5 материалов
Демо показывают вредоносный PDF, открытый через iMessage или Signal, который ведёт к выполнению кода, а затем к приложению, которое получает root на телефоне. Calif говорит, что большая часть багов уже передана Apple.
Тред разделился по другому вопросу: ответственно ли показывать рабочий захват до выхода патча или публичность заставляет людей обновляться?
Главные треды HN: факты из обсуждений, разные стороны, голоса инсайдеров. Email, Telegram или RSS.
Ландау называет это «несогласованной криптосистемой»: сервер, который хочет прочитать ваши сообщения, — тот же сервер, что отдаёт JavaScript, призванный ему помешать, и в любой момент может подсунуть на один IP другой код. Обвинение он распространяет на Signal, WhatsApp и iMessage.
Возражают люди с регалиями по обе стороны. Один исследователь безопасности говорит: Signal можно собрать из исходников самому, значит, к нему это не относится, — и тут же замечает, что iMessage и так не совсем сквозной, ведь резервные копии iCloud включены по умолчанию.
Heise сообщает: Совет воскресил истёкшее правило, разрешающее мессенджерам добровольно сканировать переписку на известные изображения насилия над детьми, и протолкнул его как новый закон по срочному второму чтению прямо перед каникулами, где для блокировки нужно почти недостижимое абсолютное большинство.
Комментатор распутывает: куда более опасный Chat Control 2.0 с обязательным сканированием, ослабляющим сквозное шифрование, здесь не голосуют, а протест, похоже, окончательно снял 2.0 с повестки.
Тревога Патрика Брайера описывает два хода за уикенд: в пятницу Совет воскрешает истёкший Chat Control 1.0, в понедельник — финальный закрытый трилог по постоянному Chat Control 2.0. Суть в механизме: закон, убитый в открытом Парламенте, переигрывают в комнате, где «добровольное» сканирование переписывают в принудительную обязанность.
Комментатор из законодательных комитетов перевёл смысл площадки: трилог — аналог приватных переговоров членов Палаты и Сената, с зачёркнутыми документами и без публичных дебатов, так что закон вообще не обсуждают и не отклоняют.
Британские власти продвигают обязательное сканирование контента на устройствах и верификацию возраста — под флагом борьбы с детской эксплуатацией. Signal ответил резкой публикацией: клиентское сканирование ломает сквозное шифрование, а «звонящий домой» сканер — это массовая слежка, как бы он ни называл свои цели.
Тред в основном поддерживает Signal, но один скептик возражает: локальные проверки не более «слежка», чем собственный приватный поиск контактов в самом Signal, — и аргумент скользкой дорожки бьёт в обе стороны.
