всего остального: он не меняет почерк вашего соединения и не дробит пакеты, как zapret. Он меняет адрес, куда вы стучитесь — на такой, который провайдеру больно резать целиком.
🔐 Внутри получается матрёшка из пяти слоёв: TCP на 443 → настоящий TLS с именем kws2.web.telegram.org → HTTP-апгрейд на путь /apiws → бинарные кадры WebSocket → и уже в них привычный обфусцированный MTProto с 64-байтным ключевым пакетом. Самое приятное — переписка при этом шифруется как обычно, между вашим устройством и серверами Telegram. Промежуточный посредник видит только транспортную обёртку.
🛠 Реализаций уже четыре, и делятся они на два лагеря. Первый — мост, который живёт рядом с клиентом: программа поднимает у вас локальный SOCKS5 или MTProxy, вы добавляете его в Telegram одной ссылкой, а наружу она уходит по WebSocket. Так работают tg-ws-proxy от Flowseal и раздел Telegram Proxy в ZapretGUI. Второй лагерь — транспорт, вшитый прямо в клиент: форки ZaStoGram для Android и для Desktop делают всё сами, без локальных портов и настроек прокси.
👍 Однако увы веб-релеи есть не у всех датацентров пашка спасибо: надёжно отвечают только второй и четвёртый, остальные отдают редирект или молча принима
16.2K · В Минцифры призвали россиян принять меры на случай отзыва зарубежных SSL-сертификатов (цифровой паспорт сайта, подтверждающий его подлинность) и установить отечественные на устройства. В ведомстве назвали установку безопасной и напомнили о встроенном сертификате в «Яндекс-браузере». При отзыве иностранных сертификатов безопасности российские сайты могут некорректно открываться в зарубежных браузерах, пояснили там
36.1K · Ссылка
нажмите — покажем
нажмите — покажем
Ссылка
нажмите — покажем
нажмите — покажем
Ссылка
нажмите — покажем
нажмите — покажем
А теперь к разговору о том, почему я в предыдущей заметке не рекомендовал ставить сертификат НУЦа в качестве корня. Ответ прост - я ему не доверяю, так как возможность перехватывать трафик и читать его в режиме MITM (Минцифры-in-the-Middle) не просто существует теоретически, но и может быть реально реализована.
На Западе такая возможность тоже есть (технология-то одна), но вероятность ее использования втихаря не очень высока. Правозащитники всех мастей сразу поднимут шум, подадут сотни исков и история закончится не начавшись. В более авторитарных режимах всех несогласных просто вышлют копать вечную мерзлоту или обвинят в том, что противники - пособники террористов, экстремисты и не думают о детях.
Кроме того, у нас вся инфраструктура связи подконтрольна государству, которое последние годы демонстрирует желание контролировать коммуникации граждан (запреты VPN, доктрина антифрода, белые списки и тп). А значит сертификат Минцифры может быть раскатан везде (и будет), ТСПУ превратятся в прокси (если по производительности потянут) и… И все? Не совсем, конечно. НУЦ может выпустить поддельный сертификат для gmail[.]com, Proton Mail, outlook[.]com, telegram[.]org и т.п. В зарубежных браузерах эти сертификаты, отсутствующие в логах Certificate Transparency (CT), просто не сработают. А у нас можно принудить единственного разработчика национального браузера включить такие сертификаты в локальный CT и вуаля, чтение переписок становится проще простого. Особенно при работе через Яндекс.Браузер; с другими история гораздо сложнее, но и ее можно провернуть через ТСПУ.
Повторюсь, я не утверждаю, что так будет. Но стремления спецслужб столь прозрачны, а ИТ-отрасль у нас столь мала и подконтрольна государству, что это более чем возможно.
Есть и еще один вопрос, который приводит к моей нерекомендации ставить своими руками сертификат Минцифры без острой необходимости. А что будет, если сертификат будет скомпрометирован по любой причине (от косяков рукастых админов НУЦ и его взлома до
10.8K · ipranges: Получение и регулярное обновление списков IP-адресов облачных сервисов и ботов
ipranges - это удобный инструмент на базе Shell, предназначенный для автоматического сбора, агрегации и обновления диапазонов IP-адресов крупнейших технологических компаний, облачных провайдеров и поисковых систем. Репозиторий предоставляет всегда актуальные данные (в виде CIDR-блоков для IPv4 и IPv6) для таких сервисов, как Google (Cloud и GoogleBot), Bing (Bingbot), Amazon (AWS), Microsoft (Azure), Oracle Cloud, DigitalOcean, GitHub, Meta (Facebook), Telegram, OpenAI (GPTBot), Cloudflare, Vultr, Linode, Apple Private Relay, ProtonVPN и многих других. Данный проект идеально подходит для системных администраторов и специалистов по информационной безопасности, которым необходимо настраивать маршрутизацию, управлять файрволами, настраивать WAF или фильтровать трафик, блокируя сканирования из облачных дата-центров и разрешая доступ легитимным поисковым роботам.
Основные возможности
- Ежедневные автообновления: Программа автоматически собирает данные из публичных источников и обновляет списки каждый день, обеспечивая своевременное получение информации об изменениях в инфраструктуре провайдеров.
- Широкий охват платформ: Поддерживает извлечение сетей десятков различных сервисов, включая публичные облака (AWS, Azure, GCP, DigitalOcean), социальные сети (Meta, Twitter), мессенджеры и ИИ-ботов.
- Разделение сервисов и ботов: Позволяет четко отделить трафик облачных вычислительных сетей от IP-адресов, принадлежащих индексирующим поисковым машинам (например, выделенные списки для GoogleBot или Bingbot).
- Формат, готовый к интеграции: Предоставляет списки адресов в чистом виде, что позволяет легко автоматизировать их добавление в iptables, настройки веб-серверов или инструменты для анализа поверхности атаки (ASM).
Преимущества
- Удобство и автоматизация: Избавляет от необходимости вручную искать, парсить и объединять разрозненные списки адресов, публикуемые компаниями в разных форматах
1.4K · Фотография
нажмите — покажем
нажмите — покажем
Это очень смешно — смотрите: задача же стоит буквально "повысить доверие сертификата". Вот буквально.
Что для этого делается?
Расширяют список оснований для отзыва сертификата. Ну так если сертификат могут в любой момент отозвать, в том числе "если решит наш суд", то я вот вообще не понимаю, зачем кому-то нахер нужно с этим самым НУЦ возиться - делаешь-делаешь, там приходит "наш суд" и твоя работа превратилась в тыкву. Очень ободряет, да.
Но вот это что значит?
если у владельца сертификата нет верного ключа идентификации
Это что значит, что сертификат может работать, если у владельца реально нет"верного ключа идентификации"? Я правильно понимаю, что можно запустить сертификат, подписанный НУЦ не имея "верного ключа идентификации"? Или как это работает, я нихера не понял?
А если хацкер спиздит "верный ключ" и предъявит его, то что, все переходит хацкеру?
Непонятное...
14K ·