Перегибы с блокировками VPN играют на руку нашим противникам

Ассоциация разработчиков программных продуктов (АРПП) «Отечественный софт», которую я, Наталья Касперская, возглавляю, направила вчера письмо премьер-министру Михаилу Мишустину и руководителю Администрации Президента Антону Вайно. Тема — политика блокировок VPN в России. Ассоциация хотела бы привлечь внимание государства к рискам и перегибам, связанным с блокировками VPN и предложить содействие профессионального сообщества для выработки наиболее эффективного и безопасного алгоритма действий.

Первопричины

Изначально государство поставило понятную и правильную цель — усилить контроль над информационным пространством и ограничить доступ к платформам с юрисдикцией в недружественных государствах, которые отказываются соблюдать российские законы, затем провело замедление YouTube и Telegram — это была реакция на враждебный и деструктивный контент, на нежелание владельцев платформ сотрудничать с регулятором.

Дальше ситуация пошла по нарастающей. Блокируемых ресурсов становилось все больше, а надежность блокировок — все ниже. Это привело к неудобствам для всех пользователей Рунета. Граждане России начали массово начали использовать VPN-сервисы для обхода ограничений. Тогда Минцифры решило блокировать сами VPN-сервисы и их протоколы. Это привело к целому каскаду проблем.

Проблемы блокировки VPN-сервисов

В приложении к письму мы подробно описали сложности (вплоть до невозможности) блокировки VPN-сервисов. Основные тезисы приведу ниже.

1. Невозможно гарантированно отличить «плохой» VPN-трафик от «хорошего». Системы глубокого анализа пакетов (DPI) просто не умеют этого делать.
2. Нельзя отделить корпоративные VPN от тех, что используются для обхода блокировок. Корпоративные VPN — это основа работы тысяч компаний, включая ИТ-сектор. Блокируя одно, мы неизбежно задеваем другое.
3. Блокировки популяризировали VPN. Раньше об этой технологии знали в основном специалисты. Сейчас — миллионы обычных и неквалифицированных пользователей. Они учатся находить способы обхода.
4. Ложные срабатывания. 14 апреля на несколько часов был заблокирован крупнейший репозиторий Linux — Debian. До этого — репозиторий Rust. Это не единичные сбои. Это системная проблема, которая ведет к авариям в работе российского сегмента интернета. От них страдают все — и бизнес, и разработчики ПО, и простые граждане.
5. Блокировки подстегивают наших противников. США и другие недружественные страны будут ускорять разработку изощренных технологий, противодействующих обходу блокировок. И вызывать еще больше ложных срабатываний российских систем ТСПУ (технических средств противодействия угрозам).
6. Блокировки не решают исходную задачу. VPN — не единственный способ обхода. Есть прокси, особые настройки оборудования и другие методы. Гоняться за каждым — бессмысленно.

Плохо еще и то, что принимаемые решения выглядят технически безграмотными. Это приводит к тому, что у нас начинают отваливаться незаблокированные сервисы — и российские, и, западные, в Интернете происходят постоянные системные сбои.

Ситуация усугубляется тем, что ИТ-отрасль и бизнес не получили от государства регуляторных документов, постановлений или указов, которые регламентировали бы подход к ограничениям VPN-сервисов. Существуют только отдельные распоряжения, которые кому-то где-то выдаются, а мы по косвенным признакам должны делать выводы.

Удар по ИТ-отрасли

Российские разработчики ПО используют компоненты open source (элементы ПО на базе открытого исходного кода). Почти 100% современного ПО в мире построено на нем. Подавляющая часть этого кода хранится на зарубежных ресурсах — в недружественных странах. Чтобы работать с ними, не показывая свой российский IP-адрес (ведь доступ могут просто отключить), наши разработчики используют VPN.

Кроме того, многие ИТ-компании нанимают разработчиков из-за границы или экспортируют свои продукты. Коммуникация с контрагентами за границей идет либо через запрещенные мессенджеры, либо через VPN. Ограничения усложняют и это.

Если в России окончательно запретят разработчикам переходить в зарубежный сегмент Интернета, тогда отечественная разработка откатится на десяток лет назад. Никакой цифровизации и никакого технологического прогресса не будет.

Реакция ИТ-сообщества

У нас в стране 1,2 миллиона программистов и ИТ-специалистов. Это сообщество, которое привыкло решать технические проблемы техническими же способами. Для них блокировки это технический вызов. На сотнях форумов сейчас обсуждают обходы блокировок. Государство в этой игре выиграть не может — компетенции российского ИТ-сообщества превосходят возможности любого ведомства.

Но это еще полбеды. Ограничения доступа и ухудшение условий работы подталкивают ценных специалистов к отъезду из страны. Осенью 2022 года мы уже потеряли десятки тысяч разработчиков. Часть с трудом удалось вернуть. Новая волна ограничений может спровоцировать очередной исход. А это уже не просто сбои в Интернете — это прямая угроза нашей технологической безопасности и суверенитету. Напомню, что отечественные разработчики востребованны и могут трудоустроиться в любой точке мира.

Что предлагает АРПП

Проблема блокировок в Интернете перестала быть чисто технической. Она стала политической — вызывает огромное недовольство и в ИТ-сообществе, и среди обычных людей. Это видно по соцопросам и рейтингам.

АРПП «Отечественный софт» — ассоциация российских разработчиков ПО, созданная в 2009 году. В нее входит более 300 ИТ-компаний. Организация развивает диалог между ИТ-сектором и государством, а также помогает продвигать российское ПО: участвует в разработке законов в сфере ИТ, добивается льгот для разработчиков, помогает компаниям подбирать эффективные российские решения на замену западным.

В этой ситуации АРПП не смогла остаться в стороне. То письмо, которое было направлено премьер-министру Михаилу Мишустину и руководителю Администрации Президента Антону Вайно, — результат экспертной аналитической работы.

Мы в ассоциации предлагаем:

• Признать текущую политику блокировок и технические методы ее реализации неудачными и пересмотреть их.
• Ослабить блокировки, чтобы люди и бизнес почувствовали разницу.
• В-третьих, создать совместный орган для выработки взвешенной политики блокировок — вместе с профессиональными специалистами ИТ-сообщества. ИТ-сообщество умеет бороться с вирусами, атаками, мошенниками, фишингом, спамом. Эти компетенции можно и нужно использовать. АРПП готова выделить лучших технических специалистов из разных компаний в такой консультационный и совещательный орган.
• Мы готовы продумать и предложить взвешенные меры по суверенизации российского информационного пространства без разрушения инфраструктуры Рунета

Блог Натальи Касперской