Хроники связи СВО

Управление через белый список В профильных каналах прошло сообщение, мимо которого не пройти. «Никакой это не старлинк. Это мобильный интернет через белые списки. Прямо сейчас у меня лежит модуль, подсасывающий с сервера конфиг видеопоказа Авито. И через него он гонит и видео, и управление». Лежит, по словам автора, месяца три. В тот же день Минцифры разослало хостерам, CDN и сервисам веб-защиты письмо: вынести адреса ресурсов из белого списка в отдельные подсети, чтобы исключить их использование теми, кто согласования не получал. Две новости про одно и то же. Как устроен белый список. Когда мобильный интернет в районе гасят, оператор пропускает трафик к ограниченному перечню ресурсов: госуслуги, банки, карты, крупные площадки. Разрешение даётся по адресам и подсетям. Фильтр смотрит, куда идёт пакет. Не на то, что внутри. Здесь и лежит дыра — не в реализации, а в конструкции. Крупный сервис почти никогда не живёт на собственном изолированном адресе. Он живёт в облаке или за сетью доставки контента, где на одном адресе обслуживаются сотни клиентов. Разрешив «вот этот сервис», вы разрешаете подсеть, где стоит он и всё, что рядом арендует мощности. Отсюда и письмо про подсети: признание, что список работает не так, как задумывался. Только вынести адреса — задача не техническая, а экономическая. Сеть доставки контента тем и живёт, что складывает клиентов в общие пулы: балансировка, географическое разнесение, защита от распределённых атак. Порежьте пулы под каждого — станет дороже, медленнее и менее устойчиво. Заплатят хостеры, площадки и пользователи разрешённых сервисов. Главный аргумент сформулировал автор исходного поста, и точнее, чем сделал бы я. Отличить «правильный» трафик к разрешённому адресу от «неправильного» нельзя. Содержимое зашифровано, снаружи видны объём, ритм и направление. Обнаружение по косвенным признакам работает — так ловят и мошеннические схемы, и туннели, — но для этого надо накопить статистику. Нужно время. А у вылета времени нет. Сессия одноразовая, живёт десятки минут и больше не повторяется. К моменту, когда статистика накопится и признак станет достоверным, аппарат уже отработал. Метод, рассчитанный на устойчивое повторяющееся поведение, против одноразового события не работает в принципе. Дальше предложение: Вычислять точку пролёта акустикой и радаром и выключать в этой зоне весь мобильный интернет целиком. Дрон летит быстро, отключение в каждой точке минут на десять, пережить можно. Технически работает. Нет сети — нет канала, и списки уже ни при чём. Посчитаем цену. Маршрут дальнего аппарата — полоса в сотни километров. Десять минут в каждой точке означают, что вдоль всей полосы последовательно ложится связь. Там живут люди, которым в эти десять минут может понадобиться скорая. Там же банковские терминалы, диспетчерские, охрана и оповещение, которое как раз и должно сработать при пролёте. Получается, что средство защиты работает ровно тем же способом, что и угроза: гасит связь на территории. Разница только в том, кто нажал кнопку. Белый список — это попытка сделать сеть избирательной по назначению. Сеть так не умеет. Она либо пропускает пакет, либо нет, а всё, что между этим, — статистика с ошибками в обе стороны. Пропустишь лишнее — дыра. Перекроешь лишнее — без связи остаются свои. И посмотрите, куда мы пришли за неделю. Зашифрованный DNS придушили, чтобы видеть имена. Википедию закрыли. Туннели объявили вредной привычкой, от которой надо отучать молодёжь. А канал управления, по сообщению человека, который держит этот модуль в руках, спокойно едет через тот самый разрешённый список. Сужение доступа не помешало тому, ради кого затевалось. Своим мешает ежедневно. Если у кого-то есть работающее возражение по существу — не про политику, а про то, как отличить один зашифрованный поток от другого за десять минут, — напишите. Я правда не вижу решения, и был бы рад ошибаться. Communicatio est victoria. — Душнила t.me/zas_svo vk.com/zas_svo #связь #белыесписки #РЭБ #блокировки