сравните объем кода и сколько времени, и специалистов какого уровня потребовалось для аудита ТруеКрипт, и сколько времени и кто конкретно потратил на проверку Макса
Как человек не чужой в сфере ИТ, могу по этому поводу добавить следующие соображения (не в пользу Макса):
1. У TrueCrypt аудит занял много времени при том, что исходный код приложения был открыт. У Макса он не только закрыт, но и обфусцирован, что затрудняет его анализ.
2. Все "исследования" и "проверки" Макса, которые наплодили по горячим следам, больше фокусируются на "обёртке приложения", а именно android-манифесте (это где указываются все доступные приложению разрешения, поэтому их уже обсудили со всех точек зрения и сравнили с конкурентами). Основное ядро приложения остаётся не исследованным, а там как раз много интересного:
2а. Библиотека myTracker, которая вообще говоря создавалась для максимизации дохода рекламщиков от сбора разнообразных данных об аудитории. В Телеграме, например, несмотря на наличие рекламы, нет встроенных в приложение библиотек для широкого отслеживания пользователей. Я понимаю, что команде Макса без исследований своей аудитории никуда, но здесь нужно понимать, насколько это большой риск: одна часть большого VK (маркетологи) создаёт единую библиотеку для всех продуктов (не только для Макса), заточенную на решение их собственных задач (а вовсе не задач безопасности государственных данных). Достаточно вспомнить, как
в приложении Бургер Кинга криво настроенная библиотека маркетологов записывала данные карт пользователей;
2б. Весь набор сторонних "сервисов"/"мини-приложений" в Максе, разумеется, не встроен в сам код приложения, а запускается во внутреннем браузере (webview). Здесь на сцену вступают браузерные уязвимости и выполнение произвольного фронтенд-кода с любыми целями (что с сервера придёт, то и будет выполнено на устройстве пользователя; а серверы, как вы понимаете, взломать чуть проще, чем подменить экземпляр установленного приложения на устройстве).
3. Фактически сейчас Макс от масштабного фишинга и попыток эксплуатации уязвимостей спасает только то, что платформа закрытая: кто попало не может создать новые сервисы, ботов и даже каналы в этом мессенджере. Но создатели не смогут масштабировать сервис при таких ограничениях, поэтому рано или поздно этот порог входа снизят, и тут-то мы узнаем, что способны сотворить "народные умельцы" с предоставленным инструментарием.
4. Сравнивать открытые и закрытые экосистемы с точки зрения безопасности — задача неблагодарная (огороженная и модерируемая система часто в выигрыше, даже если она насквозь дырявая). Но проблема в том, что Макс не вполне определился с позиционированием: одной рукой они хотят стать доверенной платформой государственных сервисов (закрытой), другой рукой они
агитируют частный бизнес добавлять свои сервисы (как будто в Озоне или Авито не работают раздолбаи, которые при разработке такого не приоритетного для бизнеса компании, но обязательного сервиса, в спешке наделают все возможные ошибки с точки зрения ИБ).
5. Не определено никакой ответственности Макса за последствия той силы, которой его наделили:
https://legal.max.ru/ps
Не буду цитировать здесь целиком, но пункты 8.5.3 и 9.4.4 снимают всю ответственность с компании хоть при использование самого мессенджера, хоть при использовании встроенных сервисов/мини-приложений.
Такие пункты конечно же есть в соглашении любого коммерческого бесплатного сервиса, но найдите мне их например в соглашениях Госуслуг. И вы поймёте, почему Госуслугами я пользоваться согласен, а Максом — нет.