‼️ РБК получил копию методички минцифры по выявлению VPN-сервисов. В целом всё плохо, но есть хорошие новости для пользователей iOS. Собрали главное:

▪️ Методичку рассылали в продолжение совещаний, которое минцифры проводило с крупнейшими российскими интернет-компаниями по размеру аудитории — всего более 20 площадок. На них глава министерства Максут Шадаев поручил компаниям к 15 апреля ограничить доступ к интернет-сервисам пользователям с включённым VPN;
▪️ В методичке отмечается, что поскольку больше половины пользовательских устройств — это мобильные устройства под управлением операционных систем Android и iOS, и 80% приложений, с помощью которых можно проводить выявление средств обхода, установлено именно на этих устройствах, то внедрение механизмов для поиска VPN следует начинать именно с гаджетов на указанных операционных системах.

▪️ Компании должны будут проверять, включен ли VPN на устройствах пользователей, в три этапа:
▪️ определять IP-адрес устройства и сравнивать его теми IP-адресами, которые считаются российскими, а также со списком заблокированных Роскомнадзором IP-адресов;
▪️ проверять использование средств обхода блокировок на устройстве с собственного приложения (если оно установлено на том же устройстве);
▪️ проверять использование VPN на устройствах под управлением операционных систем, отличных от Android и iOS (Windows, MacOS и др.);

Например, если страна и регион пользователя по IP-адресу не совпадёт с российскими, или совпадёт с ранее заблокированными РКН, или, если будет выявлено, что у пользователь часто менялись страны, это будет признаком для блокировки. Но такой признак всегда будет требовать подтверждения через второй или третий этап проверки, пишет РБК.

▪️ При этом в материалах указано, что осуществить второй этап проверки на устройствах iOS от Apple сложно, поскольку «на iOS доступ к системным параметрам существенно ограничен». Причина в том, что у этой операционной системы политика конфиденциальности и безопасности предполагает, что все сторонние приложения изолированы и не могут собирать или изменять информацию, хранящуюся в других приложениях. Для Android ситуация проще: там работают системы ConnectivityManager и NetworkCapabilities, которые позволяют любому приложению запросить параметры активной сети и сообщить, что текущий интернет-трафик идет через VPN.

▪️ Помимо сложностей с iOS в материалах министерства описаны еще ряд ситуаций, когда выявление VPN затруднено или невозможно:

▪️ VPN на роутерах. Если средство обхода блокировок настроено на пользовательском маршрутизаторе, на самом устройстве отсутствуют локальные артефакты и выявить VPN невозможно;
▪️ VPN в виртуальных машинах. Если средство обхода блокировок развернуто внутри виртуальной машины или контейнера на устройстве пользователя, выявление также затруднено;
▪️ Прокси-серверы. Если они расположены у обычных интернет-провайдеров и имеют IP домашнего провайдера, то их невозможно определить по базам;
▪️ Split tunneling. Режим, при котором через VPN направляется трафик только выбранных приложений, а остальной идет напрямую. В этом случае проверка по одной активной сети недостаточна;
▪️ CDN (сети доставки контента — специальные верверы, которые расположены ближе к клиенту и ускоряют загрузку контента) и глобальные сервисы могут искажать местоположение устройства без использования VPN;
▪️ Новые VPN-сервисы. Они появляются быстрее, чем обновляются репутационные базы IP-адресов.

▪️ В методичке также рекомендуется не проводить на устройстве пользователя непрерывный мониторинг состояния VPN: «Это будет негативно влиять на расход трафика и потребление заряда батареи».

Что на самом деле произошло с Telegram 1 апреля 🤹

В полночь 1 апреля ТСПУ начали получать правила блокировки всех IP-подсетей Telegram. Не замедление – полная блокировка на уровне IP. Одновременно вендоры DPI выкатили новые эвристики, которые научились определять MTProxy в режиме Fake-TLS. Тысячи прокси-серверов по всей стране отвалились за минуты.

То есть 1 апреля – не шутка. РКН действительно попытался положить Telegram. И у многих он действительно не работал.

Но дальше произошло интересное. Комьюнити telemt (одна из самых популярных реализаций MTProxy на Rust) за часы разобралось в проблеме. DPI перестал смотреть на серверы – он начал смотреть на клиент. Telegram здоровается с сервером не так, как это делает Chrome или Safari. Конкретно – паттерн TLS ClientHello отличается от браузерного. DPI это увидел и начал резать соединения по этому признаку.

Решение нашли в тот же день. Исследователь alexbers показал, что нужно исправить ClientHello в клиенте Telegram, чтобы он выглядел как браузерный. Команда Telegram ответила – допилим. Открыли pull request на GitHub.

3 апреля – вышла версия Telegram Desktop 6.7.2 с исправленным ClientHello для работы с EE-MTProxy. Windows, Linux, macOS.

Сегодня – бета Android 12.6.4 с тем же фиксом. iOS на подходе, ждет проверку Apple.

А между делом Дуров написал: 65 миллионов россиян пользуются Telegram ежедневно через VPN, больше 50 миллионов отправляют сообщения каждый день. Попытки блокировки VPN вызвали банковский кризис — наличные на короткое время стали единственным способом оплаты в стране. «Добро пожаловать обратно в цифровое сопротивление».

Итого. РКН сидел в засаде, ударил по IP и по MTProxy одновременно. Комьюнити за 48 часов нашло проблему, Telegram за 72 часа выкатил фикс. Гонка продолжается, но пока счет не в пользу блокировщиков 🍸

@echo_telegi