Закону о суверенном Рунете - 5 лет

🎂 В этот день, пять лет назад - 1 мая 2019г был подписан и принят Федеральный закон от 01.05.2019 № 90-ФЗ.
Сам закон и его основные требования вступили в силу осенью, 1 ноября 2019 года.

Закон ввел регулирование российского сегмента интернета и сетей связи.

Проект закона был внесен в Госдуму 14 декабря 2018г. И через 138 дней закон был окончательно принят.

Как утверждали авторы и участники закона -
🔸закон нацелен создать независимую инфраструктуру для бесперебойного функционирования российского сегмента интернета и нацелен на его защиту.
🔸предусматривается создание инфраструктуры, обеспечивающей маршрутизацию в сети при невозможности подключения к зарубежным корневым серверам.
🔸операторы связи обязаны установить технические средства, способные ограничивать доступ к ресурсам с запрещенной информацией.
🔸 с целью приобретения практических навыков установлено проведение учений.

Я вот сейчас думал вечером написать о новой смешной норме, которую придумал так называемый Роскомнадзор, как ответ на историю с технической ошибкой DNSSEC. Но тут очередное СМИ признали нежелательной организацией. Пост о чём (пост нежелательного СМИ об их признании нежелательными) я хотел перепостить.

И я столкнулся с пренеприятной ситуацией. С одной стороны я подставлю своих читателей, сделав этот перепост. И меньшее количество людей узнает про норму с DNSSEC. Что плохо. Это же моя цель. С другой стороны, получается, я заложник левой пятки коллективного Кремля и подчиняюсь условиям его цензуры.

Очевидно, что я пока выберу не делать перепост SOTA. Но это вызывает у меня сильное беспокойство, о чём я всех и хочу информировать.

🤡 I present to you armchair expertise in the official publication of the Russian Government. I have no other expertise, publications, or Russia for you.
https://rg.ru/2024/05/19/roskomnadzor-uzhestochit-pravila-raboty-internet-provajderov-i-hostingovyh-kompanij.html

- "RG" [er-ge] stands for "Российская Газета" (Rossiyskaya Gazeta), which is the official newspaper of the Russian government.
- NDNS stands for the "National Domain Name System" (НСДИ [en-es-de-eeh]).
- Roskomnadzor is the Russian federal executive body responsible for overseeing and regulating communications, information technology, and mass media. Its role includes monitoring and controlling internet usage, ensuring data privacy, and enforcing laws related to media and telecommunications in Russia.

Roskomnadzor to Tighten Regulations for ISPs and Hosting Companies

Roskomnadzor intends to tighten regulations for Internet Service Providers (ISPs) and hosting companies. The new requirements will address increasing network resilience and the use of the National Domain Name System (NDNS). The document has been published for public discussion.

NDNS is an infrastructure replacing foreign DNS services. It ensures the availability of Russian internet resources in the event of distortion or unavailability of information in the global Domain Name System. The primary function of DNS is to link domain names with the IP addresses of servers where online resources are physically hosted.

According to subparagraph 3 of paragraph 8 of Article 56.2 of the Communications Law, telecom operators, owners, or other holders of technological communication networks with an autonomous system number, as well as hosting providers, are required to use the National Domain Name System.

Amendments to the order approving the provisions of the National Domain Name System were made in response to incidents with DNS servers. One such incident occurred at the end of January this year when part of the internet users could not access websites on .ru domains for several hours. The failure happened on DNS servers managed by the Technical Center of Internet and MSK-IX and was caused by incorrect operation of the DNSSEC service. However, some ISPs did not experience problems.

Currently, connecting to the NDNS is done using one of four DNS server configuration options. Two of these are through authoritative servers of the NDNS root zone. During the January failure, those who connected to the system using these methods experienced issues, according to Roskomnadzor. With these connection methods, user requests are processed by the operators' own servers, and in the event of a failure, they may not always promptly identify issues and take measures to restore resource availability.

"The changes in the order propose excluding these connection methods from the list of options for connecting to the NDNS and instead using more reliable and efficient methods - via NDNS caching servers. Organizations that used these methods during the failure did not experience problems accessing resources. These connection options to the NDNS reduce the risk of resource inaccessibility and reduce the load on the infrastructure of telecom operators, which is especially important for large networks with a significant number of users," Roskomnadzor told "RG".

Such inaccessibility can arise both due to global system failures (as witnessed in 2023-2024) and in case of intentional disconnection of Russia from global DNS servers, says Artem Sychev, advisor to the General Director of Positive Technologies.

"For ordinary users, the measures provided by the document are not noticeable. And in the event of a global DNS system failure, users should not notice it either," Sychev told "RG".

The expert added that the correct implementation should ensure instant and seamless switching to the domestic domain name resolution system, ensuring users' access to all necessary resources and services.

🐄 Интересно, а грамотность входит в список традиционных ценностей? А то кровь из глаз течёт такое читать в официальном органе Правительства. Как собственно и «авторитетные» серверы. Несмотря на то, что это действительно так переводится с термина "authoritative", но в русскоязычной традиции используется термин «авторитативный». Не знаю историю появления именно такого термина, но ходят слухи, что для отделения от слова «авторитетный» и подчёркивания специального технического смысла. В любом случае, устоявшимся термином является именно «авторитативный» и термин «авторитетный» выглядит как ошибка и неграмотность. Да, я знаю, что в пояснительной записке к проекту нормативного правового акта тоже содержится термин «авторитетный»

🚂 Итак. У меня есть 2 часа в междугороднем скоростном поезде разъяснить о чём весь этот движ с DNS.

👉 Началом всего, является проект нормативного правового акта, который делает изменения в приказе Роскомнадзора №229 от 31 июля 2019 года "О национальной системе доменных имён". Кстати, этот проект можно и нужно осквернить сами знаете где сами знаете как:
http://regulation.gov.ru/p/147623

❌ Этот приказ, надо заметить, имеет преинтереснейшую историю. Дата его утверждения предшествует дате конца публичного обсуждения и заключение оценки регулирующего воздействия: https://t.me/usher2/1375 . Там тогдашний руководитель Роскомнадзора Сан Саныч Жаров хотел под шумок обойти требования правил разработки НПА. Но Минюст РФ не был тогда готов к таким радикальным играм с правом. Хорошее начало?

👉 Ну да ладно. Это мы с вами люди образованные, знаем такие слова как "право", "юриспруденция". Не все такие. В изначальном приказе технические вещи зачем-то попытались описать издалека псевдоканцеляритом. Я только из пояснительной записки понял о чём они вообще. Все эти «в автоматическом режиме» — это остаток какой-то мысли, полное содержание которой осталось только в голове у авторов приказа.

☝️ Для начала давайте попробуем разобраться, что делает тот самый НСДИ (национальная система доменных имен) в смысле сервиса для запросов (есть ещё часть сервиса для размещения информации о доменах). Смотрите. Всё интернет работает с числовыми адресами. Когда вы в браузере вводите usher2.club, браузер как-то спрашивает информацию об соответствии этому имени циферок адреса. Обычно он спрашивает у DNS резолвера роутера, или у DNS резолвера провайдера провайдера (тот выдаёт эти знания автоматически или вы сами настраиваете из памятки). А тот в свою очередь хитроумным способом находим ответ в Интернете и выдаёт браузеру. НСДИ же предлагает (ну как «предлагает» — обязывает) поставить себя между интернетом и резолвером провайдера. Основная идея в том, что если западные империалисты в какой-то момент решат вычеркнуть домен RU из списков живых, то коллективный Кремль перекроет эту потерю своим НСДИ, который и будет выдавать информацию о RU вместо официальной. Да и с блокировками помочь можно. Да и со слежкой. Чего уж там.

☝️ Сейчас можно взять у НСДИ некую конфигурацию, регулярно обновлять её и собственно самим сервисом не пользоваться. Поправки предлагают убрать такую возможность и обязать всех вообще пользоваться или напрямую сервисом НСДИ, или безусловно направлять к нему все запросы пользователей.

🙀 А зачем? А помните был такой сбой DNSSEC и ещё тогда прекрасные люди из ГРЧЦ предлагали отключить расширения безопасности DNSSEC, чтобы у всех работало всё? https://t.me/usher2/3040
Проблема собственно в том, что это расширение безопасности работает по принципу, что если что-то не так с подписью домена, то он не работает. И вот теперь это прекрасное решение выключать замки, если кто-то потерял ключ, приехало в проекты нормативных актов.

🙈 Надо отметить, что DNSSEC может проверять любым типом резолверов. В том числе и stub-резолверами (оконечными программами, которые сами не кэшируют ничего и запрашивают информацию строго у резолверов провайдера или роутера, или кого там ещё). И настройка форвардинга тоже не запрещает ни кэширование, ни проверку на резолверах. И если такая проверка там включена, то отключение проверки на НСДИ ни на что не повлияет. И даже если там выключат передачу специфических записей - тем более не повлияет.

🚬 Я ожидаю, конечно, заявления, что я все не так понял и проект приказа явно запрещает и кэшировать, и как-то проверять ответы. Но тут сразу вижу шевеление волос на голове у провайдеров. И конечно же существуют тысячи, десятки тысяч, сотни тысяч пользователей, которые даже не в курсе, что у них стоит такая проверка, а домашние роутеры не очень следят за изменением локальных норм.

🏀 Ладно, всё. Передаю мяч Роскомнадзору. Пусть теперь там они не спят.

#dns Забавно, наши южные соседи говорят, что защищенный трафик DNS составляет 23%

#dns Три минуты серьëзного спича про важность кофе в разработке новых технологий, но необходимость уменьшать углеродный след

#co2 #dns обратите внимание на низ слайда

#вещества Видимо этот VPN теперь закроется (нет).

🔥 vpngen.org заблокирован

📛 /n_7034010 Роскомнадзор 2024-05-20-7082-СОБ 2024-05-20 /d_ms2e7vm0fmndy
• ст. 15.1, общая
как domain vpngen.org

типы блокировки: https: 📛
✅ Данные синхронизированы: 2024-05-23T12:25:02+03:00

Я в последнее время редко пишу — много работы и мало времени, но все же. Майкрософт официально запустил Copilot for Telegram. И утром когда я показывал это разным людям — никто не верил, все сначала были уверены, что это фейк, а потом не понимали зачем. Ответа на вопрос "зачем" у меня нет, кажется, просто потому что сделать это легко и они могут. Плюс в процессе собирается приятная база номеров телефонов (без этого бот не работает).

P.S. На российских номерах телефонов вроде бы не работает, по крайней мере, не должно. Остальные в порядке, можно даже не переходить по ссылке выше, а сразу запрыгивать в бота: https://t.me/CopilotOfficialBot?form=000159

❌ Тут говорят докерхаб заблокировал российские адреса. Ожидаемо, конечно, и больно, наверное.

☝️ Роскомнадзор уже месяца два блокирует сайты VPN-сервисов. А иногда и не сервисов. Так например сайт getoutline.org - это про саму технологию. Но если буквально ещё неделю назад Роскомнадзор блокировал основной домен сайта и всё, то тут вдруг изменил политику. Сейчас тот же getoutline.org блокируется как wildcard, т.е. сам домен getoutline.org и любые его поддомены. Т.е. кто-то из сервисов оказал активное сопротивление. А у меня в боте ошибка :(