Ассоциация «Отечественный софт» призвала власти пересмотреть политику блокировок и ограничений VPN

Ассоциация разработчиков программных продуктов «Отечественный софт» (АРПП) направила российским властям письмо с предложением создать «совместный орган для выработки взвешенной политики блокировок — вместе с профессиональными специалистами IT‑сообщества». Документ адресован председателю правительства Михаилу Мишустину и главе администрации президента Антону Вайно и опубликован на сайте организации. По мнению АРПП, действующая политика блокировок и используемые технические методы следует признать «неудачными» и пересмотреть, ослабив ограничения так, чтобы изменения были заметны пользователям в повседневной жизни.

Уважаемый Михаил Владимирович! Уважаемый Антон Эдуардович!

Ассоциация разработчиков программных продуктов (АРПП) «Отечественный софт» считает необходимым изложить свою позицию по вопросу ограничений на использование протоколов VPN и VPN‑сервисов на территории Российской Федерации.

Министерство цифрового развития, связи и массовых коммуникаций РФ с 1 апреля ввело ограничения на использование VPN для граждан и бизнеса. Согласно распоряжению ведомства, с 15 апреля интернет‑платформы и операторы связи обязаны выявлять пользователей, применяющих VPN для обхода ограничений, и ограничивать им доступ к площадкам. Эти меры введены ведомственным распоряжением, без принятия отдельного постановления или нормативно‑правового акта и без общественного обсуждения с участием профильного ИТ‑сообщества.

Изначально государством было заявлено стремление усилить контроль над информационным пространством России. В качестве основного технического решения была выбрана полная блокировка ряда зарубежных цифровых платформ, а также замедление работы некоторых популярных сервисов. Это объяснялось наличием большого объема враждебного контента, невозможностью точечно ограничивать отдельные страницы и материалы, а также отказом владельцев этих платформ взаимодействовать с российским регулятором и выполнять требования российского законодательства.

По мере расширения перечня блокируемых интернет‑ресурсов надежность этих блокировок снижалась, а число пользователей, активно использующих VPN и другие средства обхода ограничений, стремительно росло. Сервисы обхода стали проще в использовании и получили широкое распространение среди неквалифицированных пользователей.

Следующим шагом в эскалации борьбы с обходом ограничений стала попытка блокировки самих сервисов и протоколов VPN. Однако эти меры уже привели к сбоям в работе российского сегмента Интернета, поскольку при их введении не были учтены технологические и социальные особенности функционирования сети в России. В частности:

• не существует надежного технического способа отличить VPN‑трафик от «обычного» зашифрованного интернет‑трафика;
• невозможно уверенно разделить «законные» корпоративные VPN и VPN‑сервисы, используемые для обхода блокировок;
• любой пользователь или компания может самостоятельно развернуть собственный VPN‑сервер; кампания по блокировкам фактически популяризировала технологию VPN и сделала ее доступной миллионам людей без специальной подготовки;
• ограничения стимулируют противников РФ ускорять разработку более изощренных технологий обхода блокировок и маскировать трафик приложений под VPN, что усиливает риск ложных срабатываний технических средств противодействия угрозам (ТСПУ);
• из‑за невозможности достоверно отделить «легитимный» VPN‑трафик от трафика для обхода блокировок уже фиксируются, и в дальнейшем будут нарастать, ложные блокировки, приводящие к сбоям и авариям в российском сегменте сети;
• при этом ограничения VPN не решают полностью задачу блокировки запрещенных ресурсов, поскольку существуют и другие способы обхода (прокси‑серверы, специальные настройки оборудования и т. п.).

<…> Действия Минцифры России, направленные на борьбу с обходом блокировок, привели к тому, что с начала апреля в стране наблюдаются системные проблемы в работе Интернета.

Кроме того, попытки ограничить работу VPN создают серьезные трудности для российских разработчиков программного обеспечения:

• возникают проблемы с доступом к open‑source библиотекам на зарубежных ресурсах. Программисты используют VPN, чтобы работать с репозиториями открытого кода и не демонстрировать российский IP‑адрес. Сегодня 99% современного ПО опирается на открытый исходный код, основная часть которого размещена в странах, относимых к недружественным к РФ; без этого разработка программных продуктов практически невозможна, а ограничения VPN затрудняют доступ и тормозят импортозамещение;
• системы DPI, как и любые средства автоматического распознавания, неизбежно дают ложные срабатывания. Так, 14 апреля на несколько часов оказался заблокирован один из крупнейших репозиториев Linux — Debian, ранее блокировке подвергался репозиторий Rust. Подобные инциденты приводят к простоям в работе отечественных команд;
• многие российские ИТ‑компании привлекают к работе специалистов из других стран. Ограничения VPN осложняют взаимодействие с такими сотрудниками;
• компании, экспортирующие свои программные продукты, сталкиваются с серьезными затруднениями в коммуникации с зарубежными партнерами, поскольку она часто ведется через мессенджеры и сервисы, доступ к которым ограничен без использования VPN.

К этому добавляется еще один важный фактор. В течение последних десятилетий российские разработчики осваивали в основном зарубежные языки программирования, инструменты и продукты. Подавляющее большинство профессиональной терминологии, документации и библиотек существует на английском языке, что объективно формирует зависимость от глобального ИТ‑сообщества. Специалисты не ощущают жесткой привязки к конкретной стране и при ухудшении политического фона и условий работы легко находят вакансии за рубежом. Мобилизация в рамках СВО осенью 2022 года уже спровоцировала выезд десятков тысяч квалифицированных разработчиков, часть которых удалось вернуть лишь с большими усилиями.

Ограничения доступа вызывают у разработчиков отторжение и стремление обойти установленные барьеры. На сотнях профессиональных форумов в России уже обсуждается, как сохранить доступ к привычным платформам, репозиториям и сервисам, несмотря на новые правила. Для программистов блокировки воспринимаются прежде всего как техническая задача, которая, по их мнению, подлежит техническому же решению.

Это означает, что политика блокировок провоцирует активное технологическое противодействие со стороны широкой ИТ‑среды — по оценкам, до 1,2 миллиона специалистов, чьи суммарные компетенции существенно превосходят ресурсы, которыми располагают государственные ведомства.

Такую «игру» государственный орган и его технические подразделения выиграть не смогут, даже если продолжить эскалацию, ужесточая меры и усиливая санкции в отношении частных лиц и компаний.

В частности, по имеющейся информации, обсуждается вариант дальнейшей эскалации в формате так называемых «белых списков» VPN, разрешенных для корпоративного использования. Однако и эта мера, по нашему мнению, окажется малоэффективной: даже если компаниям навяжут такой список, рядовые разработчики будут использовать другие, более изощренные инструменты, в том числе для того, чтобы избежать блокировок со стороны зарубежных сервисов и репозиториев, которым о наличии «белого списка» станет известно. Дополнительно ограничение выхода ИТ‑компаний за рубеж через строго фиксированный набор сервисов фактически облегчает реализацию иностранных санкций против России.

Наконец, проблема блокировок средств доступа перестала быть исключительно технической и приобрела заметное политическое измерение. Она вызывает сильное недовольство как в ИТ‑сообществе, так и среди широких слоев населения, что отражается в общественных настроениях и результатах опросов.

Предложения по изменению политики блокировок

Что, на наш взгляд, следует сделать в сложившейся ситуации?

• Политику блокировок и используемые технические методы необходимо признать неудачными и пересмотреть.
• О таком пересмотре важно объявить публично, одновременно заметно ослабив блокировки, чтобы граждане могли увидеть реальные изменения в повседневной работе Интернета.
• Нужно создать совместный орган по выработке взвешенной политики в сфере блокировок с участием профессионального ИТ‑сообщества. Отрасль обладает значительным опытом противодействия вредоносной активности в сети (вирусы, кибератаки, мошенничество, фишинг, спам), и эти компетенции можно и необходимо использовать.
• Ассоциация разработчиков программных продуктов «Отечественный софт» готова направить в такой орган своих ведущих специалистов из разных компаний, чтобы выработать решения до того, как ситуация перейдет к очередному витку эскалации, массовым увольнениям и новой волне отъезда разработчиков за границу.
• Мы готовы предложить комплекс взвешенных мер по суверенизации информационного пространства РФ без разрушения ключевой инфраструктуры Рунета.