#национальный_мессенджер — Public Fediverse posts

В MAX есть доступ к фото по ссылке: Уязвимость или нет? По ФСТЭК и CVSS

Источников оказалось немного: пара постов на Хабре про саму уязвимость и ответки пресс службы Макс. Вот сам пост с Хабра, где рассказана вся ситуация. Мне больше другое интересно стало. Во-первых, является ли критичной уязвимость, если доступ к ней и правда возможен при большом переборе ссылок? Да, это в любом случае уязвимость, но настолько ли критичная? Во-вторых: а что если эти ссылки и доступ по ним возможны только после самой их компрометации? То есть как в облаке: ты сначала ссылку публичную получил, и уже после доступ к файлу возможен перебором по ссылке без авторизации, потому что ты это вообще позволил, а по-умолчанию всё с твоими файлами нормально. Ибо из поста выше и всех перечисленных там ссылок не следует того, что эти ссылки изначально не были вскрыты или переданы. Меня учили в вузе, что если мы сталкиваемся с комплексной задачей, то и её оценку надо проводить комплексно. А ещё, что если это не семинар, то придумывать велосипед необязательно и можно достать табличку объёмов красных шариков, которую за тебя уже продумали и составили эксперты в красных шариках. В нашем случае это ФСТЭК (Разрабатывает стандарты и требования по защите персональных данных (ПДн) и критической информационной инфраструктуры (КИИ) в РФ) и CVSS (Открытый стандарт, используемый для расчета количественных оценок уязвимости в безопасности компьютерной системы, обычно с целью понять приоритет её исправления). Так мы сможем описать и дать оценку конкретному сценарию эксплуатации уязвимости. Но помня мои вопросы выше, ради объективности и полного раскрытия темы мы рассмотрим 2 сценария:

https://habr.com/ru/articles/1008200/

#max #макс #уязвимость #безопасность #национальный_мессенджер

В MAX есть доступ к фото по ссылке: Уязвимость или нет? По ФСТЭК и CVSS

Источников оказалось немного: пара постов на Хабре про саму уязвимость и ответки пресс службы Макс. Вот сам пост с Хабра, где рассказана вся ситуация. Мне больше другое интересно стало. Во-первых, является ли критичной уязвимость, если доступ к ней и правда возможен при большом переборе ссылок? Да, это в любом случае уязвимость, но настолько ли критичная? Во-вторых: а что если эти ссылки и доступ по ним возможны только после самой их компрометации? То есть как в облаке: ты сначала ссылку публичную получил, и уже после доступ к файлу возможен перебором по ссылке без авторизации, потому что ты это вообще позволил, а по-умолчанию всё с твоими файлами нормально. Ибо из поста выше и всех перечисленных там ссылок не следует того, что эти ссылки изначально не были вскрыты или переданы. Меня учили в вузе, что если мы сталкиваемся с комплексной задачей, то и её оценку надо проводить комплексно. А ещё, что если это не семинар, то придумывать велосипед необязательно и можно достать табличку объёмов красных шариков, которую за тебя уже продумали и составили эксперты в красных шариках. В нашем случае это ФСТЭК (Разрабатывает стандарты и требования по защите персональных данных (ПДн) и критической информационной инфраструктуры (КИИ) в РФ) и CVSS (Открытый стандарт, используемый для расчета количественных оценок уязвимости в безопасности компьютерной системы, обычно с целью понять приоритет её исправления). Так мы сможем описать и дать оценку конкретному сценарию эксплуатации уязвимости. Но помня мои вопросы выше, ради объективности и полного раскрытия темы мы рассмотрим 2 сценария:

https://habr.com/ru/articles/1008200/

#max #макс #уязвимость #безопасность #национальный_мессенджер

В MAX есть доступ к фото по ссылке: Уязвимость или нет? По ФСТЭК и CVSS

Источников оказалось немного: пара постов на Хабре про саму уязвимость и ответки пресс службы Макс. Вот сам пост с Хабра, где рассказана вся ситуация. Мне больше другое интересно стало. Во-первых, является ли критичной уязвимость, если доступ к ней и правда возможен при большом переборе ссылок? Да, это в любом случае уязвимость, но настолько ли критичная? Во-вторых: а что если эти ссылки и доступ по ним возможны только после самой их компрометации? То есть как в облаке: ты сначала ссылку публичную получил, и уже после доступ к файлу возможен перебором по ссылке без авторизации, потому что ты это вообще позволил, а по-умолчанию всё с твоими файлами нормально. Ибо из поста выше и всех перечисленных там ссылок не следует того, что эти ссылки изначально не были вскрыты или переданы. Меня учили в вузе, что если мы сталкиваемся с комплексной задачей, то и её оценку надо проводить комплексно. А ещё, что если это не семинар, то придумывать велосипед необязательно и можно достать табличку объёмов красных шариков, которую за тебя уже продумали и составили эксперты в красных шариках. В нашем случае это ФСТЭК (Разрабатывает стандарты и требования по защите персональных данных (ПДн) и критической информационной инфраструктуры (КИИ) в РФ) и CVSS (Открытый стандарт, используемый для расчета количественных оценок уязвимости в безопасности компьютерной системы, обычно с целью понять приоритет её исправления). Так мы сможем описать и дать оценку конкретному сценарию эксплуатации уязвимости. Но помня мои вопросы выше, ради объективности и полного раскрытия темы мы рассмотрим 2 сценария:

https://habr.com/ru/articles/1008200/

#max #макс #уязвимость #безопасность #национальный_мессенджер

В MAX есть доступ к фото по ссылке: Уязвимость или нет? По ФСТЭК и CVSS

Источников оказалось немного: пара постов на Хабре про саму уязвимость и ответки пресс службы Макс. Вот сам пост с Хабра, где рассказана вся ситуация. Мне больше другое интересно стало. Во-первых, является ли критичной уязвимость, если доступ к ней и правда возможен при большом переборе ссылок? Да, это в любом случае уязвимость, но настолько ли критичная? Во-вторых: а что если эти ссылки и доступ по ним возможны только после самой их компрометации? То есть как в облаке: ты сначала ссылку публичную получил, и уже после доступ к файлу возможен перебором по ссылке без авторизации, потому что ты это вообще позволил, а по-умолчанию всё с твоими файлами нормально. Ибо из поста выше и всех перечисленных там ссылок не следует того, что эти ссылки изначально не были вскрыты или переданы. Меня учили в вузе, что если мы сталкиваемся с комплексной задачей, то и её оценку надо проводить комплексно. А ещё, что если это не семинар, то придумывать велосипед необязательно и можно достать табличку объёмов красных шариков, которую за тебя уже продумали и составили эксперты в красных шариках. В нашем случае это ФСТЭК (Разрабатывает стандарты и требования по защите персональных данных (ПДн) и критической информационной инфраструктуры (КИИ) в РФ) и CVSS (Открытый стандарт, используемый для расчета количественных оценок уязвимости в безопасности компьютерной системы, обычно с целью понять приоритет её исправления). Так мы сможем описать и дать оценку конкретному сценарию эксплуатации уязвимости. Но помня мои вопросы выше, ради объективности и полного раскрытия темы мы рассмотрим 2 сценария:

https://habr.com/ru/articles/1008200/

#max #макс #уязвимость #безопасность #национальный_мессенджер

В мире всего 4 национальных мессенджера. И все они выросли БЕЗ блокировок

Разбираем на реальных примерах - как именно они появились, набрали аудиторию и стали лидерами в своих странах. И почему блокировки и замедления для этого не нужны.

https://habr.com/ru/articles/1000236/

#мессенджер #соцсети #telegram #wechat #национальный_мессенджер #max #сервисы #itкомпании #блокировки #замедление

В мире всего 4 национальных мессенджера. И все они выросли БЕЗ блокировок

Разбираем на реальных примерах - как именно они появились, набрали аудиторию и стали лидерами в своих странах. И почему блокировки и замедления для этого не нужны.

https://habr.com/ru/articles/1000236/

#мессенджер #соцсети #telegram #wechat #национальный_мессенджер #max #сервисы #itкомпании #блокировки #замедление

В мире всего 4 национальных мессенджера. И все они выросли БЕЗ блокировок

Разбираем на реальных примерах - как именно они появились, набрали аудиторию и стали лидерами в своих странах. И почему блокировки и замедления для этого не нужны.

https://habr.com/ru/articles/1000236/

#мессенджер #соцсети #telegram #wechat #национальный_мессенджер #max #сервисы #itкомпании #блокировки #замедление

В мире всего 4 национальных мессенджера. И все они выросли БЕЗ блокировок

Разбираем на реальных примерах - как именно они появились, набрали аудиторию и стали лидерами в своих странах. И почему блокировки и замедления для этого не нужны.

https://habr.com/ru/articles/1000236/

#мессенджер #соцсети #telegram #wechat #национальный_мессенджер #max #сервисы #itкомпании #блокировки #замедление

Реверс-инжиниринг TamTam: как мы искали админов канала, обходя проверку привилегий

Всем привет! На связи TeamKomet. Недавно мы решили из любопытства заняться реверс-инжинирингом не безызвестного мессенджера TamTam. До нас дошли слухи о возможной уязвимости, позволяющей получить список создателей и администраторов любого канала. Что ж, выше признать. ⚙️ Начало раскопок: WebSocket и Opcode Мы принялись за работу и в первую очередь сосредоточились на проверке Opcode'ов в WebSocket. Первым делом нашли некий список с номерами от 10, 100, 123 — сервер тестово отвечал, но это тупик — с ним ничего не получилось. Тогда мы сменили тактику: что, если попробовать добавить в запрос параметры, которых изначально нет? Погрузившись в JavaScript, мы обнаружили интересный объект, который централизованно отправлял через opcode для обмена информацией. Мы начали методично изучать его методы, и не зря.

https://habr.com/ru/articles/964054/

#национальный_мессенджер #max #сетевые_протоколы

Bug bounty в РФ: когда вендор молчит, а платформа подыгрывает

Кейс новичка о «пробах» в роли бахгхантера на примере MAX + Bug bounty платформы Standoff365 Статья о личном опыте и выявленных системных проблемах взаимодействия исследователя с вендором и арбитражем в российской bug bounty‑экосистеме: как игнорируются критические уязвимости в «национальном мессенджере», отчёты закрываются как «дубликаты» без доказательств, а правила меняются постфактум. Что остаётся делать этичному хакеру, когда внутренние каналы арбитража исчерпаны и нет внешних, и почему в России у белого хакера — нет прав.

https://habr.com/ru/articles/960024/

#bug_bounty #max #vk #standoff_365 #уязвимости #арбитраж #фз152 #персональные_данные #национальный_мессенджер #багхантинг

Bug bounty в РФ: когда вендор молчит, а платформа подыгрывает

Кейс новичка о «пробах» в роли бахгхантера на примере MAX + Bug bounty платформы Standoff365 Статья о личном опыте и выявленных системных проблемах взаимодействия исследователя с вендором и арбитражем в российской bug bounty‑экосистеме: как игнорируются критические уязвимости в «национальном мессенджере», отчёты закрываются как «дубликаты» без доказательств, а правила меняются постфактум. Что остаётся делать этичному хакеру, когда внутренние каналы арбитража исчерпаны и нет внешних, и почему в России у белого хакера — нет прав.

https://habr.com/ru/articles/960024/

#bug_bounty #max #vk #standoff_365 #уязвимости #арбитраж #фз152 #персональные_данные #национальный_мессенджер #багхантинг

Bug bounty в РФ: когда вендор молчит, а платформа подыгрывает

Кейс новичка о «пробах» в роли бахгхантера на примере MAX + Bug bounty платформы Standoff365 Статья о личном опыте и выявленных системных проблемах взаимодействия исследователя с вендором и арбитражем в российской bug bounty‑экосистеме: как игнорируются критические уязвимости в «национальном мессенджере», отчёты закрываются как «дубликаты» без доказательств, а правила меняются постфактум. Что остаётся делать этичному хакеру, когда внутренние каналы арбитража исчерпаны и нет внешних, и почему в России у белого хакера — нет прав.

https://habr.com/ru/articles/960024/

#bug_bounty #max #vk #standoff_365 #уязвимости #арбитраж #фз152 #персональные_данные #национальный_мессенджер #багхантинг

Bug bounty в РФ: когда вендор молчит, а платформа подыгрывает

Кейс новичка о «пробах» в роли бахгхантера на примере MAX + Bug bounty платформы Standoff365 Статья о личном опыте и выявленных системных проблемах взаимодействия исследователя с вендором и арбитражем в российской bug bounty‑экосистеме: как игнорируются критические уязвимости в «национальном мессенджере», отчёты закрываются как «дубликаты» без доказательств, а правила меняются постфактум. Что остаётся делать этичному хакеру, когда внутренние каналы арбитража исчерпаны и нет внешних, и почему в России у белого хакера — нет прав.

https://habr.com/ru/articles/960024/

#bug_bounty #max #vk #standoff_365 #уязвимости #арбитраж #фз152 #персональные_данные #национальный_мессенджер #багхантинг

Какие запросы и куда отправляет MAX

Моя вторая статья - анализ сетевых запросов MAX и почему этот анализ - моё самое большое разочарование! Не ожидал я такого конечно, но описал все как есть.

https://habr.com/ru/articles/939550/

#max #мессенджеры #запросы #сетевые_протоколы #национальный_мессенджер #adguard #proxy #трафик #трекер

Какие запросы и куда отправляет MAX

Моя вторая статья - анализ сетевых запросов MAX и почему этот анализ - моё самое большое разочарование! Не ожидал я такого конечно, но описал все как есть.

https://habr.com/ru/articles/939550/

#max #мессенджеры #запросы #сетевые_протоколы #национальный_мессенджер #adguard #proxy #трафик #трекер

Какие запросы и куда отправляет MAX

Моя вторая статья - анализ сетевых запросов MAX и почему этот анализ - моё самое большое разочарование! Не ожидал я такого конечно, но описал все как есть.

https://habr.com/ru/articles/939550/

#max #мессенджеры #запросы #сетевые_протоколы #национальный_мессенджер #adguard #proxy #трафик #трекер

Какие запросы и куда отправляет MAX

Моя вторая статья - анализ сетевых запросов MAX и почему этот анализ - моё самое большое разочарование! Не ожидал я такого конечно, но описал все как есть.

https://habr.com/ru/articles/939550/

#max #мессенджеры #запросы #сетевые_протоколы #национальный_мессенджер #adguard #proxy #трафик #трекер

UPDATE: Разрешения MAX для Android. Cравниваем с Telegram и WhatsApp*

В своей первой статье "Разрешения MAX для Android. Cравниваем с Telegram и WhatsApp*" я сравнил резрешения, которые запрашивает приложение MAX для Android с разрешениями, которые запрашивают Telegram и WhatsApp. 18 сентября вышла новая версия MAX - 25.11.0 и вы знаете, произошло то, чего я не ожидал. MAX стал запрашивать 50 разрешений, вместо 59, т.е. на 9 меньше! Давайте посмотрим, какие же разрешения убрали разработчики.

https://habr.com/ru/articles/948728/

#max #мессенджер #android #национальный_мессенджер #тестирование #пользовательский_опыт #разрешения #telegram #whatsapp #аналитика

Разрешения MAX для Android. Cравниваем с Telegram и WhatsApp*

Всем привет! Я, на свой страх и риск , решил установить себе MAX и посмотреть, а что же происходит после установки? По итогам моего исследования будет минимум 2 статьи. Это - первая статья. В ней я сравню разрешения, которые запрашивает приложение MAX для Android с разрешениями, которые запрашивают Telegram и WhatsApp.

https://habr.com/ru/articles/939006/

#max #мессенджер #android #национальный_мессенджер #тестирование #пользовательский_опыт #разрешения #telegram #whatsapp #аналитика