Российский интернет в ближайшее время ожидают перемены. Дмитрий Рогозин убеждает ФСБ в необходимости участия в космической сети OneWeb, а АНО «Цифровая экономика» критикует проект об отключении России от интернета. Что сложного в том, чтобы «выключить рубильник»?
В конце 2018 года группа депутатов во главе с главой комитета Совета Федерации по законодательству Андреем Клишасом внесла в Госдуму законопроект о необходимости обеспечения работы российского сегмента интернета в случае отключения от зарубежных серверов. Для обеспечения автономной работы Рунета в российских сетях предлагалось установить «технические средства», которые определяют источник трафика, а также при необходимости помогут «ограничить доступ к ресурсам с запрещенной информацией не только по сетевым адресам, но и путем запрета пропуска проходящего трафика».
По информации агентства BBC, Роскомнадзор готов потратить до 20 млрд рублей на одно из таких средств, которое, помимо прочего, позволит осуществить в настоящее время технически невозможную блокировку мессенджера Telegram. Речь идет о программно-аппаратном комплексе, осуществляющем проверку и анализ проходящего траффика (DPI — deep packet inspection). Система классифицирует паттерны, иными словами закономерности, присущие тому или иному приложению или сервису, с целью дальнейшей возможной блокировки последних.
Справедливости ради надо отметить, что глава российского регулятора Александр Жаров заявил, что его ведомство не обращалось с такими планами в Минфин. Поэтому не стоит обсуждать, кто именно будет осуществлять план отключения. Рассмотрим лишь его возможность и затруднения, которые при этом возникнут.
При внесении законопроекта, скорее всего, за ориентир взят опыт Китая в построении «великих ИТ-сооружений» на виртуальных границах государства. Позволит ли механизм, описанный в российском законопроекте, их реализовать?
Как это работает
Вообще говоря, современный интернет представляет обмен сообщениями клиент — сервер по протоколу HTTP/HTTPS/HTTP2 и такими типами связи, как обмен сообщениями, аудио/видео связь, торренты и т. п. В связи с инициативой производителей браузеров и проектом Linux Foundation Let's Encrypt, предоставляющим всем желающим с середины 2015 года бесплатные SSL-сертификаты, в последние годы все сайты без шифрования признаются небезопасными. В результате протокол HTTP уступает по популярности HTTPS, в котором обмен трафиком зашифрован.
Когда пользователь хочет обратиться к сайту https://yandex.ru, происходит следующее:
1. Браузер обращается к серверу доменных имен интернета DNS провайдера (или домашнего роутера) для превращения понятного человеку веб-адреса yandex.ru в рабочий набор цифр 77.88.55.501, то есть IP (4-х байтные адреса) и/или IPv6-адреса (16-ти байтные адреса).
Таким образом DNS можно представить как телефонный справочник, который переводит понятные человеку веб-адреса в удобный для работы набор цифр IP-адреса.
В свою очередь, DNS-сервер обращается либо к вышестоящему серверу, либо к зарубежным корневым серверам, хранящим каталоги соответствия веб-ресурсов их адресам. Чтобы хакеры не перенаправили ваш запрос на свои сайты, применяется шифрование информации цифровой подписью и проводится периодическая проверка ключей (да, они бывают не только у Telegram).
2. Браузер устанавливает шифрованное соединение и проверяет сертификат сервера. Сертификат — это инструмент, который позволяет убедиться, что мы обращается именно к сайту yandex.ru, к которому мы планировали, а не какой-то хакерской копии, на которой хотят узнать номера наших кредитных карт.
Сертификат должен быть подписан удостоверяющим центром, которых — внимание! — в настоящее время в РФ нет.
3. В случае успешной установки TLS-соединения далее происходит загрузка страницы на стандартизированном языке разметки HTML, а для содержимого страницы (графика, скрипты и прочее) происходит аналогичная процедура, начиная с пункта 1.
Что мешает отключиться
В марте 2016 года Общество защиты интернета впервые опубликовало индикатор связности национального сегмента интернета с глобальной сетью, который отражает совокупное количество связей между российскими и зарубежными автономными системами. В начале декабря 2018 года показатель составил 2512 пунктов, а максимального значения в 3514 пунктов индекс достигал в апреле этого года. Чем меньше связей, тем проще их контролировать, и тем ниже влияние на мировой интернет в случае отключения России.
Пять лет назад впервые была затронута тема автономности: в 2014 году Совет безопасности поручил соответствующим ведомствам изучить вопрос безопасности Рунета, а в 2016 году Минкомсвязи рапортовало, что планирует достичь показателя передачи трафика внутри страны в 99%, тогда как в 2014 году аналогичный показатель составлял 70%.
Чего не хватает для суверенного интернета сейчас? В первую очередь, система DNS не является автономной и зависит от глобальной корневой системы. Поэтому для работы Рунета в самостоятельном режиме требуется создать национальный аналог DNS. Текст законопроекта 2018 года предусматривает это: «В целях обеспечения устойчивого функционирования сети Интернет создается национальная система получения информации о доменных именах и (или сетевых адресах) как совокупность взаимосвязанных программно-аппаратных средств, предназначенных для хранения и получения информации о сетевых адресах в отношении доменных имен, в том числе включенных в российскую национальную доменную зону, а также авторизации при разрешении доменных имен», — указывается в документе. Технически России будет несложно создать свои корневые серверы DNS, но гораздо труднее заставить других ими пользоваться.
Вторым препятствием оказывается назначение IP-адресов (новые домены должны получить свой «цифровой адрес»). Оно осуществляется организацией Réseaux IP Européens Network Coordination Centre (RIPE NCC) с штаб-квартирой в Амстердаме. RIPE NCC предоставляет платное членство, в том числе российским организациям, позволяя использовать IPv4 и IPv6 адреса. Ее сервис включает размещение информации о новых членах в базе данных организации. Создать аналогичный «суверенный» центр затруднительно, как минимум, ввиду того, что свободные IPv4 адреса уже закончились. Аналогичная ситуация обстоит и с SSL-сертификатами: их выдача и отзыв также осуществляется зарубежными компаниями, но планы на них в законопроекте также отсутствуют. А без них не будет работать система шифрования трафика, которая не дает хакерам просматривать передаваемую через просторы интернета информацию.
Третьим препятствием является содержимое веб-страниц, большинство из которых строятся на технологиях open source. Их исходные тексты доступны, но они размещены на зарубежных ресурсах: Sourceforge, Github, Bitbucket и других. Популярные JavaScript-библиотеки, необходимые для полноценного функционирования сайта, зачастую не копируются в код веб-ресурса, а используются в виде ссылок на зарубежные хранилища кода. В случае «суверенизации» сайты попросту лишатся многих функций.
Апокалипсис сегодня
Какие проблемы мы получим, если случится апокалипсис и в России нарушится трансграничная связность сети Интернет?
1. Проблемы с DNS. Большая часть корневых каталогов DNS будет недоступна (в России есть зеркала только трех корневых DNS), что с большой вероятностью повлечет задержки в загрузке веб-страниц в доменных зонах .ru и .рф. Помимо этого полностью пропадет доступ к зарубежным доменам при вводе привычного буквенного URL-адреса. Попасть на них будет возможно только при введении правильного цифрового IP-адреса. Впрочем, по условиям нашего апокалипсиса связь с зарубежными серверами все равно отключена.
2. Проблемы с отображением и функциональностью веб-страниц. Размещение сайта в доменной зоне .ru никак не гарантирует, что все его содержимое находится также в зоне .ru. Более того, сейчас широко распространено использование географически распределенной сетевой инфраструктуры (CDN — Content Delivery Network), когда содержимое делится между несколькими серверами, что сокращает сетевой маршрут передачи данных, а для пользователя это выглядит как более быстрая загрузка сайта. Если пропадет связь со скриптами и контентом на зарубежных сетях CDN, сайтами и сервисами на зарубежных хостингах, то с наших веб-страниц исчезнет ряд функций, вплоть до полной неработоспособности: исчезнут элементы управления, видео-ролики и прочие элементы.
3. Проблемы со связностью. В настоящее время большинство провайдеров имеет хорошую связность в России и подключение к ключевым точкам обмена трафиком, но тем не менее не исключены проблемы из-за изменения маршрутизации у провайдеров, которая осуществляется по данным из базы вышеупомянутой RIPE.
4. Проблема с проверкой SSL-сертификатов. Пользователям это сулит огромные задержки и сообщения «небезопасный сертификат» в браузере при подключении к рядовым сайтам, в то время как для сайтов банков, финансовых организаций, платежных систем и государственных порталов это может означать полную недоступность. Они просто не работают, если не могут убедиться в безопасности сайтов.
5. Проблемы с работой веб-сервисов. Недоступными рискуют оказаться многие облачные сервисы, используемые российским бизнесом: почта, офис, CRM, а также популярные поисковики, мессенджеры, репозитории кода, IP-телефония от зарубежных провайдеров и многое другое. Нечто подобное уже происходило во время активной фазы войны «Роскомнадзора» с Telegram.
Могут ли нас отключить
Опасения депутатов, заключаются в том, что США и весь остальной мир могут отключить Россию от интернета. На этот случай предлагается создать в стране самодостаточную автономную систему, обеспечивающую функционирование сети. При таком сценарии пользователи не смогут обновлять ленту Facebook, но банки и объекты ключевой инфраструктуры не пострадают.
Похожего мнения придерживается идейный вдохновитель и создатель китайского кибер-щита «Великого файрвола» и кибер-меча «Великой пушки» Фан Биньсин. В последнее время его можно часто встретить на форумах, посвященным развитию интернета в России. Среди постулатов гениального изобретателя полный контроль над своим сегментом интернета для государств, возможность защиты своего сегмента сети от атак извне, равные права на использование ресурсов и контроль над корневыми DNS-директориями, через которые осуществляется доступ на сайты, только странами-владельцами этих сайтов. Предложенная им концепция предполагает возможность создания прямого обмена данными между странами в обход корневых DNS-серверов в США.
Впрочем, опасений депутатов и изобретателей из Китая не разделяют эксперты: мировой практике еще не известны случаи, когда стране объявили интернет-блокаду. Более того, отключение сети в одной из стран по команде из США или какой-либо другой страны мира невозможно в силу самой архитектуры DNS-серверов. Кроме основных десяти корневых серверов в США система DNS включает сервера в Нидерландах, Швеции и Японии, а также сотни зеркальных (дублирующих) серверов, в том числе десятки в России: в Москве, Санкт-Петербурге и Екатеринбурге.
Если США по какой-либо причине удалят файлы зоны .ru со своих корневых серверов DNS, Рунет продолжит работать с другими корневыми и зеркальными серверами. Задержки в переводе буквенных адресов доменов в IP увеличат время доступа к сайтам на несколько миллисекунд, но обратный эффект будет губительным для США: потеря доверия повлечет создание целого ряда локальных корневых серверов DNS. Это подтверждает и Дэвид Конрад, член правления ICANN, организации по управлению доменными именами и IP-адресами, в ведении которой как раз находится мировой DNS: «Кнопки «Выкл» не существует».
В свою очередь в Минкомсвязи отозвались об этой инициативе положительно. По мнению ведомства, российский трафик частично проходит через внешние точки обмена, что не позволяет гарантировать безотказную работу Рунета в случае отключения иностранных серверов. Еще в 2017 году Минкомсвязи и МИД заявили о необходимости создания в странах БРИКС системы дублирующих (зеркальных) корневых серверов доменных имен. Однако поддержку подобные инициативы не находят даже у Китая, который готов поддерживать резолюции России в ООН, но идею создания альтернативного интернета считает слишком громоздкой и неэффективной по отношению к имеющейся.
Тяжеловесность и вправду поражает: по оценкам экспертов, стоимость суверенитета в киберпространстве может составлять до 134 млрд рублей в год. Помимо этого еще 25 млрд рублей потребуются единовременно на исследовательские и опытно-конструкторские работы, создание и ведение реестра точек обмена трафика, расширение штата структур регулятора и проведение учений.
Старший брат российского проекта, «Великий Китайский файрвол», кажется на фоне нашего киберсуверенитета недорогим «гаджетом». Он обошелся бюджету юго-восточного соседа в $800 млн (примерно 54 млрд рублей по текущему курсу) и обеспечил цензуру и надежный контроль трафика в стране с 800 млн пользователей.