Каждые несколько лет индустрия объявляет очередную "смену эпохи" интернета: Web 2.0 когда-то противопоставлялся статичным сайтам Web 1.0, а на рубеже 2020-х аналогичную роль стал играть Web3 — блокчейн, токены, NFT, DAO, обещание вернуть пользователю "владение" собственными данными и разорвать зависимость от корпоративных платформ. Риторика была последовательной: раз бигтех контролирует инфраструктуру, значит, нужно перестроить инфраструктуру на распределённых, никому не принадлежащих реестрах — и контроль исчезнет сам собой.

По факту Web3 оказался в значительной степени именно скамом — не метафорически, а буквально, в исчисляемых деньгах. По некоторым данным, мошеннические схемы, взломы и эксплоиты в криптоиндустрии в 2022-2023 годах лишили пользователей порядка 6,2 млрд долларов. Миллиардов — опечатки тут нет. Отдельно в 2022 году по так называемым экзитскамам насчитано свыше 3,7 млрд долларов потерь. Эти бы деньги, да в развитие реальных технологий!

Даже если отбросить прямое мошенничество и говорить только о добросовестных проектах — у Web3 обнаружилась более глубокая, структурная проблема, которая плавно подводит к теме этой статьи: подавляющее большинство "децентрализованных приложений" на деле работает через одну и ту же пару централизованных API-провайдеров — Infura и Alchemy. Даже кошелёк MetaMask, который формально считается пользовательским клиентом блокчейна, под капотом просто делает запросы к Infura, и абсолютное большинство приложений экосистемы устроено так же. Практическое следствие этой архитектуры проявилось в августе 2022 года: как только власти США ввели санкции против криптомиксера Tornado Cash, Infura и Alchemy немедленно заблокировали доступ к его смарт-контрактам — и множество формально "децентрализованных" проектов, зависевших от этих двух провайдеров, в одночасье потеряли возможность с ним взаимодействовать.

Люди не хотят и никогда не захотят администрировать собственные серверы, что бы ни было написано в манифесте очередной версии интернета — а значит, любая технология неизбежно консолидируется вокруг платформ-посредников, которые берут на себя это неудобство.

Реальная проблема — не в удобстве, а в прослеживаемости

Web3 действительно ничего не решил в вопросе удобства (люди не хотят держать свой узел), но даже если представить гипотетическую версию "Web N+1", которая полностью снимет проблему удобства и сделает по-настоящему децентрализованную инфраструктуру такой же простой в использовании, как облачный хостинг, остаётся ещё одна менее очевидная проблема. Сама архитектура сети, на которой держится буквально любой независимый веб-ресурс, вне зависимости от того, каким модным названием его обернут (Web 2.0, Web3 или метавселенная) оставляет прямой, почти неустранимый след к создателю этого ресурса и помечает всех посетителей.

Web3 даже не пытался решить именно эту задачу — он решал вопрос финансового посредничества (кто владеет токеном, кто получает комиссию платформы) и оставил полностью нетронутым нижний, инфраструктурный уровень: DNS, TLS, хостинг и биллинг, на которых держится доступ к любому сайту, включая сайты, обслуживающие Web3-проекты. Более того, попытка "зашить" анонимность через криптоплатежи добавила собственный, отдельно прослеживаемый след — блокчейн-анализ платежей, который способен годы спустя деанонимизировать пользователя задним числом, просто по факту того, что все транзакции навсегда и публично записаны в общий реестр.

Иными словами, индустрия раз за разом предлагает решить проблему контроля над интернетом через смену модели собственности, удобства или финансовых стимулов — вместо того чтобы признать, что реальный рычаг тотального контроля лежит уровнем ниже, в протокольном стеке, который не меняется ни от одной из этих "смен парадигмы". И именно поэтому каждая следующая "Web N+1" будет обещать то же самое и упрётся в ту же стену: сколько бы уровней абстракции — токены, кошельки, DAO, ИИ-агенты, что угодно ещё — ни настроили поверх существующей сети, сама сеть в основании этой архитектуры продолжит работать по правилам, изначально спроектированным для маршрутизации и адресации, а не для сокрытия происхождения, из которого следует всё — лицо, место, юрисдикция, санкции, преследование, т.е. полный набор реального контроля, а не номинального а-ля ключики от криптокошелька.

Значительная часть узлов, через которые проходит трафик обязаны логировать метаданные соединений. Где-то это прямое требование закона. Например, Австралия обязывает провайдеров хранить телефонные и интернет-метаданные два года без необходимости получать ордер на доступ к ним. Польша обязывает провайдеров хранить метаданные до 12 месяцев, при этом доступ к этим данным имеют более девяти спецслужб фактически без независимого надзора (сурс и сурс). Про порядки в Российской Федерации также известно, от мировых тенденций не отстаём.

Там, где прямого законодательного требования нет, как в некоторых странах ЕС и США, вакуум заполняется внутренней политикой ведомств и добровольным (или контрактным) удержанием данных операторами связи для собственных бизнес-нужд. Затем данные становятся доступны правоохранителям по упрощённой процедуре запроса. Итого, узел, через который проходит ваш трафик или DNS-запрос, почти наверняка обязан по закону, контракту или ведомственной инструкции сохранить след о том, что этот трафик существовал.

DNS over HTTPS (DoH) и DNS over TLS (DoT) преподносятся как решение проблемы слежки на уровне DNS. Это верно лишь частично. DoH действительно шифрует содержимое DNS-запроса на пути от устройства до резолвера, лишая сетевого провайдера доступа к тому, какие домены вы запрашиваете. Но, как говорится, есть нюансы.

Во-первых, как только резолвер возвращает IP-адрес и вы делаете запрос, провайдер видит куда он пошёл. Фиаско в том, что при установке безопасного соединения с веб-сервером, клиент передает SNI (Server Name Indication) в TLS-рукопожатии, которое провайдер видит в открытом виде. SNI это тот самый домен, на который вы идёте. Этот шаг необходим по протоколу, чтобы сервер знал с каким из обслуживаемых сайтов вы хотите установить соединение. Это лечится костылём Encrypted Client Hello, который скрывает SNI из хендшейка с сервером, но в РФ такое соединение сразу сбрасывается.

Во-вторых, DoH не устраняет точку отказа, а лишь переносит её. Раньше вашим DNS-резолвером был провайдер, теперь это Cloudflare, Google или Quad9. Кто-то по-прежнему видит полный список ваших DNS-запросов, просто это уже не оператор связи, а централизованная корпорация, к которой стекаются запросы миллионов пользователей одновременно, что само по себе создаёт новую, ещё более концентрированную точку сбора метаданных.

Владелец сайта на этапе разработки и тестирования резолвит собственный домен чаще и раньше, чем кто-либо ещё просто потому, что должен проверить, что сайт работает до того как о нём узнает первый посетитель. Это создаёт типичный паттерн в логах DNS-резолвера и провайдера, который в сочетании с IP-адресом, с которого шли эти самые запросы, становится сильным идентифицирующим маркером администратора. Чтобы защититься от этого можно купить всё через Tor и через него же посещать сайт, но человеческий фактор на дистанции гарантирован.

Почему довод "да кому я нужен" больше не работает

Классическое возражение против всего вышесказанного — "аналитиков не хватит, чтобы вручную сопоставлять логи миллионов сайтов ради одного анонимного блогера или небольшого проекта". Этот довод строился на ограничении прошлого: корреляция метаданных требовала ручного труда аналитика.

Современные платформы интеграции и анализа данных, наиболее известная из которых Palantir, спроектированы именно для того, чтобы устранить необходимость в ручном сопоставлении. Такие системы автоматически связывают разрозненные источники (данные с камер распознавания номеров, базы правоохранительных органов, записи операторов связи, финансовые транзакции, публичные записи) в единый граф связей, который позволяет строить профиль объекта без выделения отдельного аналитика.

Масштаб применения таких систем в 2025–2026 годах красноречив сам по себе: контракт Palantir с Армией США на 10 миллиардов долларов консолидирует десятки отдельных контрактов и даёт доступ ко всем базам данных и операциям армии.

Это меняет саму модель угрозы. Раньше защитой служила "незаметность в толпе" — теоретическая возможность деанонимизации существовала, но практически реализовать её для рядового объекта было экономически нецелесообразно. Сегодня стоимость автоматической корреляции метаданных приближается к нулю в пересчёте на одну цель, а объём собираемых данных и число охваченных источников растёт быстрее, чем растёт общественное понимание этого факта. Довод "кому я нужен" описывал реальность вычислительных ограничений десятилетней давности — сегодня ограничение снято, и обработке подлежит не конкретный человек, представляющий интерес, а весь объём доступных метаданных целиком, с последующим автоматическим выделением объектов интереса по заданным критериям.

Хотя государственные ведомства — крупнейшие и наиболее задокументированные пользователи подобных систем, сама технология и данные, на которых она строится, не являются исключительной собственностью правительств. Инструменты корреляции метаданных относительно недороги и применяются широким кругом акторов — от корпоративных служб безопасности до недобросовестных конкурентов и криминальных структур.

Правильная постановка вопроса — "как минимизировать метаданные, которые становятся частью корреляционного графа, доступного каждому с достаточными ресурсами и мотивацией". Это смещает разговор из плоскости политической конспирологии в плоскость практической гигиены данных. Дело не в том, боитесь ли вы конкретного государства, а в том, готовы ли в принципе доверять массив своих метаданных чужой инфраструктуре, не понимая, кто и на каких условиях получит к нему доступ в будущем.

Оверлейные сети как единственный вариант

Оверлейные анонимные сети (в основном это Tor и I2P) единственные существующие технологии, которые решают архитектурную проблему прозрачной онлайн-активности. Принцип у обеих сетей общий: трафик проходит через несколько независимо управляемых узлов таким образом, что ни один отдельный узел одновременно не видит от кого и куда идёт трафик или где физически расположены абоненты. Это структурное, а не поведенческое решение — оно не требует от пользователя постоянной бдительности на каждом шаге, оно встроено в саму топологию маршрутизации.

Общественное восприятие Tor и I2P исключительно как "инструментов для тёмных дел" контрпродуктивно и требует пересмотра. Разделение технологии и худшего сценария её использования — необходимый шаг к тому, чтобы приватность как инструмент вообще оставалась доступной массовому, а не маргинализированному пользователю, который вопреки общественному осуждению давно и успешно использует гениальные инженерные решения для своих дел. Скромно вспомним и чудо-мессенджер, который не спас от мошенников и прочие публичные онлайн-места, где можно найти самое плохое, но вы его не видели, потому что не искали (или искали? пупупу).

Tor и I2P — не одно и то же

Внутри категории оверлейных сетей стоит коротко развести Tor и I2P, потому что разница между ними касается и происхождения, и архитектуры. Технология onion routing, положенная в основу Tor, была разработана в 1995 году в Лаборатории военно-морских исследований США с целью защитить коммуникации американской разведки, и проект по сей день частично финансируется государством США — по данным за 2022 финансовый год, свыше половины бюджета Tor Project поступало из контрактов и грантов правительства США. I2P, напротив, вырос в 2003 году из андеграундного волонтёрского проекта, исторически финансируется исключительно за счёт пожертвований и не имеет сопоставимой государственной истории.

Архитектурно Tor строит одну двунаправленную цепочку через три узла и полагается на небольшой набор доверенных "directory authority" для построения карты сети. I2P использует однонаправленные туннели (чесночная маршрутизация) и полностью распределённую базу маршрутов вместо доверенных серверов, а также не имеет выходных узлов как обязательного элемента архитектуры — трафик по умолчанию остаётся внутри самой сети.

Так ли непобедимы скрытые сети

Оверлейные сети эффективно нейтрализуют пассивное массовое наблюдение, но не гарантируют защиту от направленной атаки с достаточными ресурсами.

Теоретическая уязвимость Tor к атакам корреляции трафика известна с середины 2000-х: если противник контролирует одновременно входной и выходной узел цепочки (или наблюдает трафик в обеих точках), он может статистически сопоставить паттерны трафика на входе и выходе и с высокой вероятностью связать конкретного абонента скрытой сети с его реальным IP-адресом, даже не расшифровывая содержимое. Ранние работы по локализации скрытых серверов показывали, что при определённых условиях атака занимает от минут до нескольких часов.

Современные версии этой атаки используют глубокое обучение и достигают показателей точности, немыслимых десять лет назад. Например, система DeepCorr, представленная в 2018 году, сопоставляет связанные потоки Tor-трафика с точностью до 96%, анализируя короткие временные окна наблюдений за размерами пакетов и задержками между ними.

Наиболее известные случаи успешной деанонимизации пользователей скрытых сервисов Tor на практике редко были прямым взломом самого протокола маршрутизации — гораздо чаще они использовали уязвимости в браузере, ошибки конфигурации сервера или банальные ошибки операционной безопасности человека.

Показательный пример — операция ФБР против форума Playpen, распространявшего материалы о чём-то очень нехорошем. В декабре 2014 года ФБР получило от иностранных правоохранительных органов наводку, что настоящий IP-адрес сервера Playpen оказался публично виден и указывал на локацию в США, то есть отправной точкой стала ошибка конфигурации сервера, а не взлом Tor. Получив контроль над сервером, ФБР продолжило управлять им ещё две недели и внедрило вредоносный код, эксплуатирующий уязвимость в сборке Firefox, на которой построен Tor Browser. В результате были получены свыше 9 000 IP-адресов пользователей из 120 стран, что привело к обвинениям более чем 200 человек.

Примечательно и то, как именно строились доказательства против конкретных пользователей уже после деанонимизации: в ряде дел обвинение опиралось на сопоставление данных из логов сервера, результатов наблюдения и других данных, т.е. на комбинацию нескольких независимых источников метаданных, а не на единый прямой факт.

Оверлейные сети — рабочий и на сегодня безальтернативный инструмент защиты от пассивного массового наблюдения. Защита от направленного, персонализированного анализа — отдельная и значительно более сложная задача, требующая дисциплины и глубоких знаний.

На мой взгляд, недостижимость абсолютной анонимности снимает с "даркнета" клеймо криминала, зато при массовом распространении скрытые сети позволят рядовому пользователю обезопаситься от всестороннего и неконтролируемого надзора, который имеет не столько правоохранительный потенциал, сколько более мрачные перспективы манипуляций, шантажа и корыстного преследования.

Возвращаясь к вопросу, вынесенному в заголовок: очередная "Web N+1" неизбежно повторит судьбу Web3 не потому, что идея децентрализации порочна сама по себе, а потому, что каждая такая инициатива, как правило, решает не ту проблему. Она предлагает новую модель собственности, новый финансовый примитив, новый уровень удобства — и обходит стороной единственный слой, на котором на самом деле разыгрывается контроль: DNS, сертификаты, хостинг, платёжные цепочки и логирование метаданных. Пока новая версия интернета не меняет именно этот слой — а маркетинговые обещания "децентрализации" исторически предпочитают говорить о токенах, а не о протоколах маршрутизации, — она в лучшем случае перекладывает точку контроля с одной корпорации на другую (как это произошло с Infura и Alchemy в мире Web3), а в худшем — добавляет новый, дополнительный и зачастую более долговечный след, как в случае с публичным и вечным блокчейн-реестром. Единственная категория технологий, которая на сегодняшний день действительно меняет структуру этого нижнего, определяющего слоя — это оверлейные анонимные сети. Пока разговор о будущем интернета остаётся разговором о собственности и удобстве, а не о маршрутизации и метаданных, каждая следующая "Web N+1" будет решать не ту задачу — и в этом смысле действительно рискует оказаться очередным скамом, вне зависимости от того, насколько искренними будут намерения её создателей.