Почему слив NYT о доступе ФСБ к Telegram, Signal и WhatsApp похож на ИПСО: объясняет украинский провайдер

New York Times опубликовал статью, в которой говорится, что у ФСБ россии есть инструменты, способные отслеживать трафик в мессенджерах Telegram, WhatsApp и Signal. Хотя в материале указывается, что россияне могут получить ограниченные данные и только на территориях, которые контролирует россия, среди жителей нашей страны начала расти тревога относительно возможности россиян вести "слежку" за украинцами.

Сооснователь украинского провайдера "Фрегат" Сергей Шишкин рассказал "Информатору", почему такие опасения не имеют под собой почвы и что на самом деле могут узнать из мессенджеров россияне, используя имеющиеся у них средства
Система СОРМ: Что она умеет и как устроена

Система СОРМ: Что она умеет и как устроена

В россии весь трафик от пользователей на уровне провайдера с начала 2000-х перехватывает система СОРМ (Система технических средств для обеспечения функций оперативно-розыскных мероприятий).

СОРМ работает по принципу видеорегистратора в автомобиле — собирает и хранит некоторое время информацию о том, что пользователь, находящийся в россии (то есть, пользующийся российским интернет-провайдером, где такая система установлена) отправляет и что получает через интернет.

Поскольку трафик в Telegram, Signal и WhatsАpp шифрованный, все, что остается спецслужбе — анализировать объем и количество пакетов, фактически, “угадывая” их содержимое. (Условно — это как если бы вы несли из супермаркета непрозрачные пакеты, и по их виду ваши соседи пытались бы догадаться что вы там себе купили)

"По количеству байтов они могут примерно судить, что это может быть. Если это текстовая переписка, то это маленькое количество байтов, если в течение минут идет более или менее равномерная загрузка в 15-40 килобит в секунду, значит люди общаются голосом. Если около 200 кбит/c, значит общение идет не только голосом, но и по видео. Если всплеск скорости — значит отправляется файл", — рассказывает Сергей Шишкин.

Но сам трафик шифруется достаточно надежными алгоритмам. То есть, если находящиеся в россии два пользователя общаются через защищенный мессенджер, спецслужба с помощью СОРМ может установить лишь факт связи между абонентами и типы передаваемых данных. Узнать о чем абоненты общались — уже невозможно.

Также в отдельных случаях (например, установлении p2p чата) российская спецслужба может установить, что данные отправлялись от российского абонента, к примеру, на некий украинский IP. Но кому именно из украинцев звонил россиянин — установить уже не получится, т.к. украинские провайдеры (как и любые другие провайдеры вне россии) СОРМ себе не устанавливали.

В декабре 2015 года Европейский суд по правам человека вынес определение по делу о российском законодательстве о СОРМ, постановив, что "положения законодательства российской федерации, регулирующие прослушивание связи, не содержат адекватных и эффективных гарантий против произвола и риска превышения полномочий, которые присущи любой системе скрытого наблюдения и особенно высоки в системе, где специальные службы и правоохранительные органы имеют прямой доступ с помощью технических средств к следовательно, это законодательство нарушает статью 8 Европейской конвенции по правам человека.

Почему в расследовании не упомянут Viber?

В материалах, которые оказались в распоряжении New York Times, упомянуты WhatsАpp, Signal и Telegram, но почему-то "забыт" один из самых популярных в русскоязычной среде мессенджеров - Viber. Хотя на него следовало бы обратить внимание в первую очередь, учитывая как его распространенность, так и неоднозначную историю. В частности:

• Принадлежащий американской Meta и находящийся в юрисдикции США мессенджер WhatsАpp не стал бы ни при каких условиях делиться секретами с российской спецслужбой, уверен Сергей. Это обеспечивает безопасность его использования на территории россии.

• Мессенджер Signal - с открытым кодом, а значит, в отсутствии средств слежки в нем есть возможность убедиться сторонним аудиторам.

• Основатель Telegram, как и операционный центр месседжера, находятся также вне юрисдикции россии - в ОАЭ. При этом Дуров имеет российское происхождение и сам этот факт должен настораживать - где гарантии, например, что на родственников Дурова, находящихся в россии не оказывают давления?

С Viber ситуация более щекотливая. Компания тщательно придерживается российских законов на протяжении всей своей истории. Приведем три биографических факта:

1. Офис технической разработки и поддержки пользователей находится в Минске и Бресте (Беларусь). Viber является резидентом Белорусского парка высоких технологий (Специальный налогово-правовой режим юрисдикции, действующий в Беларуси);
2. В 2015 году, согласно российскому закону "О персональных данных", (который требует, чтобы все персональные данные россиян хранились на территории рф), компания приняла решение перенести данные российских граждан (номера телефонов и никнеймы) на территорию рф;
3. В январе 2022 года Viber открыл представительство в россии в соответствии с законом о деятельности иностранных лиц в интернете на территории российской федерации, а также создал личный кабинет на сайте Роскомнадзора.

Конечно, явных доказательств того, что Viber сотрудничает с ФСБ — нет. (Но это и логично - если бы они были, мессенджер моментально потерял бы большую часть аудитории).

Тем не менее, если у определенной спецслужбы определенного государства есть возможность сотрудничать с одним мессенджером, и нет возможности следить за остальными, вполне ожидаемо, что это государство будет заинтересованно, чтобы пользователи находились именно в этом мессенджере.

Главный вывод для украинских и не только пользователей здесь очевидный — если вы не пользуетесь российским провайдером, слежка со стороны российских спецслужб вам может грозить только в том случае, если вы пользуетесь продуктом, чьи основатели слишком ценят российские законы и имеют там представительства.

Пока в этом был замечен только один мессенджер, о котором американской New York Times, по иронии судьбы, источники сообщить забыли.

“Что бы не писал Нью Йорк Таймс, переписка украинцев сама по себе как таковая, а возможно и с россиянами, через Telegram, Signal и WhatsАpp достаточно безопасная”, - говорит Сергей Шишкин.

Хотя, конечно, всегда следует относится к отправляемым вами данным в сеть как к таким, которые могут быть скомпрометированы. Ну и если вы вдруг общаетесь с россиянами, учитывайте, что с той стороны ваш собеседник - представитель страны, которая уже почти 500 дней с нами воюет.

Дополнительно, если вы должностное лицо или имеете отношение к ЗСУ, не следует использовать этот материал как исчерпывающую/частичную инструкцию или совет по безопасности, пользуйтесь вашими протоколами безопасности по передаче чувствительной информации через сеть.

Напомним, основатель компании Petcube Ярослав Ажнюк поделился деталями своей разговора с главой Главного управления разведки МО Украины Кириллом Будановым. По словам бизнесмена, разведчик подчеркнул, что мессенджер Viber "был создан для шпионажа".

Ранее Информатор писал, чтов НАТО запретили использование соцсети TikTok на служебных устройствах. Также мы писали о советах по поводу повышения уровня безопасности при пользовании популярными мессенджерами.