28.06.2017 12:49
alizar 42 11900 Источник
После недавнего скандала с ошибочной блокировкой Google.ru Роскомнадзор обновил рекомендации операторам связи по ограничению доступа к запрещённой информации в Интернете. В частности, обновлены пункты 8.1-8.3 о технических условиях фильтрации (pdf новой версии документа).

Теперь провайдерам рекомендуется осуществлять фильтрацию не по IP-адресам, а непосредственно по содержимому пакетов:

Фильтрацию трафика рекомендуется производить готовыми аппаратно-программными комплексами DPI, свободно-распространяемыми программными комплексами анализа и фильтрации сетевого трафика, а также путем приобретения услуги по получению фильтрованного трафика от вышестоящего оператора связи.

Система DPI (Deep Packet Inspection) позволяет проводить глубокий анализ пакетов трафика, а затем фильтровать его на предмет наличия указателей страниц определённых сайтов или доменов.

Если провайдер использует свой комплекс DPI, то ему рекомендуется самостоятельно производить резолвинг информационного ресурса, доступ к которому должен быть ограничен. Таким образом Роскомнадзор надеется избежать «неправомерного ограничения доступа к отсутствующим в выгрузке Роскомнадзора информационным ресурсам».

Провайдерам, не использующим DPI, рекомендуется ограничивать доступ к доменному имени посредством фильтрации запросов ко всем DNS-серверам.

В случае, если провайдер получает уже отфильтрованный трафик от вышестоящего оператора, то ему не грозит привлечение к ответственности за неосуществление блокировки противоправной информации, как предусмотрено законодательством. В этом случае решения о наложении штрафов «будут приниматься с учетом условий договоров, заключённых между такими операторами связи».

Кроме того, операторам связи рекомендуется производить получение и обработку выгрузки не реже двух раз в сутки.

Напомним, что Роскомнадзор признал наличие дыры в системе блокировок, которая позволяет заблокировать ресурс, официально не внесённый в чёрный список. Для этого нужно внести адрес ресурса жертвы (которую вы хотите заблокировать) в DNS-запись домена, уже внесённого в чёрный список. Александр Жаров сказал, что решением этой проблемы может быть «законопроект, дающий органам власти право самостоятельно определять порядок блокировки ресурсов». А до тех пор заблокировать в РФ можно что угодно, абсолютно произвольным образом.
Поделиться с друзьями
-->

Комментарии (42)


  1. oleg0xff
    28.06.2017 16:11
    #10159277

    Теперь провайдерам рекомендуется осуществлять фильтрацию не по IP-адресам, а непосредственно по содержимому пакетов:

    А как быть с шифрованным трафиком? Например https?

    А вообще ждем замедления интернета в связи с нововведениями.


    1. ivan386
      28.06.2017 16:14
      #10159295

      Предлагают блокировать фильтруя DNS запросы. Пользуйтесь DNSCrypt.


      1. x67
        28.06.2017 16:23
        #10159327

        круто.


      1. antey86
        28.06.2017 16:29
        #10159345
        +3

        когда выпустят закон об изнасилования по субботам посоветуете пользоваться вазелином?
        наверное в России и в этом случае все начнуть искать лайфхаки…


        1. Fllash
          28.06.2017 16:39
          #10159393

          Зачем лайфхаки? Подсуетятся ребята, начиная с брачных агенств, заканчивая сайтами знакомств, подадут это как доп.услугу и VIP-сервис, платную, само собой. Больше скажу — народ еще и «вау, круто!» будет кричать.
          *тут могла быть картинка вида «shut up and take my money», но лень.*


        1. Malevolent
          28.06.2017 22:44
          #10160173

          Сделают сервис с электронной очередью, чтобы люди пораньше освобождались в субботу.


      1. ukt
        28.06.2017 18:10
        #10159643

        О, спасибо за ещё один инструмент в копилку параноиков.


      1. pwrlnd
        28.06.2017 18:35
        #10159689

        oleg0xff, для https имя домена получается элементарно. Любой DPI это умеет. А DNS рекомендуют блокировать только тем, кто не внедрил DPI.


        1. DjPhoeniX
          28.06.2017 22:00
          #10160109

          Только если SNI. А оно есть не у всех. Хотя, 2017 год, может, динозавры скоро довымирают…


          1. ivan386
            28.06.2017 23:09
            #10160203

            SNI скоро зашифруют в TLS 1.3


            1. Bonio
              29.06.2017 00:29
              #10160311

              То есть в 1.3 уже не будет видно домена? Как скоро TLS 1.3 будет распространен повсеместно? Оказывается, в firefox можно уже сейчас включить его поддержку, которая почему то по умолчанию выключена. Из сайтов пока только cloudflare.com с ним работает, похоже.

              Скрин


            1. vesper-bot
              29.06.2017 17:46
              #10162061

              SNI ввели как раз для того, чтобы сервер заранее знал, каким сертификатом ему ответить на clienthello. Поэтому зашифровать SNI пока что не получится. Думаю, если распространится DNS TLSA как технология, можно будет шифровать запрос clienthello публичным ключом сервера, выложенным в TLSA, а хинт серверу передавать, скажем, соленым хэшем этого же ключа (ну или ещё как-нибудь, чтобы сервер без расшифровки запроса мог определить, каким именно ключом он зашифрован, и не сильно-то палить в запросе, что это за запрос, к какому он сайту). Но да, это ИМХО дело для TLS1.3, а скорее для TLS2.0.


              1. ivan386
                29.06.2017 20:25
                #10162319

                [TLS] Encrypted SNI


                 Client                       Gateway                      Hidden

 ClientHello#1
  + KeyShare
  + EarlyDataIndication
  + SNI = gateway
 (Finished)
 (
   ClientHello#2
    + KeyShare
    + SNI = hidden
   <Finished>        // 
 )
 (end_of_early_data alert)  ---->            

                             ClientHello#2   
                             + KeyShare
                             + SNI = hidden
                             <Finished>        ---->
                                                       ServerHello
                                                        + KeyShare
                                             {EncryptedExtensions}
                                            {ServerConfiguration*}
                                                    {Certificate*}
                                             {CertificateRequest*}
                                              {CertificateVerify*}
                     <-------------------------------   {Finished}
{Finished}           ------------------------------->

Key to brackets:

  () encrypted with Client->Gateway 0-RTT key (either handshake or data)
  <> encrypted with Client->Hidden 0-RTT key
  {} encrypted with Client->Hidden 1-RTT handshake


                1. vesper-bot
                  30.06.2017 11:44
                  #10163457

                  Будут блокировать гейты в таком варианте исполнения. Также гейт может быть подменен MitM-провайдером на DPI, оттуда скушан SNI и в случае разрешенного трафика отдан ответ типа required secure renegotiation (вроде бы в ServerHello можно такой отдать), с перенастройкой маршрутизации для клиента, чтобы сессию не перехватывать. Иначе дропать или отдавать страницу блокировки.


          1. Pave1
            29.06.2017 09:06
            #10160685

            Ну помимо SNI имя домена можно вынуть из атрибутов сертификата сервера. Нет?)


            1. ivan386
              29.06.2017 10:59
              #10160979

              Сертификат то может быть на пачку доменов.


              1. Pave1
                29.06.2017 11:55
                #10161123

                Точность конечно не 100%. Но весьма высока.


      1. ferocactus
        28.06.2017 19:12
        #10159787

        фильтруя DNS

        То есть по IP можно будет подключаться?


        1. ivan386
          28.06.2017 19:45
          #10159869

          Можно по всякому. Вопрос в том сможет ли провайдер воспрепяствовать этому. Если у провайдера нет DPI и осуществляется блокировка подменой DNS то по IP должно быть возможно подключиться.


    1. khanid
      28.06.2017 23:35
      #10160235

      Только SNI, т.е. по доменному имени. Других вариантов там кроме mitm и блокировок по ip быть не может.


      1. ivan386
        28.06.2017 23:42
        #10160251

        Но ведь DNS же говорят подменять (фильтровать)


        1. Bonio
          29.06.2017 00:15
          #10160291

          DNS трафик сам по себе не шифрован, поэтому провайдерам не составляет труда его подменять. Мой так и делает, например, причем независимо от того, к какому DNS серверу я обращаюсь.
          Ну тут спасает DNSCrypt и DNS сервера от OpenNIC.


        1. khanid
          29.06.2017 09:32
          #10160751

          Это mitm, по сути. Да и то, направлен на выяснение доменного имени/подмену ответа. Так что вряд ли чего они придумают.


  1. vconst
    28.06.2017 16:55
    #10159457

    Сюда так и просится картинка «Костыли и велосипеды».

    Осталось узнать, кто выдаст провайдерам деньги на DPI?


    1. sirocco
      28.06.2017 16:59
      #10159465
      +2

      Пользователи, так или иначе.


  1. oleg0xff
    28.06.2017 17:53
    #10159597

    Сенаторы предложили приравнять зарубежные русскоязычные СМИ к иностранным агентам и блокировать их в России
    https://meduza.io/news/2017/06/28/senatory-predlozhili-priravnyat-zarubezhnye-russkoyazychnye-smi-k-inostrannym-agentam-i-blokirovat-ih-v-rossii


    1. Epoiiika
      28.06.2017 18:13
      #10159649

      А спамить в комментах обязательно? Создайте свою новость с блекджеком


      1. oleg0xff
        28.06.2017 19:19
        #10159805

        У меня нет таких прав


  1. eov
    28.06.2017 19:12
    #10159791

    Картина мира (ру.нут-а) видится мрачной...


    • хана всем иностранным менеджерам.
    • наши менеджеры из-за границы тоже закроем (ибо много общаемся с иностранными шпионами).
    • хана VPN-ам (только по разрешению, как раньше было с мобильными телефонами).
    • хана https с иностранными сертификатами
    • хана шифрованной почте с ЭЦП, выданными иностранными центрами
    • хана TOR-у
    • хана DNSSEC
    • весь трафик через ЦЕНТР "обработки данных"
    • пакеты всех пользователей пронумеровать и промаркировать и чтобы размером от 500 до 1000 байт(чтобы не задидосили ЦЕНТР "обработки данных"...


    1. justiq
      29.06.2017 02:27
      #10160409

      Все кто хотел, уже давно свалили из этого ада в цивилизацию. Остались извращенцы типа нас, или бесполезные нищеброды, которые никому в цивилизации не нужны.


      1. vasiache
        29.06.2017 11:25
        #10161055

        Эм, а в цивилизацию это куда? Вернее в какую часть :)

        image


  1. StallinHrusch
    28.06.2017 19:12
    #10159793

    В случае, если провайдер получает уже отфильтрованный трафик от вышестоящего оператора, то ему не грозит привлечение к ответственности за неосуществление блокировки противоправной информации, как предусмотрено законодательством. В этом случае решения о наложении штрафов «будут приниматься с учетом условий договоров, заключённых между такими операторами связи».


    так в чем проблема: создаешь «дочку» (или не дочку) которая получает отфильтрованный трафик. Но затем она его «расфильтровывает» (пускает через vpn, dnscrypt, etc). Ну а в договоре прописать все как удобно и торговать только услугами «дочки».

    Не?


    1. ivan386
      28.06.2017 20:04
      #10159889

      А «папка» будет отхватывать штрафы? Или расшифровываться будет уже у пользователя?

      Я предлагал разделить провайдеров на тех кто предоставляет только локальную сеть и тех которые будут к ним подключаться и предоставлять интернет по VPN.


      1. StallinHrusch
        29.06.2017 10:51
        #10160955
        +1

        А папку вобще можно не регистрировать как провайдер. У него фактически 1 клиент — дочка


  1. eov
    29.06.2017 11:09
    #10160999

    Вчера обнаружил, что из дома перестал работать habrahabr и geektimes.ru потому, что адреса попали в "списки" из-за того, что их внесли в DNS.


    dig 1520x520s.com

    $ dig 1520x520s.com


    ; <<>> DiG 9.10.3-P4-Ubuntu <<>> 1520x520s.com
    ;; global options: +cmd
    ;; Got answer:
    ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 8474
    ;; flags: qr rd ra; QUERY: 1, ANSWER: 15, AUTHORITY: 0, ADDITIONAL:
    1


    ;; OPT PSEUDOSECTION:
    ; EDNS: version: 0, flags:; udp: 4096
    ;; QUESTION SECTION:
    ;1520x520s.com. IN A


    ;; ANSWER SECTION:
    1520x520s.com. 3600 IN A 31.13.92.36
    1520x520s.com. 3600 IN A 91.228.155.94
    1520x520s.com. 3600 IN A 100.0.5.6
    1520x520s.com. 3600 IN A 87.240.165.80
    1520x520s.com. 3600 IN A 192.30.253.112
    1520x520s.com. 3600 IN A 178.248.237.68
    1520x520s.com. 3600 IN A 95.213.11.181
    1520x520s.com. 3600 IN A 134.168.39.186
    1520x520s.com. 3600 IN A 104.20.208.21
    1520x520s.com. 3600 IN A 116.116.116.117
    1520x520s.com. 3600 IN A 104.20.209.21
    1520x520s.com. 3600 IN A 100.2.9.44
    1520x520s.com. 3600 IN A 185.60.216.35
    1520x520s.com. 3600 IN A 134.168.42.58
    1520x520s.com. 3600 IN A 192.30.253.113


    ;; Query time: 89 msec
    ;; SERVER: x.x.x.x#53(x.x.x.x)
    ;; WHEN: Thu Jun 29 08:09:31 MSK 2017
    ;; MSG SIZE rcvd: 282


    1. ivan386
      29.06.2017 11:19
      #10161033

      Так в этих рекомендациях сказано: Не умееш DPI и другие фильтры делай всё только по списку. Дайте им почитать. То есть IP можно блокировать только из списка.


      1. eov
        29.06.2017 11:30
        #10161065

        Два раза прочитал рекомендации и не понял на какой пункт ткнуть пальцем своему провайдеру.


        1. ivan386
          29.06.2017 11:59
          #10161143

          Последнее предложение пункта 9.1
          К сожалению скопировать текст не получается.


          1. eov
            29.06.2017 12:19
            #10161195

            В "выгрузке" РКН есть только заблокированный домен 1520x520s.com без указания IP адресов. Провайдер резолвит и блочит. Как применить последнее предложение п. 9.1 к данной ситуации?


            1. ivan386
              29.06.2017 12:26
              #10161217

              В данном случае как я понимаю не блокировать так как нет достаточной иформации(IP) в реестре для осуществления блокирования по IP как единственно доступного провайдеру способу.


              1. eov
                29.06.2017 12:52
                #10161303

                Я даже просить не буду. "Ревизору" все равно есть в реестре IP или нет. Штраф прийдет вне зависимости от этого.


                1. ivan386
                  29.06.2017 12:56
                  #10161317

                  Значит судиться надо. Суды будут смотреть на то что в реестре. В реестре IP нет? Нет.