Пулеметом по VPN

Роскомнадзор хочет знать геолокацию каждого пользователя интернета. Это невозможно технически, но придуманное затруднит обход блокировок

Роскомнадзор хочет обязать операторов связи сообщать ведомству географические координаты всех используемых ими IP-адресов. Проект документа был опубликован для общественного обсуждения неделю назад — и вызвал обоснованные вопросы о том, означает ли он попытку регулятора установить тотальную слежку за пользователями сети, насколько уязвимей станет их положение и какая нагрузка ляжет на поставщиков услуг.

Новые требования РКН содержатся в поправках к приказу № 221 от 31 июля 2019 года. Регулятор планирует обязать провайдеров передавать и постоянно актуализировать данные «об используемых ими сетевых адресах, о сетевых адресах, используемых их клиентами» с указанием географического месторасположения использования IP-адресов, в том числе в виде координат, а также информацию о целях их использования. Планируется, что новые правила вступят в силу с сентября 2024 года.

Вычислить по IP

Ежедневно мы пользуемся как глобальной сетью Интернет, так и закрытыми локальными сетями (интранет, или внутренняя сеть организации). Чтобы по запросу открывался нужный нам сайт, а наши сообщения доходили до конкретного адресата, необходимо, чтобы каждое подключаемое к сети устройство имело уникальный идентификатор — IP-адрес.

Он представляет собой строку чисел, разделенных точками, содержит информацию о местоположении сетевого устройства, делает его доступным для связи и позволяет различать компьютеры, маршрутизаторы и веб-сайты.

IP-адреса не случайны и уникальны. Вашему устройству адрес назначает ваш интернет-провайдер, который, в свою очередь (напрямую или опосредованно), получает его от одного из пяти существующих в мире региональных интернет-регистраторов (RIR — Regional Internet Registry). Для российских пользователей все IP-адреса выделяет RIPE NCС — координационный центр распределения ресурсов сети Интернет в Европейском регионе, обслуживающий локальные интернет-регистратуры Европы, Ближнего Востока и Средней Азии.

Угроза «вычислить по IP» знакома, наверное, любому пользователю интернета. Якобы «хакеры» с легкостью могут определить домашний адрес человека, зная только IP-адрес его компьютера, и готовы за небольшое вознаграждение передать его кому угодно. Например, оппоненту в сетевом споре. Однако на деле все гораздо прозаичнее.

По вашему IP-адресу можно узнать вашего интернет-провайдера, страну и максимум город, из которого вы выходите в сеть. И для этого не нужно быть системным администратором.

Опцию геолокации по IP широко используют различные интернет-магазины, сайты которых постоянно стараются угадать, из какого именно города вы просматриваете товары. Без чьей-либо незаконной помощи определить ваше примерное местоположение по IP может, например, популярный сервис 2ip. Правда, далеко не факт, что оно будет правильным.

Сайты узнают ваши (или не совсем ваши) страну, город и район, обращаясь к одному из существующих реестров IP-адресов, созданных на основе информации, добровольно передаваемой провайдерами регистратору. Точность определения зависит от того, насколько актуальные и полные сведения сообщает оператор связи и какую именно базу данных использует сервис.

Невозможный реестр

На данный момент существует множество реестров IP-адресов, и каждый из них содержит устаревшие данные или ошибки. Инициатива РКН подразумевает создание и дальнейшее поддержание силами операторов связи актуальной базы геолокации IP-адресов в России.

По тексту предлагаемых поправок российские операторы связи будут обязаны указывать и передавать РКН местоположение использования диапазона сетевых адресов с точностью до населенного пункта и муниципального округа.

В пояснительной записке к проекту Роскомнадзор уточняет:

«На основе предоставляемых данных будет сформирована доверенная база данных геолокации IP-адресов в России. База данных будет регулярно обновляться, операторы связи и владельцы ресурсов смогут использовать ее для автоматизированного создания корректных списков доступа, ее создание позволит привести цифровую границу государства в соответствие с физическими границами Российской Федерации. Граждане России получат доступ к государственным, банковским и другим важным ресурсам в любой точке страны».

Однако создать такую точную и актуальную базу на практике нереально. Ведь IP-адреса бывают разными и часто меняют свою «прописку». Если публичный, так называемый белый IP-адрес в большинстве случаев не проблематично закрепить за конкретным пользователем и определенным местоположением, то предоставить такой адрес каждому абоненту сети попросту невозможно. Количество привычных нам адресов (IPv4) ограничено диапазоном от 0.0.0.0 до 255.255.255.255. Это значит, что в распоряжении у всего человечества имеется только 4 294 967 296 уникальных IP. Согласно отчету GlobaL Digital 2023, который ежегодно составляется сервисом Datareportal, количество пользователей интернета в мире по состоянию на 2023 год составляет 5,16 миллиарда. То есть уже сейчас публичных адресов на всех не хватает.

Для решения проблемы дефицита свободных IP-адресов используются частные, или «серые», IP-адреса, принадлежащие к специальному диапазону, не используемому в Глобальной сети. Из имеющихся «белых» IP провайдеры выдают пользователям только часть, резервируя другую часть для работы NAT сервера (Network Address Translation — «преобразование сетевых адресов»). Этот сервер по определенному алгоритму преобразовывает «серый» IP-адрес в «белый», что позволяет сразу нескольким абонентам пользоваться одним публичным IP. Распределение частных адресов никем не контролируется.

В своем комментарии Forbes президент Ассоциации операторов кабельного телевидения «Макател» Алексей Амелькин отмечает, что

«один IP-адрес могут делить между собой несколько пользователей, находящихся в разных местах», и «отслеживать все изменения IP-адресов и сообщать о них РКН невозможно».

«Цифровой занавес»

В пояснительной записке к проекту Роскомнадзор уточняет:

«В настоящее время отсутствует доверенный источник информации о страновой принадлежности сетей связи, что может вызывать ошибки в работе российских систем информационной безопасности и анализа данных. Для эффективной защиты от DDoS-атак необходимо использовать более точные методы определения геолокации… На основе представляемых данных будет сформирована доверенная база данных геолокации IP-адресов в России. База данных будет регулярно обновляться, операторы связи и владельцы ресурсов смогут использовать ее для автоматизированного создания корректных списков доступа, ее создание позволит привести цифровую границу государства в соответствие с физическими границами Российской Федерации. Граждане России получат доступ к государственным, банковским и другим важным ресурсам в любой точке страны».

Если убрать за скобки малопонятное желание «привести цифровую границу государства в соответствие с физическими границами Российской Федерации», у предлагаемых поправок остается одна заявленная цель — повышение эффективности защиты от DDoS-атак.

Число запросов к сетевому ресурсу, которое сервер способен обработать одновременно, ограниченно. Помимо этого существует ограничение пропускной способности канала, соединяющего сервер с интернетом. Когда количество запросов к ресурсу превышает производительность сервера или перегружает пропускную способность подключения, происходит полное прекращение работы ресурса, или «отказ в обслуживании» — DoS (Denial of service).

Отказ в обслуживании может быть вызван умышленно. Если для намеренной перегрузки системы используется одно устройство (хост), речь идет о DoS-атаке; если же сервис или сеть перегружается трафиком, исходящим из нескольких источников, — о DDoS-атаке (Distributed Denial of Service), или «распределенном отказе в обслуживании».

Forbes сообщает, что, согласно данным StormWall,

в 2023 году количество DDoS-атак во всем мире увеличилось на 63% — в основном из-за геополитических факторов. На Россию пришлось 7,3% от общего количества нападений, это 7-е место.

Причины DDoS-атак разнообразны: от личной неприязни и недобросовестной конкуренции до вымогательства, шпионажа и политических мотивов (хактивизма). Например, количество атак на ресурсы правозащитных организаций в США в мае 2020 года выросло в 1120 раз, что совпало с массовыми протестами после убийства Джорджа Флойда.

Позволит ли формирование «доверенной базы данных геолокации IP-адресов в России» эффективнее противостоять DDoS-атакам? Конечно нет! Для DDoS-атак используется не один хост, а целые сети удаленно управляемых устройств (ботнеты), и знание их точного географического расположения никак не облегчает их блокировку. Исполнительный директор «Общества защиты интернета» Михаил Климарев* иронизирует: «Предположим, что РКН узнает физический адрес, откуда ведется атака. Он вышлет по этому адресу пулеметчиков на мотоциклетах?»

Скорее всего,

реестр российских IP-адресов нужен РКН для принудительного закрытия доступа к российским сайтам извне (для зарубежных IP), «защиты» российских пользователей от доступа к иностранным ресурсам и облегчения блокировки VPN.

Если «приведение цифровой границы государства в соответствие с физическими границами Российской Федерации» означает, что из-за технических ошибок геолокации, несвоевременного внесения информации в очередной реестр, проживания на присоединенных территориях или просто выезда из страны гражданин РФ больше не сможет оплатить свои налоги через «Госуслуги», внести квартплату на сайте своего оператора ЖКХ или продлить подписку «Кинопоиска» своим родителям, то речь идет не о наведении порядка, а о полноценном цифровом железном занавесе. Опустить который у РКН, правда, вряд ли получится.

Елена Беляева

*Минюст РФ считает «иноагентом».