Российские компании получили рекомендации по обнаружению VPN – при подозрительном трафике доступ к сайту ограничат

Компании должны ввести ограничения до 15 апреля

Глава Минцифры Максут Шадаев поручил компаниям до 15 апреля ограничить доступ к своим сайтам пользователям с включённым VPN.

Компании, которые не введут ограничения, рискуют потерять IT-аккредитацию. Ведомство также может исключить их из «белого списка» сервисов и перечня приложений для обязательной предустановки.

На совещании также сообщили, что Минцифры ждёт от платформ участия в выявлении VPN-сервисов, которые Роскомнадзор ещё не ограничил.

Проверку подключения через VPN предлагают проводить в три этапа

По данным РБК, в методических рекомендациях от Минцифры указано, что проверка должна включать три этапа.

1. Сначала предлагается определить IP-адрес пользователя и сравнить его с российскими адресами и базами Роскомнадзора.
2. Затем — проверить, использует ли пользователь VPN, через приложение компании (например, VK, Авито и другие), которое уже установлено на устройстве.
3. На третьем этапе — анализировать использование VPN на устройствах с другими операционными системами, включая Windows и macOS.

Если IP-адрес не совпадает с российским или часто меняется, это может стать основанием для блокировки. Однако в материалах уточняется, что даже такие данные требуют дополнительной проверки.

Если система не может точно определить, используется ли VPN, рекомендуется провести повторную проверку и подключить дополнительные данные — геолокацию, данные сотовых вышек и историю входов на сайты.

Определить использование VPN на iPhone сложнее, чем на Android

В материалах Минцифры отдельно отмечается, что второй этап проверки на iPhone реализовать сложно. iOS изолирует приложения друг от друга, из-за чего они не могут получать доступ к системным параметрам или данным других сервисов. Это существенно ограничивает выявление VPN.

На Android ситуация отличается: системы ConnectivityManager*Системный инструмент в Android, через который приложения получают данные о сети. Показывает, к какой сети подключено устройство (Wi-Fi, мобильная сеть и т.д.). и NetworkCapabilities*Системный инструмент в Android, через который приложения получают данные о сети. Даёт подробности об этой сети, в том числе может указать, идёт ли трафик через VPN. позволяют приложениям определить, проходит ли трафик через VPN.

Корпоративные VPN внесут в «белый список»

В методичке указано, что для корпоративных VPN создадут отдельный «белый список».

Сервисы, которые компании используют для удалённой работы сотрудников, не планируют ограничивать. Компаниям рекомендуют дополнительно учитывать поведение пользователей — например, если VPN включают в рабочее время и отключают после, это может указывать на корпоративный доступ.

Часть VPN невозможно обнаружить

В документе перечислены ситуации, при которых определить использование VPN сложно или невозможно.

Если VPN настроен на роутере, то на устройстве не остаётся следов его работы. Аналогичная ситуация возникает при использовании виртуальных машин или контейнеров*Изолированные программные среды, которые запускаются внутри устройства и работают как отдельные системы с собственными настройками сети и приложениями. Прокси-серверы с IP-адресами обычных провайдеров также не распознаются.

Отдельный случай — режим split tunneling, при котором через VPN проходит только часть интернет-трафика, а остальной идёт напрямую. В результате разные приложения используют разные каналы подключения, что усложняет выявление VPN.

Кроме того, CDN*Сеть серверов, которые расположены в разных странах и доставляют контент пользователю с ближайшей локации и глобальные сервисы могут искажать местоположение пользователя даже без VPN. Такие сервисы появляются быстрее, чем обновляются базы IP-адресов.

Контекст

Минцифры ранее предложило ограничить способы оплаты VPN-сервисов. Глава министерства Максут Шадаев отмечал, что такие меры рассматриваются как компромисс и должны снизить последствия для пользователей. При этом вариант введения административной ответственности за использование VPN в министерстве не поддерживают.

В конце марта Минцифры поручило мобильным операторам отключить пополнение Apple ID со счёта телефона с 1 апреля. Таким образом пользователи лишились возможности оплачивать сервисы iOS, в том числе VPN. Дополнительно Минцифры обсуждало с операторами введение платы за использование более 15 Гб международного трафика в месяц.