Заговорит ли Рунет по-китайски?

— Если говорить о глобальном интернете, то тут, мне кажется, все просто. Когда в конце 1990-х бизнесы, за которыми практически ничего не стояло, начали получать миллиардные капитализации (и тем более после кризиса доткомов), пришло понимание, что эту сферу нужно регулировать. Первые два американских закона об интернете, CDA и DMCA, появились в 1997 и 1998 годах. Это та граница, после которой в мире начали принимать специализированное законодательство относительно интернета, а не телекоммуникаций в целом.

— В России интернет долго вообще не трогали: как ни странно, благодаря президенту. В 2001 году была встреча Путина с интернет-отраслью. Тогда еще было не очень понятно, что это такое, но там были Солдатов, Носик и другие деятели Рунета. И тогда президент сказал, что не надо регулировать российский интернет — он маленький, пусть себе сам растет. И 10 лет об этом почти не вспоминали. Был принят закон о персональных данных, но он принимался, по сути, под лоббированием авиационной индустрии, потому что им нужно было соответствовать определенным международным соглашениям. Телекоммуникационное регулирование как-то менялось, но к интернету отношение было очень опосредованное. В 2008 году написали закон об информации, который заложил основы регулирования, но на реальный интернет, по большому счету, он не влиял.

Только в 2011 году начались первые разговоры о блокировках и о том, что нужно мониторить происходящее в интернете. Как это всегда бывает в таких случаях, изначально все объяснялось заботой о детях. Тогда же BCG сделала первый большой отчет про Рунет, в котором его экономика оценивалась в 0,5% ВВП.

Хотя регулирование началось только в 2011 году, «энтузиастская» часть Рунета закончилась еще в 2006-м. Тогда начались первые крупные поглощения: Mail.ru принялся скупать разные проекты, будущий Rambler стал укрупняться и приобретать медийные активы.

— Как ни странно, нет. Точнее, не был связан напрямую: по крайней мере, эта цель никогда не заявлялась. Думаю, ее как таковой тогда и не было: активная аудитория Рунета в 2011 году — всего 25 миллионов человек, в соцсетях и того меньше. Интернет просто не считался значимым явлением. Первые инициативы в этой области объяснялись стремлением ограждать детей от противоправного контента и конкретными коммерческими интересами.

Была вполне известная история, когда собрались крупные правообладатели, которые решили, что надо уже начать бороться с пиратством. Тогда крупнейшие торрент-трекеры в Европе были российскими. Нужно было вводить новое законодательство, обосновывать блокировки и так далее. Но нельзя с этого начинать,

На форсирование этой темы были выделены приличные деньги. Тем, кто желал чем-нибудь поруководить в интернете, намекали, что теперь путь будет открыт. Но в тот момент за этим стояли конкретные коммерческие интересы. С того момента статья 15 разрослась до девяти отдельных пунктов с разными основаниями для блокировки.

— Контроль над корневыми зонами уже давно отдан корпорации ICANN. Да, это американская корпорация, но у нее существует устав, в котором четко прописано, за что она отвечает. При ICANN есть Совет из глав государств с довольно серьезной надзорной функцией. Там есть, что улучшать, но, по факту, власти США отказались от контроля над интернетом, несмотря на протесты части Сената.

— Как ни крути, без корневых серверов DNS интернет работать не будет. Это самое близкое к контролю над интернетом, что у нас есть. Просто существует несоответствие терминов, нет хорошего перевода слова governance. Нельзя сказать, что ICANN управляет интернетом. При этом есть постоянные попытки перетащить эту площадку в ООН, в чем Россию особо никто не поддерживает. Даже у Китая нет иллюзий насчет того, что любая инициатива тихо умрет в бюрократии ООН. Есть еще Internet Governance Forum, там есть межправительственная группа, которая имеет мандат на решение разных проблем, связанных с интернетом, с участием всех заинтересованных сторон.

— Во-первых, примерно через шесть часов интернет в России появится снова. Физически обрубить кабели никто не сможет, сигнал все равно будет идти. Разделегировать доменные зоны не получится, у московского Технического центра интернета (ТЦИ) есть зеркало — система DNS обновится через несколько часов. Как минимум внутри себя Рунет работать будет, а потом, скорее всего, и вовне. Просто так работает система DNS: те записи, которые есть на российских серверах, начнут передаваться на все остальные. А вообще на такие вопросы хорошо ответили в интернет-регистраторе Ripe NCC: «А что, если я надену пояс шахида и взорвусь? Вероятность такая есть, но я умру и второй раз этого сделать уже не смогу».

Дальше все правительства примут решение о максимальной централизации национальных сетей, и все процессы обмена информации будут работать сильно по-другому, если вообще будут. Это решение нанесет триллионый ущерб всему миру, так что, наверное, есть более эффективные способы оказывать давление.

— Давайте абстрагируемся от того, что мы живем в России, и политика у нас такая, какая она есть. Говорить о критической инфраструктуре, кибербезопасности и защите данных — это абсолютно правильно. Человек, который занимается национальной безопасностью, должен думать о таких вещах. Более того, там, где нет политики в области критической инфраструктуры, там, как правило, и с интернетом все плохо. Российские законы в этом смысле не очень оригинальны, мы брали европейские и американские примеры.

— То, что все юридические лица, которые каким-то образом участвуют в телекоме, должны самостоятельно пройти оценку своего бизнеса на предмет важности его функционирования для государства и граждан РФ. Если эта оценка высокая, то они должны совместно с компетентными органами разработать план обеспечения кибербезопасности, который включает в себя организационные меры, техническое оборудование, шифрование, систему отчетов об инцидентах, быстрое реагирование на попытки взлома, поиски уязвимостей и так далее. Понятно, что если ты оператор связи в телекоме, то у тебя совершенно другие риски, чем если ты интернет-магазин или платежная система класса «Яндекс.Деньги». Если такая система вдруг выйдет из строя, то десятая часть платежей в онлайне сразу отрубится — это серьезные убытки.

Эти меры — некоторое обременение для бизнеса, но, с другой стороны, они заставляют его понять, что если он тратит на безопасность недостаточно средств, то в случае какого-то инцидента его потери будут гораздо больше. Это, в общем, правильный, риск-ориентированный подход. Потому что если честно, то у реального бизнеса, который у нас ринулся в цифровизацию, с кибербезопасностью, как правило, полный швах, если не брать в расчет IT-компании. В основном компании соблюдают законодательство о защите персональных данных, чтобы их не оштрафовал Роскомнадзор, а реальной защиты нет. Отсюда постоянные утечки и практики незаконного сбора и продажи сырых данных. Даже в банках с этим проблемы: в Сбербанке, который формально руководит мероприятиями по дистанционной безопасности и цифровой экономике, случается массовая утечка данных, причем по очень дурацкой причине.

— Что касается цифрового суверенитета, то здесь уже начинаются какие-то уловки. Например, хорошо, когда трафик, который должен идти внутри страны, идет внутри страны. Но есть ли у нас с этим проблема? Несмотря на то что под это пытаются протолкнуть целый законопроект, повод там абсолютно надуманный: с заграничным трафиком у нас никаких проблем нет. Тот факт, что происходит много соединений с зарубежом — это хорошо. Интернет в принципе был создан так, чтобы было много разных путей подхода сигнала. Это на случай, если какие-то из них перестанут работать. Когда вы снижаете их количество, вы ухудшаете связность, а не улучшаете. Вам кажется, что вы что-то централизуете, но на самом деле вы просто делаете устройство национального интернета менее эффективным.

Хорошо ли, когда у вас оборудование собственного производства? Конечно. Но, опять же, это лукавство. Да, в США воюют с компанией Huawei, которую у нас, кстати, активно продвигают на рынке. Я не знаю, опровергнут или нет информацию про взломы чипов Super Micro, на которых у нас СОРМ любят делать.

Можно пойти и дальше. В самом Китае такая же проблема: они не производят чипы, а закупают их в основном в США и Японии на сотни миллиардов долларов в год, а Трамп поставил это под угрозу. Даже если Китай запретит иностранные чипы, то нужно будет где-то найти оборудование для производства чипов. Производителей такого оборудования три штуки на весь мир, и все они расположены вообще не в Азии. То есть невозможно создать производственную цепочку, чтобы делать полноценное оборудование в одной стране. Другое дело, что в России есть собственные заводы, которые производят чипы. В них не очень хорошие процессоры, но где-то их можно применять и в разумных границах поддерживать. Это хотя бы выглядело как разумная политика, а не прямое лоббирование коммерческих интересов.

— В правовых государствах процедуры law enforcement access несколько прозрачнее, чем принято считать.

— Не совсем. Начнем с того, что «пакет Яровой» в принципе не имеет прецедентов в мире. Не то чтобы нигде больше не собирают данные, нет. После Сноудена мы знаем про целый ряд программ США разной степени секретности. В Китае есть определенные структуры для сбора данных. Но ни одной стране в мире не приходило в голову заставлять частные компании собирать данные и самим все это оплачивать. Это исключительно российская новелла. Более того, за последние пять лет крупные спецслужбы пришли к выводу, что собирать данные массово не только дорого, но и бесполезно. Вы ничего в этом массиве не найдете, когда надо будет. Чтобы обрабатывать эту информацию в реальном времени, нужно жуткое количество денег, да и обходить шифрование тоже непросто.

Из последних подвижек и документов, которые сливались, мы знаем, например, что США постепенно переключаются на точечный сбор данных, то есть собирают только в случаях, когда в этом есть необходимость. Формально это все равно происходит без решения суда или с помощью засекреченных судов разведки, либо с помощью того, что пришло на смену Patriot Act: точечный сбор, использование инструментов взлома, установка прослушки на устройства подозреваемого. Но компаниям перестали выкручивать руки и заставлять передавать данные пользователей.

— Это произошло из-за давления общественности или больше по прагматическим причинам?

— По обеим причинам. В этом все меньше смысла. Как ни крути, первый, кто сильно поссорился с США, — это Европа, которая резко начала принимать свои законы о защите пользовательских данных и разорвала договор об обмене данными с Америкой. И с этим пришлось как-то жить. Поэтому, безусловно, во всех странах существуют определенные законные конструкции, которые позволяют собирать данные для целей спецслужб. Вопрос в том, что там существует какая-то система сдержек, чтобы контролировать это. Во-вторых, это происходит за счет государства. В редких случаях есть некая программа субсидирования частного сектора. И в-третьих, массовым сбором никто не занимается, это просто лишние расходы.

Поэтому, когда мы говорим о том, что они куда-то передают наши данные… А что меняется от того, что мы приняли 242-й ФЗ? Окей, все компании гордо отчитываются перед Роскомнадзором, показывая договор с российским хостингом, в котором сказано, что они хранят первичные данные на территории РФ. Надзорные органы делают вид, что все прекрасно. Но проверить, так это или нет, никому не дано, потому что у Роскомнадзора нет полномочий вмешиваться в технические процессы, да и специалистов для этого нет. Во-вторых, трансграничная передача данных все равно разрешена: мы являемся членами 108-й конвенции, по которой признаем наличие адекватной защиты данных во всех странах-участницах.

—Правильно ли я понимаю, что значительная часть «пакета Яровой» не может быть реализована чисто технически? Зачем вообще было принимать такой закон?

—По факту сразу после принятия этих законов куча народу принялась строить дата-центры, включая сына экс-главы «Роснефти» Сергея Богданчикова. Ему потребовалось несколько лет, чтобы выяснить, что это бизнес дорогой и низкомаржинальный, а потом продать с убытками свои дата-центры. Кроме коммерческих интересов есть еще один момент. За два года картина изменилась, плюс выяснилось, что закон написали таким образом, что многие хотелки оттуда просто не могут быть реализованы. Как я понимаю, на изменение закона есть некий мораторий. Иначе люди, которые пробивали этот закон, должны были бы встать и сказать, что закон написан ужасно. Этого, конечно, сделать никто не может, поэтому все так и складывается. Для операторов связи до сих пор нет требований к оборудованию, как и самого оборудования. Понятно, что есть ГК «Цитадель», которая, скорее всего, станет основным поставщиком оборудования, и тогда требования появятся. Но до конца года это вряд ли произойдет. Все участники этого процесса сами загнали себя в административную ловушку и пытаются как можно сильнее затянуть принятие решений.

— Я бы отметил две проблемы. Первое: у Роскомнадзора слишком много функций. У меня нет особых претензий к той его части, которая занимается защитой данных. Но если бы ее выделили в отдельное ведомство, я думаю, они работали бы гораздо более убедительно. Когда у тебя такой общий фон работы, как ты занимаешься защитой данных — никого уже не волнует.

Второй момент связан с деньгами. Очевидно, что все новые обязанности, которые налагаются на надзорные органы, требуют средств, хотя к каждому законопроекту идет приписка, что он «не требует дополнительного финансирования из бюджета». У Роскомнадзора мало сотрудников, перекидывание людей из ФГУП «Главный радиочастотный центр» не помогает, плюс уголовные дела несколько охладили эту практику. Там есть хорошие юристы, но им тяжело нанимать технических специалистов, причем не только по финансовым причинам, но и по причинам общего имиджа.

Поэтому нужно делить Роскомнадзор и выделять некоторые направления в отдельные органы, а лишние части, такие как работа в области СМИ, например, отдавать в профильные ведомства.

— Мне кажется, пара миллиардов долларов (а такое оборудование стоит не меньше) в любом случае не возникнет из воздуха. Любые мечты о том, что в России можно сделать фильтрацию по типу китайской, всегда разбиваются о суровые цифры, и так будет всегда. Про это вообще надо забыть. Возможно, они рассчитывали, что платформы им помогут, но это довольно странный момент. Google, Apple и все остальные, конечно, проигнорировали все запросы Роскомнадзора. Точнее, они выкатили в ответ большое письмо с кучей юридических вопросов о том, с какой радости они должны удалять Telegram из своего магазина. Роскомнадзор на это ответить не смог. Но очевидно, что когда они все это начинали, кто-то уверовал в возможность достичь цели. Тот факт, что даже рация Zello избегала блокировки почти год, видимо, их не потревожил.

— Более того, чем дальше, тем в принципе ниже становится эффективность блокировок. Технологическое развитие протоколов интернета идет в сторону того, что блокировать будет сложнее, а обходить — легче. Взять тот же IPV6, когда у вас IP-адресов больше, чем звезд на видимом небе. Это уже не несколько миллиардов адресов, которые давно разобрали, и требуются средства, чтобы их арендовать.

— Есть ограничение на вычислительные мощности, которое не позволит блокировать такое количество адресов. Приведу смешной пример. Есть система «Ревизор», она не прописана ни в одном документе, но Роскомнадзор использует ее для выписывания штрафов. Сделана она на основе оборудования D-Link, которое можно купить в любом компьютерном магазине. Для установки на полноценные средства связи оно не предназначено. В момент, когда его вдруг подключают на живую сеть крупного оператора, система не выдерживает и «падает», и оператор начинает получать штрафы, потому что Роскомнадзор не понимает, что железка «упала».

Поэтому все крупные операторы сделали для «Ревизора» отдельные подсистемы — такие песочницы, в которые направляется небольшой объем трафика. Так эта схема более-менее работает. По этому же принципу, кстати, устроен и DPI. Для фильтрации большого объема трафика нужно либо очень много мощностей и оборудования, и при этом вы все равно получите замедление сети, либо маленькая доля трафика должна направляться в DPI, где алгоритмы попытаются выяснить, что это за трафик, и отправить его назад на основные мощности с ответом, надо его блокировать или нет. В обычных условиях несколько секунд достаточно, чтобы проверить пакет и заблокировать его. Естественно, все это можно обойти разными способами. Можно поиграться с размерами пакета — DPI не замечает коротких заголовков. Можно шифровать заголовки, и тогда DPI просто не поймет, что там — так сейчас делает CloudFLare.

— Есть несколько составляющих. Во-первых, в Китае кардинально другая структура интернета. Там она жестко централизована: есть много внешних выходов, но их контролируют две государственные компании. Все магистрали жестко контролируются, в некоторые провинции понятным образом проходит интернет, в некоторые (к уйгурам или в Тибет) — нет.

В любой момент времени эта дуополия телеком-компаний примерно понимает, как будет идти сигнал. За счет этого сильно удешевляется установка DPI-оборудования, потому что есть понятные точки, где его надо ставить, и этих точек ограниченное количество. При этом в реальном времени все равно мало что анализируется. Как правило, проходит некоторое время для перенастройки оборудования, пока система начнет обрабатывать новые запросы. При этом

В крупных китайских технологических компаниях, вроде Baidu, Alibaba и Tencent, есть специальные отделы, которые каким-то образом помогают системе государственной цензуры. Возможно, они настраивают фильтры поиска на уровне своих клиентов. Есть несколько полугосударственных компаний, которые занимаются хранением данных: крупные сети и дата-центры. Раньше была многочисленная армия «дружинников», почти миллион человек, которые сидели в соц­сетях и вручную искали противоправный контент. Насколько я понимаю, их использование сейчас тоже сходит на нет, потому что это неэффективно, тем более когда есть искусственный интеллект.

— Да, все равно эти системы обходятся. Простые VPN, скорее всего, не будут работать, потому что почти все известные коммерческие операторы давно разобрали сигнатуры протоколов. DPI видит зашифрованный трафик, примерно понимает, чей он, и отсекает его. Но, например, всякие shadowsocks и прочие новомодные средства шифрования вполне работают. Бороться с ними дорого и неэффективно. Да и зачем, если есть много других методов воздействия на «неблагонадежных» граждан? Основные массы заниматься обходом все равно не будут. При этом надо понимать, что внутри китайского интернета есть абсолютно все, что душе угодно. А те несколько процентов населения, которым этого недостаточно, могут смотреть свой ютубчик через VPN.

— Да, по сути, главный элемент — это целенаправленная политика по строительству централизованной сети, которая в Китае реализовывалась с самого начала. А потом все упирается в деньги. Ни один из этих планов не будет реализован, пока на это не выделят хотя бы 15 миллиардов долларов.

—Да, всей программы. И это еще нужно, чтобы никто ничего не украл.

— Сама структура IT-отрасли — это второй момент, который они пытаются скопировать. В Китае есть несколько крупных компаний, которые имеют интересы в разных отраслях и заключили какое-нибудь серьезное партнерство с государством — либо в чистом виде, либо при посредстве государственной банковской группы. Это национальные чемпионы, а все остальное — гори синим пламенем. Но в Китае, кроме «большой четверки», есть несколько десятков компаний с капитализацией в десятки миллиардов долларов, которые постоянно находятся в броуновском движении: они возникают, растут, банкротятся. Инвестфонды «большой четверки» очень внимательно за ними следят и скупают огромное количество стартапов каждый год, иначе темпы инноваций невозможно поддерживать — все равно все идеи рождаются снизу. У нас вместо этой экосистемы выжженная земля: 500 стартапов на всю страну и венчурный рынок объемом в 200 миллионов долларов.

— В программе «Цифровая экономика» малого бизнеса нет вообще. С огромным боем пытаются протащить льготы для IT-компаний по налогообложению, Минтруда резко против. От всего остального в программе стартапам ни горячо, ни холодно. Считается, что крупные компании всем себя обеспечат сами, но без налаженной экосистемы они будут стагнировать и через годы прекрасным образом растворятся, как массы гигантов растворялись до этого.

Вообще в России существует глубокое непонимание, что есть IT-сектор Китая и как он развивался. Тот же «Золотой щит», в первую очередь, — это мера защиты внутреннего рынка. Почти никто не понимает, что китайский интернет с четырьмя компаниями с капитализацией больше 200 миллиардов долларов каждая появился благодаря тому, что был создан щит параллельно с полным закрытием внутреннего рынка.

При этом в Китае огромный внутренний рынок, поэтому они могут ориентироваться на собственные ресурсы. Мы — не можем: несмотря на большое население, интернет-сектор у нас в разы меньше, чем у британцев. Весь рынок телекома, IT и интернета — это около семи триллионов рублей. В Великобритании только интернет-рынок оценивается примерно в такую же сумму. Мы где-то на пятом месте в Европе, что не очень серьезно. Плюс изначально модель была выбрана открытая, ориентированная вовне, и перестраиваться, когда индустрии уже 20 лет, довольно странно.

— Буквально в последний год это начало меняться. Например, в Китае с апреля не одобряют выход новых видеоигр, из-за чего Tencent потерял 300 миллиардов долларов капитализации. Это беспрецедентное решение: никогда раньше идеология не ставилась поверх бизнеса. Но тут, видимо, есть определенное желание наказать Tencent за долгие годы игнорирования правил регулирования, в частности, за отсутствие системы идентификации пользователей. Плюс к этому в этом году Си Цзиньпин начал выстраивать вокруг себя новую политическую систему, поэтому стали приниматься такие решения, которые носят скорее идеологический характер.

— Мне кажутся забавными такие разговоры. Разные апостолы технооптимизма вроде журнала Wired, которые последние 20 лет рассказывали нам о том, как будет хорошо, когда придет интернет, вдруг проснулись и увидели, что в реальности все идет к какому-то киберпанку. Рост компаний и появление интернет-гигантов все предвидели: понятно, что есть «сетевой эффект», и он значительно усиливается, когда у вас миллиарды пользователей интернета. Чего технооптимисты не учли, так это того, что большое количество пользователей необязательно является благом. Обычно так и есть: можно взять массу примеров из Африки, где даже базовый доступ к информации о погоде увеличивает заработок фермера вдвое. Но довольно глупо было предполагать, что вы возьмете людей, которые живут в XIX веке, втащите их в XXI век, и они тут же научатся работать с информацией. И в западном мире люди толком этого не умеют: темпы развития технологий за последние 20 лет сильно превышали то, что человек может переварить за это время. Причем никто не собирался готовить людей к новой информационной среде.

Помимо инженерной части здесь есть культурологическая составляющая, которой никто никогда особо не занимался. Сейчас в Силиконовой долине очень любят говорить о том, что чисто инженерные продукты очень плохо работают. Создаются целые команды философов и социологов, которые пытаются дополнить картину. Плюс на эти проблемы наложилась новая экономика, которую тоже никто не понимает. Например, как оценивать ВВП в виртуальном мире? Поэтому этот мир так сложно нормально регулировать.

— Хорошая новость состоит в том, что технологические компании проще сместить с пьедестала. Кроме интеллектуальной собственности у них, как правило, мало физических активов. Благодаря этому могут с нуля возникать компании, которые завтра будут стоить миллиарды долларов. Монополии телекома в этом смысле гораздо опасней для интернета, чем Google или Facebook. Прокладывать новые сети — это очень дорого. Телеком-компании имеют больше влияния, они богаче и старше, чем интернет-сектор. Вся история с отменой сетевого нейтралитета в США — очевидный пример лоббирования телекома.

— Я вообще не очень верю в блокчейн. Я знаю две проблемы, которые он решает лучше, чем централизованные системы. Первая — это отмывание средств, полученных незаконным путем. Второе — покупка того, чего нельзя купить законным способом. Во всех остальных случаях централизованная система работает лучше. Судя по всему, это фундаментальное ограничение блокчейна.

Разговоры про децентрализованные системы не то чтобы новые. Десять лет назад блокчейна еще не было, но описания нового интернета, где данные по чуть-чуть хранятся в компьютерах пользователей, уже были. Но они не учитывают вещи, связанные с сетевым эффектом. Начиная с определенного объема централизованные операции быстрее, дешевле, а периодически даже безопаснее. Блокчейн и масса других децентрализованных технологий говорят, что мы должны вернуть себе контроль. Да всем плевать. Самая большая ложь в мире — «Я прочитал пользовательское соглашение». Никто и никогда этого не делает. Целая юридическая индустрия построена на написании того, что не читает никто, кроме надзорных органов.

Пока никакого серьезного кейса с использованием блокчейна, кроме даркнета и покупки наркотиков за биткоины, никто так и не показал. Если он когда-то действительно появится, то будет любопытно. Но я все равно не верю, что наши фундаментальные проблемы могут быть решены техническим путем.