Усиление мер контроля и защиты интернета инициаторы законопроекта о «суверенизации интернета» оправдывают необходимостью как можно быстрее создать инструменты для автономной работы отечественного сегмента Всемирной паутины — рунета. Документ, предусматривающий обеспечение безопасного и устойчивого функционирования интернета на территории России, был внесен в Госдуму в середине декабря членами Совета Федерации Андреем Клишасом и Людмилой Боковой, а также депутатом от ЛДПР Андреем Луговым.Согласно этому акту предлагается дополнить законы «О связи» и «Об информации» рядом положений, предусматривающих комплекс организационных, административных и технических мероприятии, направленных на повышение информационнои безопасности, целостности и устоичивости функционирования интернета в нашей стране. После бурного обсуждения законопроект был принят в первом чтении 12 февраля. За проголосовали 334 депутата, против — 47. Не обошлось и без внутрифракционных столкновений. Лидер ЛДПР Владимир Жириновскийпризвал убрать фамилию своего однопартийца Андрея Лугового из списка авторов законопроекта, на что получил отказ.
По замыслу парламентариев, российскому интернету необходима защита от угроз из-за рубежа. В пояснительной записке к законопроекту авторы документа ссылаются на Стратегию национальной безопасности США, принятую в сентябре прошлого года, — в ней говорится о необходимости противостоять кибератакам «российских хакеров». На случай обострения противостояния (читай: если нас отключат от глобальной Сети) предлагается создать свою собственную, автономную интернет-систему. Впрочем, как именно может произойти потенциальное отключение рунета извне и возможно ли оно в принципе технически, там не уточняется. И это не дает понять реальный масштаб замысла о техническом перевооружении всей российской системы связи.
Зато парламентарии уверены в необходимости создания «инфраструктуры, позволяющей обеспечить работоспособность российских интернет-ресурсов в случае невозможности подключения российских операторов связи к зарубежным корневым серверам сети Интернет». Минимизировать передачу за рубеж данных, определить трансграничные точки связи и обмена трафиком, установить на сетях специальные технические средства, позволяющие блокировать запрещенную информацию, — все это предусмотрено законопроектом во благо безопасности и устойчивости рунета.
Надо сказать, что законопроект не блещет конкретикой. Например, не указывается, в каких случаях российский интернет необходимо будет закрыть от интернета глобального, — лишь расплывчато говорится о «возникновении угроз целостности, устойчивости и безопасности функционирования на территории России сети “Интернет”». Технические средства, с помощью которых операторы связи должны противодействовать угрозам, также не указаны. Туманные формулировки и противоречивая реакция экспертов уже привели к тому, что многие испугались, будто новые меры лишь попытка «закрыть» Россию от Запада и установить режим «цифрового диктата».
Эксперты пожимают плечами
«В текущем варианте законопроекта угрозы, против которых предлагается принять меры, никак не обозначены, — заявили нам в “Яндексе”. — Непонятно, с чем именно меры призваны бороться, — и из-за этого обсуждение самих мер становится бессмысленным. Поэтому “Яндекс” не может поддержать законопроект в его нынешней редакции». При этом саму необходимость «выработать меры для обеспечения долгосрочной и устойчивой работы сети “Интернет” в России» в компании поддерживают.
Непродуманность мер оставляет вопрос с издержками открытым даже для авторов инициативы. Андрей Клишас, например, заявляет, что снижение качества трафика для российских пользователей в результате новых мер вполне возможно. Ранее и РСПП заявлял о рисках катастрофического отказа работы связи в России в случае создания системы централизованного управления российского сегмента Сети.
Законопроект предусматривает маршрутизацию интернет-трафика таким образом, чтобы сократить объем данных, которыми обмениваются российские пользователи, до минимальных значений. Однако и это положение не принимается экспертным сообществом. Рабочая группа «Связь и IT» при правительстве России в своем заключении отметила, что «доля такого трафика составляет 1,61% от общего количества зарубежного трафика. Исходя из этого построение дорогостоящей и сложной организационно системы управления трафиком выглядит нецелесообразным».
К тому же даже построение такой системы совсем не защищает от угроз. Александр Баранов, заведующий кафедрой информационной безопасности факультета бизнеса и менеджмента НИУ ВШЭ, говорит «Эксперту» о рисках совсем другого рода. «Никакая криптоизоляция не спасет по одной простой причине: достаточно одного внутреннего врага, одного шпиона: он запустит вирус, который мгновенно расползется по Сети и все вырубит. И в этом случае никакой параллельный рунет ничего не сделает, все равно все выключится. Удивительно, что все это знают, но совсем не обсуждают», — говорит эксперт.
Согласно законопроекту, ответственным за устойчивость связи в критических ситуациях будет назначен Центр информационных угроз на базе Роскомнадзора. Опасения экспертов вызывает и передача в ведомство полной схемы своей сети и управления маршрутизаторами от 14 тысяч операторов связи, что позволит блокировать любую неугодную информацию. По мнению Владимира Жириновского, полномочия службы становятся слишком большими и будут соответствовать уровню министерства. При этом на данный момент в проекте не установлена ответственность Роскомнадзора за бесперебойное функционирование оборудования, через которое будет проходить трафик. Учитывая, что, по мнению экспертов, ведомство не обладает необходимыми компетенциями, возникают проблемы устойчивости Сети для россиян.
Поспешным принятие такого законопроекта считает глава Счетной палаты Алексей Кудрин. «К сожалению, слишком спешно и без открытого диалога с IT и промышленным сообществом», — сообщил он в своем твиттере. «Эти отрасли развиваются как глобальные. Без четких правил и понимания это затормозит инвестиции в IT в решающий момент по цифровизации России», — добавляет экс-глава Минфина. Ранее Счетная палата уже раскритиковала эту инициативу. Ее отзыв предсказывал, что «реализация законопроекта приведет к росту стоимости товаров и услуг на российском рынке, что содержит риск увеличения расходов бюджетов всех уровней бюджетной системы РФ на их оплату».
Кто за это заплатит?
Финансовая сторона вопроса не совсем понятна. Чиновники не могут точно сказать, сколько будет стоить «суверенизация» интернета и откуда будут брать деньги на реализацию проекта. Андрей Клишас утверждает, что на это потребуется 20 млрд рублей, которые уже заложены в бюджет проекта «Информационная безопасность». Члены рабочей группы «Связь и IT» Экспертного совета при правительстве считают, что денег на суверенизацию надо больше: «С учетом стоимости выполнения научно-исследовательских и опытно-конструкторских работ, создания и ведения реестра точек обмена трафика, создания и ведения базы данных, содержащих обязательную для представления в Роскомнадзор информацию, расширения штата сотрудников подведомственных Роскомнадзору структур, предусмотренных законопроектом, эта сумма может достичь 25 миллиардов рублей только разовых затрат». Еще 134 млрд в год может понадобиться на компенсации операторам связи, если возникнут сбои в работе сети. Не стоит забывать и о необходимости в дальнейшем постоянно модернизировать и обслуживать новое оборудование, что значительно повысит издержки во всей отрасли.
По словам замглавы Минкомсвязи Олега Иванова, «не зная окончательно структуру сетей операторов связи, структуру взаимосвязи, которая между ними существует, мы не можем до конца сказать, сколько будет стоить такая система». Иванов отмечает, что законопроект предусматривает несколько частей. Во-первых, создание Центра мониторинга и управления сетями связи общего пользования, который содержит замещающую инфраструктуру, если нас все-таки отключат. По словам представителя министерства, траты на него уже предусмотрены средствами в 1,8 млрд рублей, заложенными в бюджет. Во-вторых, построение системы блокировки запрещенных ресурсов, которая сейчас наложена на операторов связи. С них эта обязанность будет снята и профинансирована государством. А вот с этим уже сложнее. По оценкам экспертов рабочей группы «Связь и IT», стоимость технических средств противодействия угрозам, которые необходимо установить на сетях операторов, составит не менее 15 млрд рублей.
Проведение регулярных учений, названное третьей частью законопроекта, тоже потребует дополнительных затрат. Планируется, что операторы связи сами испытают на прочность закон об устойчивости рунета. Что конкретно будет отрабатываться на учениях, пока неясно, однако отмечается, что учения необходимы для доработки документа и внесения в него необходимых поправок, из которых уже можно будет судить о точной сумме затрат на реализацию законопроекта. Реализовывать учения будет рабочая группа «Информационная безопасность» под председательством президента компании Infowatch Натальи Касперской. В состав группы входят «Мегафон», «Вымпелком», МТС и другие операторы связи. Предполагается, что до 1 апреля должны быть проведены все учения, на основании которых будут вынесены замечания и предложения.
Технологии против технологий
По самой своей природе интернет — децентрализованная сеть, стабильность работы которой поддерживается огромным количеством серверов по всему миру. Грубо говоря, чем больше компьютеров подключено к интернету, тем он стабильнее. Безусловно, изначально интернет создавался в США, в его развитии большую роль сыграли минобороны и министерство энергетики этой страны, но велика также роль крупных университетов, частных компаний и просто ученых-любителей. Неверно было бы утверждать, что американцы полностью контролируют Сеть или что у них есть волшебная кнопка, нажав которую можно отрубить интернет целой стране. Прецедентов не было. Более того, сама архитектура интернета построена таким образом (как паутина), что технически это сделать практически невозможно — для этого надо одновременно нарушить работу многих тысяч операторов связи, независимых DNS-серверов, расположенных по всему миру, что по сути эквивалентно полномасштабному сбою в мировом масштабе. Не говоря уже о том, что это совершенно невыгодно крупнейшим корпорациям, зарабатывающим на интернете, в том числе в России, миллиарды долларов.
Что встречается в мире гораздо чаще, так это попытка тех или иных стран ограничить интернет самим себе: блокировать зарубежные сайты, ограничивать населению доступ к сервисам анонимизации. Активизация соответствующих мер во многих странах в последние несколько лет породила опасения так называемого дробления интернета, когда от единой сети отщепляются крупные национальные сети, связность которых (то есть степень «включенности», например, рунета в общемировую сеть) снижается, трансграничные связи усложняются, а права пользователей ограничиваются.
Сторонники суверенизации интернета постоянно указывают на тот факт, что большая часть интернета якобы контролируется из США, а все узловые серверы расположены в странах НАТО. Давайте разберемся, насколько весомы риски отключения рунета извне.
Когда вы, например, набираете в браузере expert.ru, ваш браузер в первую очередь должен перевести это имя в понятный для себя IP-адрес. Для этого он обращается к системе доменных имен (DNS) — по сути к специальной базе данных, справочнику имен. Каждый раз, когда мы вводим в адресную строку веб-адрес сайта, браузер обращается к DNS-серверу нашего провайдера, а тот, в свою очередь, к корневому серверу.
Суть в том, что база DNS является распределенной и хранится в массиве из большого числа связанных друг с другом серверов, расположенных по всему миру. При этом существует 13 самых главных серверов (корневые серверы DNS), это число считается оптимальным для архитектуры интернета. Десять из тринадцати корневых серверов находятся в США, еще по одному — в Нидерландах, Швеции и Японии. Кроме Швеции и Японии, это страны НАТО. Именно к этому факту и апеллируют защитники суверенного рунета. Но, во-первых, трафик по большей части не проходит через корневые серверы, во-вторых, ни один из серверов не является главным. Наконец, в-третьих, сервера дублируются — в мире более 900 дубликатов или реплик корневых серверов. И одиннадцать таких реплик находятся в России, к ним в основном и обращаются ведущие провайдеры страны.
Корневые серверы DNS управляются двенадцатью различными организациями, действующими на основании соглашений с корпорацией ICANN (Internet Corporation for Assigned Names and Numbers, Корпорация по управлению доменными именами и IP-адресами) из США. В числе двенадцати организаций минобороны США американские университеты, различные некоммерческие организации.
Если допустить, что ICANN даст компаниям, управляющим корневыми серверами, распоряжение закрыть интернет-трафик в Россию и из нее, то они действительно могут это сделать. Правда, подобного прецедента не было еще ни в одной стране — даже Северной Корее не отключали доступ к DNS-серверам, решение оградить интернет от всего мира реализуется исключительно по инициативе местного правительства. Так что пока сценарий отключения рунета от доступа в глобальную Сеть по инициативе США кажется маловероятным.
Кейсы Китая и Ирана
Противники законопроекта напоминают о китайском файрволе, который отрезал жителей Китая от глобального интернета, в том числе от Google, Facebook и Twitter. По мнению интернет-омбудсмена Дмитрия Мариничева, «на самом деле законопроект направлен на то, чтобы получить со стороны государства тотальный контроль за управлением сетью Интернет, административные функции, которые позволяют государству не выдавать указания или приказы хозяйствующим субъектам, то есть телеком-операторам, а подменять их структуру управления и управлять трафиком на уровне технологии». «Это попытка сделать так, как, наверное, в Китае», — говорит омбудсмен.
Сторонники же призывают не проводить аналогий с КНР. «Некорректно сравнивать Россию в этом вопросе с Китаем. У нашего соседа ограниченное число точек входа поступающего трафика, а у Российской Федерации их множество, и никто не планирует их ограничивать. Речь идет о том, что все они должны быть сертифицированы и подотчетны», — сообщил председатель комитета Госдумы по информационным технологиям и связи Леонид Левин.
Как уже писал «Эксперт» (см. № 21 от 21 мая 2018 года), в Китае контроль над интернетом держится на двух китах. Первый — собственно «великий китайский файрвол», который блокирует некоторые IP-адреса (стандартная блокировка IP-адреса, используемая и в России для запрещенных Роскомнадзором ресурсов), подменяет DNS (вместо запрещенного сайта пользователь попадает на другой ресурс), банит VPN-сервисы (сервисы, подменяющие IP-адрес пользователя и позволяющие пользоваться интернетом анонимно) и Tor (браузер, используемый, опять-таки, для анонимизации). Второй — проект «Золотой щит», который мониторит внутрикитайский интернет-трафик силами специально обученных людей. Однако проводить параллель здесь неуместно: одно дело Китай с его почти полуторамиллиардным населением, и совсем другое — Россия, где проживает в десять раз меньше людей. Китай может позволить себе создать свой собственный интернет с китайскими аналогами поисковиков, соцсетей и платежных систем, по охвату аудитории способных конкурировать с западными оригинальными сервисами. Благодаря этому файрвол в Китае приносит выгоду китайским IT-компаниям, которые получили эксклюзивный доступ к огромной аудитории. У России такой роскоши нет: ради чего поддерживать полноценную инфраструктуру закрытого интернета, если во всем мире русским языком владеют, по самым оптимистичным оценкам, 300 млн человек? Да и таких средств на реализацию столь масштабного проекта, как китайский файрвол, у нас нет. Как нет у нас и стремительного китайского экономического роста. От суверенизации российского интернета выгоду удастся получить только компаниям, которые будут поставлять оборудование, необходимое для фильтрации трафика. Так что настоящих экономических мотивов для создания «великого российского файрвола» не существует.
Китайский файрвол хотя и самый известный, но не единственный в мире. Так, в Иране интернет строго контролируется государством с начала 2000-х годов, когда в стране была официально введена интернет-цензура. В 2012 году там был создан специальный государственный орган для контроля над интернетом — Высший совет киберпространства. По решению этого ведомства блокируется поиск по некоторым ключевым словам, блокируются прокси-серверы, через которые можно заходить в интернет под зарубежным IP-адресом, а также отслеживается поведение интернет-пользователей. Все иранские провайдеры могут работать строго по государственной лицензии, а пользователи обязуются не посещать антиисламские сайты (и даже подписывают официальный документ). Для частных пользователей действует ограничение на скорость интернета — 128 Кбит/с: так и западный контент медленно загружается, и следить за пользователями технически проще. VPN и Tor в Иране, разумеется, тоже запрещены, но иранцы умудряются найти экзотические способы обхода блокировок. Например, подключаются к VPN через спутниковое телевидение.
В Иране заблокированы Facebook, YouTube, Twitter, VK, Wikipedia, время от времени под блокировки попадает Google. При этом Instagram и Telegram работают, и иранцы активно их используют. Были в Иране и идеи отключиться от глобального интернета и вместо него реализовать проект полностью закрытого интранета, но этого так и не произошло.
Зато проект интранета реализован в другой стране — Северной Корее. Он называется «Кванмен», и содержится в нем в основном контент, восхваляющий идеологию чучхе, а также различная научно-техническая информация с зарубежных сайтов, которая предварительно была проверена и скорректирована северокорейским Центром компьютерной информации. К глобальному интернету доступ есть только у партийной верхушки, северокорейского МИДа, некоторых научных и правительственных организаций.
Обходные пути
Вы не поверите, но родиной интернет-цензуры являются США. Еще в 1996 году был принят Акт о благопристойности коммуникаций (Communication Decency Act, CDA), призванный регулировать порнографические материалы в интернете. Уже через год Верховный суд США признал CDA противоречащим конституционному праву американских граждан на свободу слова. С тех пор в США было еще несколько попыток цензурировать интернет — как правило, законопроекты касались защиты прав несовершеннолетних и авторских прав.
Однако главными цензорами интернета остаются американские IT-компании. Всем известен запрет Facebook на публикацию изображений обнаженных людей, даже если речь идет о произведении искусства. Опубликуете, например, «Обнаженную» Модильяни — попадете в бан. Точно так же YouTube оставляет за собой право удалять любой контент без предупреждения. Apple действует прицельно против подсанкционного Ирана и старательно «вычищает» иранские приложения и их обновления из App Store. А о том, что крупнейшие американские IT-компании готовы предоставлять данные пользователей американским спецслужбам, говорят уже давно.
В США за нарушение интернет-законов действуют и более серьезные наказания, чем бан и удаление контента. Например, за скачивание через торрент-клиент файла, защищенного авторским правом, пользователям грозит штраф до 150 тыс. долларов за файл или даже тюремное заключение сроком до пяти лет. Дополнительных компенсаций может потребовать и обладатель авторского права. При этом само по себе использование торрентов не запрещено.
Чтобы избежать штрафов за скачивание нелегального контента, американские пользователи пользуются обходными путями: браузером Tor, VPN-соединением, которые «подменяют» IP-адрес пользователя. Любопытно, что самое большое число пользователей Tor — в США. Именно на эти средства анонимизации интернет-трафика надеются и российские пользователи, которые уже научились заходить с помощью VPN в заблокированный (не самым успешным образом) Telegram. Однако в действительности Tor и VPN не всемогущи.
Например, в Китае, где еще в 2016 году около 29% населения пользовались VPN, с 2017 года VPN-сервисы находятся под официальным запретом. Но распознавать и блокировать VPN-подобный трафик «великий китайский файрвол» начал еще до законодательного запрета. В Китае распознавание VPN-трафика осуществляется с помощью DPI (Deep Packet Inspection) — технологии накопления статистических данных об интернет-трафике, а также проверки и фильтрации содержимого сетевых пакетов. Условно говоря, DPI — это пограничник, который досматривает каждый сетевой пакет и блокирует его, если он кажется подозрительным. Под блокировку, правда, подпадают только те сетевые пакеты, которые обладают характеристиками, присущими типичному VPN-трафику: подобные сетевые пакеты направлены по одному зашифрованному адресу и содержат одинаковые заголовки. Означает ли это, что VPN в Китае перестали пользоваться? Нет: опытные пользователи умудряются обходить запрет, а более или менее изощренные VPN-сервисы, не распознаваемые DPI, регулярно появляются и снова исчезают.
С браузером Tor китайская система DPI справляется лучше. «Стандартный» режим работы Tor в целом блокируется довольно просто: достаточно забанить центральный сервер, где хранится список всех ретрансляторов Tor. На этот случай у Tor есть второй, более продвинутый режим работы — через сетевые мосты. Сетевой мост (он же Tor bridge) — Tor-узел, доступ к которому пользователи получают по личному запросу через почту. Но и такой хитрый метод обхода запрета китайский файрвол успешно научился блокировать. Как только система обнаруживает Tor-соединение, она пробует подключиться к сетевому мосту с разных китайских IP-адресов. Как обычно, технологии продолжают воевать с технологиями.
Вместо заключения
Итак, в гуще законодательного утверждения находится проект нормативного акта, не имеющего ни четких целей, ни внятного инструментария реализации, ни подтвержденных размера и источников финансовых ресурсов для его реализации. Увы, как показывает опыт, все это не дает гарантий, что законопроект о «суверенном рунете» будет принят прежде достижения консенсуса в обществе и экспертной среде о конкретных алгоритмах его реализации.
Мировая торговля идет в «цифру», само российское правительство дает курс на цифровизацию экономики, но получается, что законопроектом о суверенном интернете мы сами себя ограничиваем.
При этом законопроект Клишаса не отменяет уже работающего закона о хранении персональных данных россиян на территории России. То есть мы не только обязываем иностранные компании хранить данные россиян у нас, но теперь еще и при возникновении «внешней угрозы» можем закрыть от них российский интернет. И каков резон вообще иностранным компаниям вести бизнес в России, если теперь в любой момент их трафик на территории нашей страны может быть отключен?
0
120.00
