https://rys.io/

  • 387 Posts
  • 1.41K Comments
Joined 5 years ago
Cake day: July 26th, 2020
  • rysiektowolny internet•Proton dodaje usługę AI
    4·
    4 days ago

    Ech. https://pivot-to-ai.com/2025/08/02/protons-lumo-ai-chatbot-not-end-to-end-encrypted-not-open-source/

    Proton says your chats are stored with the same zero-access encryption as your email. That’s great! But their wording is: “end-to-end encryption in your chat history.”

    What are the ends in this scenario? And why not just say “end-to-end encryption in your chat”? Well, obviously, because they can’t say that.

    If you’re using a remote chatbot like Lumo, the chat has to exist as plain text for the chatbot to see it, for some unspecified length of time. Same if you dump files into the chatbot from your end-to-end-encryptoed Proton Drive — their version of Google Drive.

    That’s how most web services work, and it might not sound like a big deal — but Proton’s email famously does not work like that. There is never plain text at rest. So Proton is trying to handwave on their past reputation and say, well, parts of it are totally secure. Just not the rest.

    Proton also used to publish complete cryptographic threat models for its products. They didn’t for the AI email assistant and they haven’t for Lumo. It’s a glaring absence.

  • rysiekOPtoTechnology@beehaw.org•The Hype is the ProductEnglish
    6·
    10 days ago

    Hi, author here. Thanks for the good word.

    Yes, Welch popularized the model of shareholder primacy, I should perhaps link to that in the text.

    But the point I am making goes further: it’s not just shareholder primacy, because that could still be compatible with just making a good product and service and focusing on that.

    What I am saying is: shareholder primacy has now lead to another, kinda new thing, which is basically making the hype the actual main product the company sells. And tech companies diving into that bubble in lockstep. Every large tech company today is selling AI to shareholders, regardless of what a regular person can buy from that company – graphics cards, office productivity suite, operating systems, or smartphones. The “regular” product or service is just a vehicle for AI hype, an empty vessel to be filled with whatever grabs investor attention.

    In other words: yes, shareholder primacy is a key underlying thing for it, but there was shareholder primacy without treating the hype itself as the product.

  • rysiektoPrivacy@lemmy.ml•Telegram is indistinguishable from an FSB honeypotEnglish
    1·
    1 month ago

    This is way more different thing than claiming and proving that Telegram is somehow FSB honeypot.

    I did not claim nor attempt to prove that “Telegram is somehow FSB honeypot”. I did claim and I believe I showed that it is indistinguishable from an FSB honeypot. If you’re nit-picking, at least nit-pick the correct claims, instead of some straw-man version of what I wrote that happens to be easier to attack. 😼

    Yes, OCCRP received funding from USAID. They put that information very clearly on their own website. Here’s a crazy thought: investigative journalism needs to be funded somehow, and USAID was one of the ways this could be done. If you have a better idea of how to fund investigative journalism, there is a lot of media outlets that would love to hear from you!

    The way OCCRP was/is funded does not say anything about the veracity of their reporting. Or that of IStories, which was done independently of OCCRP (that’s an important bit that most people miss).

    What does speak to the veracity of reporting is the fact that over a decade and a half of reporting on stuff like this OCCRP has been sued by oligarchs multiple times in the most oligarch-friendly jurisdiction out there, UK (specifically, London), and have not lost a single time. Will Telegram sue OCCRP or IStories? Perhaps. Will they win? I seriously doubt it.

    If they do sue, the discovery will be hilarious. IStories folks are going to get access to all sorts of great documents, I’m sure. Can’t wait for these to get published!

    Speaking of documents, I like how you quote two random claims made in that OCCRP version of IStories article, and just decide to ignore the bit where Vedeneev claims, in actual court documents, that yes he has access to Telegram infrastructure. And how there are documents showing he owns GNM. And how there are documents showing he also signed documents on behalf of Telegram (hilariously, a document exists that he signed both on behalf of GNM and of Telegram). And how he co-owns or co-owned companies which are also co-owned by people directly connected to the FSB. And a bunch of other stuff.

    But that doesn’t fit your “US shill” hot take, so why mention any of that right? 😄

    You might also want to read the Russian version of IStories story, for hard documentary evidence of Durov’s connections to FSB:
    https://www.istories.media/stories/2025/06/10/kak-telegram-svyazan-s-fsb/

    On a personal note, it is so much joy to see all the hand-wavy pushback in this thread. Clearly the story hit a pain point somewhere. The funny thing is that if similar but much less substantiated claims were made about Signal here, there would be a frenzy of dunking on it as an “imperialist tool of surveillance”. 🤡

  • rysiekOPtowolny internet•Popularny komunikator Telegram nie jest bezpieczny, ma powiązania z rosyjskimi służbamiPolski
    2·
    1 month ago

    Autor blogu jednak stwarza wrażenie, że protokoły Matrix lub XMPP/OMEMO są słabe.

    Nie “stwarza wrażenie”, a “oferuje swoją ekspercką opinię o tych protokołach, podpartą kupą doświadczenia i wiedzy, oraz dogłębną analizą.” To nie jakiś random z Internetów, a ekspert szeroko znany w kręgach związanych cyberbezpieczeństwem.

    Aplikacja może bardzo dobrze uniemożliwić obniżenie poziomu komunikacji do postaci niezaszyfrowanej i odmówić przyjęcia komunikacji niezaszyfrowanej, nawet jeśli protokół pozwala również na pisanie komunikatorów bez szyfrowania

    Może, ale jest to dodatkowa rzecz, która musi być dobrze, poprawnie zaimplementowana, i nie zepsuta przypadkiem w następnych wersjach. Kolejny skomplikowany element i tak już nieprawdopodobnie skomplikowanego systemu. A Matrix nie ma zbyt dobrej historii nie popełniania durnych błędów w implementacji własnego protokołu: https://arstechnica.com/information-technology/2022/09/matrix-patches-vulnerabilities-that-completely-subvert-e2ee-guarantees/

    Mało tego, musi to też być dobrze zakomunikowane dla osób korzystających, które będą musiały zrozumieć to, że jakaś część komunikacji w danej aplikacji może być nieszyfrowana, i uważać na to, czy w danym momencie komunikują się w sposób szyfrowany, czy nie.

    Powtarzam: tworzenie takich aplikacji jest nieodpowiedzialne. To zastawianie pułapek na osoby implementujące, oraz na osoby korzystające. Nie ma tu absolutnie żadnego usprawiedliwienia.

    W powiązanym temacie, bezpieczne aplikacje internetowe są możliwe, nawet w świecie, w którym przeglądarki rozumieją niezaszyfrowany protokół HTTP.

    Tak, i ataków downgrade na HTTPS były dziesiątki. Dekady zajęło doprowadzenie HTTPS to stanu jako takiego bezpieczeństwa. Zamiast powtarzać ten błąd i wystawiać się na takie ryzyko, lepiej po prostu nie wspierać wysyłania nieszyfrowanych wiadomości.

    Chociaż nie poprawia to niczego dla prywatnego użytkownika końcowego, fakt, że siły zbrojne ufają niestandardowemu komunikatorowi opartym na Matrix z poufnymi informacjami

    Masz rację, to nie poprawia niczego dla prywatnego użytkownika końcowego. Bundeswehra korzysta z własnej wersji klienta Matriksa (BwMessenger) – o ile się założymy, że tryb nieszyfrowany jest kompletnie wycięty? Mało tego, korzysta z niego we własnej, zamkniętej sieci. Idę o zakład, że ta sieć jest dodatkowo szyfrowana na niższym poziomie.

    może wskazywać, że sam protokół nie implikuje słabego szyfrowania.

    Sam protokół niczego nie “implikuje”, on po prostu dopuszcza możliwość komunikowania się w sposób nieszyfrowany. I to jest problem, którego porządny protokół komunikacji w 2025r. po prostu nie powinien mieć.

    Prawdziwym żalem jest to, że obecnie nie wydaje się istnieć żadna aplikacja końcowego użytkownika, która byłaby otwarta, federacyjna, przyjazna dla użytkownika i bezpieczna.

    Ja sobie patrzę na Cwtch z nadzieją: https://docs.cwtch.im/

    Albo wystąpiłyby techniczne wady, albo byłaby scentralizowana, co narażałoby użytkowników na ryzyko uzależnienia od dostawcy i gównowacenia.

    Ryzyko zgównowacenia istnieje zawsze, decentralizacja je zmniejsza. Zmniejsza je również na przykład nie bycie startupem mającym generować zyski dla inwestorów. Signal zarządzany jest przez fundację, która takim startupem bardzo mocno nie jest. Więc akurat nie mam problemu z polecaniem Signala, choć chciałbym, by był federowany rzecz jasna.

    Takie gadanie, że wszystko do dupy, tylko utwierdza ludzi w przekonaniu, że to nie ważne, z czego korzystają, skoro wszystko syf. I zostają na Telegramie. Nie wiem, czy to jest efekt, na którym Ci zależy.

  • rysiektoPrivacy@lemmy.ml•Telegram is indistinguishable from an FSB honeypotEnglish
    218·
    1 month ago

    Hi, author here. First of all, in that piece I don’t happen to recommend using any specific piece of software. I mention Signal and WhatsApp for comparison, as tools that are considered similar, and yet avoid making the same weird protocol choices.

    Secondly, if you have any proof that any specific communication tool is used to “spy” on people, I am sure I am not the only person who would love to hear about it. That’s the only way we can keep each other safe online. Surely you wouldn’t be making unsubstantiated claims and just imply stuff like that without any proof, would you?

    And finally, I’ve spent a good chunk of time and expertise on analyzing Telegram’s protocol before I made my claims. I provided receipts. I provided code. I explained in detail my testing set-up. You can yourself go and verify my results.

    Instead, you claim it’s “propaganda”, while mischaracterizing what I say in that post. Classy!

Moderates