Как Минцифра планирует блокировать пользователей VPN
Ключевые тезисы:
- С 15 апреля крупные российские IT-компании обязаны выявлять и блокировать пользователей, обходящих блокировки через VPN.
- Методика основана на комплексной проверке, где главную роль играет анализ IP-адреса, а не данные с устройства.
- Утверждения о лучшей защищённости iPhone для VPN — миф, основанный на вырванной из контекста цитате.
- Окончательная эффективность и последствия этих мер станут ясны после дедлайна.
Суть требований Минцифры
К 15 апреля такие компании, как Сбер, Яндекс и VK, должны настроить системы для блокировки пользователей с VPN. В случае невыполнения компаниям грозит:
- Исключение из IT-реестра (потеря льгот, например, брони от мобилизации).
- Удаление их ресурсов из «белых списков».
Что на самом деле в методичке
Документ, опубликованный в Telegram-канале «Профсоюз работников IT», описывает трёхэтапную систему выявления VPN с присвоением баллов:
Анализ IP-адреса (вес = 1) — основной этап.
Прямой признак на устройстве (вес = 0.5) — когда ОС явно сообщает о VPN (например, значок ключика на Android).
Косвенный признак (вес = 0.5) — проверка имён сетевых интерфейсов (utun, ppp, ipsec).
Решение о блокировке принимается по сумме баллов:
- < 1 — обход не выявлен.
- > 1 — пользователь блокируется.
- = 1 — требуется дополнительная проверка.
Разоблачение мифа об iPhone
Вопреки многим заголовкам, в методичке не сказано, что iPhone безопаснее.
- Цитата об ограниченном доступе к системным параметрам iOS относится только к одному из вспомогательных этапов (прямому признаку).
- Сразу после этого Минцифра даёт идентичные для всех ОС инструкции по проверке косвенных признаков (сетевые интерфейсы).
- Главный и самый весомый метод — анализ IP-адреса на стороне сервера — работает одинаково для всех устройств.
Как проходит проверка IP-адреса
Сервер анализирует адрес пользователя по нескольким параметрам:
- Определение и сравнение геолокации (страна, город) с предыдущими сессиями.
- Сверка с известными базами IP-адресов VPN, прокси и Tor.
- Проверка, не принадлежит ли IP диапазонам хостинг-провайдеров (где часто размещаются VPN-серверы).
- Исключение адресов из «белых списков» (например, корпоративных VPN).
Дополнительные проверки
Если сумма баллов равна 1, могут применить:
- Анализ HTTP-заголовков на наличие следов прокси.
- Метод анализа задержек: сервер сравнивает реальное время отклика с ожидаемым для данной геолокации. Аномально высокая задержка может указывать на VPN.
«Метод не даёт стопроцентной уверенности... но совокупность признаков может достаточно надёжно отличить иностранного пользователя от нашего под VPN» — вывод автора экспериментального прототипа.
Выводы и прогнозы
- iPhone не является более защищённым для использования VPN. Когда IP-адрес VPN-сервера будет выявлен на любом устройстве (даже Android), он попадёт в общую базу, и все пользователи этого сервера (включая iPhone) попадут под подозрение.
- На практике пользователям, возможно, придется постоянно включать и отключать VPN для доступа к разным сервисам.
- Ключевые вопросы остаются открытыми: насколько строго компании внедрят фильтры, как будет работать надзор и не приведут ли блокировки к недоступности сервисов из-за рубежа.
- Ответы появятся после 15 апреля, когда истечёт дедлайн для компаний.