Суверенный рунет – реальные угрозы

Как и следовало ожидать, верхняя палата российского парламента без особого труда приняла закон о так называемом суверенном рунете, даже при том, что часа полтора после начала заседания в пятницу в зале СФ интернет был недоступен, равно как не работали микрофоны и панель для голосования. Своего рода знамение подталкивает к тому, чтобы ешё раз, максимально спокойно посмотреть на законопроект, который уже поступил к главе государства.

Есть ли угрозы рунету?

Да, без сомнения. Не будет электричества, не будет и Сети, хоть суверенной, хоть глобальной.  Но это наполовину шутка, конечно. А если без шуток, то просматриваются как внешние, так и внутренние угрозы российскому сегменту интернета.

Внешние проистекают из того, что не Россия – хозяин рунета. Доменными именами и IP-адресами управляет ICANN (Internet Corporation for Assigned Names and Numbers) со штаб-квартирой в Калифорнии, 10 из 13 корневых серверов Сети расположены в США и принадлежат американским компаниям (см. карту, карту и комментарий).

Географическое расположение корневых серверов интернета

Карта, конечно, не самая свежая, но выразительная. А вот таблица с названиями компаний, управляющих корневыми серверами:

Две управляющие компании американских университетов, как видите, две – из структур вооруженных сил США, космическое агентство NACA и собственно ICANN.  Принадлежность остальных нуждается, на мой взгляд, в расшифровке. Итак,

VeriSign, Inc. (управляет двумя корневыми серверами) –  компания из города Рестон, Вирджиния, США,

Cogent Communications - многонациональный интернет-провайдер, Вашингтон, США,

Internet Systems Consortium (ISC) — некоммерческая организация, занимающаяся поддержкой инфраструктуры интернет, Редвуд, Калифорния, США,

RIPE NCC— один из пяти региональных интернет-регистраторов, Амстердам, Нидерланды,

Netnod Internet Exchange i Sverige  - структура шведского фонда TU-stiftelsen,

WIDE Project - интернет-проект в Японии, основанный университетом Кейо, Токийским Технологическим институтом и Токийским университетом. Управляет главной магистралью японского интернета и используется для запуска .jp домен верхнего уровня (TLD).

Конечно, ICANN  позиционирует себя как  международная некоммерческая организация  (созданная в 1998 году при участии правительства США), так ведь и ФРС формально не относится к госорганам США – так, независимое федеральное агентство, которое по чьему-то недосмотру выполняет функцию Центрального банка США.

Но дело не только в ICANN и корневых серверах (в конце концов специалисты говорят, что к верхнему доменному уровню обращаются не более трети зарегистрированных доменных имён, остальные запросы используют кэшированные DNS-записи о TLD NS. Есть ещё важнейшая структура, которая раздаёт IP-адреса, IANA, и эта - разумеется некоммерческая -  организация  тоже американская.

Где здесь зарыта собака?

Любое интернет-соединение осуществляется через один из IP-адресов подсети, так называемый шлюз. И если на этот шлюз придут данные из локальной сети с адреса, не попадающего в описанную на шлюзе подсеть, то он просто проигнорирует такой пакет.  Но даже если пакеты доходят до целевых IP-адресов, это ещё не гарантия, что Сеть сработает как надо. Мы же забиваем при обращении в Сеть, при поиске, не цифровой код IP-адреса, а «человеко-понятное» имя, например, http://e-vid.ru, а за преобразование цифрового кода в «нормальное» имя отвечают службы DNS, то есть, проще говоря, корневые серверы – те самые 13. Если DNS-сервер посетителя интернета не знает, как разрешить доменное имя в зоне ru, скажем, то он обратится к доменному серверу, отвечающему за зону ru и если нужного имени в списке корневого сервера, отвечающего за названную зону, не обнаружится (притом, что зарегистрированные адреса постоянны и прописаны во всех операционных системах), то всё – нет для вас интернета. И тот факт, что в России в настоящее время размещено 11 реплик корневых серверов DNS делают проблему лишь чуть менее драматичной, но не снимают её. Работать в Сети как во времена dial-up для решения сегодняшних задач, да и в развлекательных целях, просто невозможно.

Вывод очевиден: обрушить какую-либо доменную зону верхнего уровня совсем нетрудно – тем, кто управляет упомянутыми корневыми серверами и раздаёт IP-адреса. Но с чего наши законодатели взяли, что Штатам может прийти в голову обрушить рунет?  Ответ, увы, задокументирован.

Часть гибридной войны и гибридной жизни

В сентябре 2018 года Сенат принял, а президент США подписал так называемую  Стратегию национальной кибербезопасности США.  Помимо прочего, в документе декларируется принцип "сохранения мира силой".  Откуда взялся этот принцип? "Россия, Иран, Северная Корея провели ряд безответственных кибератак, - говорится в документе, - которые нанесли ущерб американским и международным компаниям, нашим союзникам и партнёрам и не понесли соответствующего наказания, что могло бы сдерживать кибератаки в будущем". То есть подразумевается, что США могут «ответить» в той же сфере, располагая решающим преимуществом.

Я намеренно закавычил глагол «ответить», -  власти России категорически же  отрицают, что какие-либо госструктуры РФ имели отношение к упомянутым кибератакам, да и значение самих этих атак ставят под сомнение, но так или иначе, повод для беспокойства по поводу целостности рунета возник не на пустом месте. В конце концов, случись что – госдеп тоже может заявить, что никакие госструктуры США не причастны, а хакеры – они, мол, и в Штатах хакеры, не только в Африке.

К слову о степени решимости наших заокеанских «партнёров»: посмотрите, как они всеми силами пытаются задушить газовый «Северный поток-2», при том, что Россия на этом рынке в Европе далеко не монополист.

И тут возникает ключевой вопрос: а в какой мере закон о суверенном рунете решает – и способен ли решить в принципе – задачи несокрушимости нашей доменной зоны?  Мы собираемся разместить у себя полноценный корневой сервер, как это сделали японцы, перевести на него все адреса .ru? Или мы собираемся учинить подобие великого китайского файервола (который, кстати, нацелен в первую очередь на решение идеологических вопросов, противодействие «тлетворному влиянию»)? Что?

К сожалению, законопроект (закон уж, считай) даёт основания думать, что в приоритете вторая задача. Хотя – и это принципиально важно подчеркнуть – он тоже носит гибридный характер, сочетая нормы прямого действия и огромное количество ссылок на необходимость принятие подзаконных актов, то есть передаёт существенную часть полномочий правительству и непосредственно Роскомнадзору. Как они ими распорядятся – вопрос не только техники, но и политической конъюнктуры.

Фильтруй базар!

Конечно, одним из ключевых положений закона о суверенном рунете является установка на создание инфраструктуры, позволяющей обеспечить работоспособность российских интернет-ресурсов в случае невозможности подключения российских операторов связи к зарубежным корневым серверам сети Интернет.

Это не только аппаратная (серверная) часть, сначала надо будет определить «трансграничные линии связи и точки обмена трафиком» и правила маршрутизации трафика. И тут возникает первая засада: люди, которые «в теме», утверждают, что в России сотни узлов (каналов) трансграничного трафика и на сей день никто в стране, включая РКН, ФСБ и ФСО, не знает точно, сколько именно. Все ли провайдеры по первому звонку прибегут в РКН и сдадут свои линии – большой вопрос, а на выявление техническими средствами и минимизацию количество таких узлов/каналов потребуются уйма времени и денег. 

Ну, мы, как известно, не постоим, и закон предписывает «возможность установки на сетях связи технических средств, определяющих источник передаваемого трафика». И тут начинается плохо камуфлируемое лукавство: упомянутые технические средства – это технология DPI (Deep pаcket inspection), которая позволяет не только определять источник трафика, но анализирует содержание пакетов информации.  Да, допустим в части определения источника трафика эта технология может сработать на налаживание «суверенной» маршрутизации и на минимизацию передачи за рубеж данных, которыми обмениваются между собой российские пользователи (вопросы государственной и коммерческой тайны, персональные данные – вот это всё). Но на что направлена функция выявления содержания пакетов информации?  Попросту говоря, на то, чтобы «компетентные органы» знали, кто, о чем и как пишет, за что ратует и к чему призывает.

И если органы решат, что сообщаемая информация не отвечает национальным интересам, в том числе в части политико-идеологической, то DPI позволяет либо блокировать трафик с какого-то ресурса, либо замедлять до критической степени передачу каких-то пакетов, например, трафик социальных сетей или ютуб с видеофильмами персонажа, которого Путину нельзя называть по фамилии-имени, чтобы не накликать (беды, имеется в виду).  Закон обязывает всех операторов связи установить на свои сети оборудование DPI, которое будет фильтровать трафик, а при возникновении угрозы (угрозы не поименованы, законодатель имел в виду, надо думать, некую совокупную угрозу рунету) операторы связи обязываются обеспечить возможность централизованного управления трафиком.

Закон, кстати сказать, изобилует реверансами в адрес операторов, - и на оборудование они не  потратятся, и в случае каких-то сбоев нести ответственности не будет, но сам перечень исключений зон ответственности операторов показывает, что авторы законопроекта достаточно хорошо понимают, сколько самых причудливых и неожиданных сбоев (ухабов, оврагов, если угодно) может возникнуть на пути суверенизации рунета.

Всё компенсируется необязательностью выполнения

Понятно, что перечисленное в предыдущей главке и есть внутренние угрозы рунету (а также конституционным свободам), но алармистские комментарии об окончательном конце свободы слова, политического плюрализма и даже о конце ещё только зарождающегося в России интернета вещей – всё это преувеличено.

Аргумент в подтверждение тезиса, - история блокировки дуровского «Телеграма». Год войны Роскомнадзора не привёл к искомому для ведоства результату, Т-каналы как работали, так и работают и даже увеличиваются в числе и в количестве подписчиков, заметно оживился рынок VPN, но и без этого костыля многие совершенно спокойно принимают Т-трафик.

С другой стороны, недавние учения по опробыванию упорядочивания маршрутизации и замедления трафика повалили на какое-то время ряд сервисов Яндекса, сбои в сетях уважаемых корпораций, и это заставило РКН сделать шаг назад – неготовы. И кто возьмется утверждать, что будут готовы завтра, что не наломают новых дров?

Конечно, в какой-то перспективе значительная часть каналов связи окажется подконтрольной провайдерам, разделяющим точку зрения Роскомнадзора о свободе в интернете, но и это не гарантирует успеха. Зато позволит РКН отчитаться о «победе», как ведомство сделало это применительно к «Телеграму». В то же время – пока будут устанавливаться пакеты DPI (кстати, это, ведь, зарубежная технология – нет ли там каких-то вредоносных для России закладок?), будут через пень-колоду вводиться новые протоколы, реестры доменных имён,  альтернативные программисты (и/или агенты госдепа) гарантированно наштампуют средства обхода ограничений, новые протоколы шифрования и тому подобное. И – мыло-мочало, начинай сначала. Жалко только, что денег в эту прорву будет угрохано немерено, в разы больше 30 млрд рублей, обсчитанных для «пакета Яровой».

Юрий Алаев.