14 глаз против VPN: что нужно знать про то, как главные разведки мира совместно шпионят за пользователями

Рынок VPN-провайдеров — это джунгли, в которых конкурирующие компании борются за клиентов, используя все возможные маркетинговые аргументы, включая введение пользователей в заблуждение ^[1]. Один из примеров этого — это так называемая проблема альянсов спецслужб «5 (9, 14) глаз», и как VPN может защитить от них пользователей. 

5 глаз, 9 глаз и 14 глаз — это реально существующие международные альянсы по массовому наблюдению, включающие в себя, соответственно, 5, 9 и 14 западных стран, а также партнёрские страны-сателлиты. С помощью соглашений в основе этих альянсов, спецслужбы развитых стран образуют единую машину слежения и контроля практически за любой коммуникационной активностью людей в их странах и по всему миру, включая все виды онлайн-коммуникаций.

Альянс «5 глаз»

• Соединенные Штаты

• Великобритания

• Канада

• Новая Зеландия

• Австралия

Альянс «Пять глаз» (Five Eyes, FVEY ^[2]) вырос из секретного соглашения ^[3] о безопасности между США и Великобританией UKUSA (United Kingdom – United States of America), подписанного в 1946 году. Идея соглашения заключалась в том, чтобы обеспечить беспрепятственный обмен SIGINT (сигнальной разведкой ^[4]) между странами-союзниками по Холодной войне. Это соглашение оставалось секретом для общественности до 2005 года. В настоящее время основной целью альянса является мониторинг онлайн-активности. И если законы одних стран не позволяют спецслужбам копаться в интернет-авантюрах своих граждан, то они могут просто попросить коллег из других стран выполнять за них грязную работу. Например, Великобритания попалась именно на этом: они запрашивали у американского Агентства национальной безопасности (АНБ) все данные, которые те собрали о жителях Соединенного Королевства.

Почему «Пять глаз» так долго скрывали от общества? Мы до сих пор не знаем всей истории и истинных объёмов сбора информации в рамках альянса. Но можем вполне уверенно предположить, что США и их союзники в его рамках занимались и занимаются детальным наблюдением и вторжением в частную информацию в такой степени, которая бы не понравилась многим избирателям. Практически наверняка это включает использование ECHELON, STONEGHOST, PRISM и различных других систем наблюдения за электронными коммуникациям по всему миру.

«Пять глаз» не работают в одиночку: альянс имеет ряд партнеров-сателлитов, которые дополняют его возможности по сбору разведданных:

• Израиль

• Сингапур

• Япония

• Южная Корея

• Британские заморские территории

Израиль тесно сотрудничает с США, предоставляя и запрашивая секретную информацию о лицах под вопросом, и имеет собственный процветающий ИТ-сектор, где кибербезопасность является основной областью роста. Некоторые из самых мощных разработок, позволяющих взламывать практически любые смартфоны ^[5] просто зная номер телефона жертвы, родом именно оттуда. Другими сателлитами «Пяти глаз» являются такие азиатские страны как Сингапур, Япония и Южная Корея. Все они находятся в сфере влияния США со времён холодной войны и имеют системы обмена разведданными с Вашингтоном. То же самое относится к британским заморским территориям, таким как Бермудские острова или Каймановы острова.

Альянс «9 глаз»

• Страны альянса 5 глаз +

• Дания

• Франция

• Норвегия

• Нидерланды

По сути, сеть 9 глаз является расширенной версией 5 глаз, но насколько формализованы и сильны её структуры публично неизвестно.

Основная причина, по которой мы в принципе можем это обсуждать, связана с одним человеком: Эдвардом Сноуденом. Обнародовав свои откровения об АНБ еще в 2013 году, Сноуден приподнял завесу над глобальными следящими структурами АНБ, подтвердив существование списка «5 глаз» ^[6].

Бывший сотрудник АНБ Эдвард Сноуден описал «Пять глаз» как «наднациональную разведывательную организацию, которая не подчиняется известным законам своих стран». (Википедия ^[2])

Занимательный факт: «комитет 9 глаз» (Nine Eyes Committee ^[7]) был вымышленным соглашением, лежавшим в основе злодейского плана предпоследнего фильма о Джеймсе Бонде «Спектр». Многие люди, видевшие этот фильм, до сих пор не знают, что, в отличие от других злодейских проектов бондианы, этот — лишь скромное, и даже преуменьшенное отражение реальности. 

Альянс «14 глаз»

• Страны 5 и 9 глаз +

• Германия

• Бельгия

• Швеция

• Испания

• Италия

Этот альянс также возник непосредственно из структур Холодной войны и НАТО, получив название группировки SIGINT Seniors Europe, но отличается более слабой интеграцией обмена разведывательными данными, чем между основной пятёркой стран. Члены расширенного альянса четырнадцати не имеют тех же привилегий, что FVEY: страны основной пятёрки имеют доступ ко всей разведывательной информации 14 стран и партнёров-сателлитов, но отнюдь не вся информация «Пяти глаз» доступна остальной части альянса.

По словам Сноудена, страны «Пяти глаз» не должны шпионить друг за другом: США не должны прослушивать телефонные разговоры на заседаниях правительства Великобритании, а австралийские министры должны иметь право пользоваться Интернетом без регистрации их действий АНБ. Но на участников 9 и 14 глаз это не распространяется — отсюда и дипломатические скандалы, вызванный раскрытой Сноуденом информацией, что американцы шпионили за тогдашним канцлером Германии Ангелой Меркель, например.

После того, как в 2015 году появились обвинения в том, что АНБ шпионит за заседаниями немецкого правительства, Германия потребовала более широкого доступа к данным разведки. 

Также в ответ на неравные отношения внутри «14 глаз», страны расширенного альянса начинают разрабатывать собственные решения. В августе 2018 года немцы объявили ^[8] о крупной инициативе в области кибербезопасности по образцу американского DARPA с целью установления цифровой независимости от США/Великобритании.

В последние годы также наблюдается рост «пиратских партий» в таких странах, как Швеция, которые отдают приоритет цифровой свободе и конфиденциальности, что делает правительства менее склонными укреплять свои связи с такими организациями, как АНБ.

Возможности и инструменты спецслужб

Спецслужбы всех стран в той или иной степени занимаются SIGINT ^[9] (сигнальной разведкой). Вы используете VPN-сервер и, таким образом, точку выхода в интернет в одной из стран «глаз»? Тогда вы, вероятно, являетесь потенциальной «жертвой» деятельности SIGINT этой страны. 

К примеру, Федеральная разведывательная служба Германии (BND) открыто пишет об этом на своём сайте ^[10]:

Будь то спутниковая или проводная связь, электронная почта или передача голоса по IP — спектр электронных коммуникаций широк и постоянно меняется. Тем не менее самая современная технология сбора и фильтрации потоков данных по всему миру гарантирует, что BND получит именно ту информацию, которая ему необходима для выполнения своей миссии.

Короче говоря, немецкая разведка заявляет, что у неё есть доступ к любым нужным им данным независимо от каналов её передачи — будь то спутниковая или проводная связь, электронная почта или передача голоса по IP. 

Системы наблюдения, используемые альянсом

Мы знаем только о части систем, используемых для мониторинга и сбора информации о гражданах. Вот некоторые из них, которые привлекли внимание средств массовой информации.

ECHELON

Программа наблюдения «Эшелон» была первоначально создана в 1960-х годах для слежки за Советским Союзом и его союзниками по Восточному блоку государствами, подписавшими Соглашение о безопасности UKUSA. Теперь они являются основными странами 5 Eyes, и ECHELON значительно расширился за пределы первоначального масштаба. Согласно документам, обнародованным Сноуденом, системы ECHELON способны прослушивать телефоны, факсы, компьютеры, электронные письма, банковские счета и многое другое. А компьютеры, используемые для этой цели, могут хранить миллионы записей о людях.

PRISM

Американская программа наблюдения, которую АНБ использует для запрашивания пользовательских данных у технологических и телекоммуникационных компаний. Такая информация включает практически все, что передается по сети компании: электронные письма, логи чатов, фотографияи, документы, видео и т. д.

Подтвержденными компаниями, участвующими в PRISM, являются:

• Microsoft

• Yahoo!

• Google

• Facebook

• Paltalk

• YouTube

• AOL

• Skype

• Apple

• Dropbox

На сегодняшний день истинный масштаб программы PRISM до сих пор неизвестен.

XKeyscore

Еще одна программа под руководством АНБ, которая позволяет вести наблюдение в режиме реального времени без судебного ордера. С помощью XKeyscore агенты АНБ могут анализировать метаданные, электронные письма и их содержимое, VoIP, историю браузера и любую другую интернет-активность, связанную с человеком.

Суровая реальность «альянсов» в том, что мы не знаем всей правды о потенциале и фактическом применении массового надзора западными правительствами — в первую очередь, США. Возможно даже, как ни парадоксально, мы представляем себе лимиты российских спецслужб гораздо лучше: с одной стороны, мы знаем об их постоянно расширяющихся возможностях через соответствующее российской законодательство, с другой, благодаря коррумпированности российской системы, реальные данные, которыми оперируют российские надзорные органы и спецслужбы, постоянно сливаются в продажу на чёрном рынке и освещаются журналистами-расследователями. Тогда как заведомо более мощные и гораздо менее «дырявые» западные спецслужбы могут действовать совершенно бесконтрольно.

Сам факт незнания даже пределов возможного в массовой слежке гарантирует, что спецслужбы действуют за пределами того, на что было пролит свет 10 лет назад откровениями Сноудена: ведь если их возможности неизвестны — значит, их нельзя ограничить. Что делает их, тем самым, практически безграничными в пределах технически возможного. 

Иными словами, все методы массовой и индивидуальной слежки, которые мы можем себе вообразить, западными спецслужбами наверняка используются — а вместе с ними ещё и парочка других ноу-хау, о которых мы даже не догадываемся. 

Альянсы спецслужб и VPN-маркетинг

Разумеется, такая богатая тема, как международная кооперация спецслужб, которая помещает «под колпак» практически все западные страны и затрагивает все цифровые коммуникации планеты, не может не быть использована для продвижения средств защиты приватности, таких как VPN. Более того, именно VPN-компании являются одним из главных пропагандистов этой информации. Что, конечно, во благо. Но при этом они также искажают реальность «глаз», с одной стороны, преувеличивая их угрозу для рядовых пользователей интернета и потребителей VPN-услуг, а с другой — вводя в заблуждение о своих возможностях им что-то противопоставить. 

Вот как описывает «глаза» ExpressVPN:

14 Eyes, также известные как SIGINT Seniors Europe, относится к совокупности 14 стран, чьи иностранные разведывательные агентства, как сообщается, обмениваются военной и контртеррористической информацией друг с другом. Поскольку эти разведывательные службы стремятся перехватывать все сообщения на международном уровне (не только в пределах своих национальных границ), неясно, существует ли дополнительный риск, связанный с использованием службы VPN из страны «14 глаз».

Тем не менее, поскольку Британские Виргинские острова — крошечная страна, в которой нет никаких операций с иностранной разведкой, они, безусловно, не являются стороной каких-либо соглашений об обмене разведданными 14 Eyes. Таким образом, Британские Виргинские острова не относятся к группе стран «14 глаз».

Однако какое отношение страна регистрации VPN-провайдера имеет отношение к механизмам цифровой слежки, если их сервера находятся на территории стран альянса? Вообще никакого. Это просто ещё один ложный аргумент неэтичного VPN-маркетинга ^[1]. Интересно, что ExpressVPN даже оговаривается об этом в своей статье: «Неясно, существует ли дополнительный риск, связанный с использованием VPN-сервиса из страны 14 глаз». Тем не менее, они предлагают VPN-сервера во всех 14 странах альянса — наверное, это и есть ответ. 

С тем же успехом Xeovo VPN ^[11] могли бы утверждать, что она ещё безопаснее ExpressVPN — ведь Финляндия не входит ни в расширенный альянс четырнадцати стран, ни в число сателлитов альянса, и писать на Хабре статьи, как наши пользователи защищены от всевидящего ока западных спецслужб. Но мы этого не делаем, поскольку в реальности предлагаем, как и все, нашим клиентам сервера всё в тех же странах, которые входят в «14 глаз» — и вместо манипуляций выбираем путь просвещения.

Давайте кратко вспомним принцип работы VPN и почему некоторые люди предпочитают его использовать: вы подключаетесь к VPN-серверу в любой стране по вашему выбору. Передача данных с вашего компьютера на этот VPN-сервер зашифрована. Далее трафик обрабатывается интернет-провайдером в стране, к которой находится выбранный вами VPN-сервер. VPN можно использовать для защиты от «атаки «человек посередине». Например, при использовании общедоступного соединения Wi-Fi в аэропорту или во избежание мониторинга вашего интернет-трафика со стороны интернет-провайдера или страны, из которой вы подключаетесь.

Mullvad VPN объясняет это в своем посте о шведском законодательстве ^[12] следующим образом:

Закон (2008:717) о наблюдении за сигналами для деятельности военной разведки. Этот законодательный акт наделяет Шведскую национальную оборонную службу радиовещания полномочиями осуществлять слежку за трансграничными коммуникациями (например, за телефонными звонками и интернет-трафиком). Аналогично поступают и другие страны. Для защиты электронных сообщений, пересекающих шведскую границу, потребители могут использовать службу VPN для защиты своей пользовательской активности.

В приведенном выше примере вы будете использовать VPN-подключение для подключения к точке выхода в интернет в другой стране, нежели в которой вы находитесь. И вновь это никак не связано с местонахождением самого VPN-провайдера. 

Если вы подключаетесь к VPN-серверу, расположенному в какой-либо конкретной стране, которую вы видите, то вы используете инфраструктуру этой страны (как и инфраструктуру любой страны, к которой вы подключаетесь). После подключения к этой стране вы становитесь частью этой проблемы наблюдения, описанной в приведенном выше аргументе, потому что вы используете точку выхода в Интернет в этой стране. Неважно, находится VPN-провайдер внутри или вне группы «глаз» стран. 

Кроме того, VPN-провайдеры обычно не владеют своими VPN-серверами. VPN-серверы обычно арендуются у разных хостинг-провайдеров по всему миру. Эти хостинг-провайдеры ^[13] очень часто одни и те же, как я задокументировал в своей прошлогодней статье в блоге «сопоставление точек выхода, используемых провайдерами VPN». Даже если некоторым провайдерам VPN разрешено развертывать собственное оборудование, они все равно используют одного и того же хостинг-провайдера ^[13] и, следовательно, свое интернет-соединение.

Ложная проблема пользователя

Проникнувшись гигантскими легальными и в прямом смысле непредставимыми нелегальными возможностями спецслужб, для объективности нужно обратить внимание на эту проблему с точки зрения пользователя. Ведь аргумент о тотальной слежке и тотальной прозрачности интернет-трафика спецслужбам используется в маркетинге в первую очередь на рядовых пользователей интернета. 

Так вот, с точки зрения рядового пользователя всё не так страшно. Дело в том, что законодательство западных стран регламентирует, какими данными и с кем спецслужбы имеют право делиться. Возьмём, для примера, Швецию. По закону, Шведское разведывательное управление (FRA) не может автоматически передавать информацию SIGNT полиции. Обмен спецслужб информацией с другими ведомствами ограничен рамками информации, имеющей отношение к борьбе с терроризмом, когда речь идет о национальной безопасности Швеции.

Да, выше мы говорили о том, что спецслужбы в сборе информации наверняка выходят за границы своего легального мандата. Тут нет противоречия: если им нужно, то они добудут информацию любыми законными и незаконными методами. Однако, когда речь идёт об обмене информацией с другими государственным ведомствам — например, полицией, здесь они уже вступают в правовое поле и ограничены в своих возможностях. 

Иными словами, спецслужбы вполне могут видеть, какой не совсем приличной деятельностью вы занимаетесь в интернете: пиратством, покупкой запрещённых веществ и даже чем-то похуже. Но даже если эта деятельность нарушает не только приличия, но и закон — это не значит, что спецслужбы будут что-то с этим делать. У них другие задачи, и чем граждане балуются и промышляют их не интересует, даже если они это видят, пока это не переходит грань террористической активности.

Из этого вытекает, что угроза попадания на «глаза» актуальна только для террористов, а не для обычных интернет-пользователей. Но не потому, что они за нами не следят — следят, ещё как, — а потому, что порог для того, чтобы они от слежки перешли к действиям крайне высок для обычного юзера. 

Таким образом, всё это приводит нас к немного парадоксальному выводу для рядовых пользователей и пользователей VPN в частности:

• Массовая слежка спецслужбами в интернете реальна, мы не знаем её реальных пределов — даже заявляемые публично возможности крайне широкие, а в реальности, вполне возможно, что интернет практически прозрачен для спецслужб. 

• С точки зрения использования VPN (и, соответственно, VPN-маркетинга) это ничего не меняет: угроза попасть под увеличительное стекло спецслужб зависит от страны физического расположения сервера, к которому вы подключаетесь, независимо от формальной страны регистрации вашего VPN-провайдера или даже в отсутствие такого (если вы подняли свой VPN на арендованном сервере, например). 

• Вместе с тем, практической разницы для рядового пользователя нет, пока его деятельность, чем бы он под прикрытием VPN ни занимался, не достигает порога угрозы национальной безопасности — в первую очередь, террористической. То есть, вы можете быть прозрачны — но это не значит, что вы будете интересны. 

VPN в современном мире — важная часть джентльменского набора практически любого интернет-пользователя, необходимая для обхода интернет-цензуры и блокировок контента правообладателями. И хотя мы считаем важным вести просветительскую работу по освещению интернет-цензуры ^[14], контроля спецслужб, различных видов скама и засорения интернета ^[15], корпоративного произвола ^[16], мы также настаиваем на том, что эта деятельность может и должна быть этичной, и направленной не на создание искусственного спроса на свои услуги, а на воспитание грамотного осознанного интернет-пользователя.

Текст: @EgorKotkin ^[17]  
Иллюстрации: Антон Дмитриев

• Для оплаты зарубежными картами или криптовалютой: xeovo.com ^[18]. Скидка 10% по промокоду HABR2023

• Для оплаты рублями: VPNPay ^[19]