Минцифры разослало крупным российским онлайн-платформам методические рекомендации по выявлению VPN и передаче сведений о подозрительных подключениях в регулирующие органы. В документе ведомство само признало, что найти VPN на устройствах Apple практически невозможно — архитектура iOS этому серьёзно мешает. Платформы с большой аудиторией должны будут помогать ограничивать доступ к средствам обхода блокировок.
Документ оказался в распоряжении РБК. В нём поясняется, почему упор сделан на мобильные устройства — больше половины пользователей выходят в сеть через смартфоны, а около 80% программ для выявления обходных инструментов работают на Android и iOS. До Windows и macOS руки дойдут позже, отдельным этапом.
Проверка по методике выстроена последовательно. Сначала IP-адрес пользователя сверяется с российскими диапазонами и списком адресов, которые Роскомнадзор уже блокировал раньше. Следом подключается приложение самого сервиса — оно пробует определить, используется ли VPN. Третий уровень затрагивает пользователей десктопных операционных систем.
На практике схема работает так. Зашёл на платформу с включённым VPN — сервис блокирует доступ и отправляет подозрительный адрес регулятору. Поводом служат несовпадение региона, адреса из старых списков блокировок или слишком частая смена геолокации. Но всё это пока лишь основания — каждое из них требует дополнительной проверки на следующих этапах.
С Apple возникла отдельная проблема. Приложения на iOS изолированы друг от друга и не могут получать данные о работе других программ или системе в целом. Из-за этого анализировать сетевую активность на iPhone куда сложнее, чем на Android.
На Android картина принципиально другая. Там приложения способны получать информацию о текущем соединении и проверять, идёт ли трафик через VPN-туннель. Это даёт платформам гораздо больше инструментов для контроля.
В рекомендациях честно перечислены ситуации, в которых выявить VPN не получится. Если он настроен на уровне роутера, само устройство не несёт никаких следов его использования. То же касается виртуальных машин и контейнеров. Прокси с адресами обычных провайдеров внешне ничем не отличаются от обычного подключения.
Отдельная сложность — split tunneling, при котором только часть трафика уходит через VPN, а остальное идёт напрямую. Проверить один канал и сделать вывод в такой ситуации не выйдет. CDN-сети и крупные международные сервисы тоже создают трудности — они могут менять отображаемое местоположение без всякого VPN. Плюс ко всему новые инструменты обхода блокировок появляются быстрее, чем обновляются базы адресов.