Jak działa blokada dostępu do stron rozpowszechniających zabronioną treść (teraz РКН sprawdza także wyszukiwarki)

Zanim przejdziemy do opisu systemu odpowiedzialnego za filtrowanie dostępu przez operatorów telekomunikacyjnych, warto zaznaczyć, że teraz Roskomnadzor zajmie się także kontrolą działania wyszukiwarek.

Na początku roku zatwierdzono zasady kontroli oraz listę działań mających na celu zapewnienie, że operatorzy wyszukiwarek przestrzegają wymogu zaprzestania wyświetlania informacji o zasobach internetowych, do których dostęp jest ograniczony na terytorium Federacji Rosyjskiej.

Odpowiednie rozporządzenie Roskomnadzoru z dnia 7 listopada 2017 roku nr 229 zostało zarejestrowane w Ministerstwie Sprawiedliwości Rosji.

Rozporządzenie zostało przyjęte w ramach realizacji postanowień artykułu 15.8 Federalnej ustawy z dnia 27.07.2006 nr 149-ФЗ „O informacji, technologiach informacyjnych i ochronie informacji”, która definiuje obowiązki dla właścicieli usług VPN, „anonimizatorów” i operatorów wyszukiwarek w zakresie ograniczania dostępu do informacji, której rozpowszechnianie w Rosji jest zabronione.

Działania kontrolne są przeprowadzane w miejscu, gdzie znajduje się organ kontrolny, bez współpracy z operatorami wyszukiwarek.

Przez system informacyjny rozumie się FGIS zasobów informacyjnych sieci telekomunikacyjnych, do których dostęp jest ograniczony.

Na zakończenie czynności sporządzany jest protokół, w którym wskazano między innymi informacje o oprogramowaniu używanym do ustalenia tych faktów, a także dane potwierdzające, że konkretna strona (strony) witryny w momencie kontroli znajdowała się w systemie informacyjnym przez ponad dobę.

Protokół jest przesyłany operatorowi wyszukiwarek za pośrednictwem systemu informacyjnego. W przypadku braku zgody z protokołem operator w ciągu trzech dni roboczych ma prawo przedłożyć swoje zastrzeżenia do Roskomnadzoru, który również rozpatruje zastrzeżenia w ciągu trzech dni roboczych. Po rozpatrzeniu zastrzeżeń przez operatora, kierownik organu kontrolnego lub jego zastępca podejmują decyzję o wszczęciu postępowania administracyjnego.

Jak obecnie działa system filtrowania dostępu dla operatorów telekomunikacyjnych

W Rosji obowiązuje szereg przepisów, które zobowiązują operatorów telekomunikacyjnych do filtrowania dostępu do stron, które rozpowszechniają zabronioną zawartość:

• Federalna Ustawa nr 126 „O łączności”, poprawka w art. 46 — o obowiązku operatora ograniczenia dostępu do informacji (FSEM).
• „Jednolity rejestr” — rozporządzenie rządu Federacji Rosyjskiej z dnia 26 października 2012 r. N 1101 „O jednolitym zautomatyzowanym systemie informacyjnym „Jednolity rejestr nazw domen, wskaźników stron internetowych w sieci informacyjno-telekomunikacyjnej „Internet” oraz adresów sieciowych umożliwiających identyfikację stron w sieci informacyjno-telekomunikacyjnej „Internet”, zawierających informacje, których rozpowszechnianie w Federacji Rosyjskiej jest zabronione”
• FZ 436 „O ochronie dzieci...”, kategoryzacja dostępnych informacji.
• FZ №3 „O policji”, artykuł 13, pkt 12 — o eliminacji przyczyn i warunków sprzyjających realizacji zagrożeń dla bezpieczeństwa obywateli i bezpieczeństwa publicznego.
• FZ №187 „O wprowadzeniu zmian do niektórych aktów prawnych Federacji Rosyjskiej w sprawie ochrony praw intelektualnych w sieciach informacyjno-telekomunikacyjnych” („ustawa antypiracka”).
• Wykonywanie decyzji instytucji sądowych i zaleceń organów prokuratury.
• Federalna ustawa z dnia 28.07.2012 r. N 139-FZ „O wprowadzeniu zmian do Federalnej Ustawy „O ochronie dzieci przed informacjami szkodliwymi dla ich zdrowia i rozwoju” oraz niektórymi aktami prawnymi Federacji Rosyjskiej”.
• Federalna ustawa z dnia 27 lipca 2006 r. № 149-FZ „O informacjach, technologiach informacyjnych i ochronie informacji”.

Wnioski z Roskomnadzoru dotyczące blokowania zawierają aktualizowaną listę wymagań dla dostawcy, każdy wpis z takiego wniosku zawiera:

• typ rejestru, zgodnie z którym prowadzone jest ograniczenie;
• moment, od którego powstaje konieczność ograniczenia dostępu;
• typ pilności reakcji (zwykła pilność – w ciągu doby, wysoka pilność – natychmiastowa reakcja);
• typ blokady wpisu rejestru (według adresu URL lub nazwy domeny);
• kod haszujący wpisu rejestru (zmienia się przy każdej zmianie treści wpisu);
• szczegóły decyzji o konieczności ograniczenia dostępu;
• jeden lub kilka wskaźników stron internetowych, dostęp do których powinien być ograniczony (nieobowiązkowo);
• jedna lub kilka nazw domen (nieobowiązkowo);
• jeden lub kilka adresów sieciowych (nieobowiązkowo);
• jedna lub kilka podsieci IP (nieobowiązkowo).

Aby skutecznie przekazywać informacje do operatorów, stworzono "System Informacyjny Interakcji Roskomnadzoru z operatorami telekomunikacyjnymi". Znajduje się on wraz z aktami prawnymi, instrukcjami i przypomnieniami dla operatorów na specjalistycznym portalu:

vigruzki.rkn.gov.ru

Z kolei, w celu weryfikacji operatorów telekomunikacyjnych, Roskomnadzor zaczął wydawać klienta AS "Rewizor". Poniżej trochę o funkcjonalności agenta.

Algorytm przeprowadzania weryfikacji dostępności każdego adresu URL przez Agenta. Podczas weryfikacji Agent powinien:

• określić adresy IP, na które zamienia się nazwa sieciowa sprawdzanej strony (domeny) lub użyć adresów IP podanych w wygenerowanej liście;
• dla każdego adresu IP uzyskanego z serwerów DNS wykonać żądanie HTTP dla sprawdzanego URL. W przypadku otrzymania od sprawdzanej strony przekierowania HTTP, Agent powinien sprawdzić URL, na który odbywa się przekierowanie. Obsługiwanych jest co najmniej 5 kolejnych przekierowań HTTP;
• w przypadku braku możliwości przeprowadzenia żądania HTTP (nie dochodzi do nawiązania połączenia TCP) Agent powinien wnioskować o blokadzie całego adresu IP;
• w przypadku pomyślnego żądania HTTP Agent powinien sprawdzić uzyskana odpowiedź sprawdzanej strony pod kątem kodu odpowiedzi HTTP, nagłówków HTTP, treści HTTP (pierwsze otrzymane dane o wielkości do 10 kB). W przypadku zgodności uzyskanej odpowiedzi z szablonami stron-wyjątków stworzonymi w CU powinien być wydany wniosek o blokadzie sprawdzanego URL;
• podczas przeprowadzania weryfikacji URL Agent powinien przeprowadzić kontrolę ustanowienia połączenia szyfrowanego i oznaczyć zasób;
• w przypadku braku zgodności danych uzyskanych przez Agenta z szablonami stron-wyjątków lub zaufanymi stronami przekierowania, informującymi o blokadzie zasobu, Agent powinien wnioskować o braku blokady URL na SPD operatora telekomunikacyjnego. W tym przypadku informacje o danych (odpowiedzi HTTP), otrzymane przez Agenta, są zapisywane w raporcie (pliku dziennika weryfikacji). Administrator systemu ma możliwość utworzenia z tej zapisanej informacji szablonu nowej strony-wyjątku, aby zapobiec przyszłym błędnym wnioskom o braku blokady.

Lista wymagań, jakie powinien spełniać Agent

• kontakt z CU w celu uzyskania pełnej listy URL i trybów blokady, które należy przetestować;
• kontakt z CU w celu uzyskania danych o trybach weryfikacji. Obsługiwane tryby: pełna jednorazowa weryfikacja, pełna okresowa z ustalonym interwałem, losowa jednorazowa z listą URL zdefiniowaną przez użytkownika, okresowa z ustalonym interwałem weryfikacja listy URL (określonego typu wpisów ER);
• kontynuacja wykonania określonych procedur sprawdzających na posiadanej liście URL, w przypadku braku możliwości otrzymania listy URL z CU, oraz przechowywanie uzyskanych wyników weryfikacji z późniejszym przekazaniem do CU;
• pełne wykonanie określonych procedur weryfikacji na dostępnych listach URL, w przypadku braku możliwości uzyskania informacji o trybach weryfikacji z CU, oraz przechowywanie uzyskanych wyników weryfikacji z późniejszym przekazaniem do CU;
• przeprowadzenie weryfikacji wyników blokady zgodnie z ustalonym trybem;
• wysyłanie do CU raportu o przeprowadzonej weryfikacji (plik dziennika weryfikacji);
• możliwość weryfikacji działania SPD operatora łączności, tzn. sprawdzenie dostępności listy z góry dostępnych stron;
• możliwość przeprowadzania weryfikacji wyników blokady z wykorzystaniem serwera proxy;
• możliwość zdalnej aktualizacji oprogramowania;
• możliwość przeprowadzenia diagnostyki na SPD (czas reakcji, ścieżka przejścia pakietów, prędkość pobierania plików z zewnętrznego źródła, określenie adresów IP dla nazw domen, wartość prędkości odbierania informacji w odwrotnym kanale komunikacyjnym w sieciach przewodowych, współczynnik utraty pakietów, średni czas opóźnienia przekazywania pakietów);
• wydajność weryfikacji nie mniej niż 10 URL na sekundę przy założeniu wystarczającej przepustowości kanału komunikacyjnego;
• możliwość wielokrotnego dostępu agenta do zasobu (do 20 razy), z zmienną częstotliwością od 1 razu na sekundę do 1 razu na minutę;
• możliwość tworzenia losowej kolejności wpisów listy, przekazywanej do testowania i nadania priorytetu konkretnej stronie w sieci «Internet».

W ogólnym ujęciu struktura wygląda tak:

Rozwiązania programowe i sprzętowe do filtrowania ruchu internetowego (rozwiązania DPI) pozwalają operatorom blokować ruch od użytkowników do stron z listy RKN. Klient AС Rewizor sprawdza, czy je blokują. W automatycznym trybie weryfikuje dostępność stron według listy RKN.

Przykład protokołu monitorowania dostępny pod tym linkiem.

W zeszłym roku Roskomnadzor rozpoczął testy rozwiązań do blokowania, które operatorzy mogą zastosować w celu realizacji tego schematu. Przytoczę cytat z wyników takich testów:

„Dobre opinie od Roskomnadzoru otrzymały specjalistyczne rozwiązania programowe 'UBIC', 'EcoFilter', 'SKAT DPI', 'Tiksencja-Blokada', 'SkyDNS Zapret ISP' oraz 'Carbon Reductor DPI'.

Otrzymano także opinię Roskomnadzoru potwierdzającą możliwość stosowania przez operatorów telekomunikacyjnych oprogramowania 'ZapretService' jako narzędzia do ograniczania dostępu do zablokowanych zasobów w internecie. Wyniki testów pokazały, że przy instalacji zgodnej z zalecaną przez producenta konfiguracją 'w rozwidleniu' oraz odpowiednim ustawieniu sieci operatora, liczba wykrytych naruszeń według Jednolitego rejestru zabronionej informacji nie przekracza 0,02%.

W ten sposób operatorzy telekomunikacyjni otrzymali możliwość wyboru najbardziej odpowiedniego rozwiązania do ograniczania dostępu do zablokowanych zasobów, w tym z listy produktów programowych, które otrzymały pozytywną opinię Roskomnadzoru.

Jednocześnie w trakcie testowania produktu programowego IdecoSelecta ISP z powodu długotrwałej procedury jego wdrożenia i konfiguracji niektórzy operatorzy nie mogli przystąpić do testów w wyznaczonym czasie. U ponad połowy operatorów telekomunikacyjnych biorących udział w testach okres eksploatacji próbnej Ideco Selecta ISP nie przekraczał tygodnia. Biorąc pod uwagę niewielką liczbę zebranych danych statystycznych i ograniczoną liczbę uczestników testów, Roskomnadzor w oficjalnej opinii wskazał na niemożność uzyskania jednoznacznych wniosków dotyczących efektywności produktu 'Ideco Selecta ISP' jako narzędzia ograniczającego dostęp do zablokowanych zasobów w internecie.

Dodam, że w testach każdego produktu programowego uczestniczyło do 27 operatorów telekomunikacyjnych o różnej liczbie abonentów z różnych federalnych okręgów Federacji Rosyjskiej.

Z oficjalnymi wnioskami dotyczącymi wyników testów można się zapoznać tutaj. W tych wnioskach praktycznie nie ma informacji technicznych. O produkcie „Ideco Selecta ISP” można poczytać, aby dowiedzieć się, jak nie należy postępować.

W tym roku testy będą kontynuowane, a według najnowszych informacji z Roskomnadzoru, jeden produkt został już podjęty, a kolejne 2 są w najbliższych planach.

Co jeśli blokada była wynikiem błędu?

Na zakończenie chciałbym przypomnieć, że Roskomnadzor „nie popełnia błędów”, co potwierdza Trybunał Konstytucyjny.

Postanowienie, które fakticznie zwalnia Roskomnadzor z odpowiedzialności za błędną blokadę stron, zostało przyjęte w ramach rozpatrywania skargi w TK przez dyrektora stowarzyszenia wydawców internetowych Władimira Charitonowa. W skardze mówił, że w grudniu 2012 roku Roskomnadzor omyłkowo zablokował jego bibliotekę internetową digital-books.ru. Jak wyjaśniał pan Charitonow, jego zasób znajdował się na tym samym adresie IP, co portal rastamantales(.)ru (obecnie rastamantales(.)com), który był pierwotnym obiektem blokady. Władimir Charitonow próbował zakwestionować decyzję Roskomnadzoru w drodze prawnej, jednak w czerwcu 2013 roku Sąd Rejonowy Taganrog uznał blokadę za legalną, a we wrześniu 2013 roku tę decyzję podtrzymał Sąd Miejski w Moskwie.

Z tego samego źródła:

W Roskomnadzorze „Ъ” zadeklarowali, że są usatysfakcjonowani decyzją TK. „Trybunał Konstytucyjny potwierdził, że Roskomnadzor wykonuje prawo. Jeśli operator nie ma technicznych możliwości ograniczenia dostępu do pojedynczej strony witryny, a nie do jej adresu sieciowego, to to odpowiedzialność operatora,” – powiedział „Ъ” rzecznik prasowy urzędów.

To pytanie jest również aktualne dla dostawców chmur i firm hostingowych, ponieważ podobne incydenty zdarzały się również im. W czerwcu 2016 roku w Rosji zablokowano chmurę Amazon S3, chociaż do rejestru na żądanie Federalnej Służby Podatkowej wpisała jedynie stronę poker roomu 888poker, znajdującą się na jej platformie. Zablokowanie całego zasobu było spowodowane tym, że Amazon S3 używa zabezpieczonego protokołu https, który nie pozwala na zablokowanie poszczególnych stron. Dopiero po tym, jak sam Amazon usunął stronę, do której rosyjskie władze miały zastrzeżenia, zasób został wykreślony z rejestru.

Źródło: habr.com