Ռուսաստանում պարտադիր դարձած «Max» մեսենջերն ավելի շատ հիշեցնում է թվային վերահսկողության համակարգ, քան անվտանգ հաղորդակցության միջոց։
2025 թ․ սեպտեմբերին «Max»-ը (մշակված VK Group-ի կողմից) դարձավ պարտադիր նախատեղադրվող հավելված Ռուսաստանում վաճառվող բոլոր սմարթֆոնների ու պլանշետների համար։ Դրան զուգահեռ հետևողականորեն սահմանափակվեցին այլընտրանքները․ Signal-ն արգելափակվեց 2024 թ․ օգոստոսին, WhatsApp-ը՝ 2026 թ․ փետրվարին, Telegram-ը 2026 թ․ մարտից ենթարկվում է զանգվածային արգելափակումների։ Ավելին, թե՛ Ռուսաստանում, թե՛ Ուկրաինայի օկուպացված տարածքներում «Max»-ն ավելի ու ավելի հաճախ է պահանջվում պետական ծառայություններից օգտվելու համար՝ ընդհուպ մինչև երեխային դպրոց ընդունելը։
Հավելվածը հատուկ նախագծված է արտաքին տեխնիկական ուսումնասիրությունները բարդացնելու համար․ այն աշխատում է փակ, սեփական արձանագրությամբ, որը պաշտպանված է ռուսական պետական ծածկագրմամբ՝ ՌԴ Դաշնային անվտանգության ծառայության (ԴԱԾ, ФСБ) լիցենզիա ունեցող ընկերության մշակմամբ։ Ավելին, հավելվածն ինքնաբերաբար անջատվում է՝ հայտնաբերելով վերլուծության գործիքներ, իսկ սերվերների հասցեները պահում է ոչ թե ընթեռնելի տեքստով, այլ քողարկված թվային տեսքով։ Նախորդ հետազոտողները կարողանում էին տեսնել կա՛մ կոդը, կա՛մ այն սերվերները, որոնց հետ կապվում է հեռախոսը, բայց ոչ փոխանցվող բովանդակությունը։ Այնուամենայնիվ, InterSecLab կազմակերպության հետազոտողներին հաջողվել է վերլուծել հավելվածի աշխատանքը՝ որսալով տվյալներն անմիջապես հավելվածի ներսում՝ ծածկագրվելուց մեկ ակնթարթ առաջ։ Ուսումնասիրվել է Android-ի համար նախատեսված 26.12.0 տարբերակը 2026 թ․ մարտից մայիս ընկած ժամանակահատվածում, և յուրաքանչյուր դիտարկում ստուգվել է այն ծրագրային կոդի հետ, որն առաջացնում է տվյալ վարքագիծը։
Ի՞նչ են բացահայտել հետազոտողները
InterSecLab-ի հետազոտության տվյալներով՝ «Max» հավելվածն ունի հետևյալ տեխնիկական առանձնահատկություններն ու ռիսկերը․
- Ծայրից ծայր ծածկագրման (E2EE) բացակայություն․ ցանցով փոխանցվելիս տվյալները ծածկագրվում են, սակայն միայն մինչև VK-ի սերվերները, որտեղ յուրաքանչյուր հաղորդագրություն ընթեռնելի է։ Հետազոտողները որսացել են հաղորդագրությունը բաց տեքստով հենց այն պահին, երբ «Max»-ն այն փոխանցում էր ծածկագրման գրադարանին։ Հավելվածն առհասարակ չունի ռեժիմ, որը բովանդակությունը կպաշտպաներ օպերատորից։
- Կառավարում սերվերից՝ առանց թարմացման․ VK-ն իր սերվերից կարող է փոխել հավելվածի գործառույթները առանձին հաշվի կամ հաշիվների խմբի համար՝ միացնել ցանցային ստուգումներ, VPN-ի հայտնաբերում, ձայնային հաղորդագրությունների տառադարձում, ընդլայնված լոգավորում, փոխել այն ծառայությունների ցանկը, որոնց փոխանցվում է օգտատիրոջ ինքնությունը։ Այս ամենը տեղի է ունենում առանց թարմացման և առանց էկրանին որևէ ազդանշանի։ Արդյունքում նույն օրը նույն տարբերակն օգտագործող երկու մարդ իրականում կարող են աշխատել բոլորովին տարբեր հավելվածներով՝ առանց դա իմանալու։ Հետազոտողներն այն համարում են զեկույցի ամենակարևոր տեխնիկական փաստը։
- Ցանցային միջավայրի մասին հաշվետվություն և VPN-ի հայտնաբերում․ համապատասխան կարգավորումը միացված լինելու դեպքում հավելվածը ամեն անգամ բացվելիս կամ ֆոնային ռեժիմ անցնելիս մինչև վեց արտաքին ծառայությունների միջոցով պարզում է սարքի հանրային IP հասցեն, ստուգում VPN-ի առկայությունը, կարդում բջջային օպերատորի տվյալները և ստուգում՝ արդյոք հասանելի են մի շարք ինտերնետային ծառայություններ (այդ թվում՝ «Госуслуги» պետական պորտալը)։ Ամբողջ տեղեկատվությունը մեկ հաշվետվությամբ ուղարկվում է VK-ին։ Հայտնաբերվել է նաև երկրորդ՝ թաքնված ալիք, որը սերվերից ստանում է հասցեների անսահմանափակ ցանկ և դրանք ստուգում օգտատիրոջ սարքից։ VPN հայտնաբերելիս «Max»-ը դադարում է աշխատել. փորձարկման ժամանակ հաղորդագրությանը պատասխանելու փորձն ավարտվել է ամբողջ էկրանը ծածկող պահանջով՝ անջատել VPN-ը, առանց այն շրջանցելու հնարավորության։
- Հեռախոսագրքի ամբողջական վերբեռնում․ հավելվածում գրանցվելիս օգտատիրոջ ամբողջ հեռախոսագիրքը՝ անուններն ու դրանց համապատասխանող համարները, բաց տեքստով ուղարկվում է VK-ի սերվերներին։ Հակառակ նախկինում տարածված պնդման՝ համարները չեն հեշավորվում. կոդի այն հատվածը, որը համարվում էր հեշավորում, իրականում պարզապես միասնականացնում է համարների ձևաչափը։
- Օնլայն կարգավիճակի հետևում․ ցանկացած ոք կարող է որոնել «Max»-ում գրանցված ցանկացած հեռախոսահամար. սերվերը վերադարձնում է հաշվի նույնացուցիչը, ցուցադրվող անունը և ստեղծման ժամանակը՝ առանց կոնտակտային կապի պահանջի և առանց որոնվողին ծանուցելու։ Ավելին, ընդամենը 1,2 վայրկյան անց VK-ի սերվերները սկսել են որոնողին իրական ժամանակում փոխանցել որոնված անձի օնլայն կարգավիճակը և շարունակել են դա անել ավելի քան 15 րոպե։
- Բովանդակության վերլուծություն սերվերում․ յուրաքանչյուր տեքստային հաղորդագրություն ուղեկցվում է նշիչով, որը սերվերին հրահանգում է ստուգել դրանում առկա հղումներն ու կիսված բովանդակությունը։ Ձայնային հաղորդագրությունները տառադարձվում են VK-ի սերվերներում, ոչ թե սարքում։ Իսկ զանգերի ժամանակ, ըստ կոդի, կենդանի ձայնն ուղղվում է սարքում աշխատող մոդելի, որը VK-ն մատակարարում է իր սերվերներից և կարող է փոխարինել առանց թարմացման։
Կարևոր վերապահում — Հետազոտությունը նկարագրում է, թե ինչ կարող է անել «Max»-ը, բայց չի պնդում, որ VK-ն կամ ռուսական որևէ պետական մարմին այդ հնարավորություններն արդեն կիրառել է կոնկրետ անձի դեմ. նման ապացույցներ չեն հավաքվել։ Որոշ վտանգներ էլ հերքվել են. օրինակ՝ սարքում տեղադրված բոլոր հավելվածների ցանկը կազմելու ունակ բաղադրիչն ուսումնասիրված տարբերակում այդպես էլ չի գործարկվել։ Սակայն արդյունքները մեկ տարբերակի «լուսանկար» են. այն, ինչ հետազոտողների հաշիվների համար «քնած» էր, վաղը կարող է ակտիվացվել մեկ այլ օգտատիրոջ համար, և նա դա չի էլ նկատի։
Գործնական խորհուրդներ․ ինչպե՞ս պաշտպանվել
Եթե ձեր աշխատանքի կամ իրավիճակի բերումով ստիպված եք օգտագործել «Max» հավելվածը, հետևեք անվտանգության այս կանոններին։ Միայն հիշեք՝ դրանցից ոչ մեկը չի պաշտպանում հաղորդագրությունների բովանդակությունը, որը VK-ն ամեն դեպքում կարող է կարդալ․
- Մի՛ փոխանցեք զգայուն տեղեկատվություն․ երբեք մի՛ օգտագործեք «Max»-ն անձնական, ֆինանսական կամ աշխատանքային գաղտնի տվյալներ փոխանցելու համար։ Ենթադրեք, որ VK-ն կարող է կարդալ այն ամենը, ինչ ուղարկում եք այս հավելվածով։
- Կարգավորեք VPN-ը երթուղիչի (router) մակարդակում․ «Max»-ը VPN-ը փնտրում է միայն հենց սարքում, ուստի երթուղիչում կարգավորված VPN-ը չի հայտնաբերվում։ Այսպես կարող եք միաժամանակ օգտվել թե՛ «Max»-ից, թե՛ արգելափակումները շրջանցող գործիքներից։
- Մեկուսացրեք հավելվածը․ հնարավորության դեպքում «Max»-ը տեղադրեք Android-ի առանձին աշխատանքային պրոֆիլում (Work Profile)՝ օրինակ՝ Shelter կամ Island հավելվածների օգնությամբ, կամ պետական ծառայությունների համար պահեք առանձին, պահեստային հեռախոս։
- Սահմանափակեք թույլտվությունները․ մի՛ տրամադրեք հավելվածին տեսախցիկի, խոսափողի, տեղորոշման (GPS) և հատկապես կոնտակտների հասանելիություն, եթե դա խիստ անհրաժեշտ չէ. կոնտակտների թույլտվության դեպքում ձեր ամբողջ հեռախոսագիրքը կուղարկվի VK-ին։