РБК: в Минцифры подготовили для ком­паний мето­дичку по выявлению VPN — сложнее всего их искать на iOS

Минцифры разослало крупнейшим интернет-компаниям рекомендации по поиску VPN-сервисов на устройствах пользователей.

Копия методички есть в распоряжении РБК, ее подлинность подтвердили три источника на ИТ-рынке. Издание пишет, что Минцифры отправило ее более чем 20 компаниям  .

Вероятно, это связано с поручением министерства российским компаниям о закрытии доступа к своим приложениям для пользователей с включенным VPN, о котором писал РБК.

Искать VPN-трафик сначала начнут на Android и iOS. Больше половины пользователей выходят в интернет со смартфонов на этих ОС, а 80% инструментов для обнаружения VPN уже рассчитаны на эти платформы. Проверки на компьютерах и остальных ОС хотят внедрить позже.

Выявлять VPN-сервисы рекомендуют в три этапа:

1. Определять IP-адрес устройства и сравнивать его с адресами, которые считаются российскими, а также со списком адресов, которые заблокировал Роскомнадзор.
2. Проверять использование VPN через собственное приложение, если оно установлено на том же устройстве.
3. Проверять использование VPN на устройствах с другими ОС — Windows, MacOS и не только. Как именно, не уточняется.

Пользователя могут не пустить в приложение, если его страна и регион не совпадут с российскими, или совпадут с запрещенными IP-адресами, или если его страны часто меняются.

Выявлять использование VPN на iOS непросто. Проблемы с Айфонами возникают на втором этапе проверки, поскольку на iOS доступ приложений к системным параметрам «существенно ограничен». Одно приложение не может собирать или изменять данные из другого — они изолированы друг от друга.

У Android политика конфиденциальности менее строгая: встроенные системы ConnectivityManager  ​и NetworkCapabilities  ​помогают фиксировать VPN-трафик.

В некоторых случаях выявить VPN затруднительно или невозможно. Например, если пользователь заходит в приложение через VPN на роутере или в виртуальной машине, использует прокси-сервер, split tunneling  ​или CDN  .

Новые VPN-сервисы также усложняют работу регулировщиков: они появляются быстрее, чем обновляются базы IP-адресов, сообщает РБК.

Для корпоративных VPN введут «белые списки». В него попадут известные внутренние сети компаний и «легитимные» прокси-серверы. Также предполагается учет сценариев использования: если корпоративный VPN на устройстве включается в рабочее время и отключается в нерабочее, ограничений против него не введут.

Минцифры не рекомендует компаниям постоянно мониторить обход блокировок. Это может «негативно влиять» на расход трафика и заряд устройства, цитирует РБК методичку.

Совещание Минцифры с крупнейшими компаниями, по данным РБК, состоялось 30 марта. Источники, близкие к участникам встречи, рассказали, что министерство попросило крупнейшие по аудитории российские площадки помочь выявлять и блокировать VPN-сервисы с 15 апреля.