¡Bienvenido!

Al registrarte con nosotros, podrás discutir, compartir y enviar mensajes privados con otros miembros de nuestra comunidad.

¡Regístrate ahora!

¿Porque Todus no es de Codigo Abierto?

Soma Kurusu's iconSoma Kurusu

Lord of Darkness
Administrador
Mensajes
6,949
Puntos de reacción
18,275
Hoy estada hablando con alguien por whatsapp (XD) y tocamos el tema de que la política estatal es migrar a lo Open Source, en otros temas llegamos a la conclusión de que no se está haciendo lo suficiente, pero la cuestión es esta: ¿Por qué el Todus no es de código abierto? ¿Por qué no ponen el código en algún repositorio para que todas las personas lo podamos auditar? ¿No sería mejor que toda cuba pudiese aportar en la aplicación?
 
Hoy estada hablando con alguien por whatsapp (XD) y tocamos el tema de que la política estatal es migrar a lo Open Source, en otros temas llegamos a la conclusión de que no se está haciendo lo suficiente, pero la cuestión es esta: ¿Por qué el Todus no es de código abierto? ¿Por qué no ponen el código en algún repositorio para que todas las personas lo podamos auditar? ¿No sería mejor que toda cuba pudiese aportar en la aplicación?
WhatsApp no es de codigo abierto . Y si lo era ya no ... Pues q existan unas X cantidad de app q son como mods de WhatsApp no quiere decir q sean abierto . Q yo conosca la única app código abierto q usamos muchos los cubanos es el Telegram .. y a los de la UCI ni a ETECSA le cuadra mucho q un cubano q este pro programando cosa su app para hacerle lo q ellos quieran... Yo soy partidario de q por el todus nos están revisando cada sms q enviamos o cada multimedia .. y si es así no creo q ellos quieran q un programador cifre todo eso ... Saludos y es mi opinión .
 
WhatsApp no es de codigo abierto . Y si lo era ya no ... Pues q existan unas X cantidad de app q son como mods de WhatsApp no quiere decir q sean abierto . Q yo conosca la única app código abierto q usamos muchos los cubanos es el Telegram .. y a los de la UCI ni a ETECSA le cuadra mucho q un cubano q este pro programando cosa su app para hacerle lo q ellos quieran... Yo soy partidario de q por el todus nos están revisando cada sms q enviamos o cada multimedia .. y si es así no creo q ellos quieran q un programador cifre todo eso ... Saludos y es mi opinión .
eso es algo que estaba discutiendo con alguién en un privado, no creo que se almacene nada, no soy tan fan de las teorias de la conspiración y si la infraestructura no es la mejor del mundo no se me ocurre una razón por la que quieran guardar semejante cantidad de multimedia, lo mismo con los mensajes, no se si todus sea punto a punto, creo que no porque con lo de el Http Canary se demuestra que no hay tanta encriptación pero de ahí a leer todas las conversaciones , mmm, no sé ?
 
la única app código abierto q usamos muchos los cubanos es el Telegram
ERROR, disculpa si te corrijo... Telegram no es completamente de código abierto, su app es lo único open source porque sus servidores son privativos. Igual la gente está muy equivocada con el foss, te voy a poner como ejemplo a Signal, es de código abierto cliente-servidor y sí, es cierto que si sabes de programación, etc, etc, puedes auditar el código para saber si existe alguna injerencia, peroooo.... tú como usuario de Signal ¿puedes verificar el estado de sus servidores?, ¿puedes ver si el código fuente no ha sido modificado?, la triste realidad es que ¡NO!.

No puedes estar seguro de que ese servidor no es modificado silencionamente por 3ras partes o los mismos devs, no hay forma de saberlo y entonces tienes que confiar en ellos. ¿Que curioso que siendo foss nadie monte un server de Signal alternativo a los oficiales?, ¿que curioso que Moxie no esté deacuerdo en utilizar forks que no sean la app original?. Ahora sacaron el cliente Molly y hay mucha gente por ahí dando perretas....

Mira yo en lo personal paso, esa falsa promesa de seguridad y llena de marketing no va conmigo, jamás usaría Signal. Un servicio que opera bajo servidores AWS y bajo la jurisdicción de los EEUU que en cualquier momento puede llegarles una national security letter de la NSA. Creo que me fui un poco del tema que era realmente sobre ToDus pero es para que comprendan que si no puedes hostear tus propios servicios open source al final tendrás que confiar en terceras partes y no hay manera de verificar que lo que está alojado en el servidor es el código original.
 
ERROR, disculpa si te corrijo... Telegram no es completamente de código abierto, su app es lo único open source porque sus servidores son privativos. Igual la gente está muy equivocada con el foss, te voy a poner como ejemplo a Signal, es de código abierto cliente-servidor y sí, es cierto que si sabes de programación, etc, etc, puedes auditar el código para saber si existe alguna injerencia, peroooo.... tú como usuario de Signal ¿puedes verificar el estado de sus servidores?, ¿puedes ver si el código fuente no ha sido modificado?, la triste realidad es que ¡NO!.

No puedes estar seguro de que ese servidor no es modificado silencionamente por 3ras partes o los mismos devs, no hay forma de saberlo y entonces tienes que confiar en ellos. ¿Que curioso que siendo foss nadie monte un server de Signal alternativo a los oficiales?, ¿que curioso que Moxie no esté deacuerdo en utilizar forks que no sean la app original?. Ahora sacaron el cliente Molly y hay mucha gente por ahí dando perretas....

Mira yo en lo personal paso, esa falsa promesa de seguridad y llena de marketing no va conmigo, jamás usaría Signal. Un servicio que opera bajo servidores AWS y bajo la jurisdicción de los EEUU que en cualquier momento puede llegarles una national security letter de la NSA. Creo que me fui un poco del tema que era realmente sobre ToDus pero es para que comprendan que si no puedes hostear tus propios servicios open source al final tendrás que confiar en terceras partes y no hay manera de verificar que lo que está alojado en el servidor es el código original.
Pues parece q sabes bien del tema pues solo opinaba respecto a lo q cree y tenía entendido jaja y sobre Telegram no sé muy bien si es completamente abierto o no... Parece q estás bien informado de esto . Saludos ..
 
Hace unos días busque en Google "Etecsa espía mis conversaciones? " Y convenientemente no me dejaba abrir la página ,las demás q hablaban otras noticias de WhatsApp si, pero la q busque yo no abría .Se me ocurrió poner VPN y magicamente si puede abrir el enalse está ves ,eso da q pensar no es así ?
 
A Dante: no es que te espíen a tí específicamente jeje, claro si eres una persona de interés para ellos como por ejemplo un periodista independiente ahí ya es otro cuento, (esto no es secreto para nadie) se sabe que tienen sus comunicaciones interceptadas, incluso en cualquier país lo hacen.

Lo que sucedió en el caso de querer leer el artículo y no podías acceder a la página es sencillo, seguro era una de esas que ETECSA tiene en sus blacklist (listas negras) sea por el motivo que sea, esto es normal, todos los países tienen listas negras. Por ejemplo https://www.nomegustael2gdeetecsa.com nota que esta web no existe la pongo como ejemplo para que me entiendas, supón que a ETECSA no le gusta la web y la pone en lista negra (la bloquea por IP y DNS) entonces ya no puedes acceder. Al usar una VPN burlas esta restricción porque es como si sustituyeras a tu isp (en este caso ETECSA) por otro y la conexión inicial solo la utilizas de puente. En otras palabras cuando usas una red privada virtual (vpn) tu proveedor de internet puede saber que te conectas a una vpn pero no sabe qué páginas estás viendo o que servicios estás utilizando dentro de esa red.

A Geminis: tampoco creo que en Todus estén espiando cada mensaje o multimedia enviada, aunque no aseguro nada (mejor andarse con cautela), pero he visto cosas que han publicado en grupos de Todus que es mejor ni mencionar, cosas que fácilmente te ganarías un espacio cuadrado con rejas por delante. Pero que nadie se haga el loco porque pueden pasar un buen sustico un día de estos.

Volviendo al tema, de nada sirve que el Todus sea de código abierto cuando no puedes verificar que el código fuente sea el mismo que corren sus servidores, aunque sí sería (al menos) un alivio que hicieran open source su app. Tampoco tiene mucha gracia que en caso de hacerlo completamente foss cliente-servidor no puedas montarte tu propio server en un VPS de ETECSA porque estarías violando sus términos de servicio. Además, ¿para qué Todus? cuando existen soluciones como XMPP que es completamente foss y soporta varios addons XEP.

Saludos a todos ? .
 
A ver, el problema en si no es la app, ya que ser Android tu si puedes entrar dentro y ver todo el codigo, incluso la puedes modificar (todus (alpha), toDus +, etc) eso no es lo importante. Así que en parte la app no importa, el problema es como dice Rob32t_fck no puedes saber lo que hacen en sus servidores. Pero ahora:
¿No sería mejor que toda cuba pudiese aportar en la aplicación?
Bueno ya eso es otra cosa, personalmente pienso que el toDus esta en el estado que está, no por los desarrolladores sino por los que le pagan a loa desarrolladores, creo que no es negocio que la app explote y sea lo que tiene pensado hacer, porque creeme son algunas cosas lo que le falta, y dejaria de lado a whatsapp y Telegram en Cuba, pero pienso así hasta que alguien me demuestre los contrario, porque mira que se le critica a esa gente, y no hay nada de cambios.
 
Yo lo que no entiendo de todus es que si ya este tipo de aplicaciones está inventada y quemada hace rato porque nosostros no somos capaces de hacer una que valga la pena si eso no es cosa nueva en el mundo, de madre somos capaces de ser el único país 3er mundista con un candidato vacunal contra la covid y no somos capaces de hacer una aplicación de mensajería instantánea eso deja mucho que pensar sobre los desarrolladores
 
Yo lo que no entiendo de todus es que si ya este tipo de aplicaciones está inventada y quemada hace rato porque nosostros no somos capaces de hacer una que valga la pena si eso no es cosa nueva en el mundo, de madre somos capaces de ser el único país 3er mundista con un candidato vacunal contra la covid y no somos capaces de hacer una aplicación de mensajería instantánea eso deja mucho que pensar sobre los desarrolladores
El problema es que aunque seamos capaces de desarrollar una app de mensajería mejor que toDus, no serviría de nada porque está prohibido montar este tipo de servicios en la red nacional.
 
Muy bien dicho, es incorrecto pensar en que la culpa de la calidad del toDus es de los desarrolladores tenemos que recordar que el toDus es privativo aunque no se reconozca oficialmente, corren en los servidores de Etecsa y prácticamente le pertenece a Etecsa xq la que se gana un dólar por persona mensualmente para usarlo es Etecsa, hasta hace un par de años el servicio de MMS era gratis y el toDus al principio también lo era de hecho lo es todavía, pero Etecsa vio el potencial de monetizar los MMS y la Mensajería asíncrona como tal del toDus y empezó a meter lo de la bolsa Nauta para poder acceder al servicio. El toDus no va a ser software libre nunca para que no puedas meter la cucharita, para que no veas lo que pasa detrás del telón, muy probablemente vean todo nuestros datos no lo dudó de hecho si te fijas eso bien podría ser la lentitud de sus servers(algún desvío de datos a terceros quien sabe), los desarrolladores me dan lástima sabes Dios cuantas estupideces y burocracia tienen que aguantar para complacer a los de arriba. Lo otro que no va a pasar es que un cubano así un pro en programación monte su propia app de mensajería sea usando el toDus y otro programa como base por el simple hecho de que Etecsa no quiere competencia y uno se da cuenta de ello por el hecho de que una de las prohibiciones de los server que ofrecen es que no se pueden montar app de chat o Mensajería, y lo mismo están intentando ahora con el Picta asqueroso ese montar un YouTube y jodernos a todos así de simple y que a nadie se le ocurra querer montar un plataforma de Streaming en sus server que el sabotaje que te meten será espectacular. En fin vivimos en un país socialista donde hay monopolios gubernamentales que para el colmo dan pésimo servicio.
ERROR, disculpa si te corrijo... Telegram no es completamente de código abierto, su app es lo único open source porque sus servidores son privativos. Igual la gente está muy equivocada con el foss, te voy a poner como ejemplo a Signal, es de código abierto cliente-servidor y sí, es cierto que si sabes de programación, etc, etc, puedes auditar el código para saber si existe alguna injerencia, peroooo.... tú como usuario de Signal ¿puedes verificar el estado de sus servidores?, ¿puedes ver si el código fuente no ha sido modificado?, la triste realidad es que ¡NO!.

No puedes estar seguro de que ese servidor no es modificado silencionamente por 3ras partes o los mismos devs, no hay forma de saberlo y entonces tienes que confiar en ellos. ¿Que curioso que siendo foss nadie monte un server de Signal alternativo a los oficiales?, ¿que curioso que Moxie no esté deacuerdo en utilizar forks que no sean la app original?. Ahora sacaron el cliente Molly y hay mucha gente por ahí dando perretas....

Mira yo en lo personal paso, esa falsa promesa de seguridad y llena de marketing no va conmigo, jamás usaría Signal. Un servicio que opera bajo servidores AWS y bajo la jurisdicción de los EEUU que en cualquier momento puede llegarles una national security letter de la NSA. Creo que me fui un poco del tema que era realmente sobre ToDus pero es para que comprendan que si no puedes hostear tus propios servicios open source al final tendrás que confiar en terceras partes y no hay manera de verificar que lo que está alojado en el servidor es el código original.
 
tú como usuario de Signal ¿puedes verificar el estado de sus servidores?, ¿puedes ver si el código fuente no ha sido modificado?, la triste realidad es que ¡NO!.
Modificar el código fuente no afecta a los binarios ya construidos.
No puedes estar seguro de que ese servidor no es modificado silencionamente por 3ras partes o los mismos devs, no hay forma de saberlo y entonces tienes que confiar en ellos.
Mira yo en lo personal paso, esa falsa promesa de seguridad y llena de marketing no va conmigo, jamás usaría Signal. Un servicio que opera bajo servidores AWS y bajo la jurisdicción de los EEUU que en cualquier momento puede llegarles una national security letter de la NSA.
Dado que Signal es un protocolo (es abstracto; no está en ningún lugar físico), asumo que te estás refiriendo a WhatsApp (servicio brindado por una compañía de USA).
De cualquier modo es irrelevante: cifrado extremo a extremo. ECDH se puede romper (en teoría) con una computadora cuántica (es por eso que se están investigando otros intercambios de clave como SIKE y SIDH), pero el mejor ataque contra AES256 publicado hasta ahora tiene una complejidad de 2**99.5 en tiempo.
 
E277:
Creo que no me entendiste, me refería a Signal la app en sí, el servicio (no el protocolo)... sobre el cifrado extremo a extremo olvídate de ese chisme, el proveedor de email Tutanota lo utiliza y hace poco las autoridades alemanas pidieron un backdoor para acceder al mailbox de un usuario (un chantajista), el equipo tuvo que acceder a la petición de los servicios de inteligencia, que te quiero decir con esto.... si eres un dolor de cabeza para LEA (law enforcement agencies), el cifrado e2e en ciertas circunstancias no va a salvarte.

WhatsApp de hecho utiliza el protocolo de Signal, pero... ¿realmente crees que tus comunicaciones en esa app son seguras?, de cierta forma lo son pero, ¿hasta que punto?.... jajaja hay que ser muy inocente para creerse tal aberración, WhatsApp está intervenido por LEA hasta la madre, digo más, hay veces que no es necesario ni un backdoor en un servicio porque los metadatos hablan por sí solos.
 
WhatsApp no es de codigo abierto . Y si lo era ya no ... Pues q existan unas X cantidad de app q son como mods de WhatsApp no quiere decir q sean abierto . Q yo conosca la única app código abierto q usamos muchos los cubanos es el Telegram .. y a los de la UCI ni a ETECSA le cuadra mucho q un cubano q este pro programando cosa su app para hacerle lo q ellos quieran... Yo soy partidario de q por el todus nos están revisando cada sms q enviamos o cada multimedia .. y si es así no creo q ellos quieran q un programador cifre todo eso ... Saludos y es mi opinión .
Creeme si fuera el caso hubiesen muchos presos :v las cosas que he visto en todus no se ve ni en la deep web :l
 
Yo lo que no entiendo de todus es que si ya este tipo de aplicaciones está inventada y quemada hace rato porque nosostros no somos capaces de hacer una que valga la pena si eso no es cosa nueva en el mundo, de madre somos capaces de ser el único país 3er mundista con un candidato vacunal contra la covid y no somos capaces de hacer una aplicación de mensajería instantánea eso deja mucho que pensar sobre los desarrolladores
Eso no es culpa de los desarrolladores, nadie hace nada para que tenga problemas y errores, eso es una de las señales de que los que le pagan a los desarrolladores no le interesa toDus ni su calidad, aunque le hagan 1000 entrevistas y digan lo contrario.


Creo que no me entendiste, me refería a Signal la app en sí, el servicio (no el protocolo)... sobre el cifrado extremo a extremo olvídate de ese chisme, el proveedor de email Tutanota lo utiliza y hace poco las autoridades alemanas pidieron un backdoor para acceder al mailbox de un usuario (un chantajista), el equipo tuvo que acceder a la petición de los servicios de inteligencia, que te quiero decir con esto.... si eres un dolor de cabeza para LEA (law enforcement agencies), el cifrado e2e en ciertas circunstancias no va a salvarte.
A ver el caso que pones es normal, y creo (no puedo afirmar nada, porque desconozco del tema) que toda empresa en este tipo de casos tiene que aceptar dar toda la información necesaria cuando se hace una investigación, vaya que hasta demandarlos pueden y ir hasta prisión si se niegan. Así que por esa parte no hay nada seguro.
 
sobre el cifrado extremo a extremo olvídate de ese chisme, el proveedor de email Tutanota lo utiliza y hace poco las autoridades alemanas pidieron un backdoor para acceder al mailbox de un usuario (un chantajista), el equipo tuvo que acceder a la petición de los servicios de inteligencia, que te quiero decir con esto....
De verdad estás usando SMTP/IMAP/POP3/lo-que-sea (que no son end-to-end) para validar tu argumento de que Signal no es seguro?

Vamos a ver:
Se usa la clave pública del servidor durante el handshake; por lo tanto el servidor conoce el contenido de la transmisión (y debe conocerlo para poder recibir los comandos), además, cuando envías un e-mail, el contenido del mensaje se envía en texto claro (a menos que lo encriptes tú mismo (PGP?)) y no hay forma de impedir que el servidor almacene una copia.
E2E (en el caso del protocolo Signal) significa que los mensajes se envían encriptados (AES256) usando una clave de sesión derivada de la clave privada del remitente y la clave pública del destinatario (véase criptografía asimétrica, específicamente ECDH). El destinatario, al recibir el mensaje deriva la misma clave usando su clave privada y la clave pública del remitente. Las claves privadas no se almacenan en el servidor. Tanto AES como ECDH son algoritmos ya probados.
(He omitido ciertos detalles en esta explicación para no complicar mucho las cosas.)

Pero ya que insistes en que E2E no es seguro, porqué no lo demuestras? Dinos cómo un atacante sería capaz de romperlo (side-channel attacks no cuentan), ya que hasta ahora sólo has estado haciendo afirmaciones débiles (que por su gravedad requieren al menos una referencia) y aludiendo a cosas no relacionadas cuando conviene (non-sequitur).
 
A ver la idea es muy buena de que sea código abierto pero al final que ganan con eso? si al final una aplicación la puede hacer cualquiera que sepa, el problema está en que etecsa te la avale y de ahí todo lo demás. No digo que Todus aya sido una gran idea cubana pero como apk no cumple sus funciones.
 
De verdad estás usando SMTP/IMAP/POP3/lo-que-sea (que no son end-to-end) para validar tu argumento de que Signal no es seguro?

Vamos a ver:
Se usa la clave pública del servidor durante el handshake; por lo tanto el servidor conoce el contenido de la transmisión (y debe conocerlo para poder recibir los comandos), además, cuando envías un e-mail, el contenido del mensaje se envía en texto claro (a menos que lo encriptes tú mismo (PGP?)) y no hay forma de impedir que el servidor almacene una copia.
E2E (en el caso del protocolo Signal) significa que los mensajes se envían encriptados (AES256) usando una clave de sesión derivada de la clave privada del remitente y la clave pública del destinatario (véase criptografía asimétrica, específicamente ECDH). El destinatario, al recibir el mensaje deriva la misma clave usando su clave privada y la clave pública del remitente. Las claves privadas no se almacenan en el servidor. Tanto AES como ECDH son algoritmos ya probados.
(He omitido ciertos detalles en esta explicación para no complicar mucho las cosas.)

Pero ya que insistes en que E2E no es seguro, porqué no lo demuestras? Dinos cómo un atacante sería capaz de romperlo (side-channel attacks no cuentan), ya que hasta ahora sólo has estado haciendo afirmaciones débiles (que por su gravedad requieren al menos una referencia) y aludiendo a cosas no relacionadas cuando conviene (non-sequitur).

Aunque la verdad me interesa el tema que estan abordando tu y Rob32t_fck, pero se estan desviando del tema original del tema, les recomiendo que creen otro sobre eso, y hasta yo me paso, porque me gustaría aprender.
 
Mal, mal, mal y mal.... sigues sin entender mi punto. En ningún momento dije que el cifrado E2E no fuese seguro, te falta comprensión de lectura, lee este tema desde el principio e interioriza porque metí en el potaje a Signal cuando estamos hablando de Todus, me darás la razón. Claro, si llegas a comprender lo que trato de decir.

Si deseas podemos charlar en privado para no hacer offtopic, activaré la recepción de mp.

A la administración: perdonen que nos desvíamos del tema central. Saludos ?.
 
Atrás