Интернет под колпаком
Вчера в новостях промелькнуло сообщение о том, что "компетентные органы" хотят устроить в интернете тотальную слежку за людьми - https://news.mail.ru/politics/27185195 Сегодня я предлагаю рассмотреть эту инициативу с разных сторон - как с морально-этической, так и с технической.
И так, суть идеи в том, что надзорные органы хотят перехватывать весь трафик граждан в режиме реального времени и подвергать его проверке по методу ключевых слов (ну, скажем, при упоминании нескольких "запрещённых" слов из списка в течении некоторого времени, система фиксирует разговор и передаёт его запись "куда следует", собственно, в этой технологии мало что изменилось со времён прослушки телефонов в СССР). При этом официально заявляется, что делается всё это во благо, типа, для борьбы с терроризмом.
Но, как верно отмечают некоторые эксперты, если полный контроль над трафиком удастся реализовать, то возможности по слежке за населением страны будут просто безграничными, и, на основе таких данных, можно будет получить полное досье на любого человека. Вот мне видеться, что именно это и является основной задачей "компетентных структур", а основной целью станут не террористы, а патриоты радикального толка. Иными словами, система будет направлена на борьбу с внутренними угрозами.
Но здесь, прежде всего, возникает вопрос морально-этического характера, ведь подобный тотальный контроль за человеком явно нарушает неприкосновенность частной жизни. Одно дело, когда слежка идёт по решению суда за подозреваемым в преступлении, и совсем другое, когда "люди в погонах" смогут, без суда и следствия, собрать полное досье на любого пользователя рунета. Лично мне подобные расклады кажутся явным нарушением, но, к сожалению, эти нарушения не остановят спецслужбы, которые стремятся контролировать всё, что можно и нельзя. При том, замечу, что это не только российская беда, просто у нас вопрос стоит особенно остро, учитывая политический строй в стране.
Но возможность тотальной слежки со стороны "компетентных органов" - это только часть проблемы. Едва ли не более серьёзной угрозой видеться возможность попадание исчерпывающей информации о гражданах в руки злоумышленников. То, что это технически возможно, не вызывает сомнений, и недавняя история с кражей баз данных WADA - наглядное тому подтверждение.
Можно сколько угодно говорить о "непробиваемой" защите, но по факту, сегодня правоохранительные органы и их системы защиты данных явно проигрывают в борьбе с хакерами. Да, школьник может и не вскроет доступ, но для профессионала это не станет сложной задачей. Наглядный пример из недавней истории - когда Джулиан Ассанж скрылся от бретонской юрисдикции в посольстве Эквадора, англичане были готовы на беспрецедентный шаг - взять посольство штурмом. О чём они открыто заявили, фактически, поставив властям Эквадора ультиматум. И отказались они от своих намерений вовсе не из-за юридических пробоем - их становили хакеры! Известная хакерская группа Anonymous взломала ряд ключевых платёжных банковских и государственных систем, предупредив, что если посольство возьмут штурмом, то они обрушат мировую финансовую систему. Этого хватило, что бы англичане "поджали хвост". Про самого Ассанжа и WikiLeaks вообще молчу - один человек собрал команду специалистов, похитил и опубликовал в интернете огромное множество совершенно секретных государственных документов!
Так что сомневаться в том, что хакеры, без проблем могут получить доступ к личным данным граждан, не приходится. При том у большинства из них вовсе не такие благородные цели, как у Ananimus или Ассанжа. Подавляющее большинство хакеров будет стремиться получить выгоду, что ставит под угрозу, прежде всего, платежи в интернете. Сегодня оплата товаров и услуг в сети является очень популярной, а в ряде случае, например, при покупке авиабилетов, это просто самый удобный способ оплаты. Ну и электронные банковские кабинеты, вроде "Сбербанк онлайн", стали в последнее время очень популярны. И даже представить сложно, что будет, если к электронным платежам получат доступ сетевые воры...
Ещё один момент - это слежка за крупными бизнесменами. Потом, детективные агентства будут заинтересованы в получении доступа к базе данных. Добавим сюда тот факт, что мы живём в России, и здесь вовсе не обязательно быть хакером, что бы скопировать данные. Через "нужные связи" и за "небольшое вознаграждение" можно просто получить нужную информацию на флешке... При этом целью похищения данных, конечно, будут конкретные люди, но ради этой информации будут "вытаскивать" значительные куски базы.
Короче, если будет существовать база данных по активности пользователей в сети, то её появление в открытом доступе - только вопрос времени. Да, может и не во варианте real time, но с давностью год или два уж точно. Так, как сегодня в сети лежит полная база ГИБДД двухлетней давности.
Сколько будет проблем из-за этого, даже представить себе трудно, поскольку, думаю, каждому человеку есть, что скрывать, хотя бы на бытовом уровне...
Но тут возникает другой вопрос - а возможно ли это технически? Ведь, как я уже говорил выше, "компетентные органы" в сфере it находятся в положении догоняющих. Наглядным образом это доказывает ситуация с запрещёнными сайтами - "чёрный список" существует, но проблемой это может стать только для пользователей с почти нулевыми знаниями компьютера. Ибо если человек может просто установить плагин в браузер, то он может получить полный доступ к данным из сети. Это несколько лет назад надо было прописывать цепочки proxy, сегодня обход цензуры доведён до автоматизма и не требует от пользователя особых технических знаний.
А как обстоят дела со слежкой? Ведь предлагаемый набор технических средств, на первый взгляд, выглядит весьма серьёзной проблемой.
Но разберёмся детально. Начнём с того, что по оценкам it специалистов, объем трафика в интернете постоянно растёт. Рунет здесь не является исключением. Теперь, в свете этого, давайте вспомним основные претензии лидеров отрасли к "закону Яровой" - они состояли в том, что для обеспечения хранения трафика нужна серьёзная техническая модернизация, требующая больших вложений. И это только для хранения данных без какой-либо их обработки.
А теперь представьте себе, что данные надо не просто хранить - их надо проверять в режиме реального времени, при том, что часть данных зашифрована, а значит, нужна ещё и дешифровка real time. И это всё нужно делать для всех пользователей сети, а это и домашние компьютеры, и сотовые сети, и wi-fi... Короче, это не просто огромный, это чудовищный объём данных. И объём этот постоянно увеличивается. Я себе слабо представляю техническое решение, способное справиться с такой задачей. Как мне видеться, столь мощной вычислительной техники просто не существует, а даже если таковая будет создана (на деньги налогоплательщиков, заметьте), к тому моменту объём трафика ещё увеличится, и новая система всё равно с ним не справится.
Таким образом, я считаю, что о тотальной слежке наши власти только заявляют, на деле же слежка будет выборочной и под неё попадут далеко не все граждане. Но все будут думать, что за ними следят...
Впрочем, вероятнее всего, список тех, кто попадёт под слежку будет меняться со временем, в итоге, на длительном временном промежутке та или иная часть сетевой активности каждого человека станет достоянием "компетентных органов". Так что хотя аппаратные возможности действительно не позволяют следить за всеми, но проблему это не решает.
Теперь посмотрим, есть ли возможность у пользователей уйти из-под слежки.
Тут я бы разбил пользователей на две основные группы - тех, кто будет пытаться это сделать, и тех, кто посчитает, что его сетевая активность никому не нужна. Аналогично с тем, как сейчас обходят цензуру в сети - одни люди устанавливают системы обхода, а другим это просто не нужно, ибо им хватает того, что можно официально.
Вот те пользователи, которые проигнорируют опасность и не будут скрывать свои действия от слежки, находятся в зоне наибольшей опасности. И не со стороны "компетентных органов", ибо им как раз будут безразличны обсуждения котиков или лайки в соцсетях. К сожалению, эта группа пользователей рискует стать основной "клиентурой" хакеров, об опасности действий которых я уже писал выше.
А что с теми, кто не захочет быть под колпаком? Смогут ли они обойти систему? Если кратко, то скорее да, чем нет, но тут нужно разобраться глубже.
Если речь идёт о передачи информации между пользователями, то тут вообще без шансов для "компетентных органов". Если ключ дешифровки знают два человека по разные стороны сети, то сигнал не проходит промежуточную дешифровку, а без знания ключа шифра, перехватить его на лету просто невозможно.
При том, для доставки таких шифровок могут служить как специальные предложения, вроде Telegram или встроенной шифровки Blackberry, так и вполне общедоступные ресурсы, вроде почтовых сервисов. Разберём для примера метод, доступный пользователю без серьёзных технических знаний:
Скажем, у одного человека есть что-то секретное, что он должен передать эти данные другому через интернет. Все документы собираются в одну папку, которая архивируется при помощи win RAR или аналогичной программы, с добавлением пароля и шифрованием имён файлов. Далее у итогового архива меняется расширение, скажем, с rar на dll. После чего файл пересылается по обычной электронной почте, при этом можно ещё снабдить письмо подписью, вроде "это сохранения для Fallout". Всё, шансы проверить такой файл онлайн равны нулю.
Более того, если установить действительно сложный пароль, скажем, больше десяти символов, с использованием цифр, заглавных и обычных букв, то даже перехватив такой файл сломать его защиту будет очень непросто. На самом деле, нет технологии, способной вытащить пароль из файла, можно действовать только методом подбора. Сколько это займёт времени и какой мощности для этого нужен компьютер, можно посмотреть, введя в поисковике запрос на тему взлома wi-fi.
В ведь если пользователь продвинутый, то он может и вирус написать, который, при открытии файла и отсутствии на компе, скажем, другого файла с ключом, сотрёт все данные с заменой начала данный в каждом кластере. Всё, уничтоженные таким образом данные восстановить невозможно.
Так что касательно передачи данных от одного человека другому, при необходимости, из-под слежки можно легко уйти.
Сложнее, когда речь идёт об обращении пользователей к общедоступным ресурсам. Здесь и правда может сработать система поддельных сертификатов с промежуточной расшифровкой. Впрочем, политику сертификатов можно контролировать вручную. Плюс, думаю, что очень быстро появится ПО, способное отслеживать перехват трафика. Это только вопрос времени, с блокировками сайтов мы всё это уже проходили.
Ну и раз затронули тему развития систем защиты, то надо отметить, что, думаю, очень скоро после введения тотальной слежки, появятся системы, направляющие трафик по зашифрованному двустороннему каналу, с итоговым адресатом вне юрисдикции РФ, а оттуда уже будет осуществляться доступ к информации. И это только один из вариантов - как и в случаи с блокировкой сайтов, здесь надзорные органы будут бессильны...
Подводя итог, можно сказать, что слежка за пользователями будет, но те, кто захотят её обойти, смогут это без проблем сделать. В итоге контрольные органы не получат какого-либо преимущества как в борьбе с террористами и преступниками, так и в борьбе с революционно настроенными патриотами. Зато рядовые граждане потенциально могут очень серьёзно пострадать от попадания информации о них в третьи руки.
И так, суть идеи в том, что надзорные органы хотят перехватывать весь трафик граждан в режиме реального времени и подвергать его проверке по методу ключевых слов (ну, скажем, при упоминании нескольких "запрещённых" слов из списка в течении некоторого времени, система фиксирует разговор и передаёт его запись "куда следует", собственно, в этой технологии мало что изменилось со времён прослушки телефонов в СССР). При этом официально заявляется, что делается всё это во благо, типа, для борьбы с терроризмом.
Но, как верно отмечают некоторые эксперты, если полный контроль над трафиком удастся реализовать, то возможности по слежке за населением страны будут просто безграничными, и, на основе таких данных, можно будет получить полное досье на любого человека. Вот мне видеться, что именно это и является основной задачей "компетентных структур", а основной целью станут не террористы, а патриоты радикального толка. Иными словами, система будет направлена на борьбу с внутренними угрозами.
Но здесь, прежде всего, возникает вопрос морально-этического характера, ведь подобный тотальный контроль за человеком явно нарушает неприкосновенность частной жизни. Одно дело, когда слежка идёт по решению суда за подозреваемым в преступлении, и совсем другое, когда "люди в погонах" смогут, без суда и следствия, собрать полное досье на любого пользователя рунета. Лично мне подобные расклады кажутся явным нарушением, но, к сожалению, эти нарушения не остановят спецслужбы, которые стремятся контролировать всё, что можно и нельзя. При том, замечу, что это не только российская беда, просто у нас вопрос стоит особенно остро, учитывая политический строй в стране.
Но возможность тотальной слежки со стороны "компетентных органов" - это только часть проблемы. Едва ли не более серьёзной угрозой видеться возможность попадание исчерпывающей информации о гражданах в руки злоумышленников. То, что это технически возможно, не вызывает сомнений, и недавняя история с кражей баз данных WADA - наглядное тому подтверждение.
Можно сколько угодно говорить о "непробиваемой" защите, но по факту, сегодня правоохранительные органы и их системы защиты данных явно проигрывают в борьбе с хакерами. Да, школьник может и не вскроет доступ, но для профессионала это не станет сложной задачей. Наглядный пример из недавней истории - когда Джулиан Ассанж скрылся от бретонской юрисдикции в посольстве Эквадора, англичане были готовы на беспрецедентный шаг - взять посольство штурмом. О чём они открыто заявили, фактически, поставив властям Эквадора ультиматум. И отказались они от своих намерений вовсе не из-за юридических пробоем - их становили хакеры! Известная хакерская группа Anonymous взломала ряд ключевых платёжных банковских и государственных систем, предупредив, что если посольство возьмут штурмом, то они обрушат мировую финансовую систему. Этого хватило, что бы англичане "поджали хвост". Про самого Ассанжа и WikiLeaks вообще молчу - один человек собрал команду специалистов, похитил и опубликовал в интернете огромное множество совершенно секретных государственных документов!
Так что сомневаться в том, что хакеры, без проблем могут получить доступ к личным данным граждан, не приходится. При том у большинства из них вовсе не такие благородные цели, как у Ananimus или Ассанжа. Подавляющее большинство хакеров будет стремиться получить выгоду, что ставит под угрозу, прежде всего, платежи в интернете. Сегодня оплата товаров и услуг в сети является очень популярной, а в ряде случае, например, при покупке авиабилетов, это просто самый удобный способ оплаты. Ну и электронные банковские кабинеты, вроде "Сбербанк онлайн", стали в последнее время очень популярны. И даже представить сложно, что будет, если к электронным платежам получат доступ сетевые воры...
Ещё один момент - это слежка за крупными бизнесменами. Потом, детективные агентства будут заинтересованы в получении доступа к базе данных. Добавим сюда тот факт, что мы живём в России, и здесь вовсе не обязательно быть хакером, что бы скопировать данные. Через "нужные связи" и за "небольшое вознаграждение" можно просто получить нужную информацию на флешке... При этом целью похищения данных, конечно, будут конкретные люди, но ради этой информации будут "вытаскивать" значительные куски базы.
Короче, если будет существовать база данных по активности пользователей в сети, то её появление в открытом доступе - только вопрос времени. Да, может и не во варианте real time, но с давностью год или два уж точно. Так, как сегодня в сети лежит полная база ГИБДД двухлетней давности.
Сколько будет проблем из-за этого, даже представить себе трудно, поскольку, думаю, каждому человеку есть, что скрывать, хотя бы на бытовом уровне...
Но тут возникает другой вопрос - а возможно ли это технически? Ведь, как я уже говорил выше, "компетентные органы" в сфере it находятся в положении догоняющих. Наглядным образом это доказывает ситуация с запрещёнными сайтами - "чёрный список" существует, но проблемой это может стать только для пользователей с почти нулевыми знаниями компьютера. Ибо если человек может просто установить плагин в браузер, то он может получить полный доступ к данным из сети. Это несколько лет назад надо было прописывать цепочки proxy, сегодня обход цензуры доведён до автоматизма и не требует от пользователя особых технических знаний.
А как обстоят дела со слежкой? Ведь предлагаемый набор технических средств, на первый взгляд, выглядит весьма серьёзной проблемой.
Но разберёмся детально. Начнём с того, что по оценкам it специалистов, объем трафика в интернете постоянно растёт. Рунет здесь не является исключением. Теперь, в свете этого, давайте вспомним основные претензии лидеров отрасли к "закону Яровой" - они состояли в том, что для обеспечения хранения трафика нужна серьёзная техническая модернизация, требующая больших вложений. И это только для хранения данных без какой-либо их обработки.
А теперь представьте себе, что данные надо не просто хранить - их надо проверять в режиме реального времени, при том, что часть данных зашифрована, а значит, нужна ещё и дешифровка real time. И это всё нужно делать для всех пользователей сети, а это и домашние компьютеры, и сотовые сети, и wi-fi... Короче, это не просто огромный, это чудовищный объём данных. И объём этот постоянно увеличивается. Я себе слабо представляю техническое решение, способное справиться с такой задачей. Как мне видеться, столь мощной вычислительной техники просто не существует, а даже если таковая будет создана (на деньги налогоплательщиков, заметьте), к тому моменту объём трафика ещё увеличится, и новая система всё равно с ним не справится.
Таким образом, я считаю, что о тотальной слежке наши власти только заявляют, на деле же слежка будет выборочной и под неё попадут далеко не все граждане. Но все будут думать, что за ними следят...
Впрочем, вероятнее всего, список тех, кто попадёт под слежку будет меняться со временем, в итоге, на длительном временном промежутке та или иная часть сетевой активности каждого человека станет достоянием "компетентных органов". Так что хотя аппаратные возможности действительно не позволяют следить за всеми, но проблему это не решает.
Теперь посмотрим, есть ли возможность у пользователей уйти из-под слежки.
Тут я бы разбил пользователей на две основные группы - тех, кто будет пытаться это сделать, и тех, кто посчитает, что его сетевая активность никому не нужна. Аналогично с тем, как сейчас обходят цензуру в сети - одни люди устанавливают системы обхода, а другим это просто не нужно, ибо им хватает того, что можно официально.
Вот те пользователи, которые проигнорируют опасность и не будут скрывать свои действия от слежки, находятся в зоне наибольшей опасности. И не со стороны "компетентных органов", ибо им как раз будут безразличны обсуждения котиков или лайки в соцсетях. К сожалению, эта группа пользователей рискует стать основной "клиентурой" хакеров, об опасности действий которых я уже писал выше.
А что с теми, кто не захочет быть под колпаком? Смогут ли они обойти систему? Если кратко, то скорее да, чем нет, но тут нужно разобраться глубже.
Если речь идёт о передачи информации между пользователями, то тут вообще без шансов для "компетентных органов". Если ключ дешифровки знают два человека по разные стороны сети, то сигнал не проходит промежуточную дешифровку, а без знания ключа шифра, перехватить его на лету просто невозможно.
При том, для доставки таких шифровок могут служить как специальные предложения, вроде Telegram или встроенной шифровки Blackberry, так и вполне общедоступные ресурсы, вроде почтовых сервисов. Разберём для примера метод, доступный пользователю без серьёзных технических знаний:
Скажем, у одного человека есть что-то секретное, что он должен передать эти данные другому через интернет. Все документы собираются в одну папку, которая архивируется при помощи win RAR или аналогичной программы, с добавлением пароля и шифрованием имён файлов. Далее у итогового архива меняется расширение, скажем, с rar на dll. После чего файл пересылается по обычной электронной почте, при этом можно ещё снабдить письмо подписью, вроде "это сохранения для Fallout". Всё, шансы проверить такой файл онлайн равны нулю.
Более того, если установить действительно сложный пароль, скажем, больше десяти символов, с использованием цифр, заглавных и обычных букв, то даже перехватив такой файл сломать его защиту будет очень непросто. На самом деле, нет технологии, способной вытащить пароль из файла, можно действовать только методом подбора. Сколько это займёт времени и какой мощности для этого нужен компьютер, можно посмотреть, введя в поисковике запрос на тему взлома wi-fi.
В ведь если пользователь продвинутый, то он может и вирус написать, который, при открытии файла и отсутствии на компе, скажем, другого файла с ключом, сотрёт все данные с заменой начала данный в каждом кластере. Всё, уничтоженные таким образом данные восстановить невозможно.
Так что касательно передачи данных от одного человека другому, при необходимости, из-под слежки можно легко уйти.
Сложнее, когда речь идёт об обращении пользователей к общедоступным ресурсам. Здесь и правда может сработать система поддельных сертификатов с промежуточной расшифровкой. Впрочем, политику сертификатов можно контролировать вручную. Плюс, думаю, что очень быстро появится ПО, способное отслеживать перехват трафика. Это только вопрос времени, с блокировками сайтов мы всё это уже проходили.
Ну и раз затронули тему развития систем защиты, то надо отметить, что, думаю, очень скоро после введения тотальной слежки, появятся системы, направляющие трафик по зашифрованному двустороннему каналу, с итоговым адресатом вне юрисдикции РФ, а оттуда уже будет осуществляться доступ к информации. И это только один из вариантов - как и в случаи с блокировкой сайтов, здесь надзорные органы будут бессильны...
Подводя итог, можно сказать, что слежка за пользователями будет, но те, кто захотят её обойти, смогут это без проблем сделать. В итоге контрольные органы не получат какого-либо преимущества как в борьбе с террористами и преступниками, так и в борьбе с революционно настроенными патриотами. Зато рядовые граждане потенциально могут очень серьёзно пострадать от попадания информации о них в третьи руки.