USD28.2033

Блокировка сайтов в Украине: является ли она эффективной и как устроена технически

Почти два года не прекращаются ожесточенные споры о том нужно ли блокировать сайты в Сети, насколько допустимы блокировки, являются ли они эффективными, и как устроены технически. В мае 2017 указом Президента 133/2017 было утверждено решение СНБО, которое (помимо не работающих экономическим санкций) содержит предписание провайдерам блокировать определённые сайты. Тогда же это решение попытались узаконить однотипными законопроектами 6676 и 6688, но они были отклонены парламентом. Через год “санкционные” списки (я потом объясню использование кавычек) были расширены указом Президента 126/2018 и попытка протащить законопроект 6688 повторилась, но на дыбы уже встала общественность и законопроект был провален снова. Причины по которым государство настойчиво желает “контролировать” Интернет разнятся от наказания педофилов до защиты информационного пространства Украины от российской агрессии.

Начнём с самого простого, с технической реализации. У каждого ресурса в сети будь то вебсайт или пользователь есть IP-адрес, который отнюдь не является уникальным, на одном IP может находиться множество сайтов или пользователей. Важную роль для Сети играет система доменных имён (DNS), древовидная, публичная база данных, сопоставляющая IP-адреса и привычные всем имена, такие как www.google.com. Чтобы узнать на каком адресе живёт сайт поисковика ваш компьютер обращается к одному из корневых серверов DNS и узнаёи у него где находится домен COM, тот в свою очередь отвечает где расположен DNS-сервер Google, а тот уже отвечает, что сайт использует IP-адрес 64.233.162.104. Чтобы не перегружать пользователя лишней работой всё это за вас делает провайдерский сервер DNS, чей адрес вы получаете автоматически при подключении. Провайдер может прописать у себя в настройках, что google находится на другом IP, и это самый простой способ блокировки. Рекомендованный провайдерам киберполицией.

Для того чтобы обойти подобную блокировку достаточно изменить в настройках сервера DNS с провайдерских на независимые. Подобный сервис предоставляет Google (8.8.8.8 8.8.4.4), CloudFlare (1.1.1.1), Quad9 (9.9.9.9), OpenDNS (208.67.222.222 208.67.220.220). Так как DNS запросы идут в незащищённом виде, то провайдер в состоянии провести атаку типа MiTM (man-in-the-middle, человек-в-середине) и подменить ответы независимых DNS-серверов. Подмена DNS трафика – вмешательство в тайну переписки (запрещённое Конституцией), и разрушает доверие к системе DNS как таковой, для того чтобы сохранить доверительные отношения в последнее время принимаются новые защищённые стандарты DNS-over-TLS и DNS-over-HTTPS, а так же DNSSec. Данные протоколы гарантируют что никто не сможет вмешаться в ваш “разговор” с DNS сервером. И мы переходим к следующему шагу запретительной мысли. Блокировки по IP.

Провайдер так же может запретить обращаться к определённым адресам. Казалось бы чего уж проще? Сайт rusvesna.su сейчас находится на IP 104.20.92.220. Запретим его и дело с концом! И тут нас ждёт весьма неожиданный сюрприз. Этот IP-адрес принадлежит крупнейшей сети доставки контента (CDN) CloudFlare. На том же самом адресе могут находится десятки и сотни ни в чем не повинных сайтов! Блокировки по IP деляют недоступными законные сайты. Так придумайте что-нибудь, говорит нам СБУ, и действительно в некоторых случаях можно заблокировать и отдельную страницу. Для того чтобы страницу получить, нужно сказать серверу её адрес (URL) , например “http://rusvesna.su/economy/1541757178”, и найти его и обрубить сессию может оборудование DPI (Deep Packet Inspection – глубокое исследование пакетов). И использование DPI – это опять-таки MiTM. Вы же не хотите, чтобы кто-то подслушивал ваши разговоры в чате или перехватывал вашу сессию с банком? Чтобы защитить коммуникации от прослушки был придумана безопасная версия HTTP – HTTPS.

Но лазейка для цензуры по-прежнему сохранилась. Так как на одном IP может находиться несколько сайтов, то сервер должен знать к кому именно вы обращаетесь, чтобы выбрать криптографический сертификат соответствующего сайта. Поэтому поле SNI (Server Name Identification) идёт в открытом, незашифрованном виде. До недавних пор проблему игнорировали, но с недавнего времени появилось расширение eSNI (encrypted SNI), которое закрывает и эту дырку. Крупные компании понимают что весь их многомиллиардный бизнес держится исключительно на доверии пользователей. Поэтому либо они обеспечат безопасные коммуникации для всех, включая педофилов и террористов, либо ни для кого. Террористов в лучшем случае один на миллион, поэтому выбор очевиден. Необходимо защищать пользователей, что бы они ни делали. Даже если оборудование DPI будет установленно, то очень скоро оно просто перестанет работать.

Читайте также:

Компания Маска провела тоннель под Лос-Анджелесом

И конечно самый простой способ обхода любых ограничений – использование посредника (прокси). Им может быть кеш гугла, прокси-сервер, сеть анонимизации TOR, VPN-сервер или зашифрованный туннель, который переносит вашу точку выхода в сеть совсем в другое место, и в другую юрисдикцию. Даже Великий Китайский Фаервол, на который было потрачено до миллиарда долларов не в состоянии обеспечить совершенную цензуру. Любое ограничение можно обойти.

Но вернёмся ещё раз к столь полюбившимся нашей полиции блокировкам по IP. Не только на одном IP могут жить сразу несколько сайтов, но и эти адреса меняются со временем. Сегодня сайт арендует услуги хостинга у одного провайдера, завтра у другого. Списки IP-адресов необходимо постоянно обновлять, что с необходимостью влечёт за собой создание реестра запрещённых сайтов. Чтобы блокировки по IP работали нужно создать новое ведомство, которое постоянно будет проверять IP-адреса сайтов и вносить их в список. И обязать провайдеров их блокировать. Теперь представим, что злоумышленники изменили IP адрес заблокированного сайта на адрес сайта Президента Украины. Так как в подобных реестрах (как показывает российская практика) накапливаются тысячи адресов, то никто не в состоянии проверять их вручную, а значит сайт Президента будет заблокирован вместо сатйта нарушителя и пройдёт много часов прежде, чем соответствующий орган отменит блокировку. Реестр запрещённых сайтов можно использовать для того, чтобы повалить любой сайт в Сети.

Что и происходило в России, в таких масштабах и с настолько колоссальными убытками, что Роскомнадзор был вынужден опубликовать “белые списки” сайтов, которые нельзя блокировать. Что тоже неэффективно, потому что невозможно учесть в них все возможные сценарии. Недавно хакеры взломали криптобиржу, взломав сайт со счётчиком посетителей (это разновидность supply chain атаки). Интернет – не мирный пригород с белым штакетником, а джунгли, сложно переплетённая экосистема, и разрушение отдельных связей влечёт за собой абсолютно непредсказуемые последствия, которые затронут всех, в том числе критическую инфраструктуру.

Читайте также:

Радуйтесь, пока тепло: на Украину надвигается вечная мерзлота

И перейдём к вопросам политическим, экономическим и социальным. Раз мы договорились, что “блокировки по IP” крайне неэффективный метод, который приносит ущерб сам по себе, а eSNI ещё не вошел в обиход, то нужно ставить оборудование DPI. И первый вопрос, который возникает – за чей счёт банкет? Оборудование DPI стоит очень дорого, Китай потратил на свою систему цензурирования Интернета сотни миллионов долларов, и всё равно она не работает так как было задумано. В Украине около десяти тысяч фирм и предпринимателей, которые предоставляют услуги доступа к Сети. Многие из них не могут позволить себе приобретение подобного оборудования. Даже если государство обяжет крупных операторов установить подобное оборудование, то это приведёт к дискриминации, огромным потерям отрасли, которые индустрия переложит на конечного потребителя и монополизации рынка. Более того, так подобное оборудование должно быть сертифицировано, то это создаёт огромные коррупционные риски. Huawei и Allot уже заслали своих “лоббистов” в соответствующие структуры, то есть, попросту, предлагают откаты, за выбор соответствующего оборудования.

Не так давно крупный поставщик бытовой техники наехал на небольшой украинский интернет-магазин за нарушение авторских прав. Использование торговой марки. Суд оказался не в состоянии найти ответчика, да, кажется, и не пытался; не пытался суд изъять или разделегировать доменное имя магазина (которое собственно и нарушало авторские права), и вместо этого принял решение о том, что украинский сайт должен быть заблокирован на территории Украины. То есть интернет-провайдеры (причём не все, а только некоторые, даже суд понял что разослать судебное постановление 10 тысячам операторов нереально) должны тратить время и деньги за нарушение, к которому они не имеют ни малейшего отношения! Что подрывает самые основы правосудия и открывает огромное пространство для злоупотреблений. В один прекрасный момент вы обнаруживаете, что все ваши IT-системы не работают только потому, что где-то принято решение районным судом усть-пиздюйского района. А внесудедебные блокировки – просто катастрофа, потому что не придётся соблюдать даже малейшие формальности, достаточно подкупить прокурора или опера в каком-нибудь далёком селе. Пусть его даже уволят после этого, но бизнес будет разрушен, потому что судебные тяжбы могут тянуться месяцами, а то и годами. Блокировки – инструмент нечестной конкуренции.

Читайте также:

Знай наших: украинские кардиохирурги поразили Европу

В Украине быстрый и дешевый Интернет, и он такой благодаря тому что государство не вмешивалось со своими регуляциями в новую отрасль. Но “почему-то” в Украине очень слабая индустрия хостинга. Все предпочитают размещать сайты в Германии, Франции, Нидерландах, и многие знают крупных хостеров по именам – Hetzner, OVH. Знаете почему? Ответ прост – маски-шоу. Всё началось с охоты на порнографию в далёком 2009 году. Не смотря на победные реляции МВД, сайт pornolab возобновил свою работу буквально через два дня после обысков и недавно отметил своё десятилетие. Но услуги он как вы понимаете больше в Украине не заказывает. Премьер Гройсман любит поговорить о “маски-шоу стоп” и о том, как с минуты на минуту в нашу страну придёт богатый западный инвестор, и я всегда вспоминаю про убитую силовиками отрасль хостинга. Нет, ребята, любой вменяемый человек дважды подумает прежде чем заходить в страну с такими рисками, когда вся ваша IT-инфраструктура может быть разрушена одним постановлением. Блокировки снижают инвестиционную привлекательность нашей страны. При чем именно в той области где Украина могла бы быть (и когда-то была) конкурентоспособной на мировом уровне.

Предположим на минуту, что всё работает “как надо и бесплатно”, враждебные пропагандистские сайты заблокированы, враг не пройдёт и всё такое. Но сами сайты никуда не делись! И это значит, что во-первых, государству нечего противопоставить вражеской пропаганде, а во-вторых, государство не считает своих граждан способными самостоятельно сделать осознанный выбор. Блокировки – страусиная позиция, унижающая человеческое достоинство. Тем более, если есть молоток, то любая проблема становится похожа на гвоздь. Сегодня блокируются пропагандистские сайты, завтра сайты с порнографией, с предложениями наркотиков, мессенджеры, игровые сайты. Скоро в Украине должны пройти очередные выборы и цензура вне всяких сомнений будет использована для того, чтобы повлиять на их результаты. Цензура разрушает как личные права граждан, на свободу информации и тайну частной переписки, так и подрывает демократические институты в нашей стране и без того не очень сильные. Цензура разрушает Интернет, и как социальный институт, и технологически. Пойдя по скользкой дорожке мы рано или поздно окажемся в тоталитарной “Чебурашке”.

Более того, после того как провайдеры установят у себя черные ящики утверждённые МВД и СБУ, подобные железки позволят не только блокировать сайты, но и вести массовую слежку за пользователями. В том числе за политическими конкурентами, диссидентами, конкурентами по бизнесу и значит, что следить будут все кому не лень в самых разных интересах. Я хотел бы обратиться к чиновникам, вы думаете что это вас не касается? Интернет у нас один. Если вы можете нарушить приватность преступников, то значит преступники смогут нарушить вашу. Или безопасный Интернет для всех, или ослабленный Интернет для всех. Причем вас будут мониторить и прослушивать в первую очередь.

А теперь альтернатива. Как противодействовать российской пропаганде и ловить преступников. Уже сейчас технологические системы, и провайдеры и операторы связи накапливают огромное количество данных. Ваш мобильный телефон зарегистрировался на базовой станции у оператора – есть ваша история перемещений с точностью до нескольких сот метров, все ваши входящие и исходящие звонки (кто, кому, когда, сколько), те же самые данные накапливают провайдеры. И этого вполне достаточно для проведения расследований. Более того, даже если бы мета-данные не были доступны у правоохранителей есть масса других способов раскрывать преступления. Преступники (за исключением самых глупых) всё равно не будут покупать SIM-карты на своё имя и гонять детскую порнографию в незащищённых чатах. И опыт других стран это подтверждает.

Если государство хочет бороться с вражеской пропагандой, то не нужно запрещать определённые книги, передачи и пытаться контролировать издательства, телеканалы и интернет-провайдеров. Один из самых эффективных методов – ударить по распространителям пропаганды рублём, то есть ввести экономические санкции. Российское издательство выпустило книгу антиукраинского содержания? Под санкции его. Теперь эти книги нельзя импортировать в Украину для продажи. Любые, независимо от содержания. Не нужно гоняться за каждым отдельным экземпляром, вы всё равно не в состоянии это сделать. Телеканал пустил пропагандисткую программу в эфир? Под санкции производителя контента. Больше никто у него ничего в Украине не купит. Любая транзакция должна быть остановлена банком. Любой посредник должен украсить собой санкционный список. С санкционной компанией нельзя заключить договор. Любой местный нарушитель санкционного режима должен заплатить штраф. А то и под статью пойти за контрабанду и нарушение авторских прав. Любое взаимодействие с физическими лицами из санкционного списка должно рассматриваться как сознательное действие направленное против Украины. Не нужна никакая психо-лингвистическая экспертиза, достаточно доказанной связи с врагом.

И вот такие санкции введены не были. Просто потому, что за составление и расширение санкционных списков в нашей стране никто не отвечает. За их нарушение не предусмотрена отвественность. Вместо этого цензурные комиссии ищут чего бы ещё запретить, а правоохранители спят и видят как бы поглубже залезть в частную жизнь граждан. Так что ответом на российскую агрессию должна стать законная, последовательная и прозрачная санкционная политика. И контрпропаганда, нам есть что сказать агрессору. И свободный Интернет не только не помешает нам, но и поможет добиться и этой цели, и победы в войне с Российской Федерацией.

P.S. Прямые запреты допустимы в государственном секторе (но это тема для отдельного разговора).

Очень плохоПлохоСреднеХорошоОтлично (голосов: 1, в среднем: 5,00 из 5)
Загрузка...

Комментарии (0)

Чтобы оставить комментарий необходимо

"Политики всегда всё врут!"

© Владимир Андреев

Одних фрегатов мало: как ВСУ готовятся отражать атаки России в море

Посол Украины в США сообщил об информационных атаках против него

Климкин вступился за постпреда Украины при ОБСЕ Прокопчука

П’ята річниця Євромайдану: що необхідно пам’ятати про Революцію гідності в Україні. ФОТО

ДТП в Харькове: врач-нарколог Зайцевой до сих пор не найдена

Нова стратегія миру та безпеки: юридичний фронт

Розенко закрутил роман с рыжеволосой телезвездой: фото влюбленной парочки

Депутаты от БПП предлагают за клевету сажать в тюрьму на 3 года

Чем больше крадет наша власть, тем дешевле Путину обходится агрессия против Украины

Вместо общежитий элитное жилье для нардепов: как развели украинцев

Угрожающая вакцинации детей глава Гослекслужбы уволена – Супрун

Эксперт: Предлагаю сравнить цены в России на все. До аннексии Крыма и после

Тысячи людей восстали в центре Киева: Украина спустя пять лет после Евромайдана

По Франции путешествовать опасно – МИД предупреждает украинцев

Ситуация с Интерполом как пример вторичной ”гибридности”

Раша, гуд бай: Крымский мост решил уползти, вот-вот рухнет

“Специально для Захаровой”: СБУ показала наемников ЧВК Вагнера

На предвыборную рекламу уже потратили 10 миллионов: рекорд для Европы

НАПК подозревает поручившегося за Труханова нардепа в махинациях

Washington Post: Мир не должен позволить России возглавить Интерпол. И вот почему