Видели новости, что Минцифры призналось, будто ему трудно выявлять VPN на айфонах? На самом деле техника Apple едва ли защищена лучше, чем андроиды. Мы поняли это, когда сами изучили методичку Минцифры по блокировке VPN

Что случилось? В конце марта глава Минцифры Максут Шадаев потребовал, чтобы «Сбер», «Яндекс», Ozon и еще два десятка российских компаний
с самыми посещаемыми интернет-ресурсами начали самостоятельно выявлять и блокировать пользователей, обходящих цензуру с помощью VPN. Дедлайн этого ультиматума наступит уже через неделю — 15 апреля.
Если кто-то из интернет-гигантов не настроит свой «файерволл» к этой дате, то, по данным газеты «Коммерсант», компанию могут исключить из IT-реестра Минцифры, дающего право на различные льготы (например, бронь от мобилизации для сотрудников), а ее ресурсы — убрать из «белых списков».
Запрет будет работать просто: пользователю запретят доступ к сервисам, если владельцы этих сервисов заподозрят, что у него на мобильном устройстве установлен VPN. О том, как выявить этот факт, Минцифры рассказало интернет-гигантам в специальных методических рекомендациях, о которых первым рассказало РБК.
В публикации издания многие медиа и блогеры (включая нас!) обратили внимание прежде всего на признание Минцифры в том, что ведомству тяжелее обнаруживать VPN на айфонах, чем на андроидах. Но это несколько искаженная интерпретация того, что на самом деле написано в методичке, поняли мы, когда сами прочитали полный текст документа.

А что там написано на самом деле? И откуда вы взяли эти материалы? Начнем со второго вопроса: тут все просто — текст методички опубликовал телеграм-канал «Профсоюз работников IT».
Написано же там вовсе не то, что айфоны безопаснее андроидов. Точнее сказать, сама постановка такого вопроса — неправильная интерпретация методических рекомендаций Минцифры.
В том самом материале РБК просто не говорится о том, как ведомство предлагает определять использование VPN на айфонах. Но подробные инструкции на этот счет в методичке есть. И они идентичны решению, которое предлагают многочисленные разработчики iOS:

• использовать системный API
  CFNetworkCopySystemProxySettings () для получения настроек текущего подключения;
• проверить, есть ли в настройках сетевые интерфейсы
  с именами utun, tap, tun, ppp или ipsec.

«Наличие [таких] интерфейсов… может указывать на работающий VPN», — констатирует Минцифры.

Откуда тогда взялась информация о том, что айфоны умеют прятать VPN от цензоров? Из тех же материалов Минцифры. Ведомство в методичке делит все признаки «использования средств обхода блокировок» на телефонах пользователей на прямые и косвенные.

• Если операционная система через системные API явно сообщает приложению «Сбера», «Яндекса» или любой другой крупной российской компании об использовании VPN, то это прямой признак.
• Если после вызова системного API надо проверять имена сетевых интерфейсов — это один из косвенных признаков.

При этом ни прямой, ни косвенный признаки не гарантируют, что на телефоне запущен именно VPN для обхода блокировок. Например, на андроидах значок ключика в панели состояния появляется при запуске всех приложений, которые занимаются фильтрацией вашего трафика: это и блокировщики рекламы, и антивирусы, и системы родительского контроля, и программы для захвата и последующего анализа трафика. Во всех этих случаях операционная система будет отчитываться об использовании VPN.
Приведенная же РБК цитата Минцифры о том, что «на iOS доступ к системным параметрам существенно ограничен», относится исключительно к этапу выявления VPN через системные API. Фраза, по сути, вырвана из контекста: сразу вслед за констатацией факта этого ограничения Минцифры дает конкретные совету по его обходу — те самые, что мы цитировали выше, про сетевые интерфейсы.
Ну и главное: сам по себе этот этап является лишь одним из элементов схемы выявления VPN на смартфоне пользователя — и не самым важным.

Какой же этап тогда самый важный? Проверка пользовательского IP-адреса на стороне сервера. Она сама по себе тоже делится на разные элементы:

• компания должна определить по IP предполагаемое местоположение пользователя («страна, регион, город»);
• сопоставить эти данные с предыдущими подключениями пользователя («частая смена стран, резкие изменения локаций между сессиями»);
• сверить IP пользователя с ранее выявленными IP прокси-серверов, VPN и узлов анонимной сети Tor;

• сравнить адрес с «диапазонами, выделенными дата-центрам и хостинг-провайдерам» (там в основном и находятся VPN-серверы);
• проверить, не находится ли адрес в «белом списке» разрешенных VPN (например, корпоративных).

Уже только после всех этих проверок в дело идут описанные выше прямой и косвенный признаки определения VPN. Оба они играют роль вспомогательных компонентов — для снижения количества ложных срабатываний.
В итоге устроено все так. У каждого из трех компонентов разный «вес»: 1 у исследования IP-адреса и по 0,5 у прямого и косвенного признаков. Если по итогам исследования конкретного пользователя в сумме получается:

• меньше единицы, то его не блокируют («Обход не выявлен»);
• больше единицы, то его блокируют («Обход выявлен»);
• ровно единица, то проводится еще одна проверка — может быть, даже вручную («Требуется дополнительная проверка»).

А что это за дополнительная проверка? В рекомендациях Минцифры упоминаются два ее варианта: «анализ HTTP-заголовков» и «метод анализа задержек».

• В первом случае ищутся специфические заголовки, которые могут указывать на прохождение трафика через промежуточный узел.
• Во втором — измеряется время отклика между сервером и клиентом: «Аномально высокая задержка для геолокации IP-адреса, указывает на использование VPN».

Пользователь технического форума ntc.partyсоздал свой рабочий прототипметода анализа задержек» — и пришел к неутешительному выводу о потенциальной эффективности такой проверки. Суть ее в том, что при посещении веб-страницы сервер сравнивает реальное время отклика с идеальным (для чего делает встречный запрос на IP-адрес пользователя). Если разница выше порога допустимой погрешности, то система решает, что посетитель использует VPN. Вот что написал автор эксперимента:
Метод не дает 100% уверенности в наличии или отсутствии VPN, но он не единственный и может комбинироваться с другими. <…> К сожалению, совокупность признаков может достаточно надежно отличить иностранного пользователя от нашего (то есть заходящего с территории России, — прим. «Медузы») под VPN.

То есть россияне с VPN и правда будут вынуждены каждый раз включать VPN ради телеграма — и отключать ради всех остальных сервисов? Мы не знаем. Пока все эти эксперименты — лишь теория. Насколько широко на практике российские интернет-гиганты раскатают запретительные фильтры, насколько усердно Минцифры будет карать их за игнорирование владельцев VPN и не приведет ли все это к тому, что какие-то из сервисов станут попросту недоступны из-за рубежа, станет понятно после 15 апреля.

Ну и скажите простыми словами: айфон для VPN лучше, чем андроид? Нет. У интернет-цензоров и без доступа к закрытой инфраструктуре Apple достаточно «маячков», чтобы заподозрить вас в использовании VPN. Так что менять «робота» на «яблоко» из-за этого фактора точно не стоит.
Почему еще это бессмысленно
Как правило VPN-сервисы обслуживают сразу все платформы одновременно, в том числе айфоны с андроидами. Когда IP-адрес конкретного VPN-сервера для обхода блокировок «засветится» на андроиде, компания — оператор услуги внесет его в свою «репутационную базу» и поделится данными с Роскомнадзором. А пользователи айфонов, которым достанется тот же IP, уже будут «на карандаше»: напомним, один только подозрительный адрес сам по себе служит основанием для дополнительной проверки.