![](https://meduza.io/impro/a2nvkzSn3CF2m3Jvc_ZYZRgNZew6YjOm2_F5oXbZ1Kc/resizing_type:fit/width:1200/height:0/enlarge:0/quality:95/aHR0cHM6Ly9tZWR1/emEuaW8vaW1hZ2Uv/YXR0YWNobWVudHMv/aW1hZ2VzLzAwOS8y/NzEvNTM2L29yaWdp/bmFsL2l3VXU2bTVR/c2FJZ2lldjhRV00x/Z2cucG5n.webp)
Депутаты говорят, что запретили регистрироваться на российских сайтах с помощью иностранной почты. На самом деле нет. А вот «Яндекс ID», похоже, правда запретили
Депутаты Госдумы решили поменять правила авторизации пользователей на российских сайтах. Для этого они в ускоренном порядке приняли поправки к закону «Об информации, информационных технологиях и о защите информации», которые многие истолковали как запрет на «регистрацию по иностранной почте». Поправки уже подписал президент — они вступят в силу через четыре месяца, 1 декабря 2023 года. На самом деле к запрету на «регистрации по иностранной почте» изменения не приведут. А вот реально запретить могут использование в России единой системы входа во все сервисы, разработанной компанией «Яндекс», то есть «Яндекс ID». Он попал под тот же запрет, что и авторизация с помощью учетных записей в сервисах Google, Apple, Microsoft.
Почему электронная почта тут ни при чем?
Электронная почта вообще не упоминается в тексте поправок. Речь в них о правилах авторизации российских пользователей на всех российских сайтах, в сервисах и в программах.
Такую авторизацию, то есть вход на сайт с использованием своей учетной записи, теперь можно будет проводить только четырьмя способами:
- С использованием номера мобильного телефона (пока это касается только мессенджеров)
- Через «Госуслуги»
- С помощью единой биометрической системы
- С использованием другой российской «информационной системы, обеспечивающей авторизацию пользователей»
Обратите внимание на четвертый пункт: электронная почта — это не то же самое, что система авторизации. Система авторизации занимается рассылкой писем, которые пользователи, зарегистрировавшиеся на сайте или в программе, получают на свою почту. В этих письмах содержатся ссылки, по которым пользователям нужно пройти для подтверждения, что почтовый ящик действительно принадлежит им, или одноразовые коды, которые также обрабатывает система авторизации. И эта система действительно должна быть российской.
Депутаты могли запретить отправлять подтверждающие письма на зарубежные почтовые ящики (то есть, по сути, запретить регистрироваться с их помощью), но не сделали этого. Иными словами, создавать учетную запись на российском сайте и в дальнейшем можно будет с помощью почты на Google или, например, Yahoo.
В поправках вообще детально не оговаривается, как должна быть устроена система авторизации пользователей, которая не только обрабатывает данные пользователей при регистрации, но и проверяет их при каждом следующем входе. А кроме привычного введения логина и пароля это могут быть самые разные схемы. Вроде физического токена в виде USB-брелока или смарт-карты, которые нужно вставить в устройство, после чего система авторизации считывает все нужные данные для входа. Или вообще просто сгенерированной последовательности слов — как в виртуальной приемной Службы внешней разведки РФ или в SecureDrop «Медузы» для анонимной связи с редакцией.
При этом новые поправки не запрещают российским сайтам авторизовывать любым способом своих зарубежных пользователей или пользователей, которых они считают такими (если те всегда используют иностранный VPN). Для иностранных сайтов и сервисов вообще не вводится никаких ограничений по авторизации российских пользователей.
Почему же тогда все говорили именно про электронную почту?
Потому что так интерпретировали поправки депутаты Госдумы из «Единой России»: Антон Горелкин, значащийся их автором, и глава комитета по информполитике Александр Хинштейн, одобривший проект своего коллеги.
Это не первый случай, когда депутаты вносят в Госдуму законопроекты, которые они, по-видимому, не писали самостоятельно. Это видно как раз по ошибкам в их комментариях к «своим» инициативам. Например, Дмитрий Вяткин, «автор» законопроекта об эксперименте с интернет-голосованием на выборах в Москве в 2019 году, очень странно объяснял, как там будут использовать блокчейн.
Хинштейн сначала привел в качестве примера российской системы авторизации сервисы компаний «ВКонтакте» и Mail.ru, уточнив, что последняя — российская почта. И, видимо, сделал из этого вывод, что запрещено будет регистрироваться с помощью зарубежных сервисов почтовых адресов. Позже он привел Google и Apple ID в качестве примеров иностранных сервисов, которые попадут под запрет.
На самом деле «ВКонтакте», Mail.ru, Google и Apple и правда предлагают услуги авторизации, но электронная почта тут ни при чем. Все эти компании используют открытый протокол авторизации OAuth, который позволяет владельцам других сайтов и программ упростить доступ для новых пользователей. Им не нужно заводить отдельный аккаунт, придумывать новые логины и пароли — вместо этого можно использовать существующую учетную запись в Mail.ru, «ВКонтакте», Google, Apple, X (Twitter) или Microsoft. Достаточно быть залогиненным в тот сервис, с учетной записью которого пользователь заходит на сторонний сайт, разрешающий этот вид авторизации (например, на сайт по продаже билетов в кино с помощью своего логина в Google).
Таким образом, действительно, поправки запретят авторизовываться с использованием учетных записей в сервисах Google, Apple, Microsoft и других зарубежных компаний. Если вы, к примеру, заходили в какой-то российский интернет-магазин с помощью вашей учетной записи в Google, то после 1 декабря 2023 года все может сломаться. Мы не знаем, будут ли все российские сервисы соблюдать новые правила авторизации, предупредят ли они своих пользователей о возможных проблемах и предложат ли пути их решения. В крайнем случае можно будет завести новые учетные записи для российских сайтов, сервисов и программ.
Но одна из активно используемых россиянами систем авторизации — это «Яндекс ID». Он предлагает единый аккаунт как для всех сайтов и сервисов «Яндекса», так и для сторонних сайтов и приложений, которые поддерживают его авторизацию. Но в отличие от других российских сервисов, новые поправки могут поставить его вне закона — запретить использование для российских пользователей.
Что за проблемы у «Яндекса»?
Поправки написаны таким образом, что «Яндекс» одновременно считается и не считается российской компанией.
Головное юридическое лицо «Яндекса» зарегистрировано в Нидерландах и является публичной компанией. Из документов, поданных компанией в Комиссию по ценным бумагам и биржам США (SEC), следует, что «Яндекс» находится под контролем иностранцев и россиян с гражданством других государств.
Голосующие доли «Яндекса» на конец 2022 года были распределены следующим образом:
- 45,1% принадлежали LASTAR Trust, семейному трасту сооснователя «Яндекса» Аркадия Воложа
- 5,9% — старейшему сотруднику «Яндекса» Владимиру Иванову
- 3,94% — американской инвестиционной компании Invesco Ltd
- 2,86% — американской холдинговой компании FMR LLC
- 2,49% — американской инвестиционной компании Capital Research Global Investors
- остальные доли принадлежали членам совета директоров компании (0,04%) или находились в свободном обращении (39,67%)
Сам Волож одновременно является гражданином России, Израиля и Мальты. То есть не соответствует жесткому определению «российскости» владельца системы авторизации.
С другой стороны, Волож обязался не указывать управляющему трастом, как тому следует голосовать. И тот должен был голосовать в соответствии с рекомендациями независимых членов совета директоров «Яндекса». Но сейчас совет состоит из семи независимых директоров — из них трое являются иностранными гражданами, а у россиянина Алексея Яковицкого есть гражданство Кипра. То есть россияне без второго гражданства составляют меньшинство из числа независимых директоров компании «Яндекса» и не могут контролировать решения траста Воложа.
Вместе траст Воложа и три американские компании контролируют более 50% голосов головной компании «Яндекса».
Поэтому с точки зрения принятых поправок «Яндекс» — не российская компания, когда речь идет о его системе авторизации и праве на использование этой системы в России. Чтобы такая система считалась российской, физлицо, владеющее ею, не должно иметь гражданства других государств, помимо России. А если владелец — юрлицо, то необходимо, чтобы его прямо или опосредованно контролировали только власти РФ или граждане России без второго гражданства. «Яндекс» этим требованиям не соответствует, и значит, его системой авторизации пользоваться нельзя.
4) с использованием иной информационной системы, обеспечивающей авторизацию пользователей сайтов и (или) страниц сайтов в сети «Интернет», и (или) информационных систем, и (или) программ для электронных вычислительных машин и соответствующей требованиям о защите информации, установленным статьей 16 настоящего Федерального закона, владельцем которой является гражданин Российской Федерации, не имеющий гражданства другого государства, или российское юридическое лицо. Если иное не предусмотрено международным договором Российской Федерации, российским юридическим лицом, указанным в настоящем пункте, является юридическое лицо, находящееся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. При этом под контролем понимается возможность определять решения, принимаемые указанным юридическим лицом, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данного юридического лица.
(будущий четвертый пункт части 10 статьи 8 Федерального закона «Об информации, информационных технологиях и о защите информации»)
В то же время «Яндекс», по тому же закону, — это российская компания с точки зрения обязанности авторизовывать своих пользователей из РФ только строго определенным образом. Тут достаточно, чтобы владелец был российским гражданином или российским юрлицом — не важно, есть у него в дополнение иностранный паспорт или нет.
Владелец сайта и (или) страницы сайта в сети «Интернет», и (или) информационной системы, и (или) программы для электронных вычислительных машин, являющийся российским юридическим лицом или гражданином Российской Федерации и осуществляющий свою деятельность в сети «Интернет» на территории Российской Федерации, в случае, если доступ к информации, размещенной на его сайте и (или) странице сайта в сети «Интернет», и (или) в его информационной системе, и (или) программе для электронных вычислительных машин, предоставляется пользователям, прошедшим авторизацию, обязан проводить ее в отношении пользователей, находящихся на территории Российской Федерации, одним из следующих способов:
(будущий первый абзац части 10 статьи 8 Федерального закона «Об информации, информационных технологиях и о защите информации»)
То есть, с одной стороны, «Яндекс» обязан будет соблюдать новые требования к авторизации российских пользователей на своих сайтах и сервисах. А с другой — пользователи не смогут использовать его систему авторизации из-за недостатка «российскости». То есть если компания будет соблюдать российский закон, то войти в «Яндекс Почту», «Яндекс Go» или «Яндекс Еду» (и в любые другие сервисы) по «Яндекс ID» больше не получится.
Может ли «Яндекс» избежать проблем?
Да. Есть несколько разных вариантов.
Во-первых, власти могут признать ошибку (если это была ошибка) и до 1 декабря 2023 года изменить поправки, которые еще не успеют вступить в силу.
Во-вторых, владельцы «Яндекса» могут стать более «российскими». Для этого компанию можно национализировать — и она будет принадлежать российским властям. Или продать российским предпринимателям, у которых нет иностранного гражданства.
В «Яндексе» отказались отвечать на вопросы «Медузы».
Читайте также
- Сделка по продаже российской части «Яндекса» оказалась на грани срыва. Совет директоров не хочет отдавать компанию миллиардерам под западными санкциями Хотя покупателей уже одобрил Путин
- Российскую часть «Яндекса» продадут «консорциуму миллиардеров». В него могут войти Алекперов, Мордашов и Потанин — «интерес проявляет» и друг Путина Юрий Ковальчук Мы узнали, как Кремль и Кудрин готовят эту сделку
Что грозит за «неправильную» авторизацию?
Пока ничего. Пользователь вообще ничего не нарушит, если будет спокойно регистрироваться и логиниться любым способом, который ему предложит владелец сайта, сервиса или программы.
Владелец ресурса даже в случае нарушения установленных законом правил авторизации не понесет никакой ответственности. Она пока не предусмотрена. «Меры ответственности действительно не прописаны, это случится позже, после оценки правоприменительной практики», — так комментировал свои поправки Горелкин.
Зачем все это властям?
Мы не знаем. Возможно, это подготовка к ситуации, когда российские власти решат отключить страну от глобального интернета. Если пользователи из РФ перейдут на разрешенные законом способы авторизации, у них не пропадет доступ к российским сервисам, в которые они ранее заходили через Apple ID или свою учетную запись в Google.
Попробуйте токены
Денис Дмитриев
Что это?
Федеральная государственная информационная система «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме»
Это что такое?
Государственная информационная система «Единая система идентификации и аутентификации физических лиц с использованием биометрических персональных данных» применяется для дистанционного открытия счетов в банках, выдачи кредитов и оказания финансовых услуг.
Что такое авторизация?
Это процедура предоставления пользователю определенных разрешений и прав доступа.
Почему?
Потому что в поправках прописано, что порядок такого использования телефонов должно утвердить правительство РФ. А владельцы сайтов или программ должны заключить договоры об идентификации пользователей с мобильными операторами. Такой порядок и договоры пока есть только для владельцев мессенджеров — «организаторов сервисов обмена мгновенными сообщениями».
Прямо совсем на всех?
Почти. Правила касаются всех интернет-ресурсов, которые работают на территории России и которыми владеют российские граждане или российские юрлица. То есть новые требования не распространяются на иностранные компании без российских юрлиц, которые оказывают услуги жителям РФ, и на российские компании, которые, наоборот, принципиально отказываются работать на территории РФ.
Apple ID еще работает в России?
Да. Но пополнить счет Apple ID в РФ возможно лишь со счета мобильного телефона с операторами «Билайн» и МТС. Кроме того, в России невозможно воспользоваться Apple Pay: Visa и MasterCard ушли с российского рынка, а добавить карту «Мир» в сервис нельзя. Также Apple закрыла онлайн-магазин в РФ, перестала официально выпускать новые продукты в стране, прекратила техподдержку и удалила из App Store приложения многих российских банков, исходя из санкций, введенных в ответ на полномасштабное вторжение в Украину.
Что это такое?
Компактное устройство, подключающееся к компьютеру или телефону через USB, NFC или Bluetooth. Он похож на обычную флешку, хранит зашифрованную информацию, защищен от взлома, например, пин-кодом.
Совсем ни при чем?
Она принципиально не нужна для авторизации. Но может дополнительно запрашиваться сайтом или приложением вместе с другой информацией о пользователе (вроде имени или пола). OAuth-провайдеры обычно предупреждают, какой информацией пользователь «делится» с сайтом или приложением.