подписал закон об отключении интернета

IT-гиганты пытаются облегчить госцензуру интернета?

В первой половине 2018 года Google и Amazon внезапно пересмотрели свое отношение к обходу цензуры с помощью их облачных сервисов, поставив многие сайты и приложения под удар.

На днях компания Amazon отправила создателям защищенного мессенджера Signal письмо, отреагировав на их планы по использованию техники domain fronting для обхода интернет-цензуры. Этот способ позволяет маскировать трафик приложения под трафик стороннего сайта (в данном случае речь шла о принадлежащем Amazon домене Souq.com). В своем письмо представители компании заявили, что такое использование платформы Amazon Web Services прямо нарушает пользовательское соглашение. В случае если Signal не откажется от подобной практики, компания грозится отказать разработчикам мессенджера в доступе к сервисам Amazon CloudFront.

Прямой доступ к Signal ограничен в Египте, Омане, Катаре и ОАЭ на протяжении полутора лет. Эти страны пытаются заблокировать мессенджер, требуя от интернет-провайдеров блокировки соединения с серверами Signal.

Как и большинство современных сервисов, Signal не имеет единого статического IP-адреса, который провайдеры могут без особых проблем фильтровать. В облачных сервисах IP-адреса со временем могут меняться в зависимости от выравнивания нагрузки и даже не всегда привязаны к одной конкретной точке. Например, Amazon CloudFront может прекращать запросы на один и тот же IP-адрес для любого количества сервисов, которые хотят распространять контент посредством своей CDN. Это может затруднить определение цензорами запрещенного трафика только по IP-адресу.

К сожалению, квитирование TLS полностью раскрывает целевое имя хоста в виде открытого текста, поскольку имя хоста включено в заголовок SNI в незашифрованном виде. Такое положение вещей актуально и для TLS 1.3.

Однако к настоящему моменту был создан целый ряд облачных сред со специфическими особенностями, позволяющими решить эту проблему. Они позволяют создать TLS-соединение для домена A с запросом, который будет фактически получен и обработан доменом Б. Такая техника как раз и называется domain fronting.

Когда доступ к Signal был ограничен в вышеозначенных странах, создатели мессенджера прибегли к такой методике, используя Google App Engine. Это привело к тому, что для блокировки Signal эти страны также должны были бы блокировать основной сайт поисковой системы Google – google.com. Принцип, лежащий в основе domain fronting, заключается в том, что для блокирования одного сайта вам придется заблокировать большую часть интернета. Руководство стран было не готово к такому шагу, что подорвало все их усилия по блокировке мессенджера. От пользователей даже не требовалось никаких лишних действий – они могли просто скачать приложение и использовать его как обычно.

Прямой доступ к Signal также был ограничен в Иране в течение последних трех лет, но там у разработчиков не было возможности прибегнуть к описанным выше способам обхода блокировки. Опираясь на спорную трактовку юридических аспектов санкционного режима, Google не разрешает использование сервиса Google App Engine в Иране.

В начале 2018 года общественные организации усилили давление на Google, чтобы изменить позицию компании по этому вопросу. К сожалению, эти усилия имели обратный эффект. Когда руководство Google стало более осведомленным о методике domain fronting, оно задумалось об ограничениях использования таких способов обхода блокировок в других странах. Недавно компания Google также проинформировала создателей Signal об их стремлении начать борьбу с domain fronting.

Реагируя на заявления Google, разработчики мессенджера стали использовать платформу CloudFront. Однако и реакция Amazon не заставила себя ждать.

Такая политика компаний может привести к тому, что domain fronting станет нежизнеспособным методом обхода цензуры во всех странах, где Signal использовал эту методику. Команда Signal состоит всего из нескольких человек, и поиск нового решения по обходу блокировок может занять продолжительное время. Более того, если последние изменения политики разработчиков облачных сервисов говорят об их приверженности обеспечению прозрачности пунктов назначения зашифрованных потоков трафика на уровне сети, тогда диапазон потенциальных решений становится сильно ограниченным.

Интернет-цензоры во многих странах смогут, наконец, достичь своих целей. К сожалению, им остается только немного подождать.

Источник: https://roskomsvoboda.org/38561/

Эксперты указывают на несостоятельность большинства норм пакета законов Яровой-Озерова

В эту пятницу, 17 февраля, вице-премьер Аркадий Дворкович проводит совещание, на котором обсудят пакет законов Яровой-Озерова, сообщают «Ведомости». Факт проведения совещания подтвердили в аппарате правительства. На совещании пойдет речь о внесении изменений в пакет законов Яровой-Озерова, предлагаемые экспертной группой под руководством Михаила Абызова.

Напомним, 20 января уже проходило заседание с участием экспертной группы по пакету законов Яровой-Озерова. Тогда на повестке была петиция РОИ об отмене пакета Яровой-Озерова, которую Минкомсвязи не поддержало. Кроме этого чиновники обсуждали возможные корректировки в законы, которые позволят снизить нагрузку на операторов связи и сократить объемы обязательного к хранению трафика.

В ходе январского заседания чиновники и эксперты пришли к выводу о необходимости сокращения обязательных к хранению видов трафика. Так, из перечня подпадающей под пакет Яровой-Озерова информации был исключен трафик, генерируемый при скачивании торрентов, просмотре IP-TV и онлайн-видео.

«Речь идет о том, что к избыточной информации относятся интернет-видео, IP-TV, торренты и ряд других очень тяжелых для хранения информационных ресурсов», — сказал тогда замминистра связи Алексей Волин.

Тогда же экспертная группа предоставила правительству заключение, в котором рекомендовалось провести дополнительную оценку технических, организационных и социальных аспектов пакета законов Яровой-Озерова. Отдельное внимание был уделено избыточной информации: экспертная группа предлагала сократить объем обязательного к хранению трафика на 80%, сосредоточившись исключительно на текстовых и голосовых сообщениях.

В новой версии заключения, которое экспертная группа подготовила к пятничному совещанию, говорится, что оценить затраты операторов связи будет возможно только после запуска тестового проекта. По этой причине группа предлагает на базе одного из операторов развернуть тестовую площадку, которая будет соответствовать всем нормам пакета законов Яровой-Озерова. Это позволит протестировать системы, оценить необходимые затраты и убедиться в работоспособности предлагаемого подхода. Эксперты не отказываются и от своих прошлых предложений, а именно от поэтапного увеличения сроков и объемов обязательной к хранению информации после вступления пакета законов в силу.

На базе какого оператора будет развернута тестовая инфраструктура не уточняется. В тоже время очевидно, что вероятнее всего принимать участие в тестировании будет «Ростелеком» — как оператор, принадлежащий государству. Источник «Ведомостей», близкий к экспертной группе, сказал, что из-за проведения тестирования сроки вступления закона в силу могут быть сдвинуты на 2019 год. Заключение было составлено с учетом позиций МВД, ФСБ, ФАС, Минкомсвязи и других министерств и ведомств.

Кроме необходимости провести тестирование и пересмотреть обязательные к хранению виды информации, экспертная группа в своем заключении отмечает и проблему шифрования. По их мнению, почти вся обязательная для хранения операторами связи информацию будет невозможно расшифровать. Сейчас 49% всего интернет-трафика зашифровано, а уже через три года эта цифра составит 90%. В заключении говорится, что «это может создать трудности при исполнении закона».

Заключение экспертной группы будет направлено кроме правительства еще в Верховный суд и Госдуму. Кроме вышеописанного в нем указывается на необходимость исключить расширительное толкование понятий «миссионерская деятельность», «экстремизм» и «оскорбление религиозных чувств верующих», а Верховному суду провести анализ судебной практики в их части.

Источник: https://geektimes.ru/post/285936/

Минкомсвязь хочет расширить понятие трансграничной передачи персональных данных

Уведомление о начале разработки соответствующего законопроекта Минкомсвязь разместила на Федеральном портале проектов нормативных правовых актов для общественного обсуждения.

На официальном портале regulation.gov.ru размещён проект закона, вносящий изменения в Федеральный закон «О персональных данных» (152-ФЗ) в части уточнения понятия «трансграничной передачи персональных данных». Основанием для разработки законопроекта стал «План организации законопроектных работ Министерства связи и массовых коммуникаций Российской Федерации, утвержденный Приказом Минкомсвязи России от 18.01.2017 № 9».
Как следует из пояснительной записки, власти хотят отрегулировать процесс передачи данных на территорию иностранных государств. Если ранее трансграничная передача персональных данных осуществлялась «исходя из согласия субъекта персональных данных в письменной форме, на основании международного договора Российской Федерации либо исполнения договора, стороной которого является субъект персональных данных», то сейчас эти условия Минкомсвязь предлагает поменять, а по сути — максимально расширить.
Как указывают авторы документа, «из смысла данной статьи следует, что условием трансграничной передачи персональных данных является возможность передачи персональных данных на территорию иностранного государства при соблюдении одного из указанных случаев». По мнению Минкомсвязи, в статье 3 Федерального закона «О персональных данных» обозначенное определение не передаёт главный смысл, заложенный в самом термине «трансграничная передача», а именно: передачу данных на территорию иностранного государства.
В этой связи, указывает Минкомсвязь, «действующая редакция статьи 3 Федерального закона «О персональных данных» позволяет, например, российскому провайдеру «облачных» сервисов, технические средства которого находятся на территории иностранного государства, не обеспечивающего адекватную защиту прав субъектов персональных данных, не соблюдать установленные требования при трансграничной передаче персональных данных». В связи с этим, авторы документа увидели «правовую ошибку», которую содержит пункт 11 статьи 3: «11) трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу».
Минкомсвязь предлагает изменить этот пункт в следующей редакции:
«11) трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства».

Далее поясняется интересное:
«Указанное изменение направлено на уточнение понятия «трансграничной передачи персональных данных» и направлено на устранение коллизии в отношении трансграничной передачи персональных данных и исключение возможности ошибочной трактовки понимания действий по передаче иностранному лицу, не имеющему представительства на территории Российской Федерации, но осуществляющему деятельность на территории Российской Федерации».

Обратим внимание на существенный момент: если раньше под трансграничной передачей понималась передача данных именно иностранному юридическому или физическому лицу, то теперь такой трансграничной передачей будет считаться передача данных, например, от гражданина России гражданину России (или от российского юр.лица российскому юр.лицу) на территории России, даже находясь в одной комнате, но при использовании, например, VPN или прокси.
Это даст законодателям и исполнительным органам власти более расширенные полномочия по жесткой регуляции интернет-пространства в России по таким правовым актам, как «закон о локализации данных» (по которому уже заблокирована крупнейшая деловая соцсеть LinkedIn и никак не может договориться с Роскомнадзором о разблокировке), регулирование деятельности организаторов распространения информации (по которому уже заблокирована популярная онлайн-рация Zello), новостных агрегаторов и т.д., все нормы, которые каким-либо образом касаются информации, персданных, передачи их через интернет-сервисы в т.ч. иностранными юридическими или физическими лицами с возможностью наложить на них штрафы и/или подвергнуть ограничению доступа к ним. А также создается определенный задел на будущее, когда отрасль столкнется с внедрением уже сейчас разрабатываемых норм по регуляции поисковиков, VPN и анонимайзеров.
Это можно также рассматривать не только как удар по иностранным компаниям, но и по российскому IT-бизнесу, серверы которых находятся за пределами нашей страны.
По меткому мнению Алексея Лукацкого (Cisco Systems), это способ ввести тотальный контроль над Сетью, когда любая информация не пройдёт мимо надзорных органов

Общественное обсуждение начала разработки данного правового акта пройдёт в крайне сжатые сроки — до 11 мая текущего года, каждый может высказать свое мнение по нему и проголосовать на официальном портале разработки НПА.

Источник: https://rublacklist.net/28035/