Беларуским силовикам разрешили следить за вами в интернете в реальном времени. Мы спросили экспертов, как это будет работать

Несколько дней назад стало известно, что Лукашенко подписал новый указ, по которому силовики теперь смогут следить за интернет-пользователями в режиме реального времени. Мы попросили прокомментировать эту новость экспертов, чтобы разобраться, как именно это будет работать.

Что написано в указе Лукашенко?

По новому указу следить за интернет-пользователями можно будет благодаря СОРМ (системе технических средств для обеспечения функций оперативно-розыскных мероприятий), к которым должны будут подключиться поставщики услуг электросвязи и владельцы интернет-ресурсов. Для проведения таких мероприятий не требуется судебный ордер – они могут проводиться по решению прокурора или его заместителя, причем разрешение не требуется в случае наличия угрозы национальной безопасности.

Разобраться в том, что все это значит и что теперь будут знать о беларусах силовики, нам помогла команда экспертов по цифровой безопасности CyberBeaver и эксперт по цифровой безопасности и сооснователь Коалиции по цифровым навыкам Беларуси Николай Кванталиани.

Что представляет собой СОРМ и как это будет работать на практике?

CyberBeaver (СВ): Система СОРМ состоит из трех компонентов: аппаратно-программная часть (у оператора связи), пункт удаленного управления (у правоохранительных органов) и сами каналы передачи данных.

У интернет-провайдера устанавливается устройство, которое подключается и к интернет-каналам, и к спецустройству у правоохранительных органов. Получается, что, когда пользователь подключается к интернету, весь входящий и исходящий трафик будет проходить через интернет-провайдера, а от него попадать к правоохранительным органам.

Часть беларуского интернета так и работала, но с появлением нового закона получить данные пользователей станет еще проще.

Николай Кванталиани (НК): Такие системы, как СОРМ, существовали давно: можно вспомнить телефонную эру, когда оператор соединял созванивающихся людей и при этом всегда мог приложить ухо к разговору.

На практике это оборудование, которое устанавливается на стороне сервис-провайдера и позволяет правоохранительным органам получать информацию от сервиса напрямую.

Есть ли примеры таких систем слежки за интернет-пользователями в других странах? Если да, как это действует там?

СВ: Похожие системы установлены и в России, и в Казахстане, и в США, и в некоторых западных европейских странах. Однако отличие в том, что в некоторых странах есть законы, регулирующие доступ к базам данных: например, европейский GDPR (General Data Protection Regulation). Это значит, что, даже если данные собираются, получить их по запросу не так просто из-за прав на анонимность и приватность.

НК: Эти примеры практически есть во всех технологически развитых странах: США – PRISM, Россия/Беларусь – СОРМ1/СОРМ2/СОРМ3, Китай – Golden Shield. Есть также примеры сотрудничества разных стран: 5 eyes countries, 9 eyes countries, 14 eyes countries. Но не забываем: основное назначение данных систем – это борьба с оргпреступностью.

По сути, это, как и везде, аппаратно-программные комплексы, интегрированные в различные сервисы. Соответственно, если мы выбираем между Yandex и Google, мы выбираем, кто имеет возможность следить за нашими действиями: ФСБ или NSA.

Какие мои действия смогут видеть силовики в интернете?

CB: Правоохранительные органы и до нового закона могли видеть исходящий и входящий трафик интернет-провайдеров. Новый закон только регулирует уже имеющуюся практику.

Входящий и исходящий трафик включает в себя переход на конкретные страницы; время, проведенное на сайте; объем скачанных документов (изображений, файлов, видео и т.д.), место и время подключения или отключения. Выделение и копирование текста к таким данным не относится.

Как отметили юристы LegalHub и цифровые наблюдатели канала «За Bynet», «если говорить об интернет-услугах, это включает в себя любые подписки, рассылки, бесплатный и платный доступ к информации, размещение сообщений на форумах или в чатах и т.д. К этому надо добавить все услуги, оказываемые интернет-ресурсами, онлайн-торговлю, криптобиржи, интернет-банкинг, онлайн-страхование, сервисы знакомств и прочее. То же касается взаимодействия офлайн через онлайн, например такси, заказ еды, запись к врачу или парикмахеру, сервисы по заказу профессиональных услуг – ремонту, сборке мебели и т.д.»

Н.К.: Если иметь доступ к серверной части, то владелец сервера видит всю информацию активности пользователя: переходы между страницами, скачивание или загрузка файлов.

Смогут ли за мной следить, если заходить в интернет через VPN?

CB: Использование VPN поможет защитить часть информации. Это делает вас пользователем, который логически и географически находится в другом месте: то есть после подключения к серверу VPN для всего интернета вы начинаете выглядеть как пользователь, который находится возле другого сервера. Например, в подключении будет видно, что вы находитесь возле сервера Словении, а сайты, которые вы посещали, будут прятаться за подключением к этому серверу.

Однако VPN не защитит, если вы ввели свои данные (имя, фамилию, адрес, номер паспорта и т.д.) на каком-либо сервисе – например, для поездки на такси или доставки мебели домой.

Н.К.: VPN позволяет частично анонимизировать действия пользователя, но тут есть нюанс: если пользователь не использует браузер в режиме инкогнито, то его можно идентифицировать через cookies, которые ему загрузит сервис (это происходит, когда мы бездумно принимаем все следящие cookies при заходе на сайт).

Плюс важно выбирать VPN, которые обеспечивают вашу анонимность. Были случаи, когда такие сервисы не удаляли информацию об активности пользователей, а потом эти данные появлялись в руках злоумышленников.

А для чего вообще это силовикам, что они хотят увидеть?

CB: Много людей все еще остаются в Беларуси или приезжают на какое-то время. Такой закон позволяет отслеживать пользование интернетом во время нахождения в стране.

Обращаем внимание, что данные собираются со всех сайтов и приложений, а не только с тех, которые находятся в беларуской доменной зоне. А количество собранных данных может немного отличаться лишь из-за политики самих сайтов.

Например, вы зашли в свой аккаунт Google и пару часов работали над Google-документом. Интернет-провайдер и правоохранительные органы не смогут увидеть ваш пароль для входа в аккаунт, но смогут узнать точное время подключения к сайту, время пребывания на нем, а также место подключения и объем переданных данных.

Или другой пример: вы решили приехать в Беларусь навестить родственников. Приехали, не включили VPN, почитали новости от независимых СМИ, заказали доставку суши, купили билет на автобус обратно, поехали на такси до вокзала. В это время все ваши данные сохранялись и даже могли просматриваться в реальном времени. То есть в базе данных уже есть, где и что вы делали в течение этого дня, а также данные, которые вы сами ввели для покупки суши, оплаты такси или билета.

Плохие новости в том, что даже если вы подключались через VPN, то данные, которые вы ввели сами для сервисов поездки или доставки, все равно сохранены в базе. Получается, что так или иначе данные собираются, а от пользователя зависит только, в каком объеме.

Н.К.: Это еще больше контроля над пользователями и возможность репрессировать.

К примеру, вы печатали протестные наклейки на домашнем цветном принтере. Теоретически, имея доступ ко всем онлайн-магазинам, мы можем посмотреть, кто недавно покупал наклейки, на которых можно печатать, и так найти человека.

Второй пример – вы помогаете семье политзаключенных, заказывая продукты на сайте доставки продуктов и оплачивая своей картой. Хоп – и вас нашли.

Или вы пользовались «Яндекс.Такси» – и теперь все ваши данные в руках правоохранительных органов, они знают, где вы работаете, живете и к кому ездите в гости под Новый год.

Совмещаем это с централизованной системой видеонаблюдения и геоданными с вашего мобильного устройства – и мы знаем все, что вы делали прошлым летом.

А что насчет соцсетей, месседжеров и YouTube? На них тоже распространяется слежка?

CB: Для иностранных сервисов вроде YouТube, Google, Facebook и так далее всё будет зависеть от решения компаний, согласны ли они будут выдавать всю эту информацию. Мы, если честно, очень сомневаемся в том, что они примут такое решение, хотя бы учитывая риски для собственной репутации, да и в целом дискредитированный имидж беларуских властей.

В таком случае, как нам кажется, более вероятный сценарий – это блокировка ресурсов, которые не согласятся в этом участвовать. Тут снова будем вспоминать про VPN и продвигать их в каждый дом.

Что касается сервисов с юрисдикцией в РБ или РФ, которым критически важно подчиняться беларуским законам, – они и так выдают всю информацию по запросу силовых структур. То есть тут существенно ничего не изменится: пользоваться «Вконтакте», «Одноклассниками», Mail.ru, «Яндексом» и так далее небезопасно.

Что грозит конкретным интернет-пользователям, если их действия на сайтах не понравятся силовикам?

CB: Все зависит от ваших собственных рисков. Если у пользователя есть риск быть замеченным в тех или иных местах, но, чтобы добраться до нужной точки, он пользовался «Яндекс.Картами» и периодически звонил по мобильной связи друзьям, то правоохранительные службы легко смогут отследить его еще во время перемещения.

Если говорить про посещение сайтов, то проблема может быть в том, какие ресурсы и как долго использует человек. А последствия не меняются с этого дня – штрафы, аресты, задержания и осуждения на разные сроки.

Н.К.: Здесь вопрос в потенциале обработки данных силовиками в реальном времени – плюс не забывайте, что данные об активностях пользователя в различных сервисах могут сохраняться с момента создания аккаунта.

Основная угроза в текущий момент – это репрессии и идентификация кругов общения пользователей в Беларуси: то есть из-за наших действий можем пострадать не только мы, но и наши коллеги и друзья.

Что делать? Самое время задуматься о приватности и рефлексивно подойти к этому вопросу. Нужно проанализировать, какими беларускими и российскими сервисами вы пользуетесь, и полностью отказаться от них, где это возможно. Да, у спецслужб есть возможность получить доступ даже к удаленным аккаунтам, но это усложнит их работу на еще один дополнительный шаг

Выбирайте сервисы, которые обеспечивают безопасность ваших данных по дизайну (Proton, Signal, Element.io и др.) или не находятся в российской или беларуской юрисдикции (Gmail/Facebook, Twitter, Bolt).

Перепечатка материалов CityDog.io возможна только с письменного разрешения редакции. Подробности здесь.

Фото: Unsplash.