Зона доступа: в России вступил в силу закон об анонимайзерах.

Илья Шарапов, руководитель аналитического подразделения по информационной безопасности ООО «ТСС» , рассказывает, что изменится после вступления в силу закона и почему это не остановит опытных интернет-пользователей.

В интернете бурно обсуждают о том, что президент России Владимир Путин подписал пакет поправок о запрещении использования анонимайзеров, в том числе VPN-сервисов, позволяющих получить доступ к заблокированным на территории России ресурсам.

Эта тема касается меня напрямую: компания ТСС специализируется на производстве VPN-построителей, в портфеле фирмы – криптомаршрутизаторы Diamond VPN/FW, объединяющий в одном устройстве высокопроизводительный межсетевой экран, систему обнаружения вторжений и модуль VPN-построителя.

При этом документ вызывает куда больше вопросов, чем дает ответов, ведь, как известно, строгость законов компенсируется их неисполнением.

Как теперь по закону

Согласно новым правилам, VPN-сервисы должны будут блокировать доступ к запрещенным на территории РФ сайтам, провайдеры или хостинги – ограничивать доступ к ресурсам, предоставляющим услуги VPN, операторы поисковых систем – ограничивать выдачу ссылок на запрещенные ресурсы. Федеральный орган исполнительной власти (Роскомнадзор) осуществляет создание и эксплуатацию федеральной государственной информационной системы, содержаний перечень информресурсов, доступ к которым запрещен (проще говоря – вести и обновлять реестр).

При этом в документе оговаривается, что государственные органы закон не затрагивает («положения не распространяются на операторов государственных информационных систем, государственные органы и органы местного самоуправления, а также на случаи использования программно-аппаратных средств доступа к информационным ресурсам, доступ к которым ограничен, при условии, что круг пользователей таких программно-аппаратных систем их владельцами заранее определен и использование таких ПАС осуществляется в технологических целях обеспечения деятельности лица, осуществляющего их использование»).

А что на самом деле?

На сегодняшний день существует огромное количество открытых ресурсов и расширений для браузеров (VPN, прокси-сервисы), который позволяют едва ли не в один клик получить доступ к любому заблокированному ресурсу. Согласно закону, владельцы подобных сервисов должны будут присоединиться к общему реестру и блокировать доступ к ресурсам.

В случае если ресурс позволяет попасть на заблокированный сайт, владельцы должны самостоятельно ограничить доступ пользователей. В случае отказа, IP или доменное имя ресурса, дающее такую возможность, так же вносится в список заблокированных.

1. Возникает первый вопрос: как это решение реализуют Google или Opera? В Google Play представлено огромное количество расширений для . По всей видимости, Роскомнадзору придется добиваться исключения этих приложений из Google Play, но пойдет ли на этот шаг американская корпорация?
2. Другой, куда более сложный и запутанный вопрос – что делать с Opera, где подобная опция стоит по умолчанию? Еще пять лет назад представить, что Opera исключит эту функцию из браузера, казалось маловероятным. Но в 2016 году компания была продана консорциуму китайских инвесторов. Пекин, как известно, крайне консервативен в интернет-вопросах, поэтому можно ожидать успешного разрешения вопроса с российскими властями.

Пожалуй, принятие закона никак не остановит продвинутых пользователей сети. Если воспользоваться одним из сервисов VPN за пределами нашей страны и пускать весь трафик к заблокированным ресурсам через защищенное соединение, то все ресурсы окажутся доступными. Отследить такое соединение невозможно, так как оно может идти на произвольный IP адрес и произвольный порт. При этом внутри соединения весь трафик шифруется, а скорости, доступные сегодня пользователям, позволяют совершенно спокойно серфить в интернете, смотреть видео, использовать социальные сети. Пользователь может пойти еще дальше и настроить свой зарубежный сервер, причем по весьма бюджетной цене.

Однако этим перечень возможностей не ограничивается. Все говорят про запрет VPN, но немногие вспоминают про возможности SSH (Secure Shell) – сетевой протокол прикладного уровня, позволяющий производить удаленное управление операционной системой и туннелирование TCP-соединений.

В обоих случаях необходимо настроить сервер, находящийся за пределами России, и организовать защищенное соединение, пропуская через него трафик. По всей видимости, спрос на аналогичные решения вырастет. Тут впору вспомнить поговорку: «Закон – что паутина: шмель проскочит, муха увязнет».

Еще один вопрос – как заставить поисковики ограничивать выдачу данных?

Одно дело российский « » и , имеющая представительство в России. А как поступят поисковая система с открытым исходным кодом DuckDuckGo, серверы которой находятся в США, YaCy, объединяющая автономные узлы, исключающие цензуру, и не имеющая компании-владельца, благодаря чему результаты полностью независимы от чьих-либо предпочтений (особенно – рекламодателей), или, наконец, not Evil – система, осуществляющая поиск по анонимной сети Tor?

not Evil, позиционирующая себя как «антигугл», не единственный поисковик в своем роде – можно вспомнить LOOK (поиск по умолчанию в Tor-браузере, доступен из обычного интернета) или TORCH (один из самых старых поисковиков в Tor-сети). Такие системы ищут данные там, куда «Яндекс» и Google вход заказан по определению.

В сухом остатке...

Один из главных аргументов в пользу принятия закона о запрете анонимайзеров, которым часто оперируют СМИ и власти, - борьба с терроризмом и его финансированием, отмыванием денег и теневым бизнесом.

Но будем откровенны: настоящие преступники не используют единичное решение в своей «работе». При подключении к интернету они стараются выстроить 5-6 VPN-каналов, попутно могут прибегать к Tor, размещая его на зарубежных серверах или отдельном компьютере, не использующим больше никаких других браузеров.

Пожалуй, единственный реальный способ полностью ограничить доступ к запрещенным ресурсам – пойти по китайскому пути. Для полной блокировки необходимо либо внедрить корневой сертификат, либо на границе России настроить блокировку шифрованного трафика у всех провайдеров.

Использование в России средств для обхода блокировок для доступа к запрещенным сайтам с 1 ноября будет преследоваться по закону. Что такое VPN и анонимайзеры и что грозит тем, кто решит сделать вид, что он не услышал о новом законе, рассказываем в рубрике "Вопрос-ответ".

Что такое анонимайзеры?

Анонимайзеры – это специальные сайты (прокси-серверы), выступающие в роли посредника между вами и ресурсом, который вы желаете посетить. Но при этом ваш настоящий IP-адрес на сайте отследить не смогут, так как вы заглянете к ним от имени IP-адреса веб-прокси. У анонимайзера область применения у́же, чем у VPN, но по принципу работы они схожи.

А что такое VPN?

VPN - это виртуальная частная сеть, простыми словами, это технология, обеспечивающая защищенную связь логической сети поверх частной или публичной при наличии высокоскоростного интернета. При этом вся передаваемая внутри информация надежно защищается алгоритмами шифрования, которые образуют безопасные туннели. В отличие от обычной сети, VPN-подключение делает передаваемую информацию недоступной извне и защищает ее от незаконного использования.

И что, теперь нельзя пользоваться VPN-сервисами и анонимайзерами?

Федеральный закон № 276 "О внесении изменений в закон "Об информации, информационных технологиях и о защите информации" не запрещает пользоваться VPN-сервисами и анонимайзерами. Речь идет лишь о том, что с их помощью теперь нельзя будет наведываться на запрещенные сайты.

Владельцам информационно-телекоммуникационных сетей и информационных ресурсов, посредством которых обеспечивается доступ к запрещенным в России сайтам, запрещается предоставлять возможности для их просмотра. Показ поисковиками ссылок на заблокированные интернет-ресурсы теперь тоже вне закона, в первую очередь запрет касается ресурсов порнографического и экстремистского содержания.

Таким образом, в России с помощью закона намерены бороться с распространением экстремистских материалов и другой запрещенной информации.

Кто и как это будет отслеживать?

Контроль возложен на Роскомнадзор. Комитет создаст и будет вести федеральную государственную информационную систему (ФГИС), в которой будет находиться черный список запрещенных ресурсов. При этом ФСБ и МВД получат полномочия находить сервисы, которые помогают получать доступ к заблокированным в России сайтам.

При обращении правоохранительных органов Роскомнадзор будет определять провайдера, который допускает использование анонимайзеров. Ему будет направляться уведомление в электронном виде о необходимости предоставления данных, которые позволят идентифицировать владельца анонимайзера. У провайдера будет три дня на предоставление соответствующей информации, сообщает ТАСС .

После этого Роскомнадзор будет направлять анонимайзеру требование о необходимости подключения к ФГИС. Присоединиться к системе ресурс должен будет через 30 дней. Подключиться к ФГИС по требованию ведомства также будут обязаны интернет-поисковики, работающие на территории России.

После выполнения первого требования анонимайзерам дается всего три дня для обеспечения соблюдения запрета предоставлять возможность использования в России программ и иных техсредств для получения доступа к запрещенным сайтам, а поисковикам — прекратить выдачу ссылок на них. В случае отказа последует блокировка таких сервисов.

Могут ли мне заблокировать домашний интернет, если я буду искать заблокированный сайт?

Нет. Закон, вступающий в силу с 1 ноября 2017 года, не содержит в себе оснований для блокировки домашнего интернета при осуществлении поиска запрещенных сайтов.

Нормы нового закона не будут распространяться на операторов государственных информационных систем, госорганы и органы местного самоуправления, а также на случаи использования анонимайзеров при условии, что круг их пользователей заранее определен владельцами и их применение происходит в "технологических целях обеспечения деятельности лица, осуществляющего использование".

Закон не накладывает дополнительных запретов, поскольку речь идет о сайтах, которые в России уже заблокированы.

В окончательном чтении законопроект о запрете средств для обхода интернет-блокировок, под действие которого попадают в том числе VPN-сервисы и анонимайзеры. При отказе таких сервисов блокировать доступ к запрещенному контенту они сами будут заблокированы Роскомнадзором. В случае одобрения Советом Федерации и президентом Владимиром Путиным закон вступит в силу с 1 ноября 2017 года.

The Village разобрался, какие сервисы попадут под ограничения, каким образом их будут блокировать и как это повлияет на пользователей.

Что заблокируют

Новым законом устанавливается запрет на использование информационных систем и программ для получения доступа к интернет-ресурсам, заблокированным в России. Под действие закона попадают не только прокси- и VPN-сервисы, но и анонимные сети, такие как Tor и I2P. Кроме того, документ запрещает поисковым системам вроде Google и «Яндекс» выдавать ссылки на заблокированные ресурсы.

Однако на этом список доступных к ограничению ресурсов не заканчивается, поскольку сайты, размещающие информацию о средствах обхода блокировок, неоднородны. К ним можно отнести любые ресурсы со списками VPN-сервисов и даже магазины приложений, включая App Store и Google Play. Под запрет могут попасть и программные платформы типа операционных систем и их технические порталы, например портал техподдержки Microsoft, описывающий настройку VPN в различных версиях Windows. Возможно и ограничение работы популярных браузеров, предлагающих встроенные способы обхода блокировок. Подобные опции в различных вариантах доступны в Opera, Chrome или Safari. Списки VPN-сервисов и инструкций по их настройке также распространяются по социальным сетям и мессенджерам.

При этом законом предусмотрено исключение для собственных VPN компаний, если эти средства доступны только сотрудникам. В свою очередь, интернет-омбудсмен при президенте Дмитрий Мариничев, назвавший законопроект «безумием», отметил невозможность отделить VPN, используемый в коммерческих целях, от VPN, используемого для обхода блокировок.

Как заблокируют

Анонимайзеры и VPN-сервисы можно блокировать двумя способами - по IP-адресам или по типу трафика.

В случае использования первой технологии, уже опробованной в России, Роскомнадзор внесет в реестр все доменные имена и IP-адреса официальных сайтов VPN-сервисов, на которых можно приобрести продукт. Также по IP можно блокировать публичные серверы Tor, к которым подключаются пользователи.

Для использования второй технологии необходимо установить на сети всех операторов DPI-оборудование для глубокого анализа трафика, которое способно определять VPN-трафик и отличать его от иного зашифрованного HTTPS-трафика. DPI-оборудование достаточно дорогое, поэтому с учетом большого количества операторов в России на применение этой технологии придется затратить много времени и средств. Этот метод уже опробован в Китае, где идет постоянная гонка вооружений между властями и разработчиками.

Что делать пользователям

Опыт азиатских стран вроде Китая, где с 2003 года действует система фильтрации контента «Золотой щит», показывает, что ограничение работы средств для обхода интернет-блокировок не позволяет полностью ограничить доступ пользователей к VPN-сервисам, выходным узлам Tor и другим средствам проксирования трафика.

Клиенты VPN-сервисов до внедрения DPI-оборудования не заметят никаких изменений для себя. В отличие от сайтов с дистрибутивами программ, сам VPN заблокировать крайне сложно, для чего потребуется глубоко вникнуть в принципы работы каждого отдельного сервиса и структуру сети. Кроме того, VPN-сервис может оперативно реструктурировать сеть, и все потребуется делать заново. При этом процедура реструктуризации может быть автоматизирована - в этом случае провайдер VPN может создавать новые IP-адреса хоть каждую минуту. Для пользователей же это будет выглядеть как автоматическое обновление расширений.

Сейчас во всем мире множество VPN-сервисов, и постоянно появляются новые. Конкуренция на рынке VPN довольно высока, и заблокировать все средства для обхода за короткое время невозможно. К тому же все установочные файлы VPN-приложений пользователи смогут получать на форумах, по почте или в мессенджерах. По оценке главы «Роскомсвободы» Артема Козлюка, 80–90 % сервисов останутся доступными для россиян.

Кроме того, останется и, вероятно, будет развиваться возможность использования двойного VPN - когда пользователь подключается к серверу в одной стране (например, в Канаде), а оттуда - к серверу в другой (например, в Норвегии). Тогда конечный, норвежский сервис будет воспринимать российского пользователя как канадца и не будет применять блокировки из списка Роскомнадзора даже в случае, если оба VPN-сервиса будут исполнять российский закон.

Другой вариант - настроить собственный VPN, арендовав место на зарубежном хостинге, что потребует небольших денежных вложений. А в некоторых мобильных устройствах, например в смартфонах на Android, существует встроенная функция VPN, и в случае с предустановленными программами заблокировать какой-либо VPN-ресурс просто невозможно. Помимо этого, как отмечалось ранее, блокировки официально разрешат обходить корпоративным VPN, которыми пользуются сотрудники компаний.

Что касается Tor, то у сети, кроме публичного списка ключей, есть постоянно обновляемый список серверов, через которые можно получать доступ к нужным сайтам. В случае блокировки публичных узлов Tor для подключения к сети и доступа к запрещенным сайтам можно использовать мосты, которые специально придумали для обхода блокировок с помощью скрытых ретрансляторов. Пользователи могут воспользоваться встроенными в браузер вариантами мостов либо получить новые адреса.

Советник президента Герман Клименко в 2016 году на лекции «Информационная безопасность России» в России высказался о перспективах развития интернет-цензуры в нашей стране следующим образом:

«Путь один – это китайский вариант . Безусловно, контроль нужен, потому что не существует ни одной возможности это предотвратить. Китай менее щепетилен к мнению общества, они оценили угрозу и ограничили интернет. Теперь у них таких проблем нет»

29 июля был подписан указа о запрете средств для посещения сайтов, заблокированных в России. Но ни в одной стране мира, кроме Северной Кореи, пока не удалось полностью запретить Tor, VPN и другие анонимайзеры.

Даже в Китае VPN используют 20% аудитории интернета . Хотя власть с 2012 года предпринимает целый ряд мер, которые усложняют жизнь любителям запрещенного контента. Возможно, какие-то из них будут применяться в России.

Роспотребнадзор уже несколько лет посылает своих сотрудников в Китай для «обмена опытом». А в 2016 году к нам приезжал сам Лу Вей, которого называют «отцом Великого Китайского Файервола».

Итак, разберем на примере Китая чем может обернуться в реальности новый закон.

1. Лицензирование VPN-сервисов

Согласно указу Министерства промышленности и информационных технологий Китая, с января 2017 года все VPN-провайдеры, которые хотят работать в Китае, должны получить государственную лицензию. Также разрешение нужно компаниям, которые использует свои собственные VPN-серверы для бизнеса.

Точная стоимость такой лицензии неизвестна. Скорее, всего она определяется индивидуально. Возможно, сервисы должны платить за «легальность» не только деньгами, но и данными о трафике клиентов.

2. Блокировка сайтов VPN-сервисов и мобильных приложений

Сервисы для входа на запрещенные ресурсы или сайты со ссылками на программы анонимайзеры в Китае блокируются в целях сдерживания роста числа новых пользователей. А в конце июля 2017 года Apple по просьбе правительства Китая начала удалять VPN-приложения из App Store.

Единичные случаи блокировки сервисов-анонимайзеров наблюдались в России еще в 2012 году, а осенью 2016-го в реестр Роспотребнадзора было внесено несколько десятков таких сайтов.

3. Штрафы пользователей

В конце марта 2017 года Бюро общественной безопасности Чунцина (население городского округа 50 миллионов человек) издало указ, предусматривающий штраф до 15 тысяч юаней ($2231 по курсу 01.08.2017) для всех, кто нелегально использует VPN для обхода блокировок.

В Китае далеко не самые жесткие методы борьбы против анонимайзеров. Например, в ОАЭ в 2016 году был принят закон, согласно которому использование VPN для нарушения закона грозит штрафом до 2 миллионов долларов. Но при использовании VPN для легальных бизнес-целей никаких ограничений нет.

А в отчете о деятельности иранской киберполиции FATA за 2014 года сообщается о нескольких случаях ареста людей, которые занимались распространением VPN.

Но несмотря на подобные законы в Иране и ОАЭ средствами для обхода блокировок пользуются миллионы людей.

4. Перебои в работе VPN-сервисов

Золотое правило пользователя VPN в Китае: оплачивать сервис на минимальный возможный срок. Так многие из них переодически перестают работать и приходится срочно искать им замену. Например, в 2015 году временно не работали крупнейшие мировые поставщики VPN StrongVPN, Astrill и GoldenFrog (VyprVPN).

Но провайдеры очень быстро находят способ замаскировать свой трафик от «Золотого щита» и возобновить работу. А в ответ китайское правительство снова совершенствует методы анализа трафика. Такая борьба ведется с 2012 года. Пока победа за VPN-сервисами.

Для полноценного внедрения четвертого пункта России понадобится собственный «Золотой щит». Роспотребнадзор пока не делился с населением планами по созданию подобного проекта. Но о нем уже ходит множество слухов. Корреспонденты газеты The Guardian еще полгода назад дали будущему российскому файерволу прозвище Red Web.

Как такие меры влияют на жизнь людей?

Не слишком ощутимо. Просто заставляют совершать лишние телодвижения при выборе VPN-провайдера и поиске нового, когда старый внезапно перестает работать. Риск получить штраф очень низкий, так как в странах с жесткой интернет-цензурой средствами для обхода блокировок пользуются миллионы людей и невозможно наказать их всех.

Но любому государству «бороться с анонимайзерами» очень выгодно:

1. Власть может зарабатывать на продаже лицензий для VPN-провайдеров и компаний, которым эта технология жизненна необходима для работы.

2. Блокировка бесплатных сайтов-анонимайзеров и перебои в работе «незаконных сервисов» вынуждает переходить на платные «легальные» VPN, которые оплачивают государственную лицензию и приносят доход в бюджет.

3. Показательные штрафы случайных пользователей VPN - дополнительный источник дохода и способ держать население «в тонусе».

Еще раз отмечу, что все четыре пункта из статьи - анализ новостей из Китая и других стран. В России ничего из перечисленного выше пока нет . Но неизвестно, как изменится ситуация через несколько лет.

Депутаты Госдумы Российской Федерации проголосовали за законы о регулировании работы мессенджеров и о запрете средств обхода блокировок сайтов.

Данные законы опубликованы на сайте Автоматизированной системы обеспечения законодательной деятельности Госдумы России .

VPN и анонимайзеры

Сервисы также обязали обеспечивать возможность передачи электронных сообщений по инициативе госорганов в соответствии с законодательством России.

Глава профильного комитета Госдумы по информационной политике Леонид Левин прокомментировал информацию о возможном запрете, согласно данному закону, доступа к мессенджерам для отдельных пользователей.

«Вводящееся регулирование предусматривает санкции только в отношении операторов мессенджеров в случае, если они содействуют нарушению закона. Никаких штрафов или прямых запретов в отношении пользователей не планируется», — сказал он.

Согласно новому закону, сведения об абонентском номере пользователей мессенджера могут передаваться третьим лицам только с согласия первых. Закон также устанавливает обязанности мессенджера идентифицировать пользователей по абонентскому номеру оператора на основании договора с оператором. Кроме того, в законе прописывается, что мессенджеры, принадлежащие зарегистрированным в России юрлицам или гражданам России, вправе идентифицировать по их абонентскому номеру.

В документе отмечается, что в случае невыполнения мессенджерами требований относительно ограничений рассылки сообщений с информацией, которая нарушает требования законодательства России, предусматривается возможность ограничения доступа к мессенджеру в стране.