регулирование

Бывший главный юрист ФБР поддерживает невзламываемое шифрование! ШОК ВИДЕО (на самом деле длиннющая статья в lawfare).

—

Пятница вечер, все дедлайны сожжены, в воздухе висит упадок. Ловите длинный пост про шифрование и безопасность.

✻✻✻

Телеграм, фб, вк и большинство электронной почты — примеры безопасности, основанной на доверии. Мы верим, что у компании достаточно классные программисты, чтобы ее не взломали хакеры, а добровольно нашу переписку сервис выдаст только в исключительных ситуациях, предписанных законом. Так интернет работает уже много лет, эта схема правоохранителей устраивает. Дуров внёс небольшую приправу, учредив несколько компаний, владеющих друг другом в разных юрисдикциях, так что теоретически властям сложнее заставить выдать нашу переписку, но идея всё та же.

iMessage, WhatsApp и Signal работают на другом принципе: переписка шифруется так, что владельцы сервисов не могут прочитать наши сообщения даже если захотят. Система можно дать сбой из-за ошибки программирования, но их исправляют при нахождении. Широкого распространения этих принципов защиты информации опасаются силовики.

Они даже страшный термин придумали — «going dark», для описания ситуации, когда из-за правильного использования шифрования правоохранители не имеют даже теоретической возможности прочитать переписку преступников.

✻✻✻

Автор статьи руководил попыткой правительства США заставить Apple разблокировать айфон убийцы из Сан-Бернардино. Та юридическая и пиар баталия с Apple прервалась, когда израильская компания взломала для ФБР айфон через ошибку в коде iOS.

Еще не придумана схема, которая одновременно надежно защищает переписку хороших людей и при этом позволяет властям выборочно вскрывать переписку потенциальных преступников. Я сомневаюсь, что такая схема вообще может существовать. Если информацию может прочитать кто-то кроме выбранного вами получателя - то рано или поздно ее получат хакеры и/или государства-противники. То есть речь идёт о сознательном компромиссе. Что для нас важнее - защита от хакеров или доступ правоохранителей при необходимости расследования?

Дополнительная сложность (будто их мало): если США законодательно запретят своим компаниям делать невзламываемое шифрование, то люди начнут пользоваться продуктами китайского и русского производства. Тогда Штаты потеряют те возможности перехвата и анализа метаданных, которые у них есть за счёт того, что большинство популярных интернет-сервисов американские и подчиняются их законам.

Автора статьи очень пугают устройства Huawei и китайские хакеры. Хорошее шифрование - единственная надёжная от них защита.

✻✻✻

Обычно, невзламываемое шифрование поддерживают хиппи, последователи киберпанка и прочие программисты. Эту же статью написал топовый американский правоохранитель. Большое дело!

Правительством России опубликованы правила идентификации в мессенджерах. Вообще, это указание мессенджерам (и операторам связи), как реализовать закон, принятый почти год назад. No news, расходимся...

tl;dr: все аккаунты в мессенджерах должны быть привязаны к номеру телефона. Телефоны у нас все регистрируются на паспортные данные → профит.

Для аккуратной обработки краевых случаев, например, смены владельца номера, операторам связи нужно хранить таблицу соответствия «номер телефона - аккаунт в соцсети» и рассылать всем соцсетям уведомления, например, при разрыве контракта клиентом. Добавьте к этому MNP (смену оператора с сохранением номера) и получается куча программирования на стороне операторов и мессенджеров. Всё это расписано в постановлении. Вот четырехстраничный pdf, можете сами его прочитать.

Практическое следствие — нельзя сделать легальный в России мессенджер, у которого пользователи не привязаны к номерам телефонов.

А ещё — документ в определении «мессенджера» aka «сервиса обмена мгновенными сообщениями» cсылается на федеральный закон «Об информации, информационных технологиях и о защите информации». Я не уверен, но, судя по определению, либо email тоже является мессенджером, либо все federated протоколы могут спать спокойно. Ну что, gmail, как там у тебя с интеграцией с МТС и Билайном? Дорогой РКН, кажется, я знаю какой сервис нужно срочно заблокировать ради борьбы с терроризмом и прочей педофилией. Соблюдайте свои законы-2018.

P.S. Вот нормальный разбор от Т-Ж, респект им.

Извините, начну с философии, прочитал вчера вечером и никак из головы не идет.

Компания AT&T (основанная в 1880 изобретателем телефона Александром Бэллом), с 1910-х владела почти всей телефонной сетью в Штатах. Мало того, она владела практически всеми телефонами в Соединенных Штатах. Надпись «собственность Bell - не для продажи» наносилась на корпус устройства прямо на заводе. Бюджет на исследования у Bell Labs был практически неограниченный, там работали лучшие ученые, а прибыли компании были фантастическими.

Ничего не напоминает?

Компании Facebook (Instagram, Whatsapp, etc.) и Google (Gmail, Youtube, Gmaps, Waze, etc.) владеют почти всеми личными данными на планете. Мало того, они запрещают подключать к своему API неофициальные программы, в которых, например, не будет рекламы или которые покажут ленту новостей по другому алгоритму.

В первом абзаце я рассказал только начало истории Bell. После войны произошли два важных события (немецкие магнаты считались одной из причин прихода Гитлера к власти): 1) Государственное решение о картерфонах, после которого стало можно подключать к телефонной сети любые устройства (а не только разрешенные Bell). Благодаря этому закону появились факсы, автоответчики и модемы. 2) В 1974 правительство подало в суд из-за нарушений антимонопольного законодательства и в 1984 компания согласилась разломаться на 8 частей (независимые региональные операторы и отдельно магистраль).

Монополию и её негативное влияние сложно оценить, когда пользователь ни за что не платит; прекрасные Google Maps и отличный Youtube достаются всем жителям земли без денежной оплаты. Но легко представить миллион конкурентов фейсбуку, которые появятся за пару месяцев, если Штаты отменят закон, по которому запрещается использовать данные сайта-источника, если он против. Показательно дело Craiglist v. 3Taps. 3Taps сделали хороший сервис на основе объявлений крейглиста (американский аналог авито) и крейглист замочил их в суде вместо того, чтобы сделать свой сайт лучше. Было ли это в интересах потребителей?

Сейчас GDPR заставляет сервисы предоставить статичную выгрузку данных пользователей по запросу в течении 30 дней. Я верю, человечество дорастет до того, что личная информация пользователей и её производные будут доступны в машиночитаемом формате по API по закону. Понятно, что сервис-первоисточник будет иметь право на «разумную плату», но это будет принципиально отличаться от текущего положения дел. Сегодня нет альтернативных приложений для просмотра фоточек в фейсбуке не потому, что их сложно сделать или у людей нет идей. ФБ запрещает это с помощью юристов.

Интересно, что история повторяется. Сейчас AT&T скупила обратно 11 региональных отделений из 22; политики не чувствую нужды бороться с вертикально интегрированными цифровыми гигантами. Но именно цикличность истории оставляет надежду.

Вдохновлено отличной статьей на Los Angeles Review of Books и обсуждением на HN.

Власть IT-мега-корпораций меня пугает. FAMGA: Facebook, Apple, Microsoft, Google и Amazon контролируют практически всю цифровую жизнь планеты. При этом, в отличие от государств не имеют даже видимости прозрачности и подконтрольности обществу.

Вот свежая история-страшилка. Журналист-ученый исследует судебное дело Челси Мэннинг, смертные приговоры и многое другое. Данные многих лет исследований хранит в Google Docs. Youtube блокирует её видео по спорным претензиям → блокирует Youtube аккаунт, а потом — и основной Google аккаунт со всеми гугл-доками. Брр.

https://alexaobrien.com/archives/3647

Кажется, пора как с телефонными сетями — считать, что крупнейшие онлайн-сервисы — это уже в каком-то смысле public goods и регулировать их соответствующим образом.

Новость оказалась лажей, приношу свои извинения :( Нытье про проблему и хаки — 100% в силе.

—————

MasterCard вводит два новых правила, защищающие покупателей от нежелательных списаний:

1. перед окончанием бесплатного тестового периода, продавец будет обязан уведомить покупателя о будущем списании и дать способ отказать от услуги;
2. после каждого регулярного списания продавец будет обязан прислать чек, описывающий способ отказаться от услуги.

Это очень круто, потому что распространенная серая схема — попросить данные карты и сказать, что услуга бесплатная (или месяц идет бесплатно), а потом тихо списать денег. Большинство людей не замечают эти платежи.

Дополнительная боль — что отказаться от рекурентного (регулярного) платежа с банковской карты просто обратившись в банк — невозможно. Нужно достучаться до продавца, чтобы он отменил списание со своей стороны. Вот, например NYTimes, в котором для того, чтобы завести подписку — достаточно ввести данные карты на сайта, а чтобы отказаться — нужно звонить по телефону (!) и пройти 6 кругов ада.

Единственное решение, который я знаю — это закрыть карту и выпустить на её место новую. Так себе способ. Есть несколько сервисов, которые предлагаю дешевые виртуальные карты специально для таких случаев, самый известный — privacy.com. Идея в том, чтобы создавать отдельные виртуальные карты для каждой подписки.

Интересно, что в Британии есть закон, защищающий покупателей. Там банки обязаны отключить регулярное списание по запросу клиента. Вот бы нам такое! У нас ведь любят всё регулировать — это как раз пример, где регулирование будет полезно, тем более пример Британии («западный партнер») показывает, что технически это реализуемо. Я писал несколько лет назад предложение в российский центробанк, но мне никто не ответил :(

Когда новое правило заработает — Mastercard не пишет. У меня есть несколько админских аккаунтов в платежной Braintree, так что, скорее всего, я получу от них письмо, когда правила доедут до продавцов.

Ну и главный вопрос — будет ли это новое правило Mastercard покрывать подписки в Apple AppStore и Google Play Store? Есть тут кто из Mastercard прояснить ситуацию? Все журналисты перепечатали новость один в один. Вот бы хоть один задал ньюсмейкеру релеватные вопросы :(

3 года потребовалось Роскомнадзору, чтобы догнать, что стратегия FB, Twitter, Google и вообще всех западных компаний (кроме Microsoft) в отношении законов о локализации данных в России — тянуть время и ничего не делать. В ответ, Роскомнадзор подаст на них в российский суд и тот оштрафует компании на … 50 долларов.

Казначейство США добавило проект Tornado.cash в список SDN. Это один самых жестких механизмов финансового контроля, в этом списке военные лидеры Ирана, банки, которые помогают в обходе санкций Северной Корее и т. п. Попадание в этот список значит, что все, кто боится США (а это примерно все на свете) никак не могут взаимодействовать с этим проектом и его участниками.

Tornado.cash — самый популярный анонимайзер для криптовалюты эфир, через который прошло больше 7 миллиардов долларов. Дело в том, что в эфире вся история всех переводов — публичная. Можно посмотреть, от кого вы получаете деньги и куда тратите, вплоть до каждой копейки. Это прямое следствие самой структуры блокчейна эфира.

Понятно, что не многие согласны на такую прозрачность и люди придумали так называемые «миксеры», «анонимайзеры», в которые вы закидываете деньги, они там перемешиваются с деньгами других людей и с небольшой задержкой выдаются вам на новый кошелек. За счет того, что таких людей много — связать ваш новый кошелек со старым кошельком уже невозможно.

Такими анонимайзерами часто пользуются для того, чтобы жертвовать тем, кого не любят те или иные государства — Ассанджу и Викиликс (чтобы вами не заинтересовались США), Украинцам (чтобы вами не заинтересовалась Росссия) и т. д. Именно в таком применении Tornado.cash признался создатель эфира Виталик Бутерин.

Ещё без анонимайзеров трудно представить покупку наркотиков и жизнь кибер-преступников. Трудно объяснить, зачем вы перевели деньги известному наркоторговцу или почему платите за дом или новенький автомобиль той самой криптовалютой, которой жертвы заплатили выкуп. Анонимайзеры скрывают эту информацию. Казначейство утверждает, что именно через Tornado.cash северокорейская группировка Lazarus отмыла полмиллиарда долларов.

☙

Американский суд постановил в течении 10 дней раскрыть множество внутренних документов фейсбука из судебной тяжбы 2012-2016 годов.

На картинке — пример внутренней переписки, использовавшейся в суде. Двое сотрудников в 7 фраз решают, что нечего возвращать 6500$, которые подросток потратил на игры внутри фб. В отличие от апсторов Apple и Google, фб не требовал ввода пароля родителя для подтверждения покупок. Другой документ: один из сотрудников описал процесс оспаривания списания как «бесконечный цикл вопросов».

Та тяжба закончилась соглашением сторон с non-disclosure clause, так что деталей сделки, мы, скорее всего, не узнаем никогда. Тем не менее, ожидайте больше грязных подробностей про фб в ближайшие недели. Грабить семьи с детьми — плохой PR.

А Ваню Голунова тем временем посадили под домашний арест на два месяца.

Разоблачаешь чиновников коррупционеров → менты подкидывают наркотики, бьют, двое суток держат в наручниках без сна → медуза подключает все свои ресурсы, про это публично говорит буквально каждый хоть сколь-то известный человек в стране → домашний арест и зрители в зале «суда» устраивают 5-минутную овацию «судье». 🤮

Защита русского суверенного интернета путем создания инфраструктуры, по сути дублирующей международную — вполне реалистичный проект. Судя по динамике — на него потратят миллиарды рублей (которых не хватает на пенсии) и десятки тысяч человеко-часов инженеров.

«Чтобы можно было в любой момент дернуть рубильник и оказаться в изоляции от всего мира, но с яндексом, одноклассниками и вконтакте».

Думаю, идея близка личностям, которые считают, что лучшее, что произвел советский союз — это тысячи бомбоубежищ по всей стране и колючая проволока на границе.

То, что депутатов в их маргинальных, неумных и просто вредных идеях поддерживают Яндекс и Mail.ru — стыдно.