Провайдер не читает переписку — ему и не нужно

В ролике — как DNS и DPI складываются в твой профиль без единого прочитанного сообщения. А вот что не влезло: даже при обычном HTTPS провайдер видит SNI — имя сайта, которое передаётся открытым текстом в первом пакете соединения, если не включено шифрование SNI (ECH).

Шифрование скрывает, что ты сказал. Метаданные всё равно рассказывают, с кем и когда ты говорил

Смотри до конца — и пиши в комментах, знал ли ты про это.

DPI — то, что видит провайдер, даже если не читает твои сообщения

Расшифровывается как Deep Packet Inspection — глубокий анализ пакетов. Звучит пугающе, но по факту это обычное сетевое оборудование, которое стоит у каждого крупного провайдера.

DPI не взламывает шифрование — это физически невозможно без ключа. Зато он отлично читает то, что шифрование не скрывает:

— размер и частоту пакетов (по этому паттерну легко отличить видео от файла, а файл от голосового звонка)
— тайминг соединения (когда начал, сколько длилось)
— адрес сервера, к которому ты подключаешься, если он передаётся в открытом виде на старте соединения

Из этих трёх вещей DPI собирает не содержание, а форму твоего поведения — и этого обычно достаточно

Пример: провайдеру не нужно знать, что именно ты смотришь на YouTube. Достаточно паттерна «долгое соединение, стабильный поток данных, характерный размер пакетов» — и он уже понимает: это видео, и может его придержать в часы пик.

Что сделать:
— включить DoH или DoT (шифрование самих DNS-запросов) в настройках браузера или системы
— проверить, не течёт ли SNI — имя сайта в первом пакете HTTPS-соединения
— если хочется, чтобы провайдер видел только «зашифрованный поток» без деталей — заворачивать трафик в VPN

Ни один из этих шагов не про паранойю. Это просто гигиена, как обновлять пароли.

Ты платишь провайдеру. Провайдер отчитывается не тебе.

В вечернем ролике — кто на самом деле клиент провайдера. Спойлер: не ты. У оператора есть лицензия, и в ней — обязанность сотрудничать с тем, кто её выдал. В законе это называется сухо: технические условия работы сети. Никакого заговора — обычный пункт договора, который никто не читает.

Провайдер ставит оборудование для фильтрации не потому, что хочет. А потому, что иначе лицензию отберут.

Поэтому когда скорость к сервису вдруг «сама» падает — это не авария. Это исполнение.

Меняли провайдера из-за блокировок? Да или нет — ответьте в комментах.

Тебе не обязательно быть параноиком, чтобы это работало против тебя

Метаданные — это не только тема провайдеров. Вся рекламная индустрия десятилетиями строит профили именно так: без единого прочитанного слова. Просто время активности, длительность сессий, частота открытия одних и тех же сервисов — и готов портрет человека, который встаёт в семь, работает до вечера и смотрит сериалы по выходным.

Разница только в том, кто именно собирает эту сводку — рекламная платформа или инфраструктура, через которую идёт весь твой трафик.

Содержание разговора часто менее ценно, чем его форма — время, длительность, частота

А как думаешь: если бы тебе показали сводку твоего типичного дня, собранную только по метаданным — сколько бы там было точных пунктов?

Бонус, которого нет в ролике: даже на мобильном интернете, без Wi-Fi, оператор всё равно ведёт журнал DNS-запросов на своей стороне — не в твоём браузере. Стереть это через инкогнито физически невозможно: данные и так не у тебя, а у сети.

Именно поэтому в ролике я развожу «спрятать от соседа» и «спрятать от сети» — это два разных слоя, и путают их почти все.

Приватный режим — про историю на экране. VPN — про то, что видно снаружи.

Часть 2 — завтра в 18:30.

Вопрос от подписчика: «Если открыть VPN-бот в инкогнито, провайдер вообще ничего не увидит?»

Хороший вопрос, и в нём — главная путаница про приватный режим.

Разберём по шагам, что реально делает инкогнито:
— чистит историю просмотров на этом устройстве после закрытия окна;
— не сохраняет куки и данные форм;
— не запоминает, что ты вводил в поиске.

И всё. Это локальная функция браузера. Она работает только на твоём компьютере или телефоне — для человека, который сядет за это же устройство после тебя.

А вот что инкогнито не делает: не меняет твой IP-адрес, не шифрует трафик, не прячет DNS-запросы. Провайдер как видел, на какие домены ты ходишь, так и видит — потому что без DoH/DoT DNS-запрос уходит открытым текстом, и приватный режим браузера тут вообще ни при чём. Сайт, который ты открыл, точно так же получает твой настоящий IP. Работодатель или админ сети на работе — тоже видит трафик, если сеть не защищена.

Инкогнито прячет тебя от соседа по устройству. От сети — не прячет.

Что реально скрывает адрес и содержимое трафика — это шифрованный туннель. Тогда провайдер видит только сам факт подключения к серверу, а куда ты идёшь дальше — уже нет.

Мини-чек-лист: если хочешь приватность именно от провайдера и сети — инкогнито не тот инструмент. Ищи шифрование трафика, а не очистку истории.

Мессенджер без звонков — это уже не мессенджер?

В новом ролике — про голос как последний рубеж доверия. А вот деталь, которая не влезла: звонки в WhatsApp и Telegram режут не разом, а поэтапно — сначала качество, потом стабильность, и только потом полное отключение. Тот же приём, что с YouTube: не банят, а медленно душат, чтобы не было точки, о которую можно зацепиться и возмутиться.

Мессенджер держится на звонке. Без него — просто чат, как в две тысячи пятом.

Смотри ролик и решай: останешься или уже ушёл?

Странный факт: у слова «инкогнито» нет никакого особого статуса для сети

Ни провайдер, ни сайт не обязаны как-то иначе относиться к твоему приватному окну браузера. Это просто переключатель интерфейса: сохранять локальную историю или нет. С точки зрения сети ты в инкогнито и без него — одно и то же устройство с одним и тем же IP.

Забавно, что сама иконка «шпион в шляпе» придумана как символ анонимности — а на деле убедила миллионы людей, что это буквально невидимость.

Кстати, в Firefox и Safari похожий режим называется просто «приватное окно», без намёка на шпионов. Может, поэтому там меньше путаницы?

А у тебя было такое — думал, что инкогнито прячет тебя от чего-то конкретного, а потом узнавал, что нет? Расскажи, от чего пытался спрятаться 👀

Отпечаток твоего браузера точнее, чем кажется

В ролике — как сайты узнают тебя без единого файла cookie. Отпечаток собирают из мелочей: разрешение экрана, шрифты, часовой пояс, поведение видеокарты через canvas.

Деталь, которой нет в видео: даже два одинаковых ноутбука с одной и той же ОС почти всегда дают разный отпечаток — из-за установленных шрифтов и версий видеодрайверов, которые у всех чуть-чуть отличаются.

Это не слежка одного сайта. Это сверка одного и того же отпечатка сразу на сотнях сайтов.

Как это обойти — в следующем ролике.

Отпечаток браузера убрать нельзя. Но его можно сделать бесполезным.

Куки ты стираешь за секунду. С отпечатком так не выйдет — он не лежит у тебя на диске, его каждый раз собирают заново из того, как отвечает твой браузер: экран, шрифты, часовой пояс, поведение видеокарты. Против этого не помогает ни очистка кэша, ни приватная вкладка.

Но у части браузеров есть встроенная защита именно от этого — просто ей почти никто не пользуется.

Как это устроено под капотом:
— защита не «прячет» твой отпечаток, а делает его одинаковым у тысяч людей сразу
— чем больше людей выглядят «одинаково» для трекера, тем меньше от отпечатка толку
— поэтому включать её нужно не точечно на один сайт, а по умолчанию для всех

Приватность в браузере — это не про «стать невидимым», а про «стать одним из многих».

Что сделать прямо сейчас:
1. Firefox — about:preferences#privacy → Защита от отслеживания → «Строгая»
2. Safari — защита от фингерпринтинга включена по умолчанию, трогать не нужно
3. Chrome — встроенной защиты нет, тут выбор только за сменой браузера или расширениями

Пять минут настроек — и трекеру придётся работать намного хуже.

Отпечаток остаётся, даже когда IP меняется

Фингерпринт браузера — это не один параметр, а комбинация: экран, шрифты, часовой пояс, версия браузера, даже список установленных плагинов. По отдельности каждый признак ничего не значит, вместе — почти уникальная подпись.

В ролике не сказал одну деталь: даже приватный режим браузера фингерпринт не убирает — он только не сохраняет куки после закрытия вкладки.

VPN меняет адрес. Отпечаток браузера — не меняет.

Знал про это? Да или нет — в комментах.

У фингерпринта есть забавный побочный эффект

Чем сильнее ты кастомизируешь свою систему — редкий монитор, необычная сборка Linux, экзотические шрифты для дизайна — тем заметнее становишься для трекеров, а не наоборот. Максимальная индивидуальность работает против приватности: скучный Windows-ноутбук с настройками по умолчанию прячет тебя в толпе куда лучше, чем идеально настроенная под себя система.

Получается парадокс: чтобы быть анонимным, выгоднее быть скучным.

Вопрос: ты бы согласился сделать браузер нарочно «серым» и обезличенным ради приватности, даже если это неудобно?

Твой браузер уже всё разболтал — ещё до того, как открылась страница

В ролике — что такое DNS-запрос и почему он летит открытым текстом. Деталь, которая туда не влезла: даже если ты вручную сменил DNS на телефоне, часть запросов может всё равно уходить старым путём — через DNS роутера или провайдера, если не проверить настройки сети целиком.

DNS — это список всех дверей, в которые ты постучал за день. Его не нужно взламывать, чтобы прочитать.

Каким VPN заворачиваю в том числе DNS-запросы — в закрепе.

Что не влезло в ролик про DNS

Когда ты вбиваешь адрес сайта, происходит цепочка из нескольких шагов, а в ролике я упростил её до одной фразы «спрашиваешь вслух». Вот что реально происходит.

— Устройство отправляет запрос на DNS-сервер: «дай IP для этого домена».
— Запрос по умолчанию идёт без шифрования, обычным пакетом на порт 53.
— Провайдер видит его в открытом виде — не потому что что-то взламывает, а потому что запрос физически проходит через его сеть.
— Только после ответа браузер получает IP-адрес и открывает страницу.

Блокировка по DNS — самый дешёвый способ фильтрации: не нужно анализировать содержимое, достаточно не ответить на вопрос или подсунуть неправильный адрес.

Есть два способа закрыть эту дыру. Первый — DoH/DoT (DNS поверх HTTPS или TLS): запрос шифруется, но провайдер всё ещё видит адрес сервера, к которому ты подключаешься дальше. Второй — весь трафик, включая DNS, идёт через один зашифрованный туннель, и снаружи виден только факт подключения к VPN-серверу, без деталей.

На оборудование фильтрации трафика в России заложено около 60 млрд рублей до 2030 года — и львиная доля этих денег как раз про то, чтобы читать такие метаданные быстрее и точнее.

Если у тебя VPN стоит «для пары сайтов», а системный DNS не тронут — считай, дверь закрыл, а окно оставил нараспашку.

В тот день легли не все VPN — и дело не в везении.

Массовая блокировка протоколов срабатывает по списку: DPI сверяет подпись пакета с чёрным списком и режет всё, что совпало, — сразу, без разбора конкретных серверов. Поэтому падают не отдельные VPN, а целые протоколы: вчера работал у миллионов, сегодня не работает ни у кого.

Деталь, которой не было в ролике: список «запрещённых» подписей регулярно обновляют — то, что проходит сегодня, могут закрыть завтра, поэтому маскировка под HTTPS работает не навсегда, а до следующего обновления списка.

Провайдер режет протокол, а не сайт — вот почему падает сразу всё, что на нём работало.

Свой трафик заворачиваю в такую маскировку — не ради поста, а как рабочий инструмент.

Твой пережил тот день? Пиши, какой протокол.

Маленький эксперимент на вечер

Открой настройки сети на телефоне или роутере и посмотри, какой DNS у тебя стоит. Скорее всего — «автоматически», то есть DNS провайдера. Это значит, что список доменов, которые ты открывал сегодня, в теории лежит у него в логах: не содержимое переписки, а просто перечень — от банка до последнего сайта, на который ты зашёл в три ночи.

Не сам список пугает — то, что по нему легко собрать портрет: во сколько ты просыпаешься, чем интересуешься, к каким сервисам подключаешься по работе. Никто не обязан читать это вручную — метаданные для того и придуманы, чтобы их анализировали автоматически и массово.

А ты вообще проверял, какой DNS стоит на твоём роутере, или он с завода так и остался «автоматически»?

Реклама VPN теперь под штрафом. Пользоваться — нет.

В ролике — разница, которую путают почти все: штраф ловит того, кто публично советует сервис, а не того, кто им пользуется.

Деталь, которой нет в видео: под «рекламой» по факту понимается и сравнение «какой VPN лучше» в чате на сотни человек — не только прямой платный пост.

Сам как был с впн, так и остаюсь — просто без слова «реклама» в профиле.

И отдельно: сегодня в 18:30 — отдельный ролик недели. Слово из него — в комментарии под тем роликом на площадках (не здесь).

Штраф — за рекламу VPN. Не за сам VPN.

Это не одно и то же, но путают их почти все.

Реклама — это когда кто-то публично советует конкретный сервис: пост со ссылкой, «топ-5 VPN», сравнение в чате на сотни человек. Именно за это теперь прилетает штраф — по той же статье, что и за рекламу любых других товаров без лицензии.

Использование — это когда ты просто открыл впн на телефоне и зашёл в мессенджер. Это не реклама. Это твой личный трафик, и закон тут не про это.

Отсюда и путаница: человек видит новость «штрафы за VPN» и решает, что теперь и пользоваться нельзя. Нет. Нельзя рекламировать.

Проверка простая: если ты ПУБЛИЧНО называешь сервис и советуешь его — это реклама. Если просто пользуешься сам — нет.

Голосуй в комментах:
1 — я уже видел такие предупреждения в чатах или каналах
2 — для меня это новость

А что вообще считается «рекламой VPN»?

Тут интереснее, чем кажется: формально под неё может попасть даже честный отзыв «я на этом сервисе три года, всё ок» в чате на пару тысяч человек. Грань между «поделился опытом» и «прорекламировал» — не там, где её обычно ищут: не в деньгах, а в публичности и повторяемости совета.

Из-за этого многие паблики и каналы просто убрали любые упоминания конкретных сервисов — вообще, не только платных постов.

Кстати, кто уже написал слово из вечернего ролика в комментариях на площадках? Признавайтесь тут.

А как вы сами отличаете «посоветовал другу» от «прорекламировал»?

Мессенджер физически не может отдать твою переписку — даже если захочет.

Тема недели — шифрование. И у неё есть корни: в девяностых в США криптографию приравнивали к оружию. Экспортировать код, который шифровал данные сильнее определённого уровня, было нельзя — как экспортировать патроны. Разработчики печатали исходники PGP на футболках и вывозили их как «текст», защищённый первой поправкой. Это называют «крипто-войнами». С тех пор идея одна: у государства не должно быть универсального ключа от чужих сообщений.

Современный E2E (end-to-end, «из конца в конец») — прямое продолжение той идеи, только реализованное на уровне протокола. Вот как это работает у Signal, WhatsApp и секретных чатов Телеграма:

— Когда ты открываешь переписку с человеком впервые, оба телефона генерируют пару ключей: один открытый, один закрытый.
— Закрытый ключ никогда не покидает устройство. Ни разу, ни на секунду.
— Сообщение шифруется открытым ключом собеседника прямо на твоём телефоне — ещё до того, как уйдёт на сервер.
— Сервер получает уже запертую «коробку». У него нет закрытого ключа, чтобы её открыть — технически нет, а не «обещали не открывать».
— На телефоне собеседника коробку открывает только его закрытый ключ.

Разница с обычным HTTPS вот в чём: HTTPS защищает канал «ты — сервер», сервер видит содержимое, просто пока оно к нему едет — оно защищено от посторонних. E2E защищает сам груз: сервер груз перевозит, но открыть его не может даже теоретически.

Реакция «да кому вообще нужна моя переписка» — понятная, но она про мотивацию, а шифрование — про возможность. Дело не в том, будет ли кто-то читать конкретно твои сообщения сегодня. Дело в том, что без E2E это технически возможно сделать массово и незаметно — для одного человека или для миллионов сразу. Крипто-войны девяностых как раз про это: не про паранойю, а про то, что возможность массовой слежки меняет то, как вообще работает privacy по умолчанию.

Под роликом на прошлой неделе была хорошая дискуссия: один зритель написал, что провайдер всё равно ничего интересного не увидит. Это рабочая позиция для содержания переписки. Но E2E защищает именно содержание. А вот метаданные — кто, кому, когда и как часто пишет — шифрование не прячет. Это отдельный слой, и о нём расскажу отдельно.

Ещё деталь: E2E — это не «доверие компании», это математика. Даже если завтра владелец мессенджера решит сотрудничать с кем угодно, он физически не сможет отдать текст переписки — потому что у него никогда не было ключа. Он может отдать метаданные, IP-адрес, время сессий — то, что видит сам сервер. Поэтому вопрос доверия к компании для содержания переписки почти не имеет значения. А вот для метаданных — имеет, и тут в игру вступает VPN: он скрывает хотя бы то, с каким сервером вообще соединяется твой телефон.

Чек-лист на сегодня: открой настройки своего мессенджера и проверь, что важные тебе чаты реально E2E — не все чаты в некоторых приложениях зашифрованы по умолчанию, иногда это отдельный режим («секретный чат»), который нужно включить руками.

VPN, которым пользуюсь сам, — в закрепе.

Шифрование переписки не прячет один важный кусок — то, что ты вообще с этим человеком переписываешься.

E2E скрывает содержание, но кто-кому-когда писал — видно даже без взлома шифра.

Не читая ни строчки, можно восстановить, кто с кем связан и когда общение резко участилось.

Это называют «анализ трафика» — и он работает даже против идеально зашифрованной переписки. Завтра в 18:30 разберу, как это выглядит на практике.

А как думаете — важнее спрятать содержание переписки или сам факт того, что ты вообще с кем-то переписываешься?