Что о вас узнает ФСБ, дело Baring идет к развязке и Федор Овчинников в «Русских норм!»

ФСБ может получить онлайн-доступ к данным крупнейших интернет-сервисов: какие возможности это даст спецслужбам и как может защититься пользователь

Самая неприятная новость недели для интернет-пользователей — ФСБ взялась за интернет-сервисы. Как выяснил The Bell, еще летом 2019 года спецслужба начала рассылать интернет-сервисам письма с требованием предоставить сотрудникам ФСБ круглосуточный доступ ко всем данным пользователей и ключи от их переписки. В числе адресатов могли быть и крупнейшие сервисы вроде «Яндекса» и Mail.Ru. Мы разобрались в том, какие новые возможности может получить ФСБ и есть ли у пользователя возможность защититься.

Что случилось

ФСБ начала реализовывать новые возможности, которые получила по «закону Яровой». Раньше оборудование, позволявшее чекистам перехватывать трафик, стояло только у операторов связи и интернет-провайдеров — а теперь его можно устанавливать в системах самих онлайн-сервисов, включенных в реестр организаторов распространения информации (ОРИ). Среди участников реестра — сервисы «Яндекса», Mail.Ru Group и «Сбербанк-онлайн», но нет Facebook, WhatsApp или Twitter.

До прошлого лета новые требования к участникам реестра ОРИ никто не выдвигал, говорят собеседники The Bell. Вся работа с ФСБ шла по официальному протоколу: через письменные запросы или по решению суда. Но теперь как минимум часть компаний из реестра ОРИ уже установили требуемое оборудование, уверены все опрошенные The Bell участники списка и их знакомые.

Что это дает ФСБ

Два основных требования ФСБ к онлайн-сервиcам — дать спецслужбе доступ к данным сайтов и выдать ключи шифрования трафика.

Первое означает подключение сервиса к установленному в ФСБ «пульту», к которому уже подключено, например, оборудование СОРМ, установленное у операторов связи. Интернет-сервисы должны установить оборудование и написать программы для стыковки своих дата-центров с этим пультом, объясняет основатель хостинг-провайдера Diphost, специалист по блокировкам в рунете Филипп Кулин. Сам пульт — это компьютер в отдельном закрытом кабинете в ФСБ, куда может попасть только сотрудник с определенным уровнем доступа и по внутреннему регламенту. Какому — никто не знает, в открытом доступе и в законах никаких отсылок к нему нет, объясняет Кулин.

С помощью пульта ФСБ получает все данные, которые ОРИ обязаны выдавать по закону: текстовые, аудио- и видеосообщения пользователей и всю информацию о них, которую они обязаны хранить полгода после публикации, — логин, ФИО, паспортные данные, адрес, список языков, которыми владеет пользователь, его круг общения, данные учетных записей в других сервисах, IP-адрес.

Сотрудник ФСБ с доступом к пульту может в любой момент выгрузить необходимые данные из любого сервиса, подключенного к инфраструктуре службы. «Раньше они получали данные от СОРМ операторов и провайдеров — большой поток мусора, который нельзя было расшифровать и который мог дать только цифровой след. Теперь ФСБ сможет получать уже отформатированные, детализированные данные», — объясняет Кулин.

Второе требование ФСБ — выдать ключи шифрования, причем как обычные, так и сессионные. Первые позволяют «прослушивать» трафик сайта, но не дают расшифровки действий пользователя. Сессионные ключи отвечают за шифровку каждого соединения пользователя с сервером компании и позволяют получить доступ ко всей переписке пользователей сервиса. Кулин отмечает, что из-за широкой трактовки законов в России спецслужбы могут не относить сообщения, расшифрованные с помощью ключей, к охраняемым конституционной тайной переписки: ключи — это так называемые неформатированные данные и в законах отдельно никак не прописаны.

Со всеми этими возможностями ничто не помешает ФСБ, например, расшифровать весь трафик сервиса, прогнать данные по нужным ключевым словам — и найти все упоминания. «Если отталкиваться от буквы закона, то такая возможность у ФСБ действительно появится. Вопрос в том, как это реализовать», — говорит замдиректора департамента аудита Digital Security Александр Романов. Скорее всего, сейчас ресурсов и способности это сделать у спецслужб нет, но сама возможность теперь существует, говорит Кулин.

Опасности и риски

Контролировать действия ФСБ сами сервисы никак не смогут: ОРИ и знать не будет, к каким именно данным спецслужбы будут получать доступ, говорит главный юрист организации «Роскомсвобода» Саркис Дарбинян. «Им все еще придется получать решение суда, но это формальность. К тому же если речь идет о “случаях, которые не терпят отлагательств”, то доступ можно получить и без ордера», — говорит он.

• Требования ФСБ добавляют сервисам «поверхность атаки»: увеличится число точек, которыми может воспользоваться злоумышленник, объясняет Романов из Digital Securities.
• Очевиден риск, что получившие доступ к данным сотрудники ФСБ могут их использовать в незаконных корыстных целях. Таких примеров много: экс-глава банковского отдела управления «К» Кирилл Черкалин вымогал взятки за крышевание банков, а замглавы Центра информационной безопасности (ЦИБ) ФСБ Сергей Михайлов получил 22 года за шпионаж.
• Часть сервисов будет просто неспособна выполнить требования ФСБ — у небольших компаний просто нет денег на оборудование, которое они должны  покупать за свой счет. Они могут закрыть свой бизнес.

Как защититься

Вопрос, как в этой ситуации защититься пользователю, очень провокационный: в контексте он звучит как «Как я могу защитить свои данные от ФСБ?», предупреждает Романов.

Но общие правила есть:

• не пользоваться мессенджерами и социальными сетями, в особенности включенными в реестр ОРИ;
• заходить на новостные ресурсы и блоги только через VPN;
• использовать браузеры, не отдающие метаданные, которые могли бы быть сопоставлены с вами.

Но золотое правило здесь все то же, говорит Романов: «Если вы не хотите, чтобы какая-либо информация о вас всплыла в интернете, то не выкладывайте ее в интернет».

ОБРАЗОВАНИЕ

Курс в Кремниевой долине от создателей The Bell и «Русских норм!»

Что, по-вашему, роднит топ-менеджеров Hewlett-Packard и Intel, президента Bank of America и основателя Gap? Они выпускники Школы бизнеса имени Уолтера Хааса, или просто Хаас, в университете Беркли. Будущая престижная бизнес-школа была создана как колледж коммерции в 1898 году. Сегодня это одно из лучших мест в мире, где можно получить МВА. Хаас входит в топ всех профильных рейтингов: в США она занимает №7 (по версии US News & World Report), №11 (QS Global MBA Report), №14 (Businessweek), а в мире №7 (The Economist), №11 (Financial Times). Команда The Bell и «Русских норм!» организует для вас интенсивный образовательный курс в легендарной Школе бизнеса, который пройдет с 29 марта по 9 апреля 2020 года. Количество мест ограничено.

https://innovationschool.ai/

ЭКСКЛЮЗИВ

Между санкциями и следствием

Покинувшие Россию после краха Промсвязьбанка в конце 2017 года его экс-владельцы братья Ананьевы оказались меж двух огней. На родине банкиры заочно арестованы по обвинению в растрате более $1 млрд денег банка. А теперь, как выяснил The Bell, американские юристы из фирмы бывшего окружного прокурора США Бада Камминса потребовали от американских регуляторов ввести против Ананьевых санкции. Камминс представляет интересы бывших VIP-клиентов Промсвязьбанка, которые утверждают, что Ананьевы похитили у них $170 млн и €60 млн, вложенные в кредитные ноты (CLN), выпущенные под личные гарантии братьев. Местонахождение младшего, Алексея, неизвестно, а старший, Дмитрий Ананьев, после краха банка переехал на Кипр и получил местное гражданство, но после того, как кипрские власти начали ревизию программы «золотых паспортов», может его потерять (представители Ананьева это отрицали).

Совпадение или нет, но уже на следующий день после публикации этой новости в британской The Guardian вышло интервью Дмитрия Ананьева, в котором он рассказал, как еще с конца 2015 года российские власти начали требовать от него передать Промсвязьбанк государству, чтобы перевести в него обслуживание оборонных предприятий — что в итоге и было сделано после перехода банка под санацию в 2017 году.

Дело Baring идет к развязке

В деле Baring Vostok — новый обнадеживающий поворот. Последние три фигуранта, остававшиеся в СИЗО, — россияне Иван Зюзин, Ваган Абгарян и Максим Владимиров — вышли под домашний арест. Более того, сразу два источника The Bell в окружении людей, ходатайствовавших о пересмотре дела Baring, с уверенностью сказали: это сигнал о том, что дело разрешится в ближайшие месяцы. Один из них даже назвал конкретные сроки и описал сценарий. По его версии, суд пройдет уже в мае 2020 года, фигуранты будут признаны виновными, но с небольшими или условными сроками, которые покроются их пребыванием в СИЗО и под домашним арестом. Подтвердить этот сценарий у других источников The Bell не удалось, но все они считают, что «лед тронулся».

ИНВЕСТИЦИИ

Выдающиеся стоимостные инвесторы

Как выбрать компанию и правильный момент для покупки или продажи ее акций? Как определить переоцененные и недооцененные бумаги? Как из них выбрать качественные? Как, наконец, собрать портфель, который обеспечит консервативный доход (а не систематическое нарушение сна)? На эти вопросы отвечает цикл статей, который для The Bell подготовила партнер Movchan’s Group, доцент Школы финансов факультета экономических наук НИУ ВШЭ Елена Чиркова. На этой неделе мы опубликовали его целиком.

«РУССКИЕ НОРМ!»

Федор Овчинников (Dodo Pizza)

Герой нового выпуска «Русских норм!» — один из самых харизматичных российских бизнесменов Федор Овчинников, предприниматель из Сыктывкара, основавший сеть «Додо Пицца» и за девять лет открывший 583 пиццерии в 13 странах мира, включая США, Китай и Нигерию. Елизавета Осетинская поговорила с ним о том, можно ли делать фастфуд качественным, одного ли вкуса пицца в Москве и Ейске и когда «Додо Пицца» появится в Италии. The Bell опубликовал самые интересные фрагменты интервью, полную версию смотрите на канале «Русские норм!».