Блокировка Tor может «сломать» Zoom и Telegram-звонки

Роскомнадзор решил заблокировать ресурс Tor, который создан для того, чтобы обходить блокировки. Получится ли у ведомства это сделать полностью, какую цену, возможно, придется заплатить за это пользователям интернета, рассказал «Росбалту» технический эксперт Роскомсвободы Леонид Евдокимов.

— Роскомнадзор уже официально объявил о блокировке сайта Tor Project, об этом написали »RT на русском» в своем Telegram-канале. Значит ли это, что с Torом в России покончено?

— Нет, не значит. Но с доступностью Torа будет хуже. Насколько хуже — пока не очень понятно. Некоторое технологическое понимание того, что происходит, уже есть, а вот количественного понимания нет. Условно говоря, мы уже видим, как реализована блокировка, насколько она повсеместна. Короткий ответ на текущий момент — не повсеместна. Например, коллеги из Москвы рапортуют о блокировке, в том числе на мобильных провайдерах, но на Петербург конфигурацию фильтрационного оборудования, видимо, еще не выкатили. У меня, например, на мобильном устройстве Twitter замедлен, а Tor еще работает. Иными словами, сейчас идет неторопливая процедура блокировки. Возможно, неторопливая она потому, что на Tor где-то у кого-то что-то завязано, и поэтому ограничения хотят выкатывать постепенно, чтобы все разом не сломалось.

Дело в том, что Tor позволяет обходить не только блокировки, но и тот факт, что российские провайдеры до сих пор массово не внедрили IPv6 — 128-битный протокол адресации в сети Интернет из 1995-го года, пришедший на смену 32-битному IPv4 из 1981-го, позволяющий сохранить сквозную end-to-end адресацию и связность при растущем числе пользователей сети Интернет. Соответственно, у многих провайдеров работает NAT, трансляция сетевых адресов, и если нужно получить доступ к какому-нибудь оборудованию, скажем, информационным табло, то один из способов это сделать — Tor. Так или иначе, почему-то ограничения выкатываются медленно и не на всех сразу, и никто не знает — почему.

Списки всех узлов Tor открыты и доступны любому желающему. Поэтому заблокировать все публичные узлы Tor — задача довольно тривиальная, это можно было сделать еще в том 2017 году, когда было принято судебное решение о блокировке ресурса, которое почему-то только четыре года спустя решили исполнить. По этому судебному решению блокируется сайт Tor Project. По какому судебному решению блокируется сама сеть Tor, мы не знаем, потому что Роскомнадзор, видимо, не считает нужным это сообщать.

У Роскомнадзора последние пару лет есть два фундаментальных метода блокировки. Один — рассылка реестра запрещенных ресурсов провайдерам. Этот реестр подписан электронной цифровой подписью, это, в общем, солидный документ. В нем, помимо всего прочего, есть поле о том, кто принял решение запретить ресурс и номер судебного решения. С этого реестра все начиналось в 2012–2013 годах. Конечно, он создан для служебного пользования, но по факту доступен всем желающим, потому что у нас очень много провайдеров, на документе нет грифа секретности, и он довольно быстро утекает в публичное поле.

— И в этом реестре можно увидеть список запрещенных ресурсов, которые провайдеры должны блокировать?

— Да, до недавних пор было так. Но в 2018 году, с появлением закона, который предписывает провайдерам внедрять так называемые технические средства противодействия угрозам, ситуация поменялась коренным образом. Помимо реестра, который никто не отменял, у провайдеров появилась обязанность устанавливать оборудование, которое контролируется Роскомнадзором в довольно неподотчетной форме. Помните историю с замедлением Twitter в марте? Это пример использования такого оборудования. О замедлении Twitter мы знаем только потому, что Роскомнадзор решил разослать пресс-релизы и написать об этом у себя на сайте. Однако далеко не с первого раза у них получилось настроить правильную конфигурацию. Было это сделано случайно или намерено, чтобы усилить информационную волну, мы никогда не узнаем. Но в реестрах, подписанных электронной подписью и доступных любому провайдеру, ничего про Twitter не было.

— Получается, провайдеров обязали устанавливать оборудование, которое позволяет Роскомнадзору самолично заниматься блокировками?

— Делать что угодно и совершенно непрозрачно, да. Потому что сами провайдеры не знают, что это оборудование делает. По крайней мере — официально они к нему не имеют доступа: у провайдера в Сети появляется некоторая коробка, которая делает что-то, и провайдер имеет над ней контроль только в формате «выключить эту коробку, если совсем все пошло не так». До тех пор, пока хоть что-то работает, насколько я понимаю, провайдер не имеет даже права эту коробку выключать.

— Tor сейчас блокируют таким способом — с помощью «коробки»?

— Саму сеть Tor сейчас блокируют способом, очень похожим на такой. Но поскольку «коробка» непрозрачна, мы не можем с уверенностью ничего сказать. Мы знаем только то, что в реестре соответствующих записей о блокировке сети Tor нет. Есть только запись о блокировке сайте Tor.

Более или менее массово блокировать ресурс стали 1–2 декабря. Тогда же стали поступать жалобы от пользователей. Однако интернет-эксперт Владислав Здольников говорит, что наблюдал у себя на приборах блокировку Tor еще раньше, в сентябре–октябре. При этом в реестр сайт Tor Project добавили только вчера, и теперь мы знаем, что его блокируют по решению суда 2017 года. То есть — только вчера поздно вечером, спустя неделю после начала массовых блокировок, Роскомнадзор официально что-то подтвердил. Это к вопросу о том, как ситуация из прозрачной превращается в непрозрачную. С Twitter Роскомнадзор сначала разослал пресс-релиз, а потом стал замедлять ресурс. С Tor официальное подтверждение появилось спустя неделю после инцидента. В какой-то момент, видимо, даже сообщать об этом не будут. Логично было бы ожидать такое продолжение.

— Блокировка сайта Tor Project и блокировка самой сети Tor — не одно и то же?

— Технически это вещи похожие, но разные. Насчет юридической стороны вопроса — я не уверен. Возможно, дело в расширенной трактовке судебного решения, которая охватывает и то, и другое.

— Меня интересует техническая сторона вопроса. Тот факт, что Роскомнадзор внес в реестр «запрещенки» сайт Tor Project, и блокирует его, означает, что доступ к Tor совсем ограничен? Или могут появиться какие-то обходные пути?

— Блокировка сайта и блокировка сети — технологически две разные вещи, две разные сущности. С 1 декабря на некоторых провайдерах, не на всех, мы наблюдаем блокировку сети, по крайней мере, попытки блокировки. Не берусь оценивать, насколько они успешны. Раз пользователи что-то заметили, значит, в какой-то мере блокировка сработала. Блокировка сайта началась вчера, если я правильно понимаю. Даже тот факт, что сайт и сеть блокируют с разрывом в пять дней, говорит о том, что технологически это две разные истории.

Роскомсвобода обращала внимание на то, что за неделю до всего этого Лига безопасного интернета распространяла петиции о блокировке Tor — реальным блокировкам предшествовала какое-то информационное движение. Стоит ли все это связывать, никто достоверно не скажет.

— Появилась информация, что Tor уже запустил зеркало своего сайта.

— Я подозреваю, что зеркало было давным-давно. Формулировка «запустил зеркало» в этом смысле не совсем корректная. Это просто одно из существующих зеркал. Сейчас Tor запустил общественную кампанию по переводу инструкций по обходу блокировок, по использованию мостов. Это действительно произошло.

— Получается, с помощью зеркал Tor по-прежнему можно использовать, несмотря на блокировку?

— Да. Но, скорее всего, какое-то количество пользователей блокировка все равно отсечет. Показателен в этом смысле пример RuTracker. Его заблокировали много лет назад, еще во времена, когда он назывался Torrents.ru, но он и сейчас работает. Однако некоторое время назад мелькала статистика о том, что ресурс потерял половину пользователей, им, видимо, было сложно работать с ресурсом в обход блокировок. Что будет с Tor? Мы не можем сейчас в достаточной степени оценить. Во-первых, Tor свои данные по использованию сети публикует с задержкой. Во-вторых, гранулярность данных — страна, а у нас он не по всей стране заблокирован. Поэтому, чтобы аккуратно оценить эффект блокировки, сначала нужно понять, на какой территории Tor блокируется, а потом попытаться понять, как распределены пользователи, потому что, возможно, в Москве на единицу населения пользователей Tor в разы больше, чем в деревне Алексеевка.

— А когда Tor заблокируют везде?

— Тогда станет понятно, сколько пользователей Tor потерял в России.

— Есть ли возможности обойти подобную блокировку?

— Да. И один из таких инструментов — мосты, которые решают задачу доступа к сети Tor, если основная сеть заблокирована. Но этот инструмент еще нужно настроить.

— То есть, если немного заморочиться, Torом можно по-прежнему пользоваться?

— В текущей ситуации заморочиться придется, скорее всего, немного. Но создать ситуацию, в которой пользователям пришлось бы заморачиваться сильно, тоже технологически возможно. История с мостами следующая: есть мосты, которые выглядят как хороший трафик, есть мосты, которые выглядят как трафик, который не похож ни на что, и есть мосты, которые выглядят как трафик сетевых аудио и видео созвонов. Например, как звонки в Telegram. Все это — история про маскировку. Маскировка бывает разной степени успешности. Многие специалисты говорят о том, что мосты будут работать до тех пор, пока не будет «белого списка» протоколов или «белого списка» ресурсов.

Технологически история с «белым списком» в каком-то смысле уже встречалась. Например, в 2018 году у провайдера Yota сеть была устроена таким образом, что пользователям определенных тарифов при попытке использовать сетевой протокол, который не похож ни на что, ограничивали скорость данного протокола до 64 килобит в секунду. Для сравнения, это скорость модема, который работал в 1990-х по медной телефонной линии. Это я к тому, что есть инструменты для того, чтобы сделать большую часть мостов неиспользуемой или неприемлемо плохо используемой.

А заблокировать можно все, что угодно. Вопрос в том, что отвалится параллельно. Все помнят историю с блокировкой Twitter, когда по ошибке досталось Microsoft, GitHub и срикошетило даже в Russia Today. Но там ошибка была совсем глупая. С попытками блокировок мостов, если таковые будут, ошибки тоже не исключены. Что-то может непредсказуемо «сломаться», а инструментов для отладки нет. Никто не разрабатывает инструменты отладки сетей с мыслью о том, что надо отлаживать еще системы блокировки, которые к тому же непрозрачны и не сообщают, что они блокируют.

Скорее всего, мосты Tor будут работать достаточно долгое время — полгода-год, может больше. Но полагаться на то, что они будут работать в условиях массовых волнений, митингов, сложно. Использовать мосты, чтобы зайти на LinkedIn или в Twitter, чтобы замедленный не читать, скорее всего, получится.

— А что будет с зеркалами?

— Зеркало — это, по сути, другое имя такого же или очень похожего сайта. С зеркалами история простая. В России давно есть норматив о зеркалах, на основании которого даже судебного решения не нужно, чтобы их заблокировать. В реестре Роскомнадзора, например, чуть меньше тысячи зеркал сайта Грани.Ру (заблокирован по решению Генпрокуратуры РФ — «Росбалт»). Вопрос только в том, будет Роскомнадзор заниматься зеркалами или нет.

— Насколько трудоемкий процесс создания зеркала? Можно ли плодить зеркала до бесконечности?

— Чтобы плодить зеркала, потребуется день на подготовку и пять минут на каждое новое зеркало. Проблема не в том, чтобы эти зеркала создавать, это не трудно. Тем более, что у Tor не очень сложный сайт, достаточно просто скопировать его. Проблема в том, чтобы как-то доносить информацию о новых зеркалах до пользователей. Это должно происходить через какую-то платформу. Ей может быть приложение, почтовая рассылка, Twitter, Telegram-каналы. История в том, насколько просто можно будет давить на платформу, чтобы перекрыть канал распространения информации о зеркалах. И сколько пользователей будет потеряно при переходе с прямого информирования на опосредованное.

Так что зеркала плодить можно, блокировать их можно. Достигнет ли Роскомнадзор 100% блокировки? Нет. Достигнет ли он блокировки Tor для 95% пользователей? Вполне может быть.

— То есть, ресурсы у Роскомнадзора есть, значение будет иметь лишь настойчивость ведомства?

— В целом, да. Вопрос, как всегда, в деталях. Один из мостов Tor маскирует трафик под сетевые звонки между браузерами, мессенджерами. Вопрос о том, будет ли политическая воля блокировать подобный трафик, потому что в эпоху пандемии сломать всем аудио- и видео-конференции — это очень лихое решение. Технологически это возможно и коснется всех тех, у кого замедлен Twitter. Простой способ проверить, пострадаете ли непосредственно вы от такой блокировки, — посмотреть, замедлен ли у вас Twitter, открыв вот эту картинку. Если она грузится быстро, за 1-2 секунды, то все в порядке, если медленно, секунд 30, то вы в группе риска.

Если Twitter замедлен, то и Tor можно сделать неприемлемо плохо работающим. Вопрос в том, что еще у вас при этом сломается. В случае замедления Twitter было понятно, что все это ограничится им, а всем остальным досталось по ошибке. С Tor будет некоторая дополнительная сложность в виде этих звонков.

Сейчас мосты, которые маскируют трафик Tor под сетевые звонки, достаточно уникальны. Их сложно перепутать с реальными звонками. Но это можно исправить, вопрос чисто технологический. Я знаю, что в Сети уже опубликованы некоторые решения, которые позволяют мосты такого типа сделать менее подверженными блокировкам. Процесс будет идти с обеих сторон. К чему он сойдется — посмотрим. Можно выключить интернет, тогда Tor точно работать не будет.

— Давайте разбираться. У Tor один из мостов маскирует трафик под технологию, которая активно используется для сетевых аудио и видеоконференций. Сейчас эти мосты выглядят как-то по-особенному, и их не сложно отличить от всех остальных. Но их можно сделать менее узнаваемыми…

— Более того, прототип уже готов: уже есть решение того, как маскировать трафик Tor чуть лучше. Но все не так просто. Вы, может, помните историю 5-6-летней давности о том, как люди делали макияж, чтобы системы распознавания лиц переставали видеть лицо и вообще человека. Эта история несколько кругов сделала: системы распознавания лиц дорабатывались, и макияж дорабатывался. С мостами Tor можно ожидать подобной истории. С системой распознавания лиц, наверное, не всегда критично, что чучело Буратино приняли за человека. А вот в случае блокировок, если мы за «плохой» начинаем принимать легитимный трафик, это означает, что у какого-то пользователя что-то перестает работать. То, что, вообще говоря, работать должно.

— То есть, если сделать мосты Tor, которые маскируют трафик под «звонки», похожими на реальные «звонки», попытки Роскомнадзора заблокировать эти мосты могут срикошетить на всю систему сетевых аудио и видеоконференций?

— Да, именно об этом я и говорю. У любой системы распознавания есть два свойства: точность и полнота. Количество ложноположительных и ложноотрицательных срабатываний. Когда мы хороший трафик будет принимать за «плохой» — и наоборот. В одном случае у нас будут пропуски, через которые Tor сможет просачиваться, а в другом случае будет рикошет по условному Zoom. Возможно как то, так и другое.

Учитывая, что система подвижная, динамическая, достичь 100% точности сложно. Она зачастую и не нужна, потому что, если у вас Tor будет загружаться полчаса, скорее всего, вы им пользоваться не будете. Это история про поиск баланса. Где найдет баланс Роскомнадзор, совершенно непонятно. Вполне возможно, что даже блокировки публичных мостов, зашитых в приложение Tor, и блокировки публичных узлов, Роскомнадзору будет вполне достаточно для исполнения внутренних предписаний в текущей политической ситуации.

Анна Семенец