![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
waqurВ продолжение темы грамотного собаководства (1, 2, 3, 4, 5, 6, 7, 8, 9).
Сам факт наличия особых, свободных от телеметрии и бэкдоров, редакций десятой винды для правительств (Windows 10 China Government Edition, Windows 10 Enterprise G/GN) и для специальных применений (Azure Stack HCI), реконструированные сборки которых можно скачать, например, в непубличных разделах форума MyDigitalLife, наводит на соображения о том, что ленивым мелкомягким индусским жопам было бы влом поддерживать две совершенно разных винды (одну для лохов, другую для нормальных пацанов), и что отличается нормальная винда от лоховской, в общем-то не сильно, лишь набором компонент, да настройками в реестре.
Изучение разницы между утёкшей в паблик редакцией Windows 10 China Government Edition и обычной китайской редакцией Windows 10 позволило умельцам с форума mydigitallife.info создать скрипты для построения китайской правительственной редакции Windows 10 на основе файлов Windows 10 для обычных китайцев, а применение этих скриптов к обычной редакции Windows 10 Pro порождает редакцию для западных правительств, называемую Windows 10 Enterprise G (или нечто, на неё максимально похожее — достоверно подтвердить нельзя, т.к. утечек официального установочного ISO-файла Windows 10 Enterprise G/GN ещё не было).
Опираясь на эти результаты и продолжая наблюдать за сетевой активностью полученного уродца, другие кулибины (ameliorated.info) предлагают своё решение — изрядно обкусанную десятку, в которой часть компонент вырезана, часть заменена заглушками, а также вся шпионская дрянь, насколько это возможно, отключена настройками в реестре и в Group Policy. Предлагается два варианта на выбор: скачать готовый ISO-шник (для смелых) или набор скриптов для его создания на основе официального установочного ISO-шника Windows 10 Pro из MSDN. Готовые ISO-шники эта команда распространяет торрентами через Телегу, чтобы не подставлять свой домен под удар закона DMCA и юристов из Microsoft.
Мелкомягкие тролли в пабликах разных форумов наподобие HN на говно исходят, ругая Ameliorated-редакцию за отключённость автоматических обновлений, а значит, "сапоги хорошие, надо брать" — подумал я и ради интереса установил Ameliorated-редакцию Windows 10 (версию от 2020-10-31) в виртуальную машину с записью трафика, как описано здесь.
По итогам наблюдения за её сетевой активностью в течении нескольких месяцев, хочу отметить, что она не идеально герметична, но близко к тому (гораздо лучше, чем то, чего можно достичь самостоятельно путём выкусывания "всего ненужного" и путём настройки Group Policy в обычной Windows 10 Pro с помощью NTLite). В сочетании с Henry++ Simplewall, сетевую активность Ameliorated-редакции Windows 10 вполне можно, так сказать, загнать в рамки приличия, сделать эквивалентной сетевой активности Windows 7 — остаются только запросы к time.windows.com, msftncsi.com и CRL/OCSP-запросы наподобие ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab (которые, при желании, можно отключить настройками Group Policy для Crypto API).
Наблюдая за сетевой активностью этой винды с этим файерволлом, я добавил только несколько записей 0.0.0.0 в файл C:\Windows\System32\drivers\etc\hosts: для settings-win.data.microsoft.com, для displaycatalog.mp.microsoft.com и fs.microsoft.com. По сравнению с тысячами доменов обычной десятки — это, как говорится, небо и земля. Посмотрим, что будет дальше.
Сам факт наличия особых, свободных от телеметрии и бэкдоров, редакций десятой винды для правительств (Windows 10 China Government Edition, Windows 10 Enterprise G/GN) и для специальных применений (Azure Stack HCI), реконструированные сборки которых можно скачать, например, в непубличных разделах форума MyDigitalLife, наводит на соображения о том, что ленивым мелкомягким индусским жопам было бы влом поддерживать две совершенно разных винды (одну для лохов, другую для нормальных пацанов), и что отличается нормальная винда от лоховской, в общем-то не сильно, лишь набором компонент, да настройками в реестре.
Изучение разницы между утёкшей в паблик редакцией Windows 10 China Government Edition и обычной китайской редакцией Windows 10 позволило умельцам с форума mydigitallife.info создать скрипты для построения китайской правительственной редакции Windows 10 на основе файлов Windows 10 для обычных китайцев, а применение этих скриптов к обычной редакции Windows 10 Pro порождает редакцию для западных правительств, называемую Windows 10 Enterprise G (или нечто, на неё максимально похожее — достоверно подтвердить нельзя, т.к. утечек официального установочного ISO-файла Windows 10 Enterprise G/GN ещё не было).
Опираясь на эти результаты и продолжая наблюдать за сетевой активностью полученного уродца, другие кулибины (ameliorated.info) предлагают своё решение — изрядно обкусанную десятку, в которой часть компонент вырезана, часть заменена заглушками, а также вся шпионская дрянь, насколько это возможно, отключена настройками в реестре и в Group Policy. Предлагается два варианта на выбор: скачать готовый ISO-шник (для смелых) или набор скриптов для его создания на основе официального установочного ISO-шника Windows 10 Pro из MSDN. Готовые ISO-шники эта команда распространяет торрентами через Телегу, чтобы не подставлять свой домен под удар закона DMCA и юристов из Microsoft.
Мелкомягкие тролли в пабликах разных форумов наподобие HN на говно исходят, ругая Ameliorated-редакцию за отключённость автоматических обновлений, а значит, "сапоги хорошие, надо брать" — подумал я и ради интереса установил Ameliorated-редакцию Windows 10 (версию от 2020-10-31) в виртуальную машину с записью трафика, как описано здесь.
По итогам наблюдения за её сетевой активностью в течении нескольких месяцев, хочу отметить, что она не идеально герметична, но близко к тому (гораздо лучше, чем то, чего можно достичь самостоятельно путём выкусывания "всего ненужного" и путём настройки Group Policy в обычной Windows 10 Pro с помощью NTLite). В сочетании с Henry++ Simplewall, сетевую активность Ameliorated-редакции Windows 10 вполне можно, так сказать, загнать в рамки приличия, сделать эквивалентной сетевой активности Windows 7 — остаются только запросы к time.windows.com, msftncsi.com и CRL/OCSP-запросы наподобие ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab (которые, при желании, можно отключить настройками Group Policy для Crypto API).
Наблюдая за сетевой активностью этой винды с этим файерволлом, я добавил только несколько записей 0.0.0.0 в файл C:\Windows\System32\drivers\etc\hosts: для settings-win.data.microsoft.com, для displaycatalog.mp.microsoft.com и fs.microsoft.com. По сравнению с тысячами доменов обычной десятки — это, как говорится, небо и земля. Посмотрим, что будет дальше.
no subject
Date: 2021-11-20 01:17 pm (UTC)no subject
Date: 2021-11-20 01:20 pm (UTC)no subject
Date: 2021-11-20 01:26 pm (UTC)no subject
Date: 2021-11-20 01:31 pm (UTC)no subject
Date: 2021-11-20 01:38 pm (UTC)no subject
Date: 2021-11-20 03:13 pm (UTC)no subject
Date: 2021-11-20 04:38 pm (UTC)у вас этого самого скачанного торрент-файла не осталось на компьютере?
no subject
Date: 2021-11-20 05:43 pm (UTC)no subject
Date: 2021-11-20 05:57 pm (UTC)есть готовый установочный образ с выпиленными телеметриями или нет? если да, то как прнято в приличном обществе ссылки\хеши для уважаемойпублики.
на харде вроде лежит какая-то винда 11 вроде типа корпопативная, но это не то же так?
no subject
Date: 2021-11-20 06:03 pm (UTC)no subject
Date: 2022-01-25 02:49 pm (UTC)no subject
Date: 2021-11-21 10:14 pm (UTC)для виробничих потреб існує т.з. Windows IoT
гіпадрілам, яким треба роботу ув мс офіс працювати, телеметрі заважає ніяк
для інтервебів є кроумбуки
для проффесіоналів ойті є лайнакс та (вибачаюсь) епл
шо є безцінного ув w11, чого немає в інших ОС?
no subject
Date: 2021-11-22 09:53 am (UTC)Я не думаю, что от основных трендов digital millenium'а (pervasive telemetry и war on general purpose computing) можно укрыться, меняя шило на мыло (Microsoft на Apple или на Google или ещё на что-нибудь). Экономические стимулы и технологическая реальность одинакова для всех корпораций, и поэтому действуют все они похожим образом.
Всепроникающая телеметрия и шпионская экономика больших данных стала возможной благодаря техническому прогрессу (росту связности Интернета, росту скорости и пропускной способности, закону Мура для процессоров и флеш-памяти и т.п.), а значит, она никуда не денется, а будет только расти и расширяться. Мы только в самом начале пути. Не только ОС от Microsoft тратит больше процессорного времени на сбор, обработку и передачу телеметрии, чем на все остальные вычисления; но и Android игнорирует настройки, касающиеся location tracking'а; Apple внедряет CSAM; а новое поколение продуктов от Amazon по сути вообще не содержит никаких функций, кроме шпионских. Я не верю, что в данном случае сработает невидимая рука рынка, я не верю даже, что в ближайшее время мы увидим какую-то маркировку цифровых продуктов наподобие organic / ГМО / ESRB rating, только в сфере privacy-токсичности (потому что this is a national security matter).
Война против вычислений общего назначения (всякие там Secure Boot'ы во всех их разновидностях) — это логическое продолжение первого пункта. Есть феномен open source, есть операционные системы Linux и FreeBSD, у которых другая экономика, которые играют "не по правилам"? OK, для них мы сделаем загончик, стойло: запускайте пока свой Линукс в WSL2 или в KVM под ChromeOS, но разумеется так, чтобы "товарищ майор" видел ваши логи клавиатуры, скриншоты и DNS-запросы, а также содержимое RAM гостевой ОС. Не хотите так? А по-другому нельзя, ни на iOS-устройствах, ни на Apple M1 железе, ни на Surface Pro X. То же самое ждёт и рынок AMD64-совместимых ПК, раньше или позже. Вот уже и обязательный TPM для шифрования содержимого системного диска Windows наметился, чтобы черезчур любопытные умники поменьше заглядывали в ETW-файлы и поменьше занимались реверс-инжинирингом файлов операционной системы. Следующий шаг — обязательность онлайн-подключения для входа в систему.
Когда-то цифровая вселенная персональных комьютеров находилась в стадии расширения. "Печатная машинка, которая прощает опечатки" и "цифровая бухгалтерская книга" породили первую волну спроса, далее игры, далее Интернет и первые браузеры, поисковые машины, социальные сети, P2P файлообменные сети, а затем криптовалюты. После криптовалют расширение сменилось сжатием.
Возьмём, к примеру, случай с Apple/Google и Лёшей "НеБутербродом" Навальным. Сразу уточню, что я, как житель Украины, не вижу особой разницы между Путиным и Навальным. Большое Хуйло и маленькое Хуйло, которые история может поменять местами, а может и не поменять, но в общем-то особой разницы в ценностях и внешнеполитической повестке между ними нет, или по крайней мере, из Украины эту разницу не видно. Итак, российский политический дискурс оставим россиянам и вернёмся к вопросам технологий. Московская гэбэшная шпана угрожает взять в заложники местных сотрудников технологических корпораций, Apple и Google, если те приложение Навального не удалят из местного российского маркета, под что сразу прогибаются калифорнийские офисы этих корпораций. Даже Telegram блокирует каналы Навального, т.к. в случае отказа будет удалён из маркета уже сам Telegram.
Внимание, вопрос: какого, вообще говоря, хуя, вендор платформы (Apple/Google) диктует прикладному разработчику (Telegram) требования относительно контента, отображаемого приложением? Осуществляет политическую цензуру? Как мы до этого докатились? Алё, гараж, у вас там first amendment прокисла уже, или как? И что будет дальше?
XXI-й век будет интересным. Мы увидим новые типы тирании, цифровые диктатуры, которые стали возможными благодаря технологическому прогрессу, подобно тому как нацизм и фашизм XX века стали возможными благодаря развитию первых СМИ и подверженности пропаганде неподготовленных людей. Война против general purpose computing продолжится, умные будут юзать торренты, криптовалюты и даркнет на свободной ОС "для террористов и педофилов", а дураки будут продлевать почасовую подписку на Office 365 и Windows 365, и радоваться что на этот раз рандомный бот-удалитель пропустил их пост в Фейсбуке. Корпорации будут продолжать замыкать на себя контроль над информацией и доступом к ней, информация — это новый капитал. Подобно тому, как в XIX и XX веке буржуазия дифференциировалась от пролетариата по критерию владения "средствами производства" (т.е. капиталом были заводы, станки, земля, сырьё и т.п.), в XXI и XXII веке капиталом станет информация и право её свободной обработки, передачи, публикации и т.п.
Вот почему важны AOSP+MindTheGapps или Windows без телеметрии. Мы не хотим в новый пролетариат, мы хотим в новую буржуазию. :)
no subject
Date: 2021-11-22 10:09 am (UTC)no subject
Date: 2021-11-22 10:37 am (UTC)реднеки ж в США торгуют друг с другом подержанным оружием, ссылаясь на second amendment
здесь будет то же самое: при отсутствии лицензии от местного товарищ-майора
на стволна ПК или телефон с разблокированным загрузчиком, можно будет прикупить какой-то старый хлам у васи, знакомого знакомогоучитывая невиданный прогресс Intel в процессоростроении последних лет (14 нм, 14 нм, 14 нм, 14 нм, 14 нм), думаю, что особой разницы в производительности такого старого хлама даже и заметно не будет
no subject
Date: 2021-11-22 10:44 am (UTC)no subject
Date: 2021-11-22 10:10 pm (UTC)no subject
Date: 2021-11-23 04:06 pm (UTC)1) есть VPNы
2) есть VPNы с открытыми исходниками
3) есть VPSки за бугром, где можно установить эти VPNы с открытыми исходниками
4) учитывая п.2, можно как угодно модифицировать протокол
5) для сложных случаев есть стеганография/туннелирование в HTTP или DNS
6) "контроль" товарищ-майора над интернетом до попы, если применяется certificate pinning, а он сейчас применяется почти везде (HSTS в вебе, whitelist сертификатов в crypt32.dll для виндовой телеметрии, что-то такое есть у Apple и т.д.)
7) полностью взять под контроль интернет можно только путём введения whitelist'ов сайтов (как в Северной Корее), однако это будет мало похоже на привычный нам интернет, почти ничего не будет работать
no subject
Date: 2021-11-23 07:53 pm (UTC)У простых людей нет средств связи, которые работают вне подконтрольных государству инфраструктур. Государству очень легко принудить любого провайдера связи дать нужные для начала следственных действий данные о любом пользователе услуг этого провайдера.
Единственная теоретическая возможность обойти существующие инфраструктуры — это самодельная радиосвязь. Но радио легко и просто пеленгуется, в нынешних условиях любой «точечный» источник радиоволн, отличных от лицензируемых диапазонов, для товарища майора выглядит как яркий маяк в темноте.
no subject
Date: 2021-11-23 07:58 pm (UTC)в частности, нужно чтобы его VPN-трафик был инкапсулирован в обычный HTTPS-трафик, который обрабатывается endpoint'ом на подконтрольном конечному пользователю домене, встроенном в общую PKI (например, сертификат для которого получен через LetsEntrypt)
no subject
Date: 2021-11-23 08:01 pm (UTC)no subject
Date: 2021-11-23 08:07 pm (UTC)Такие порядки и что с ними делать — это вопрос, не имеющий отношения к технологиям. Это ближе к сфере социальных наук.
no subject
Date: 2021-11-23 08:13 pm (UTC)Мой тезис был о том, что для организованного коллективного сопротивления новым тоталитарным ограничениям прежде всего нужна связь, а все существующие инфраструктуры связи подконтрольны государству. Мы уже находимся в состоявшемся тоталитаризме (в том числе в цифровом концлагере мягкого режима), обсуждать его «будущее наступление» поздно.
no subject
Date: 2021-11-23 08:20 pm (UTC)Поэтому, я думаю, что пользователям для сопротивления тоталитарным правительствам в цифровом тысячелетии важно только сохранять контроль над конечными устройствами и ПО, которое на них выполняется (через open source и т.п.), внешняя коммуникационная среда при этом может быть полностью недоверенной, покуда она не теряет связность.
no subject
Date: 2021-11-23 08:51 pm (UTC)no subject
Date: 2021-11-23 09:04 pm (UTC)Нет, я шучу, конечно. Я понимаю, о чём вы спрашиваете: как быть, если государственный маразм зашёл настолько далеко, что связность интернета нарушена. Конечно, строить свой интернет.
В Иране, например, диссиденты, находящиеся за границей, еженедельно передают своим местным активистам специальную спутниковую передачу (инкапсулированный в стандарты спутникового вещания ZIP-файл), в котором содержатся новости, ПО для Android, которое позволяет осуществлять обмен сообщениями и файлами поверх mesh-сетей и тому подобные вещи, полезные в условиях диктатуры. Для декапсуляции этого ZIP-файла из спутникового эфира нужен специальный ресивер. Вопрос, опять же сводится, к ПО: прошили спец. прошивку, приняли ZIP-файл, прошили обратно стоковую прошивку. Конечно, местные КСИР могут взять за жопу, но покуда не пойман — не вор.
Надеюсь, у нас до такого ещё не скоро дойдёт. :)
no subject
Date: 2021-11-24 12:11 pm (UTC)no subject
Date: 2021-11-24 11:22 pm (UTC)https://leo-sosnine.dreamwidth.org/828455.html
no subject
Date: 2021-11-25 09:27 am (UTC)Именно поэтому NSA запускает свои VPSки в Amazon GovCloud.
Rules for thee, not for me.
no subject
Date: 2021-12-01 09:34 am (UTC)Все TLS-сессии шифруются случайным сессионным ключом, о котором в рамках протокола TLS стороны "договариваются" с применением асимметричной криптографии, цифровых подписей, сертификатов и прочего.
Однако, зная (как-то угадывая) сессионные ключи, можно запросто расшифровывать весь TLS-трафик (без построения MitM-схемы, без подмены сертификатов/ключей и без знания приватных ключей RSA/ECDSA).
На этом основаны некоторые корпоративные решения для мониторинга трафика: они устанавливают снифферы сессионных ключей на каждый клиент + расшифровщики трафика на корпоративные маршрутизаторы. Схема ловкая, она работает даже там, где применяется certificate pinning.
Так вот, за состоянием генератора случайных чисел на виртуальной машине гипервизор может, вообще говоря, и подглядывать.
Отсюда видно, что data-in-motion становится лёгкой добычей, когда data-in-use под контролем.
no subject
Date: 2021-11-24 11:40 pm (UTC)В одной подзамочной записи писали (не даю ссылку по понятной причине), что в Америке ряд формально независимых крупных заказчиков неких услуг и товаров уже проходят по ведомостям как федеральные заказчики. Имена этих заказчиков мы все очень хорошо знаем: они имеют самое прямое отношение к тому, как на разных уровнях Интернета перемещаются биты. Чего мы про них не знали — так это того, что в некоторых случаях они выступают как государственные заказчики или подрядчики. Новая нормальность с неожиданной стороны.
Ну ладно, это в Америке, она далеко. Что же у нас? Как себя поведёт типичный крупный провайдер услуг связи, когда к нему придут скромные сотрудники уважаемых органов с бумагой о том, что, дескать, Василий Пупкин, проживающий по такому-то адресу, занимается противоправной деятельностью? Думаю, что мы можем не гадать, мы уже знаем, как себя поведёт провайдер — он с потрохами сдаст Васю Пупкина товарищу майору. Провайдер не субъектен и не может идти против государства.
no subject
Date: 2021-11-25 09:29 am (UTC)no subject
Date: 2021-11-25 11:06 am (UTC)Иначе какой же смысл — всё, что "ловилось" в пакетном трафике на уровне домашнего ISP условного васи теперь будет "ловиться" в пакетном трафике на уровне хостинг-провайдера того же васи в той же стране. Что условный вася выиграл, кроме увеличения latency?
no subject
Date: 2021-11-22 03:19 pm (UTC)якщо всі злі корпорейшнс є однакові, то ті люди з ameliorated.info, що витрачають час на партизанську трансформацію майкрософтської сфери на майкрософтський куб (або навпаки), могли б допомагати ком'юніті debian, fbsd чи lineageos
інакше це нагадує біг за потягом
какого, вообще говоря, хуя, вендор платформы (Apple/Google) диктует прикладному разработчику (Telegram) требования относительно контента
хозяїн--барін? це не державні контори, а 'Apple CEO Tim Cook rejects App Store monopoly claims', хехе
якби у мене була своя мобільна ос і могозин аплікацій, я б взагалі забороняв ув могозині публікуватися кетайцям та русскіс, наприклад
no subject
Date: 2021-11-22 03:25 pm (UTC)да, разумеется, существование компании Apple и всей её продукции, с точки зрения разработчика и пользователя, можно просто игнорировать, что мы и делаем
поделиё от Microsoft отличается от Apple'овского тем, что его ещё можно как-то хачить, и пока можно — почему бы и нет
когда станет совсем нельзя — тогда будем просто юзать старые версии того же самого в виртуальных машинах или на старом железе
Linux и FreeBSD, покуда они не смогут обеспечить стабильность API для GUI-приложений и драйверов (т.е. скорее всего, никогда), так и останутся игрушечными ОС для энтузиастов, или для специальных/встраиваемых применений
no subject
Date: 2021-11-22 05:41 pm (UTC)в ответ они положат большой и толстый "дипломатический аппарат" на концепцию копирайта, особенно в случаях, когда правообладателем является "иностранный агент", и начнут под госкрышей клепать пиратские сборочки на основе исходников недавно утёкшей в паблик Windows XP, заменив в ней пару драйверов, чтобы она загружалась в UEFI-среде
от этого все будут только в выигрыше, особенно если такое решение подкрепить законодательным запретом на ввоз и реализацию ПК и смартфонов с Secure Boot, приватный ключ от которого выпущен "иностранным агентом"
no subject
Date: 2021-11-30 02:48 pm (UTC)habr.com/ru/news/t/592515
no subject
Date: 2021-11-30 05:23 pm (UTC)Не следует сильно обольщаться по поводу тех сервисов, до которых они не могут дотянуться (пока что) — Signal, ProtonMail и т.д. — что будет с ними, ясно из истории с другим сервисом, Lavabit, которым пользовался свистун Сноуден — секретный приказ (NSL, gag order и т.д.) изменить код для одного клиента, с тем, чтобы когда он в следующий раз войдёт в систему и предъявит свой пароль — копия этого пароля была сохранена "куда следует", для последующей расшифровки хранящихся на сервере данных этого пользователя. Lavabit закрылся, чтобы не исполнять этот секретный приказ, но далеко не все такие честные.
Поэтому, как я уже отмечал выше, выход один — полный контроль над кодом, который выполняется на клиентской стороне. JavaScript в браузере может быть забэкдорен по секретному приказу (специально, эксклюзивно, только сегодня, только для вас, если вы второй Сноуден, хотя можно брать и шире, почему нет). Обновления приложений в Android и в iOS — аналогично. Если пользователь не контролирует обновления своей ОС, её приложений или если в схеме где-то присутствует какой-то JavaScript — всё, пиши пропало.
Кстати, по этой же причине, я думаю, что ProtonMail Bridge — это та же забэкдоренная туфта. Не Open Source, проприетарный протокол, обновления этого bridge под контролем непонятно кого. Чем это лучше, чем JavaScript в браузере? Всё ясно, до свидания.
no subject
Date: 2022-01-25 02:49 pm (UTC)Что скажете?
no subject
Date: 2022-01-25 02:56 pm (UTC)Мне встречались скрипты для построения Windows 10 Enterprise G на закрытых топиках форума MyDigitalLife, но для работы этих скриптов то не хватало оригинальных ISO-файлов какой-то конкретной сборки Windows 10 Pro, то ещё каких-то зависимостей.
А тут уже в готовом виде всё выложили, очень удобно.
no subject
Date: 2022-01-26 11:27 am (UTC)подробнее, для чайника ))