#ликбез Меня засыпали вопросами, что означает график, на котором сейчас отбивают морзянкой DIGITALRESISTANCE
Я обязательно сделаю красивые разъяснения с инфографикой. Но пока рекомендую посмотреть моё видео, где я объясняю как работают блокировки:
https://youtu.be/C_RsUdWMP68

Это немного устаревшая информация, но представление об идее даёт. Что изменилось с тех пор:
1. Из проекта норматива убрали необходимость самостоятельно определять IP - на этом настоял Минэк. Но и запрета нет.
2. Норматив с дичайшими нарушениями процедур приняли, подписали и он вступил в силу. ОДНАКО со стороны агента "Ревизор" не поменялось ничего. Т.е. действующие норматив по факту не ратифицирован. И ситуация осталась прежней, несмотря на норматив. (К слову о "мы просто соблюдаем закон")
3. Роскомнадзор так или иначе добился, чтобы по IP блокировались только ресурсы с типом блокировки "по IP". Это несомненно снижает эффект DNS-атаки. Она работает только на деградацию связи. Однако. 14 марта 2018 года был применен новый подвид этой атаки - несколько доменов стали показывать на более чем 1.2 млн IP-адресов. И этого не выдержала заметная часть магистрального провайдера Транстелеком (10-20%% его сети).

Итак:
- красный график - это IP адреса и подсети из реестра с типом блокировки "по IP"
- фиолетовый график - это IP адреса, на которые на самом деле сейчас указывают домены из реестра

#ликбез Со вчерашнего вечера СМИ пестреют новостью о том, что Роскомнадзор 17 апреля провел закрытое (кстати, а почему? что а секретики такие?) совещания с главами СМИ. На этом совещании Роскомнадзор разъяснил, что считать оскорблением власти. И дальше идут влажные фантазии господина Субботина, заместителя руководителя Роскомнадзора. Обычно Вадима Субботина Роскомнадзор выставляет там, где надо сказать какую-нибудь околесицу, за которую никто отвечать не будет. Речь идет вот про эту пару законов:
http://publication.pravo.gov.ru/Document/View/0001201903180022
http://publication.pravo.gov.ru/Document/View/0001201903180010

☝️ Так вот. У Роскомнадзора НЕТ полномочий ни принимать решения по вопросу оскорбления достоинства власти, ни разъяснять принятия таких решений соответственно. В этом вопросе Роскомнадзор выполняет исключительно техническую функцию для ограничения доступа к информации по представлению Генпрокурора или его заместителя. И без разницы — СМИ это или нет, закон такого различия не делает. С таким же успехом можно попросить разъяснений у бабы Мани на скамейке у парадной — кто наркоман, а кто проститутка. Почему никто не ткнул публично в это Роскомнадзор — вопрос интересный.

‼️ P.S. Я с удовольствием стану обладателем аудио/видео записи с этого совещания. На ваших условиях. @schors

​​#ликбез 🎓 Я немного выждал, когда все выскажутся по поводу FireFox и DoH, и сделаю небольшой обзор, что же произошло на самом деле, как это расценивать, что дальше

👉 DoH, или DNS-over-HTTPS — технология получение записей DNS через специально сформированный HTTP-запрос. По факту, в запросе передаётся закодированный в base64 пакет DNS и соответственно получается ответ. DoH является одной из самых перспективных технологий шифрования DNS-запросов. Стандарт IETF: RFC 8484

☝️ История DoH в браузерах началась с того, что FireFox 01 июня 2018 года объявил о поддержке DoH в FireFox версии 62, вышедшей 5 сентября 2018 года:
https://blog.nightly.mozilla.org/2018/06/01/improving-dns-privacy-in-firefox/
06 сентября 2019 года FireFox заявил о постепенном включении DoH по умолчанию для части пользователей (неизвестно каких):
https://blog.mozilla.org/futurereleases/2019/09/06/whats-next-in-making-dns-over-https-the-default/
Браузер Chrome пока осторожно заявляет о поддержке DoH в браузерах с версии 78, которая предположительно выйдет 22 октября 2019 года:
https://blog.chromium.org/2019/09/experimenting-with-same-provider-dns.html
Но не в версиях для Linux и iOS

☝️ Включение DoH по умолчанию это плохо или хорошо? Плохо то, что по-умолчанию крупные корпорации при желании будут знать о ваших запросах к DNS. Да и привязка к глобальным сервисам не всегда хорошо. Хорошо то, что люди будут защищены от локальной «прослушки».

✌️ Многие зарубежные схемы блокировок сайтов строятся на подмене ответов DNS. При запросе «запрещенного» имени выдаётся «ложный» адрес, на котором, например, может быть расположена страница с информацией о том, что ресурс заблокирован по решению органов власти. DoH умножает эту систему на 0. Многие российские провайдеры, например «Эр-Телеком», через подмену DNS минимизирует расходы на блокировку. На их системы это тоже окажет влияние. Но это конечно ещё не «Гудбай, DPI».

✌️ Коллеги начали упоминать ESNI, как более важную часть в деле обхода блокировок. Дело в том, что сейчас при шифрованном соединении с сайтом в большинстве случаев браузер вначале передаёт на сервер, с которым желает соединиться, имя сайта, к которому хочет обратиться, в открытом виде — SNI (Server Name Indication) заголовок. На перехвате этой информации строится основная часть например российских блокировок сайтов. ESNI (Encrypted SNI) решает эту проблему. Однако, как мы видели в апреле 2018 года, никого не волнует сопутствующий ущерб от блокировок и я вас уверяю — регуляторы просто «порежут» весь этот ESNI. С другой стороны, ESNI требует специальной записи для домена, т.е. завязан на систему DNS. Без DoH блокировать ESNI выборочно очень просто — надо всего-лишь подменять ответы специальных запросов. Т.е. DoH тоже важен. Но не только DoH, важен и DNSSEC — технология, позволяющая подписывать содержимое доменных имен:
https://dxdt.ru/2018/12/28/8645/

👍 DNSSEC+DANE — это вот прямо следующий шаг для браузеров. Технология DANE позволяет удостоверять ключи шифрования для TLS-соединений через подписанные записи DNS. На практике это означает, что вы можете сами выпускать для себя SSL-сертификаты, без привязки к коммерческим фирмам, выпускающим SSL-сертификаты, или Letsencrypt

🤘 Ну и раз я тут решил почесать языком про DoH, есть интересное предложение. Было бы интересно, если бы интернет-провайдеры подхватили «всероссийский хакатон» и сделали на своих DNS поддержку и DoH и DoT без фильтра. Это не запрещено ни прямо, ни косвенно. Это потребует затрат и не принесет прибыли, но это будет «славная охота»

#ликбез Вчера, когда мои мысли витали далеко от Роскомнадзора и блокировок (на самом деле нет), прошла информация о том, что Роскомнадзор заблокировал Letsencrypt (это бесплатные сертификаты SSL для сайтов). Это и так, и не так.

➡️ Сайт letsencrypt.org хостится в облаках DigitalOcean, как и один из моих NS-серверов, и аж две виртуалки сбора статистики по реестру запрещенных сайтов. Современная разработка как раз характерна тем, что приобновлении или починки новая копия сервиса/сайта подымается заново, а старая удаляется. Сайт просто "захватил" адреса из реестра. Ситуация аналогичная с математическим форумом на прошлой неделе
➡️ Адреса, которые сейчас у сайта letsencrypt.org блокирутся по домену. Это означает, что если идёт запрос не к тем доменам, что в реестре, то всё должно работать. Домена letsencrypt.org в реестре нет. Можете смело писать провайдерам и рвать на груди кольчугу, если не работает
➡️ Кстати, адреса API на Cloudflare и не заблокированы. На выдачу сертификатов это в любом случае не влияет. И вообще, если у вашего хостинга на транзите блокировка, это кошмар. Я не знаю что с этим делать.
➡️ А вот мои виртуалки к сожалению заблочены по IP вместе с Telegram, хотя никакого отношения к нему не имеют. Как и к проксированию. И ещё множество сайтов. И вообще куча сервисов так заблокировано.

‼️ Нас должна беспокоить ситуация вцелом. Где были люди с математического форума? Вне политики? Ok. А в чем вопрос тогда. Где пользователи Letsencrypt? Вне политики? Ok. Может там при обсуждении нормативов завалили замечаниями? Да тоже нет.

❤️ Всё не так мрачно, как я описал. И на технических конференциях глумление над блокировками пока трактуется положительно. И с нормативами всё-таки людей было много и определенных результатов мы достигли. и Всероссийский Хакатон по проксям продолжается.

⚔️ Но спорадические блокировки продолжаются, целые подсети месяцами в блокировке. Значит надо стараться чуточку больше, чем стараемся.

✅ Внизу справа даны альтернативные прокси к Telegram https://usher2.club/ . Помогайте им. И разрабткой, и теорией, и тестами, и материально.
✅ https://usher2.club/helpers/stable-runet-npa-list видите там «нарушения»? У вас же всех есть ответы из прокуратуры на эту тему? Как нет?
✅ Вы СМИ и отвечаете мне на вопросы? Помогаете друг другу? Может Вы — юрист? Я вот так и не понял, как «Областная газета» перенесла дело из Хвалынска в Екатеринбург
✅ Вы можете строить системы обхода блокировок для домохозяек и писать статьи? Welcome! На «хабре» за это ещё и заплатить могут (программа поддержки авторов)
✅ Нескромно напомню, что у меня окупаемость размещения только текущего оборудования около 250$/месяц. https://www.patreon.com/usher2 общий размер донатов раза в полтора больше вот этой цифры. Я вон вчера очки вторые в номере оставил, ноут у меня уже потрепанный, я не нашёл в себе сил проверять вот это всё про Letsencrypt #donate

#ликбез Разъяснения по КЦ RU/РФ и Роскомнадзору. Ничего не изменится радикально. Как Минцифра там занималась ничегонеделанием, так думаю и Роскомнадзор продолжит этим заниматься. Да, будут внедряться нормы закона. Но они это будут делать и без распоряжении об учредителе. Большинство неприятностей с зоной в плане ограничений уже случилось. И это даже на уровне закона было неясно. Во всяком случае, я так мыслю

Вот те два секретных пункта интересны. Что за секретики такие с доменами? Все знают, как открыть секретный чат и поделиться со мной этими секретиками?

#ликбез Одной из заметных проблем блокировок, озвученной ещё летом 2017 года Бобуком (Григорий Бакунов из Яндекса), является то, что трудно отличить техническую проблему от блокировок Роскомнадзора. И как говорил я — теперь всегда в первую очередь будут обвинять Роскомнадзор. И поделом. Хотят — пусть пресс-службу налаживают. Могу подрабатывать по спекулятивным ценам

⚡️⚡️⚡️ Сайт «Код Дурова» в своём канале в Telegram сообщил, что Роскомнадзор внезапно заблокировал облачного провайдера Cloudflare, которым пользовался сайт:
https://t.me/d_code/7072
« В связи с техническими проблемами сайт kod.ru на территории Российской Федерации временно был недоступен. В РКН внезапно решили блокировать CDN CloudFlare (вечер пятницы — самое лучшее для этого время), которым мы как раз и пользовались»

✅ Но нет, Роскомнадор тут ни причем. Это у Cloudflare технические проблемы:
https://community.cloudflare.com/t/some-cloudflare-ip-not-reachable/155865
Это в Cloudflare был «пятничный релиз» :)

💰 И чтобы два раза не вставать. Пользуйтесь ботом https://t.me/u2ckbot и ваши волосы будут мягкими и шелковистыми. В отличие от других ботов, этот покажет вам все реквизиты и тип блокировки

#ликбез

Горелкин ожидаемо разразился тирадами "вивсеврети". Это закономерно для депутата, за которого никто никогда не голосовал — он же никогда в открытой полемике участия не принимал. Но я все равно разочарован, так как не был использован "убойный аргумент" — "в омерике негров линчуют". Впрочем, плевать на недодепутатика — ему осталось надувать щщеки чуть больше года, ибо уверен, что за "Единую Роиссю" никто не проголосует вообще.

Так вот, разберем сам термин "приоритезация" и что это вообще означает. Я постараюсь коротко.

Собственно, приоритезацию во всех учебниках пытаются объяснить с помощью аналогии на "выделенную полосу". Типа, в интернете создаются некие условия для приоритетного пропуска пакетов, как для общественного транспорта. И это довольно точная аналогия, хотя в реальности только запутывает, но об этом позже.

Что такое "выделенная полоса"? Это по которой имеет право ездить ограниченный список транспортных средств: пассажирский _рейсовый_ транспорт и такси в раскраске. И — автомобили экстренных служб. Список закрытый, ибо если мы будем на выделенные полосы пускать, например, вообще пассажирский транспорт и/или фуры, то полоса немедленно забъется и не будет отличаться от других полос. Кроме того, выделенные полосы физически нельзя построить везде. А кое-где и бессмысленно. Ну, например, если у дороги только одна полоса, то вот хоть дерись, а отдельно пускать по ней только рейсовые автобусы нельзя. Ну, вы поняли, да.

А теперь о том, что запутывает. Дело в том, что в обычном интернете никакой "приоритезации" не существует. Вообще. Есть понятие QoS — Quality of Service "качество обслуживания". И там имеются три модели оказания качественных услуг.

1. Самая распространенная — Best Effort или "наилучшим образом". Это когда никто ничего не гарантирует и гарантировать не может. Ибо в управлении оператора находится только один, очень ограниченный кусочек интернетеа — собственная сеть. Ни один провайдер в мире не может повлиять на качество услуг, например, Фейсбука — только сам Фейсбук. И ФБ не может гарантировать качества собственных услуг, ибо пакетики бегут по сетям тысяч операторов связи. Потому, считается, что все пакеты коммутируются@маршрутизируются простым способом типа "первым пришел — первым ушел". Все. Это и есть "наилучший способ".

2. Интегрированный сервис. Это, грубо говоря, "виртуальные частные сети". Но не те, которые "для обхода блокировок", а сети, связывающие разные офисы и/или предприятия в рамках информационных систем. Там, где важно гарантировать скорость передачи, задержки, джиттер и вот это все для обеспечения производственных задач. Для этого операторы строят специальные каналы (иногда физические) и покупают специальное оборудование, делают резервные линии и, если нет своих ресурсов, покупают такие же услуги у других операторов с жесткими условиями. Гарантия "приоритета" покупается за приличные деньги.

3. Дифференцированное обслуживание. Тут чуточку сложнее и смысл заключается в том, чтоб обеспечить приемлемое качество услуги в условиях ограничений. Технически обусловленных, конечно, а не искусственно придуманных депутатами-недоучками.
Главный потребитель систем дифференцированного обслуживания — мобила. Потому что у них есть как раз очень ограниченный ресурс из которого хочется выжать максимум — радиочастоты. В нарезанной полосе вы сможете передавать ровно вот такой вот объем информации и ничего с этим сделать нельзя — Найквист и Котельников запретили. Вот и приходится изощраться и делить (Горелкин, к доске! что такое дифференцирование?) пакеты трафика на важные и "потом отправим". Важные, это протоколы реального времени — голос/видео/телефония. Эти пакеты нужно передать как можно быстрее, добиваясь низкой задержки (чтоб не ждать ответа собеседника секундами) и джиттера (чтоб голос не квакал). Все остальные пакеты не столь критичны, ибо никто не заметит, что страничка сайта госдурки загрузилась на 0,2 милисекунды медленнее. Для разделения пакетов и была придумана система DPI — для решения проблемы субъективного качества услуг. Чтоб скайп (условный) не квакал.

​​#ликбез Немного повторюсь про блокировку электропочты в принципе и protonmail в частности

☝️ Почему это потенциально открывает врата в такой ад, который войне с Telegram и не снился:
➡️ Электропочта работает по принципу обычной почты. Вы пишите письмо «С нём Рождения, Петя!» и подписываете «Твой друг — Вася». Кадете в конверт, на котором выводите адрес Пети и свой адрес в графе «от кого». Затем клеите марки и кидаете в ящик. При этом вы можете быть Машей и Юлей соответственно. Никто не запрещает вам написать «Вася» и «Петя»
➡️ В 2020 году действительно бывают методы, которые устанавливают, откуда может слать почту Вася, что сильно ограничивает возможность писать произвольные адреса. В теории. Жёсткую политику мало кто поддерживает. Из популярных в России почтовых сервисов так делает только почта Mail.ru
➡️ Электропочта имеет давно установившиеся практики и единый протокол. Попытка удара по сервисам электропочты возможно будет не так эффектна, как блокировка Telegram, но очень «эффективна» в смысле сопутствующего ущерба

😱 Тема с письмами о ложных минированиях — порядком утомившая безграмотная чушь. Если силовикам надоело реагировать на анонимные письма/сообщения, то надо просто перестать на них реагировать. Единичная блокировка почтовых сервисов не решит проблему анонимок ни с какой точки зрения

‼️ Законодательство и нормативная правовая база России не умеет блокировать сервисы. Кривоватая формулировка есть только в статье, по которой блокировали Telegram. В остальных случаях формулировки про «указатели страниц в сети». Почтовый сервис заблокирован по статье 15.3 закона «об информации». Там про прокурорскую мгновенную блокировку страниц в интернете за экстремизм и призывы к массовым беспорядкам. Роскомнадзор в своей новости что-то мямлит про «не предоставили по запросу российской стороны сведений о лицах», но такой причины блокировки даже для внутреннего потребления нет. А во вне — это вообще плохой аргумент. Блокировка строго незаконная.

‼️ НАПОМНЮ. Заблокировали Protonmail не за отказ выдачи сведений, и не за отказ предоставить данные для включения в реестр Организаторов Распространения Информации (ОРИ), а по притянутой за уши статье «недостоверная информация, нарушающая работу критической инфраструктуры»

🔥🔥🔥 Хочу обратить внимание, что пользователи того почтового сервиса, как и сам сервис — добросовестные участники отношений. Не обязательно быть «плохим парнем», чтобы «отхватить» блокировку. Это очень важно

😱 Я разрываюсь в оценке. Это или дремучее невежество, помноженное на наплевательство на всё, кроме цели. Или это попытка дискредитации зарубежных сервисов, чтобы по возможности локализовать и почту

😃 Я уже призывал к правлению декретами? Какой смысл в законах, которые вообще никто не исполняет?

#ликбез 👉 По сети ходит страшное Постановление Правительства об обязательной регистрации в мессенджерах по номеру телефона:
http://publication.pravo.gov.ru/Document/View/0001202110210009

☝️ С сожалением сообщаю, что все, кто удивился — проспали свой автобус. Закон и принятые подзаконные акты об обязательной регистрации в мессенджерах по номеру телефона НЕ работают с мая 2019 года (т.е. вступили в силу, но ничего не происходит). Новое Постановление вышло только из-за требований Федерального закона «об обязательных требованиях», который потребовал обновить все реперссивные нормы:
http://publication.pravo.gov.ru/Document/View/0001201811060001

Про трансляцию (см. в закрепе) и что там планируется:

До конца года мы хотим запустить в бета-тестирование наш новый проект [название скажу завтра — интрига] по борьбе с блокировками, о чем, собственно, мы и поговорим. Тем, на самом деле, гораздо больше, но сосредоточимся именно на проекте.

В гости ко мне придет Неугомонный™ Фил© из https://t.me/usher2 и СОО проекта, который будет инкогнито по понятным причинам.

В общем, завтра, по возмжности, освободите в календаре час времени на 13 CET (по Берлину) — я все расскажу и вы сами сможете все уже руками потрогать.