Разбираемся, от каких угроз собираются защищать рунет, реально ли его изолировать и как будут проходить учения.
В закладки
1 ноября в России вступил в силу закон об автономном рунете. Теперь власти теоретически имеют право «отключить» страну от остального интернета и ограничить трансграничный трафик в случае угроз безопасности.
Закон приняли ещё в апреле 2019 года, но даже спустя полгода в нём остаётся много размытых формулировок — как всё будет работать на деле, пока никто не знает. TJ собрал список главных вопросов к реализации закона и попытался найти на них ответы.
Реально ли изолировать рунет технически, если многие российские сайты связаны с иностранными сервисами
Скорее всего, нет. Как отмечал куратор школы IT и информационной безопасности HackerU Алексей Гришин, чтобы Россия смогла по-настоящему изолировать интернет, остальные страны должны согласиться, что не будут пропускать российский трафик, включая спутниковые сети.
Кроме того, Россия слишком сильно привязана к иностранным технологиям, но при этом не имеет многих аналогов популярных сервисов. В стране нет дублирующей инфраструктуры даже для продолжения работы отечественных ресурсов: многие из них базируются на иностранных серверах или используют их в качестве хранилища данных.
Из-за этого у российских властей даже при всём желании вряд ли выйдет «изолировать» рунет в буквальном смысле. В случае переключения «рубильника» они могут лишь сильно испортить работу отечественных сервисов и лишить россиян такого же простого доступа к зарубежным сайтам, как сейчас — придётся обходить ограничения.
От каких угроз извне собираются защищать Россию
Одной из главных угроз авторы законопроекта называли возможность отключения России от интернета для политического давления. Хотя до сих пор примеров подобного давления в мировой истории не было, а государства чаще сами отключали интернет на своей территории на фоне протестов.
В мае Минкомсвязи перечислило три типа «угроз», при которых могут применить закон об автономном рунете. Среди них «угрозы целостности», «угрозы устойчивости» и «угрозы безопасности».
Однако ведомство привело лишь общие описания без конкретики. Например, под угрозами целостности понимается невозможность связи между пользователями, под угрозами устойчивости — нарушение работы сети при отказе оборудования, природных или техногенных катастрофах, а под угрозами безопасности — попытки взломать провайдеров или «оказать дестабилизирующее информационное воздействие».
Формально под эти формулировки может подойти слишком много всего — от сбоя на магистральной сети провайдеров до пожара в каком-нибудь ключевом российском дата-центре. При этом такие ситуации зачастую не «атака на рунет», а простая случайность или халатность.
Поможет ли изоляция от угроз и кибератак, которых боятся российские власти
В пояснительной записке к законопроекту говорится, скорее, о контентных угрозах, указал TJ генеральный директор Diphost и автор Telegram-канала Эшер II Филипп Кулин. По его мнению, закон не имеет ничего общего с заявленными Минкомсвязи «угрозами» и направлен против «разрушительных твитов».
Автономный рунет и правда вряд ли поможет против реальной кибератаки на инфраструктуру, которой опасаются его авторы. Пожалуй, самым известным примером такой атаки является вирус Stuxnet — червь, целью которого был подрыв работы промышленных предприятий вроде электростанций, заводов или аэропортов.
По данным The New York Times, Stuxnet создали американские спецслужбы в 2009 году, чтобы замедлить ядерную программу Ирана и успешно применили в действии против АЭС «Бушер». Однако вопреки страхам российских законодателей, для этого не понадобился интернет.
Промышленные системы обычно и так не подключены к всемирной сети: чаще всего их делают независимыми или подключают к закрытым каналам. Но это не помешало вирусу Stuxnet нанести вред иранским предприятиям, потому что он распространялся офлайн — через USB-носители.
Глобальные кибератаки можно провести и через интернет, но это просто даёт хакерам больше свободы. Ощутимый вред инфраструктуре обычно наносят иными способами.
Как будут проходить учения по автономности рунета
В октябре Дмитрий Медведев утвердил расписание учений по обеспечению автономности рунета. Их должны будут проводить каждый год, но в правительстве не раскрыли, как именно.
Согласно документу, власти будут проверять, устойчивы ли точки обмена трафиком и отрабатывать восстановление сетей в случае ЧС. Будут ли для этого на какое-то время ограничивать зарубежный трафик — неизвестно.
1 ноября The Bell сообщил о неудачных испытаниях DPI-оборудования на Урале. Собеседники издания рассказали, что во время тестирования произошли сбои, которые привели к отключению интернета.
В учениях участвуют ФСБ, Роскомнадзор, другие ведомства, операторы связи и владельцы точек обмена трафиком, а также организаторы распространения информации — соцсети и мессенджеры. Дату ежегодно будет устанавливать Минкомсвязи, но учения могут быть и внеплановыми — если появится повод.
О плановых учениях участников обязаны уведомить за два месяца, о внеплановых — хотя бы за 10 дней. Дата первых учений пока неизвестна: её должны внести в публичный график на сайте Минкомсвязи до 1 декабря.
Как пояснил TJ Кулин, по нынешним нормативам почти «любая фантазия» организаторов может стать поводом для учений. Но он считает, что если операторы связи окажут сопротивление, то это превратится в «обмен бумажками».
Смогут ли власти блокировать интернет более эффективно благодаря новому закону
Закон об автономном рунете обязывает операторов устанавливать для сетях оборудование для глубокого анализа пакетов (DPI). Его упоминали ещё при принятии «пакета Яровой», но тогда провайдеров так и не заставили внедрить дорогостоящую фильтрацию. Теперь оборудование оплачивается из бюджета: только на это собираются выделить более 20 миллиардов рублей
Благодаря DPI власти смогут блокировать конкретный тип трафика, а не просто сетевой адрес. Это позволит вводить более эффективные ограничения, однако использовать оборудование Роскомнадзор сможет только в случае переключения рунета в «автономный режим».
Но для пользователей рунета пока вряд ли что-то изменится. На момент вступления в силу операторы ещё не получили и не сертифицировали оборудование — его ещё тестируют и пока неясно, когда начнут передавать провайдерам. Но даже после установки DPI по всей России формально использовать её постоянно нельзя — только в случае «угрозы».
Как пояснил Кулин, оборудование позволит сильно расширить возможности Роскомнадзора по блокировкам, не утруждая себя обоснованиями. По его мнению, DPI позволит не афишировать, что именно блокируется, но при этом даже такую блокировку можно будет обойти при желании.
Даже в Китае нет 100% блокировки. Нельзя так сделать.