Damus
codonaft profile picture
codonaft
@codonaft

FOSSdev, poetry, post-postmodernism. Making distraction-free and privacy-respecting software. Neovim/Rust/Gentoo/Alpine enjoyer. Rarely posting introvert.

Anti-"anti": I believe in focusing on what we are rather than on what we are not. Otherwise we become what we are not.

Relays (8)
  • wss://nostr.codonaft.com – read & write
  • wss://relay.pleb.one – read & write
  • wss://relay.primal.net – read & write
  • wss://relay.damus.io – read & write
  • wss://wot.nostr.net – read & write
  • wss://nostr-01.yakihonne.com – read & write
  • wss://nostr-02.yakihonne.com – read & write
  • wss://relay.nmail.li – read & write

Recent Notes

nostrich · 1d
That's a solid point about the tradeoffs. A graduated response system makes sense for real-world scenarios where a full wipe could draw more suspicion than just limiting access. Curious what middle-gr...
codonaft profile picture
Thanks. I'm confused about both of the semantics of your comment and whether it's coming from or approved by human or not.

Anyway, I'm not sure what you mean by graduated response system, but I'd be fine waiting on the PIN entering screen as long as the wiping will finish and then observe the normal unlocking. Emulating/Simulating first boot with slowly initializing launcher would likely decrease suspicion even more.

Obviously all these adds complexity, so I'd appreciate having anything simpler if it's not possible.

> Curious what middle-ground options you'd find practical.

I'd ideally personally want to clear data for some apps I choose and remove some of the directories (Downloads and DCIM for example would be reasonable). Particular eSIMs might be useful to remove as well but not all of them.
1
codonaft · 1d
I mean not the first boot but unlocking after the normal (re)boot (after installing OS updates for example), which is usually slow.
codonaft profile picture
@GrapheneOS thanks for making privacy more accessible, guys, I appreciate your work 💜

I'm probably not the first one asking; I wonder could we have a lighter version of duress PIN/password functionality? I find the current solution too limited: a full wipe seems even more suspicious to whoever checks the phone; wiping eSIMs may make it useless in case the user wants to contact their lawyer for example. Is that really what the average GrapheneOS user wants?

What about selectively clear data for certain applications as an option for example? I hope it's not out of scope of the project and doesn't introduce too much complexity, which I guess you prioritize here.

#privacy #grapheneos
2
nostrich · 1d
That's a solid point about the tradeoffs. A graduated response system makes sense for real-world scenarios where a full wipe could draw more suspicion than just limiting access. Curious what middle-ground options you'd find practical.
codonaft · 1d
Removing the fact that the duress PIN was set is essential as well: duress PIN becomes the normal PIN, the duress PIN settings are reset.
VikingKong · 1d
Я вообще плохо понимаю, какой смысл даже в полностью опенсорсных клиентах, если они взаимодействуют с пропри...
codonaft profile picture
Опенсорсный клиент значительно проще:

- проверить на наличие эксплойтов, из-за которых приложение могло бы передать что-то несвязанное с переписками (скажем, факт наличия туннеля, мешающего цензурить сеть)

- удостовериться в факте работы чатов со сквозным шифрованием (в WA черт знает что происходит по отношению к этим "секретным" чатам, т.к. существуют регуляции стран, полностью запрещающие сие роскошь, AFAIK).

Вялый контраргумент может звучать примерно так: есть же тулы, по ним можно косвенно понять (в рантайме) может ли тут быть зловредное поведение. Но проблема еще и в том, что зловред может быть выключен и включен по какому-то принципу позже; их определенно должны выключать на время сертификации в аппсторах, потому что во время сертификации (по крайней мере выборочно) как раз таки и делают этот примитивный анализ (например не подключается ли приложение туда куда не должно подключаться, не подменяет ли какой-то сертификат и т.п.).
Goose_in_Gensokyo · 2w
#asknostr #primal I'm curious, why this event isn't visible in Primal webclient? If I try to open https://primal.net/e/nevent1qvzqqqqqqypzqyujqpzdkqapn3kmalh5ar2jclt05atx83nnzxhnwdwmpvsp23ddqyt8wumn8g...
codonaft profile picture
```
$ nak decode nevent1qvzqqqqqqypzqyujqpzdkqapn3kmalh5ar2jclt05atx83nnzxhnwdwmpvsp23ddqyt8wumn8ghj7un9d3shjtnyd968gmewwp6kytcpzamhxue69uhhyetvv9ujuurjd9kkzmpwdejhgtcqyqel69rpthln

couldn't decode input 'nevent1qvzqqqqqqypzqyujqpzdkqapn3kmalh5ar2jclt05atx83nnzxhnwdwmpvsp23ddqyt8wumn8ghj7un9d3shjtnyd968gmewwp6kytcpzamhxue69uhhyetvv9ujuurjd9kkzmpwdejhgtcqyqel69rpthln': invalid checksum (expected (bech32=f60skl, bech32m=f60skluxluna), got rpthln)
```
codonaft profile picture
Воспроизводимые билды это конечно классно. Но получилось так, будто это преимущественно сделано для маркетинга.

На форках клиентов Telegram по-прежнему можно увидеть предупреждение о том, что регистрация аккаунтов не поддерживается:



Я так и не смог это проверить, но насколько помню ситуация обстояла и обстоит так: из какого-либо своего билда телеги зарегаться невозможно из-за несовпадения цифровой подписи. Если дело всё-таки было не в цифровой подписи — тогда вероятно дело лишь в API id/key: их, получается, нужно выковыривать из оригинального билда из Google Play и впихивать в свой билд, нарушая условия пользования (за что справедливо можно словить бан, соответственно) только ради того, чтобы зарегистрироваться.

Проблема в различии, которое напоминает то, что встречается в дихотомиях из разряда linux vs linux-libre — что-то из этого спорно считать полностью аутентичным FOSS. Только в данном случае ситуация хуже: чтобы мы не собирали — часть функциональности будет урезана.

Официальные клиенты Telegram — это, по сути, вариант не аутентичного FOSS. В то же время я и не имею в виду, что они нарушают выбранную ими лицензию.

#телеграм #приватность #ностр


2
VikingKong · 1d
Я вообще плохо понимаю, какой смысл даже в полностью опенсорсных клиентах, если они взаимодействуют с проприетарным сервером, который может делать с твоими данным...
codonaft profile picture
Павел, похоже ты мастерски сопротивляешься репрессивным системам
Стоический образ жизни вдохновляет на стремление к великим целям
Не торопись ассоциировать критиков с какой-либо полярностью
Но́стричи смотрят сквозь всё это с вдумчивой внимательностью

Мы стараемся объективно комментировать твой дискурс
Неидеально получается, не каждый добил в башке постмоде́рновый вирус
Мы и дальше продолжим критиковать недосказанное
Приглашаем к конструктивному диалогу, мы обойдемся без заговоров



Павел Дуров полярности критиковал, да не вы́критиковал
На вопросы журналистов ответы давал, да не вы́давал
Чтоб зарегаться в про-свободной сетке нужно принять SMS, или как?
Билд смогу собрать и зарегаться с Графены без Гуглоплея? Это хоть так?



Критикуешь идентификацию «детей»?
Что по поводу дырявости сотовых сетей?
Не звучит ли это как-то двусмысленно:
Принуждать к SMS-верификации — это же немыслимо?

https://youtu.be/wVyu7NB7W6Y?t=843s

Роботов различаешь телефонной КУСнёй?
В эпоху неизбежного прохождения Тьюринг-теста?
AI-агенты уже способны нанять человеков толпой
А те — в ларьках симок купят ботам; будет спам-фиеста



Я понял, Павел: хочешь приватность — покупай на перегретом рынке номер
А на что покупать то? На тобой же когда-то основанный токен?
А если добыт без КУСни́ он — сие замороженный резерв?
Что-то очень странное произошло под шумок военных утех

https://web.archive.org/web/20230926222800/https://blog.ton.org/freezing-inactive-accounts-of-the-first-miners

https://archive.ph/ypTBv

Что время терять то? Дай интервью тем, кто реально понимает
Выбери себе сложных, терпеливых криптоанархистов кавайных
Дай и́м интервью, а не лояльным Шалтаям-Болтаям
Даже Лекс едва ли больше увидел необоснованно отправивших тебя на нары

#стихи #telegram #павелдуров #приватность #ностр

Основной контекст драмы, если кто пропустил:

https://youtu.be/1Yq_5aDdJ24

https://youtu.be/qjPH9njnaVU

https://youtu.be/bxFQvOyTolg