И ключ от квартиры сдайте...

prima · 04.06.2019, 14:30

Цитата:

ФСБ потребовала ключи шифрования переписки пользователей у «Яндекса»
ФСБ запросила ключи шифрования «Яндекс.Почта» и «Яндекс.Диск», но компания отказывается их передать: ключи могут дать доступ к паролям пользователей всей экосистемы «Яндекса».

Несколько месяцев назад ФСБ направила в «Яндекс» требование предоставить ключи для дешифровки данных пользователей сервисов «Яндекс.Почта» и «Яндекс.Диск», рассказали РБК источник на ИТ-рынке и собеседник, близкий к «Яндексу». Оба собеседника РБК утверждают, что за прошедшее время «Яндекс» так и не предоставил в спецслужбу ключи, хотя по закону на это отводится не более десяти дней. Ранее из-за отказа поделиться ключами в России по решению суда был заблокирован мессенджер Telegram.

Почему ФСБ потребовала от «Яндекса» ключи

«Яндекс.Почта» и «Яндекс.Диск» находятся в реестре организаторов распространения информации (ОРИ), то есть интернет-площадок, на которых пользователи могут обмениваться сообщениями. Согласно так называемому закону Яровой, с 20 июля 2016 года Центр оперативно-технических мероприятий ФСБ может потребовать от любого сервиса из реестра ОРИ передать ему «информацию, необходимую для декодирования принимаемых, передаваемых, доставляемых и (или) обрабатываемых электронных сообщений пользователей сети интернет».

В ФСБ не ответили на запрос РБК. В случае с Telegram, который был заблокирован в апреле 2018-го, правоохранительные органы хотели получить ключи для дешифровки пользователей, которые подозревались в организации терактов в метро Санкт-Петербурга. В свою очередь, основатель Telegram Павел Дуров отказался передавать информацию, мотивируя это защитой частной жизни и политикой конфиденциальности.

Что ответил «Яндекс»

Представитель пресс-службы «Яндекса» сообщил РБК, что компания «работает в полном соответствии с действующим законодательством». Он отказался отвечать на вопросы о том, действительно ли «Яндекс» получил требование от ФСБ предоставить ключи шифрования и не передал их.

По словам источника РБК на ИТ-рынке, в «Яндексе» считают, что ФСБ слишком широко трактует норму «закона Яровой». «Спецслужба требует от компании предоставить сессионные ключи, которые, по сути, дают доступ не только, например, к сообщениям в почте, но и позволяют анализировать весь трафик от пользователей к находящимся в реестре ОРИ сервисам «Яндекса». Не говоря уже о том, что дешифровка всего трафика в рамках пользовательской сессии несет значительные риски в плане безопасности», — говорит он. Информацию про то, что ФСБ требует от компании именно сессионные ключи, подтвердил и второй собеседник РБК, близкий к интернет-холдингу.

Сессионный ключ — это ключ шифрования, который используется только для одного соединения между пользователем и сервером, то есть одной сессии, пояснил бывший разработчик The Tor Project Леонид Евдокимов. «В случае с «Яндекс.Почта» он вырабатывается, когда пользователь только заходит на страницу mail.yandex.ru, а прекращает свое действие в зависимости от настроек через какое-то время, после того как пользователь либо закроет вкладку «Яндекс.Почта», либо полностью закроет браузер, либо выключит компьютер», — говорит он. Таким ключом шифруются не только сообщения пользователя, но и все метаданные (когда, кто, с какого IP-адреса заходил в аккаунт и т.д.), а также логин и пароль, которые пользователь отправляет на серверы «Яндекса» в процессе авторизации. «Поэтому передача сессионного ключа какого-либо пользователя спецслужбам может позволить им завладеть логином и паролем от почтового ящика этого пользователя», — утверждает Евдокимов. Он согласен с тезисом собеседника РБК о возможном снижении уровня безопасности в случае дешифровки пользовательского трафика. «Сама идея сессионного ключа состоит в том, что он не сохраняется. Тем самым обеспечивается безопасность передачи данных, так как в случае их перехвата злоумышленник не сможет их расшифровать. В этом смысле хранение и передача сессионных ключей создают определенные риски», — отметил он.

Консультант по информационной безопасности Cisco Systems Алексей Лукацкий подтверждает, что «сессионный ключ в любом случае шифрует логин и пароль, которые пользователь передает на сервер в процессе авторизации, так что передача такого ключа ФСБ может дать доступ к аутентификационным данным пользователя». Он указал, что «Яндекс» использует систему Single Sign-On, при которой, авторизовавшись в «Яндекс.Почта», можно без повторной аутентификации перейти в «Яндекс.Музыка», «Яндекс.Диск» и любой другой сервис. «Ключ шифрования при переходе в разные сервисы должен быть свой, но если это не так, то это архитектурная проблема, которая может открыть доступ к данным в разных сервисах «Яндекса». Тогда передавать сессионный ключ, конечно, небезопасно», — рассуждает Лукацкий.

Леонид Евдокимов считает, что сессионные ключи позволяют получить не только доступ к данным, но и анализировать само поведение пользователей. Например, в «Яндекс.Диск», завладев сессионным ключом, можно смотреть, кто и какие данные скачивал, отметил он.

По словам собеседника РБК, близкого к «Яндексу», компания обеспокоена тем, что сотрудничество с ФСБ может привести к оттоку пользователей, потере доли на рынке и, как следствие, существенным денежным потерям. «Иностранные компании, например Google, ФСБ не принуждает к такому сотрудничеству, поэтому «Яндекс» тут видит угрозу своему конкурентному положению», — говорит он.

Чем грозит «Яндексу» отказ

Непредоставление ключей шифрования в установленный срок является нарушением действующего Кодекса об административных правонарушениях. По закону ФСБ должна составить протокол об административном правонарушении и, если суд признает «Яндекс» виновным по статье 13.31 КоАП, может назначить компании штраф в размере до 1 млн руб., пояснил партнер Центра цифровых прав Саркис Дарбинян.

По его словам, если компания и после этого не предоставит ключи шифрования, Роскомнадзор вынесет ей предписание об устранении нарушения, на исполнение которого дается не менее 15 дней. «В случае неисполнения предписания Роскомнадзор, в теории, может обратиться в суд с требованием заблокировать на территории России сервисы, ключи шифрования от которых отказываются предоставить. Во всяком случае такая процедура была использована в истории с блокировкой Telegram, в законе же прямо не указаны полномочия Роскомнадзора и ФСБ в данной ситуации», — говорит Дарбинян.

Однако он считает маловероятным развитием событий блокировку сервисов «Яндекса» на территории России, как это было с Telegram. «Скорее, они будут долго торговаться и в итоге придут к какому-то компромиссу. У государства здесь есть сильный рычаг. Если «Яндекс» совсем не будет идти на диалог, допускаю, что в целях устрашения они могут ограничить доступ к его сервисам на день-два — и это сразу же приведет к большим убыткам для компании. Но это будет просто кошмар, если спецслужбы начнут блокировать сервисы крупнейшей российской интернет-компании на постоянной основе», — говорит Саркис Дарбинян.

По данным SimilarWeb, число посещений «Яндекс.Почта» в апреле 2019 года составило 432 млн, а «Яндекс.Диск» — 27,32 млн.

По закону «Об оперативно-розыскной деятельности» ФСБ уже на протяжении многих лет может получать доступ к телефонным переговорам граждан или запрашивать у интернет-компаний их переписку, но для этого ей необходимо получать постановление суда. По данным Судебного департамента при Верховном суде России, за 2018 год российские суды удовлетворили 828,5 тыс. ходатайств правоохранительных органов об ограничении конституционных прав граждан на тайну переписки и контроле их телефонных переговоров. Еще 6,6 тыс. таких ходатайств было отклонено.

«Получение ключей шифрования и последующего доступа к переписке для ФСБ — более удобная схема, чем идти в суд, просить постановление и лишь затем запрашивать переписку, как это работало ранее. Не вижу никаких логичных и понятных причин, кроме возможного сокращения скорости информационного обмена (то есть отсутствия необходимости ждать постановление суда) и потенциального перехвата сессий для выемки данных и других действий в обход стандартных процедур», — считает Леонид Евдокимов.

У кого еще могут потребовать ключи шифрования

В реестр ОРИ на данный момент включено более 170 сервисов, среди которых Tinder, «ВКонтакте», «Одноклассники», BlaBlaCar, Badoo, Vimeo и др. У любого из этих сервисов ФСБ в какой-то момент может потребовать предоставить ключи для дешифровки переписки пользователей.

Собеседников РБК тревожит включение в реестр ОРИ в январе 2019 года сервиса «Сбербанк Онлайн» — это система дистанционного банковского обслуживания для клиентов Сбербанка.

Включение «Сбербанк Онлайн» в реестр ОРИ выглядит довольно странно, хотя и понятно с точки зрения законодательства, поясняет Алексей Лукацкий. Многое зависит от того, как разделены в этом сервисе функции защиты финансовых транзакций и встроенного мессенджера, из-за которого, собственно, сервис и попал в реестр Роскомнадзора. «Если они шифруются разными ключами, то тогда все более-менее в порядке. Если же нет, то передача ключей шифрования от такого «чувствительного» сервиса — законодательно понятное, но с точки зрения безопасности очень сомнительное решение», — отмечает собеседник РБК. Представитель пресс-службы Сбербанка отказался от комментариев.

https://www.rbc.ru/technology_and_me...79474f8ab5494b

Николай_С · 04.06.2019, 15:17

В свете того, что Яндекс включает в себя сервис Яндекс.Деньги, то заголовок темы можно дополнить: И ключ от квартиры где деньги лежат сдайте...

aleksandrmakedo · 04.06.2019, 15:23

Цитата:

Сообщение от Николай_С

В свете того, что Яндекс включает в себя сервис Яндекс.Деньги, то заголовок темы можно дополнить: И ключ от квартиры где деньги лежат сдайте...

Дружище, мы все под Богом ходим. Однако, не боимся Суда, делаем чёрт знает что. Неужели суда ФСБ боитесь больше Суда Отца Небесного? Страшны какие-то мелочи, не страшитесь Вечного наказания?
Да не берите в голову, все ваши деньги лежат тайно только для честного человека. Для жулика вы и ваш кошелёк- открытая книга.

Николай_С · 04.06.2019, 15:36

Цитата:

Сообщение от aleksandrmakedo

Для жулика вы и ваш кошелёк- открытая книга.

В этом даже не сомневаюсь. Но как можно доверять банку, если в моём кошельке, расположенном в его электронном хранилище, роется ещё и товарищ майор? И кто потом ответит за пропажу из него денег?

prima · 04.06.2019, 15:40

Николай, я заголовок писал, именно это имея ввиду.
Виктор, а откуда взялся "суд ФСБ"? Если он существует, то это не суд, а "тройка", а если нет - это сговор бандитов. У Вас забор стоит? Ведь он тоже ни от кого не защищает...

sergeisam · 04.06.2019, 15:46

Цитата:

Сообщение от aleksandrmakedo

суда ФСБ боитесь

ФСБ не судит.

Цитата:

Сообщение от aleksandrmakedo

Суда Отца Небесного? ... Вечного наказания?

Я атеист, что там бояться ?
Пусть рабы боятся.

aleksandrmakedo · 04.06.2019, 16:13

Цитата:

Сообщение от Николай_С

В этом даже не сомневаюсь. Но как можно доверять банку, если в моём кошельке, расположенном в его электронном хранилище, роется ещё и товарищ майор? И кто потом ответит за пропажу из него денег?

Странный вопрос для образованного человека.
Да, разумеется, банк. А, вот, если, вы натырили это бабло в подворотне, то, тогда, да.
Катастрофа.

aleksandrmakedo · 04.06.2019, 16:16

Цитата:

Сообщение от prima

Николай, я заголовок писал, именно это имея ввиду.
Виктор, а откуда взялся "суд ФСБ"? Если он существует, то это не суд, а "тройка", а если нет - это сговор бандитов. У Вас забор стоит? Ведь он тоже ни от кого не защищает...

Разумеется, вы правы. Судит у нас самый справедливый народный суд. Просто я для простоты изложения так сказал. Занудливо было бы описывать всю процедуру.
Как верно замечено. Заборы и замки- от честных людей.

Николай_С · 04.06.2019, 22:47

Цитата:

Сообщение от aleksandrmakedo

А, вот, если, вы натырили это бабло в подворотне, то, тогда, да.
Катастрофа.

Катастрофа - это когда звонишь в банк, узнаёшь остаток на счете, печатаешь платёжки, везёшь их через весь город в банк, приезжаешь туда, а там оказывается, что налоговая сняла со счета деньги. Якобы по ошибке сняла - программный сбой. В последнее время такое практикуют судебные приставалки, но уже и с физическими лицами. Если к этому делу подключатся ещё и спецслужбы, то деньги в банках никто хранить не станет.
А происхождение бабла ещё доказать надо. Как известно, деньги не пахнут.

aleksandrmakedo · 04.06.2019, 23:03

Цитата:

Сообщение от Николай_С

Катастрофа - это когда звонишь в банк, узнаёшь остаток на счете, печатаешь платёжки, везёшь их через весь город в банк, приезжаешь туда, а там оказывается, что налоговая сняла со счета деньги. Якобы по ошибке сняла - программный сбой. В последнее время такое практикуют судебные приставалки, но уже и с физическими лицами. Если к этому делу подключатся ещё и спецслужбы, то деньги в банках никто хранить не станет.
А происхождение бабла ещё доказать надо. Как известно, деньги не пахнут.

Ни фига не понял. Якобы по ошибке налоговая ( приставалки от беспредельщиков- бандюганов) распоряжается. А что, к толпе если присоединится ФСБ, станет хуже? Если вы на площади будете махать свастикой, то, пожалуй, ФСБ вами заинтересуется. А вот если портретом Ленина , то, вряд ли. Если вообще не пойдёте на площадь, о вас никто и не узнает. Какие-то вы все перепуганные. Да вас 150 миллионов. За каждым следить- это сколько дивизий сыскарей от ФСБ нужно мобилизовать? Почему я никого и ничего не боюсь? Вон, уже десятый никнейм здесь организовал. И ничего. Живой.
Не имею бизнес, никакой, но, думаю, что ЛЮБОЙ порядок, даже жестокий, всё-таки, лучше беспредела.
Швондеров опасаться нужно больше. Эти не одно государство уничтожили.

04.06.2019, 15:40	#5 (permalink)
prima Member Регистрация: 31.08.2015 Сообщений: 19,433 Сказал(а) спасибо: 283 Поблагодарили 213 раз(а) в 96 сообщениях Репутация: 80884	Николай, я заголовок писал, именно это имея ввиду. Виктор, а откуда взялся "суд ФСБ"? Если он существует, то это не суд, а "тройка", а если нет - это сговор бандитов. У Вас забор стоит? Ведь он тоже ни от кого не защищает... __________________ Пожалуйста не предлагайте мне дружбу. Не хочу отказывать, но у меня другие понятия, поэтому просто не отвечу.

04.06.2019, 14:30
Helpmaster Member Регистрация: 08.03.2016 Сообщений: 0	Ранее такую же проблему уже обсуждали тут Ремонт квартиры в Париже Ремонт моей квартиры Выбор роутера для квартиры. Где вы храните ключи от квартиры?

04.06.2019, 15:17	#2 (permalink)
Николай_С Радиоинженер Регистрация: 25.09.2012 Адрес: г.Дзержинск Нижегородской обл. Сообщений: 25,308 Записей в дневнике: 7 Сказал(а) спасибо: 292 Поблагодарили 219 раз(а) в 70 сообщениях Репутация: 110185	В свете того, что Яндекс включает в себя сервис Яндекс.Деньги, то заголовок темы можно дополнить: И ключ от квартиры где деньги лежат сдайте...

Ads
Яндекс Member Регистрация: 31.10.2006 Сообщений: 40200 Записей в дневнике: 0 Сказал(а) спасибо: 0 Поблагодарили 0 раз(а) в 0 сообщениях Репутация: 55070