aacid napísal: 24 sep 2026, 10:42 ano, fiddlerom si vies overit ci su spravy sifrovane ale ako dokazes overit ze sifrovacie kluce mas ozaj len ty na svojom zariadeni a nema ich aj meta na svojich serveroch?

Jedine tak, ze budes sledovat vsteku komunikaciu a overis si, ci nie su odoslane na server.
Dalsia moznost je proste dekompilovat APK, co je dost lahke a poluctit to pomoou AI (ja som to kedysi robil, ked zacala Corona a objavovali sa vseliake apky). Toto bezpenostni experti robia parvidelne, takze, keby Meta tvrdi, ze sifruje ale nesifruje, tak sa na to do par mesiacov pride.

A ber to tak, ze sice to vies overit, ale je to o dovere v poskytovatela, lebo aj Signal, aj akykolvek iny ti to vie spravit obycajnym updatom aplikacie.

Ak si velmi nedovercivy, tak potom musis prevadzkovat nieco u seba (Matrix, Diaspora?).

Alebo prejst na aplikaciu, ktora nema providerov - napriklad DeltaChat - ta mi pride genialna, tu je o nej video v cestine:

dekompilovat APK... to je zase take ze ok, zistis ze kluc je generovany na uzivatelovom zariadeni a nikdy nebol poslany na servery. ale bol generovany na zaklade nejakeho seedu a ako dokazes ze na serveri neni ten isty seed a teda nedokazu vygenerovat ten isty kluc?
asi zalezi na tom co je seed, ake premenne tam idu, bezne to byva napriklad len timestamp a ten uz sa moze poslat na server v ramci diagnostiky a statistik (co urcite bolo spomenute niekde v podmienkach pouzivania whatsappu a je to pravdepodobne defaultne zapnute)...

sak presne tom pisem, ze pouzivam matrix.

urcite to uz zacina byt ista forma paranoje ale zatial to beriem z lahka, nie som fanatik, tiez pouzivam whatsapp lebo ako som pisal tak moje okolie nie je ochotne sa ho zbavit ale uvedomujem si jeho uskalia a mam k nemu moralne vyhrady. stale viac a viac mam pocit ze tito frajeri zo silicon valley ozaj svojimi krokmi zhorsuju nas svet. a nepaci sa mi to a sice s tym nemam co spravit ale aspon o tom mozem hovorit a ukazovat na to.

Ak je kluc generovany z nejakeho seedu, tak apku zahod a nepouzivaj ani za svet. Kluce sa maju generovat pomocou kryptograficky bezpeneho generatora nahodnych cisiel alebo hardveri na tom urcenom (mobili uz mavaju HW ulozisko klucov).

Podobne aj ja by som radsej pouzival Signal ako Watsapp, ale vyberat si moc nemozem.

Dokonca pocas Corony som navrhoval webovu e2e sifrovanu webovu apku pre komunikaciu lekar-pacient, cast zo sifrovanim je lahka, tazke su tie veci okolo (napriklad nechtiac nevyzradit metadata, overenie druhej strany, bezpecne mazat data,...).

ale generator nahodnych cisel tiez potrebuje seed. mat "true random number" generator nie je take jednoduche a neviem neviem ci kazdy telefon to ma v sebe zabudovane?

zase som asi moc paranoidny ale za tie dekady v IT biznise a zopar rokov uz aj v bezpecnosti proste uz neverim nicomu lebo tak nejak viem ze pokial sa nieco chce oklamat tak cesta sa najde.
ale ta najvacsia paranoja jednoducho prameni z toho ze neverim ze akakolvek z tychto nadnarodnych korporacii ma akekolvek moralne zabrany. dokazuju stale a dookola a nejak neverim ze by sa na tom malo nieco zmenit v buducnosti.

aacid napísal: 25 sep 2026, 10:18 ale generator nahodnych cisel tiez potrebuje seed. mat "true random number" generator nie je take jednoduche a neviem neviem ci kazdy telefon to ma v sebe zabudovane?

Takto, z hlavy ti to nepoviem. Ale ARM, ARM aj Intel uz robia cipy, co ho v sebe maju a maju nan specilne assemblerovske instrukcie - to uz hadam 10 rokov. A maju aj vsteky zo Secure Elementom a SecureEnclavou. Ved aj hlupy ESP32 ma TRNG.

A keby aj nie, tak operacny system zozbiera entropiu s teploty procesora, aktualneho casu, sumu na zvukovom vstupe, pohybu po displayii a inych veci a je schopny dat dost dobru entropiu.

Neviem, ze ci to az tak zapasuje do tejto temy. Ale nieco k sifrovaniu sprav a o moznostiach odchytu - https://zive.aktuality.sk/clanok/yGBdU6 ... ripravuje/

Ak by bol clanok zamknuty, dajte vediet, hodim to do pdfka z mojho plateneho uctu.