Что не влезло в ролик про DNS

Когда ты вбиваешь адрес сайта, происходит цепочка из нескольких шагов, а в ролике я упростил её до одной фразы «спрашиваешь вслух». Вот что реально происходит.

— Устройство отправляет запрос на DNS-сервер: «дай IP для этого домена».
— Запрос по умолчанию идёт без шифрования, обычным пакетом на порт 53.
— Провайдер видит его в открытом виде — не потому что что-то взламывает, а потому что запрос физически проходит через его сеть.
— Только после ответа браузер получает IP-адрес и открывает страницу.

Блокировка по DNS — самый дешёвый способ фильтрации: не нужно анализировать содержимое, достаточно не ответить на вопрос или подсунуть неправильный адрес.

Есть два способа закрыть эту дыру. Первый — DoH/DoT (DNS поверх HTTPS или TLS): запрос шифруется, но провайдер всё ещё видит адрес сервера, к которому ты подключаешься дальше. Второй — весь трафик, включая DNS, идёт через один зашифрованный туннель, и снаружи виден только факт подключения к VPN-серверу, без деталей.

На оборудование фильтрации трафика в России заложено около 60 млрд рублей до 2030 года — и львиная доля этих денег как раз про то, чтобы читать такие метаданные быстрее и точнее.

Если у тебя VPN стоит «для пары сайтов», а системный DNS не тронут — считай, дверь закрыл, а окно оставил нараспашку.

В тот день легли не все VPN — и дело не в везении.

Массовая блокировка протоколов срабатывает по списку: DPI сверяет подпись пакета с чёрным списком и режет всё, что совпало, — сразу, без разбора конкретных серверов. Поэтому падают не отдельные VPN, а целые протоколы: вчера работал у миллионов, сегодня не работает ни у кого.

Деталь, которой не было в ролике: список «запрещённых» подписей регулярно обновляют — то, что проходит сегодня, могут закрыть завтра, поэтому маскировка под HTTPS работает не навсегда, а до следующего обновления списка.

Провайдер режет протокол, а не сайт — вот почему падает сразу всё, что на нём работало.

Свой трафик заворачиваю в такую маскировку — не ради поста, а как рабочий инструмент.

Твой пережил тот день? Пиши, какой протокол.

Маленький эксперимент на вечер

Открой настройки сети на телефоне или роутере и посмотри, какой DNS у тебя стоит. Скорее всего — «автоматически», то есть DNS провайдера. Это значит, что список доменов, которые ты открывал сегодня, в теории лежит у него в логах: не содержимое переписки, а просто перечень — от банка до последнего сайта, на который ты зашёл в три ночи.

Не сам список пугает — то, что по нему легко собрать портрет: во сколько ты просыпаешься, чем интересуешься, к каким сервисам подключаешься по работе. Никто не обязан читать это вручную — метаданные для того и придуманы, чтобы их анализировали автоматически и массово.

А ты вообще проверял, какой DNS стоит на твоём роутере, или он с завода так и остался «автоматически»?

Реклама VPN теперь под штрафом. Пользоваться — нет.

В ролике — разница, которую путают почти все: штраф ловит того, кто публично советует сервис, а не того, кто им пользуется.

Деталь, которой нет в видео: под «рекламой» по факту понимается и сравнение «какой VPN лучше» в чате на сотни человек — не только прямой платный пост.

Сам как был с впн, так и остаюсь — просто без слова «реклама» в профиле.

И отдельно: сегодня в 18:30 — отдельный ролик недели. Слово из него — в комментарии под тем роликом на площадках (не здесь).

Штраф — за рекламу VPN. Не за сам VPN.

Это не одно и то же, но путают их почти все.

Реклама — это когда кто-то публично советует конкретный сервис: пост со ссылкой, «топ-5 VPN», сравнение в чате на сотни человек. Именно за это теперь прилетает штраф — по той же статье, что и за рекламу любых других товаров без лицензии.

Использование — это когда ты просто открыл впн на телефоне и зашёл в мессенджер. Это не реклама. Это твой личный трафик, и закон тут не про это.

Отсюда и путаница: человек видит новость «штрафы за VPN» и решает, что теперь и пользоваться нельзя. Нет. Нельзя рекламировать.

Проверка простая: если ты ПУБЛИЧНО называешь сервис и советуешь его — это реклама. Если просто пользуешься сам — нет.

Голосуй в комментах:
1 — я уже видел такие предупреждения в чатах или каналах
2 — для меня это новость

А что вообще считается «рекламой VPN»?

Тут интереснее, чем кажется: формально под неё может попасть даже честный отзыв «я на этом сервисе три года, всё ок» в чате на пару тысяч человек. Грань между «поделился опытом» и «прорекламировал» — не там, где её обычно ищут: не в деньгах, а в публичности и повторяемости совета.

Из-за этого многие паблики и каналы просто убрали любые упоминания конкретных сервисов — вообще, не только платных постов.

Кстати, кто уже написал слово из вечернего ролика в комментариях на площадках? Признавайтесь тут.

А как вы сами отличаете «посоветовал другу» от «прорекламировал»?

Мессенджер физически не может отдать твою переписку — даже если захочет.

Тема недели — шифрование. И у неё есть корни: в девяностых в США криптографию приравнивали к оружию. Экспортировать код, который шифровал данные сильнее определённого уровня, было нельзя — как экспортировать патроны. Разработчики печатали исходники PGP на футболках и вывозили их как «текст», защищённый первой поправкой. Это называют «крипто-войнами». С тех пор идея одна: у государства не должно быть универсального ключа от чужих сообщений.

Современный E2E (end-to-end, «из конца в конец») — прямое продолжение той идеи, только реализованное на уровне протокола. Вот как это работает у Signal, WhatsApp и секретных чатов Телеграма:

— Когда ты открываешь переписку с человеком впервые, оба телефона генерируют пару ключей: один открытый, один закрытый.
— Закрытый ключ никогда не покидает устройство. Ни разу, ни на секунду.
— Сообщение шифруется открытым ключом собеседника прямо на твоём телефоне — ещё до того, как уйдёт на сервер.
— Сервер получает уже запертую «коробку». У него нет закрытого ключа, чтобы её открыть — технически нет, а не «обещали не открывать».
— На телефоне собеседника коробку открывает только его закрытый ключ.

Разница с обычным HTTPS вот в чём: HTTPS защищает канал «ты — сервер», сервер видит содержимое, просто пока оно к нему едет — оно защищено от посторонних. E2E защищает сам груз: сервер груз перевозит, но открыть его не может даже теоретически.

Реакция «да кому вообще нужна моя переписка» — понятная, но она про мотивацию, а шифрование — про возможность. Дело не в том, будет ли кто-то читать конкретно твои сообщения сегодня. Дело в том, что без E2E это технически возможно сделать массово и незаметно — для одного человека или для миллионов сразу. Крипто-войны девяностых как раз про это: не про паранойю, а про то, что возможность массовой слежки меняет то, как вообще работает privacy по умолчанию.

Под роликом на прошлой неделе была хорошая дискуссия: один зритель написал, что провайдер всё равно ничего интересного не увидит. Это рабочая позиция для содержания переписки. Но E2E защищает именно содержание. А вот метаданные — кто, кому, когда и как часто пишет — шифрование не прячет. Это отдельный слой, и о нём расскажу отдельно.

Ещё деталь: E2E — это не «доверие компании», это математика. Даже если завтра владелец мессенджера решит сотрудничать с кем угодно, он физически не сможет отдать текст переписки — потому что у него никогда не было ключа. Он может отдать метаданные, IP-адрес, время сессий — то, что видит сам сервер. Поэтому вопрос доверия к компании для содержания переписки почти не имеет значения. А вот для метаданных — имеет, и тут в игру вступает VPN: он скрывает хотя бы то, с каким сервером вообще соединяется твой телефон.

Чек-лист на сегодня: открой настройки своего мессенджера и проверь, что важные тебе чаты реально E2E — не все чаты в некоторых приложениях зашифрованы по умолчанию, иногда это отдельный режим («секретный чат»), который нужно включить руками.

VPN, которым пользуюсь сам, — в закрепе.

Шифрование переписки не прячет один важный кусок — то, что ты вообще с этим человеком переписываешься.

E2E скрывает содержание, но кто-кому-когда писал — видно даже без взлома шифра.

Не читая ни строчки, можно восстановить, кто с кем связан и когда общение резко участилось.

Это называют «анализ трафика» — и он работает даже против идеально зашифрованной переписки. Завтра в 18:30 разберу, как это выглядит на практике.

А как думаете — важнее спрятать содержание переписки или сам факт того, что ты вообще с кем-то переписываешься?

В 2024 году сотрудник гонконгской компании перевёл мошенникам крупную сумму после видеозвонка с «финансовым директором». Позже выяснилось: на звонке не было ни одного живого человека, кроме самой жертвы. Все лица и голоса — сгенерированы нейросетью.

Эта история стала классикой, потому что показала главное: дипфейк — не фотошоп. Это модель, которая училась на реальных видео человека и теперь умеет говорить его голосом что угодно, в реальном времени.

Как это устроено технически:
— нейросеть берёт тысячи кадров с лицом человека
— находит паттерн мимики, света, движения губ
— накладывает этот паттерн на любое другое видео или голос

Результат почти идеален. Почти — потому что мелкие сбои пока остаются: моргание реже нормы, странные тени на границе лица, звук, чуть отстающий от губ при плохом соединении.

Дипфейк не обманывает камеру. Он обманывает твою привычку доверять тому, что видишь.

В банковском антифроде для таких случаев есть отдельный термин — liveness-проверка: попросить человека на видео повернуть голову боком или тронуть лицо. Нейросети такие движения пока обрабатывают хуже всего. Работает и в жизни: звонок «по срочному делу» с видео — хороший повод попросить об этом собеседника.

Реклама VPN теперь под штрафом. Пользоваться — нет.

В ролике — разница, которую путают почти все: штраф ловит того, кто публично советует сервис, а не того, кто им пользуется.

Деталь, которой нет в видео: под «рекламой» по факту понимается и сравнение «какой VPN лучше» в чате на сотни человек — не только прямой платный пост.

Сам как был с впн, так и остаюсь — просто без слова «реклама» в профиле.

И отдельно: сегодня в 18:30 — отдельный ролик недели. Слово из него — в комментарии под тем роликом на площадках (не здесь).

Бесплатный VPN платит за счёт тебя

В ролике — тезис, из-за которого стоит поспорить: бесплатный VPN опаснее, чем вообще без VPN. Деталь, которой не было в видео — часть бесплатных сервисов вообще не шифрует исходящий трафик после выхода из своей сети, а просто продаёт маршруты рекламным партнёрам.

Если сервис не берёт денег, значит, платишь ты — данными.

Хочешь кое-что полезное лично от меня — напиши слово МАСКА в комментариях под роликом (тут, в Reels или в Shorts — где смотришь). Отвечу каждому.

Сервер твоего мессенджера — курьер с закрытыми глазами.

Он таскает пакеты, но открыть ни один не может — ключа у него никогда не было. В ролике не влезла деталь: ключи меняются почти на каждое сообщение — это называют механизмом Double Ratchet («двойная трещотка»). Даже если один ключ где-то утечёт, прошлую и будущую переписку он не откроет.

Взломать один ключ — не значит взломать весь диалог.

VPN, которым пользуюсь сам, — в закрепе.

Твой телевизор смотрит на тебя, пока ты смотришь на него.

В ролике — как работает ACR. Но вот что туда не влезло: переключатель этой слежки почти никогда не называется «слежка». У большинства производителей это «персонализация», «интерактивный контент» или «улучшение сервиса» — и спрятан он на третьем экране настроек, а не на первом.

Экран считывают не только когда ты открыл приложение — а всегда, независимо от того, что подключено к HDMI.

Отключить можно. Найти — отдельный квест.

VPN, которым пользуюсь, — в закрепе.

Дипфейк не нужно собирать экспертам — с этим справится любой за вечер. В ролике — три признака, по которым его ещё видно глазами: реже обычного моргание, рябь на границе лица и рассинхрон звука с губами.

Чего нет в видео: у голосовых дипфейков есть свой сигнал — интонация почти не меняется на стыке эмоций, потому что модель склеивает фразы кусками, а не произносит их целиком.

Смотреть — уже недостаточно. Нужно проверять.

Сервисы для проверки в основном зарубежные — у меня VPN включён всегда, так что открываются без проблем.

Пароль «123456» ты уже видел в чьей-то утечке — просто не заметил.

В ролике сегодня — почему самый частый пароль в мире не меняется десятилетиями. Дело не в лени: большинство сервисов не требуют смену пароля даже после публичной утечки базы.

Бонус, которого нет в видео: в слитых базах один и тот же пароль встречается у пользователей с абсолютно разными логинами и почтами — это не совпадение, а подсказка для автоматического перебора по чужим базам.

Один пароль на все сайты — это один ключ от всех дверей в доме.

Менял пароли после утечки? Пиши цифру — сколько раз.

Есть неочевидный побочный эффект дипфейков — они превращают само сомнение в оружие. Раз технология подделки голоса существует, теперь можно отрицать любую настоящую запись: «это не я, это дипфейк». Юристы уже называют это проблемой: доказать подлинность видео скоро будет сложнее, чем его подделать.

Вопрос: если бы тебе пришло голосовое от близкого человека со странной просьбой — ты бы перезвонил, чтобы услышать голос вживую, или ответил бы в переписке?

Реклама не подслушивает — у неё есть кое-что похитрее

В ролике — про цифровой след, который сайты собирают вместо микрофона. А вот деталь, которой в видео нет: у этого механизма есть официальное название — RTB, real-time bidding. Пока грузится баннер, десятки рекламных площадок буквально устраивают аукцион за право показать тебе рекламу, используя тот самый профиль.

Твой профиль не читают — его продают на аукционе за миллисекунды

Это не заговор, это индустрия с оборотом в миллиарды. Смотри видео целиком — там про механику и про то, где здесь реально помогает VPN.

Словарь Груба: цифровой отпечаток (device fingerprint)

Это не куки. Это не подслушивание. Это подпись твоего браузера, которую не удалить очисткой кэша.

Пример: ты открываешь сайт в режиме инкогнито, без единого логина. Сайт всё равно почти наверняка отличит тебя от соседа за столом. Как?

Как это устроено:
— скрипт на странице опрашивает браузер: версия, часовой пояс, установленные шрифты, размер экрана
— через canvas и видеокарту снимается ещё один слой уникальности — как рендерится невидимый рисунок
— всё это складывается в комбинацию, которая почти ни у кого не повторяется
— эта подпись переживает очистку куки и смену IP — она про сам браузер, а не про сессию

Отпечаток пальца нельзя стереть влажной салфеткой — вот и это тоже нельзя

Что с этим делать: VPN меняет IP и прячет трафик от провайдера, но отпечаток браузера он не трогает — это отдельная задача (расширения вроде разделения профилей, блокировщики скриптов). Знать про существование этой штуки — уже полдела: перестаёшь удивляться, почему реклама «слишком в точку».

VPN, которым пользуюсь, — в закрепе.

Под роликом про провайдера писали: «кому вообще надо каждый день смотреть мой трафик». Справедливо — вручную никто не смотрит.

Но в истории с рекламой всё наоборот: смотрят не вручную и не выборочно, а автоматически и на каждый твой заход. Пока грузится баннер, твой профиль участвует в аукционе рекламных сетей — и делает это при каждой загрузке страницы, а не «иногда, если кому-то интересно».

Разница в масштабе, а не в намерениях: тут не любопытный человек, а система, которой всё равно, интересен ты или нет — ей просто нужен твой профиль для сделки.

А тебе не нужен человек, читающий переписку, — достаточно баннера. Замечал рекламу настолько точную, что казалось, будто подслушали?

«Провайдер не скажет, что я видел» — не совсем так.

Под роликом про инкогнито человек написал: раз вкладка приватная, провайдер ничего не узнает. Разбираю, что на самом деле происходит.

Инкогнито — это история браузера. Она просто не сохраняется на твоём устройстве. И всё. Провайдер вообще не заглядывает в твой браузер — он видит трафик на уровне сети, до браузера ему нет дела.

Как это устроено на практике:
— при заходе на сайт устройство делает DNS-запрос — «где находится такой-то домен»
— без шифрования (DoH/DoT) этот запрос летит в открытом виде через сервер провайдера
— провайдер видит домен, время и объём трафика — инкогнито это не меняет вообще никак
— система DPI может пойти дальше и опознать тип трафика даже без имени домена

Приватный режим — это про соседа по дивану, который берёт твой телефон. Про провайдера он ничего не решает.

От провайдера прячет только шифрованный туннель — он шифрует и сам DNS-запрос, и весь трафик внутри.

VPN, которым пользуюсь, — в закрепе.

Бесплатный Wi-Fi стоит ровно один твой аккаунт.

Не нужно взламывать роутер кафе. Достаточно назвать свою точку доступа точно так же, как называется сеть заведения — телефон подключится сам, без вопросов. Это называется evil twin, и отличить поддельную сеть от настоящей на глаз нельзя.

В ролике — почему открытая точка доступа технически ничем не защищена. А вот что туда не влезло: у большинства смартфонов включено автоподключение к «известным» сетям по умолчанию — и оно само доверяет любой сети со знакомым именем.

Открытая сеть без пароля — это дверь без замка. Заходит кто угодно.

Подключаешься к открытым сетям в кафе и метро?