истории
«Новые блокировки если и откатят, то не полностью — процентов на пятьдесят, а половину оставят, и это станет новой нормой» В августе независимые VPN-сервисы пережили одну из самых крупных атак. Чем она отличалась от других? И когда ждать следующую? Мы спросили сами компании
Источник: Meduza
Павел Бедняков / AP / Scanpix / LETA
В начале августа Россия пережила одну из самых массовых волн блокировок VPN-сервисов. Один из руководителей ФБК Леонид Волков назвал атаку «самой крупной за всю историю». О том, чем эта атака отличается от предыдущих и есть ли какая-то логика за решениями Роскомнадзора, «Медуза» спросила представителей четырех VPN-сервисов: Liberty VPN, Amnezia VPN, Paper VPN и BlancVPN.
— Действительно ли новую атаку можно назвать самой крупной за все время? Сколько сервисов она затронула, чем отличалась от предыдущих и удалось ли справиться с ней на сто процентов?
Liberty VPN
— Нас эта атака практически не задела — мы увидели лишь небольшие следствия, скорее активизацию уже знакомого паттерна. Мы с ним столкнулись месяца за два до августовской волны, где-то в середине июня. Судя по всему, нас выбрали случайно — просто как подопытных, на которых начали обкатывать новый сценарий. Я не сторонник теорий о том, что кого-то специально «выделяют».
История была неприятная: обычно, когда происходит что-то масштабное, сервисы начинают активно переписываться в чатах, обмениваться информацией и вместе быстрее находят решение. А здесь получилось, что затронуло нас одних — и привычной консолидации с коллегами по цеху не было. Зато когда волна дошла до всех, мы были уже стреляным воробьем: успели понять, как все работает, и построили автоматическую систему, которая в реальном времени отражает такой тип атаки. Поэтому, когда остальные повалились набок, мы устояли. Но здесь очень большой элемент случайности — на нашем месте мог оказаться любой другой сервис.
Сама по себе атака не то чтобы новая — это то, о чем все давно предупреждали. Отличается она тем, что впервые, судя по всему, применили информацию, которую собирают через российские приложения и сервисы — «Яндекс», «ВКонтакте», «Макс», HeadHunter. Они взяли весь накопленный массив данных — IP-адреса, привязки к соцсетям, целые подсети, закрепленные за конкретными юрлицами, — и залили его в ТСПУ. Как именно мы справились с атакой, рассказать не можем.
Главное в атаке — не сам механизм, а масштаб и автоматизация. Раньше Роскомнадзор многое делал в ручном режиме: собирал массив адресов по подписке, что занимало время, и только потом блокировал. Теперь они отрабатывают масштабирование: IP-адреса уходят в блокировку пачками — условно каждые шесть или 12 часов, по не очень понятному принципу. Блокируются сразу все ваши адреса, даже те, что нигде не светились: если у вас есть, например, соцсеть или подсеть хостера, ее берут целиком и добавляют в список на блокировку. За счет данных, которые они накопили и, видимо, сейчас получают из сторонних российских приложений в реальном времени, атака была намного масштабнее.
В то же время ТСПУ начали ставить на выход у сетевых узлов в российских дата-центрах, которые раньше почему-то жили без этого. Это само по себе замедляет интернет — трафик идет через узел и теряет миллисекунды, растет задержка, — а с блокировками урон несут вообще все компании, размещенные в дата-центре.
При этом всех на алтарь блокировок положить нельзя — приходится учитывать чьи-то интересы, и иногда блокировки даже откатывают. За последние недели мы видели, как тестировали блокировки GitHub, App Store и магазинов приложений: технически заблокировать их точно могут — достаточно добавить целиком подсеть, например Apple, — но пока не решаются ввести это окончательно.
Сколько сервисов затронуло — мы точно не знаем, но, судя по всему, очень много: в чатах был классический набор из сообщений «у нас тоже отвалилось, тоже заблокировали, разбираемся».
Paper VPN
— Я бы не говорил о самой крупной атаке, так как нет методики измерения. Она затронула сервисы, которые использовали определенных хостеров, и некоторых пользователей, использовавших тех же хостеров для личного VPN. Она отличалась тем, что, вероятнее всего, использовала большой массив накопленных заранее данных и затронула разные сервисы (включая и небольшие).
С ней удалось справиться через реорганизацию инфраструктуры.
BlancVPN
— Сравнивать эту блокировку с другими сложно, потому что о них не так много информации. Многие участники рынка сходятся в предположении, что для этой блокировки Роскомнадзор какое-то время собирал данные с ТСПУ, а затем в течение определенного времени централизованно обрабатывал, поэтому под блокировку могла попасть только часть серверов, за исключением, например, новых. Мы знаем, что эта волна затронула даже небольшие VPN, в том числе крошечные selfhosted-сервисы.
Мы пережили эту блокировку, как и все предыдущие. BlancVPN работает стабильно и непрерывно развивает инфраструктуру. Как это делается, мы по понятным причинам раскрывать не можем.
Amnezia VPN
— Нам сложно что-то сказать и прокомментировать по этому вопросу, так как эта волна блокировок нас абсолютно не затронула. Почему-то многие СМИ начали писать, что Amnezia тоже подверглись блокировкам в начале августа, но это не так.
— Леонид Волков описывал метод, с помощью которого РКН якобы получает IP-адреса пользователей: многие российские приложения не открываются при включенном VPN и, когда человек отключает VPN, чтобы ими воспользоваться, его настоящий IP-адрес фиксируется и затем блокируется. Так ли это на самом деле?
Liberty VPN
— Здесь что-то немного перепутано. Блокировать сам российский IP-адрес пользователя Роскомнадзору незачем — они действуют иначе.
Чтобы понять, из какого VPN вы выходите, блокировать ваш вход на сайт не нужно. Когда вы заходите на сайт через браузер, он получает большой набор информации о вашем устройстве. Базовое — это IP-адрес, с которого идет обращение: не ваш личный, а выходной IP ближайшего к вам маршрутизатора, то есть выходной IP VPN. Если видно, что это сеть известного хостинга, то с вероятностью 99% это VPN — коммерческий или корпоративный.
Второе — время отклика: сайт знает, сколько прошло между тем, как у вас обновилась страница, и тем, как команду принял IP, с которого идет подключение. Если по этой разнице видно, что вы физически находитесь не там, где заявленный маршрутизатор, — значит, это VPN. Этого достаточно, чтобы пометить адрес как VPN и передать в Роскомнадзор. Так они точно делают.
По секрету скажу про один российский сервис. Полгода назад его команда получила две задачи по сбору информации о пользователях. Первая — собирать данные от Apple, время отклика и прочее и передавать это по Gmail в Роскомнадзор. Вторая — передавать всю эту информацию вместе с моделью устройства и данными аккаунта (если там есть имя, фамилия, паспортные данные или это аккаунт организации) в ФСБ автоматически, без каких-либо флажков. Причем, со слов источника, ФСБ предоставила под это свой API. Поэтому мы уверены, что это работает именно так.
Paper VPN
— Мы не можем гарантированно подтвердить такой метод. По расследованию коллег мы знаем, что в некоторые российские приложения был вшит метод, позволяющий проверять использование VPN, и он может фиксировать IP-адрес пользователя, после чего сохранять его и/или отправлять цензору. Было ли это использовано сейчас, или данные фиксировались статистическим методом — точно мы не знаем.
BlancVPN
— Роскомнадзор может получать IP-адреса VPN-сервисов через российские приложения. Предполагаем, что приложения как минимум логируют IP-адреса, как максимум — передают их цензору.
Amnezia VPN
— У нас нет информации, что РКН собирает настоящие IP-адреса пользователей — операторы связи и так знают их. Может быть, речь идет о том, что РКН так пытается вычислить IP-адреса VPN-серверов? Вот это они вполне могут делать. Уже было установлено, что приложения типа «Макса» отправляют телеметрию, в том числе и адреса, с которых видят пользовательские подключения. Если используется one-hop VPN, это как раз и есть адреса VPN-серверов.
— Все ли российские приложения передают данные государству. Есть ли те, кто этого не делает? И как VPN-сервисы или сам человек могут обойти такой сбор данных?
Liberty VPN
— Судя по всему, данные передают все: даже совсем непримечательные гражданские продукты оказались в это втянуты. Но утверждать наверняка не могу — за руку всех не ловили, это мое личное убеждение.
Рабочего инструмента, который позволил бы обойти этот сбор — со стороны сервиса или пользователя, — сегодня фактически не существует. Объясню на примере «Макса». Первым делом все VPN-сервисы бросились делать так называемый роутинг — раздельное туннелирование, когда на уровне сервиса прописываются правила, что домены зоны .ru и некоторые российские сайты идут в обход VPN, напрямую с устройства. Но в Роскомнадзоре и в этих компаниях сидят технически неглупые люди. На примере «Макса» было видно, как они это обходят: опрашивают IP по одному домену, потом по другому, сравнивают несколько адресов — и видят, что один IP российский (пользовательский), а другой нет.
Плюс на смартфонах на уровне операционной системы есть флажок включенного VPN, и приложение его видит. И ваш IP они в любом случае видят. То есть даже с раздельным роутингом им ничто не мешает сделать двойной опрос по зонам .com и .ru, как в «Максе», — и так они, судя по всему, и поступают. Обойти это никак не получится.
Роутинг в итоге прижился, но не поэтому: он нужен, чтобы пользователю не выскакивало предупреждение и он мог спокойно пользоваться нужным приложением или сайтом.
Paper VPN
— Мы знаем, что некоторые российские приложения могут передавать подобного типа данные, но мы не знаем точно, делают они это или нет.
VPN-сервисы могут обойти такой сбор данных через разделение входного и выходного адреса. В таком случае вероятнее всего блокировке подвергнется выходной адрес, что не повлияет на работу. Но блокировка не осуществляется всегда каким-то одним образом, это сумма различных методов.
Для пользователей на этот счет у нас нет конкретных рекомендаций, кроме рекомендации использовать отдельный телефон для российских приложений с функцией детекции VPN. По понятным причинам на это не готовы большинство пользователей, поэтому мы работаем над решением этой проблемы на уровне инфраструктуры.
BlancVPN
— Мы не думаем, что коммерческие сервисы хотят передавать информацию в Роскомнадзор, однако по запросу от органов они обязаны ее предоставить, в том числе и IP-адрес. А информацию о пользователях сервис должен сохранять от шести месяцев до трех лет, если он попадает под статус ОРИ.
Стопроцентной защиты от этого не существует, однако для российских приложений можно использовать как отдельный телефон, так и раздельное туннелирование в приложении VPN-сервиса. В BlancVPN, например, оно уже встроено в приложение.
Amnezia VPN
— Большинство. Обойти сбор данных с помощью VPN невозможно — это же сами приложения отправляют данные. Можно только избежать блокировки VPN-серверов, используя 2-hop VPN, чтобы входной адрес отличался от выходного. Все крупные и средние VPN уже давно используют этот подход.
Хотите всегда быть в курсе происходящего и понимать, как жить в этом безумном мире? Тогда вот что мы рекомендуем. Раз: скачайте приложение «Медузы» прямо сейчас — все главные новости, репортажи и разборы дня всегда будут у вас под рукой. Приложение работает без VPN, бесплатно и безопасно. Два: поддержите «Медузу», чтобы мы и дальше могли приносить вам актуальную и полезную информацию о России и мире.
— Источники РБК сообщили, что Минцифры хочет ужесточить контроль за IP-адресами корпоративных VPN, которые разрешено использовать в России. Связана ли новая волна блокировок с этой инициативой и к чему может привести ужесточение контроля за этими IP-адресами?
Liberty VPN
— Мы уже видим, к чему это приводит. Обходить «белые списки» становится все тяжелее — это гораздо более сложная и дорогая в реализации задача, чем обычный обход блокировок.
У каждого сервиса свой порог готовности этим заниматься, и часть сервисов может от этой темы отвалиться — на что все эти меры, по сути, и направлены. Но это рынок, а не плановая экономика, поэтому нужные IP-адреса на нем все равно будут — просто они будут все время дорожать.
Из последнего, что мы слышали: «белые» IP предлагали за 10 миллионов рублей в месяц. У нас таких денег нет. Но сам факт, что подобные предложения уже появляются на рынке, — важный сигнал.
Но с августовской волной блокировок это никак не связано: там блокировали зарубежные IP-адреса, а не российские. Ужесточение контроля за «белыми» IP — это отдельный процесс, который и так идет активно. Раз информация просачивается, его, видимо, будут разгонять.
Paper VPN
— Нет, думаю, что не связана. Усиление контроля может привести к усложнению обхода, если кто-то из коллег использовал такой метод.
BlancVPN
— Мы не считаем, что блокировки как-то связаны с корпоративными VPN-сетями. Реестр корпоративных VPN существует уже несколько лет, и все крупные компании добивались того, чтобы занести в него свои IP-адреса как доверенные.
Amnezia VPN
— Уже ужесточили, уже блокируют, рассылают письма провайдерам, ищут «белосписочные» серверы, которые используются для VPN. И последняя, августовская волна блокировок VPN-сервисов (которая нас не затронула) как раз частично с этим и связана. Приведет [это] к тому, что VPN станет дороже.
— Насколько вероятен вариант, что россияне будут массово пользоваться госVPN, если он появится?
Liberty VPN
— Фактически легитимные VPN у нас уже есть — их давно реализовали операторы, у МТС, по-моему, была даже целая структура вокруг «легального VPN». Любой существующий сервис в любой момент может стать легальным, и делается это просто: пишете заявку в Роскомнадзор в соответствии с федеральным законом (что вообще-то все сервисы должны были сделать с момента основания), вам присылают документацию по API Роскомнадзора, вы подключаетесь — и на ваш трафик параллельно накладываются правила блокировок. Вот и весь «легальный VPN».
Но для большинства людей, которые пользуются VPN, особенно за деньги, VPN — это Telegram, YouTube, Instagram, независимые медиа. И здесь власти опоздали: чтобы такая история сработала, ее надо было запускать в марте-апреле 2022 года — подсадить людей на «легальную» структуру, пока запрещенные ресурсы блокируют медленно и постепенно. Но вышло наоборот: альтернативу вовремя не предложили, проблему сограждан решать не стали — и ее решили другие. Причем решили сразу и проблему, созданную международными компаниями, и ту, что создало собственное государство.
Результат закономерный: человек скачал VPN ради ютьюба, а потом вспомнил, что есть еще инстаграм, независимые медиа и много чего другого, — и заново подсел на уже забытые способы получать информацию. Так что нет — конкуренции государственный VPN просто не выдержит, это рынок. Мы видели это на примере «Макса»: в его рекламу вливали безумные деньги — и это ничего не изменило. Ресурсы и деньги на рынке очень часто не значат ничего.
Paper VPN
— Пользователи будут рады любому быстрому и стабильному методу обхода блокировки. Но в данном случае, вероятно, главным кейсом станет доступ к LLM для тех, кому такой функционал требуется в рабочих целях. Массовость можно будет оценить после выхода такого сервиса на рынок.
BlancVPN
— ГосVPN не даст доступ к запрещенным в России сервисам. Возможно, он подойдет для каких-то целей, но мы не думаем, что он будет использоваться массово как основной VPN-сервис.
Amnezia VPN
— Такой сервис не появится. Разве есть такой сервис в Китае?
— Есть ли какая-то логика за волнами блокировок РКН — когда они случаются и почему? Ожидаете ли вы усиления перед выборами в Госдуму?
Liberty VPN
— В большинстве случаев логики нет — она бывает разве что ситуативной: иногда им нужно что-то заблокировать или усилить из-за какого-то текущего процесса, но в целом блокировки живут в своем отдельном режиме.
Важно понимать: Роскомнадзор — это не контора непонятных роботов, а организация из людей. Люди ходят на работу, у них есть рабочие задачи, которые они просто выполняют, иначе не получат зарплату. Кто-то написал новые правила, сетевые инженеры их «разлили», когда дошли руки, — и как только правила доехали, случилась очередная блокировка. Она не привязана ни к чему, это просто работа. Сразу вспоминается «банальность зла».
Но по случаю крупных мероприятий усиление есть всегда — мы это видели, например, вокруг 9 Мая: усиление блокировок, отключение мобильного интернета. Так что да, перед выборами в Госдуму мы ожидаем ситуативных усилений, а на сами выборы — скорее всего, чего-то в духе 9 Мая. Обоснование будет прежним, про безопасность: мол, «киевский режим» хочет помешать свободному волеизъявлению. После этого блокировки если и откатят, то не полностью — процентов на пятьдесят, а половину оставят, и это станет новой нормой. Это их излюбленная тактика.
Мы взяли за основу данные «Коммерсанта» — и, честно говоря, удивлены, что ему вообще позволили такое опубликовать. «Белым спискам» как режиму блокировок в России еще нет и двух лет, и меньше чем за два года власти совершенно незаметно для большинства закрутили гайки: в некоторых регионах мобильного интернета фактически не существует, но люди платят по 600–800 рублей в месяц за то, чего у них нет, просто по привычке.
Так они будут действовать и дальше — и с обычными блокировками, и с «белыми списками». Лягушку варят медленно: если варить быстро, она поймет, что что-то не так, и выпрыгнет, а на медленном огне никуда не денется. Именно это мы и видим на примере блокировок в России.
Paper VPN
— Они всегда случаются в августе, в период отпусков и минимального рабочего трафика, чтобы, как мы считаем, снизить вероятность сломать что-то разрешенное и тем самым вызвать дополнительное раздражение пользователей.
Мы всегда ожидаем усиления блокировок и всегда к ним готовимся. Это реальность, в которой мы находимся.
BlancVPN
— Мы ожидаем усиления блокировок и до, и после выборов в Госдуму. Особенно — после. Когда конкретно они случаются и почему, сказать сложно, потому что логики между ними не прослеживается. Вероятно, они случаются, когда нужно отчитаться об эффективности потраченных средств, выделяемых из бюджета. Однако тенденция к усилению блокировок сохраняется, а Роскомнадзор продолжает тратить миллиарды на расширение инфраструктуры для усиления ограничений.
Amnezia VPN
— Логика одна: сейчас за VPN взялись уже серьезно, и сама фраза «волна блокировок» применима только к каждому отдельно взятому сервису, когда идет атака конкретно на него. А так у РКН нет никаких волн — они каждый работают по графику 5/2 и каждый день что-то делают, по готовности что-то выкатывают.
Записал: Микита Кучински