Как файлообменники воруют ваши данные

Многим может показаться странным тот факт, что файлообменники востребованны как сервисы. Большинство моих знакомых ими не пользуются, потому что современные мессенджеры практически полностью заменяют их. Если вы тоже ими не пользуетесь и думаете что это не востребованная услуга, то я покажу вам метрику similarweb трех основных отечественных файлообменных сервисов ориентированных на анонимность (gekkk, anopic, turbo):

Удивлены? Три наиболее узнаваемых сервиса обмена файлами (гекко, анопик и турбо) ориентированные на анонимность суммарно в месяц имеют 1,5 млн уникальных посетителей. Отдельно обращаю внимание, что все эти сервисы ориентированы на пользователей из даркнета и следовательно прекрасно понимают какой контент и какое содержимое заливают к ним пользователи. При этом, если расширить наш взгляд на подобные сервисы и посмотреть на это не со стороны даркнет юзера, то мы увидим, что ни один из вышеуказанных сервисов не является топовым.
Давайте снова обратимся к similarweb и посмотрим на то, кто вообще входит в ТОП сайтов по тематике File Sharing and Hosting:

Абсолютное большинство этих сайтов являются полностью законными и соблюдают местное законодательство. Исключением тут является только проект находящийся на 35 месте, это сайт под названием anonfiles.com и его трафик составляет 18 млн уникальных посетителей в месяц. В настоящее время этот домен продается.

А сайты из ТОП 10 суммарно имеют трафик более миллиарда уникальных посетителей. Таким образом можно однозначно констатировать тот факт, что услуги подобных сервисов максимально востребованны. Но когда речь заходит о применении файлообменных сервисов в даркнете, то к ним применяется ряд особых требований, основное из которых можно озвучить как:
"Никто кроме отправителя и получателя не должен иметь доступа к файлам".
Когда мы формулируем это правило, мы говорим и о администраторе файлообменного сервиса. Но в реалиях сегодняшнего дня все файлообменные сервисы ориентированные на даркнет и которыми пользуются в нашей стране предоставляют доступ к файлам не только отправителю и тому, кто имеет ссылку на документ, но и самим себе и как следствие вашему провайдеру, хостеру на котором размещен файлообменник. И мы это докажем.

Вот так выглядят хвосты URL адресов для доступа к файлам на файлообменниках

Любые обращения к подобным URL могут логироваться хостером, 100% логируются провайдером владельцем сервиса. Кроме самого URL всегда логируется ip адрес с которого к нему обращаются. Этих знаний достаточно, чтобы утверждать, что сервисы видят все что к ним загружается и могут это просматривать в любое удобное время. В этом нет ничего плохого или необычного, если бы речь шла о легальных сервисах, которые отслеживают соблюдение законодательства. Но когда речь идет о не самых законных основаниях использования, а также принимая тот факт, что мы ничего не знаем о том кто этими сервисами владеет, то это снижает уровень доверия.

Будут ли администраторы использовать документы передаваемые по их серверам в своих целях или нет? - Мы не знаем, но мы точно знаем как решить проблему доверия.

Следующие принципы лежат в основе безопасного и анонимного обмена файлами:
-Отсутствие регистрации (sms, email);
-Шифрование/дешифрование на стороне клиента;
-Удаление Exif.
Именно так мы ставили перед собой задачу создавая наш сервис обмена файлами. Файлы, загружаемые в наш файлообменник, шифруются интерфейсом WebCrypto с алгоритмом AES-CBC с ключом 128 бит и IV размером 16 байт перед отправкой на сервер. Перед шифрованием специальный алгоритм делает всё возможное, чтобы удалить метаданные из ваших файлов (например, EXIF-метадату из изображений jpeg). Ни администратор сервера, ни man-in-middle, ни ISP, ни другой пользователь не сможет увидеть данные внутри файла без ключа дешифрования, выглядещего как base64 в URL-фрагменте адресной строки (он же hash). Хэш не передается по сети и доступен лишь на клиент-сайд веб-страницы, поэтому ключ дешифрования никогда не покидает ваше устройство.

URL загруженных на наш сервис файлов выглядит следующим образом:

https://rulook.net/files/yMaCPue8hU4T#/qKHv+CoWaH0qGLIbC4CqVMYIBCPMHgLcMgsnC0M8TM= , где:

Важно понимать что всё что идет после # не передается браузером на сервер, согласно стандарту HTTP, то есть ни cloudflare, ни ISP, и никто другой не могут получить приватный ключ, а вот веб-страница и javascript этот ключ видят и с помощью него пытаются расшифровать файл, полученный с сервера. Это так называемая "якорная ссылка". Даже в нашей собственной метрике мы не в состоянии увидеть полный URL документа, у нас он отображается только до #, и выглядит так:

Мы по этой ссылке можем увидеть только системное сообщение, точно также как и любой другой пользователь. Потому что без ключа дешифровки открыть файл невозможно.

Поскольку файлы шифруются перед загрузкой, то даже мы, будучи владельцами сервиса, не можем получить доступ к документам которые загружены на наши сервера. Даже если сервера будут изъяты, то файлы никто не сможет расшифровать. Вы можете убедиться в том, что файлы шифруются перед загрузкой открыв вкладку Network в окне разработчика вашего браузера.

Недостаточно быть только безопасным и анонимным

Учитывая достаточно большое разнообразие аналогичных сервисов, мы точно понимали что недостаточно решить проблему доверия, надо предоставить дополнительные стимулы для использования нашего сервиса.

- Вкладка "мои файлы". Она доступна только в том браузере, через который документы были загружены. Отсюда вы можете смотреть сколько раз файлы были просмотрены/скачены. Когда документ загружен и когда он удалится с сервера. Тут же его можно удалить моментально, если он залит по ошибке.

Не менее важна и особенность импорта и экспорта данных с localStorage. Если вам надо перенести все данные в другой браузер, то просто нажмите экспорт, скопируйте текст и вставьте его нажам "импорт" в другом браузере. После чего все данные будут синхронизированы.

- Приятным дополнением также будет и возможность заработать на кофе. Всё что вам надо просто пользоваться нашим сервисом. Мы будем платить по 3 рубля за каждого уникального посетителя. Почитайте полную информацию о партнерской программе.

- Достаточно большой срок хранения данных:
файлы размером от 0 до 50МБ могут храниться до 150 дней,
файлы размером от 50МБ до 100МБ могут храниться до 50 дней,
файлы размером более 100МБ загрузить нельзя

- Нет необходимости скачивать документы, большинство типов файлов можно посмотреть онлайн через функцию предпросмотра. Вы сможете смотреть онлайн изображения, видео и даже exel документы.

На сервис надейся, но сам не плошай

Мы сделали очень качественный и надежный сервис, но вы не должны расчитывать только на него. Всегда используйте VPN или TOR браузер. Пользуйтесь нашим сервисом обмена файлов и зарабатывайте на этом.

Если хотите оставить отзыв, замечание, пожелание по нашему файлообменному сервису, присоединяйтесь к нам в mastodon и напишите пост под хештегом #файлообменник