Технические детали блокировок. Как сейчас организован механизм блокировок. Кто, что, где, когда и как. Почему он так организован. Почему РКН блокирует сетями. В чем проблема текущего механизма блокировок с технической точки зрения. В каком направлении надо двигаться с технической точки зрения в рамках минимальных изменений сегодняшней нормативной правовой базы. HighLoad++ 2018 http://www.highload.ru/moscow/2018/abstracts/4280

1. Технические аспекты
блокировки интернета в России.
Проблемы и перспективы
Филипп Кулин (Дремучий лес)
v1.0.4

2. ●
Сопутствующий ущерб
●
Волатильность нормативов и практик
●
Трудность диагностики
●
Непредсказуемость
●
Невозможность рассчитать риски
●
Неприемлемое время обратной связи
●
Безысходность
2
Сплошной клубок проблем

3. ●
Владельцы сайтов и сервисов
●
Пользователи сервисов
●
Хостеры и провайдеры
3
Группы риска

4. 4
Начнем, пожалуй

5. ●
Решение ФОИВ или суда о запрете
●
Внесение в реестр Роскомнадзором
●
Решение Роскомнадзора о блокировке, внесение в
«выгрузку»
●
Получение провайдером «выгрузки»
●
Осуществление провайдером ограничения
●
Проверка провайдеров
5
Как это работает

6. 6
Как выглядит схема фильтрации
ИнтернетСеть провайдера
пограничный
маршрутизатор
Фильтр
Абоненты
Абоненты
Абоненты
Устройство
проверки

7. ●
Фильтрованный трафик вышестоящего провайдера
●
Специальные комплексные коммерческие решения
●
Свободно распространяемые решения с открытым
исходным кодом
●
Свой «колхоз»
7
Чем фильтруют

8. 8
Фильтр в разрыв
пограничный
маршрутизатор
ФильтрАбоненты

9. 9
Работа на опережение
пограничный
маршрутизатор
Фильтр
Абоненты
зеркалирование
сплиттер

10. 10
Выборочная маршрутизация
пограничный
маршрутизатор
Фильтр
Абоненты
выборочный
трафик

11. Выборочная маршрутизация
+ Наборы IP-адресов для фильтрации агрегируются в
большую сторону
+ Комбинация с DNS-фильтром
11
Распространённая практика

12. 12
Разберем проблемы поэтапно

13. ●
Адресат уведомления не точен, уведомления
теряются
●
Открытой информации нет
●
Сроки взаимодействия не соблюдаются
●
Протоколы и тексты решений не предоставляются
13
Принятие решения о блокировке

14. ●
Сутки (и блокировка, и разблокировка)
– например, ночные обновления коммутаторов
●
Незамедлительно
– в течение часа по устной договорённости
14
Время применения «выгрузки»

15. Всегда: тип блокировки и реквизиты решения
●
URL(s) + домен + IP-адрес(а)
●
Домен + IP-адрес(а)
●
Домен с маской (*.example.com) + IP-адрес(а)
●
IP-адрес(а)
15
Что внутри «выгрузки»

16. 16
Статистика «выгрузки»
записей: 123 452
тип «по URL»: 47 027 (38.1%)
тип «по домену»: 67 807 (54.9%)
тип «по маске»: 6 400 (5.2%)
тип «по IP-адресу»: 2 218 (1.8%)
уникальных URL: 52 621
IP-адресов «по IP»: 44 443
блоков IP-адресов: 60
охвачено IP «по IP»: 3 678 864
размер в архиве: 7 MB
размер «выгрузки»: 40 MB
в день: ~ 70

17. ●
Избыточность
●
URL с фрагментами (#) и сессиями
●
Неправильные URL и домены
●
Актуальность IP-адресов
17
Токсичность «выгрузки»

18. 18
Актуальность «выгрузки»
IP-адреса в «выгрузке»
и в реальности:

19. Вся история реализации блокировок в
России – это история проверок
До реестра запрещенных сайтов существовал
список экстремистских материалов Минюста
и прокурорские проверки блокировок по
этому списку
19
Проверка блокировок

20. ●
Выездные проверки
●
АС «Ревизор»
20
Виды проверок

21. 21
Схема АС «Ревизор»
ИнтернетСеть провайдера
Фильтр
коробочка
«Ревизор»
Центр
Управления
АС «Ревизор»
задачи
результаты
DNS
провайдера

22. ●
СПЕКТР-2017, доклад Вэклича А.А. (ФГУП ГРЧЦ)
●
Это фильтр провайдера или ресурса?
●
Показатель блокировки для HTTPS, домена, IP-
адреса
●
Показатель блокировки для других протоколов
●
Как проверить домен по маске?
22
Проблемы проверки

23. 23
Методика работы АС «Ревизор»

24. ●
Экзистенциальный опыт
●
Эмпирический путь
●
Чатик в Телеграм
●
Норматив «способы и методы»
24
Что делать без методики

25. ●
по URL
– HTTP фильтр по заголовкам
– HTTPS фильтр как «домен»
●
по домену
– HTTP фильтр по заголовку Host
– HTTPS фильтр DNS или SNI или IP-адреса
– Остальное как «IP-адрес»
●
по домену с маской
– Как домен c учетом шаблона в домене
●
по IP-адресу и блоку IP-адресов
25
Методика работы с «выгрузкой»

26. Добросовестные участники интернета:
●
Нет умысла
●
Не нарушает законодательство
26
Проблемы фильтрации

27. ●
А причем тут DNS? Добросовестные участники
●
Перехватывать весь DNS трафик? SLA
●
Создавать свою систему подмены ответов?
●
DNSCrypt, DoT, DoH
27
Какой DNS? Почему DNS?

28. ●
HTTP/HTTPS сканировать всю полосу
●
Что делать с остальными протоколами?
●
А проверки всё равно нет
28
Что делать с доменами по маске

29. ●
Нет SNI
●
ESNI
●
QUIC, DNSCrypt, VPN, MTProto-proxy
29
Что делать если на порту 443...

30. ●
В нормативе нет, но «вы же понимаете»
●
Возможность выборочной фильтрации
30
Резолвинг домена

31. 31
Проблема фаз при проверке

32. 32
Проблема фаз при проверке

33. ●
Балансинг
●
Геотаргетинг
●
Миграция сервисов, в том числе и
умышленная
33
Этот непростой резолвинг

34. ●
У домена закончился срок регистрации, но он
остаётся в выгрузке
●
Новый владелец домена получает контроль над
частью «выгрузки»
●
Сейчас «протухших» доменов в «выгрузке» около
200, но мы не знаем, сколько уже купленных
34
«Протухшие» домены

35. 35
«DNS-атака» летом 2017

36. 36
Авария ТТК 14 марта 2018

37. 37
Послание на графике в мае 2018

38. 38
Кстати об авариях и сбоях

39. ●
Оборудование и программы фильтрации
не хотят ходить строем
●
Нагрузка и QoS
●
Motobratan.ru летом 2017
39
Проблемы обслуживания

40. ●
Не работает сервис «выгрузок»
●
Авария на каналах связи
●
Поломка фильтров
●
Профилактика фильтров
40
Регламент техобслуживания

41. 41
Фантазии

42. ●
Критерии включения
●
Система взаимодействия
●
В облаках – заявка на каждую виртуалку?
●
Бедный CI/CD
42
Белые списки

43. ●
Производительность
●
Хранение состояний
●
Сбои
43
Этот чудный и волшебный DPI

44. ●
Трудоёмкая задача
●
Не решает проблему фаз при проверке
●
Легче держать «выгрузку» актуальной
44
Единый DNS для резолвинга

45. Да. При помощи изменения нормативной
базы, волшебных DPI и пренебрегая
сопутствующим ущербом
45
Можно ли заблокировать
Telegram?

46. 46
Надеюсь мне удалось дать
общее представление о
технической составляющей
блокировок интернета в России

47. ВОПРОСЫ
Филипп Кулин
https://usher2.club
47