Як працуе сістэма, з дапамогай якой ФСБ сочыць за расіянамі ў інтэрнэце. Падобным могуць карыстацца і беларускія сілавікі

Выданне «Важные истории» вывучыла тэхнічную дакументацыю, фрагменты зыходнага кода, службовыя логі, запісы перахопленага трафіку, скрыншоты і відэа працы расійскай сістэмы тэхнічных сродкаў для забеспячэння функцый аператыўна-вышуковых мерапрыемстваў, больш вядомай як СОРМ.

Матэрыялы датаваныя 2021—2024 гадамі.

Дакументы не апісваюць абсалютна ўсе варыянты абсталявання СОРМ, але дазваляюць зразумець, як працуе сістэма аналізу інтэрнэт-трафіку.

СОРМ атрымлівае копію ўсяго трафіку

Абсталяванне СОРМ знаходзіцца ўнутры сеткі аператара і атрымлівае поўную копію трафіку яго карыстальнікаў. Сістэма спрабуе прывязаць яго да канкрэтнага абанента: у мабільнай сетцы — праз нумар тэлефона і ідэнтыфікатар абанента, у правадной — праз лагін у правайдара.

Таму дзеянні праз хатні Wi-Fi СОРМ звязвае з чалавекам, на якога аформленая дамова на інтэрнэт.

Далей сістэма аналізуе трафік і вызначае, што рабіў карыстальнік: заходзіў на сайт, адпраўляў файл, карыстаўся поштай, месенджарам або іншым сэрвісам.

Сістэма распазнае розныя віды трафіку па характэрных прыкметах, назве сервера і статыстычных асаблівасцях злучэння.

Калі інфармацыя не была адабраная для перадачы на пульт ФСБ адразу, гэта не азначае, што яна знікае. Статыстыка злучэнняў і тое змесціва паведамленняў, якое сістэме ўдалося атрымаць, трапляюць у сховішча даных пад назвай «Январь».

Павялічыць

У залежнасці ад тыпу інфармацыі яна можа захоўвацца там ад паўгода да трох гадоў. На працягу гэтага часу сілавікі тэхнічна могуць звяртацца да назапашанага трафіку. Як часта і ў якіх маштабах яны гэта робяць, з вывучаных дакументаў невядома.

Што можа бачыць ФСБ

Магчымасці сістэмы маюць істотнае абмежаванне: большая частка сучаснага інтэрнэт-трафіку зашыфраваная. Паводле вывучанай дакументацыі, распрацоўшчыкі СОРМ не ставілі перад сабой задачу ўзломваць гэтае шыфраванне.

Таму тэкст паведамленняў, змест размоў і перададзеныя файлы ў сучасных зашыфраваных сэрвісах застаюцца для сістэмы недаступнымі.

Але шыфраванне не хавае ўсіх звестак. СОРМ можа збіраць метаданыя — інфармацыю пра сам факт і характарыстыкі злучэння. Напрыклад, сістэма можа вызначыць, калі чалавек выйшаў у інтэрнэт, на якія сайты заходзіў, колькі даных перадаў, калі пачаўся і скончыўся званок праз месенджар і колькі ён працягваўся.

Такія даныя ўжо дазваляюць даведацца даволі шмат пра паводзіны чалавека. А калі супастаўляць час пачатку і заканчэння званкоў розных карыстальнікаў, тэарэтычна можна высвятляць, хто з кім размаўляў. Пры гэтым з дакументаў невядома, ці праводзіць ФСБ такі аналіз на практыцы.

ФСБ можа адбіраць з агульнага патоку патрэбны трафік паводле IP-адраса, нумара тэлефона, электроннай пошты або дамена.

Павялічыць

Тэхнічна СОРМ дазваляе шукаць нават па канкрэтных словах. Але, паводле крыніцы «Важных историй», на практыцы гэта амаль не выкарыстоўвалася: такі пошук патрабуе шмат рэсурсаў, а незашыфраванага трафіку цяпер мала.

Каб атрымліваць з перахопленага трафіку больш інфармацыі, распрацоўшчыкі СОРМ выкарыстоўваюць дэкодары — асобныя праграмныя модулі для канкрэтных сэрвісаў і праграм. Яны не расшыфроўваюць трафік, але дазваляюць распазнаць сэрвіс і сабраць больш падрабязныя метаданыя.

Такія дэкодары ёсць для многіх месенджараў, сродкаў ананімізацыі трафіку, а таксама некаторых крыптавалют.

Калі дэкодара для нейкага сэрвісу няма, інфармацыя ўсё роўна збіраецца. Але частка даных можа губляцца, а сам трафік пазначаецца як нераспазнаны.

Вось як СОРМ распазнае некаторыя папулярныя сэрвісы

Telegram, WhatsApp, IMO, Zoom, Viber, WeChat і Discord. Для іх у СОРМ ёсць дэкодары і сістэма можа вызначыць, што чалавек карыстаецца гэтымі сэрвісамі, і сабраць метаданыя званкоў. Але СОРМ не бачыць, з кім чалавек размаўляе і пра што.

Signal. Асобнага дэкодара для яго ў вывучанай дакументацыі няма. Больш за тое, СОРМ, імаверна, не заўсёды можа надзейна вызначыць нават сам факт выкарыстання Signal: яго трафік выглядае як звычайнае зашыфраванае злучэнне.

Google. Сістэма бачыць, што карыстальнік звяртаўся да google.com, але не бачыць сам пошукавы запыт і адказ Google. Няма ў дакументацыі і асобных дэкодараў для Google Meet і Google Drive. Таму СОРМ не можа пачуць размову ў Google Meet або прачытаць файл, загружаны ў Google Drive, хоць па характары трафіку можа адрозніць відэазванок ад перадачы файла.

ICQ, «Mail.ru Агент» і Jabber. Гэтыя старыя незашыфраваныя сэрвісы для СОРМ значна больш празрыстыя: сістэма можа атрымаць нават змест паведамленняў.

OpenVPN і PPTP. СОРМ можа распазнаваць гэтыя VPN-пратаколы.

WireGuard і VLESS. У вывучанай дакументацыі яны не згадваюцца. VLESS маскіруецца пад звычайны HTTPS-трафік, таму для СОРМ ён, імаверна, выглядае як звычайнае зашыфраванае вэб-злучэнне. Ці можа сістэма распазнаць WireGuard, з дакументаў незразумела.

Павялічыць

Такім чынам, СОРМ не з'яўляецца сістэмай, якая аўтаматычна «чытае ўсё». Шыфраванне сучасных сэрвісаў істотна абмяжоўвае яе магчымасці. Але нават без доступу да зместу перапіскі яна дазваляе звязаць інтэрнэт-актыўнасць з канкрэтным абанентам, убачыць наведванне сайтаў і выкарыстанне шэрагу сэрвісаў, збіраць метаданыя і адбіраць трафік паводле зададзеных ФСБ крытэрыяў.

Пры гэтым гаворка ідзе толькі пра магчымасці СОРМ. Адсутнасць доступу да зашыфраванай перапіскі праз гэтую сістэму не азначае, што расійскія сілавікі не могуць атрымаць яе іншымі спосабамі.

• 3
• 0
• 1
• 0
• 1
• 0
• 0
• 0