Kuidas toimib juurdepääsu blokeerimine keelatud sisu levitavatele lehekülgedele (nüüd kontrollib RKN ka otsingumootoreid)

Enne kui liigume edasi süsteemi kirjeldamise juurde, mis vastutab sideoperaatorite ligipääsu filtreerimise eest, tasub mainida, et nüüd hakkab Roskomnadzor haldama ka otsingumootorite tööd.

Aasta alguses kinnitati kontrollimisprotseduur ja loetelu meetmetest, mida peavad otsingumootorite operaatorid järgima, et lõpetada teabe edastamine internetiressurssidest, millele pääs on Venemaa Föderatsiooni territooriumil piiratud.

Asjakohane käsk Roskomnadzori poolt 7. novembril 2017 välja antud nr 229 on registreeritud Venemaa Justiitsministeeriumis.

Käsk on vastu võetud 27.07.2006. aasta föderaalse seaduse nr 149-ФЗ «Teabe, teabe tehnoloogiate ja teabe kaitse kohta» artikli 15.8 sätete elluviimise raames, mis määratleb kohustused VPN-teenuste, «anonüümsete» ja otsingumootorite operaatorite jaoks teabe ligipääsu piiramiseks,, mille levitamine Venemaal on keelatud.

Kontrollimeetmed viiakse läbi kontrolli organi asukohas ilma koostööta otsingumootorite operaatoritega.

Teabe süsteem tähendab Venemaa Föderatsiooni teabe-kõrgtehnoloogia (FGIS) süsteemi, millele pääs on piiratud.

Kontrollimise tulemuste põhjal koostatakse akt, milles märgitakse muu hulgas teave tarkvara kohta, mida kasutatakse nende faktide tuvastamiseks, samuti andmed, mis kinnitavad, et konkreetne leht (lehed) oli kontrollimise ajal teabe süsteemis rohkem kui kaks päeva.

Akt saadetakse otsingumootorite operaatorile teabe süsteemi kaudu. Juhul kui operaator ei ole aktiga nõus, on tal kolme tööpäeva jooksul õigus esitada oma vastuväited Roskomnadzorile, mis vaatab vastuväited läbi samuti kolme tööpäeva jooksul. Pärast operaatori vastuväidete läbivaatamist teeb kontrollorgani juht või tema asetäitja otsuse haldusõiguserikkumise juhtumi algatamise kohta.

Kuidas on nüüdside süsteemi filtreerimise süsteem sideoperaatorite jaoks üles seatud

Venemaal on kehtestatud mitmed seadused, mis kohustavad sideoperaatoreid filtreerima pääsu lehtedele, mis edastavad keelatud sisu:

• FZ 126 «Side» ja muudatus § 46 — operaatori kohustus piirata juurdepääsu teabele (ФСЭМ).
• „Ühtne register“ – Venemaa Föderatsiooni valitsuse 26. oktoobri 2012. aasta määrus nr 1101 „Ühtse automatiseeritud teabe süsteemi „Ühtne register domeeninimedest, veebilehtede viitest info- ja telekommunikatsioonivõrgus „Internet“ ja võrguaadressidest, mis võimaldavad tuvastada veebisaite info- ja telekommunikatsioonivõrgus „Internet“, mis sisaldab teavet, mille levitamine Venemaa Föderatsioonis on keelatud“
• FZ 436 „Laste kaitse kohta...“, kergendatud teabe kategooria.
• FZ nr 3 „Politseist“, artikkel 13, punkt 12 – kodanike ja üldise julgeoleku ohtude realiseerimise põhjuste ja tingimuste kõrvaldamine.
• FZ nr 187 „Muutuste tegemine eraldi seadusaktidesse Venemaa Föderatsiooni intellektuaalomandi õiguste kaitse küsimustes info- ja telekommunikatsioonivõrkudes“ („antipiraat seadus“).
• Kohtute otsuste täitmine ja prokuratuuri ettekirjutuste täitmine.
• Föderaalne seadus 28.07.2012 nr 139-FZ „Muutuste tegemine föderaalsesse seadusesse „Lastest kahjuliku teabe kaitsmine“ ja mõnesse muusse Venemaa Föderatsiooni seadusaktidesse“.
• Föderaalne seadus 27. juulist 2006 nr 149-FZ „Teabe, teabehnoloogia ja teabe kaitse kohta“.

Roskomnadzor'i blokeerimise taotlused sisaldavad värskendatud nõuete loetelu teenusepakkujale, iga sellise taotluse kande kohta on:

• registeri tüüp, mille alusel piirang kehtestatakse;
• aeg, millest alates on vajadus juurdepääsu piiramiseks;
• reaktsiooni kiiret suunda (tavaline kiire – ühe päeva jooksul, kõrge kiire – kohene reageerimine);
• blokeerimise tüüp registrikirje (URL või domeeninime järgi);
• registrikirje hash-kood (muutub igasuguste muudatuste korral kirjes);
• otsuse andmed juurdepääsu piiramiseks;
• üks või mitu veebilehe viidet, mille juurdepääs tuleks piirata (mitte kohustuslik);
• üks või mitu domeeninime (mitte kohustuslik);
• üks või mitu võrguaadressi (mitte kohustuslik);
• üks või mitu IP-alagruppi (mitte kohustuslik).

Tõhusate andmete edastamiseks operaatoritele loodi "Roskomnadzori ja sideoperaatorite koostöö teave süsteem". See asub koos regulatiivaktide, juhendite ja operaatorite jaoks mõeldud meelespeadega spetsialiseeritud portaali:

vigruzki.rkn.gov.ru

Oma poolt, et kontrollida sideoperaatoreid, hakkas Roskomnadzor väljastama kliendi AС «Revizor». Allpool on veidi teavet agendi funktsionaalsuse kohta.

Agendi poolt iga URL-i kättesaadavuse kontrollimise algoritm. Kontrollimise ajal peab agent:

• määrama IP-aadressid, millele analüüsitava saidi (domeeni) võrgunimi muudetakse, või kasutama IP aadresse, mis on esitatud väljavõttes;
• iga DNS-serveritest saadud IP-aadressi puhul peab agent tegema HTTP-päringu kontrollitavale URL-ile. Kui kontrollitav sait saadab HTTP ümbersuunamise, peab agent kontrollima URL-i, kuhu suunatakse. Toetatakse mitte vähem kui 5 järjestikust HTTP ümbersuunamist;
• kui HTTP-päringu tegemine on võimatu (TCP-ühenduse loomine ei toimi), peab agent järeldama, et IP-aadress on täielikult blokeeritud;
• kui HTTP-päring on edukas, peab agent kontrollima saadud vastust kontrollitava saidi kohta HTTP vastuse koodi, HTTP päiste ja HTTP sisu (esimesed saadud andmed suurusega kuni 10 KB) põhjal. Kui saadud vastus vastab keskkonnaaluste valmisvormingute шаблонitele, peab järeldama, et kontrollitav URL on blokeeritud;
• URL-i kontrollimise käigus peab agent kontrollima, kas on loodud krüpteeritud ühendus ja märgistama ressursi;
• kui saadud agendi andmed ei vasta шаблонitele, mis viitavad blokeeringutest teavitavate lehtede mustritele või usaldusväärsetele ümber suunamise lehtedele, peab agent järeldama, et URL-i pole blokkeeritud sideoperaatori süsteemides. Sel juhul salvestatakse agenti saadud andmed (HTTP vastus) aruandesse (kontrolli logifail). Süsteemi administraatoril on võimalus luua selle kirje põhjal uus muster blokeerimisse lehe loomiseks, et vältida hilisemaid vale järeldusi blokeeringu puudumise kohta.

Loetelu sellest, mida peab agent tagama

• ühendus TS-iga, et saada täielik URL-ide ja blokeerimisrežiimide nimekiri, mida tuleb testida;
• ühendus TS-iga, et saada teavet kontrollerežiimide kohta. Toetatud režiimid: täielik ühekordne kontroll, regulaarne täielik kontroll määratud ajavahemikuga, valimipõhine ühekordne kontroll kasutaja määratud URL-loendi alusel, regulaarne kontroll määratud ajavahemikuga URL-loendile (kindla tüübi ER kirjed);
• antud URL-nimekirja kontrollimise protseduuride jätkamine, juhul kui TS-ilt ei ole võimalik URL-nimekirja saada, ning saadud kontrolli tulemuste salvestamine edasise edastamise jaoks TS-ile;
• antud URL-nimekirja kontrollimise protseduuride täitmine, juhul kui TS-ilt ei ole võimalik saada teavet kontrollerežiimide kohta, ning saadud kontrolli tulemuste salvestamine edasise edastamise jaoks TS-ile;
• kontrollimise tulemuste teostamine vastavalt kehtestatud režiimile;
• kontrolli käigu aruande saatmine TS-ile (kontrollilogifail);
• võimalus kontrollida sideoperaatori SPC töökindlust, st kontrollida eelnevalt juurdepääsetavate saitide loendi kättesaadavust;
• võimalus teostada blokeerimise tulemuste kontrolli proksiserveri kasutamisega;
• võimalus kaugelt tarkvara uuendada;
• võimalus teostada diagnostilisi protseduure SPC-s (reaktsiooniaeg, pakettide liikumisteed, välisest allikast failide allalaadimise kiirus, IP-aadresside määramine domeeninimedele, teabe saamise kiirus tagasisidekanalis juhtmevõrkudes, pakettide kadumise määr, keskmine pakettide edastamise viivitus);
• kontrollimise efektiivsuse minimaalne määr on 10 URL-i sekundis, tingimusel et sidekanali ribalaius on piisav;
• võimalus agendil pöörduda ressursse mitu korda (kuni 20 korda), muutuvate intervallidega vahemikus 1 kord sekundis kuni 1 kord minutis;
• võimalus luua juhuslik nimekirja järjekord, mis edastatakse testimiseks ja määrata prioriteet konkreetsele veebilehe lehele internetis.

Üldiselt näeb struktuur välja nii:

Digitaalsed ja riistvara lahendused interneti liikluse filtreerimise (DPI-lahendused) jaoks võimaldavad teenusepakkujatel blokeerida kasutajate liikluse RKN-i nimekirjas olevate veebisaitide juurde. Kas nad blokeerivad neid või mitte, kontrollib klient AS Revizor. See kontrollib automaatse režiimi kaudu RKN-i nimekirjas olevate veebisaitide kättesaadavust.

Näide jälgimisse protokollist on saadaval linki pidi.

Eelmisel aastal alustas Roskomnadzor lahenduste testimist blokeerimise jaoks, mida operaator saab selle skeemi rakendamiseks kasutada. Toon näite selle testimise tulemustest:

„Positiivsed järeldused sai spetsialiseeritud tarkvaralahendustelt „UBIC”, „EcoFilter”, „SKAT DPI”, „Tiksen-Blokeering”, „SkyDNS Zakaz ISP” ja „Carbon Reductor DPI”.

Samuti on Roskomnadzorilt saadud kinnitusi, mis tõendavad, et sideoperaatorid saavad kasutada tarkvara „ZakazService” kui vahendit juurdepääsu piiramiseks keelatud ressurssidele internetis. Testimise tulemused näitasid, et seadistamisel tootja soovitatud ühendusskeemi järgi „katkestus” ja sideoperaatori võrgu õige seadistamise korral ei ületa tuvastatud rikkumiste arv Ühtses keelatud teabe registris 0,02%.

Seeläbi on sideoperaatoritele antud võimalus valida endale sobivaim lahendus keelatud ressurssidele juurdepääsu piiramiseks, sealhulgas RKN-ilt positiivse hinnangu saanud tarkvaratootete nimekirjast.

Samas ei suutnud IdecoSelecta ISP tarkvaratoote testimise käigus pikaldase levitamise ja seadistamise protseduuri tõttu mõned teenusepakkujad alustada teste ettenähtud ajavahemikus. Üle poole testi osalenud sideoperaatoritest ei saanud testida Ideco Selecta ISP-d kauem kui nädal. Arvestades saadud statistiliste andmete väikest mahtu ja testimise väikest osalejate arvu, märkis Roskomnadzor ametlikus järelduses, et ei ole võimalik teha üheselt mõistetavaid järeldusi toote „Ideco Selecta ISP” efektiivsuse kohta kui vahendi kohta, mis piirab juurdepääsu keelatud ressurssidele internetis.

Lisan iga, et iga tarkvaratoote testimises osales kuni 27 erinevat sideoperaatorit erineva abonentide arvuga, mis olid väljaspool Venemaa Föderatsiooni erinevates föderaalringkondades.

Testimise tulemuste ametlike järeldustega saab tutvuda siin. Nendes järeldustes on praktiliselt null tehnilist teavet. Tootest „Ideco Selecta ISP” võib lugeda, et teada, kuidas mitte teha.

Sel aastal testimine jätkub ja praeguste uudiste kohaselt Roskomnadzorist on juba üks toode võetud ja veel 2 on lähiajal plaanis.

Mis siis, kui blokeerimine toimus ekslikult?

Kokkuvõtteks tahaksin meenutada, et Roskomnadzor „ei eksita”, nagu kinnitab põhiseaduslik kohus.

Otsus, mis tegelikult vabastab Roskomnadzori vastutusest vigaste veebisaitide blokeerimise osas, muudeti läbi kaebuse vaatlemise raames põhiseaduslikus kohtus, mille esitas interneti kirjastajate assotsiatsiooni direktor Vladimir Kharitonov. Seal öeldi, et detsembris 2012. aastal blokeeris Roskomnadzor ekslikult tema internetiraamatukogu digital-books.ru. Nagu selgitas Kharitonov, oli tema ressurss samal IP-aadressil, mis kuulus portaalile rastamantales(.)ru (nüüd rastamantales(.)com), mis oli algne blokeerimise objekt. Vladimir Kharitonov proovis kohtulikult Roskomnadzori otsust vaidlustada, kuid juulis 2013 tunnustas Taganski rajoonikohus blokeerimist seaduslikuks ja septembris 2013 kinnitas Moskovas linnakohus sama otsuse.

Sealt:

Roskomnadzoris ütlesid „Ъ”, et nad on põhiseadusliku kohtu otsusega rahul. „Põhiseaduslik kohus kinnitas, et Roskomnadzor täidab seadust. Kui operaatoril pole tehnilisi võimalusi piirata juurdepääsu konkreetsele veebilehe lehele, mitte tema võrguadressile, siis on see operaatori vastutus,” ütles „Ъ” ametnik.

See küsimus on aktuaalne ka pilveteenuste pakkujate ja hostingufirmade jaoks, kuna sarnaseid juhtumeid on juhtunud ka nendega. Juunis 2016 blokeeriti Venemaal Amazon S3 pilveteenus, kuigi föderaalse maksuteenistuse nõudmisel lisati registrisse ainult leht pokkeritubade 888poker platvormil. Kogu ressursi blokeerimine oli seotud just sellega, et Amazon S3 kasutab kaitstud protokolli https, mis ei võimalda eraldi lehti blokeerida. Alles pärast seda, kui Amazon ise eemaldab vastuolulise lehe, mille osas Venemaa ametivõimud olid kaebusi esitanud, kõrvaldatakse ressurss registrist.

Allikas: habr.com