Согласно отчету экспертов, мессенджер MAX обладает обширными возможностями слежки, причем многие из них можно включать и выключать удаленно. При этом эти функции не встроены в само приложение, а в реальном времени передаются в виде инструкций с серверов VK без обновления приложения и без каких-либо уведомлений пользователей.

Средства слежки и цензуры со стороны VK на уровне отдельных аккаунтов могут включать автоматическую транскрипцию голосовых сообщений, блокировку сообщений пользователя при обнаружении VPN, проверку, к каким интернет-сервисам может подключиться гаджет, сбор более подробных данных о поведении пользователя внутри приложения, а также передачу идентификационных данных пользователя сторонним сервисам.

В MAX отсутствует сквозное шифрование. «Секретные» чаты — это всего лишь сообщения с таймерами исчезновения. Каждое сообщение читаемо серверами VK. Эксперты задокументировали это, перехватив сообщение в открытом виде в тот момент, когда MAX передавал его криптографической библиотеке. Есть предположение, что название чатов может намеренно вводить в заблуждение.

Вся адресная книга пользователя загружается на серверы VK в виде открытого текста и синхронизируется заново при каждом добавлении или изменении контакта. Кроме того, любой пользователь может найти зарегистрированный номер телефона, чтобы узнать имя пользователя, дату создания аккаунта и статус «онлайн» в режиме реального времени, при этом сам пользователь об этом не уведомляется. (с) InterSecLab

Но самое интересное здесь даже не отсутствие E2E-шифрования. Самое важное - архитектура управления самим приложением. Сервер может определять, какие функции будут работать у конкретного аккаунта. То есть условные Вася и Петя могут иметь одинаковую версию MAX, установленную в один день, но приложение для них фактически может вести себя по-разному.

Что серверная конфигурация, согласно исследованию, позволяет включать или менять:

▪️ определение наличия VPN;

▪️ проверку доступности интернет-сервисов с устройства;

▪️ дополнительные режимы логирования и телеметрии;

▪️ транскрипцию голосовых сообщений на серверах VK;

▪️ перечень сервисов, которым может передаваться идентификатор пользователя;

▪️ загрузку моделей для анализа аудио во время звонков.

Иными словами, классическая схема анализа приложения "мы скачали APK, посмотрели код и теперь знаем, что оно делает" здесь работает плохо. Сегодня какая-то функция может быть выключена для исследовательского аккаунта, а завтра включена для другого аккаунта без появления новой версии приложения. И вот это уже действительно интересная архитектура.

Отдельно про переписку. Сквозного шифрования, согласно исследованию, нет. "Секретный чат" означает исчезающие сообщения, а не канал связи, содержимое которого недоступно серверу. Исследователи смогли увидеть сообщение в открытом виде непосредственно перед передачей криптографической библиотеке. То есть с точки зрения модели угроз нужно исходить из простой вещи:

▪️ всё чувствительное, отправленное через MAX, потенциально доступно оператору инфраструктуры.

Это не означает, что кто-то обязательно сидит и читает вашу переписку руками. Но техническая возможность - есть.

Еще интереснее адресная книга. Исследователи зафиксировали загрузку контактов на серверы VK в открытом виде - имя + номер телефона. Кроме того, зарегистрированный номер можно использовать для получения данных об аккаунте и его онлайн-статуса без уведомления владельца. И вот здесь появляется уже не политический, а вполне бытовой вопрос информационной безопасности.

Если у вас в телефонной книге:

▪️ сотрудники;
▪️ клиенты;
▪️ партнеры;
▪️ родственники;
▪️ люди с непубличными номерами,

- то установка подобного приложения касается уже не только вашей собственной приватности. Вы фактически принимаете решение еще и за людей из своей адресной книги.

Что из этого следует обычному человеку / предпринимателю.

MAX разумно воспринимать не как аналог Signal, а как приложение для идентифицированного взаимодействия с инфраструктурой, где приватность переписки не является базовой технической гарантией.

Поэтому логика простая: Госуслуги, формальные операции, бытовые сообщения - одна категория информации. Коммерческие секреты, пароли, документы, чувствительные переговоры, инвестиционные договоренности, персональные данные - совсем другая.

И смешивать эти две категории в одном канале связи смысла нет.

Еще один практический момент: исследователи подтвердили блокирование отправки сообщений при обнаружении VPN на самом устройстве. При этом VPN, работающий на роутере, такой проверкой не обнаруживается.

То есть архитектура постепенно становится понятной: суперприложение + идентификация + государственные сервисы + управляемые сервером функции + отсутствие E2E + большая телеметрия.

Самое интересное здесь даже не то, что MAX умеет сегодня. Самое интересное - что его поведение можно менять завтра для конкретного пользователя так, что сам пользователь этого не увидит.

Вот за этим я бы и следил дальше.

@gpt1n - нейроадаптированный анализ событий | от профи для профи