Wie die Sperrung des Zugangs zu Seiten funktioniert, die verbotene Inhalte verbreiten (jetzt überprüft auch der RKN Suchmaschinen)

Bevor wir zur Beschreibung des Systems übergehen, das für die Filterung des Zugangs durch Telekommunikationsbetreiber verantwortlich ist, sei darauf hingewiesen, dass Roskomnadzor nun auch die Kontrolle über die Arbeitsweise von Suchmaschinen übernimmt.

Zu Beginn des Jahres wurde die Regelung zur Kontrolle und die Liste der Maßnahmen zur Einhaltung der Anforderungen an Suchmaschinenbetreiber verabschiedet, die die Veröffentlichung von Informationen über Internetressourcen, auf die in der Russischen Föderation der Zugang eingeschränkt ist, einstellen müssen.

Die entsprechende Anordnung von Roskomnadzor vom 7. November 2017 Nr. 229 wurde im Ministerium für Justiz der Russischen Föderation registriert.

Die Anordnung wurde im Rahmen der Umsetzung der Bestimmungen von Artikel 15.8 des Bundesgesetzes vom 27.07.2006 Nr. 149-FZ „Über Informationen, Informations-technologien und den Schutz von Informationen“ erlassen, das die Pflichten für die Besitzer von VPN-Diensten, „Anonymisierern“ und Suchmaschinenbetreibern zur Einschränkung des Zugangs zu Informationen regelt, deren Verbreitung in Russland verboten ist.

Die Kontrolle wird am Standort des Kontrollorgans und ohne Zusammenarbeit mit den Suchmaschinenbetreibern durchgeführt.

Unter einem Informationssystem wird das FGIS der Informationsressourcen von informationstechnologischen Netzwerken verstanden, deren Zugang eingeschränkt ist.

Am Ende der Maßnahme wird ein Protokoll erstellt, in dem unter anderem Informationen über die Software, die zur Feststellung dieser Fakten verwendet wurde, sowie Daten, die bestätigen, dass die betreffende Seite(n) der Website zum Zeitpunkt der Kontrolle mehr als zwei Tage im Informationssystem war/en, enthalten sind.

Das Protokoll wird dem Suchmaschinenbetreiber über das Informationssystem zugesandt. Bei Uneinigkeit über das Protokoll hat der Betreiber innerhalb von drei Werktagen das Recht, seine Einwände bei Roskomnadzor vorzubringen, der die Einwände ebenfalls innerhalb von drei Werktagen prüft. Aufgrund der Prüfung der Einwände des Betreibers trifft der Leiter des Kontrollorgans oder sein Stellvertreter die Entscheidung über die Einleitung eines Verfahrens wegen einer Ordnungswidrigkeit.

Wie das System zur Filterung des Zugangs für Telekommunikationsbetreiber derzeit funktioniert

In Russland gelten eine Reihe von Gesetzen, die Telekommunikationsbetreiber dazu verpflichten, den Zugang zu Seiten, die verbotene Inhalte verbreiten, zu filtern:

• FZ 126 „Über die Kommunikation“, Änderung von Artikel 46 — über die Pflicht des Betreibers, den Zugang zu Informationen zu beschränken (FSEM).
• „Einheitliches Register“ – Verordnung der Regierung der Russischen Föderation vom 26. Oktober 2012, N 1101 „Über das einheitliche automatisierte Informationssystem „Einheitliches Register von Domainnamen, Seitenadressen von Websites im Informations- und Telekommunikationsnetz „Internet“ und Netzadressen, die es ermöglichen, Websites im Informations- und Telekommunikationsnetz „Internet“ zu identifizieren, die Informationen enthalten, deren Verbreitung in der Russischen Föderation verboten ist“
• FZ 436 „Über den Schutz von Kindern…“, Kategorisierung verfügbarer Informationen.
• FZ Nr. 3 „Über die Polizei“, Artikel 13, Punkt 12 – über die Beseitigung der Ursachen und Bedingungen, die die Umsetzung von Bedrohungen für die Sicherheit der Bürger und die öffentliche Sicherheit begünstigen.
• FZ Nr. 187 „Über Änderungen an bestimmten Gesetzen der Russischen Föderation bezüglich des Schutzes geistiger Rechte in Informations- und Telekommunikationsnetzen“ („Anti-Piraterie-Gesetz“).
• Durchführung der Entscheidungen der Gerichtsinstanzen und Anordnungen der Staatsanwaltschaft.
• Bundesgesetz vom 28.07.2012 N 139-FZ „Über Änderungen des Bundesgesetzes „Über den Schutz von Kindern vor Informationen, die ihrer Gesundheit und Entwicklung schaden“ und einzelner Gesetze der Russischen Föderation“.
• Bundesgesetz vom 27. Juli 2006 Nr. 149-FZ „Über Informationen, Informationstechnologien und den Schutz von Informationen“.

Anfragen von Roskomnadzor zur Blockierung enthalten eine aktualisierte Liste von Anforderungen an den Anbieter, jeder Eintrag aus einer solchen Anfrage enthält:

• Art des Registers, entsprechend dem die Einschränkung erfolgt;
• Zeitpunkt, ab dem die Notwendigkeit zur Einschränkung des Zugangs besteht;
• Dringlichkeitstyp (reguläre Dringlichkeit – innerhalb eines Tages, hohe Dringlichkeit – unverzügliche Reaktion);
• Art der Blockierung des Registereintrags (nach URL oder nach Domainnamen);
• Hash-Code des Registereintrags (ändert sich bei jeder Änderung des Inhalts);
• Details der Entscheidung zur Notwendigkeit der Zugangseinschränkung;
• ein oder mehrere Seitenadressen von Websites, auf die der Zugang eingeschränkt werden soll (nicht zwingend);
• ein oder mehrere Domainnamen (nicht zwingend);
• ein oder mehrere Netzadressen (nicht zwingend);
• ein oder mehrere IP-Subnetze (nicht zwingend).

Um Informationen effektiv an die Betreiber weiterzugeben, wurde das "Informationssystem zur Interaktion von Roskomnadzor mit Telekommunikationsanbietern" eingerichtet. Es ist zusammen mit den gesetzlichen Vorschriften, Anweisungen und Informationsblättern für die Betreiber auf einem spezialisierten Portal zu finden:

vigruzki.rkn.gov.ru

Von seiner Seite aus hat Roskomnadzor begonnen, den Kunden der AS "Revisor" zur Überprüfung der Telekommunikationsbetreiber auszugeben. Unten finden Sie einige Informationen zu den Funktionen des Agenten.

Algoritmus zur Überprüfung der Erreichbarkeit jeder URL durch den Agenten. Bei der Überprüfung muss der Agent:

• die IP-Adressen bestimmen, in die der Netzwerkname der überprüften Website (Domäne) umgewandelt wird, oder die bereitgestellten IP-Adressen verwenden aus den Exporten;
• für jede IP-Adresse, die von den DNS-Servern erhalten wurde, eine HTTP-Anfrage an die zu überprüfende URL senden. Im Falle einer HTTP-Weiterleitung von der überprüften Website muss der Agent die URL, zu der die Weiterleitung erfolgt, überprüfen. Es werden mindestens 5 aufeinanderfolgende HTTP-Weiterleitungen unterstützt;
• im Falle der Unmöglichkeit, eine HTTP-Anfrage durchzuführen (keine TCP-Verbindung wird hergestellt), muss der Agent den Schluss ziehen, dass die IP-Adresse vollständig blockiert ist;
• bei erfolgreicher HTTP-Anfrage muss der Agent die erhaltene Antwort der überprüften Website anhand des HTTP-Antwortcodes, der HTTP-Header, des HTTP-Inhalts (die ersten empfangenen Daten bis zu 10 kB) überprüfen. Bei Übereinstimmung der erhaltenen Antwort mit den im ZU erstellten Vorlagen für Stoppseiten muss der Schluss gezogen werden, dass die überprüfte URL blockiert ist.;
• Bei der Überprüfung der URL muss der Agent die Verschlüsselung des Verbindungsaufbaus überprüfen und die Ressource kennzeichnen;
• im Falle von Übereinstimmung der vom Agenten erhaltenen Daten mit den Vorlagen für Stoppseiten oder vertrauenswürdigen Weiterleitungsseiten, die über die Blockierung der Ressource informieren, muss der Agent den Schluss ziehen, dass die URL bei der SPD des Telekommunikationsanbieters nicht blockiert ist. In diesem Fall werden die Informationen über die Daten (HTTP-Antwort), die vom Agenten erhalten wurden, im Bericht (Prüfprotokolldatei) aufgezeichnet. Der Systemadministrator hat die Möglichkeit, aus diesem Eintrag eine Vorlage für eine neue Stoppseite zu erstellen, um künftige falsche Schlussfolgerungen über die Nichterkennung einer Blockierung zu verhindern.

Liste der Anforderungen an den Agenten

• Kontakt mit der Zentrale zur Erfassung einer vollständigen Liste von URLs und Blockierungsmodi, die getestet werden müssen;
• Kontakt mit der Zentrale zur Erfassung von Informationen über Prüfmodi. Unterstützte Modi: einmalige vollständige Prüfung, vollständige regelmäßige Prüfung mit festgelegtem Intervall, einmalige stichprobenartige Prüfung mit vom Benutzer vorgegebenen URL-Listen, regelmäßige Prüfung mit festgelegtem Intervall von URL-Listen (bestimmter Eintragstyp);
• Fortsetzung der Ausführung der festgelegten Prüfverfahren basierend auf der vorhandenen URL-Liste, falls die Beschaffung einer URL-Liste von der Zentrale nicht möglich ist, und Speicherung der erhaltenen Prüfergebnisse zur späteren Übertragung an die Zentrale;
• Vollständige Durchführung der festgelegten Prüfverfahren basierend auf den vorhandenen URL-Listen, falls keine Informationen über die Prüfmodi von der Zentrale abgerufen werden können, und Speicherung der erhaltenen Prüfergebnisse zur späteren Übertragung an die Zentrale;
• Durchführung der Prüfung der Blockierungsergebnisse gemäß dem festgelegten Modus;
• Übermittlung eines Berichts über die durchgeführte Prüfung an die Zentrale (Prüfprotokolldatei);
• Möglichkeit zur Überprüfung der Funktionsfähigkeit des SIP des Telekommunikationsanbieters, d.h. Überprüfung des Zugangs zu einer Liste von bekannt verfügbaren Websites;
• Möglichkeit zur Durchführung der Prüfung der Blockierungsergebnisse unter Verwendung eines Proxy-Servers;
• Möglichkeit zur Fernaktualisierung der Software;
• Möglichkeit zur Durchführung diagnostischer Verfahren am SIP (Antwortzeit, Paketdurchlaufweg, Downloadgeschwindigkeit von externen Ressourcen, Bestimmung von IP-Adressen für Domainnamen, Wert der Informationsgeschwindigkeit im Rückkanal bei kabelgebundenen Zugangsnetzen, Paketverlustrate, durchschnittliche Verzögerungszeit des Paketversands);
• Prüfleistung von mindestens 10 URLs pro Sekunde unter der Voraussetzung einer ausreichenden Bandbreite des Kommunikationskanals;
• Möglichkeit für wiederholte Anfragen des Agents an die Ressource (bis zu 20 Mal) mit variierender Frequenz von einmal pro Sekunde bis einmal pro Minute;
• Möglichkeit zur Erstellung einer zufälligen Reihenfolge der Einträge der Liste, die zur Prüfung übergeben wird, und Festlegung von Prioritäten für eine bestimmte Seite einer Website im Internet.

Allgemein sieht die Struktur so aus:

Software- und hardwarebasierte Lösungen zur Filterung von Internetverkehr (DPI-Lösungen) ermöglichen es Betreibern, den Datenverkehr von Nutzern zu Websites aus der Liste der RKN zu blockieren. Ob sie blockiert werden oder nicht, überprüft der Client AS Revisior. Er überprüft automatisiert die Erreichbarkeit der Website anhand der Liste der RKN.

Beispielprotokoll zur Überwachung verfügbar unter diesem Link.

Im letzten Jahr begann die Roskomnadsor mit Tests von Lösungen zur Blockierung, die Betreiber für die Umsetzung dieses Schemas verwenden können. Hier ein Zitat zu den Ergebnissen dieser Tests:

„Positive Gutachten erhielt die spezialisierte Software „UBIC“, „EcoFilter“, „СКАТ DPI“, „Тиксен-Блокировка“, „SkyDNS Zapret ISP“ und „Carbon Reductor DPI“.

Es wurde auch ein Gutachten des Roskomnadsor erhalten, das die Möglichkeit bestätigt, dass Telekommunikationsanbieter die Software „ZapretService“ als Mittel zur Einschränkung des Zugangs zu verbotenen Ressourcen im Internet nutzen können. Die Testergebnisse zeigten, dass bei der Installation gemäß dem vom Hersteller empfohlenen Anschluss „in der Unterbrechung“ und der richtigen Konfiguration des Netzwerks des Telekommunikationsanbieters die Anzahl der festgestellten Verstöße im Einheitlichen Register der verbotenen Informationen 0,02 % nicht übersteigt.

Damit haben die Telekommunikationsanbieter die Möglichkeit, die für sie am besten geeignete Lösung zur Einschränkung des Zugangs zu verbotenen Ressourcen zu wählen, einschließlich einer Liste von Softwareprodukten, die ein positives Gutachten des Roskomnadsor erhalten haben.

Gleichzeitig konnten einige Anbieter aufgrund des langen Verfahrens zur Bereitstellung und Konfiguration des Softwareprodukts IdecoSelecta ISP nicht rechtzeitig mit den Tests beginnen. Bei mehr als der Hälfte der Betreiber, die an den Tests teilnahmen, überschritt die Testlaufzeit von Ideco Selecta ISP nicht eine Woche. Angesichts des geringen Umfangs der gesammelten statistischen Daten und der geringen Teilnehmerzahl stellte der Roskomnadsor in seinem offiziellen Gutachten fest, dass es nicht möglich sei, eindeutige Schlüsse über die Effizienz des Produkts „Ideco Selecta ISP“ als Mittel zur Einschränkung des Zugangs zu verbotenen Ressourcen im Internet zu ziehen.

Ich ergänze, dass an den Tests jedes Softwareprodukts bis zu 27 Telekommunikationsanbieter mit unterschiedlicher Anzahl von Abonnenten aus verschiedenen föderalen Bezirken der Russischen Föderation teilnahmen.

Die offiziellen Schlussfolgerungen zu den Testergebnissen können eingesehen werden. hier. In diesen Schlüssen gibt es praktisch null technische Informationen. Über das Produkt „Ideco Selecta ISP“ kann man lesen, um zu wissen, wie man es nicht machen sollte.

In diesem Jahr werden die Tests fortgesetzt, und derzeit, judging by the news from Roskomnadzor, wurde bereits ein Produkt ausgewählt und zwei weitere sind in naher Zukunft geplant.

Was, wenn die Sperrung fälschlicherweise erfolgt ist?

Abschließend möchte ich daran erinnern, dass Roskomnadzor "nicht irrt", was der Verfassungsgerichtshof bestätigt.

Der Beschluss, der Roskomnadzor faktisch von der Verantwortung für fehlerhafte Sperrungen von Websites entbindet, wurde im Rahmen der Prüfung einer Beschwerde beim Verfassungsgericht gegen den Direktor des Verbands der Internetverleger, Vladimir Kharitonov, gefasst. In dieser Beschwerde wurde erwähnt, dass Roskomnadzor im Dezember 2012 fälschlicherweise seine Internetbibliothek digital-books.ru blockiert hat. Wie Herr Kharitonov erklärte, lag seine Ressource auf derselben IP-Adresse wie das Portal rastamantales(.)ru (jetzt rastamantales(.)com), das das ursprüngliche Objekt der Blockierung war. Vladimir Kharitonov versuchte, die Entscheidung von Roskomnadzor gerichtlich anzufechten, jedoch erkannte das Tagansky-Bezirksgericht im Juni 2013 die Sperrung als rechtmäßig an, und im September 2013 bestätigte das Moskauer Stadtgericht diese Entscheidung.

Ebenso:

Im Roskomnadzor erklärte „Ъ“, dass sie mit der Entscheidung des Verfassungsgerichts zufrieden sind. „Der Verfassungsgerichtshof hat bestätigt, dass Roskomnadzor das Gesetz einhält. Wenn der Betreiber keine technische Möglichkeit hat, den Zugang zu einer einzelnen Seite der Website und nicht zu deren Netzwerkadresse zu beschränken, liegt die Verantwortung beim Betreiber“, sagte der Pressesprecher des Ministeriums gegenüber „Ъ“.

Diese Frage ist auch für Cloud-Anbieter und Hosting-Unternehmen relevant, da ähnliche Vorfälle auch dort aufgetreten sind. Im Juni 2016 wurde in Russland der Cloud-Dienst Amazon S3 blockiert, obwohl nur die auf seiner Plattform befindliche Seite des Pokerraums 888poker auf Antrag des Föderalen Steuerdienstes in das Register eingetragen wurde. Die Blockierung des gesamten Dienstes war darauf zurückzuführen, dass Amazon S3 das sichere Protokoll https verwendet, das die Blockierung einzelner Seiten nicht erlaubt. Erst nachdem Amazon die Seite entfernt hatte, gegen die die russischen Behörden Einwände erhoben hatten, wurde der Dienst aus dem Register gestrichen.

Quelle: habr.com