Лишнего не утечет: как именно чиновники намерены обезопасить Рунет
Последние два года государство стремится «обезопасить» Рунет от внешних угроз: специалисты Минкомсвязи, IT-компаний и силовых ведомств работают над проектом федерального закона, который должен сделать российский сегмент сети «суверенным». Речь идет о поправках в законы «О связи» и «Об информации, информационных технологиях и защите информации».
За полгода появилось несколько версий законопроекта, и каждая вызывала споры: одни считают, что поправки носят «чисто технический характер», другие — что с их помощью в Рунете может появиться аналог китайского «Золотого щита», полностью подконтрольный государству.
Летом основная версия законопроекта может быть опубликована для обсуждения на федеральном портале, сообщил РБК источник, знакомый с разработкой законопроекта. До конца года новый закон, вероятно, будет принят всеми инстанциями, уточнил федеральный чиновник.
РБК обсудил с экспертами, участвовавшими в разработке двух версий законопроекта — февральской и апрельской (см. справку), возможные последствия новых ограничений.
Действительно ли Рунет технически уязвим и поддается ли это коррекции?
Все корневые сервера (см. справку) находятся за пределами России и не подконтрольны российским властям, а значит, отсутствует право голоса «в случае критической ситуации», поясняет федеральный чиновник. Теоретически из корневого файла можно вообще удалить информацию о зоне.ru, тогда ни один сайт российской доменной «территории» не будет открываться при вводе привычных адресов и имен ресурсов.
Большинство корневых серверов — 10 из 13 — расположены в США и управляются либо госструктурами (NASA, Минобороны и исследовательским штабом армии США), либо университетами и независимыми организациями. За пределами США сервера базируются в Швеции, Японии и Голландии, где находятся под контролем частных организаций. Сложно представить, что все операторы договорятся о недружественных действиях в отношении доменной зоны.ru, говорит гендиректор Фонда поддержки интернета Михаил Медриш.
При этом существуют так называемые зеркала корневых серверов: в России их семь (для пяти главных серверов) — в Москве, Санкт-Петербурге, Екатеринбурге и Новосибирске, а в мире — больше 480 штук. Сейчас «зеркала» позволяют «уравновесить» нагрузку на сеть, повысить ее устойчивость и увеличить скорость, с которой обрабатывается запрос с одного устройства на другое. Если допустить, что из корневого сайта пропадет информация о зоне.ru, на «зеркале» она тоже пропадет, пусть и не сразу, объясняет консультант ПИР-центра Олег Демидов.
Как устроен интернет
Интернет — это сеть сетей, совокупность автономных систем (АС), состоящих из групп IP-адресов, выделенных какому-то владельцу. Автономные системы есть у многих компаний — только у «Ростелекома» их больше тысячи, есть они у «Яндекса», «ВКонтакте» и многих других. Крупные операторы вроде «Ростелекома» ведут реестр маршрутизации, в котором фиксируют связи между сетями.
Попадание на те или иные сайты для пользователей происходит через систему DNS — это большая «записная книжка», в которой указаны соответствия привычных доменных имен (например, Yandex.ru) и IP-адресов компьютеров, на которых эти ресурсы хранятся (представлены в виде четырех или шести чисел от 0 до 255, разделенных точками: например, 194.186.25.31). IP-адрес присваивается каждому устройству, подключенному к сети, от компьютера до принтера, и является уникальным способом идентификации его местонахождения в ней.
В основе системы DNS лежат 13 корневых серверов, обозначенных буквами латинского алфавита от A до M. Каждый из них содержит файл, хранящий информацию обо всех доменах так называемого верхнего уровня вроде.com,.org или.ru.
Обслуживанием главных серверов также занимаются иностранные структуры. Так, изменения в файлы на 13 корневых серверах по запросу национальных администраторов вносит частная американская компания Verisign: она работает по договору с международной некоммерческой организацией ICANN (Internet corporation for assigned names and numbers — Корпорация по управлению доменными именами и IP-адресами) и правительством США. Verisign осуществляет выгрузку корневого файла на сервер дважды в сутки, она же рассылает его на остальные сервера.
Распределением блоков IP-адресов занимаются пять региональных регистратур, которые подчиняются все той же ICANN; Россия работает с одной из них — голландской RIPE NCC. Маршрутизацию трафика формально регулируют операторы: чтобы собрать все в глобальную мозаику, они «отмечаются» в базе данных маршрутизации Internet routing registry, которая находится под управлением RIPE NCC. И хотя подобная регистрация носит, скорее, справочный характер, уничтожение той или иной информации о маршрутах из базы может привести к сбоям во всей сети.
Большая «записная книжка» DNS (см. справку) для России также децентрализована: она хранится на 17 серверах, из которых только десять расположены в России, другие восемь - за пределами страны (в Амстердаме, Франкфурте-на-Майне, Лос-Анджелесе, Нью-Йорке, Сан-Паулу, Гонконге и Сингапуре), это позволяет и оптимизировать запросы к зоне.ru от пользователей из-за рубежа, и обезопасить систему, объясняет Демидов.
Когда вы вводите в браузер привычный адрес нужного сайта, браузер обращается к локальному DNS-серверу, указанному в пользовательских настройках, и определяется IP-адрес сайта. Около 68–82% запросов пользователей обслуживается серверами на национальном уровне благодаря кэшированной (сохраненной) версии корневого файла, утверждает собеседник РБК в крупной IT-компании.
Что именно чиновники предлагают сделать для безопасности Рунета?
В правительстве опасаются, что одним из методов воздействия на Россию может стать давление властей США на RIPE NCC: в частности, в Америке есть Управление по контролю за иностранными активами (Office of foreign asset control), которое составляет список бесплатных услуг (в том числе связи) для стран, которые находятся под санкциями, объясняет эксперт одной из организаций. Гипотетически какая-нибудь американская правозащитная организация может подать иск к RIPE NCC за то, что та предоставляет услуги России, и тогда не исключено, что RIPE NCC «отзовет» все российские IP-адреса.
С помощью законопроекта предлагается создать копии на всех трех уязвимых участках: копию файла одного из корневых серверов, копию реестра IP-адресов и копию сведений о маршрутах в сети, объясняет специалист, участвовавший в подготовке поправок.
Система должна будет автоматически проверять наличие российских адресов в общей базе, а мониторинг трафика позволит понять, между какими точками в Рунете есть связь, а между какими — исчезла и где необходимо строительство резервных каналов, объяснял газете «Ведомости» федеральный чиновник в феврале. Государство даст операторам связи возможность пользоваться создаваемой базой, но обязывать их не станет, утверждает чиновник. При этом в имеющихся у РБК версиях поправок написано, что операторы все же будут обязаны осуществлять пропуск трафика «с учетом» сведений, полученных из госбазы.
Трафик передается за границу по проводам — этот процесс уже контролируется: для прокладки провода нужно получить специальное разрешение, оно оформляется в правительстве. Подобное разрешение необходимо на любой инфраструктурный объект (дорогу, кабель), который будет пересекать границу, рассказывает собеседник в крупной IT-компании. В России много трансграничных переходов инфраструктурных объектов — они есть у РЖД, «Транстелекома», РАО «ЕЭС», «Автодора» и других компаний. Если закладывается линия связи, то необходимо разрешение Роскомнадзора и ряда других структур, включая ФСБ. Правительство не разрешает прокладывать кабель в любом месте: есть популярные места — к примеру, питерское направление на Финляндию или участок на границе с Монголией. Для получения разрешения компания должна указать хотя бы одного крупного оператора связи, с которым предполагается сотрудничество, — «Ростелеком» — или любого участника «большой четверки» — МТС, «МегаФон», «ВымпелКом», Tele2.
Законопроект позволит создать систему, которая будет оперативно реагировать на различные атаки (например, DDoS и MITM), поскольку будет видно, как и откуда движется трафик, сможет обнаружить аномалии в движении трафика и отслеживать источники атак. Как следствие — появится возможность быстро обратиться к оператору связи, чтобы временно прекратить использование проблемных маршрутов или изолировать сегмент сети, пустив трафик по обходным маршрутам. Такие меры будут эффективны как для борьбы с трансграничными атаками, так и в случаях, когда источник атаки находится внутри страны, объясняет Демидов из ПИР-центра.
В законопроекте не объясняется, будет ли у новой системы свой оператор: указано лишь, что обслуживанием сможет заниматься компания, заключившая контракт с органом исполнительной власти. В разработке последней версии законопроекта участвовал «Ростелеком», и дублирующая система адресации интернета может быть расположена на технической базе госкомпании, говорит собеседник РБК в крупной телекоммуникационной компании. Представитель «Ростелекома» подтвердил причастность к созданию поправок, но отказался от других комментариев.
Что может измениться для бизнеса и обычных пользователей?
Законопроект, по сути, накладывает запрет на пропуск трафика через точки, не включенные в будущий госреестр, объясняет собеседник РБК, близкий к авторам поправок.
От операторов связи и IT-компаний могут потребоваться дополнительные расходы. В частности, для взаимодействия с автономными системами иностранных государств необходимо будет устанавливать технические средства контроля — по сути, аналог СОРМ, систем для оперативно-разыскных мероприятий. Стоимость комплекта оборудования для простой площадки стоит от $10 тыс., а для точки вроде MSK-IX (крупнейшая в России точка обмена интернет-трафиком, расположенная в Москве) — «миллионы долларов», уверен собеседник РБК в крупной IT-организации. Представители операторов отказались комментировать любые расчеты и сам факт возможной установки подобного оборудования.
Нет ясности в определении трансграничного трафика, непонятно, где эти средства контроля трансграничного трафика должны устанавливаться, отмечает один из собеседников РБК. Сегодня многие зарубежные IT-компании размещают свои серверы на территории России — как для ускорения доступа к своим сервисам для российского пользователя, так и из-за закона о персональных данных, действующего с 1 сентября 2015 года. Если понимать законопроект буквально, то трафик, который не выходит за пределы России, но проходит через серверы того же YouTube, придется признать трансграничным, говорит эксперт.
Впрочем, для пользователей есть только одна, пусть и гипотетическая пока, угроза. Взаимодействие государства с операторами связи и контроль за трафиком посредством государственной информационной системы позволит чиновникам при желании выборочно блокировать трафик иностранных сервисов в России на уровне маршрутизации, считает Демидов из «Пир-Центра». В мировой практике масштабные нарушения доступа к сервисам и ресурсам чаще являются следствием ошибок в политиках маршрутизации. Например, в Пакистане в 2008 году так случилось с YouTube: оператор Pakistan Telecom проанонсировал своим местным «соседям» тупиковый маршрут на сеть ресурса для его блокировки, при этом ложный маршрут ушел сначала к гонконгскому оператору PCCW, работающему на глобальном уровне, а тот передал анонс международным партнерам. В итоге доступ к YouTube временно потеряли две трети пользователей сервиса в мире.
Законопроект пока не обозначает ответственность для оператора будущей системы, поэтому ее достоверность и полнота — под большим вопросом, уверен представитель одного из крупных российских операторов.
В последнее время активно обсуждается тема «угонов чужого трафика» (атак посредников — MITM) — ситуация, при которой трафик, которым обмениваются между собой два оператора, работающих на территории, например, штата Калифорния, без участия третьих лиц неожиданно изменяет свой маршрут и проходит через территорию Европы, Белоруссии, Казахстана и Китая, потому что кто-то на другом континенте случайно или неслучайно объявил одного из калифорнийских операторов своим клиентом, а другие поверили ему и пропустили этот трафик. В этих условиях роль региональных регистратур, таких как голландская RIPE NCC, существенно повышается, а появление новой «непонятной российской структуры» только усилит настороженность по отношению к России, отмечает менеджер одного из операторов «большой четверки».
Как государство работает над суверенным интернетом
Идея усилить госконтроль за инфраструктурной частью Рунета появилась весной 2014 года на фоне обострения отношений России с западными странами. Суверенитет российского сегмента интернета стал первостепенной задачей. Одной из инициатив рабочей группы при администрации президента тогда стало введение более жесткого контроля за операторами связи.
Летом 2014 года прошли учения «по отключению» Рунета от глобальной Сети, в которых приняли участие представители Минкомсвязи, Минобороны и ФСБ. Учения должны были показать, как поведет себя российский сегмент интернета при разных типах угроз «со стороны», в частности что будет с информацией в доменах.ru и.рф.
Через несколько месяцев после этого рабочая группа при администрации президента предложила передать полномочия администратора национальных доменных зон от некоммерческой и независимой организации Координационный центр (КЦ) органу исполнительной власти. Американская компания ICANN, которая раздает разрешения на создание доменных имен, это не поддержала.
Осенью 2014 года на заседании Совета по безопасности было принято решение создать так называемую резервную копию инфраструктуры — «дублирующие элементы» глобальной Сети в России. Цель — обеспечить бесперебойную работу интернета в стране на случай непредвиденных угроз извне.
Весной 2015 года глава Минкомсвязи Николай Никифоров в докладе правительству предложил передать под государственный контроль не только КЦ, но и «Технический центр Интернет» (занимается непосредственно поддержкой национальной системы серверов DNS) и действующие в России точки обмена трафиком. При этом частные компании, по мнению министра, не должны заниматься передачей трафика через границу без получения соответствующего разрешения.
От этой идеи министерство не отказалось: к 2020 году Минкомсвязи планирует сократить долю зарубежного трафика до уровня менее 1% с нынешних более 10%.
К концу 2015 года профильное министерство оформило проект федерального закона. Он предлагал создать «государственную информационную систему обеспечения целостности, устойчивости и безопасности функционирования российской части сети интернет», которая объединит в себе по сути дублирующие элементы глобальной системы адресации — базу IP-адресов, базы маршрутизации трафика в Сети и системы DNS. Кроме того, в первоначальной версии документа предполагалось ввести особый контроль за трансграничными переходами трафика.
В апреле 2016 года была подготовлена новая версия законопроекта, в которой уже не было положений об особом лицензировании операторов, обслуживающих трансграничные линии передачи трафика, однако указывалось, что они обязаны устанавливать в своих сетях оборудование, которое будет считывать и передавать информацию о том, как трафик перемещается в Сети оператору государственной информационной системы. В новой версии законопроекта вводится понятия «критической инфраструктуры российской части сети интернет», к которой отнесены национальные доменные зоны верхнего уровня, точки обмена трафиком, сама государственная информационная система, а также инфраструктура всех автономных систем, которые принадлежат российским юридическим лицам.