Clanek pochazi z Meduza.io

 

Na výzvu zareagovalo více než 800 čtenářů Meduzy s dotazy k technologii VPN. Vybrali jsme ty, které se týkaly blokování služeb VPN v Rusku, a požádali je profesionály.

 

 Na otázky odpovídal Vadim  Misbakh-Soloviev , technický specialista Roskomsvoboda a krypto nadšenec, Stanislav Shakirov , zakladatel Privacy Accelerator , a také ValdikSS , zakladatel projektů na obcházení zámků GoodbyeDPI a AntiProhibition .

Nejprve krátký návod, jak řešit problémy s VPN

1. Pokud VPN přestane fungovat, zkuste si pohrát s nastavením: přepněte protokol nebo zapněte režim mlžení.
2. Pořád nefunguje? Kontaktujte podporu pro vaši službu VPN.
3. Počkejte několik dní: výpadky mohou zmizet díky úsilí vaší služby.
4. Pokud vše ostatní selže, zkuste hledat jinou VPN.
5. Nezapomeňte nainstalovat Tor, Psiphon a Lantern - programy speciálně navržené pro obcházení blokování.

Jsou v dokumentu Google (o tom, jak číst blokované zdroje a co dělat, když VPN nefunguje).

Jak bloky fungují a jak pochopit, že je vaše VPN blokována

Jak technicky obtížné je blokovat VPN? Zdálo se mi, že to lze vyřešit pouze firewallem , jako v Číně

Krátký. Případně - většinou stačí zablokovat IP adresy služby.

ValdikSS. Blokování konkrétní VPN služby je snadné: stačí zablokovat IP adresy serverů této služby, aby se k nim klient nemohl připojit. Pokud služba nemá široký fond IP adres, nemění (nerotuje) servery tak, aby bylo obtížné je detekovat a blokovat, a navíc nepoužívá různé triky proti cenzuře, pak je blokování pomocí IP naprosto spolehlivé opatření, které výrazně nebo úplně zablokuje možnost připojení ke službě.

Blokování podle IP adres je implementováno na síťových směrovačích poskytovatelů , což nevyžaduje žádné další vybavení, jako jsou firewally nebo systémy Deep Packet Inspection .

Vadim Misbakh-Solovjev. Z hlediska vybavení, pokud se dá provoz nějak určit, tak se dá zablokovat. V případě služeb VPN stačí i pochopení, že adresa serveru, na který směřuje váš provoz, patří společnosti, jejíž webové stránky říkají „poskytujeme služby přístupu k naší VPN“. K rozhodnutí o blokování stačí jednoduše poskytnout TSPU seznam adres pro zařízení.

Jak poskytovatel vidí využití VPN? Vidí vůbec? Dokáže detekovat využití VPN podle toho, jaká data se odesílají?

Krátký. Někdy poskytovatel jasně vidí, že jeho klient používá VPN. Data, která si uživatel prohlíží, však poskytovatel nemá k dispozici.

Vadim Misbakh-Solovjev. Vše závisí na technologii VPN.

Některé protokoly předstírají, že se jedná o přenos HTTPS, nebo používají speciální dodatečné obfuskační programy, které svůj provoz maskují jako HTTPS. Zařízení DPI (a jednodušší filtrovací zařízení) to tedy vidí, jako byste si vyměňovali spoustu informací s nějakým druhem webu.

Existuje však teoretická možnost odlišit takový provoz od použití skutečného webu. Jen to vyžaduje podstatně více úsilí na analýzu, takže to nikdo nedělá.

Technologie VPN, které nepředstírají, že jsou HTTPS (nebo jej přímo nepoužívají), se na hardware dívají jako na pouze šifrovaný provoz mezi vámi a vzdáleným serverem (u kterého lze stále ověřit, že pochází od společnosti poskytující přístup k VPN). Nebo, pokud technologie nepoužívá šifrování, bude provoz zcela otevřen filtrovacímu zařízení a bude moci analyzovat jeho obsah stejným způsobem, jako by provoz procházel přes něj přímo, bez VPN.

ValdikSS. Stručně řečeno: ne všechny protokoly skrývají skutečnost, že používají VPN, ale šifrovaný obsah není pro poskytovatele dostupný. To znamená, že poskytovatelé nemají možnost blokovat stránky a služby otevřené přes VPN.

Jak zjistím, zda je moje VPN skutečně blokována? Co když se jedná pouze o technický problém se službou VPN?

Krátký. To není tak snadné zjistit sami, takže je snazší kontaktovat podporu vaší služby VPN.

ValdikSS. To může být netriviální úkol i pro specialisty, a zde je důvod: Servery služeb VPN jsou blokovány na zařízení TSPU , aniž by byly přidány do jednotného registru zakázaných stránek - oficiální web Roskomnadzor vám neukáže fakt blokování, i když znáte IP adresu serveru VPN nebo technické domény služby.

Například zablokovaná aplikace ProtonVPN přistupuje na https://api.protonvpn.ch ke stažení informací o serveru. Tato adresa není uvedena v registru, ale neotevře se u poskytovatelů se systémem TSPU.

Existují dvě možnosti: buď použijte VPN se serverem v Rusku, který neblokuje weby pro ověření, nebo zkuste použít alternativy VPN – metody obcházení offline, jako je GoodbyeDPI , zapret a DPI  Tunnel . Tyto programy upravují provoz a přidávají falešné pakety, aby oklamaly systém DPI bez použití tunelů .

Stanislav Shakirov. Pro jednoduchého uživatele je nemožné to pochopit. Jakákoli diagnostika bez specializovaných nástrojů používaných správci systému může být pouze pravděpodobnostní.

Ani kontrola pomocí takových nástrojů, kvůli zvláštnostem práce TSPU, nemůže dát přesnou odpověď, že se jedná o zablokování konkrétní služby, a nikoli o problémy poskytovatele, které nezná, nebo o „kobercové bombardování“ další zdroj, který náhodou spadl pod ten, který potřebujete.

Nejúčinnější varianta:

1. Zkontrolujte fungování služby z několika zemí. K tomu mohou být vhodné buď pronajaté virtuální servery (přesnější odpověď - metoda však vyžaduje výdaje a znalosti v IT), nebo služby kontroly dostupnosti (méně přesná odpověď, ale metoda je bezplatná a relativně jednoduchá).
2. Napište dopis podpůrné službě samotné služby a zeptejte se, zda mají problémy (a zkuste požádat o pomoc).

Pokud je konkrétní VPN zablokována, má smysl čekat, až vývojáři její blokování obejdou?

Krátký. Někdy je zbytečné čekat. Nejlepším řešením je zeptat se týmu podpory VPN, zda plánují blokování obejít.

ValdikSS. Vše závisí na technické způsobilosti a přání služby poskytovat přístup v konkrétním regionu. Roskomnadzor neblokuje servery příliš pečlivě a s aktualizací informací nijak nespěchá. Takže jednoduchý program pro výčet IP adres uzlů při hledání pracovníka vám umožňuje připojit se k síti Tor do 30 sekund ve 100% případů: 60-70% mezilehlých uzlů je blokováno, ale zbývajících 30-40 % zůstává k dispozici; podobná situace u ProtonVPN - administrace změnila IP adresy některých serverů a jsou opět dostupné, i když ne pro všechny protokoly.

Vadim Misbakh-Solovjev. Neexistuje jediná odpověď. Některé služby mají zájem pokusit se blokování obejít. Někteří ne. Například pokud pro ně náklady na obcházení zámků převyšují příjem ze služby.

Nejlepší by opět bylo zeptat se služby technické podpory, zda plánují v souvislosti s blokací něco udělat nebo zda o ně nemají zájem.

Proč je VPN blokována mnohem častěji a efektivněji na mobilních sítích než na kabelovém připojení?

Krátký. Protože zatím ne všichni drátoví operátoři mají speciální zařízení pro blokování. Mobilní sítě jsou tímto zařízením plně pokryty.

ValdikSS. Protože systémy TSPU jsou instalovány ve všech mobilních sítích a malí kabeloví poskytovatelé je nemají všude. Do roku 2023 se situace může změnit – zákon vyžaduje instalaci TSPU u všech poskytovatelů od 1. ledna.

Vadim Misbakh-Solovjev. Protože veškerý provoz mobilních operátorů prochází TSPU. A už mají spoustu DPI výbavy, jejíž jednou z funkcí je blokování.

A operátoři pevných linek (kteří ještě nebyli všichni vyhubeni) mají různé sady zařízení nakonfigurované různými způsoby a sami mohou využívat různé páteřní poskytovatele s různými podmínkami.

A pokud váš internet není z podmíněného „Dom.ru“ nebo „Rostelecom“ (a také ne z „drátových“ divizí mobilních operátorů) a žádný z nich ještě nekoupil vašeho poskytovatele, pak existuje šance, že má není nainstalováno TSPU a provádí uzamčení registru nějakým řemeslným způsobem.

Jaký typ DPI zařízení je instalován u velkých poskytovatelů a provozovatelů „velké trojky“?

Krátký. Vlastní zařízení na blokování dopravy a zařízení Roskomnadzor. Druhý blokuje domény a servery i mimo jednotný registr zakázaných zdrojů.

ValdikSS. Typická konfigurace velkého poskytovatele v Rusku od léta 2022 je následující: systém TSPU Roskomnadzor plus DPI , který byl používán před implementací TSPU. Používají se dva (někdy i více) systémy současně.

TSPU byl koncipován jako flexibilní systém s nejrůznějšími funkcemi, ale zatím slouží výhradně k blokování.

Standardní vybavení DPI blokuje pouze zdroje z jednotného registru zakázaných zdrojů, zatímco TSPU blokuje z registru i další domény/protokoly/služby mimo registr. Na rozdíl od standardního DPI, které konfiguruje a spravuje poskytovatel, je TSPU řízeno výhradně Roskomnadzorem, poskytovatel nemá přístup k nastavení.

Stanislav Shakirov. Je známo, že operátoři používají EcoDPI od RDP jako TSPU. Tento systém je aktivní DPI, to znamená, že může blokovat nebo falšovat provoz.

A pokud je VPN zablokována, pak se občané Ruské federace v zahraničí nebudou moci pomocí ní připojit k ruským službám?

Krátký. Mohou, pokud potřebné stránky neblokují zahraniční provoz nebo má VPN ruské servery.

Vadim Misbakh-Solovjev. Mezi těmito událostmi neexistuje přímá souvislost. Vše závisí na konkrétních službách VPN a na tom, jak jsou jejich sítě vybudovány.

Abyste mohli přistupovat k ruským stránkám prostřednictvím služby VPN, musí být splněna jedna z těchto podmínek:

• služba má různé servery pro připojení k síti a pro opuštění sítě Internet, přičemž adresa serveru pro opuštění není na cílové stránce blokována (včetně geografické polohy);
• služba má složitý systém směrování provozu v závislosti na destinaci a má výstupní servery umístěné v Rusku a provoz na ruské stránky odchází přes ně (nebo je možné to nakonfigurovat).

ValdikSS. S VPN se bojuje pouze v rámci obcházení blokování, samotné tunely nejsou v Rusku zakázány. Například Kaspersky VPN Secure Connection spolupracuje s Roskomnadzor a neumožňuje přístup na stránky blokované v Ruské federaci.

TSPU navíc rozlišuje směr připojení (z Ruské federace nebo do Ruské federace), takže technicky lze i s automatickými zámky nakonfigurovat zařízení pro připojení uvnitř Ruska.

Spolupráce s úřady, bezpečnostními složkami

Je možné zjistit, proč zablokovaná VPN začala znovu fungovat: souhlasila se spoluprací s úřady nebo se naučila blokování obejít?

Krátký. Ne, ale můžete se na to zeptat přímo administrace služby VPN.

Vadim Misbakh-Solovjev. Určitě ne. Ani v případě nějaké dohody to strany nemusí přiznat. Jejich kontrola je z principu dost problematická a pro běžného uživatele absolutně nemožná.

Můžete se na to přímo zeptat v podpůrné službě služby VPN a na základě odpovědi si udělat názor na základě zkušeností a intuice.

ValdikSS. Nejjednodušší možností je položit dotaz správě služby. Naprostá většina z nich je ochotná se o odvedené práci ozvat a mluvit jak veřejně na blozích, tak i klientům na požádání, protože téměř všichni poskytují službu, jak obejít cenzuru a regionální blokování, a to nejen VPN jako takovou.

Jaká je pravděpodobnost, že alespoň za jednou hlavní službou VPN jsou lidé v uniformách?

Krátký. To se těžko hodnotí.

Vadim Misbakh-Solovjev. Vzhledem k historii společností [Evgeny a Natalia] Kaspersky a jejich spolupráci s držáky na ramenní popruhy a také příběhu s Torem taková možnost existuje, ale nelze ji nijak hodnotit.

Pokud jde o velké VPN služby, je třeba se podívat na to, kdo jsou zakladatelé a ve kterých zemích je služba registrována. Podívejte se také na recenze na Redditu. Ruští „chlapi v uniformách“ obvykle nestojí za velkými zahraničními službami.

Firemní VPN, proxy, Lucerna

Co se stane s VPN, které firmy nepoužívají k obcházení blokování, ale k propojení kanceláří do jedné sítě?

Krátce . S největší pravděpodobností budou fungovat.

ValdikSS. Moje prognóza je následující: provoz v rámci země (Rusko - Rusko) bude filtrován minimálně nebo vůbec a standardní VPN protokoly v zahraničí nebudou blokovány, alespoň automaticky.

Vadim Misbakh-Solovjev. Nelze jednoznačně odpovědět, vše závisí na použitých technologiích.

U některých služeb je pravděpodobnost utrpení (jako „vedlejší škody“ z boje proti službám, které poskytují přístup k jejich VPN za účelem obcházení blokování) poměrně malá. Například pravděpodobnost, že budou ovlivněny sítě založené na Cisco AnyConnect, je poměrně nízká.

Jiné, například ty založené na WireGuard nebo OpenVPN, mají vyšší šanci. Stále však existují možnosti, jak „položit slámu“ a snížit pravděpodobnost zablokování konkrétní sítě. Zde je na správci, kdo to obsluhuje.

Hypoteticky je také možné zavést „whitelisty“ firemních VPN – po vzoru, jak to funguje v Číně.

Je pravda, že úřady skutečně neblokují VPN, protože mnoho firem používá tyto protokoly pro podnikovou komunikaci?

Krátký. Ano, firemní klienti možná skutečně zachraňují Rusko před masivním blokem VPN.

ValdikSS. Věřím, že toto je hlavní faktor.

Stanislav Shakirov. Ano, rizika pro firemní klientelu jsou jedním z důvodů, proč ještě nezačalo masivní blokování VPN. Ale pracují s tím, řeší se to „bílými listinami“, a to je otázka času. Spoléhat se na to, že právě kvůli případnému výpadku firemních kanálů nebude blokováno vše ostatní, se rozhodně nevyplatí. Když bude politická vůle, nebudou stát na ceremonii s nikým. To vše již bylo testováno v Číně.

Dalším problémem je, že není možné úplně zablokovat všechny VPN, vždy budou fungovat protokoly.

ISP jako Psiphon nebo Lantern slibují, že jejich provoz není blokován. Proč ostatní nejdou stejnou cestou?

Krátký. Jedná se o skutečně spolehlivé služby se širokou škálou funkcí pro obcházení blokování, přesto jsou tvrzení o „neblokování“ přehnaná.

ValdikSS. Neviděl jsem taková prohlášení od autorů těchto programů, ale jsou skutečně navrženy tak, aby fungovaly v podmínkách uzamčení. Viděli jsme částečné zablokování Psiphonu v Rusku v prosinci 2021, Lantern - v květnu až červnu, a pokus zablokovat Lantern vedl k nedostupnosti mnoha adres velkého hostingového webu DigitalOcean.

O Psiphonu mohu říci: program má vestavěné metody zmatku, používá technologii doménového frontingu , napodobuje jiné protokoly, získává seznam serverů prostřednictvím dalších kanálů a chytré metody pro nalezení funkční metody připojení.

Mezi zajímavé funkce Psiphonu patří podpora pro Refraction Networking  , speciální tunelovací protokol, pro který je server instalován od zahraničního poskytovatele přímo na tranzitních komunikačních kanálech. Tato metoda umožňuje proměnit jakýkoli cizí web na  proxy , pokud data nějak projdou přes poskytovatele s nainstalovanou technologií, což cenzorům ještě více ztěžuje život.

Vadim Misbakh-Solovjev. V jistém smyslu jde o marketingový trik založený na podhodnocených předpokladech. Základem je, že využívají prvky tzv. mesh technologie . Podstatou této technologie je, že podmíněně všichni účastníci komunikují s každým. A i když je většina cest mezi nimi zablokovaná, ale je tam alespoň jedna neblokovaná, provoz si ji najde a bude se jí řídit. Konkrétně u těchto služeb je vše trochu složitější, ale základní myšlenka je tato.

Vše však záleží na tom, jak moc chtějí blokující konkrétní službu blokovat. A také na to, jak je služba připravena na aktivní odpor. Teoretická možnost zablokovat cokoli vždy existuje. Otázkou je kompetence a vynaložené prostředky.

Máte nějaké úspěšné zkušenosti s bojem proti cenzuře pomocí mesh sítí?

Krátce . Zdá se, že ne. Pro masového uživatele se jedná o komplexní technologii.

ValdikSS. O tomhle nevím. Kuba používá mesh sítě, ale pro sdílení souborů a online hraní.

Vadim Misbakh-Solovjev. Příklady řešení blokovacích mesh sítí jsou izolované a zůstávají na úrovni nadšenců. Většina běžných uživatelů nezvládne skutečné mesh sítě. Navíc, čím více lidí o nich ví, tím rychleji to ti, kteří blokují, zjistí a začnou blokovat uzly mesh sítí, což ztěžuje připojení nových uživatelů.

Proč stále fungují rozšíření prohlížeče, která přesměrovávají požadavky na blokované stránky na  proxy servery ? Jak bezpečné jsou?

Krátký. Roskomnadzor je zatím prostě nevzal – úřady mají technické možnosti je zablokovat. Mohou nastat bezpečnostní problémy.

ValdikSS. Blokování proxy serverů nebude pro Roskomnadzor obtížné: rozšíření prohlížečů mají velmi omezené možnosti a nemohou používat metody zmatku nebo nestandardní protokoly. V případě zablokování však mohou autoři rozšíření změnit IP adresy serveru nebo domény automaticky, aniž by bylo nutné rozšíření aktualizovat.

S bezpečností těchto rozšíření se to děje různými způsoby: některá jsou docela primitivní a mění pouze nastavení serveru, jiná dříve zasahovala do obsahu stránek a „odnesla“ cashback v internetových obchodech. Zásady týkající se rozšíření proxy v adresářích Chrome a Firefox vám nedovolí vložit zcela škodlivý kód, ale existují nuance.

Vadim Misbakh-Solovjev. Fungují hlavně proto, že:

• proxy servery nejsou tak silně loveny jako služby VPN;
• při určitém nastavení je velmi obtížné odlišit (na blokovacím zařízení) šifrovaný proxy provoz od HTTPS; spíše dokonce nemožné;
• Pořád je snazší je „žonglovat“ při vydávání klientům, tedy v případě zablokování vyměnit jeden za druhý, než v případě VPN služeb.

Ale s bezpečností "v průměru v nemocnici" je všechno špatně. Mnoho z těchto rozšíření řídí nešifrovaný proxy provoz a blokovací zařízení jej v takových případech může analyzovat, zasahovat do něj a nahradit ho (blokováním).

V případech, kdy taková rozšíření používají pouze šifrované připojení k proxy serveru (jako například Censor Tracker od Roskomsvoboda), vypadá to téměř jako HTTPS přenos do zařízení. V souladu s tím neexistuje způsob, jak pochopit, že se jedná o proxy a zablokovat jej. Zde jsou možné pouze cílené útoky blokátorů na konkrétní služby (a pokus o "uškrtení" jejich serverů).

---

Vadim Misbakh-Solovjev. Důležité bezpečnostní hledisko

I když dochází k výměně šifrovaného provozu s proxy serverem nebo se serverem služeb VPN, musíte si uvědomit, že vlastníci těchto serverů mohou analyzovat váš provoz. A stejně tak mají teoretickou možnost upravit nešifrovaný provoz směřující do šifrovaného tunelu (chráněného před vniknutím poskytovatele a blokovacím zařízením).

To znamená, že stejně jako Rostelecom a zdánlivě všichni nebo alespoň většina mobilních operátorů může vlastník serveru nahradit a dokonce vložit své reklamy do HTTP  provozu (pokud navštívíte web, který nemá HTTPS). Má také teoretickou schopnost krást hesla. V případě některých VPN může být tato možnost nejen pro vlastníky, ale i pro další uživatele, kteří jsou připojeni ke stejnému serveru.

Pokud je tedy pro vás bezpečnost a soukromí důležité, musíte přítomnost šifrování sledovat v každé fázi:

• mezi vámi a serverem, přes který se připojujete k VPN;
• mezi vámi a cílovým serverem, ke kterému se připojujete, předáváním provozu přes VPN;
• pokud je síť (VPN) postavena tak, že "vstupní" a "výstupní" uzly jsou různé - takže výměna provozu mezi nimi také prochází šifrovaným kanálem. Nemůžete to přímo ovládat nebo ovlivnit, ale to je také důležité, pokud jste kryptoparanoik.

---

Které protokoly VPN jsou efektivnější

Může ILV blokovat protokoly jako WireGuard, OpenWeb, Stealth VPN, SoftEther, VLess a Xray? A co Stunnel + OpenVPN nebo Shadowsocks + OpenVPN?

Krátký. Možná, ale rozhodně ne všechny.

ValdikSS . WireGuard - rozhodně ano, zbytek je obtížnější.

Systém TSPU má flexibilní blokovací jádro s dynamickými pravidly, která umožňují trvale nebo dočasně zablokovat přístup k určitým adresám nebo portům po spuštění určité události. To lze použít k určení OpenVPN uvnitř jiného tunelu, jako je Stunnel, s poměrně vysokou mírou jistoty.

Pokud jde o Shadowsocks, Vless a Xray - spíše ne než ano. Tyto protokoly neumožňují identifikovat tunel, lze je zablokovat pouze za cenu zablokování všech šifrovaných neidentifikovaných protokolů.

Jódové protokoly (VPN over ICMP technology ) fungují i ​​v Číně. Jaké služby VPN používají tento protokol a další podobné možnosti (například DNS )?

Krátký. VPN využívající tyto protokoly jsou vzácné, obtížně nastavitelné a pomalé.

ValdikSS. Existuje jen málo komerčních řešení tohoto druhu, protože konfigurace VPN přes ICMP je nepraktická a nefunguje přes proxy servery a VPN přes DNS je obvykle pomalá (existuje pouze jedna rychlá implementace, která se objevila v dubnu 2020 - dnstt, ale její rychlost řádově nižší než klasické tunely).

Výhodou DNS tunelu je možnost opětovného využití veřejné DNS infrastruktury jako mezihostitele – resolvery poskytuje Google, Yandex, Cloudflare a mnoho dalších IT společností, poskytovatelů internetu a síťových nadšenců. Pokud je jeden blokován, můžete zkusit jiný.

Stejnou výhodu má tzv. CDN proxying, který vám umožňuje „svázat“ mnoho IP adres a domén na jeden VPN server: je to jednak levné (domény stojí 1-3 $ ročně), jednak efektivně maskuje provoz a umožňuje pro cenzora je obtížné pracovat.

Jaká omezení jsou v Rusku ještě možná, čínská zkušenost a suverénní Runet

Budou uživatelé internetu v Rusku nuceni dešifrovat svůj provoz pro úřady – instalovat certifikáty pro MitM ?

Krátký. Sotva - technicky to není tak jednoduché. Ale technologii lze implementovat do prohlížečů a dalších programů řízených vládními agenturami.

ValdikSS. Je pochybné: přinejmenším v moderních verzích Androidu (od sedmé) je instalace certifikátů třetích stran obtížná, programy musí samostatně umožňovat jejich použití. Základní sada aplikací nebude fungovat, i když je certifikát importován do úložiště. Kromě toho je výkon potřebný pro opětovné šifrování dat řádově vyšší než výkon potřebný pro analýzu ve stylu systémů DPI .

Stanislav Shakirov. Můžete zvážit hrozbu vložení kořenových certifikátů vládních regulátorů do úložiště certifikátů koncových uživatelů za účelem provedení útoku mitm na uživatelský webový provoz. Toho lze dosáhnout popularizací vládou kontrolovaných prohlížečů nebo aplikací a nástrojů, které samy instalují kořenové certifikáty.

V každém případě lze předpokládat, že takový proces nelze provést přes noc. Prostředí Runet navíc takovým akcím brání - zavedení povinného používání státních kořenových certifikátů při návštěvě stránek se rovná úplnému odpojení země od vnější části internetu.

Podaří se Rusku zablokovat P2P posly?

Krátký. Jen pokud to úřady opravdu chtějí.

Vadim Misbakh-Solovjev. Zkrátka je to otázka vynaloženého úsilí a kompetence. V tuto chvíli úřady nevyvíjejí dostatečné síly (nebo nemají kompetence) k blokování P2P messengerů. Ale pokud opravdu chtějí, zvládnou to.

V tomto ohledu budou spolehlivější sítě federovaných messengerů (Jabber, Matrix, s stretch Fediverse ). Bez zavedení „bílých seznamů“ služeb nelze zablokovat celou síť.

Jaký je rozdíl mezi blokováním v Rusku a Číně? Kolik času potřebuje Rusko k vytvoření analogu čínského firewallu ? Má Rusko technologii a vybavení, aby si to vytvořilo samo?

Krátký. Čína používá pokročilejší blokovací technologie, ale časem na ně může přejít i Rusko.

Stanislav Shakirov. Dosud v Rusku blokují pouze podle IP adres a podle domén. V Číně je umělá inteligence cvičena k nalezení protokolů v provozu. Jak dlouho bude trvat, než se analog čínského firewallu objeví v Rusku, není známo. Z technologického hlediska již máme veškeré potřebné vybavení a software. Ale jsou tu potíže.

Kompetentní úřady zatím moc dobře neurčují, co je potřeba zablokovat. Roskomnadzor testuje různé inteligentnější metody blokování na jednotlivých TSPU než jen podle IP a domény: někdy – úspěšně, někdy – náhle spadne přilehlá infrastruktura, jako je Sber.Online nebo něco podobného. Dosud nebylo možné blokovat VPN bez vedlejších škod. A je otázka, jak brzy stát přinutí důležité „státotvorné“ služby používat ty protokoly, podsítě a IP adresy, které jsou povolené („bílá listina“) a nebudou blokovány. Poté se masovým fenoménem stane blokování protokoly nebo, jak se tomu také říká, podpisy (co umí DPI).

Z hlediska hardwaru tedy již čínský firewall máme, ale z hlediska algoritmů jej musíme vylepšit. K tomu již nejsou potřeba „západní specialisté“, stačí zkušenosti čínských specialistů a služeb, „jako oni“, k vybudování cenzury podle čínského scénáře. Na druhou stranu to také není dokonalé a bezvadně efektivní: miliony Číňanů používají VPN každý den a vše je s nimi v pořádku.

ValdikSS. V Číně se používají přesnější metody detekce tunelů. Ruské systémy nejsou tak pokročilé, ale soudě podle tempa vývoje  TSPU i komerčních systémů je to otázka času.

Software pro DPI se vyrábí v Rusku, hardware je vcelku standardní a cenově dostupný. Z relativně nemasových věcí, které jsou na trhu těžko dostupné, možná optické bypassy Silicom (model IS401U-48 minimálně).

Je možné zcela odpojit Rusko z vlastní iniciativy od World Wide Web a vytvořit „suverénní internet“, ze kterého se nebude možné dostat ani pomocí VPN? V korporátní síti velké firmy jsem to viděl

Krátký. Mohou to zkusit, ale mezery určitě zůstanou.

ValdikSS. Moje hodnocení je toto: pokud se někdy vypne přístup ven, tak jedině na běžný internet pro jednotlivce, při zachování komunikace v rámci země. Servery v datových centrech budou mít i nadále běžný přístup k internetu – připojení VPN k serveru v zemi poskytne přístup do globální sítě. Takový scénář už byl v Íránu.

Je také pravděpodobné, že vypnutí nebude úplné – budou tam „díry“ v podobě odblokovaných protokolů nebo určitých portů, které lze použít k vytvoření tunelu. Bylo to v Kazachstánu.

Doufám, že se to nikdy nestane.

Stanislav Shakirov. Ano, mohou vše pevně uzavřít. V národním měřítku by však nemělo existovat riziko, že „přístupy pro leváky“ nesprávně ovlivní infrastrukturu.

Nyní se pracuje na přenastavení systémů tak, aby v situacích, kdy se vypnou některé VPN nebo protokoly pro opuštění země, neutrpěla pro stát důležitá infrastruktura. Jedním z velkých cílů regulace je tedy zajistit, aby obě VPN nefungovaly a vše ostatní fungovalo.

Ostatně nikde (kromě KLDR) neexistovalo, že by byl externí internet zcela a trvale vypnutý? Mohou se náklady na trvalou izolaci Runetu zdát úřadům přijatelné ve srovnání se zachováním dostupnosti samostatných služeb VPN?

Krátký. Těžko říct s jistotou, ale úplná izolace je rozhodně nouzové opatření.

ValdikSS. Zdá se mi, že globální a trvalé blokování „externího“ je krajně nepravděpodobný scénář. Umím si představit aplikaci zpomalení přístupu k určitým zdrojům na rychlost, která nedovolí jejich využití. Při blokování je vysoce pravděpodobné, že se jej uživatel bude snažit obejít a při zpomalení za prvé není zřejmé, co problém způsobilo (možná se něco stalo u služby nebo poskytovatele?), a za druhé jde o psychologický problém. nepříjemnější opatření, které může uživatele donutit k samostatnému přechodu na alternativní službu. Ale opět, aplikace takových opatření je extrémní scénář, který, jak doufám, je nepravděpodobný. Na druhou stranu země nemá co ztratit.

Zástupce [Státní dumy Alexander] Khinshtein hovořil o zpomalení YouTube v dubnu a ve dnech 22. až 23. května se YouTube zpomalil na 128 kbps pro klienty poskytovatelů v LPR a DPR, což neumožňovalo sledovat videa bez přerušení ani ve 144p kvalitní. Incident zůstal bez pozornosti médií.

Stanislav Shakirov. Je to tak: naprostá izolace ruského segmentu internetu je naprostým ekonomickým kolapsem země. Je to otázka politické vůle, kdy na to budou úřady připraveny. Kéž by nikdy. Některé scénáře ale říkají, že úplná izolace na chvíli není od věci. Kromě toho se již pracuje na minimalizaci ztrát: například v Rusku byla vyrobena obdoba SWIFT, na kterou jsou napojeny banky zemí EAEU .

Co dělat, když jsou zavedeny „bílé listiny“ ? Jak se připravit na scénář totálního vypnutí externího internetu?

Krátký. Nainstalujte a nakonfigurujte potřebné programy předem (například Tor a Psiphon), v případě potřeby si pronajměte svůj vlastní server v Rusku.

ValdikSS. Doporučil bych pronajmout si servery v Rusku - páteřní kanály budou filtrovány jako poslední. Nebylo by zbytečné zřizovat tunely DNS v zahraničí: celosvětová konektivita DNS infrastruktury je velmi důležitá i pro stránky v zónách .ru a .rf, takže bude s vysokou pravděpodobností zachována.

Stanislav Shakirov. Obvykle, pokud jsou zavedeny „bílé seznamy“, pak se přes ně blokování obchází, to znamená, že provoz je označen, jako by směřoval na jednu z povolených stránek ze seznamu a podle protokolů, které znemožňují zjistit, co je skutečně děje tam. Nepoužívá ani výstup v mesh síti, ale protokoly jako Cloak.

Můžete předinstalovat programy pro obcházení zámků, které budou fungovat v případě úplného uzamčení: Tor, Lantern, Psiphon, Amnezia a některé další.

Jak reálný je v tomto desetiletí scénář přístupu na internet pouze s pasem nebo tokenem s elektronickým digitálním podpisem ?

Krátký. V Rusku jsou uživatelé identifikováni již delší dobu, ale o dodatečné kontrole se zatím nemluví.

ValdikSS . Internet ve skutečnosti stále funguje podle pasu: kabelové připojení a SIM karty jsou vydávány na konkrétní osobu, veřejná Wi-Fi vyžaduje identifikaci telefonním číslem.

Pokud mluvíme o identifikaci identity konkrétního uživatele na domácích připojeních, pak o tom není nic slyšet.

Stanislav Shakirov. Těžko říci, zda k tomu skutečně dojde a v jaké podobě. Je to otázka politické vůle.

De facto přístup na internet s dokladem totožnosti je již praktikován. Domácí internet nelze připojit bez pasu, uživatel uzavírá s poskytovatelem osobní nájemní smlouvu. Na veřejných místech se nelze připojit k Wi-Fi bez zadání telefonního čísla, které je vázáno na vaši smlouvu s telekomunikačním operátorem.

Jít online s tokenem EDS je nepravděpodobný příběh.

Tags: Meduza.io , cenzura , blokovani , openvpn , VPN , wifi , wi-fi , Rusko , internet ,