- Регистрация
- 06.02.22
- Сообщения
- 1,301
- Депозит
- 30,000 ₽
- Сделки (гарант)
- 2
- TELEGRAM
- @S0itir0Honda
«Билайн» готовит хирургический фильтр трафика на 2026–2030
Не слухи и не «нам показалось». На закупочной площадке лежит живой запрос от ПАО «ВымпелКом»: выбирают поставщика DPI‑решения. В требованиях — умение фильтровать трафик, включая зашифрованный HTTPS, и управлять им по категориям. То есть не просто «список доменов», а классификация действий: где вы смотрите видео, где играете, где звоните, а где пытаетесь «обойтись без лишних глаз». Это уже не грубая блокировка всего сайта, а прицельная хирургия функций. Документы есть, сроки указаны, файлы приложены.
Важно понимать механику. DPI не обязан «читать» ваши сообщения, чтобы мешать вам ими пользоваться. Он слышит шорохи: рукопожатие TLS, порядок расширений, набор шифров, поведение QUIC, SNI снаружи (когда он не защищён), интервалы и размер пакетов. Этого хватает, чтобы с высокой вероятностью назвать приложение и режим работы — и, при желании, нажать правильный рубильник. Отсюда способность отключать отдельные возможности внутри приложений — не трогая остальное. Технически это опирается на семейство «отпечатков» (JA3/JA4 и их наследников) и поведенческие профили шифрованных соединений. Содержимое остаётся в тумане, но форма звучит достаточно громко.
Отдельная «прелесть» нового ТЗ — списки того, что надо узнавать «в упор». VPN‑сервисы (включая Tor), популярные онлайн‑игры, ключевые мессенджеры и их голосовой трафик, соцсети и даже тематические категории сайтов: «взрослое», «знакомства», «религия», «политические организации». Поставщик должен будет доказать, что его коробка уверенно распознаёт каждую из этих масок и умеет для неё: пропустить, замедлить, перекрыть. Это про новый тон контроля — не демонстративный, зато долговечный.
«Но мы же спрячем всё в новейший TLS?» — спокойнее. Даже эволюции шифрования — ECH (Encrypted Client Hello), которая прячет SNI, — уже ловят и блокируют. Россия в 2024‑м начала гасить подключения к ECH у крупных провайдеров, и это задокументировано. Фингерпринты тоже не стоят на месте: одни вендоры их рандомизируют, другие — учатся читать поверх этого шума. Эта гонка без финиша: сегодня перекос в сторону цензора, завтра — ваша очередь на апдейт, но стратегию «поставил модный переключатель и пропал» лучше выкинуть из головы.
Что из этого следует, если смотреть трезво и без волшебных рецептов. Во‑первых, иллюзий меньше: DPI умеет «слышать» зашифрованный трафик по манере речи. Не путайте приватность с невидимостью. Во‑вторых, устойчивость теперь строится не на одном «супер‑ВПН из баннера», а на наборе принципов. Свой транспорт надёжнее арендованного: собственный туннель на нейтральном VPS с аккуратной маскировкой под «обычный веб» живёт дольше, чем «вечный премиум» неизвестного происхождения. Там, где QUIC режут сигнатурами, уметь падать на классический TLS — не зазорно, а практично. DNS должен быть шифрованным (DoH/DoT), иначе половину вашей «конспирации» вы сдаёте в логи на подлёте. И, главное, не оставляйте один тип трафика единственной опорой: как только «узнаваемую позу» пользователя вычисляют, она становится выключателем. (Это не инструкция по обходу — это базовая гигиена сети, где контроль стал умнее.)
Что точно не стоит романтизировать — старые трюки. «Домен‑фронтинг» давно закручен крупнейшими CDN; время его «чудес» прошло. «Модные расширения» шифрования не магия: их внедрение асимметрично, а блокировка — простая, если регулятор заранее выбрал курс. И да, «универсальные» обёртки под браузерный стек (которые обещают выглядеть как обычный Chrome‑трафик) — это лишь очередной виток гонки, не билет в неприкосновенность.
Ирония момента в том, что новый контроль будет ощущаться именно как тишина. Не как громкий бан с красной табличкой, а как мягкое «не звонит», «не грузит», «не совпал узор пакетов». Категории, профили, «умный» скоростной нажим на слабые места — и вы сами переходите туда, где всё «работает по умолчанию». Это и есть цель: не наказать, а перенаправить.