New York Times опублікував статтю, в якій йдеться, що у ФСБ Росії є інструменти, здатні відстежувати трафік у месенджерах Telegram, WhatsApp і Signal. Хоча в матеріалі вказується, що росіяни лише можуть отримати обмежені дані і лише на територіях, які контролює росія, серед мешканців нашої країни почала зростати тривога щодо можливості росіян вести “стеження” за українцями.
Співзасновник українського провайдера “Фрегат” Сергій Шишкін розповів “Інформатору”, чому такі побоювання не мають під собою ґрунту і що насправді можуть дізнатися з месенджерів росіяни, використовуючи наявні у них кошти
Система СОРМ: Що вона вміє і як влаштована
У Росії весь трафік від користувачів на рівні провайдера з початку 2000-х перехоплює система СОРМ (Система технічних засобів для забезпечення функцій оперативно-розшукових заходів).
СОРМ працює за принципом відеореєстратора в автомобілі — збирає і зберігає деякий час інформацію про те, що користувач, який знаходиться в Росії (тобто користується російським інтернет-провайдером, де така система встановлена) відправляє і що отримує через інтернет.
Оскільки трафік у Telegram, Signal та WhatsАpp шифрований, все, що залишається спецслужбі, — аналізувати обсяг та кількість пакетів, фактично, «вгадуючи» їхній вміст. (Умовно — це якби ви несли з супермаркету непрозорі пакети, і на їхній вигляд ваші сусіди намагалися б здогадатися, що ви там собі купили)
“За кількістю байтів вони можуть приблизно судити, що це може бути. Якщо це текстове листування, то це невелика кількість байтів, якщо протягом хвилин йде більш менш рівномірне завантаження в 15-40 кілобіт в секунду, значить люди спілкуються голосом. Якщо близько 200 кбіт/c, отже спілкування йде не лише голосом, а й відео. Якщо сплеск швидкості — значить відправляється файл”, — розповідає Сергій Шишкін.
Але сам трафік шифрується досить надійними алгоритмами. Тобто, якщо двоє користувачів, які перебувають у Росії, спілкуються через захищений месенджер, спецслужба за допомогою СОРМ може встановити лише факт зв’язку між абонентами і типи даних, що передаються. Дізнатися про що абоненти спілкувалися вже неможливо.
Також в окремих випадках (наприклад, встановленні p2p чату) російська спецслужба може встановити, що дані відправлялися від російського абонента, наприклад, на український IP. Але кому саме з українців дзвонив росіянин — встановити не вийде, т.к. українські провайдери (як і будь-які інші провайдери поза росією) СОРМ собі не встановлювали.
Як працює система СОРМ
У грудні 2015 року Європейський суд з прав людини виніс ухвалу у справі про російське законодавство про СОРМ, ухваливши, що “положення законодавства російської федерації, що регулюють прослуховування зв’язку, не містять адекватних та ефективних гарантій проти свавілля та ризику перевищення повноважень, які притаманні будь-якій системі прихованого спостереження та які особливо високі в системі, де спеціальні служби та правоохоронні органи мають прямий доступ за допомогою технічних засобів до всіх мобільних телефонних повідомлень” отже, це законодавство порушує статтю 8 Європейської конвенції з прав людини.
Чому у розслідуванні не згадають Viber?
У матеріалах, які опинилися в розпорядженні New York Times, згадані WhatsApp, Signal і Telegram, але чомусь “забутий” один із найпопулярніших у російськомовному середовищі месенджерів – Viber. Хоча на нього слід звернути увагу в першу чергу, враховуючи як його поширеність, так і неоднозначну історію. Зокрема:
- Meta і месенджер WhatsАpp, які знаходяться в юрисдикції США, не стали би ні за яких умов ділитися секретами з російською спецслужбою, упевнений Сергій. Це забезпечує безпеку його використання на території Росії.
- Месенджер Signal – з відкритим кодом, а отже, без засобів стеження в ньому є можливість переконатися стороннім аудиторам.
- Засновник Telegram, як і операційний центр меседжера, також знаходяться поза юрисдикцією Росії – в ОАЕ. При цьому Дуров має російське походження і сам цей факт має насторожувати – де гарантії, наприклад, що на родичів Дурова, які перебувають у Росії, не чинять тиску?
З Viber ситуація більш делікатна. Компанія ретельно дотримується російських законів протягом усієї своєї історії. Наведемо три біографічні факти:
- Офіс технічної розробки та підтримки користувачів знаходиться в Мінську та Бресті (Білорусь). Viber є резидентом Білоруського парку високих технологій (Спеціальний податково-правовий режим юрисдикції, що діє у Білорусі);
- У 2015 році, згідно з російським законом “Про персональні дані”, (який вимагає, щоб усі персональні дані росіян зберігалися на території РФ), компанія прийняла рішення перенести дані російських громадян (номери телефонів та нікнейми) на територію Росії;
- У січні 2022 року Viber відкрив представництво в Росії відповідно до закону про діяльність іноземних осіб в інтернеті на території Російської Федерації, а також створив особистий кабінет на сайті Роскомнагляду.
Звісно, явних доказів того, що Viber співпрацює із ФСБ, — немає. (Але це логічно – якби вони були, месенджер моментально втратив би більшу частину аудиторії).
Проте, якщо певна спецслужба певної держави має можливість співпрацювати з одним месенджером, і немає можливості стежити за іншими, цілком очікувано, що ця держава буде зацікавлена, щоб користувачі знаходилися саме в цьому месенджері.
Головний висновок для українських і не тільки користувачів тут очевидний — якщо ви не користуєтеся російським провайдером, стеження з боку російських спецслужб вам може загрожувати лише в тому випадку, якщо ви користуєтеся продуктом, засновники якого цінують російські закони і мають там представництва.
Поки в цьому було помічено лише одного месенджера, про якого американської New York Times, за іронією долі, джерела повідомити забули.
“Що б не писав Нью Йорк Таймс, листування українців саме по собі як таке, а можливо і з росіянами, через Telegram, Signal і WhatsApp досить безпечне”, – каже Сергій Шишкін.
Хоча, звичайно, завжди слід ставитися до даних, що відправляються в мережу як до таких, які можуть бути скомпрометовані. Ну і якщо ви раптом спілкуєтеся з росіянами, враховуйте, що з того боку ваш співрозмовник – представник країни, яка вже майже 500 днів із нами воює.
Додатково, якщо ви є посадовою особою або маєте відношення до ЗСУ, не слід використовувати цей матеріал як вичерпну/часткову інструкцію або пораду з безпеки, користуйтеся вашими протоколами безпеки з передачі чутливої інформації через мережу.
Нагадаємо, засновник компанії Petcube Ярослав Ажнюк поділився деталями своєї розмови з очільником Головного управління розвідки МО України Кирилом Будановим. За словами бізнесмена, розвідник зокрема підкреслив, що месенджер Viber “був створений для шпигунства”.
Раніше Інформатор писав, що у НАТО заборонили використання соцмережі TikTok на службових пристроях. Також ми писали про поради щодо підвищення рівня безпеки при користуванні популярними месенджерами.