Болтик, гайка, контргайка... Часть I

Ну, чтобы не разболталось и не открутилось случайно.

Или чтобы не болтали лишнего те, кому не положено, и не выкрутились из цепких рук родного государства.

 

(Гуманитариям напомню, что контргайка — это не та, которая против всяких других гаек, а та, которая им помогает нечаянно не открутиться в ненужный момент).

 

Похоже, что давно задуманные, планомерно подготовленные и потихоньку осуществляемые инициативы власти в области управления доступом к информации близки к логическому завершению.

 

Первой ласточкой на пробу пера полетел в 2012 году закон о блокировке сайтов с запрещенной к распространению информацией. Поскольку тогда еще немного заботились об общественном мнении, была откатана и PR-технология: выбраны жупелы, против которых направлена инициатива (в данном случае детская порнография, наркомания и педофилия), создан механизм, а потом этот механизм спокойно использовался для блокировки не только перечисленных жупелов, но и любых неугодных ресурсов.

 

Но фильтрацию по IP и по URL слишком легко обойти (если запрещенный ресурс хостится не на территории России, а перенести сайт на зарубежный хостинг — невеликая проблема). Что же нужно, чтобы закрыть лазейки, и сделать так, чтобы никто из непослушных генераторов, предоставителей и потребителей контента не ушел безнаказанным?

 

1. Административными и законодательными мерами поставить под контроль популярные ресурсы, их читателей и пользователей. А поскольку эти меры предоставляют рычаги влияния и возможности наказания, но не блокируют саму возможность непослушания, дополнить их техническими мерами.

2. Трансформировать структуру Сети, приблизив ее к иерархической (следовательно, лучше контролируемой и быстрее отключаемой).

3. Ограничить количество трансграничных переходов каналов связи и поставить их под контроль, внедрив на них продвинутые средства фильтрации пакетов — что-то подобное великой китайской триаде Deep Packet Inspection (DPI), Connection probe и Support vector machines (SVM).

4. Объявить преступниками всех, чьи действия будут выглядеть как попытка обойти установленные технические ограничения, и подвесить над ними дамоклов меч наказания.

5. Обеспечить технически и законодательно возможность прищучить упомянутых выше преступников даже задним числом, несмотря на все их подлые ухищрения. 

 

Вы думаете это теоретическая схема? Таки нет, это события, нормативные документы и законопроекты в одной отдельно взятой стране. Несколько примеров по каждому из пунктов. 

 

1. Административными и законодательными мерами поставить под контроль популярные ресурсы, их читателей и пользователей.

• История с Дуровым. 

• Поправки к закону "О персональных данных" от 04.06.2014, в соответствии с которыми персональные данные российских граждан должны храниться в базах данных, расположенных на территории Российской Федерации. 

• Так называемый "закон о блогерах" от 05.05.2014, согласно которому владельцы всех популярных ресурсов (в том числе эккаунтов в соцсетях) обязаны зарегистрировать их в Роскомнадзоре и исполнять российское законодательство, вне зависимости от места размещения ресурса и регистрационной зоны, а также должны хранить и предоставлять по первому требованию российских органов информацию о посетителях. 

• Постановление Правительства Российской Федерации № 743 от 31.07.2014, обязывающее любого организатора распространения информации обеспечивать для ФСБ или уполномоченного им органа любые оперативно-розыскные мероприятия на своем ресурсе.

 

2. Трансформировать структуру сети, приблизив ее к иерархической (следовательно, лучше контролируемой и быстрее отключаемой).

• Концепция "Развитие мультисервисных сетей связи общего пользования Российской Федерации" с разделением операторов связи на федеральных и прочих, которым запрещены самостоятельные трансграничные подключения. Регулярно поднимаемый вопрос о передаче государству функций администратора доменов (от коей передачи Координационный центр национального домена сети интернет (КЦ) пока защищается). 

• Июльские учения, направленные на выработку мер по предотвращению нарушений работы сети интернет на территории России в результате целенаправленных действий, на которых, по всей видимости, отрабатывался и "египетский вариант" — отключение трансграничных маршрутов. 

• Предложенный сенатором М. Кавджарадзе проект создания внутренней сети "Чебурашка", изолированной от заграничных сетей. 

 

3. Ограничить количество трансграничных переходов каналов связи и поставить их под контроль, внедрив на них продвинутые средства фильтрации пакетов — что-то подобное великой китайской триаде Deep Packet Inspection (DPI), Connection probe и Support vector machines (SVM)

• "Ростелеком" — единственный на тот момент оператор, соответствующий требованиям к федеральным операторам связи, сформулированным в упомянутой выше концепции, примерно в то же время объявил тендер на 1,12 миллиарда рублей на закупку оборудования DPI, причем преимущественным поставщиком назвал китайскую компанию Huawei. Концепция не прошла (или была отложена). "Ростелеком" тендер отменил, поскольку не видел перспектив монетизации, а летом 2014 года внедрил сильно упрощенную DPI, позволяющую блокировать сайты по URL, а не по IP, в десятки раз дешевле, всего за 1 миллион долларов. 

 

Тут еще необходимо отметить, что против грамотно настроенной и поддерживаемой связки DPI+Connection probe+SVM ни Tor, ни I2P не помогут. Да и VPN на зарубежных поставщиков этой услуги тоже совсем не гарантированно будет работать. Или недолго. Тем более всякие обычные proxy и анонимайзеры. Недаром по статистике Tor число пользователей в огромном Китае, где эта связка успешно используется, колеблется всего в районе тысячи.

 

Да, возможно постоянно разрабатывать новые шифрованные протоколы и маскировать их под что-то безобидное. Можно развивать стеганографию, пряча данные в видеопотоки. Какое-то время, пока не выявят сигнатуры и не донастроят систему фильтрации, оно будет работать, а потом придется снова что-то придумывать. Но тут вступает в дело следующий пункт. 

 

4. Объявить преступниками всех, чьи действия будут выглядеть как попытка обойти установленные технические ограничения, и подвесить над ними дамоклов меч наказания.

Во-первых, регулярно возникают "спонтанные" инициативы от госорганов, депутатов и общественных объединений по поводу законодательного запрета использования анонимайзеров. А ФСБ на это отвечает: "В настоящее время на законодательном уровне рассматривается вопрос о необходимости блокировки доступа из российского сегмента сети интернет к серверам Tor и другим анонимным (proxy) серверам". Вполне вероятно, какая-нибудь очередная инициатива выродится в закон о запрете использования нелицензированных государством (и значит, без доступного органам бэкдора) не только анонимайзеров, но и вообще средств шифрования. За нарушение (то есть за любое зашифрованное не одобренным свыше продуктом письмецо) или за нелицензированный VPN будет назначен штраф либо другая административная ответственность. Для рецидивистов — уголовная. А уж если разрабатываешь подобные продукты или алгоритмы (в том числе, если невзначай скомпилируешь свободный код на эту тему), точно уголовная.

 

Во-вторых, зачем лишние телодвижения? Подходящий закон уже имеется. Называется он "Положение о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических средств)" (постановление Правительства Российской Федерации от 16.04.2012 № 313), и в соответствии с ним установкой и тиражированием (фактически копированием) криптографических средств уже нельзя де-юре заниматься без лицензии.

 

Осталось только определить справедливую меру наказания за нарушения в этой области.

 

Ну и чтобы никто из достойных не избежал причитающегося.

 

5. Обеспечить технически и законодательно возможность прищучить упомянутых выше преступников даже задним числом, несмотря на все их подлые ухищрения. 

• СОРМ-3, предусматривающая хранение всего трафика абонента в течение минимум 12 часов и доступ органов к этим данным в реальном времени без санкции суда. (уж сколько органы будут хранить нужное и интересное, это их внутреннее дело.) 

• VPN на зарубежные сайты и использование прочих подозрительных шифрованных протоколов уже сейчас вполне может служить средством деанонимизации. Тех пользователей, которые это используют, можно смело брать на карандаш и на углубленный анализ трафика и сетевого поведения. И весь трафик писать на всякий случай (на какой такой всякий см. ниже). Вполне себе автоматически. И правильно! Нашим людям скрывать нечего!

• Запрещение анонимного Wi-Fi постановлением Правительства Российской Федерации от 31.07.2014 № 758. Этим же постановлением провайдеры обязываются в договорах с абонентами — юридическими лицами и индивидуальными предпринимателями— оговаривать периодическое (не реже раза в квартал) получение заверенного списка лиц, которые будут пользоваться доступом в интернет через канал, предоставленный абоненту, то есть, как минимум, всех работников.

• Чрезвычайно интересные прецеденты, по которым становится ясно, что а) трафик, по крайней мере некоторых персон, сохраняется годами и б) как бы защищенные и безопасные HTTPS-сессии взламываются ЦИБ ФСБ и из них достаются нужные пароли к нужным эккаунтам. (Прецедент, о котором идет речь, — дело Врублевского). Если еще вспомнить про скандалы, связанные с продажей вторичных корневых SSL-сертификатов удостоверяющими центрами, можно оценить как достаточно высокую степень риска того, что ваш, как бы защищенный, трафик прозрачен для тех, кому очень надо.