Antony
Репост из: 3side кибербезопасности
Разбираем новость: Популярные российские приложения следят за VPN пользователей?
Тут в ТГ начали много писать (раз, два, и далее) о том, что приложения российских разработчиков следят за тем, установлен ли у пользователя VPN и отправляют инфу о вашем подключении на свои серверы. Правда ли это, и чем это все грозит? Разбираемся.
1) Да, это правда, но есть нюанс. Российские приложения, которые проверяют наличие VPN, делали это задолго до того, как Роскомнадзор даже начал бороться с Телеграммом. И делали в первую очередь для своих целей — обеспечение стабильной связи, борьба с мошенничеством, накрутками и прочими подобными историями. Поэтому проверялось наличие VPN у пользователя в рамках формирования его профиля. Это в том числе было нужно, чтобы человека с VPN не блокировать лишний раз, а всякие зарубежные атаки непонятных ребят отсекать по IPшникам.
То есть раньше это делалось не для того, чтобы эти VPN вычислять и что-то с ними делать, а наоборот, чтобы лишний раз не забанить своего же пользователя.
Сейчас есть требования Минцифры, которые ограничивают доступ к приложениям для пользователей с включенным VPN, но кажется, что это требование достаточно легко обходится пользователями. По крайней мере, пока.
И вот мы смотрим на опубликованную методику выявления VPN и есть стойкое ощущение, что выполнять ее будут "для галочки". То есть операторы скажут "мы супер, мы все заблокировали, теперь к нам не зайти через VPN" — и все. Возможно, будут другие требования, но позже. Решать за РКН задачи РКН без очень сильной мотивации вряд ли кто-то готов.
2) Могут ли они передавать эти данные в РКН? Да, могут. Но передают ли? Пруфов про то, что эти сервисы будут сдавать в Роскомнадзор VPN пользователей, пока нет. Скорее, они будут не давать работать своим сервисом через VPN, просто отчитываясь перед РКН, что мы их тоже блокируем.
Вероятно, через какое-то время в России будут пытаться систематически и условно-автоматизированно блокировать конечные точки VPN. Вероятно, вендоры VPN-решений будут с этим бороться. Мы верим в них больше, чем в успех РКН.
3) Есть ли ответственность за использование VPN? Пока нет. Но тут проблема в другом — полностью заблокировать современный VPN-трафик практически невозможно, даже в условиях "белых списков", это классическая борьба брони и снаряда за огромную рыночную нишу. Можно блокировать оплату за VPN, но и здесь будут сложности.
Резюмируя: большое количество приложений как собирало, так и собирает информацию про VPN пользователей. Если вы параноите — возьмите айфон, настройте VPN на отдельные приложения, или просто купите второй телефон. Если нет — продолжайте пользоваться "как есть". Мы скорее верим, что блокировки разовьют рынок VPN-решений в России и в целом повысят техническую культуру в стране.
Тут в ТГ начали много писать (раз, два, и далее) о том, что приложения российских разработчиков следят за тем, установлен ли у пользователя VPN и отправляют инфу о вашем подключении на свои серверы. Правда ли это, и чем это все грозит? Разбираемся.
1) Да, это правда, но есть нюанс. Российские приложения, которые проверяют наличие VPN, делали это задолго до того, как Роскомнадзор даже начал бороться с Телеграммом. И делали в первую очередь для своих целей — обеспечение стабильной связи, борьба с мошенничеством, накрутками и прочими подобными историями. Поэтому проверялось наличие VPN у пользователя в рамках формирования его профиля. Это в том числе было нужно, чтобы человека с VPN не блокировать лишний раз, а всякие зарубежные атаки непонятных ребят отсекать по IPшникам.
То есть раньше это делалось не для того, чтобы эти VPN вычислять и что-то с ними делать, а наоборот, чтобы лишний раз не забанить своего же пользователя.
Сейчас есть требования Минцифры, которые ограничивают доступ к приложениям для пользователей с включенным VPN, но кажется, что это требование достаточно легко обходится пользователями. По крайней мере, пока.
И вот мы смотрим на опубликованную методику выявления VPN и есть стойкое ощущение, что выполнять ее будут "для галочки". То есть операторы скажут "мы супер, мы все заблокировали, теперь к нам не зайти через VPN" — и все. Возможно, будут другие требования, но позже. Решать за РКН задачи РКН без очень сильной мотивации вряд ли кто-то готов.
2) Могут ли они передавать эти данные в РКН? Да, могут. Но передают ли? Пруфов про то, что эти сервисы будут сдавать в Роскомнадзор VPN пользователей, пока нет. Скорее, они будут не давать работать своим сервисом через VPN, просто отчитываясь перед РКН, что мы их тоже блокируем.
Вероятно, через какое-то время в России будут пытаться систематически и условно-автоматизированно блокировать конечные точки VPN. Вероятно, вендоры VPN-решений будут с этим бороться. Мы верим в них больше, чем в успех РКН.
3) Есть ли ответственность за использование VPN? Пока нет. Но тут проблема в другом — полностью заблокировать современный VPN-трафик практически невозможно, даже в условиях "белых списков", это классическая борьба брони и снаряда за огромную рыночную нишу. Можно блокировать оплату за VPN, но и здесь будут сложности.
Резюмируя: большое количество приложений как собирало, так и собирает информацию про VPN пользователей. Если вы параноите — возьмите айфон, настройте VPN на отдельные приложения, или просто купите второй телефон. Если нет — продолжайте пользоваться "как есть". Мы скорее верим, что блокировки разовьют рынок VPN-решений в России и в целом повысят техническую культуру в стране.