Задать вопрос
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    Василий Банников,

    Тогда согласен с rPman, что сервер фактически и не нужен получается.

    Без сервера для синхронизации сообщений придётся быть всем в "онлайне" или хотя бы на какое-то время иметь соединение...с сервером больше "удобств"...
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman, Вот и хочется сделать "что-то" для "юзера" без доп. плясок...

    Ну, в общем, вариантов не много получается...спасибо за мозговой штурм.

    P.S.: Отмечу решением, если в ответе под вопрос(с учётом комментов) текст перепишите...в комментах тут многое мы "прошли"...
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman,

    p.s. не храните на сервере пинкод/пароль пользователя, иначе все остальное в этом случае бессмысленно, зачем тогда мучиться то

    Тут фишка была вот в чём: если "слили" сервер - то ещё нужно и слить "ключи" юзеров...типа доп. "костыль" для "хацкеров"...
    А если всё на одном устройстве - то, мне кажется, - больше вариантов "слить" одно устройство...
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman, Подумаю на эту тему...Спасибо.
    Но тот же ватсап - получается - не замарачивается...
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman, Ну тоже вариант...просто при каждом "зависании инета" юзеры любят "обновлять"...

    Если попробовать это исправить моим варинатом:

    Тут возможно на стороне сервера сделать проверку...если какое-то время "не онлайн" - то доп. пин-код запрашивать(который на стороне сервера будет храниться) и в случае "неудачи" - просто не отдавать данные с сервера(даже шифрованные)...

    По-сути же одно и тоже...если знать пин-код - то всё "пропало"...
    При этом, если знать пин-код и нет "закрытого ключа" - то всё норм.
    Если "скомпромитировать" устройство с закрытым ключом - и нет пина - тоже норм.

    Единственный минус - сервер где хранится пин-код...но тогда всё равно и устройство клиента придётся "раздуплить" для полуения шифрованого ключа...
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman, Получается...этот скрипт работает только ДО обновления страницы?
    Не вдуплю логику использования "бесшовно" для юзера...
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman,

    Функционал с точки зрения usability не должен отличаться от типовых месседженеров, за исключением запрета забыть пароль от ключей шифрования или потери самих ключей.

    Вот и остался этот момент...если дополнительно шифровать ключ - то где пароль этот хранить НА СТОРОНЕ КЛИЕНТА, чтобы "сверять/проверять" ?
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman, Чёт прям затупил...как в браузере "хранить в памяти" ?
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman, Тогда какая схема видится при шифровании приватного ключа с паролем/пин-кодом?

    Вот например:
    С сервера приходят данные для расшифровки(сообщения в чате)...если перед этим покрыть паролем приватный ключ, то каждый раз спрашивать пользователя его ввести? Если нет - то где его(пароль) хранить? Если опять же - там же, где и приватный ключ - то - те же яйца в профиле - получается...

    Варианты со встроенными(и другими) "хранилищами паролей" - тоже гемор...каждый раз "дрочка" с "открытием" этих данных для применения...

    UPD:

    барузер пользователя почти всегда разблокирован, поэтому если мы защищаемся от 'доступ злоумышленника к рабочему месту', то дополнительный уровень шифрования имеет смысл

    Тут возможно на стороне сервера сделать проверку...если какое-то время "не онлайн" - то доп. пин-код запрашивать(который на стороне сервера будет храниться) и в случае "неудачи" - просто не отдавать данные с сервера(даже шифрованные)...норм будет?
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman, Остался получается один момент во всей схеме описанной в впоросе:

    Закрытый ключ "поверх" шифровать же не имеет смысла(с помощью какого-то "мастер-ключа"), если он всё равно будет храниться в браузере(в том же indexDB или localStorage)?
    Ведь, чтобы "расшифровать" его(закрытый ключ) перед применением - всё равно придётся где-то хранить "мастер-ключ"(чтобы каждую "итерацию", где он нужен не "спрашивать" пользователя его ввести)...

    Понятно, что самая большая "дыра" - это здесь сам пользователь и его устройство...чисто технически, если подумать без этого нюанса...
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman,

    база данных есть в браузере, штатная web storage api.

    Синхронизацию между устройствами всё равно придётся делать...а история и так в шифре...пусть хранится в БД...чёрт с ней...

    еще раз, сервер формально не очень нужен, он нужен только на старте подключения пользователя к чату - webrtc signaling server, и stun/turn сервера для тех кого заперли за NAT, но этих публичных даже полно, начиная с гугловского.

    Это подразумевает, что оба "онлайн"...хочется и в "офлайне" писать...

    если вам нужно убедить клиентов в безопасности вашего клиента и то что он не крадет приватную информацию

    Убеждать никого ненадо будет...)
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman, Да не о военном уровне речь идёт :)
    Сам факт общения - пофиг...главное безопасность пересылаемых данных...чтобы просто обе стороны были уверены, что их переписка останется только их...массовости "для народа" не будет...это некий "для своих" только...даже если сервак "приватизируют" - и фиг с ним...на новом развернулся и далее погнал...
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    rPman, Для этого в БД и будут храниться зашифрованные данные...а приватные ключи только на устройствах...
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    pfg21, Данные и так будут шифрованы...мне кажется ещё одна "обёртка" будет лишней...
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    Историю сообщений хотелось бы сохранить для удобства...и смену устройств...
    А так, получается, мной описанная выше схема рабочая?

    как и всегда, главная проблема - обмен контактами между пользователями (ключами шифрования) требования к каналу передачи тут наиважнейшие, и для этого рекомендуется вообще личная встреча.

    Это уже детали и проблемы "клиента"...можно что-то типа как в блютузе при подключчении сделать...пин-код обоим одинаковый например вводить...сам способ обмена ключами пока не беру за "проблему".
    Написано
  • E2EE + WEB = поищем безопасность?

    Fernus
    @Fernus Автор вопроса
    Если у тебя нет https и ты хочешь защититься от mitm, то тогда такое решение как сейчас не подойдёт, так как злоумышленник посередине может подменить js, чтобы параллельно отправлять незашифрованный текст.


    Это забота "клиента" в данном случае...ибо "сам сервер" подменять JS не будет...если только - "провайдер"...но тут можно еще пару "костылей" вставить между этим делом...

    UPD:
    Да, всё именно на https конечно...

    UPD2:
    В такой ситуации...тому же ватсапу и любому "сигналу" могут вставить "свой JS"...
    Написано
  • PhpStorm в 2025 из России. Блокируют ли?

    Fernus
    @Fernus Автор вопроса
    Натыкался на это...поглядел архив...там "непонятный" jar подгружается через java и т.д...
    Такой способ не хочется использовать в виду безопасности - без открытого кода с описанием...
    Написано
  • PhpStorm в 2025 из России. Блокируют ли?

    Fernus
    @Fernus Автор вопроса
    JhaoDa, Оке...проведу тесты на днях между более важной работой...отпишусь...
    Написано
  • PhpStorm в 2025 из России. Блокируют ли?

    Fernus
    @Fernus Автор вопроса
    JhaoDa,

    Блокировать ничего не надо, но получать триал надо через VPN, ибо это требует входа в акк ЖБ.

    Ну раз акк привязывается "к тебе", то каждый раз новый акк - это - как минимум - так?
    Просто изначально триал без акка выдаётся...что-то не сходится...
    Написано
  • PhpStorm в 2025 из России. Блокируют ли?

    Fernus
    @Fernus Автор вопроса
    JhaoDa, Я обновил пост...удар на себя взял:)
    Гуглить на самом деле умею...но через несколько мин после этих "сбросов" (как я тогда ещё пытался)...всё равно не сбрасывался...видимо на серваки отправляется какой-то "слепок" системы для идентификации "триала"...

    вектор напора мочи в головах владельцев/модераторов ресурса нынче непредсказуем, можно попать под молотки


    Так изначально она заблочена в стране(не нашей страной)...тут по-моему "нечего соблюдать"...купить и то с костылями только можно...поэтому вообще пофиг:)
    Написано