LIMB
Вход Регистрация

тема

[Обсуждение] Расширение для шифрования переписок на форуме

cybergangster · · 18 ответов · 404 просмотров

К разделу
Решил навайбкодить для вас расширение представим такую ситуацию вы не доверяете встроенному шифрованию на форуме вы же не знаете как оно устроено на бэкэнде. Или условно у администратора возникают проблемы с американской полицией, они встраивают бэкдор и шифрование перестает работать = все ваши переписки на форуме для них в открытом виде. То есть ваши токсы, кошельки и другая чувствительная информация собирается.

Куда безопаснее использовать расширение с открытым исходным кодом и обменяться ключами через сторонний канал связи. Теперь переписка будет доступна только вам и собеседнику.

Выглядит это дело вот так

Не удалось прогрузить медиа


Не удалось прогрузить медиа



Не удалось прогрузить медиа


Не удалось прогрузить медиа


1. Вы с собеседником устанавливаете расширение в свой браузере (исходники предоставлю). Тестирую пока что на firefox, позже проверю на Chrome.

Не удалось прогрузить медиа


2. Генерируете пару ключей, приватный остается в локальном хранилище браузера, а публичным обмениваетесь с собеседеником через сторонний канал связи
3. В расширении подписываете имя (ник) собеседника и его публичный ключ
4. Отправляете сообщения они шифруются и расшифровываются на лету!

Если пересоздать пару ключей переписка будет недоступна, также как если удалить расширение.

Насколько идея хорошая? Может логику поменять чтобы было безопаснее. Например чтобы была возможность генерировать уникальный ключ для каждого собеседника.

Жду ваших предложений, расширение будет работать и на других форумах. После рестарта из firefox оно удаляется так как нет подписи от мозиллы, но наверное можно получить .xpi ведь расширение легальное, без обфускации и ничего не ворует)

@lisa99 @lumminar @admin @MrRoot
👍32 🔥9 😢3 💯4
Ответcybergangster

Решил навайбкодить для вас расширение представим такую ситуацию вы не доверяете встроенному шифрованию на форуме вы же не знаете как оно устроено на бэкэнде. Или условно у администратора возникают проблемы с…

В бд будет сохраняться вот такой шифротекст)

Не удалось прогрузить медиа
👍3
Ответcybergangster

Генерируете пару ключей, приватный остается в локальном хранилище браузера, а публичным обмениваетесь с собеседеником через сторонний канал связи

так может там и продолжить беседу?)
👍1
Ответlisa99

так может там и продолжить беседу?)

это может быть privnote к примеру)
👍2
чег ты топчешься, как кот на мамке?
публикуй, пусть критикую, пусть движ, допилим вместе, если что

Работы не очень много, ничего не теряешь. Наоборот , форуму +
Спасешь пару человек- уже подвиг.
Будут пинать ногами - активность на форуме дорогого стоит. мозги включат. Тоже хорошо

ты в плюсах, по-любому ;)
Ответlisa99

чег ты топчешься, как кот на мамке? публикуй, пусть критикую, пусть движ, допилим вместе, если что Работы не очень много, ничего не теряешь. Наоборот , форуму + Спасешь пару человек- уже подвиг. Будут пинать ногами -…

да, я доведу сейчас до уровня JABBER PGP чтобы остались только из рисков компрометация браузера, os, устройства.
👍2
Релиз расширения состоялся) Гуишка выглядит вот так

Не удалось прогрузить медиа


Не удалось прогрузить медиа


Не удалось прогрузить медиа


Не удалось прогрузить медиа


Не удалось прогрузить медиа


Присутсвует недоработка если шифротекст содержит горячие символы для эмодзи, то все рушится (но это редко очень)

Не удалось прогрузить медиа

Вот что ты лично сделал по ходу всего этого:
  1. Написал браузерное расширение для E2E-шифрования переписок в XenForo
  2. Установил расширение через режим разработчика в Firefox (about:debugging)
  3. Тестировал отправку сообщений и присылал логи из консоли DevTools на каждом этапе отладки
  4. Подогнал оформление формы под сайт
  5. Исправил серию багов: форма пропадает при перезагрузке, диалог подтверждения обрезается, сообщение не отправляется без перезагрузки, контакт не подтягивается в реальном времени, оверлей перекрывает страницы тем/подписи, где не нужен
  6. Прошёл процесс подписания расширения у Mozilla до статуса «Approved» и получил .xpi

    Как пользоваться XF E2E Chat Shield

    Шаг 1 — создать свою пару ключей
    1. []Кликни по иконке расширения в панели браузера[]Вкладка «Мой ключ» → «Сгенерировать пару ключей»* если хочешь защитить ключ паролем включи чекбокс «Защитить приватный ключ паролем» до генерации, тогда попросит придумать пароль. Если не включать ключ создастся сразу, без пароля
    2. После генерации увидишь fingerprint (короткий код вида adf2-b745-...) и текст публичного ключа

    Шаг 2 — обменяться ключами с собеседником (один раз, навсегда)
    1. []Нажми «Скопировать публичный ключ»[]Отправь его собеседнику не через форум, а через другой канал (Signal, лично, любой отдельный способ связи)[]Попроси у него точно так же его публичный ключ[]Обязательно сверьте fingerprint голосом или в другом защищённом канале это защита от подмены ключа (mitm атака). Если fingerprint совпадает с тем, что говорит собеседник — всё честно

    Шаг 3 — добавить контакт
    1. []Вкладка «Контакты» в popup[]Впиши имя (как тебе удобно называть человека) и вставь его публичный ключ
    2. Нажми «Добавить контакт»

     
    Шаг 4 — переписка
    1. []Зайди в личные сообщения с этим человеком на forum.LIMB.cc[]Вместо обычного редактора увидишь наш блок — выбери контакта в выпадающем списке[]Напиши текст именно в этом поле (не в оригинальной форме — она скрыта)[]Нажми «:lock: Зашифровать и отправить»
    2. Если стоит пароль на ключе — один раз за сессию браузера попросит его ввести, дальше не будет спрашивать, пока не закроешь браузер

     
    Как читать входящиеНичего специально делать не нужно — сообщения от собеседника (у которого добавлен твой публичный ключ) расшифровываются автоматически прямо в ленте, с иконкой :unlock:. Если ключа для конкретного сообщения нет — увидишь :lock: «нет подходящего ключа».
     
     
    Важные практические моменты
    • []Работает только в личных сообщениях (/direct-messages/...) — в обычных темах форума и в других разделах расширение не вмешивается вообще[]Без выбранного контакта отправить через нашу форму не получится — это специально, чтобы не улетело случайно открытым текстом[]Если пересоздать ключ (кнопка в popup) — все прошлые зашифрованные сообщения станут нечитаемыми навсегда, это предупреждают отдельно перед подтверждением[]Сообщения, отправленные до установки расширения или через оригинальную кнопку «Ответить» (она теперь скрыта) — как обычный открытый текст, задним числом это не исправить
скачивай: https://dfairdrops.org/file/6fdd87dab08f0ce0868115d239aba3a28cfdebd2292fed22f71bfe13c08fd777
👍3
есть два негативных момента.
Если кто-то сидит на торе, сессии стираются, "один раз навсегда" - нереально
👍3
В рамках обсуждения прикольно.
В рамках реальной практики очень много "но".
Ответcybergangster

Релиз расширения состоялся) Гуишка выглядит вот так Не удалось прогрузить медиа Не удалось прогрузить медиа Не удалось прогрузить медиа Не удалось прогрузить медиа Не удалось прогрузить медиа Присутсвует недоработка…

что будет есть твой публичный ключ который ты отправлял собеседнику попадет в руки спец служб? могут ли они читать переписку или что то в этом роде??
👍1
Ответthomson

что будет есть твой публичный ключ который ты отправлял собеседнику попадет в руки спец служб? могут ли они читать переписку или что то в этом роде??

публичный ключ

Они смогут зашифровать данные лишь так, чтобы создавалось впечатление, будто вам пишет ваш собеседник, но содержание сообщения всё равно будет видно только вам. Рекомендую ознакомиться с этим — 
Ответthomson

что будет есть твой публичный ключ который ты отправлял собеседнику попадет в руки спец служб?

Если твой ключ попадает в руки спец служб, это значит что ты лежишь на полу головой вниз
Ответcybergangster

[ ]Нажми «Скопировать публичный ключ»[ ]Отправь его собеседнику не через форум , а через другой канал (Signal

А почему не в твиттере уже или вк?)
👍3
Ответcybergangster

Решил навайбкодить для вас расширение представим такую ситуацию вы не доверяете встроенному шифрованию на форуме вы же не знаете как оно устроено на бэкэнде. Или условно у администратора возникают проблемы с…

Врядли этим всем будут пользоваться. Люди нуждаются в простых и удобных вещах. Посмотреть как работает шифрование можно и без доступов к бэку, да и по скорости гораздо быстрее будет передать какие то данные на форуме через надежные сервисы одноразовых записок в пару кликов, чем тратить время на скачивание и работу с посторонним плагином.
👍1
да, не будут скачивать. юзеры ленивы и избалованы.

То есть  основная задача, которую призван решить софт - оставить юзеров на форуме.
А у них (юзеров) нет такой задачи, им ничто не мешает уйти в токс.

Но то что человек, ТС,  подумал лишний раз об ИБ - зачет =)

п.с.Неоторые вообще следов стараются не оставлять на форумах, по минимуму, не то что тянуть переписку.
👍4 🔥1
Ответthomson

что будет есть твой публичный ключ который ты отправлял собеседнику попадет в руки спец служб? могут ли они читать переписку или что то в этом роде??

Ничего не будет, ты можешь публичными ключами обменяться через форум на самом деле, а вот fingerprint сверить через другой канал связи. Это просто защита от MITM. Публичный ключ используется только для шифрования зная его нельзя притвориться кем-то другим, расшифровать сообщение и т.д.
Ответzobiak

Врядли этим всем будут пользоваться. Люди нуждаются в простых и удобных вещах. Посмотреть как работает шифрование можно и без доступов к бэку, да и по скорости гораздо быстрее будет передать какие то данные на форуме…

Плагин удобный и подписан мозиллой то есть не слетит после перезагрузки браузера. Люди бы не стали этим пользоваться даже если б он был в магазине плагинов или чем-то дефолтным потому что действительно им просто лень)
👍2
Навайбкодил - дай сходники
👍2
Ответec5745y

Навайбкодил - дай сходники

Выше ) Там файлик смени расширение на zip и будут сорцы
👍1

Гостевой просмотр. Чтобы отвечать и ставить реакции, войдите или зарегистрируйтесь.