РБК: ФСБ требует у Яндекса ключи шифрования
4 июня 2019 года
ФСБ потребовала у Яндекс ключи шифрования к данным пользователей сервисов Яндекс.Почта и Яндекс.Диск, сообщает РБК со ссылкой на источники. По данным издания, это произошло несколько месяцев назад и Яндекс всё ещё не выполнил требование. ФСБ потребовала у Яндекса так называемые сессионные ключи, передача которых, по словам экспертов, предоставит не только доступ к переписке, но и к логину, паролю и метаданным, а также позволит анализировать трафик. Отказ Яндекса связан с тем, что компания считает толкование закона спецслужбой слишком широким и обеспокоена возможным уроном из-за сотрудничества с ФСБ, следует из публикации. Из-за аналогичного отказа в России был заблокирован Telegram.
Яндекс.Почта и Яндекс.Диск находятся в реестре организаторов распространения информации (ОРИ), то есть интернет-площадок, на которых пользователи могут обмениваться сообщениями. Согласно «пакету Яровой», с июля 2016 года Управление оперативно-технических мероприятий ФСБ получило право требовать от любого сервиса из реестра ОРИ передать ему «информацию, необходимую для декодирования принимаемых, передаваемых, доставляемых и (или) обрабатываемых электронных сообщений пользователей сети интернет».
В ФСБ не ответили на запрос журналистов. В случае с Telegram, который был заблокирован в апреле 2018 года, правоохранительные органы хотели получить ключи для дешифровки пользователей, которые подозревались в организации терактов в метро Санкт-Петербурга. В свою очередь, основатель Telegram Павел Дуров отказался передавать информацию, мотивируя это защитой частной жизни и политикой конфиденциальности.
По словам источника РБК на ИТ-рынке, в Яндексе считают, что ФСБ слишком широко трактует норму «пакета Яровой»:
 | Спецслужба требует от компании предоставить сессионные ключи, которые, по сути, дают доступ не только, например, к сообщениям в почте, но и позволяют анализировать весь трафик от пользователей к находящимся в реестре ОРИ сервисам «Яндекса». Не говоря уже о том, что дешифровка всего трафика в рамках пользовательской сессии несет значительные риски в плане безопасности. |  |
Информацию про то, что ФСБ требует от компании именно сессионные ключи, подтвердил и второй источник, близкий к интернет-холдингу.
Сессионный ключ — это ключ шифрования, который используется только для одного соединения между пользователем и сервером, то есть одной сессии, пояснил бывший разработчик The Tor Project Леонид Евдокимов:
| В случае с Яндекс.Почтой он вырабатывается, когда пользователь только заходит на страницу mail.yandex.ru, а прекращает свое действие в зависимости от настроек через какое-то время, после того как пользователь либо закроет вкладку Яндекс.Почта, либо полностью закроет браузер, либо выключит компьютер. | |
Таким ключом шифруются не только сообщения пользователя, но и все метаданные (когда, кто, с какого IP-адреса заходил в аккаунт и т. д.), а также логин и пароль, которые пользователь отправляет на серверы Яндекса в процессе авторизации. «Поэтому передача сессионного ключа какого-либо пользователя спецслужбам может позволить им завладеть логином и паролем от почтового ящика этого пользователя», — утверждает Евдокимов.
Он согласен с тезисом о возможном снижении уровня безопасности в случае дешифровки пользовательского трафика:
| Сама идея сессионного ключа состоит в том, что он не сохраняется. Тем самым обеспечивается безопасность передачи данных, так как в случае их перехвата злоумышленник не сможет их расшифровать. В этом смысле хранение и передача сессионных ключей создают определенные риски. | |
Консультант по информационной безопасности Cisco Systems Алексей Лукацкий подтверждает, что «сессионный ключ в любом случае шифрует логин и пароль, которые пользователь передает на сервер в процессе авторизации, так что передача такого ключа ФСБ может дать доступ к аутентификационным данным пользователя».
Он указал, что Яндекс использует систему Single Sign-On, при которой, авторизовавшись в Яндекс. Почте, можно без повторной аутентификации перейти в Яндекс. Музыку, Яндекс. Диск и любой другой сервис:
| Ключ шифрования при переходе в разные сервисы должен быть свой, но если это не так, то это архитектурная проблема, которая может открыть доступ к данным в разных сервисах Яндекса». Тогда передавать сессионный ключ, конечно, небезопасно. | |
Леонид Евдокимов считает, что сессионные ключи позволяют получить не только доступ к данным, но и анализировать само поведение пользователей. Например, в Яндекс. Диск, завладев сессионным ключом, можно смотреть, кто и какие данные скачивал, отметил он.
По словам собеседника РБК, близкого к Яндексу, компания обеспокоена тем, что сотрудничество с ФСБ может привести к оттоку пользователей, потере доли на рынке и, как следствие, существенным денежным потерям. «Иностранные компании, например Google, ФСБ не принуждает к такому сотрудничеству, поэтому Яндекс тут видит угрозу своему конкурентному положению», — говорит он.
Непредоставление ключей шифрования в установленный срок является нарушением действующего Кодекса об административных правонарушениях. По закону ФСБ должна составить протокол об административном правонарушении и, если суд признает «Яндекс» виновным по статье 13.31 КоАП, может назначить компании штраф в размере до 1 млн руб., пояснил партнер Центра цифровых прав Саркис Дарбинян.
По его словам, если компания и после этого не предоставит ключи шифрования, Роскомнадзор вынесет ей предписание об устранении нарушения, на исполнение которого дается не менее 15 дней:
| В случае неисполнения предписания Роскомнадзор, в теории, может обратиться в суд с требованием заблокировать на территории России сервисы, ключи шифрования от которых отказываются предоставить. Во всяком случае такая процедура была использована в истории с блокировкой Telegram, в законе же прямо не указаны полномочия Роскомнадзора и ФСБ в данной ситуации. | |
Однако он считает маловероятным развитием событий блокировку сервисов Яндекса на территории России, как это было с Telegram:
| Скорее, они будут долго торговаться и в итоге придут к какому-то компромиссу. У государства здесь есть сильный рычаг. Если «Яндекс» совсем не будет идти на диалог, допускаю, что в целях устрашения они могут ограничить доступ к его сервисам на день-два — и это сразу же приведет к большим убыткам для компании. Но это будет просто кошмар, если спецслужбы начнут блокировать сервисы крупнейшей российской интернет-компании на постоянной основе. | |
По данным SimilarWeb, число посещений Яндекс.Почта в апреле 2019 года составило 432 млн, а Яндекс.Диск — 27,32 млн.
Новость о требованиях ФСБ к Яндексу по-настоящему взволновала многих пользователей Рунета. Мнения экспертов, а также пользователей Сети относительно данной ситуации неоднозначны — кто-то встал на сторону компании, а кто-то видит в этом попытку Яндекса оправдаться за уже состоявшееся сотрудничество с силовиками. Озвучиваются и другие версии происходящего.
Исполнительный директор «Центра цифровых прав», эксперт «РосКомСвободы» Денис Лукаш на вопрос, почему Яндекс раньше не вынес этот вопрос в публичную плоскость, тем самым обеспечив себе поддержку со стороны общественности, ответил: «Нельзя упрекнуть Яндекс в том, что они не выносили это в публичную плоскость, на практике это не способствовало раньше в решении такого рода проблем. Скорее это мог быть последний шаг. Вернее — сама возможность выноса в публичную плоскость укрепляла их переговорную кулуарную позицию. Стоит отметить, что при проведении ОРМ со стороны органов Яндекс вероятно и так передавал информацию о пользователях».
Котировки акций Яндекса упали на новости о том, что ФСБ потребовала от компании предоставить ключи для дешифровки данных пользователей сервисов Яндекс.Почта и Яндекс.Диск.
По закону «Об оперативно-розыскной деятельности» ФСБ уже на протяжении многих лет может получать доступ к телефонным переговорам граждан или запрашивать у интернет-компаний их переписку, но для этого ей необходимо получать постановление суда. По данным Судебного департамента при Верховном суде России, за 2018 год российские суды удовлетворили 828,5 тыс. ходатайств правоохранительных органов об ограничении конституционных прав граждан на тайну переписки и контроле их телефонных переговоров. Ещё 6,6 тыс. таких ходатайств было отклонено.
«Получение ключей шифрования и последующего доступа к переписке для ФСБ — более удобная схема, чем идти в суд, просить постановление и лишь затем запрашивать переписку, как это работало ранее. Не вижу никаких логичных и понятных причин, кроме возможного сокращения скорости информационного обмена (то есть отсутствия необходимости ждать постановление суда) и потенциального перехвата сессий для выемки данных и других действий в обход стандартных процедур», — считает Леонид Евдокимов.
Источники
править |
Эта статья содержит материалы из статьи «Эксперты: Яндекс может повторить судьбу Telegram из-за отказа предоставлять ключи шифрования ФСБ», опубликованной на сайте Роскомсвободы и распространяющейся на условиях лицензии Creative Commons Attribution-ShareAlike 3.0 Unported (CC BY-SA 3.0). |  |
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
