Как безопасно пользоваться vpn

Уверены ли вы в том, что можете доверять своему VPN?

Подобные советы дают все: от журнала Consumer Reports до газеты New York Times и федерального торгового комитета: если вы хотите, чтобы ваши действия в вебе оставались приватными и безопасными, рассмотрите возможность использования виртуальной частной сети, или VPN.

VPN шифрует интернет-трафик и перенаправляет его через удалённые сервисы, защищая ваши данные (историю просмотра страниц, закачки, сообщения в чатах) и маскируя ваше местоположение. VPN-сервисы давно уже пользуются популярностью у хакеров и пиратов, и неизбежно должны были стать массовым явлением – как блокировщики рекламы до них – поскольку средний пользователь интернета всё серьёзнее относится к приватности. Сложно найти надёжные данные по их использованию, однако два VPN сервиса недавно попали в 30 самых популярных приложений в Apple App Store, опередив таких серьёзных игроков, как Lyft, PayPal и Yelp. Один анализ этой индустрии оценил, что использовать VPN с 2016 по 2018 года стали в четыре раза чаще, а прогноз Global Market Insights говорит о том, что рынок VPN в США к 2024 году вырастет до $54 млрд.

Так может, и мне обзавестись VPN? Ведь я же пишу статьи на технические темы, и прекрасно знаю необоснованность наших предположений по поводу приватности в онлайне. Я периодически подключаюсь к небезопасным WiFi сетям в аэропортах или кофейнях, и хотя я никогда не скачивал пиратских фильмов, бывает, что я обхожу географические ограничения на веб-контент. Мне определённо не нравится идея доверять моему интернет-провайдеру Verizon все подробности просмотра страниц. И всё же много лет я сопротивлялся желанию подписаться, или даже подробно разобраться в технологии, которую многие эксперты по приватности и безопасности считают необходимой для безопасного просмотра страниц.

Однако, отправившись на поиски подходящего VPN, я столкнулся с неудобной проблемой: как определить, какому из множества VPN-провайдеров доверять.

Поиски достойного доверия VPN толкнули меня на извилистую дорожку, ведущую через обвинения и встречные обвинения, мимо компаний с невразумительным руководством и с конфликтом интересов, сайтов с рейтингами VPN, которые сами выглядят ещё подозрительнее, чем компании, обзоры которых они делают. Многие VPN кажутся явным мошенничеством. Другие делают доступ в интернет медленным. Бесплатные версии заваливают вас рекламой. Это настолько запутанный мир, что даже ведущие фирмы и эксперты не могут договориться даже о том, что составляет хорошую репутацию сервиса, не говоря уже о том, какие компании подойдут под это описание.

Директор одной из крупнейших VPN-компаний, AnchorFree, базирующейся в Кремниевой долине, рассказал мне в интервью по телефону, что подозревает, что один из его главных соперников тайно расположен в Китае – а это сразу вызвало бы возражения сторонников приватности из-за агрессивной слежки, осуществляемой режимом Китая. Один из директоров этого конкурента, компании ExpressVPN, настаивал, что это не так, хотя и отказался раскрыть местоположение владельцев компании и их личности. Компания зарегистрирована на Виргинских Островах. Он утверждает, что такая секретность – это даже хорошо, поскольку правительства не могут надавить на администраторов ExpressVPN и потребовать у них выдать данные пользователей, если не будут знать, кто они и где находятся. И многие пользователи в США действительно предпочитают иностранных провайдеров VPN американским.

Саму же AnchorFree обвиняют в том, что это бесплатный VPN, существующий за счёт рекламы, из-за чего некоторые эксперты высказывают опасения по поводу возникающего на этой почве конфликта интересов (компания также предоставляет и платный сервис). Обе компании указывают на соперничающие друг с другом обзоры, касающиеся доверия этим фирмам, каждый из которых из-за различных методологий склоняется в пользу той компании, которая его рекламирует.

«Количество соперничающей рекламы у этих компаний просто потрясает», — сказал Джозеф Джером, подробно изучавший VPN благодаря своей роли консультанта по политике в проекте «Приватность и данные», организованном Центром демократии и технологий (CDT). «Они мгновенно переходят на ножи».

Возможно, что AnchorFree, заявляя о китайском происхождении ExpressVPN, просто троллит компанию, но такой риск нельзя назвать вымышленным. 7 февраля, когда я работал над этой историей, сенаторы Рон Вайден и Марко Рубио призвали Министерство внутренней безопасности США начать расследование рисков того, что иностранные правительства шпионят за американцами через VPN.

Я просто хотел приватности в интернете, и не подписывался на драку на ножах.

VPN работают, перенаправляя ваше интернет-соединение через удалённые сервера, скрывающие ваше местоположение и усложняющие веб-сайтам задачу идентификации вас. Они также прячут вашу интернет-активность от вашего собственного интернет-провайдера, у которого в ином случае есть доступ практически ко всему, что вы делаете в сети – как и у, допустим, у какого-либо полицейского органа, получившего ордер на изучение ваших действий (или, если быть совсем параноиком, у разведывательного бюро).

Хотя VPN-сервисы не рекламируют этого напрямую, их можно использовать для обхода законов вашей собственной страны или ограничений правоторговцев, подключаясь через сервера, расположенные в другой стране. Доступ к развлекательному контенту – самая популярная причина использования VPN во всём мире, согласно отчёту от GlobalWebIndex 2018 года. Среди других популярных причин – доступ к соцсетям и новостям в тех странах, где они заблокированы (VPN особенно популярны в Китае, несмотря на официальный их запрет) и поддержание приватности во время просмотра сайтов.

Если вам нужен более сильный повод для использования VPN, в 2017 году Конгресс США отверг законопроект, который должен был запретить интернет-провайдерам отслеживать и продавать информацию о вашей активности в сети без вашего согласия. По сути, ваш интернет-провайдер теперь совершенно легально может заниматься майнингом ваших интернет-привычек с целью наживы.

В то же время окончание сетевой нейтральности в США открывает для провайдеров возможность запрещать или ограничивать доступ к определённому контенту или брать с вас больше денег за доступ к нему. VPN может предложить способ обхода ограничений – хотя, если они станут слишком популярными, провайдеры могут попробовать запретить и сами VPN.

VPN – не новое явление. Их появление восходит к 1995 году, когда программисты Microsoft разработали способ, позволявший бизнес-клиентам делать интернет-связь безопаснее. В 2000-х они начали набирать популярность среди разбиравшихся в технологиях физических лиц, ПО с открытым кодом помогло уменьшить их стоимость, а нашумевшие взломы привлекли внимание общественности к проблемам интернета с безопасностью. AnchorFree была основана в 2005, ExpressVPN — в 2009.

Но только в последнее время VPN-провайдеры стали очень популярными в мире технологий. Они раскрутились благодаря развитию небезопасных общественных WiFi сетей и онлайн-контента, доступного в одних странах, и недоступного в других. К примеру, британцы могли бесплатно смотреть Олимпиаду 2012 года по BBC, а в США её можно было смотреть только по платному кабельному телевидению. Популярный VPN-провайдер TunnelBear, основанный в 2011, был в марте 2018 куплен гигантом в области компьютерной безопасности McAfee, сумма сделки не разглашалась. В сентябре 2018 года AnchorFree получила инвестиций на $295 млн, что стало беспрецедентной суммой для VPN-стартапа. У неё есть все шансы стать первым VPN-единорогом – стартапом, который оценивается в $1 млрд – если этого уже не произошло. Директор AnchorFree Дэвид Городянский сказал мне, что по состоянию на февраль VPN его компании, Hotspot Shield, скачивают по 400 000 раз в день.

Сейчас самое удачное время для бума VPN. Что возвращает нас к этой неприятной проблеме доверия. Если так сложно оценить надёжность самых громких имён индустрии, вроде AnchorFree и ExpressVPN, то представьте, как сложно будет оценить вагон менее известных альтернатив. В январском исследовании сайта Top10VPN сообщается, что более половины 20 самых популярных VPN-приложений в магазинах для iOS и Android либо принадлежит китайцам, либо расположены в Китае. Это тем более подозрительно, учитывая, что в Китае в прошлом году VPN были официально запрещены. Если Китай позволяет им продолжать работать, возможно, это происходит из-за их сотрудничества с китайским правительством.

Используя VPN, вы доверяете этому сервису на таком же глубоком уровне, который обычно доступен вашему интернет-провайдеру. То есть, сервис теперь знает, чем вы занимаетесь, когда вы используете интернет. Эти сервисы могут сильнее концентрироваться на приватности, чем большие интернет-провайдеры, но ещё они меньше по размеру, менее прозрачны и несут меньше ответственности перед общественностью.

I don’t use a VPN because I’d rather Comcast aggregate my data than some dude wearing a dolphin onesie in his basement in Zurich.

— SwiftOnSecurity (@SwiftOnSecurity) April 18, 2017

И хотя любой VPN-провайдер поклянётся вам в том, что больше всего его заботит ваша личная приватность, некоторые из них склонны указывать пальцем на своих конкурентов и утверждать, что тем нельзя доверять.

Так как же выбирать? Можно было бы начать с самого крупного провайдера – но практически невозможно узнать, кто он. Большая часть крупнейших фирм являются частными и не разглашают размер базы пользователей. Простейший способ стать крупным VPN-провайдером заключается в том, чтобы предложить бесплатные услуги – обычно при поддержке рекламы — и это ещё сильнее осложняет ситуацию. Бесплатные VPN также обычно ограничивают трафик и географию. Многие специалисты скажут, что от таких сервисов стоит держаться подальше, поскольку в таком случае интерес в сохранении приватности конфликтует с интересом подсовывать пользователям таргетированную рекламу.

AnchorFree, предлагающая бесплатную версию программы Hotspot Shield для пользователей Android, говорит, что в качестве мер по решению этого конфликта демонстрирует пользователям только общую рекламу Google, не использующую данных о пользователях AnchorFree. Реклама появляется периодически при использовании приложения, и её нужно просмотреть, чтобы продолжить просмотр сайтов. В бесплатной версии Hotspot Shield для iOS рекламы нет, но там ограничен трафик и подсоединение разрешено устанавливать только через серверы в США.

Что насчёт VPN с наилучшими отзывами? Есть десятки сайтов с отзывами, их обзоры часто противоречат друг другу, а критерии не всегда прозрачны. Два из наиболее уважаемых сайтов, где публикуются обзоры VPN, а именно PCMag и CNET, дали панамскому сервису NordVPN лучшие оценки, положительно оценивая скорость его работы, простоту использования и функции, связанные с приватностью. А два других, Wirecutter и Tom’s Guide, сочли NordVPN медленным и полным ошибок. И, как ExpressVPN, NordVPN очень старается скрыть истинных владельцев сервиса. Как отмечают в Tom’s Guide, компания является дочерней для панамского холдинга Tefincom S.A., которая, судя по всему, представляет собой шелл-компанию. И, как в случае с ExpressVPN, этой анонимности можно придумать оправдания.

ExpressVPN занимает по меньшей мере первое место на вершинах двух чартов, появляющихся на первых страницах поиска Google, TechRadar и TheBestVPN.com. Оба сайта подчёркивают хорошую скорость сервиса и удобство использования; ни один не упоминает факта сокрытия владельцев сервиса.

У Городянского, директора AnchorFree, есть идея по поводу того, почему его сервис не взлетает в рейтингах так высоко. Многие сайты с обзорами VPN зарабатывают на партнёрских ссылках, получая небольшие отчисления с каждого зарегистрированного пользователя, пришедшего по этим ссылкам к провайдеру. «У этих сайтов нет мотивации говорить правду», — утверждает он. Он заявляет, что они либо снижают оценку сервису Hotspot Shield, либо просто игнорируют его, поскольку не могут заработать деньги на рекомендации бесплатного сервиса.

Гарольд Ли, вице-президент и единственное публичное лицо ExpressVPN, защищает степень приватности своей компании, ставя её на уровень лучших в этой области, не вопреки непрозрачности компании, а благодаря ей. Он говорит, что это вопрос как безопасности работы, так и личной приватности. Так ли удивительно, что люди, создавшие одну из лучших виртуальных частных сетей ещё в 2009 году, будут тщательно охранять тайну своих собственных личностей?

Сам Ли работает в Гонконге, находящемся за пределами материкового китайского «Великого файервола», и не должен подчиняться обременительной интернет-цензуре. Команда ExpressVPN разбросана по всему миру, говорит Ли, и все заявления о том, что они базируются в материковом Китае или связаны с китайским правительством, неверны. «Если люди будут бросаться ничем не подтверждёнными обвинениями, то какой смысл описывать их», — сказал он. Также стоит отметить, что VPN-провайдер с нечестными намерениями стал бы предлагать бесплатный сервис для привлечения большего количества пользователей. ExpressVPN, стоимость которого разнится от $8 до $13 в месяц, является одним из самых дорогих на рынке, и не предлагает бесплатных версий, что добавляет им убедительности.

После выхода оригинала статьи Ли отправил в редакцию более подробное заявление, где отрицал любую связь с китайским правительством. «ExpressVPN по своей сути противостоит правительственной цензуре и слежке, и наш сервис каждый день помогает многим людям в Китае и по всему миру обходить цензуру, — написано там. – По этой причине китайское правительство периодически пытается блокировать наш сервис и удалить приложение из китайского App Store. Любые намёки на нашу связь с китайским правительством на 100% ложны».

Для установки доверия к ExpressVPN Ли предложил взглянуть на историю её работы. Он указал на международный инцидент, когда практика работа с данными в компании подверглась проверке. В 2017 году турецкое правительство конфисковало серверы ExpressVPN в рамках расследования трагического убийства российского посла Андрея Карлова. Власти надеялись, что данные смогут пролить свет на общение подозреваемого в убийстве и турецкого общественного деятеля Фетхуллаха Гюлена, скрывающегося в США. Однако на серверах не нашлось никаких логов, что доказывает утверждения ExpressVPN о том, что компания не ведёт записей деятельности пользователей.

Возможно, защиту лиц, подозреваемых в международном заговоре, не стоит записывать в плюс VPN-провайдеру. Некоторые члены VPN-индустрии считают, что такие факты подчёркивают сомнительную сторону продукта, который должен заниматься онлайн-безопасностью, а не помогать людям обходить законы.

Когда VPN прячет личности владельцев и регистрируется в офшоре, «обычно это происходит потому, что компания нарушает законы», — говорит Франсис Динья, сооснователь и директор OpenVPN, сервиса с открытым кодом, направленного на бизнес-клиентов. Динья посчитал притянутыми за уши обвинения ExpressVPN в связях с китайским правительством, и сказал, что владельцы сервиса прячутся, скорее всего, потому, что их сервис в первую очередь предназначен для пиратства или другой незаконной деятельности. С его точки зрения VPN в первую очередь нужно использовать для кибербезопасности, а не анонимности. Он отмечает, что VPN не помешает таким платформам, как Facebook и Google, идентифицировать и отслеживать вас другими способами, кроме определения IP-адреса.

Однако в мире безопасности эпизод с Карловым можно считать серьёзным доказательством: если ExpressVPN подходит для политических наёмных убийц, его услуг должно хватить и остальным людям. Многие VPN-провайдеры говорят, что не хранят логи пользовательских действий, но это заявление сложно подтвердить в отсутствии международных инцидентов, устраивающих им проверку.

Джером из Центра демократии и технологий (CDT) хорошо знаком с ExpressVPN. Чтобы подтвердить свои честные намерения, ExpressVPN в прошлом году вместе с четырьмя другими VPN-провайдерами организовала партнёрство с CDT для запуска инициативы, направленной на повышение доверия к VPN. Он составили список «признаков добросовестных VPN», предлагая другим провайдерам ответить на восемь вопросов, связанных с такими темами, как владение компанией, бизнес-модель и практики, связанные с приватностью. Вопрос по владению просит компанию раскрыть полное легальное наименование, все родительские компании и местоположение их штаб-квартир. Он не спрашивает только фамилий директоров компаний.

Джером на мой вопрос об управляющих ExpressVPN извинился и сказал, что не может ничего комментировать. «Мы работали с этими компаниями на доверии,- сказал он. – Наш итоговый продукт отражает некоторые из трудностей, с которыми мы столкнулись». Джером говорит, что он изначально надеялся провести более подробный аудит, но для этого потребовалось бы больше ресурсов и более тесная кооперация со стороны провайдеров. «Было очень сложно заставить их согласиться с тем, как мы будем их оценивать, и кто конкретно будет их оценивать, — сказал он. – Я думаю, все они считают себя честными игроками. Но я думаю, что присутствует страх того, что если люди заглянут к ним под капот, то увидят там что-то плохое».

AnchorFree не участвовала в проекте CDT. Она заказала свою версию аудита у немецкой компании AV-TEST, оценивающей антивирусы и ПО для безопасности компьютера. Неудивительно, что в её отчёте раскрытие информации о владельцах и управляющих компании стало основным критерием, а провайдеры ExpressVPN и NordVPN были раскритикованы за отсутствие прозрачности. AV-TEST также отметила те фирмы, которые выпускают ежегодный отчёт по прозрачности – а этим совсем недавно начала заниматься AnchorFree. А, и ещё AnchorFree попала на первое место среди провайдеров по скорости соединения.

Учитывая популярность бесплатного сервиса компании, агрессивный сбор инвестиций и партнёрство с такими компаниями как Samsung – чьи телефоны теперь поставляются со встроенное бесплатной версией Hotspot Shield VPN – AnchorFree, возможно, занимает наилучшую позицию среди компаний, пытающихся монетизировать бум популярности VPN. Однако она появляется не во многих рейтингах, частично из-за предубеждённости экспертов по отношению к бесплатному VPN, частично из-за плохих показателей в тестах скорости, проводимых сторонними компаниями.

Оказывается, самый серьёзный удар по репутации AnchorFree получила со стороны CDT в 2017 году, когда последний отправил жалобу в Федеральную торговую комиссию, утверждая, что Hotspot Shield вводит пользователей бесплатного VPN в заблуждение, записывая о них больше данных, чем это необходимо, а в некоторых случаях перенаправляя их на сайты рекламных партнёров. Городянский из AnchorFree называет эти заявления «прискорбным недопониманием», однако AnchorFree вскоре после этого изменила свои правила обслуживания. В 2018 году Комиссия опубликовала запись в блоге касательно преимуществ и рисков VPN, но никаких других действий с её стороны не последовало.

ExpressVPN почти выиграла долгожданную рекомендацию со стороны Wirecutter, опубликовавшего очень подробный и обширный обзор VPN. В тексте обзора встречаются намёки на то, что ExpressVPN могла бы занять и первое место, если бы не одно «но»: отказ раскрыть сведения о владельцах. Редактор Wirecutter Марк Смирниотис отметил, что ExpressVPN предложила организовать конфиденциальный разговор с владельцами, но он решил, что этого будет недостаточно для того, чтобы поменять его оценку.

Вместо этого Wirecutter порекомендовал менее крупный сервис IVPN, который, по заявлению автора статьи, «прекрасно справляется с вопросами доверия и прозрачности». Официально IVPN находится в Гибралтаре, который, как и Виргинские острова, принадлежит к Британским заморским территориям. VPN часто избирают в качестве базы оффшорные территории, поскольку они лежат за пределами прямой юрисдикции правительств главных мировых держав, а также редко обладают крупными агентствами национальной безопасности.

С ростом запроса на VPN у индустрии есть серьёзная мотивация на то, чтобы вырасти из фазы Дикого Запада. Шагом в этом направлении являются партнёрства с некоммерческими компаниями и аудиты, проводимые сторонними организациями. NordVPN недавно пошла по этому пути вслед за AnchorFree и ExpressVPN, заказав аудит у PricewaterhouseCoopers, чтобы подтвердить свои заявления о защите приватности пользователей. Однако подобные аудиты были бы гораздо более осмысленными, если бы их не запрашивали отдельные VPN-провайдеры. Такие люди, как Джером, пытаются продвигать стандарты индустрии, но пока что VPN-провайдеры уклоняются от аудитов, методологию которых они не в состоянии контролировать.

Более серьёзные изменения могут последовать, когда некоторые из лидеров рынка решат стать публичными компаниями или продаться таким компаниям. Конечно, публичные компании не застрахованы от сомнительных действий, но они должны подчиняться законам о публикации информации и проходить аудит. Другие провайдеры останутся частными компаниями, рискуя вызвать скептическое отношение к себе ради возможности оставаться в тени – или вне досягаемости правительств крупных держав.

Начиная эту статью, я думал, что выберу VPN, которому смогу доверять для личного использования. Прошло несколько недель, сделано десятки звонков, написаны тысячи слов – и не могу сказать, что я приблизился к чёткому выбору.

Одним из определённых выводов, кроме «держаться подальше от бесплатных VPN», будет то, что выбор VPN должен зависеть от того, для чего вы собираетесь её использовать. Если вы просто хотите безопасно использовать интернет, имеет смысл выбрать крупную американскую компанию, ясно рассказывающую о своих владельцах и о том, как она относится к пользовательским данным. Если вы хотите скачивать пиратские файлы с торрентов, смотреть заблокированный контент, убить посла или как-то ещё убежать от длинной руки вашего правительства (и других правительств, с которыми оно сотрудничает), лучше выбирать оффшорный VPN – если вы уверены, что у провайдера нет тайных связей с правительством, от которого вы пытаетесь скрыться.

Как защитить личные данные с помощью VPN

По прогнозу Analytics Insight, утечка данных станет главной угрозой в сфере кибербезопасности. В первой половине 2021 зафиксировано более 18 млн инцидентов по всему миру. Ежедневно пользователи создают дополнительные 2,5 трлн гигабайтов информации, значит, именно базы данных будут представлять лакомый кусочек для хакеров. Необходимым инструментом для представителя любой профессии, который работает с информацией, станут виртуальные приватные сети. Как избежать рисков цифровой эпохи с помощью VPN?

Защитите данные, передаваемые по сети

Университет Мериленд исследовал частоту, с которой случаются утечки данных, и выяснилось, что каждые 39 секунд где-то в мире происходит хакерская атака. Персональные данные привлекают киберпреступников по нескольким причинам:

• чужую информацию можно продать в тёмном вебе и таким образом заработать;
• ценные сведения о компании пригодятся конкурентам;
• получив доступ к компьютеру или сети жертвы, хакер начинает шантаж с вымогательством денег;
• мошенник может осуществлять свои планы, регистрируясь на сайтах под украденным аккаунтом;
• зная персональные данные, легко подобрать пароль от финансового профиля в онлайн-банкинге;
• взломав чей-то гаджет, несложно установить слежку, остаться незамеченным и регулярно получать информацию о жертве и ее бизнесе.

Таким образом наши данные все время находятся под угрозой. И в условиях необъявленной онлайн-войны хакеры изобрели множество способов, как перехватить личную информацию. Технически это выглядит так. Пользователь подключился к бесплатной сети Wi-Fi и занимается переводом транзакции. В то же время в роли маршрутизатора, передающего данные, выступает продвинутая машина, которая уже внесла все ваши данные в протокол. Провайдер просмотрел ваши сведения и, казалось бы, теперь ничто не помешает информации добраться в пункт назначения. Но на пути данные ждет много испытаний: нужно пройти через ряд маршрутизаторов, и нет гарантии, что без проблем удастся преодолеть путь следования пакета. Всегда помните об угрозе хакеров — бандитов с большой дороги.

Защитить данные несложно, если знаете, что такое VPN. Например, ExpressVPN рассказывает в блоге, что при подключении к виртуальной приватной сети, между гаджетом пользователя и VPN-сервером появляется безопасное соединение. Хотя трафик по-прежнему проходит через интернет-провайдера, его нельзя перехватить. А сайты, на которых установлены трекеры для отслеживания ваших интересов, не могут зафиксировать ваш IP-адрес и использовать персональную информацию в собственных целях.

Виртуальная приватная сеть формирует своего рода туннель, через его шифры и проходит частная информация. В крайнем случае, если информацию перехватят, киберпреступники не смогут злоупотребить ею, ведь данные находятся в закодированном виде.

Обеспечьте анонимную переписку

Электронные почты — как личные, так и корпоративные — постоянно взламывают. У хакеров есть несколько способов.

• Фишинг — отправка письма на email жертвы с вирусной ссылкой.
• Атака посредника (Man in the Middle) — вторжение третьего лица в частную переписку двух пользователей, которые уверены, что общение происходит только между ними.
• Брутфорс — подбор пароля.
• Уязвимости в программном обеспечении для email-рассылок — так, в марте 2021 китайская хакерская группировка Hafnium взломала больше 30 000 организаций, эксплуатируя четыре проблемных зоны Microsoft Exchange Server.

Все это свидетельствует о том, что сложно в современных реалиях сложно сохранить тайну переписки, особенно если вы обсуждаете ценную для бизнеса информацию. В то же время, известные email-платформы, такие как Apple, Microsoft, Yahoo и Gmail, требуют пройти верификацию, которая, как правило, осуществляется через текстовые сообщения. А значит, вам приходится поделиться своим контактом с почтовым провайдером.

Чтобы избежать взлома, стоит подключить анонимную почту, не привязанную к контактному телефону. В таблице приведем преимущества и недостатки некоторых приватных почтовых сервисов.

Почтовый сервис	Преимущества	Недостатки
Tutanova	1. Открытый доступ.

2. Хорошая политика приватности: нет автоматической загрузки картинок, есть предупреждения о проблеме с заголовком писем отправителя).

2. Двухфакторная аутентификация, автоматическое распознавание спама.

3. Возможность импортировать информацию из Gmail и Outlook.

4. Приложения для Android и iOS.

3. Не ведется учет логов IP-адресов.

4. Есть мобильные приложения для Android и iOS.

Создав приватную почту, не забудьте перед началом использования подключить VPN. Стоит отметить, что иногда почтовые провайдеры блокируют подключение виртуальной приватной сети. Если это — именно ваш случай, но вам нужна дополнительная защита, проделайте следующее.

Отключите VPN, перезагрузите смартфон, затем подключитесь к другому серверу.

Спрячьте интересы от посторонних

Слежка за пользователями — понятие далеко не эфемерное. Если вы создали бизнес, работаете с базами данных, либо просто составляете контент-план на ближайший сезон, ваша история просмотров может заинтересовать конкурентов либо хакеров (которые смогут продать ваши наработки в темном вебе или заставить вас заплатить выкуп в обмен на информацию). Поэтому, если вы ищете в сети какие-либо темы, касающиеся вашей работы, лучше это делать в анонимном режиме с помощью VPN.

У технически подкованных анонимов, которым интересны ваши персональные данные, есть много вариантов слежки. Цифровые отпечатки устройств, трекинговые cookies, Bluetooth-маячки, фиксаторы IP-адресов служат единственной цели: составить ваш цифровой портрет и узнать все о вашей онлайн-активности.

Хотите обеспечить анонимность? Входя в сеть, включайте VPN. И это еще не все!

• Завершайте сеанс работы после выхода из браузера, удаляйте cookies после каждой сессии.
• Выключите функцию обмена местоположением.
• Отключите Bluetooth, если не пользуетесь.
• По возможности, ищите информацию в браузере Tor.

А если вы планируете совершить покупку онлайн, нужно быть вдвойне бдительным! Ведь достаточно ввести финансовые реквизиты на небезопасном сайте, как вся ваша банковская информация станет доступна третьим лицам. Опять же, VPN поможет скрыть ваш IP-адрес от посторонних, но, кроме этого, желательно отслеживать, насколько безопасен сайт, на котором вы проделываете какие-либо действия.

• Убедитесь, что URL-адрес начинается с https://, а не http://.
• Обратите внимание на внешний вид сайт. Если вам кажется, что контент давно не обновлялся, скорее всего, веб-мастеры не устанавливали и патчи, не устраняли уязвимости и баги. А значит, на таком сайте можно подхватить вирус.
• Прежде чем оплатить товар или услугу, посмотрите на выбор платежных систем. Если сайт предлагает только денежный (банковский) перевод или оплату криптовалютой, это — повод задуматься. Как правило, интернет-магазины, которые беспокоятся о безопасности покупателей, предлагают воспользоваться платежной системой типа Payoneer, PayPal или Stripe, способные зашифровывать транзакции.
• Читайте политику приватности, прежде чем предоставлять разрешение на сбор персональных данных.

VPN: критерии выбора

Виртуальная приватная сеть обеспечивает зашифрованное соединение и прячет местоположение от третьих лиц. По крайней мере, так должно быть. Но как убедиться, что вы приобрели качественный VPN-сервис?

1. Золотое правило относится не только к VPN, но и к любым приложениям для смартфонов. Избегайте бесплатных программ. Бренд, предлагающий программное обеспечение бесплатно, тоже должен зарабатывать и, если не на подписчиках, то на рекламе. Большинство компаний, заманивающих пользователей программой в открытом доступе, перепродает персональные данные аудитории третьим лицам, рекламодателям, маркетинговым агентствам. А ведь мы скачиваем VPN, чтобы защитить частную информацию!
2. Качественный VPN действует в качестве прокси-сервера, чтобы обеспечить анонимность в сети.
3. Проследите, чтобы виртуальная приватная сеть обладала функцией раздельного туннелирования. Эта опция не даст возможности хакерам перехватить вашу информацию.
4. Обратите внимание на алгоритмы шифрования VPN. Если есть возможность, выбирайте симметричный алгоритм блочного кодирования AES-256 (Advanced Encryption Standard с 256-битным ключом). Цифра 256 означает 2^256 всевозможных комбинаций шифрования. Цель — спрятать ваши данные так, чтобы хакер не достал их ни при каких обстоятельствах.
5. Перед приобретением убедитесь, что VPN поддерживает несколько протоколов. Минимальные требования: наличие L2TP/IPsec (двойное инкапсулирование данных), SSTP (обеспечение безопасности транспортировки информации), IKEv2 (защита взаимодействия в виртуальных сетях). Желательно присутствие OpenVPN (способ создания каналов а-ля точка-точка или сервер-клиенты между различными ПК) и WireGuard (высокая производительность программы и низкая поверхность для атак). Хорошо, если программа включает в себя протоколы PPTP (туннель типа точка-точка для защищенного подключения к серверу) и Lightway (сокращение времени соединения с приложением).

Заключение

Дениэль Эботт, главный редактор The Next Tech, в публикации на LinkedIn прогнозирует, что виртуальная приватная сеть станет трендом в сфере кибербезопасности в 2022 году. Ведь приватность в интернете становится все более иллюзорным понятием. А, учитывая, что огромное количество персональных данных хранится как в личном, так и корпоративном ПК и аккаунтах, VPN незаменим.

• Виртуальная приватная сеть прячет ваши персональные данные от третьих лиц.
• VPN защищает от утечек информации.
• С помощью VPN, вы защитите финансовые профили и личные аккаунты от взлома, особенно при подключении к общественной сети Wi-Fi.
• Вы сможете искать необходимую информацию в анонимном режиме.
• При желании, вы скроете IP-адрес и местоположение от любопытных глаз.
• Если ваш VPN-сервис поддерживает раздельное туннелирование, информация защищена даже при обрыве связи, ведь часть данных поступает через приватную сеть, а остальной трафик напрямую отправляется в Интернет.
• История просмотров, посещений и DNS-запросы не регистрируются, что снижает вероятность слежки за вами.

Учитывая высокую вероятность утечек данных в 2022 году, позаботьтесь об установке VPN-сервиса заблаговременно. Особенно есть работаете с информацией и клиентскими базами.

Как работают бесплатные VPN и насколько они безопасны

С февраля в России блокируют сайты: в список уже попали соцсети Instagram, Twitter и Facebook.

Пользователи обращаются к VPN и часто выбирают бесплатные сервисы из-за высокой стоимости подписок или трудностей с оплатой.

Разбираемся, какие риски стоят за использованием бесплатных VPN-приложений.

Главные новости — в нашем Телеграме

Что такое и как работает VPN

VPN — виртуальная частная сеть, обеспечивающая соединение «поверх» обычного интернета. Проще говоря: с помощью такой технологии можно посещать заблокированные ресурсы или скрывать от сайтов свое местоположение. VPN придумали для организации удаленной работы, чтобы сотрудники могли безопасно подключаться к офисной сети из дома, во время командировки или работать из разных подразделений.

Технологию можно сравнить с длинным туннелем, через который идет весь сетевой трафик. В случае с VPN содержимое остается изолированным от остальных участников: сигнал идет через нескольких посредников до основного сервера, а затем возвращается — вновь через посредников.

С VPN интернет работает медленнее, так как у серверов не всегда хватает пропускной способности, чтобы, например, показать фильм в хорошем разрешении. Качество сервисов зависит от используемых протоколов и программного обеспечения, которые совершенствуются с каждым годом.

VPN не защищают конфиденциальность, не обеспечивают дополнительную безопасность и анонимность. При активации приложения VPN-сервер видит весь сетевой трафик — риски сохраняются, но переносятся на владельца сервиса или приложения.

Сервисы делятся на платные и бесплатные, но платить придется в любом случае — либо деньгами, либо информацией. Бесплатные приложения способны анализировать посещение сайтов или навязывать рекламные сообщения. Конечно, такое может случаться и с платными сервисами, поэтому перед оплатой сервиса стоит ознакомиться с политикой конфиденциальности и условиями обслуживания.

Какие минусы есть у бесплатных VPN

Подключаясь к VPN, вы отдаете весь трафик владельцу сервиса. Как он распорядится этими данными, узнать невозможно. Но если с платной подпиской компания получает деньги, у нее меньше причин продавать информацию — а бесплатный VPN должен получать прибыль откуда-то еще. Ведь расходы на обслуживание серверов никуда не исчезают.

Специалисты по кибербезопасности не советуют использовать VPN для любой чувствительной интернет-активности . Ни один сервис не может дать гарантий, что не будет следить или передавать данные в коммерческих целях или по закону.

Сервис может зарабатывать на данных пользователя. А именно — продавать информацию о трафике для целевых рекламных объявлений, пока вы подключены к VPN. Все действия и посещения сайтов могут быть записаны, а затем переданы третьим лицам.

Бесплатные VPN изобилуют рекламой, основанной на вашем поведении в браузере. Сервисы собирают и многократно перепродают сведения о том, чем интересуется пользователь и какие совершает покупки, а также сохраняют информацию об электронной почте и IP-адресах , что позволяет идентифицировать владельца данных.

Сервис не охраняет вашу безопасность и конфиденциальность. Если компания не берет плату за VPN, то, скорее всего, у нее нет денег на обеспечение защиты ваших данных либо она потратит на это лишь малую их часть.

По данным исследования Top10VPN, многие приложения не удаляют навязчивые разрешения и функции — специалистам удавалось обнаружить там примеры, связанные с камерой устройства, микрофоном и GPS-трекингом.

Юридическое «местонахождение» VPN отвечает за доступ к вашим данным со стороны властей. 10 самых популярных приложений в США принадлежат Китаю и Гонконгу, где подобные сервисы незаконны. Возникает вопрос, как эти приложения продолжают работать, если они не скомпрометированы, тем более что по законам Гонконга поставщики услуг должны сохранять журналы активностей пользователей.

Некоторые из этих приложений получают полный доступ к интернет-трафику пользователей, позволяют себе отслеживать их и отправлять их данные третьим лицам из Китая. Среди собираемых данных о пользователе — список посещенных веб-сайтов , IP-адрес , включая местоположение пользователя, время, длительность просмотра сайтов, идентификаторы устройств и прочее.

Законы о хранении данных есть не только в Гонконге, но и в Великобритании, России и Ирландии. Это привело к тому, что журналы с активностью пользователей британских VPN открыто передавались правоохранительным органам. По этой причине многие сервисы регистрируются в Панаме и на Британских Виргинских островах.

Какие утечки уже случались

Все заявления о небезопасности бесплатных VPN подтверждались на практике — пользователи некоторых сервисов теряли данные и оказывались жертвами утечек.

Популярный сервис VPN Hotspot Shield собирал данные пользователей и перехватывал трафик, несмотря на заявления о «полной анонимности». Компания собирала cookies и сотрудничала с другими организациями в рекламных целях.

VPN-сервис перенаправлял трафик электронной торговли на партнерские домены. Когда пользователь подключался через VPN к интернет-магазину , приложение перехватывало HTTP-запросы и перенаправляло на веб-сайты с рекламой.

Большинство бесплатных VPN-приложений на Android тоже небезопасны. Исследователи изучили 300 сервисов: 84% из них перехватывали пользовательский трафик, 18% — не шифровали его, 38% — внедряли собственную рекламу или устанавливали рекламные приложения. Приложения Neopard, DashVPN и DashNet перехватывали пользовательскую активность, из-за чего администраторы приложений могли просматривать переписку клиентов в Gmail.

Метаанализ бесплатных приложений с VPN на Android — CSIRO USPDF, 378 КБ

Meta уже не предлагает свои VPN, но в 2018 и 2019 году компания закрыла свои проекты Onavo Protect VPN и Facebook Research VPN из-за скандала с конфиденциальностью. Оба приложения собирали данные своих пользователей о том, что они смотрят в интернете.

В июле 2020 года эксперты по цифровой безопасности обнаружили в открытом доступе 1,2 Тб логов сервисов UFO VPN, Fast VPN, Free VPN, Super VPN, Flash VPN, Secure VPN и Rabbit VPN. В базе данных содержались незашифрованные пароли, IP-адреса устройств, данные о моделях смартфонов и идентификаторы устройств пользователей.

В 2021 году крупных утечек было сразу две. В марте в открытом доступе оказалась база с данными 21 миллионов пользователей сервисов Gecko VPN, Super VPN и Chat VPN. Среди них — сведения о мобильных устройствах, адреса электронной почты, пароли и информация о совершенных пользователями платежах.

В ноябре 2021 года на продажу в даркнете выставили базу данных 45 миллионов пользователей сервисов FreeVPN.org и DashVPN.io. В нее вошла информация с 2017 по 2021 год с адресами электронных почт пользователей, зашифрованными паролями, датами регистрации, обновлений профиля и последнего входа.

Такой набор информации дает мошенникам возможность взламывать другие ресурсы, где пользователи регистрировались с теми же данными, а также шантажировать клиентов VPN-сервисов посещаемыми ими запрещенными сайтами.

Если заполучить такие данные, их можно использовать для атак «человек посередине», когда злоумышленник перехватывает веб-сессии пользователей. Так они могут получить доступ к паролям и CVV-кодам банковских карт.

Новости, которые касаются всех, — в нашем телеграм-канале. Подписывайтесь, чтобы быть в курсе происходящего: @tinkoffjournal.

Статья от профана, чтобы нагнать жути.
Зачем пугать технически неграмотных пользователей?
>>VPN не защищают конфиденциальность, не обеспечивают безопасность и анонимность. При активации приложения VPN-сервер видит весь сетевой трафик — риски сохраняются, но переносятся на владельца сервиса или приложения.
>>Подключаясь к VPN, вы отдаете весь трафик, пароли и конфиденциальную информацию владельцу сервиса.

Если первое утверждение с натяжкой ещё можно назвать верным, то второе откровенная ложь.

Для тех сейчас убоялся статьи важно понимать две вещи:
Соединения с сайтами работающими по протоколу https (это когда в адресной строке замочек) безопасны даже через VPN и трафик, а так же пароли и конфиденциальную информацию владелец VPN сервиса не видит. Все что видит владелец VPN сервиса это факт соединения с сайтом и объем данных. Что именно там передаётся не знает никто. кроме вас и сайта на той стороне. А вводить пароли на сайте без https дурацкая затея и без VPN, нечистыми на руку могут быть и сотрудники вашего провайдера или контролирующих органов.

Вторая вещь: соединения через VPN не опаснее, чем выход в интернет из вайфая в кафе. Там тоже может недобропорядочный администратор.

Все те утечки, которые описаны в статье это утечки данных которые пользователи доверяли непосредственно VPN сервисам (при регистрации например) и к данным третьих сайтов отношения не имеют.

Запомнить: VPN не добавляет, но и не отнимает у вас безопасности. Все приложения банк-клиентов работают по защищенному соединению и если кто-то попытается влезть в соединение между вами и банком, банк-клиент выдаст сообщение о том, что сеть небезопасна и соединяться откажется.

Единственная проблема которую я вижу в бесплатных VPN это их приложения. Приложения действительно могут натворить делов, влезть в трафик или собирать конфиденциальные данные прямо с компьютера. Поэтому лучше использовать встроенные в систему клиенты для подключения к VPN или клиенты с открытым исходным кодом вроде OpenVPN или Outline (скриншот из которого использован для иллюстрации статьи). Если сервис предлагает установить свой VPN клиент, то это повод напрячься, не важно платный он или бесплатный. Если можно подключиться штатными средствами или open-source клиентами, то можно смело пользоваться интернетом.

Какие VPN самые надежные? Как понять, что сервис сотрудничает со спецслужбами? Могут ли Россию вообще отключить от нормального интернета? Эксперты отвечают на вопросы читателей «Медузы» o VPN

Более 800 читателей «Медузы» откликнулись на призыв задать любые вопросы о технологии VPN. Мы отобрали те из них, что касаются блокировки VPN-сервисов в России, и задали их профессионалам. На вопросы отвечали Вадим Мисбах-Соловьев, технический специалист «Роскомсвободы» и криптоэнтузиаст, Станислав Шакиров, основатель Privacy Accelerator, а также ValdikSS, основатель проектов для обхода блокировок GoodbyeDPI и «АнтиЗапрет».

Сначала кратчайшая инструкция по тому, как решать проблемы с VPN

1. Если VPN перестал работать, попробуйте поиграть с настройками: переключить протокол или включить режим обфускации.
2. Все еще не работает? Обратитесь в службу поддержки своего сервиса VPN.
3. Подождите несколько дней: возможно, перебои пропадут благодаря усилиям вашего сервиса.
4. Если ничего не помогло, попробуйте поискать другой VPN.
5. Не забудьте поставить Tor, Psiphon и Lantern — программы, специально созданные для обхода блокировок.

Вот еще два текста, которые могут вам пригодиться

Они же в гугл-доке (про то, как читать заблокированные ресурсы, и про то, что делать, если VPN не работает).

Как устроены блокировки и как понять, что ваш VPN заблокирован

Насколько технически сложно заблокировать VPN? Мне казалось, это решается только файерволом , как в Китае

ValdikSS. Конкретный VPN-сервис заблокировать просто: достаточно заблокировать IP-адреса серверов этого сервиса, чтобы клиент не мог к ним подключиться. Если сервис не имеет широкого пула IP-адресов, не меняет (не ротирует) серверы для затруднения их выявления и блокировки, а также не применяет различные ухищрения против цензуры, то блокировка по IP — вполне надежная мера, которая значительно или полностью заблокирует возможность подключения к сервису.

Блокировки по IP-адресам реализуются на провайдерских сетевых маршрутизаторах , для этого не требуется какого-либо дополнительного оборудования, вроде файрволов или систем Deep Packet Inspection .

Вадим Мисбах-Соловьев. С точки зрения оборудования если трафик можно как-то определить, то его можно и заблокировать. В случае VPN-сервисов достаточно даже понимания, что адрес сервера, на который уходит ваш трафик, принадлежит компании, на сайте которой написано «предоставляем услуги доступа к нашему VPN». Достаточно просто предоставить ТСПУ список адресов, чтобы оборудование принимало решение о блокировке.

Подробный ответ экспертов «Роскомсвободы» и Privacy Accelerator

Дело в том, что «файрвол», «браундмауэр», «фильтр трафика» и прочие подобные слова означают одно и то же: программное или аппаратно-программное решение, задача которого — диагностика проходящего трафика и принятие решений (на основе заданного списка правил) о пропуске этого трафика, его блокировке или иных действиях (включая добавление искусственных задержек или подмену ответа).

Так что можно сказать, что именно «файрволом» блокировки и осуществляются. Причем в два «слоя».

Во-первых, практически у каждого интернет-провайдера и так стоит подобное оборудование, которое он использует для своих целей (вроде приоритизации некоторых типов трафика, контроля пропускной способности абонента, учета его трафика или других целей). И первоначально функцию блокировки возложили именно на провайдеров. И осуществляют они ее именно на своем оборудовании.

Чтобы понять, как это работает, немного отступим от темы VPN-сервисов и рассмотрим блокировки как таковые (то есть включая блокировки HTTP-сайтов).

Раз в определенный промежуток времени провайдеры скачивают список заблокированных ресурсов (IP, домены, HTTP URL) и блокируют теми средствами, которыми умеют. Именно поэтому некоторые блокируют по IP, полностью лишая доступа к удаленному серверу, а некоторые, имея более дорогое оборудование с функциональностью DPI , блокируют конкретные страницы в незашифрованном HTTP-трафике и даже подменяют его.

Чтобы обезопасить пользователей и защититься от манипуляций трафиком, сайты переходят на использование шифрованной версии HTTP, которая называется HTTPS (S = Secure). В случае ее использования максимум, что умеет оборудование для блокировок, — узнать домен сайта, который вы запрашиваете с сервера. Но и эту проблему постепенно решают, и однажды в браузерах будут приняты обновления (этот вопрос политический — многие государства против этого), которые закроют лазейку.

Приблизительно так же оборудование может блокировать трафик VPN-сервисов и даже мессенджеров.

Вторым «слоем» блокировок является пресловутая система ТСПУ (оборудование, которое навязали для установки всем провайдерам).

Несмотря на название (технические средства противодействия угрозам), используется это оборудование не для противодействия угрозам, а для блокировки.

Причем если блокировки «первого слоя» происходят на базе относительно публичного реестра, а также на оборудовании провайдеров, которое не всегда достаточно мощно для полноценного анализа всего проходящего через него трафика, то в случае со «вторым слоем» дела обстоят иначе. Во-первых, ТСПУ — это комплекс из кучи довольно мощного оборудования (что дает очень широкие возможности на поле блокировки трафика), а во-вторых (и это самое главное), это оборудование — «черный ящик» даже для самих провайдеров. То есть непонятное неподконтрольное устройство, которое само что-то делает, и максимум, что ты можешь видеть, — что в него поступает и что из него выходит. Повлиять на него нет возможности.

Это приводит к тому, что блокировки на ТСПУ мы можем «чувствовать» на себе, а Роскомнадзор при этом может с «покер-фейсом» заявлять, что никаких блокировок не осуществляется: «Вот, смотрите в реестр, видите, там их нет, так что вы тут фейк-ньюс распространяете». По факту же трафик до заблокированных (в обход реестра) ресурсов подменяется или «срезается» на ТСПУ.

На ТСПУ, не попадая в публичный реестр, блокируются не только VPN-сервисы. Так же происходило, например, с Google Docs, Play Market и YouTube. По сообщениям пользователей «Роскомсвободы», они до сих пор иногда сталкиваются с тем, что сервер YouTube, отвечающий за аватарки пользователей и каналов, а также рекламу, блокируется на ТСПУ, хотя Роскомнадзор уверял в обратном.

Как провайдер видит использование VPN? И видит ли вообще? Может ли он определять использование VPN по тому, какие данные пересылаются?

Вадим Мисбах-Соловьев. Все зависит от технологии VPN.

Некоторые протоколы притворяются HTTPS-трафиком либо используют специальные дополнительные программы-обфускаторы, которые маскируют их трафик под HTTPS. Соответственно, DPI-оборудование (и более простое фильтрационное оборудование) это видит так, будто вы обмениваетесь кучей информации с каким-то сайтом.

Но теоретическая возможность отличить такой трафик от использования настоящего сайта есть. Просто требует ощутимо больше усилий для анализа, поэтому никто этим не занимается.

Те технологии VPN, которые не притворяются HTTPS (или не используют его непосредственно), для оборудования выглядят просто как зашифрованный трафик между вами и удаленным сервером (который все еще можно проверить на принадлежность к компании, предоставляющей услуги доступа к VPN). Либо, если технология не использует шифрование, трафик будет полностью открыт для фильтрационного оборудования, и оно сможет анализировать его содержимое так же, как если бы трафик проходил через него напрямую, без VPN.

ValdikSS. Кратко: не все протоколы скрывают факт использования VPN, но шифрованное содержимое недоступно провайдерам. А значит, блокировать сайты и сервисы, открываемые через VPN, у провайдеров возможности нет.

Подробный ответ ValdikSS

Существует, условно, три типа протоколов туннелирования трафика: стандартные, распространенные и специализированные под блокировки.

Стандартные протоколы, такие как IPsec, PPTP и L2TP, разработаны прежде всего для использования в корпоративной среде: они применяются повсеместно и поддерживаются всем промышленным оборудованием. Их используют для объединения офисов в единую сеть, удаленного подключения сотрудников и подобных задач. Эти протоколы провайдеру видны как на ладони: они полностью документированы в виде стандарта, работают по фиксированным портам, имеют четкую структуру пакетов и не скрывают информацию о VPN-подключении — провайдер может легко обнаружить факт подключения без дополнительного оборудования и увидеть некоторую служебную информацию, например, о типе аутентификации.

Что не видно провайдеру, так это содержание передаваемых данных внутри туннеля — оно шифровано (но не в протоколе L2TP — для защиты его используют совместно с IPsec).

Заблокировать эти протоколы легко, для этого не требуется дополнительного оборудования — достаточно заблокировать порты, используемые протоколами.

К «распространенным» можно отнести широко используемые, но не задокументированные в виде стандарта протоколы OpenVPN, WireGuard, Cisco AnyConnect, Juniper SSL VPN и тому подобные.

Для их блокировки потребуется больше усилий и более дорогое оборудование, но это вполне посильная задача — они не спроектированы для защиты от фильтрации и имеют характерные признаки, выделяющие их среди остального трафика. Даже специализированные опции в OpenVPN, затрудняющие анализ, скрывают только часть информации, но не формат и характерную последовательность отправки пакетов при подключении.

Заблокировать эти протоколы возможно оборудованием DPI — оно определит характерные признаки VPN и завершит (либо замедлит, либо заставит зависнуть — зависит от настроек) соединение. Это однозначно возможно реализовать оборудованием ТСПУ в России.

Третий вид — протоколы, спроектированные под обход блокировок, такие как Shadowsocks, V2Ray vmess, Trojan, Cloak и другие (все это — прокси, но в контексте обхода блокировок разница между прокси и VPN не столь важна).

Эти протоколы созданы для максимального усложнения их автоматизированного обнаружения. Сами протоколы не имеют значимых характерных признаков, по которым их можно обнаружить, но бывают ошибки и огрехи в конкретных программах, которые с большой долей достоверности позволяют определить наличие туннеля, — подобные ошибки выявляются и закрываются разработчиками.

Также бывают характерные особенности языков программирования и их библиотек, а не самих протоколов — так, V2Ray, написанный на языке Go, заблокирован по характерным признакам TLS (протокола для защищенной передачи данных в интернете) у одного из провайдеров Туркменистана, и эта блокировка затрагивает все программы на этом языке программирования. Выход есть: существуют библиотеки, имитирующие набор сетевых протоколов Chrome и Firefox, — блокировка их характерных признаков приведет к неработоспособности браузеров.

В части случаев провайдер может определить тип передаваемого трафика статистическими методами, не зная его содержимого: если ваш мобильный телефон продолжительно и равномерно передает и принимает пакеты небольшого размера с низкой скоростью, с большой долей вероятности это говорит о совершении звонка через мессенджер. Кроме того, Shadowsocks, например, не скрывает протокол трафика — TCP передается через TCP, UDP — через UDP, — что добавляет точности статистическим методам.

Блокировку характерных признаков отдельных программ и библиотек мы уже видели в России на примере альтернативного ютьюб-клиента NewPipe — попытки открыть www.youtube.com в этой программе блокировались на оборудовании ТСПУ, при этом сайт без проблем открывался через браузер.

Как понять, что мой VPN действительно заблокирован? Вдруг это просто технические проблемы VPN-сервиса?

ValdikSS. Это бывает нетривиальной задачей даже для специалистов, и вот почему: серверы VPN-сервисов блокируют на оборудовании ТСПУ , не добавляя их в единый реестр запрещенных сайтов — официальный сайт Роскомнадзора не покажет вам факт блокировки, даже если вы знаете IP-адрес VPN-сервера или технический домен сервиса.

Например, приложение заблокированного ProtonVPN обращается к https://api.protonvpn.ch для скачивания информации о серверах. В реестре этот адрес не числится, но и не открывается на провайдерах с системой ТСПУ.

Вариантов два: либо для проверки воспользоваться VPN с сервером в России, на котором отсутствуют блокировки сайтов, либо попробовать использовать альтернативы VPN — автономные способы обхода, такие как GoodbyeDPI, zapret и DPI Tunnel. Эти программы изменяют трафик и добавляют поддельные пакеты, чтобы обдурить систему DPI без использования туннелей .

Станислав Шакиров. Простому пользователю это понять невозможно. Любая диагностика без специализированных инструментов, которыми пользуются системные администраторы, может носить только вероятностный характер.

Даже проверка такими инструментами, в силу особенностей работы ТСПУ, не может дать точного ответа, что имеет место именно блокировка конкретного сервиса, а не проблемы у провайдера, которые он не признает, или «ковровая бомбардировка» другого ресурса, под которую случайно попал нужный вам.

Самый действенный вариант:

1. Проверить работу сервиса из нескольких стран. Для этого могут подойти или арендованные виртуальные серверы (более точный ответ — но способ требует трат и знаний в IT), или сервисы проверки доступности (менее точный ответ, но способ бесплатный и относительно простой).
2. Написать письмо в службу поддержки самого сервиса и спросить, не наблюдается ли у них проблем (и попробовать попросить помощи).

Если конкретный VPN оказался заблокирован, имеет ли смысл ждать обхода его блокировки со стороны разработчиков?

ValdikSS. Все зависит от технической компетенции и желания сервиса предоставлять доступ в конкретном регионе. Роскомнадзор не особенно тщательно блокирует серверы и не спешит актуализировать информацию. Так, простая программа для перебора IP-адресов узлов в поисках рабочего позволяет подключиться к сети Tor в течение 30 секунд в 100% случаев: блокируются 60–70% промежуточных узлов, но остальные 30–40% остаются доступными; похожая ситуация с ProtonVPN — администрация изменила IP-адреса части серверов, и они снова доступны, пусть и не по всем протоколам.

Вадим Мисбах-Соловьев. Однозначного ответа нет. Некоторые сервисы заинтересованы в попытках обхода блокировок. Некоторые нет. Например, если для них затраты на обход блокировок превышают доход от сервиса.

Лучшим способом опять же будет спросить в службе техподдержки, планируют ли они что-то предпринимать в связи с блокировкой или им это неинтересно.

Почему в мобильных сетях VPN блокируется гораздо чаще и эффективнее, чем при проводном подключении?

ValdikSS. Потому что во всех мобильных сетях установлены системы ТСПУ , а у мелких проводных провайдеров они присутствуют не везде. К 2023 году ситуация может измениться — закон предписывает установку ТСПУ у всех провайдеров с 1 января.

Вадим Мисбах-Соловьев. Потому что у всех мобильных операторов трафик ходит через ТСПУ. И у них и без этого стоит очень много DPI-оборудования, одна из функций которого — блокировка.

А у проводных операторов (которых пока еще истребили не всех) бывают разные наборы оборудования, настроенные по-разному, да и сами они могут использовать разных магистральных провайдеров с разными условиями.

И если у вас интернет не от условных «Дом.ру» или «Ростелекома» (а также не от «проводных» подразделений мобильных операторов) и никто из них до сих пор не купил вашего провайдера, то есть шанс, что у него не установлено ТСПУ, а реестровые блокировки он выполняет каким-нибудь кустарным способом.

Какого типа DPI-оборудование установлено у крупных провайдеров и операторов «большой тройки»?

ValdikSS. Типичная конфигурация крупного провайдера России по состоянию на лето 2022-го следующая: система ТСПУ Роскомнадзора плюс DPI , который использовался до внедрения ТСПУ. Используются две (иногда и более) системы одновременно.

ТСПУ задумывался в качестве гибкой системы с разнообразными функциями, но пока используется исключительно для блокировок.

Стандартное оборудование DPI блокирует только ресурсы из единого реестра запрещенных ресурсов, а ТСПУ — и из реестра, и дополнительные домены/протоколы/сервисы вне реестра. В отличие от стандартного DPI, который настраивается и управляется провайдером, ТСПУ управляется исключительно Роскомнадзором, у провайдера нет доступа к настройкам.

Станислав Шакиров. Известно, что в качестве ТСПУ у операторов стоит EcoDPI от компании RDP. Эта система — активный DPI, то есть может блокировать или подменять трафик.

А если перекроют VPN, то граждане РФ за рубежом не смогут подключиться с его помощью к российским сервисам?

Вадим Мисбах-Соловьев. Прямой связи между этими событиями нет. Все зависит от конкретных VPN-сервисов и того, как у них построены сети.

Для того чтобы через VPN-сервис можно было зайти на российские сайты, должно выполняться какое-то из этих условий:

• у сервиса разные серверы для подключения к сети и для выхода из нее в интернет, при этом адрес сервера для выхода не заблокирован на целевом сайте (в том числе по географическому признаку);
• у сервиса сложная система маршрутизации трафика в зависимости от назначения и есть серверы выхода, расположенные в России, а трафик до российских сайтов выходит через них (или есть возможность это настроить).

ValdikSS. С VPN борются только в контексте обхода блокировок, сами туннели не запрещены в России. Например, Kaspersky VPN Secure Connection сотрудничает с Роскомнадзором и не позволяет заходить на заблокированные в РФ сайты.

Кроме того, ТСПУ различает направление подключения (из РФ или в РФ), так что технически даже при автоматических блокировках возможна настройка оборудования на подключение внутрь России.

Сотрудничество с властями, силовики

Можно ли узнать, почему вновь заработал заблокированный VPN: согласился сотрудничать с властями или научился обходить блокировки?

Вадим Мисбах-Соловьев. Наверняка — нельзя. Даже в случае некой договоренности стороны могут не признаться в этом. Проверить их довольно проблематично в принципе и совсем уж невозможно для обычного пользователя.

Можно напрямую спросить об этом в службе поддержки VPN-сервиса и, опираясь на ответ, сформировать свое мнение на основе опыта и интуиции.

ValdikSS. Самый простой вариант — задать вопрос администрации сервиса. Подавляющее их большинство охотно идут на контакт и рассказывают о проделанной работе как публично в блогах, так и клиентам по запросу, ведь практически все они предоставляют сервис обхода цензуры и региональных блокировок, а не только VPN как таковой.

Какова вероятность, что хотя бы за одним крупным VPN-сервисом стоят люди в погонах?

Вадим Мисбах-Соловьев. Учитывая историю компаний [Евгения и Натальи] Касперских и их сотрудничества с обладателями погон, а также истории с Tor , такая вероятность существует, но оценить ее нет никаких возможностей.

Что касается крупных VPN-сервисов, нужно смотреть, кто основатели и в каких странах зарегистрирован сервис. Также стоит почитать отзывы на Reddit. Обычно за крупными иностранными сервисами не стоят российские «ребята в погонах».

Корпоративные VPN, прокси, Lantern

Что будет с VPN, которые компании используют не для обхода блокировок, а для связывания офисов в единую сеть?

ValdikSS. Мой прогноз следующий: трафик внутри страны (Россия — Россия) будет фильтроваться минимально или не будет вообще, а стандартные протоколы VPN за рубеж не будут блокироваться, по крайней мере в автоматическом режиме.

Вадим Мисбах-Соловьев. Однозначно ответить нельзя, все зависит от того, какие именно технологии используются.

У одних сервисов вероятность пострадать (в качестве «побочного урона» от борьбы с сервисами, предоставляющими доступ к своим VPN для обхода блокировок) довольно мала. Например, шанс, что пострадают сети на базе Cisco AnyConnect, достаточно низок.

У других, например на базе WireGuard или OpenVPN, шанс выше. Но все равно есть варианты «подстелить солому» и уменьшить вероятность блокировки конкретной сети. Тут уже дело за администратором, который ее обслуживает.

Также гипотетически возможно введение «белых списков» корпоративных VPN — по примеру того, как это работает в Китае.

Правда ли, что власти не блокируют VPN по-настоящему из-за того, что многие бизнесы используют эти протоколы для корпоративной связи?

ValdikSS. Полагаю, что это основной фактор.

Станислав Шакиров. Да, риски для корпоративных клиентов — одна из причин, почему уже сейчас не началась массовая блокировка VPN. Но с этим работают, это решается «белыми списками», и это дело времени. Полагаться на то, что именно из-за возможной поломки корпоративных каналов не заблокируют все остальное, точно не стоит. Когда будет на то политическая воля, не будут особо церемониться ни с кем. Все это уже обкатано в Китае.

Другой вопрос, что полностью заблокировать все VPN нельзя, всегда будут протоколы, которые работают.

Такие провайдеры, как Psiphon или Lantern, обещают, что их трафик неблокируем. Почему остальные не идут тем же путем?

ValdikSS. Я не встречал таких заявлений от авторов этих программ, но они действительно созданы с расчетом на работу в условиях блокировки. Частичную блокировку Psiphon мы видели в России в декабре 2021 года, Lantern — в мае — июне, причем попытка блокировки Lantern привела к недоступности многих адресов крупной хостинг-площадки DigitalOcean.

Могу сказать про Psiphon: программа имеет встроенные методы обфускации, использует технологию domain fronting , мимикрирования под другие протоколы, получения списка серверов через дополнительные каналы и умные методы поиска рабочего способа подключения.

Из интересных особенностей Psiphon можно отметить поддержку Refraction Networking — особого протокола туннелирования, сервер для которого устанавливается у зарубежного провайдера прямо на транзитных каналах связи. Такой метод позволяет превратить любой чужой сайт в прокси , если данные каким-либо образом проходят через провайдеров с установленной технологией, что еще сильнее усложняет жизнь цензорам.

Вадим Мисбах-Соловьев. В определенном смысле это маркетинговый трюк, основанный на недосказанных допущениях. Суть в том, что они используют элементы так называемой технологии mesh . Суть этой технологии — в том, что, условно, все участники общаются со всеми. И даже если большинство путей между ними заблокировано, но есть хоть один незаблокированный, трафик найдет его и пойдет по нему. Конкретно у этих сервисов все немного сложнее, но основа идеи такая.

Однако все зависит от того, насколько сильно тем, кто блокирует, хочется заблокировать конкретный сервис. А также от того, насколько сервис готов к активному противодействию. Теоретическая возможность заблокировать что угодно существует всегда. Вопрос — в компетенции и затраченных ресурсах.

Есть успешный опыт борьбы против цензуры с помощью mesh-сетей?

ValdikSS. Мне о таком неизвестно. На Кубе используются mesh-сети, но для обмена файлами и онлайн-игр.

Вадим Мисбах-Соловьев. Примеры борьбы с блокировками mesh-сетей единичные и остаются на уровне энтузиастов. Большинство обычных пользователей не осилит настоящие mesh-сети. К тому же чем больше людей будут про них знать, тем быстрее узнают и те, кто блокирует, — и начнут блокировать узлы mesh-сетей, усложняя подключение новых пользователей.

Почему все еще работают расширения для браузеров, которые перенаправляют запросы для заблокированных сайтов на прокси-серверы ? Насколько они безопасны?

ValdikSS. Заблокировать прокси-серверы не составит Роскомнадзору никакого труда: браузерные расширения сильно ограничены в возможностях и не могут использовать методы обфускации или нестандартные протоколы. Тем не менее в случае блокировки авторы расширений могут сменить IP-адреса или домены серверов в автоматическом режиме, без необходимости обновления расширения.

С безопасностью этих расширений бывает по-разному: какие-то достаточно примитивны и только меняют настройки сервера, другие ранее вмешивались в содержимое страниц и «отбирали» кешбэк в интернет-магазинах. Политика относительно прокси-расширений в каталогах Chrome и Firefox не позволит встроить совсем уж вредоносный код, но бывают нюансы.

Вадим Мисбах-Соловьев. Работают они в большей степени потому, что:

• за прокси-серверами идет не такая сильная охота, как за VPN-сервисами;
• при определенной настройке отличить (на блокирующем оборудовании) зашифрованный прокси-трафик от HTTPS очень сложно; скорее, даже невозможно;
• ну и «жонглировать» ими в выдаче клиентам, то есть менять один на другой в случае блокировки, все же легче, чем в случае VPN-сервисов.

А вот с безопасностью «в среднем по больнице» все плохо. Очень много таких расширений гоняют незашифрованный прокси-трафик, и блокирующее оборудование в подобных случаях может его анализировать, вмешиваться в него и подменять (осуществляя блокировки).

В случаях, когда такие расширения используют только зашифрованное соединение с прокси-сервером (как, например, Censor Tracker от «Роскомсвободы»), для оборудования это выглядит практически как HTTPS-трафик. Соответственно, нет возможности понять, что это прокси, и заблокировать. Тут возможны только целевые атаки со стороны блокировщиков на конкретные сервисы (и попытка «душить» их серверы).

Вадим Мисбах-Соловьев. Важное соображение про безопасность

Даже если с прокси-сервером или с сервером VPN-сервиса идет зашифрованный обмен трафиком, нужно помнить, что владельцы этих серверов могут анализировать ваш трафик. И точно так же имеют теоретическую возможность модификации незашифрованного трафика, идущего внутри зашифрованного туннеля (защищенного от вторжения со стороны провайдера и блокирующего оборудования).

А значит, подобно тому, как это делает «Ростелеком» и вроде бы все или как минимум большинство мобильных операторов, владелец сервера может подменять и даже вставлять свою рекламу в HTTP-трафик (если вы заходите на сайт, у которого нет HTTPS). А еще у него есть теоретическая возможность красть пароли. В случае некоторых VPN такая возможность может быть не только у владельцев, но и у других пользователей, которые подключены к тому же серверу.

Так что, если вам важна безопасность и приватность, нужно следить за наличием шифрования на каждом этапе:

• между вами и сервером, через который подключаетесь к VPN;
• между вами и целевым сервером, к которому подключаетесь, пропуская трафик через VPN;
• в случае если сеть (VPN) построена так, что «входной» и «выходной» узлы разные — чтобы обмен трафиком между ними тоже шел по зашифрованному каналу. Вы не можете это контролировать напрямую или влиять на это, но это тоже важно, если вы криптопараноик.

Какие протоколы VPN эффективнее

Может ли РКН блокировать такие протоколы, как WireGuard, OpenWeb, Stealth VPN, SoftEther, VLess и Xray? А Stunnel + OpenVPN или Shadowsocks + OpenVPN?

ValdikSS. WireGuard — однозначно да, с остальными сложнее.

Система ТСПУ обладает гибким движком блокировок с динамическими правилами, которые позволяют постоянно или временно блокировать доступ к определенным адресам или портам после срабатывания определенного события. Это может быть использовано для определения OpenVPN внутри другого туннеля, например Stunnel, с довольно высокой степенью достоверности.

Относительно Shadowsocks, Vless и Xray — скорее нет, чем да. Эти протоколы не позволяют идентифицировать туннель, заблокировать их можно только ценой блокировки всех шифрованных неидентифицируемых протоколов.

Существует ли технология VPN over HTTPS «из коробки» — без дополнительных настроек? Насколько сложно блокировать такой трафик, замаскированный под HTTPS или TLS?

ValdikSS. Промышленные решения не маскируются под HTTPS, потому что это негативно влияет на скорость, особенно для VPN, где весь трафик туннелируется через одно TCP-соединение. Поэтому для VPN чаще всего используются протоколы поверх UDP. Протокол HTTP/3, недавно стандартизированный, использует протокол QUIC, работающий поверх UDP, — возможно, через несколько лет мы увидим внедрение VPN over QUIC. Однако в России он частично блокируется.

Протоколов прокси over HTTPS в достатке: NaïveProxy, Cloak, Trojan, v2fly vless. Их можно использовать и для туннелирования VPN, как минимум OpenVPN TCP.

Протоколы Iodine (технология VPN over ICMP ) работают даже в Китае. Какие VPN-сервисы используют этот протокол и другие аналогичные варианты (например, DNS )?

ValdikSS. Коммерческих решений подобного рода мало, потому что VPN over ICMP непрактичен в настройке и не работает через прокси-серверы, а VPN over DNS обычно работает медленно (есть только одна быстрая реализация, которая появилась в апреле 2020-го, — dnstt, но ее скорость на порядок ниже классических туннелей).

Преимущество DNS-туннеля заключается в возможности переиспользования публичной инфраструктуры DNS как промежуточного узла — резолверы предоставляет Google, «Яндекс», Cloudflare и множество других IT-компаний, интернет-провайдеров и сетевых энтузиастов. Если заблокировали один, можно попробовать использовать другой.

Этим же преимуществом обладает так называемое проксирование через CDN , которое позволяет «привязать» множество IP-адресов и доменов к одному VPN-серверу: это и дешево (домены стоят 1–3 доллара в год), и эффективно маскирует трафик, и затрудняет работу цензора.

Подробный обзор VPN-протоколов по критериям устойчивости к блокировкам РКН от экспертов «Роскомсвободы» и Privacy Accelerator

Протокол L2TP — один из самых старых VPN-протоколов, но на этом его преимущества заканчиваются. Его очень просто обнаружить и заблокировать.

IKEv2 — это протокол, разработанный Microsoft и Cisco и стандартизированный в RFC . Использует те же порты, что и L2TP, и так же легко блокируется.

Протокол OpenVPN имеет два режима работы: по TCP и по UDP. Чаще всего используется режим работы по UDP, так как он имеет более высокую скорость и лучше работает на мобильных устройствах. OpenVPN в режиме UDP достаточно просто определяется и блокируется средствами DPI. OpenVPN в режиме TCP использует для соединения технологию TLS, также пригодную для передачи web-трафика, что затрудняет его блокировку средствами DPI, но тем не менее он тоже может быть заблокирован.

Нужно добавить, что существуют модификации OpenVPN (например, xor patch), которые затрудняют его обнаружение. Эти технологии начали разрабатываться в Китае еще на заре становления файрвола, поэтому OpenVPN c патчами неплохо обходит блокировки DPI. Такие реализации можно найти во многих коммерческих VPN, по большей части ориентированных на Китай и другие страны Азии.

Протокол WireGuard заблокировать тоже очень просто — это стандартизированный протокол с выраженными сигнатурами (отличительные признаки, достаточные для идентификации, — аналог почерка или отпечатков пальцев). WireGuard изначально был спроектирован на максимальную скорость работы и минимальное потребление ресурсов (при достаточном уровне шифрования), без учета вопросов гибкости и устойчивости к блокировкам.

Протокол Shadowsocks — это «почти» VPN-протокол, технически это протокол Socks Proxy. Он достаточно сложен для блокировки по DPI ввиду того, что разработчики добавили поддержку Pluggable Transport — подключаемых и взаимозаменяемых программ, обеспечивающих транспортировку, шифрование и обфускацию (маскировку) трафика.

SoftEther — это проект с открытым исходным кодом, программное обеспечение для создания self-hosted VPN-решения (то есть для самостоятельной установки VPN на своем сервере), которое можно настроить на работу по многим популярным протоколам (L2TP/IPsec, OpenVPN, SSTP), а также по собственному VPN-протоколу SSL-VPN, который, по заявлениям авторов, неотличим от обычного HTTPS-трафика. Утверждается, что SoftEther достаточно устойчив к блокировкам VPN по DPI. Проект имеет хорошую репутацию, но сложный интерфейс и рассчитан на профессионалов.

Также существует множество проприетарных VPN-протоколов с закрытыми или частично открытыми исходными кодами. Разработчики чаще всего основывают эти протоколы на OpenVPN путем его модификации, но существуют и VPN-протоколы, созданные с нуля. Вот некоторые из них.

Stealth VPN — закрытый VPN-протокол от компании Astrill. Вероятно, является доработкой OpenVPN, которая снижает его видимость для средств DPI.

OpenWeb — еще один закрытый VPN-протокол, который используется OpenWeb VPN от Astrill. На сайте OpenWeb указано, что этот протокол маскирует VPN как трафик HTTP и HTTPS и его трудно заблокировать с помощью автоматических систем брандмауэров и DPI. Так как протокол закрытый, отсутствует возможность использовать его для сторонних или собственных VPN-решений. Отсутствует и какая-либо публичная информация о пройденных Astrill аудитах безопасности, в том числе безопасности самого протокола.

Lightway — это VPN-протокол, разработанный компанией ExpressVPN. Lightway разработан полностью с нуля и оптимизирован для работы на мобильных устройствах, имеет режимы работы по UDP и TCP и, по утверждению авторов, спроектирован так, чтобы к нему было легко подключать плагины для защиты от DPI. К сожалению, в публичный доступ выложена только часть lightway-core (часть протокола, обеспечивающая основной функционал без «излишеств» в виде маскировки трафика), а детали реализации плагина, отвечающего за маскировку VPN от DPI, не опубликованы и являются коммерческой тайной. Сам протокол lightway-core успешно прошел аудит безопасности.

NordLynx — это VPN-протокол, разработанный компанией NordVPN на базе протокола WireGuard. Судя по информации на сайте NordVPN, доработки направлены на повышение приватности VPN-сессий, таким образом NordLynx не имеет повышенной устойчивости к DPI по сравнению с WireGuard.

Нужно подчеркнуть, что речь идет об устойчивости VPN-протоколов к DPI. Но, как показывает практика, в частности ситуация по коммерческим VPN-сервисам, устойчивости VPN-протокола к DPI чаще всего недостаточно для избежания блокировки надзорными органами. Могут быть применены самые простые блокировки VPN-серверов по их адресам или сложные блокировки управляющих серверов — тут уже не имеет значения, какой протокол использован.

Помимо VPN-протоколов, существуют еще различные плагины и утилиты, которые позволяют обфусцировать трафик самих протоколов.

В таком случае для DPI не важно, какой используется внутренний протокол — например, связки протоколов OpenVPN over Stunnel и WireGuard over Stunnel определяются одинаково.

Самые распространенные плагины и утилиты последних поколений — Stunnel, V2Ray, Cloak. Также существует множество устаревших и менее популярных плагинов. Такие плагины разрабатываются специально для маскировки от блокировок VPN по DPI, поэтому показывают высокую эффективность по маскировке. Большинство разрабатывается китайскими энтузиастами, поэтому можно утверждать, что если их не могут заблокировать в Китае, то в России и подавно не смогут.

Стоит отдельно упомянуть и VPN-протоколы, маскирующиеся не под web-трафик, а под такие протоколы, как ICMP и DNS (например, Iodine). Такие протоколы успешно обходят DPI, но только по той причине, что имеют крайне низкое распространение. Как утверждают специалисты, при желании их легко заблокировать по критерию аномально большого количества трафика, идущего по ICMP или DNS.

Альтернативой коммерческим VPN являются так называемые self-hosted VPN-решения. Self-hosted VPN — это VPN-сервис, который пользователь устанавливает на собственном виртуальном сервере, следовательно, этот сервер нужно сначала приобрести. Традиционно эта сфера считалась прерогативой IT-специалистов, так как требовала определенного уровня знаний, чтобы установить на сервер все необходимое и настроить его. Но с течением времени ситуация менялась, появлялось все больше средств автоматизации этого процесса. Можно выделить два поколения таких утилит автоматизации.

Первое поколение — это такие утилиты, как StreisandEffect, AlgoVPN. Это консольные утилиты, которые упрощают установку сервера до уровня введения в консоль одной команды. Такой подход имеет существенный недостаток, так как требует от пользователей минимальных навыков работы с консолью.

Утилиты второго поколения — Outline и Amnezia VPN. Это полноценные out of the box VPN-клиенты («из коробки» — то есть не требующие длительной настройки и особых навыков для работы), которые имеют функцию автоматизированной установки всего нужного на сервер и не требуют от пользователей вбивать команды в консоль.

Проект Outline начал разрабатываться еще в 2017 году в лаборатории Jigsaw при содействии Google, поэтому имеет характерные для продукта Google черты, такие как трекинг использования приложения и интеграция с поставщиками виртуальных серверов — Google Cloud, Amazon AWS, DigitalOcean. Еще одним недостатком является то, что Outline — ShadowSocks (и при этом не поддерживает плагины маскировки) и технически может быть достаточно легко заблокирован DPI.

Проект Amnezia VPN на несколько лет младше, он был основан в 2020 году и учел недостатки Outline. Amnezia VPN имеет поддержку множества разных VPN-протоколов, в том числе и связки OpenVPN over Cloak, которая маскирует VPN-соединение под настоящий web-трафик и устойчива к блокировкам по DPI.

Что касается VPN over HTTPS out of the box (решение для маскировки трафика VPN под HTTPS, работающее прямо «из коробки»): к таким относится, например, Cisco AnyConnect. А вообще, большинство таких продуктов — корпоративные VPN.

Какие ограничения еще возможны в России, китайский опыт и суверенный Рунет

Заставят ли интернет-пользователей в России расшифровывать свой трафик для властей — устанавливать сертификаты для MitM ?

ValdikSS. Сомнительно: как минимум в современных версиях Android (начиная с седьмой) установка сторонних сертификатов затруднена, программы должны отдельно разрешить их использование. Основной набор приложений откажется работать, даже если сертификат будет импортирован в хранилище. Кроме того, мощности, требуемые для перешифровки данных, на порядки выше мощностей, необходимых для анализа в стиле систем DPI .

Станислав Шакиров. Можно рассмотреть угрозу внедрения корневых сертификатов государственных регуляторов в хранилище сертификатов конечных пользователей для осуществления mitm-атаки на пользовательский веб-трафик. Это может быть реализовано путем популяризации браузеров, подконтрольных государственным органам, или приложений и утилит, которые сами устанавливают корневые сертификаты.

В любом случае можно предположить, что такой процесс не может быть осуществлен в одночасье. Более того, конъюнктура Рунета препятствует таким действиям — введение обязательного использования государственных корневых сертификатов при посещении сайтов будет равносильна полному отключению страны от внешней части интернета.

Смогут ли в России блокировать P2P-мессенджеры?

Вадим Мисбах-Соловьев. Если вкратце, то это вопрос затраченных сил и компетенций. На данный момент власти не прикладывают достаточное количество сил (или им не хватает компетенций), чтобы заблокировать P2P-мессенджеры. Но если очень захотят — смогут сделать и это.

В этом плане федеративные мессенджер-сети (Jabber, Matrix, с натяжкой Fediverse ) будут понадежнее. Всю сеть не заблокируешь, не вводя «белые списки» сервисов.

Чем отличаются блокировки в России и Китае? Сколько нужно России времени, чтобы создать аналог китайского файрвола ? Есть ли у России технологии и оборудование для его создания собственными силами?

Станислав Шакиров. До сих пор в России блокируют только по IP-адресам и по доменам. В Китае искусственный интеллект обучен находить протоколы внутри трафика. Сколько потребуется времени, чтобы в России появился аналог китайского файрвола, неизвестно. С технологической точки зрения все нужное оборудование и софт у нас уже есть. Но есть трудности.

Компетентные органы пока не очень хорошо могут определять, что нужно блокировать. Роскомнадзор на отдельных ТСПУ тестирует различные более интеллектуальные способы блокировок, чем просто по IP и домену: иногда — успешно, иногда — внезапно ложится смежная инфраструктура, например «Сбер.Онлайн» или вроде того. Пока не получается блокировать VPN без сопутствующих потерь. И вопрос в том, как скоро государство заставит важные «государствообразующие» сервисы использовать те протоколы, подсети и IP-адреса, которые разрешены («белый список») и не будут блокироваться. После этого блокировки по протоколам или, как еще это называют, по сигнатурам (то, что умеет DPI) станут массовым явлением.

Поэтому с точки зрения «железа» китайский файрвол есть у нас уже сейчас, а с точки зрения алгоритмов — нужно дорабатывать. Для этого уже не нужны «западные спецы», опыта китайских специалистов и сервисов достаточно, чтобы сделать, «как у них», выстроить цензуру по китайскому сценарию. С другой стороны, она тоже не является совершенной и безупречно эффективной: миллионы китайцев ежедневно пользуются VPN, и все у них хорошо.

ValdikSS. В Китае применяются более точные методы обнаружения туннелей. Российские системы не столь продвинуты, но, судя по темпам развития и ТСПУ , и коммерческих систем, это вопрос времени.

Софт для DPI делается в России, железо все достаточно стандартное и доступное. Из сравнительно немассовых вещей, которые сложно достать на рынке, разве что оптические байпассеры Silicom (модель IS401U-48 как минимум).

Возможно ли полное отключение России по собственной инициативе от всемирной сети и создание «суверенного интернета», из которого невозможно будет выйти даже при помощи VPN? В корпоративной сети крупной компании я такое видел

ValdikSS. Моя оценка такова: если доступ вовне когда-то отключат, то только на обычном интернете для частных лиц, с сохранением связи внутри страны. На серверах в дата-центрах останется обычный доступ в интернет — VPN-подключение к серверу внутри страны обеспечит доступ в мировую сеть. Такой сценарий уже был в Иране.

Также велика вероятность, что отключение будет не полным — останутся «дырки» в виде незаблокированных протоколов или определенных портов, которые можно будет использовать для создания туннеля. Такое было в Казахстане.

Надеюсь, такого никогда не случится.

Станислав Шакиров. Да, могут все закрыть наглухо. Но в масштабах страны должен отсутствовать риск, что «левые доступы» будут неправильно влиять на инфраструктуру.

Сейчас ведется работа по перенастройке систем, чтобы в ситуациях, когда отключаются какие-то VPN или протоколы на выход из страны, не пострадала важная для государства инфраструктура. Поэтому одна из масштабных целей регулирования — сделать так, чтобы и VPN не работал, и все остальное работало.

Нигде ведь (кроме КНДР) не было такого, чтобы внешний интернет отключали полностью и перманентно? Могут ли издержки перманентной изоляции Рунета показаться властям приемлемыми по сравнению с сохранением доступности хотя быть отдельных VPN-сервисов?

ValdikSS. Мне кажется, глобальная и постоянная блокировка «внешки» — крайне маловероятный сценарий. Могу представить применение замедления доступа к определенным ресурсам до такой скорости, которая не позволит ими пользоваться. При блокировке велика вероятность, что пользователь будет пытаться ее обойти, а при замедлении, во-первых, не очевидно, чем вызвана проблема (может, что-то произошло у сервиса или провайдера?), а во-вторых, это психологически более раздражающая мера, которая может вынудить пользователя самостоятельно перейти на альтернативный сервис. Но опять же применение подобных мер — экстремальный сценарий, который, надеюсь, маловероятен. С другой стороны, стране мало что осталось терять.

Депутат [Госдумы Александр] Хинштейн говорил о замедлении YouTube в апреле, а 22–23 мая у клиентов провайдеров в ЛНР и ДНР замедлился YouTube до 128 кбит/с, что не позволяло смотреть видео без прерываний даже в качестве 144p. Инцидент остался обделен вниманием со стороны СМИ.

Станислав Шакиров. Все верно: полная изоляция российского сегмента интернета — это полный экономический коллапс страны. Тут вопрос политической воли, того, когда власти будут на это готовы. Хотелось бы, чтобы никогда. Но некоторые сценарии говорят, что полная изоляция на время не исключена. К тому же уже ведутся работы, чтобы минимизировать потери: например, в России сделан аналог SWIFT, к которому подключены банки стран ЕАЭС .

Что делать, если введут «белые списки» ? Как подготовиться к сценарию тотального закрытия внешнего интернета?

ValdikSS. Я бы порекомендовал арендовать серверы в России — магистральные каналы будут фильтровать в последнюю очередь. Не лишним будет настроить DNS-туннели за рубеж: всемирная связность DNS-инфраструктуры очень важна даже для сайтов в зоне .ru и .рф, поэтому ее будут поддерживать в рабочем состоянии с высокой вероятностью.

Станислав Шакиров. Обычно, если вводятся «белые списки», то обход блокировок производится через них, то есть трафик маркируется, как будто он идет на один из разрешенных сайтов из списка и по протоколам, по которым невозможно узнать, что там на самом деле происходит. Там используется даже не выход в mesh-сети, а протоколы типа Cloak.

Можно заранее установить программы для обхода блокировок, которые будут работать в случае полного локдауна: Tor, Lantern, Psiphon, Amnezia и некоторые другие.

Насколько реален сценарий входа в интернет только по паспорту или токену с электронной цифровой подписью в этом десятилетии?

ValdikSS. Интернет, по сути, и сейчас работает по паспорту: проводные подключения и сим-карты оформляются на конкретного человека, публичный Wi-Fi требует идентификации по номеру телефона.

Если речь об идентификации личности конкретного пользователя на домашних подключениях, то об этом ничего не слышно.

Станислав Шакиров. Сложно сказать, будет ли это действительно осуществлено и в каком виде. Это вопрос политической воли.

Де-факто вход в интернет по документу, идентифицирующему личность, уже практикуется. Домашний интернет невозможно подключить без паспорта, пользователь заключает с провайдером именной договор аренды. В публичных местах невозможно подключиться к Wi-Fi без введения номера телефона, который привязан к вашему контракту с оператором связи.