Власти хотят, чтобы крупнейшие российские компании отслеживали VPN у пользователей. Из-за этого их приложения могут навсегда удалить из App Store и Play Market

По информации СМИ, к 15 апреля крупнейшим российским площадкам предписано ограничить доступ на их платформы пользователям со включенными VPN.

Методички по выявлению VPN на устройствах получили Сбербанк, «Яндекс», VK, Wildberries & Russ, Ozon, «Газпром-Медиа», «Авито», X5, «Магнит Маркет», «Лемана Про», «Вкусвилл», «Лента». В случае неисполнения им грозит исключение из «белого списка» и лишение IT-аккредитации.

На что это повлияет и какие могут быть последствия? Специально для «Первого отдела» объясняет киберадвокат Саркис Дарбинян:

Сервисы правда могут определить пользователя с VPN

Да, конечно. Это невозможно c iPhone из-за архитектуры устройства, но на Android это можно делать легко и незаметно. Скорее всего, платформам предложено внедрять шпионский модуль MAX (который был уже уличен в этом) в исходный код приложений, которыми пользуются россияне. Модуль может проверять наличие VPN-соединения, а также систематически отправлять запросы к некоторым российским и зарубежным серверам. В том числе к серверам Telegram (main.telegram.org) и WhatsApp (mmg.whatsapp.net). Таким образом он может проверять доступность этих ресурсов на пользовательском устройстве. И если он обнаружит доступность, после этого блокировать полностью или частично доступ к самому приложению Ozon или Wildberries.

Как это повлияет на бизнес и на безопасность пользователей

Методичка буквально инструктирует отечественные IT-компании, какие шпионские модули они должны разработать или внедрить для своих мобильных приложений. Для бизнес-приложений это беспрецедентный шаг, который может окончательно подорвать доверие пользователей к российскому софту и сервисам. Скрыть такое сотрудничество бизнесу вряд ли удастся, поскольку исследователи и специалисты по безопасности неизбежно будут внимательно изучать поведение приложений, а любой след такого сотрудничества станет предметом публичного скандала и ухода аудитории.

Какие могут быть последствия для компаний

Приложения могут навсегда удалить из App Store и Play Market за нарушений условий конфиденциальности, а у самих разработчиков отзовут лицензии за грубое нарушение правил конфиденциальности так, что они больши никогда не смогут ничего загрузить в эти сторы. Выжить за счет одного RuStore не полчится. Думаю, компании будут саботировать методичку и не спешить с внедрением предлагаемых новшеств.

Советы для пользователей

Владельцам iPhone можно не переживать. А вот владельцам Android надо озаботиться своей безопасностью и настройками. В некоторых VPN приложениях есть функция раздельного туннелирования, когда трафик с устройства на заблокированные ресурсы и разрешенные ресурсы идут по разным каналам. Это может помочь. Если вы используете Amnezia Self Hosted, то есть развернули Amnezia VPN на собственном сервере, то будьте готовы настраивать split-tunneling. Разработчики некоторых сервисов уже объявили, что скоро могут сделать так, чтобы split tunneling включался автоматически, а также встроят защиту от детекции VPN-серверов подобными методами.

Можно ли в Android изолировать зарубежные сервисы, VPN и личные данные от российских приложений?

Да, можно. Большинству пользователей Android (кроме старых версий Android и некоторых китайских оболочек) доступна возможность создавать разные профили: отдельного пользователя для российских приложений и отдельное для зарубежных. В результате:
российские приложения не увидят установленные у вас приложения и запущенные процессы;
российские приложения не получат доступ к никаким вашим данным из другого «пользователя», так как по сути это другое виртуальное пространство;
несмотря на то, что «пользователи» используют один lookback-интерфейс, они не делают это одновременно в отличие от контейнерных песочниц по типу Shelter или Island. Пока «Пользователь №1» работает, «Пользователь №2» выключен полностью со всеми шпионами, работающими в фоне. Это значит, что этот метод защитит ваш VPN от компрометации.