Минцифры требует от компаний ограничить доступ к сервисам пользователям с включенным VPN. Основная сложность — отделение трафика VPN от прочего зарубежного трафика. Так, например, «Ростелеком» принял решение выявлять и блокировать все иностранные IP-адреса в мобильных приложениях, узнала «Бумага» от источника в компании. Это может ударить по части продуктов компании, например, по видеонаблюдению и «умным домам», которыми часто пользуются из-за рубежа.
Бывший руководитель отдела разработки «Яндекса» объяснил «Бумаге», что составление и обновление списка IP-адресов, которые используют российские компании (среди них есть и иностранные IP), IP-адресов иностранных мобильных операторов и корпоративных VPN-исключений поможет отделить иностранные IP от VPN, но потребует большого административного ресурса и ручной работы.
На блокировку всех иностранных IP компания не пойдет, так как сервисами «Яндекса» активно пользуются, например в Турции и странах СНГ. Самый простой вариант — заблокировать IP-адреса популярных VPN-сервисов:
«Можно следовать тому, что в законе написано, а можно следовать тому, что будут проверять, — объясняет разработчик, — Если примерно понятно, что есть список из десяти VPN и они будут проверять его, то проще попробовать найти все IP-адреса этих десяти VPN».
Сетевая инфраструктура «Яндекса» «слоеная», замечает собеседник «Бумаги», половина сервисов может работать в обход того «слоя» на котором будет введена проверка. Никто за этим, обычно, не следит и ресурсов на это нет: «будут проверять пускает ли “Яндекс.Поиск” из-под VPN, а пускает ли какой-нибудь “Яндекс.Лицей” из-под VPN всем будет по барабану».
Методичка. Минцифры разослало компаниям рекомендации по выявлению VPN. В них, кроме проверки по IP-адресу, вторым и третьим шагом упоминаются анализ подключений и интерфейсов на устройстве и анализ системных настроек и таблиц маршрутизации. Сбор этих данных сильно зависит от операционных систем, считает собеседник «Бумаги», и на iOS он ограничен, а в браузере невозможен. Серьезные обновления вряд ли будут проведены до 15 апреля:
«Но придумать какой-нибудь ответ, что мы сделали и почему это соответствует духу закона [до 15 апреля] реально», — замечает специалист.
Контекст. 30 марта глава Минцифры Максут Шадаев потребовал от российских компаний к 15 апреля ограничить доступ пользователям с включенным VPN. Если компания не выполнит эти требования, ее могут исключить из «белых списков», лишить IT-аккредитации и убрать из перечня софта, обязательного к предустановке.
Фото: «Яндекс» 🔗
