Публичная перебранка между главой Роскомнадзора Александром Жаровым и администрацией сервиса Telegram о необходимости его официальной регистрации в России на минувшей неделе закончилась ко всеобщему удовольствию. Создатель и владелец мессенджера Павел Дуров сообщил, что, так и быть, согласен встать на учет, после чего в ведомстве рапортовали, что выполнили все формальности и не будут блокировать доступ к Telegram в интернете. Однако, как полагают эксперты, главный бой с Павлом Дуровым, а также другими мессенджерами у российских властей еще впереди.

Самое интересное начнется через год, когда вступят в действие все нормы скандального «закона Яровой», по которому так называемые «организаторы распространения информации» (ОРИ) должны будут начать хранить на серверах в России сведения о своих клиентах и их переписку и переговоры и, главное, делиться ими со спецслужбами. Павел Дуров сразу, соглашаясь на регистрацию в Роскомнадзоре, заявил, что не будет «выполнять антиконституционный и нереализуемый технически «закон Яровой» – равно как и другие законы, не совместимые с защитой частной жизни и политикой конфиденциальности Telegram». В Роскомнадзоре на это кратко, но многозначительно заметили, что «насчет «пакета Яровой» – это уже не наша история», намекая, что его реализацией, когда придет время, займутся более компетентные органы, то есть ФСБ.

Впрочем, чем на деле все это обернется, опрошенные «Профилем» эксперты пока гадают. Во‑первых, непонятно, как технически мессенджеры и другие попавшие в число «организаторов распространения информации» цифровые сервисы могут выполнить требования «закона Яровой». По идее, от них требуется передача «уполномоченным органам» как сведений, так и шифров, которые используются при их передаче. Но многие устроены так, что вся эта информация генерируется и хранится исключительно в смартфонах пользователей. Во‑вторых, неясно, что грозит нарушителям. Роскомнадзор обещает их блокировать в интернете, но, как показывает жизнь, блокировки легко обходятся. И хоть Госдума готовит закон о запрете программ по обходу блокировок, очевидно, что выполнить его на деле будет как минимум непросто, если не невозможно, в силу самой природы интернета.

Атака на Telegram

Анекдотичность продолжавшейся почти неделю публичной перепалки между Павлом Дуровым и Александром Жаровым на первый взгляд могла создать видимость ее бессмысленности. Почти каждый день глава Роскомнадзора при поддержке всех федеральных телеканалов и ФСБ выступал с «последним китайским предупреждением», обвиняя Telegram в грубом неисполнении российских законов и потворстве террористам (поскольку те якобы использовали при общении мессенджер), обещая блокировать сервис. В ответ Дуров, давно проживающий за границей, и его соратники так же регулярно отвечали Роскомнадзору, то обвиняя его в профанации борьбы с терроризмом и грозя передачей переписки чиновников в его мессенджере в юрисдикцию США, то высмеивая. Не менее комичным оказался и финал спора. Дуров сообщил, что Роскомнадзор может взять данные, необходимые для регистрации мессенджера в реестре ОРИ, из открытых источников. На что Роскомнадзор вдруг сказал, что этого вполне достаточно, озадачив всех: к чему были все прежние упреки и угрозы? Но эксперты в таком развитии событий ничего странного не видят.

«Атака на Telegram – логическое продолжение истории с реестром ОРИ, в который на каждом новом этапе включаются все более и более популярные сервисы», – считает руководитель проекта «Роскомсвобода» Артем Козлюк. Он напомнил, что этот реестр существует с 2014 года и первоначально Роскомнадзор по заявлению ФСБ вносил в него российские сервисы – как крупные (ВКонтакте, Одноклассники, Mail.ru, Rambler), так и менее известные (региональные форумы, службы знакомств, отраслевые порталы и так далее). Однако с марта текущего года в реестр стали вносить сервисы, имеющие иностранное происхождение. Те, кто отказался от сотрудничества с Роскомнадзором, были заблокированы, включая мессенджеры LINE и Blackberry Messenger – не самые известные в России, но популярные за рубежом.

«Это последовательная политика по принуждению сервисов к сотрудничеству и слежке за пользователями, – считает Козлюк. – Каждый шаг в этой истории до сих пор был сигналом для Telegram. Потенциальная блокировка Telegram – сигнал для гораздо более популярных в России WhatsApp и Viber: готовьтесь, мы придем за вами через какое-то время. Когда это случится, для крупнейших мессенджеров встанет вопрос – сотрудничать с российскими спецслужбами или быть заблокированными».

Председатель третейского суда Москвы и Московской области Олег Сухов пояснил, что для внесения в реестр ОРИ Роскомнадзор требует от «кандидатов» наименование, страну регистрации, налоговый идентификатор и идентификатор в торговом реестре страны регистрации, адрес местонахождения, почтовый адрес, электронный адрес, доменное имя, электронный адрес администратора ресурса, провайдера хостинга и описание сервиса. Сам факт внесения в реестр еще не обязует Дурова передавать данные спецслужбам. Однако со временем от Telegram как от организатора распространения информации, в соответствии с «законом Яровой» могут потребовать хранить на территории РФ и предоставлять в случае необходимости властям информацию двух типов. Первая – о фактах приема, передачи, доставки и (или) обработки голосовой информации, письменного текста, изображений, звуков, видео- или иных электронных сообщений пользователей сети интернет и информацию об этих пользователях. Вторая – текстовые сообщения пользователей, голосовая информация, изображения, звуки, видео-, иные электронные сообщения пользователей сети интернет до шести месяцев с момента окончания их приема, передачи, доставки и (или) обработки.

Первый пункт относится к метаданным, которые ОРИ уже обязаны хранить. Второй пункт станет обязателен с 1 июля 2018 года. Попросту, если сейчас ОРИ должны записывать, кому и когда вы звонили или писали, то в будущем им придется записывать и содержание ваших разговоров и посланий. «Впрочем, здесь есть определенный дуализм: серверная часть мессенджера закрыта для стороннего аудита, и со 100‑процентной уверенностью утверждать, какие данные пользователей уже сейчас собираются, а какие нет, мы не можем», – отметил Козлюк.

У каждого свой ключ

На текущий момент самые популярные мессенджеры последнего поколения хранят как минимум метаданные, телефонные номера и список контактов пользователей (если те позволяют приложению просканировать адреснуюстоит особняком, поскольку является частью социальной сети, которая собирает всю информацию о действиях пользователя для развития собственных алгоритмов. По этой же причине определенные опасения у адептов безопасности вызывает WhatsApp, также принадлежащий Facebook. Утверждается, что WhatsApp действует как отдельное подразделение внутри корпорации, но гарантии того, что мессенджер не делится данными с соцсетью, нет.

В WhatsApp, Viber и Telegram реализована технология конечного (end-to-end) шифрования, по которой ключи хранятся исключительно на устройствах пользователей и недоступны более никому, однако и к ним есть претензии. В случае с Viber это закрытость алгоритма шифрования для аудита и, следовательно, сомнения в его надежности. В случае с WhatsApp это возможность для приложения менять ключ шифрования без согласия пользователя. Причем пользователь даже постфактум не узнает о смене ключа, если не включена соответствующая опция в настройках. Об этой особенности в феврале узнала газета The Guardian, и ее эксперты заявили, что такая «задняя дверь» может позволить третьим лицам получить доступ к чату. WhatsApp, впрочем, ответил, что это сделано для удобства пользователей (многие из почти миллиарда человек, использующих WhatsApp, вообще не обращают внимание на шифрование), и открыто публикует любые запросы со стороны правительств.

Кроме того, история переписки пользователей WhatsApp и Viber сохраняется в незашифрованном виде в облачных сервисах iCloud и Google Drive вместе с резервной копией смартфона. В этом случае защита конфиденциальности переписки оказывается зависима от Apple и Google. Как раз на это указывал Дуров, когда писал, что после запрета Telegram переписка российских чиновников перейдет на американские серверы.

К Telegram, который Павел Дуров рекламирует как самый защищенный мессенджер, претензии не менее серьезные. Во‑первых, end-to-end шифрование, когда ключи существуют только на устройствах пользователей и недоступны даже разработчику, в Telegram по умолчанию не включено. Сообщения обычных чатов, которые использует большинство пользователей, идут через серверы Telegram, закрытые для независимого аудита. Полноценное end-to-end шифрование используется только в специальных секретных чатах, где также можно задать время для «самоуничтожения» переписки – одна из «фишек» мессенджера Дурова. «Кроме того, вся история переписки обычных чатов загружается на сервера Telegram и хранится там в незашифрованном виде, то есть владельцы данного мессенджера потенциально могут использовать переписку в собственных целях, например, рекламных – для профилирования пользователей и т. п.», – указывает руководитель группы исследований безопасности телекоммуникационных систем Positive Technologies Павел Новиков.

Во‑вторых, команда Дурова разработала собственный протокол шифрования, который также закрыт для независимого аудита. Эксперты сайта Gizmodo указывают, что проверить его надежность нельзя, в отличие от открытого протокола Signal, используемого, в частности, в WhatsApp. «Уверения разработчиков об исключительной защищенности мессенджера стоит воспринимать критично, – говорит Новиков. – Пользователи мессенджера защищены от злоумышленника с низкой квалификацией (в большинстве случаев этого более чем достаточно), но не от продвинутого хакера, который задался целью получить доступ к личной переписке. Год назад эксперты Positive Technologies продемонстрировали, как злоумышленник может получить полноценный доступ к аккаунту Telegram любого пользователя, проведя атаку через сигнальную сеть SS7 (которая используется для настройки телефонных станций. – «Профиль»). Эксперты получили доступ к тестовому аккаунту Telegram с возможностью читать и вести переписку от имени жертвы».

Уязвимость SS7 дает возможность злоумышленникам перехватывать смс-сообщения с кодом, который используется для авторизации в Telegram и прочих мессенджерах. Эта уязвимость могла использоваться при взломе Telegram оппозиционеров Олега Козловского и Георгия Албурова в 2016 году. Кроме того, если власти принудят сотовых операторов к сотрудничеству, то в определенном случае даже использование уязвимости SS7 не обязательно. Кстати, Козловский и Албуров обвинили тогда в пособничестве спецслужбам именно МТС.

Самый интересный вопрос – можно ли технологически передать ключи end-to-end шифрования третьей стороне, будь то Роскомнадзор или хакеры. «Производители утверждают, что ключи хранятся только на пользовательском устройстве, однако нет гарантий, что при определенных условиях мессенджер не передаст их серверу», – заключает Новиков. Но, учитывая вышеизложенное, а также недавние публикации WikiLeaks, из которых следует, что американские спецслужбы работают над методами перехвата сообщений до того, как они будут зашифрованы на смартфонах пользователей, заявления о защищенности того или иного средства связи вызывают все больше скепсиса.

Сейчас WhatsApp, Viber и другие игроки рынка по законным запросам правоохранительных органов передают им метаданные, но не содержание переписки или звонков. Павел Дуров гордится тем, что ни одно правительство не получило от Telegram ни бита информации пользователей.

Но мессенджерам будет сложно работать в России, когда «пакет Яровой» начнет действовать в полную силу. С WhatsApp, например, требования российских властей технически несовместимы: мессенджер не хранит переписку пользователей на сервере. Как российские власти будут добиваться от Facebook, который владеет мессенджером, желаемого, совершенно не ясно. «Сложнее всего будет предсказать, как поведет себя Facebook, – полагает Артем Козлюк. – Viber более лоялен, у них уже есть успешный опыт сотрудничества с Роскомнадзором в виде принципиального согласия следовать закону о локализации данных российских пользователей в России».

Вопрос цены

По данным исследований российских сотовых операторов, по числу пользователей в России Telegram значительно уступает WhatsApp, Viber и Skype, причем WhatsApp – почти в 10 раз. Но ссора с Роскомнадзором пока что сыграла Telegram на руку. На минувшей неделе приложение возглавило топ самых скачиваемых в российском App Store. Россия, впрочем, не является основным рынком для Telegram. Сейчас количество пользователей сервиса в мире превышает 100 млн человек. По данным же Российской академии электронных коммуникаций (РАЭК), доля российских пользователей в этом объеме составляет всего 6%, или около 6 млн человек. Для сравнения: в Иране Telegram пользуются, по разным оценкам, до 40 млн человек. Зарабатывает ли сейчас Telegram хоть что-то и как, доподлинно неизвестно. Изначально проект развивался исключительно на деньги Дурова и других инвесторов. Администрация мессенджера коммерческую информацию не раскрывает, но ходили слухи о планах зарабатывать с помощью API (интерфейс для создания приложений на базе Telegram) для сторонних разработчиков.

Несмотря на то, что сам создатель Telegram только строит планы, с момента запуска в 2013 году на нем зарабатывает целый спектр бизнес-направлений, указывают аналитики РАЭК. Для многих компаний сервис стал важным инструментом связи с клиентами. Автоматизированные Telegram-боты помогают бизнесу отвечать на типовые вопросы клиентов или отправляют информацию по запросу. Посредством Telegram клиенты не только получают полную информацию о товаре, но и могут сразу его оплатить. Многие компании также используют Telegram как средство корпоративного общения, в качестве бесплатной альтернативы таким сервисам, как Slack или Bitrix24.

«Многие возможности монетизации Telegram пока не реализовали свой потенциал, значительная часть которого лежит в области распространения контента. При этом мы наблюдаем, как мессенджер движется в сторону развития универсальной платформы по аналогии с WeChat», – полагают аналитики РАЭК. При этом они не смогли оценить сколько-нибудь значимый негативный экономический эффект для Рунета и связанных отраслей экономики в случае возможной блокировки Telegram. «Если рассматривать вопрос о последствиях использования Telegram для бизнеса, то следует помнить, что Telegram одним из последних пришел на рынок мессенджеров и действительно предложил новые маркетинговые инструменты, ранее недоступные бизнесу вообще или бесплатно: каналы, бот-платформа, прием платежей, – говорит доцент кафедры маркетинга РЭУ им. Плеханова Петр Невоструев. – Конечно, немногие компании пользуются этими возможностями, но главное, что они есть и позволяют выделиться на фоне конкурентов. Если же предположить, что Telegram все же заблокируют из-за непредоставления кодов шифрования, аудитория мессенджера в России уменьшится, но не исчезнет. Использование доступных способов обхода блокировки сделает Telegram сервисом своего рода «для избранных», что, скорее всего, поубавит интерес к нему со стороны бизнеса».

Впрочем, что на деле будет после попыток блокирования Telegram, пока представить трудно. С одной стороны, сейчас блокировки Роскомнадзора без проблем обходятся с помощью довольно простых средств, например, VPN или браузера Tor. Из-за этого власти решили принять закон об их запрете, но, по мнению специалистов, его будет так же легко обходить.