Pull to refresh

Comments 96

Ну mail.ru и иже с ними прогнутся, а буржуйские сопротивленцы типа gmail.com, которым это дело до лампочки, будут просто блочиться провайдером… Все будут пользоваться vpn да otr.
vpn будет блочится.
А как они будут отличать мой рабочий vpn от моего vpn-обходилки-запретов?
Или просто тупо запретят vpn на все адреса, а разрешать будут по специальной бумажке?
Будут по бумажке, а вы должны будете обосновать. Что странного?
Блочат же vpn в некоторых странах.
Ну да. В принципе и инетрет по паспорту могут сделать.
Строго говоря, он и так по паспорту же.
Нет, выход в интернет не по паспорту. Подключение наверное да.
По бумажке легальный, а через него — второй не очень легальный, не?
UFO just landed and posted this here
https уязвим для man-in-the-middle аттак.
Не верю. Каким образом?
UFO just landed and posted this here
Насколько я понимаю только в том случае если пользователь проигнорирует предупреждение о левом сертификате, либо же если у Человека-Посередине есть другой валидный сертификат ( например есть доступ к одному из Trusted Root и он может подписывать что хочет ).
Немного путаете «мягкое» и «теплое». Видимо, речь идет о том, чтобы все провайдеры автоматически контролировали перечисленные сервисы, а не сами компании-владельцы этих сервисов ставили у себя СОРМ. Некоторые (типа gmail.com) вообще нерезиденты и не могут иметь лицензий связи. СОРМ — это избирательный контроль. Или Вы думаете, установив оборудование СОРМ, оператор пишет и сканирует все данные? Это чисто технически невозможно. Да и другие цели-задачи у СОРМ.
Ненене, разумеется провайдеры, а не компании. Но провайдеры не смогут это сделать по отношению к допустим gmail, и чтобы соблюсти закон — заблочат. Ну а мэйлрушечки предоставят провайдерам особый доступ.
Почему не смогут? Они сидят на канале и могут слушать что угодно. Доступ к самому gmail даже не нужен
UFO just landed and posted this here
Впрочем, может быть много гигов белого шума тоже сойдет за «ну вот, мы же выполняем инструкции» :)
UFO just landed and posted this here
UFO just landed and posted this here
Ростелеком уже отрабатывает реализацию MitM на своих сетях. И для списка запрещенный сайтов уже внедрил ее. Так что никакой проблемы, кроме того что техподдержка будет объяснять пользователям, что поддельный сертификат — это норма, не будет.
Нет, я именно про MitM. Именно так называется атака на SSL, когда подменяется сертификат, что делает возможным чтение SSL трафика. В случае если доверенные центры сертификации адекватны, то они не будут давать провайдерам поддельные сертификаты для того-же gmail, но тогда никто не мешает провайдеру подсовывать не доверенный сертификат и через техподдержку объяснять клиентам, что это норма.

И первая часть, в виде левых сертификатов, в рунете уже успешно наблюдается, о чем кстати я писал в COMODO, чей сертификат использовали для других сайтов. COMODO обещали разобраться, легально ли это или это MitM, правда пока молчат…
Да, к сожалению вы правы… не знал о такой наглости ростелекомовцев. пруф
Где вы там нашли MiTM и подмену сертификата? По той ссылке открывается сайт ростелекома по IP ростелекома с сертификатом ростелекома. Ничего удивительного, что COMODO никак не реагирует.
Уважаемый, у вас урл в адресной строке поменялся? У меня нет. Значит я вижу по оригинальному урлу измененное сожержимое (после принятия фэйкового сертификата). И это мне совершенно не нравится. Если был бы редирект на сайт ростелекома — претензий нет.
Для этого урл — это и есть оригинальное содержимое.
Хотите нормальный пример — кавказ-центр, соединение на его ip 141.101.121.14-141.101.121.18 заворачивает на себя.
COMODO вообще-то отреагировали и один из их дополнительных вопросов был, что было в адресной строке и какой контент, если согласится с поддельным сертификатом. После уточнения пока молчат…

А по формальным признакам это самый настоящий MitM, так как адрес в адресной строке целевого сайта, а сертификат и контент поддельный.
На счет строго домена самиздата я не знаю что там должно быть, но такая ситуация наблюдалась, например, на заблокированных адресах wordpress.com.
У меня недавно было странное, читал какую-то статью на Хабре, и тут вылезло
такое чудо

Видимо, кто-то что-то вставил с левого сайта, и пошло обращение.Сразу неладное заподозрил и заскриншотил, а оно вон оказывается что… мнда.
Означает ли это, что без использования VPN нельзя будет установить безопасное SSL-соединение? Т.е. если я захочу почитать почту по https или защищенный IMAP, но увижу поддельный сертификат, то у меня только один вариант — не логиниться в почту, а соединение без MitM просто так установить не удастся, правильно я понимаю?
Правильно. Причем самое интересное, что MitM атака — это перенаправление трафика на подконтрольный атакующему узел, который выступает в виде «прокси» между тобой и ресурсом. И попутно пишет инфу которую ты отсылаешь/смотришь. Вопрос № 1 — почему нельзя сделать редирект от открытой vpn точки на подконтрольную провайдеру с провайдерского же оборудования? И вопрос № 2 — если вы решили обеспечить себе безопасность от «государственной слежки» и соединяетесь по VPN c узлом где-нибудь в Боливии, почему вы уверены, что этот узел не станет точно так же сохранять вашу регистрационную информацию в gmail? VPN совсем не панацея. TOR — надежнее, но он точно так же поддается перехвату трафика на exit node. И да, если уж быть совсем пессимистами, что мешает встроить функции кейлоггера в GuardMail.ru или в Яндекс-браузер?
Ну я думал над этим. Самый просто вариант — купить микро-сервер на том же Amazon Cloud. Поднять там свой впн-сервер. С двусторонней аутентификацией. Амазону я пока доверую больше, чем серверам в Эквадоре и Боливии :)
ну вот маякнули у меня все браузеры (кроме хрома).
захожу на https://youtube.com — и браузеры ругаются, что соединение подписано сертификатом, который выдан на этот самый ip-адрес, но от имени моего провайдера, CN=squid.mosnet.ru, O=MOSNET (Моснет, он же IMSYS)
и что мне делать?
менять провайдера?
жаловаться?
писать заявление ментам с требованием проверить, являются ли данные действия законными?
Вот интересно.

minsvyaz.ru/common/upload/Proekt_prikaza_o_pravilakh_ot_29.03.13.pdf

4.
Технические средства ОРМ обеспечивают:
4.1 Подключение к сети передачи данных с использованием не менее одного из интерфейсов, перечень которых приведен в приложении No 1 к Правилам.


4.10. Запись и остановку записи по команде с ПУ всех пакетов данных, поступающих на интерфейсы подключения к сети передачи данных, на внутреннее устройство записи в режиме кольцевого буфера размером, обеспечивающим хранение данных за период не менее 12-ти часов.


Перечень интерфейсов, используемых для доступа технических средств ОРМ к передаваемой в сети передачи данных информации
1. Интерфейсы с использованием контроля несущей и обнаружением коллизий:
оптические интерфейсы 10GBASE-S;
оптические интерфейсы 10GBASE-L;
оптические интерфейсы 10GBASE-E;
оптические интерфейсы 10GBASE-LX4;
электрические интерфейсы 10GBASE-CX4;


То есть коробочка СОРМ должна хранить полный дамп десятигигабитного потока за 12 часов?! 10Гбит/с*3600с/ч*12ч/8=54000 Гбайт!

Это как, простите??
не так. Прочитайте мой комментарий выше. Главная фраза в Ваших цитатах: «Запись и остановку записи по команде с ПУ». То есть запись идет только с пульта!
Исходя из приведенных формулировок, устройство СОРМ должно иметь возможность по команде с ПУ включить запись на внутреннее устройство, записывать на это внутреннее устройство до 12 часов траффика и по команде с ПУ прекратить запись.
UFO just landed and posted this here
Внутри там вроде бы более-менее типовой сниффер (а'ля tcpdump/tshark) с какими-то обвесами и удалённым управлением, никаких чудес. ОС — Linux или FreeBSD.

Конечно, данные девайсы не рассчитаны на перехват и запись всего потока данных (хотя если он небольшой, то, думаю, реально), только выборочно по заданным критериям.
где-то встречал заметку одних из многих производителей оборудования СОРМ, кажись ОМЕГА называется. да, внутри фрея и простой сниффер (все зависит от мощности) + консоль на пхп. все это сертифицировано по типу ОС МСВС( rhel 5 изувеченный НИИ ВЦ для вояк) и никогда не обновляемо. девайсы расчитаны на перехват всего трафика, для этого там стоят внушительные массивы, ибо 80% времени, как я понял, они переваривают инфу и готовят отчет по типу «абонент А звонил абоненту Б время, длительность», большего собственно не нужно. к слову это уликами все равно не считается, по закону.
к слову это уликами все равно не считается, по закону.

А это и не улики, это оперативная деятельность.
К примеру, узнали оперативники, что абонент А — член террористической ячейки, но мелкий. Начинают пасти его связи, чтобы выйти на рыбку покрупнее и т.д.
А вот когда кого-то из верхушки подцепят, тогда и слежка, и скрытая аудио/видео съемка, и внедрение агентов… и кто знает что ещё для сбора уже законных улик.
готовят отчет по типу «абонент А звонил абоненту Б время, длительность»

А смысл? Операторы/провайдеры и так обязаны хранить логи сессий года эдак 3 как минимум. Задача СОРМ здесь скорее уже в выцеплении определённого траффика, если есть конкретные наводки.
Сейчас всё ещё хуже. Операторы связи заворачивают трафик на специальные дата-центры. Пасут и отдельных людей и контрольные слова обрабатывают.
Такую же схему, но с меньшими затратами хотят реализовать для интернета. Посетил коммунистическую группу вконтактике или написал твит о болотной — на «прослушку», в рамках расследования…
Операторы связи заворачивают трафик на специальные дата-центры

Где почитать на тему?
Для начала можно посмотреть приказы минкомсвязи, связанные с СОРМ-2, например этот.
В приложении говорится:
3. Сеть передачи данных обеспечивает техническую возможность передачи на пункт
управления ОРМ следующей информации…

б) передаваемой в контролируемом соединении и (или) сообщении электросвязи, включая
информацию, связанную с обеспечением процесса оказания услуг связи в том виде и
последовательности, в которых такая информация поступала с пользовательского
(оконечного) оборудования или из присоединенной сети связи;

Краткий пересказ — обеспечить заворачивание трафика по учётке из radius/diametr.
Т.е. любой абонент может прослушиваться без ведома оператора с полным перехватом трафика. Формально требуется решение суда для, но нет технических возможностей это контролировать из-за «случайной» непродуманности СОРМ-2.

Из опыта товарищей — центр «Э» слушают не стесняясь и отслеживают передвижения (знакомые анархи растяжки вешали антибуржуазные и эшники их пасли, по идеологическим соображениям).

Тему про дата-центры сейчас не нашёл, году в 2008 были новости о строительстве в Питере пары таких.
Однин трехюнитовый сервер с 16 трехтерабайтниками.
Этаж сколько можно бабла распилить!
Ну, килобаксов 10 стоить будет такой сервер.
UFO just landed and posted this here
UFO just landed and posted this here
Не, новых винчестеров не надо. Написано же — кольцевой буфер. После заполнения можно записывать с начала.
Но всё равно дофига.
UFO just landed and posted this here
И какие нужны терабайтники, чтобы писать траффик с реальной скоростью 10 ГБит/с?
А это задача контроллера — распараллелить.
А снимать информацию медленно и уныло, отключив запись?
ИМХО всё равно маловато будет одного сервера на 10-гигабитный канал, каким бы ни был он мощным.
Зачем отключать? Снимать весь дамп вряд ли потребуется — зачем может понадобиться трафик вообще всех абонентов? Кусок с нужной частью дампа исключается на время из цикла и спокойно сливается. Можно и разделить, но не уверен, что будет дешевле и намного лучше.
Весь дамп не потребуется. Но вряд ли данные такого объёма можно за приемлемое время профильтровать без мало-мальски сносного индексирования. Это ещё прибавляет и загрузки, и необходимого пространства.
Индексировать по сессиям. Впрочем, навскидку сложно определить, насколько это прибавит работы.
Надо полагать, в этом раскладе серверу придётся ещё и запоминать каждую сессию, диагностировать аварийные разрывы соединений и т. п. Мне кажется, проще слить траффик за некоторый период по конкретному IP-адресу и (если надо) порту на другую машину и там уже спокойно его анализировать, не грузя записывающую технику и её каналы связи. Но тут действительно трудно сказать, насколько будет сложной работа по сессиям.
Если конечно будет 10 Гбит/с такого трафика…
Вниматильнее прочитайте тогда этот пункт:
4.4. Обработку всех пакетов данных, поступающих на интерфейсы
подключения технических средств ОРМ к сети передачи данных, с целью
записи в кольцевой буфер, отбора и передачи на ПУ информации,
относящейся к контролируемым соединениям и (или) сообщениям
электросвязи, в процессе установления соединений и (или) передачи
сообщений электросвязи, в соответствии с заданными с ПУ следующими
параметрами контроля:
а) постоянный IP-адрес (IPv.4; IPv.6);5
б) IP-адреса, определяемые по маске;
в) имя учетной записи пользователя, используемое для идентификации
пользователя услуг связи при доступе к сети передачи данных и
телематическим услугам связи, в том числе с использованием служебных
символов «*» и «?», где «*» – обозначает произвольную последовательность
символов, а «?» – обозначает один произвольный символ;
г) электронный почтовый адрес для всех почтовых сервисов с
применением протоколов SMTP, POP3, IMAP4, не использующих средства
защиты информации, включая криптографические;
д) электронный почтовый адрес сервисов Web-mail указанных в
приложении № 3 к Правилам, не использующих средства защиты
информации, включая криптографические;
е) телефонный номер пользователя (вызываемого и/или вызывающего);
ж) идентификатор абонентской телефонной линии, используемый для
идентификации пользователя услуг связи при доступе к сети передачи
данных и телематическим услугам связи;
з) идентификатор вызываемого и вызывающего пользователя услуг
связи по передаче данных для целей передачи голосовой информации;
и) международный идентификатор абонента сети подвижной связи
(IMSI);
к) международный идентификатор мобильного оборудования (IMEI);
л) уникальный идентификатор оборудования сетей передачи данных
(MAC-адрес);
м) идентификатор служб обмена сообщениями, указанных в
приложении № 3 к Правилам;
н) мобильный идентификационный номер мобильной абонентской
радиостанции (MIN).

Собственно СОРМ хранит не данные сессии, а информацию о сессии :)
Требование к кольцевому буферу относится всё-таки к сырому траффику.
Там ещё один пункт есть:
4.11. По команде с ПУ повторную обработку данных из кольцевого буфера в соответствии с пунктом 4.4. Скорость повторной обработки данных должна быть не менее скорости записи.
СОРМ работает по запросу из органов, мониторингом «всея и всех» не занимается. Есть запрос — записываем весь трафик абонента, или только следим за перемещениями.
Думается, что должна быть специальная обработка по произвольным условиям. Например, конкретное мыло/твиттер/группу соцсети «слушают» и весь трафик от посетителей к себе заворачивают для обработки, но уже на уровне провайдера абонента.
Если есть возможность на себя что-то завернуть, то СОРМ уже не такой тривиальный, как тупой сниффер, можно сделать.
Требования появились! Этож круто! Как я понимаю теперь не нужно покупать копеечный писюк у «аккрединтованных» контор за миллионы рублей. Можно купить и собрать самому :)
Ага, и сертифицировать его в Россвязи :)
… заплатив миллионы рублей :)
Уже сейчас на некоторых почтовых серверах под предлогом борьбы с вирусами запрещена пересылка запароленных архивов. Все идет к тому, что неконтролируемое правительством шифрование будет постепенно вытесняться вплоть до состояния, когда общество спокойно воспримет его законодательный запрет. То, чего так боялись в 90х, когда в Америке разрабатывались чипы Clipper.
это они ещё за IPv6 не брались, там вообще мрак полный! провайдеров ждут новые круги ада и спец. уровень с боссом.
Я могу ошибаться, но мне кажется, что слушать шифрованный трафик не имеет особого смысла. Gmail уже давно всем предлагает https соединение.

Хочу отметить очень интересную тенденцию в интернете: много крупных ресурсов переходят на https (некоторые даже поумолчанию), примеры:
* Google поиск (для авторизованных)
* ВКонтакте
* GitHub (возможно «не совсем в кассу»)
и другие…

Но все же! Постепенно крупные ресурсы переходят на защищенное соединение, которое слушать проблематично.

P.S: буду признателен, если знающие люди разъяснят обстановку «с прослушкой» https трафика
UFO just landed and posted this here
Википедия уже очень давно работает по https, просто пока они не включают его по умолчанию.

А вообще есть очень полезное расширение KB SSL Enforcer (Поищите в WebStore для хрома), для других браузеров есть аналоги. Если сайт поддерживает https, то расширение автоматически переключает вас на него.
Пользуюсь на Firefox HTTPS Everywhere + HTTPS Finder. Не самый удобный интерфейс («на этот сайт можно заходить через https! вы хотите всегда заходить через https?»), но работает.
Тут же начинает на сее радостно ругаться в таком случае браузер. Рядовой же пользователь, когда что-нить подобное увидит, то в страхе тут же окно закроет.
Практика показывает, что рядовой пользователь радостно нажимает на «всё равно принять сертификат»
китайский опыт показывает, что гитхаб более чем в «кассу»
Меня жутко интересует один вопрос — а денег на новые железки провайдерам Родина субсидирует или как раньше?
Что-то товарищи Вы путаете или может ситуация изменилась за последние 5-7 лет.
Оператор, которому ставят СОРМ не отвечает за ПО системы СОРМ, он только покупает сервер нужной конфигурации, выделяет порт на своем оборудовании для подключения этого сервера (с случае Cisco порт ставится в режим mirror и на него сливается все что идет через этот маршрутизатор, то есть порт выделяется на основном пограничном маршрутизаторе оператора связи) и делает канал до пункта контроля (то есть ФСБ). Далее дяденьки из подведомственной ФСБ компании, собственно разработчики ПО СОРМ ставят и настраивают его, понятно дело что за счет оператора связи. Но сотрудники самого оператора не имеют права трогать этот сервер!
А ПО кстате называется СОРМОВИЧ, называлось так лет 7 назад, не помню кто разработчик, какая то наша Российская контора.
ПО кстате называется СОРМОВИЧ

СОРМович — разработка нижегородского МФИ Софт. Но это не ПО, а всё-таки аппаратно-программный комплекс, при том далеко не единственный, просто наиболее известный.
И самое важное, это ПО может сниферить и дешифровать очень многое из проходящего трафика. Понятно дело оно не дешифрует openvpn трафик с крипто-стойкими ключами или еще что-то крипто-устойчивое, но аська, мыла и т.п. читаются на раз-два-три.
Как оно расшифровывает https? Если «мыла» читаются?
Требования появились… пффф…
Лучше бы наконец четко прописали, что СОРМ должна организовать ФСБ за свой счет. А провайдер лишь должен предоставить место.
Оно давно уже четко прописано
Статья 19. Финансовое обеспечение оперативно-розыскной деятельности

Обеспечение оперативно-розыскной деятельности, в том числе социальной и правовой защиты граждан, содействующих органам, осуществляющим оперативно-розыскную деятельность в соответствии с настоящим Федеральным законом, относится к расходным обязательствам Российской Федерации и осуществляется в порядке, устанавливаемом руководителями государственных органов, оперативные подразделения которых уполномочены осуществлять эту деятельность.

Только с примерами, когда провайдеры не покупали сорм за свой счет, я лично не знаком.
ну почему же… вот был у нас рассово-верный провайдер, за именем Спарк. Достаточно неплохой, к слову был, да одна проблема — он был больше локальной сетью с выходом в интернет, чем провайдером( хоть и пришел из белокаменной). Т.е имел огромное количество сервисов внутрисети, чего стоит только его трекер (удобней и местами больше рутрекера), но не суть… просуществовали они лет7, а провайдер может получить лицензию на предоставление услуг связи либо купив, либо пообещав купить(в течении 5 кажется лет) СОРМ у ФСБ. В общем ближе к делу: не купили — дорого, продались ТТК, у тех уже все есть. на качестве пока почти не отразилось, но количество прыжков до внешнего мира увеличилось…
Я из-под Тулы, я знаю, что такое Спарк. =) Вообще, насколько я помню, никаких там обещаний официально нету. В теории, пока план чекисты не подпишут, работать вы не сможете. Да, можно какое-то время просуществовать без своего сорма, договариваясь со своим куратором. У кого-то получается это делать десятки лет, лол. Но в последнее время наметилась явная тенденция к сворачиванию халявы.
нуу я работал на аутсорсинге в Спарке, серваками рулил в свое время, с чекистам все более проще чем кажется: им необходимо и достаточно 1) выделенный порт в магистральном свитче 2) выделенная комната (отгороженны плексигласом аквариум в серверной тоже пойдет), для установки оборудования СОРМ, главное чтобы техники не имели доступ к оному 3)выделенный канал(читаем порт) до ближайшего отделения ФСБ 4) бумажка-обещание купить свое оборудование. После выполнения этих мер появляется возможность получения лицензии =)
У меня во времена dial-up страницы быстрее открывало, чем через это i2p.
двойной (вход — в одном месте, выход — в другом) OpenVPN сервер — вполне достаточная защита
Не понял… требования в интересах СОРМ перехватывать трафик gmail, скажем, наткнутся на https. В результате провайдер, что, автоматом теряет лицензию?

Более того, СОРМ сам разбирал пакеты, для этого ему копию трафика и отдают — при чем тут список контролируемых сайтов? Не провайдер же будет делать анализ трафика?
в некоторых случаях вполне прокатит и SSL striping
Я так полагаю пора на facebook уходить! Надеюсь туда руки не дотянутся!
Очень спорно.
Попробуйте например из России открыть страничку Саакашвили: www.facebook.com/SaakashviliMikheil
Из других стран открывается.
Странно, выходит, мы имеем дело с внутренним фильтром Фейсбука?
Потому что например из Штатов, Израиля, и Украины открывается.
Из других стран не пробовал.
Sign up to leave a comment.

Articles