Паспорт, водительское удостоверение или SMS с личного номера— как будет проходить идентификация при подключении к Wi-Fi, пока неясно. Однако, вероятно, оставлять персональные данные при входе в интернет на улицах, в парках или метро все-таки придется. Операторы «Дом.ру» и МТС, установившие бесплатные зоны Wi-Fi в Петербурге, пока затрудняются ответить, как будут выполнять постановление правительства, и от официальных комментариев воздерживаются.
IT-специалист Иван Алякскин рассказал «Бумаге», почему из-за новых требований исчезает анонимность в интернете и как паспортные данные могут утечь через Wi-Fi.
Иван Алякскин
IT-специалист, разработчик Работал в Motorola, HP Labs, RingCentral, Parallels
— Ввод идентификационных данных и передача их провайдеру — это прекрасный способ опознать устройство, будь то ноутбук, стационарный компьютер, планшет или телефон, а вместе с ним и самого человека. После того как пользователь со своего айфона зашел в такую сеть, дальнейшую его деятельность в интернете легко проследить: после ввода идентификационных данных можно будет установить связь «устройство — реальный человек», ведь у каждого устройства, которое входит в сеть, есть свой уникальный mac-адрес. Его, в принципе, можно поменять, но это требует особого навыка и определенных трудозатрат. Таким образом, даже если у вас были фэйковые аккаунты в соцсетях, это уже никак не обеспечит вам анонимность: связка «mac-адрес — паспортные данные» говорит о вас больше, чем вы хотите.
Нужно понимать, как будут защищены данные в момент передачи для их проверки, будет ли эта Wi-Fi-сеть с шифрованием или без него. Если сеть без шифрования, то с помощью специальных средств — снифферов (программ, позволяющих перехватывать и анализировать трафик — прим. «Бумаги») — будет возможно перехватить передаваемые данные. Это можно сделать с помощью специальных железяк или специального софта. Кроме того, злоумышленник может взломать сам роутер, к которому подключаются клиенты, настроить или поменять на нем программное обеспечение таким образом, что данные, проходящие через него, будут сливаться. Слив данных возможен путем обычного прослушивания сетевого интерфейса; подключения сниффера в разрыв канала; программного или аппаратного ответвления трафика и направления его копии на сниффер; через анализ побочных электромагнитных излучений и восстановление прослушиваемого трафика. А также через атаку на канальном или сетевом уровне, приводящую к перенаправлению трафика жертвы (или всего) на сниффер с последующим возвращением трафика в надлежащий адрес.
Если данные будут ходить в открытом виде, то фактически каждый провайдер или человек, перехвативший незашифрованный трафик, сможет воспользоваться похищенной информацией
Помимо этого, интересно, если идентификация будет производиться в браузере, будет ли это защищено SSL. SSL-сертификат позволяет сохранить целостность информации, которая передается от сервера к браузеру, дает гарантию того, что данные не будут изменены или утеряны, обеспечивает конфиденциальность за счет использования шифрования данных. Передаваемая таким образом информация недоступна для просмотра и изменения посторонним лицам. Очень важна целостность данных, потому как без проверки целостности, если вклиниться в канал передачи от сервера к клиенту, то можно вставить свой код, который будет сливать данные.
Каким образом будет производиться проверка? Могут передавать реальные данные: номер паспорта, ФИО, к примеру, «Иванов Иван Иванович», — или, допустим, результат работы какой-либо хэш-функции: например, для строки «Иванов Иван Иванович» хэш-функция MD5 выдает «8E4BC7A2773B0DECA584A14CB8926D9F» — это, по идее, уникальное значение, которое можно контролировать. В открытом виде данные хранить нельзя, так как их попросту могут украсть. Если данные будут ходить в открытом виде, то фактически каждый провайдер или человек, перехвативший незашифрованный трафик, сможет воспользоваться похищенной информацией.
Разработать и наладить данную систему за неделю или две мне не представляется возможным, потому что требуется сформировать техническое задание для интернет-провайдеров, реализовать саму систему и дальнейшие интеграции с провайдерами. В интернете пишут о том, что идентификация будет возможна через отправку SMS на телефон, но что если вы с планшетом или ноутбуком в кафе и без телефона, куда тогда придет SMS?
Потом, будет ли данное решение работать с иностранцами? В Петербург приезжает большое количество туристов. Если идентификации по SMS, будут ли они приходить на иностранные номера, будут ли приниматься к обработке паспорта иностранных граждан? Все это под большим вопросом.
Данные меры ведут к деанонимизации сети, что, в целом, является ее регулированием. Я помню интернет конца 90-х — это была свобода, а то, во что он сейчас превращается, похоже на шуточный gossearch.ru. Происходят эти действия как в Китае, США, так, видимо, уже и в России. Но не все так плохо, например, в iOS 8 предусмотрены меры, для того чтобы mac-адрес устройства менялся.
