Выявление VPN на iPhone «существенно ограничено», следует из методических рекомендаций по выявлению подобных сервисов на устройствах пользователей.

Эти рекомендации Минцифры направило крупнейшим российским интернет-компаниям.

Рассылке предшествовала серия совещаний, которые Минцифры провело с более чем 20 площадками — лидерами по размеру аудитории. Среди них «Сбер», «Яндекс», VK, Wildberries, Ozon, Avito, X5 и другие.

Глава министерства Максут Шадаев поставил компаниям жёсткий дедлайн: к 15 апреля они должны ограничить доступ к своим сервисам для пользователей с активным VPN.

Те, кто не выполнит требование, рискуют лишиться IT-аккредитации (а вместе с ней — налоговых и иных льгот), выпасть из «белого списка» сервисов, которые должны оставаться доступными при отключении интернета, а также потерять статус ресурсов, обязательных для предустановки на гаджеты российских граждан.

Причём владельцы популярных платформ не только сами блокируют «нарушителей», но и помогают государству выявлять новые VPN-сервисы, которые Роскомнадзор ещё не успел ограничить.

Как предлагают искать VPN

В методичке указано, что более половины пользовательских устройств работают на Android и iOS, а 80% приложений, способных участвовать в выявлении средств обхода блокировок, установлены именно на них.

Поэтому внедрение механизмов рекомендуется начинать с этих двух операционных систем.

Проверки на других ОС (Windows, macOS и пр.) отнесены к более поздним этапам.

Компаниям предлагается трёхступенчатый алгоритм:

Определить IP-адрес устройства и сверить его с базой российских адресов, а также со списком заблокированных РКН.

Проверить факт использования VPN непосредственно из собственного приложения (если оно установлено на том же устройстве).

Провести проверку на устройствах под управлением иных ОС.

Поводом для блокировки может стать несовпадение страны или региона по IP с российскими, попадание в «чёрный список» РКН или слишком частая смена геолокации.

Однако каждый такой сигнал требует подтверждения на втором или третьем этапе. И вот здесь возникает главная проблема.

Главная головная боль — iPhone

В документах прямо указано: осуществить второй этап проверки на устройствах iOS «существенно ограничено».

Всё из-за политики конфиденциальности Apple: сторонние приложения работают в изолированной среде и не имеют доступа к системным параметрам и данным других программ.

На Android дела обстоят проще — там системы ConnectivityManager и NetworkCapabilities позволяют любому приложению запросить параметры активной сети и узнать, идёт ли трафик через VPN.

Дополнительные меры и их последствия

В конце марта Шадаев попросил «большую четвёрку» операторов ограничить пополнение Apple ID со счёта мобильного телефона.

Напомним, Apple ещё в 2022 году отключила возможность пополнения аккаунта картами «Мир». У МТС и «Билайна» была прямая опция пополнения, у «МегаФона» и Т2 — через покупку подарочных сертификатов.

С 1 апреля все четыре оператора отключили эту возможность. Другое предложение главы Минцифры — ввести плату за превышение 15 Гб международного трафика в месяц — пока не реализовано.

Когда технология бессильна

В методичке перечислены сценарии, при которых выявление VPN невозможно или крайне затруднено:

- VPN настроен на роутере — на самом устройстве нет локальных артефактов.
- VPN развёрнут внутри виртуальной машины или контейнера.
- Используются прокси-серверы у обычных провайдеров с «домашними» IP — их не выявить по базам.
- Включён режим split tunneling — через VPN идёт только часть трафика.
- CDN и глобальные сервисы могут искажать местоположение даже без VPN.
- Новые VPN-сервисы появляются быстрее, чем обновляются репутационные базы IP.

Исключения и риски

Эксперты предупреждали, что предложенная методика может давать сбои — под блокировку могут попасть граждане, физически находящиеся за рубежом, а также пользователи корпоративных VPN.

Для последних в документе сделано исключение.

Будет сформирован «белый список» известных корпоративных VPN и легитимных прокси.

Компаниям рекомендуется учитывать исторические данные: если устройство использует рабочий VPN только в рабочее время, такой сценарий можно идентифицировать и не блокировать.

Также описаны технические способы верификации.

Если однозначное решение принять не удаётся, нужно провести повторную проверку или комбинировать данные из разных источников (GPS, информация о вышке сотовой связи, история предыдущих успешных входов).