Xakep #305. Многошаговые SQL-инъекции
StartMail
На прошлой неделе операторы защищенного почтового сервиса StartMail сообщили, что с 23 января 2020 их сервис был заблокирован на территории РФ. Поводом послужила «защита российского сегмента интернета от распространения неточной социально значимой информации, распространяемой под видом надежных сообщений». Так, операторам сервиса сообщили, что с учетных записей электронной Startmail.com были отправлены тысячи ложных угроз о минировании различных объектов (якобы речь идет о более 1000 анонимных сообщений с ложными угрозами минирования более 16 000 объектов социальной инфраструктуры).
Официальное письмо Роскомнадзора, также обнародованное операторами сервиса, гласит, что StartMail нарушил российское законодательство, а именно — ч.2 ст.10.1 федерального закона №149-ФЗ, а также постановление Правительства России от 31 июля 2014 года № 746. То есть, фактически, StartMail заблокировали за отказ исполнять функции организатора распространения информации (ОРИ), в реестр которых сервис был внесен без ведома владельцев в конце декабря 2019 года.
«Поясняем: StartMail никогда не регистрировался в этом реестре и не связывался с российскими властями. Также StartMail не предоставлял никакой информации о своих пользователях российским властям. Судя по всему, в настоящее время IP-адреса почтовых серверов StartMail блокируются, и сайт StartMail.com более не доступен из России», — пишут разработчики StartMail, но отмечают, что не ставят свой сервис выше законов и не игнорируют запросы властей. — Мы считаем, нет никаких оснований для нашей блокировки. Когда дело доходит до борьбы с преступлениями, StartMail соблюдает законы ЕС и Нидерландов. <...> Мы работаем с запросами властей на предоставлении информации, что четко оговорено в наших Privacy Policy и Terms of Service».
Сервис сообщил, что будет обжаловать решение о блокировке, и представлять 18 февраля интересы StartMail в суде будут юристы Роскомсвободы.
ProtonMail
Сегодня, 29 января 2020 года аналогичной блокировке подвергся еще один защищенный почтовый сервис – ProtonMail. Его домены и IP-адреса были внесены в реестр запрещенных сайтов в связи с решением Генеральной прокуратуры РФ №27-31-2020/ИД769-20.
В Центре общественных связей (ЦОС) ФСБ журналистам «Интерфакс» сообщили, что сервис использовался для «продолжения преступной деятельности», и с адресов ProtonMail на электронные адреса судов в четырех субъектах РФ поступали сообщения с угрозами минирования. В текстах также указывались якобы заминированные 830 объектов социальной и транспортной инфраструктуры — школы, детсады, больницы, объекты транспорта, торговые центры и так далее. Подчеркивается, что все угрозы носили ложный характер.
Операторы ProtonMail подтвердили, что сервис блокируют в России, и теперь рекомендуют клиентам использовать Tor.
В свою очередь, Роскомнадзор сообщает:
«Данный почтовый сервис использовался злоумышленниками как в 2019 году, так и, особенно активно, в январе 2020 года для рассылки под видом достоверных сведений ложных сообщений о массовом минировании объектов на территории Российской Федерации.
На неоднократные запросы Роскомнадзора о предоставлении сведений для включения в реестр организаторов распространения информации в сети “Интернет” компания реагировала категорическим отказом. Сведения об администраторах почтовых ящиков, используемых для рассылки угроз, не предоставлены».
В ответ на это заявление глава провайдера Diphost и владелец телеграм-канала «Эшер II» Филипп Кулин пишет:
«Несмотря на то, что наверное так и было, это не повлекло никаких правовых последствий и не имеет никакого отношения к данной блокировке. Я бы сказал, что это жонглирование фактами и даже фейк-ньюз. И это проблема, потому что Роскомнадзор обоснованно рассчитывает, что СМИ перепечатают фразировки с официального сайта, немного додумав не сказанное. <...> Блокировка произведена по решению Генеральной Прокуратуры на основании статьи 15.3 закона “об информации” — это информация с призывами к мятежу и разрушительная недостоверная информация. Тема с письмами о ложных минированиях — порядком утомившая безграмотная чушь. Если силовикам надоело реагировать на анонимные письма/сообщения, то надо просто перестать на них реагировать. Единичная блокировка почтовых сервисов не решит проблему анонимок ни с какой точки зрения.
Отдельно отмечу, что большинство почтовых серверов стоит ПЕРЕД фильтрами или имеет запасной приемник вне фильтров. Это верно и для MailRu Почты, Почты Rambler и Яндекс Почты. Я проверял, сервера этих сервисов доступны с заблокированных IP-адресов, не связанных с блокировкой почтовых сервисов. Сервис startmail.com был заблокирован на этих сервисах «вручную». Нормативно-правовая база Российской Федерации не подразумевает такой блокировки. Она противозаконна. “Мы просто исполняем закон” тут не применимо».
