Porque é que os VPN na Rússia caem agora por sub-redes inteiras de alojamento

Os utilizadores de VPN na Rússia atravessam mais uma vaga de falhas, e a forma como os serviços deixam de funcionar mudou. Desde agosto, os bloqueios não atingem servidores VPN isolados, mas intervalos de endereços inteiros nas empresas de alojamento onde esses servidores funcionam. A 14 de outubro, o canal tecnológico russo Techmedia, citando o canal de Telegram Krovavaya Barynya, noticiou que vários fornecedores registavam um aumento acentuado das restrições: «Agora já não bloqueiam endereços IP isolados, mas sub-redes inteiras com centenas de endereços. O número de bloqueios multiplicou-se, dizem os participantes do mercado». O canal não indicou serviços nem números, e a Roskomnadzor não comentou. Eis como funciona este tipo de bloqueio e por que razão chega muito além dos VPN.

De um endereço a centenas

Cada servidor na internet tem um endereço IP, e as empresas de alojamento distribuem esses endereços em blocos. O bloco mais comum, escrito como /24, contém 256 endereços. Quando um censor bloqueia o endereço de um único servidor VPN, o operador pode mudar o servidor para um endereço vizinho no mesmo fornecedor e continuar. Quando o censor bloqueia todo o /24, uma só regra deixa centenas de endereços fora de serviço de uma vez, e mudar dentro do intervalo já não ajuda.

O passo seguinte é o bloqueio por rede. As grandes empresas de alojamento anunciam o seu espaço de endereços na internet como um sistema autónomo, uma rede numerada com a sua própria lista de prefixos. Em agosto, Mikhail Klimarev, da Sociedade para a Proteção da Internet, disse à Euronews que as autoridades, com a ajuda de empresas de informática, tinham identificado várias dezenas de sistemas autónomos onde os servidores VPN se «concentram» e bloqueado todos os seus prefixos. Foi a vaga de 4 de agosto: o canal de Telegram Exploit contou mais de 20 serviços afetados, e vários, entre eles VPN Legend, GaMMa VPN e LTVPN, comunicaram problemas.

A vaga depois das eleições para a Duma

A ronda atual começou depois das eleições para a Duma de Estado de 18 a 20 de setembro. Segundo a SecurityLab, um serviço situa o início a 21 de setembro e outro a 25 de setembro, quando as restrições se intensificaram. Pelo menos dez serviços VPN comunicaram problemas. Um operador substituiu oito servidores em cinco dias, e outros disseram que quase todas as suas localizações no estrangeiro ficaram inacessíveis. Um serviço afirmou que as ligações OpenVPN a partir de routers domésticos deixaram de funcionar para muitos utilizadores russos, quando restrições semelhantes costumavam durar umas horas.

Não há dados públicos que mostrem um mecanismo único em todos os operadores e regiões, assinala a SecurityLab, e as falhas também podem resultar da deteção de protocolos ou de problemas de encaminhamento. Ainda assim, o que os serviços descrevem encaixa no bloqueio por intervalos: servidores substituídos vezes sem conta e localizações estrangeiras inteiras que se apagam ao mesmo tempo.

Quem mais fica sem acesso

Um bloqueio por intervalo não sabe o que há por trás de cada endereço. A mesma sub-rede pode alojar uma loja online, o servidor de correio de uma empresa ou um sistema CRM, e todos desaparecem para os utilizadores russos juntamente com o VPN ao lado. As empresas queixam-se de que os seus próprios túneis falham: o servidor remoto responde ao ping e ao SSH, mas o canal VPN cifrado não se estabelece. Em abril, a Roskomnadzor afirmou que as VPN empresariais usadas dentro das redes russas não estão restringidas e que concedera exceções para dezenas de milhares de endereços e sub-redes usados para aceder a recursos estrangeiros por motivos de trabalho.

O Estado também está a remodelar o espaço de endereços do seu lado. A 31 de agosto, segundo a RBC, citada pelo Kommersant e pelo Vedomosti, o Ministério do Desenvolvimento Digital pediu às empresas de alojamento, às CDN e aos serviços de proteção DDoS que passassem os endereços IP dos sites da «lista branca» para sub-redes separadas. A lista branca abrange serviços como Yandex, Ozon e Gosuslugi, que devem continuar a funcionar mesmo quando a internet móvel é desligada. Como os sites partilham muitas vezes endereços com outros clientes da mesma CDN ou do mesmo serviço de proteção, os VPN poderão acabar na lista branca ao lado deles. A medida tem o apoio do FSB, noticia o Kommersant.

O que muda para operadores e utilizadores de VPN

Para um operador de VPN, o custo de cada servidor bloqueado aumenta: trocar de endereço já não ajuda, e mudar significa trocar de empresa de alojamento ou de país. Quem gere o seu próprio servidor num VPS alugado enfrenta o mesmo problema. Se o intervalo do fornecedor estiver bloqueado, um novo endereço do mesmo fornecedor tem boas hipóteses de ser bloqueado também. Para os utilizadores, o resultado é o que os russos descrevem desde agosto: serviços que funcionam num dia e caem no seguinte, trocas frequentes de servidor e nenhum fim à vista. O cerco conta ainda com mais dinheiro: a Rússia duplica o seu orçamento para o bloqueio da internet e o combate aos VPN.