Gorazd :blog

Ko so mediji povzeli novice o spremembah Zakona o igrah na srečo, sem zasledil tudi izjavo Ministrstva za finance iz katere gre sklepati, da je ukrep omejevanja dostopa do spletnih mest “izvedljiv in smotrn”. Pravi kontranst tej skopi izjavi je debela študija Open Society Institute z naslovom “Internet blocking: balancing cybercrime responses in democratic societies” (priporočam ogled povzetka). Ugotovitve študije je soavtor Cormac Callanan komentiral z naslednjimi besedami: “Tehnično je težko izvedljivo. Pravno je problematično. Predvsem pa predstavlja otipljivo grožnjo prostemu pretoku infirmacij in je v nasprotju z osnovnimi demokratičnimi načeli.”

Technically, it is difficult. Legally, it is problematic. Above all, it represents a real threat to the free transfer of information and conflicts with basic democratic principles.

Cormac Callanan

V povzetku poudarjajo tudi, da filtriranje in omejevanje dostopa ni učinkovito, saj blokira bodisi premalo ali preveč, poleg tega pa bodo storici ali prekrškarji zlahka ukrep zaobšli.

Zanimiva pa je v luči sprememb naše zakonodaje novica, da bo Google zaradi hekerskih napadov in omejevanja svobode govora prenehal cenzurirati iskalne rezultate na google.cn in celo razmišlja o tem, da bi zaprl svojo kitajsko poslovalnico. Ameriška vlada se je hitro odzvala in Hillary Clinton pravi, da bo naslednji teden govorila o svobodi interneta v 21. stoletju.

Rekli boste, da primerov ne moremo enačiti. Res je.

Državni zbor RS je pred kratkim sprejel spremembe Zakona o igrah na srečo, ki med drugim dodajajo tudi tole v 107. člen:

Če nadzorni organ pri izvajanju nadzora ugotovi, da se prirejajo spletne igre na srečo brez koncesije vlade, lahko ponudniku storitve informacijske družbe naloži omejitev dostopa do spletnih strani oziroma drugih telekomunikacijskih povezav, preko katerih se take igre prirejajo.

Vsem, ki vas zanimajo pravne implikacije in družbena primernost uvajanja takšnih ukrepov, toplo priporočam članka Mateja Kovačiča in Žige Turka, sam pa se bom osredotočil na tehnične možnosti blokiranja omrežnega prometa in posledice, ki jih ta lahko prinese.

Kadar želimo omejiti dostop do nekega strežnika oz. do spletnega mesta, imamo v bistvu na voljo štiri možnosti: blokada prometa glede na ciljni IP naslov, spreminjanje tabel za usmerjanje prometa, preusmerjanje s pomočjo lažnih DNS odgovorov in tehnologijo DPI, Deep Packet Inspection. Vsaka od teh možnosti ima svoje pomanjkljivosti oz. povzroči probleme, na katere zakonodajalec verjetno ni pomislil, bodo pa padli na ramena “ponudnikov storitev informacijske družbe”.

Blokada prometa na podlagi IP naslova

To je najbolj enostavna metoda, ki jo običajno internetni ponudniki uporabljajo recimo za obrambo pred napadi s poplavo podatkov (DDoS, Distributed Denial of Service oz. na kratko kar “dosanje”). Tudi najbolj enostavne omrežne naprave podpirajo vsaj osnovno filtriranje prometa te oblike. Na napravi (običajno usmerjevalniku prometa, lahko tudi požarnem zidu) se ustvari novo pravilo, ki pravi, naj se promet na nek ciljni IP naslov (recimo 195.72.135.41) zavrže. To bi ustrezalo primeru, ko poštar na določen naslov (recimo Jamova 39, 1000 Ljubljana) ne bi več dostavljal pošiljk. S tem morda dosežemo namen, kadar je na tem naslovu samo ena oseba, povzročimo pa lahko dodatno škodo, kadar stoji na tem naslovu blok ali celo poslovna stavba (ali v tem konkretnem primeru Inštitut Jožefa Stefana).

Takšni blokadi se lahko prireditelj iger na srečo enostavno izogne tako, da prosi svojega ponudnika gostovanja, naj mu zamenja IP naslov. Ta bo verjetno rade volje to storil in ukrep je izničen. Še več: ponudnik bo ta prosti IP naslov recikliral in ga že naslednji trenutek dodelil drugi svoji stranki, do njenega spletnega mesta pa naenkrat iz Slovenije ne bomo mogli.

Vsi tisti igralci, ki se bodo ukrepu želeli izogniti, bodo ukrep zaobšli z uporabo anonimnih proxy strežnikov (kot se je to zgodilo v udba.net primeru) ali omrežja Tor, ki je namenjeno anonimnemu brskanju.

Spremembe tabel za usmerjanje prometa

Omrežje internet je sestavljeno iz ogromnega števila povezav med usmerjevalniki prometa (router). Vsak od njih ve na podlagi posebnih tabel za usmerjanje prometa, kateremu sosedu mora poslati paket, da bo prišel na cilj. Vsi internetni ponudniki svoj IP naslovni prostor oglašujejo sosednim omrežjem, posebni protokoli in postopki pa poskrbijo, da se ustrezna informacija razširi po omrežju. Če se vsi ponudniki držijo dogovorjenih pravil, lahko od koderkoli na internetu pridemo kamorkoli.

Ponudniki v Sloveniji bi omejevanje dostopa lahko implementirali tako, da bi dodali v usmerjevalne tabele lažne podatke, ki bi govorili, da se recimo bwin.com nahaja dejansko na strežniku Urada RS za nadzor nad prirejanjem iger na srečo. S tem ne bi zavrgli ali uničili pakete, ampak bi jihpreusmerili. Kot da bi na cestah v vsej državi zamenjali table, ki kažejo, kako se pride recimo v Trst in bi potnike usmerjali v Celje. Dodaten “bonus” takšnega omejevanja je, da upravitelj tega lažnega cilja jasno vidi, kdo vse želi priti do prepovedanega spletnega mesta …

Ostale problemi in metode izogibanja ukrepu pa so povsem isti, kot v prejšnjem načinu blokade. Ker pa lahko po nesreči usmerjevalna informacija “uide” v tuja omrežja, pa se tu pojavi še dodaten problem, ko preusmerimo promet tudi v drugih državah. To se je dejansko že zgodilo v primeru, ko je pakistanski telekom leta 2008 dobil navodilo države, naj zablokira Youtube zaradi neprimernih vsebin. Zaradi napake pri urejanju usmerjevalnih tabel je ta laž ušla iz Pakistana ven in se v hipu razširila po internetu. Tako je bil nekaj ur Youtube nedosegljiv za večino uporabnikov interneta!

Podtikanje lažnih DNS odgovorov

Omrežna komunikacija poteka med različnimi IP naslovi, te pa si ljudje težko zapomnimo, zato je eden od temeljnih gradnikov interneta tudi porazdeljeni imenik DNS, Domain Name System. Vsakič, ko recimo vpišemo spletni naslov v brskalnik, si naš računalnik v ozadju izmenja kopico paketov z DNS strežniki na omrežju. Tako vpraša, kateri so domenski strežniki za bwin.com; ko izve za te, njih vpraša za IP naslov spletnega mesta www.bwin.com in prejme odgovor: 195.72.135.41. Brskalnik šele nato lahko pošlje zahtevek za vsebino spletne strani. Za te DNS poizvedbe običajno uporabljamo strežnike svojega internetnega ponudnika (pogovorno tak DNS strežnik imenujemo resolver).

Spletno mesto lahko s pomočjo DNS sistema blokiramo tako, da v resolver dodamo črno listo imen. Ko recimo tako spremenjen resolver na črni listi najde www.bwin.com, namesto pravega odgovora vrne IP naslov vnaprej določenega spletnega mesta, kjer se uporabniku prikaže sporočilo, da do tega spletnega mesta ne sme.

Pri tem načinu se vsak igralec iger na srečo še bolj enostavno izogne blokadi. Na primer tako, da si na računalniku nastavi OpenDNS ali Googlove strežnike (resolverje), ki brezplačno nudijo svoje storitve komurkoli. Ker pa je podtikanje lažnih DNS odgovorov tudi ena od metod omrežnih kriminalcev, ki nam skušajo na ta način ukrasti gesla in denar, zato se bo prej ali slej vpeljal nov, bolj varen protokol, DNSSEC. Ta bo vzpostavil hierarhijo ključev za digitalno podpisovanje, takšne blokade (oz. preusmeritve) pa naredil manj uporabne.

DPI – Deep Packet Inspection

Najbolj kompleksna in napredna (ali pa perfidna, odvisno od stališča) tehnologija za filtriranje prometa temelji na vpogledu v vsebino, samodejnem pregledovanju celotnega prometa in iskanju vzorcev v njem. Če se vrnemo na poštarsko analogijo: vsako pismo bi na pošti odprli in na podlagi vsebine pisma odločili, ali se ga sme dostaviti, ali ne. DPI se uporablja kot dodatek pri nekaterih požarnih zidovih, seveda pa je tudi idealno orodje za nadzor nad prometom zaposlenih. Tudi pri nas se skuša še dodatno promovirati internetnim operaterjem, saj omogoča tudi spreminjanje in dodajanje vsebine v komunikacijo. Reklam, recimo.

DPI sigurno pomeni nesorazmeren poseg v zasebnost komunikacije glede na namen omenjenega zakona, zato kaj dosti besed o tej možnosti ne bi izgubljal, morda bi le pokazal na članek o neprimerni uporabi DPI tehnologije pri nas.

Splošni problemi

Obstaja tudi nekaj pomislekov, ki pa so skupni vsem trem načinom blokiranja prometa. Najprej bi omenil ažuriranje spiska blokiranih mest. Kdo bo vzdrževal spisek, preverjal ali še veljajo razlogi za blokado in sporočal vse skupaj slovenskim “ponudnikom storitev informacijske družbe”? Urad RS za nadzor nad prirejanjem iger na srečo? Kaj, ko bo prireditelj zamenjal IP naslov ali DNS ime? Bomo imeli centralni državni organ za urejanje cenzuriranih spletnih mest, ali bodo to počeli posamezni uradi in inšpekcije? Zdi se mi, da so vse te službe bolj vajene postopka, kjer izdajo odredbo, nato pa je stvar zaključena. Kaj pa bo čez dve leti, ko bo prireditelj propadel, zamenjal ponudnika gostovanja ipd.?

Zanesljiva komunikacija je tista, pri kateri vemo, kakšni so možni rezultati: ali bo sporočilo prišlo na cilj, sicer pa bomo dobili povratno informacijo, da nekaj ni bilo v redu. Z nekaterimi načini filtriranja to zanesljivost zmanjšamo in vnesemo polje zmede v omrežje.

Predvsem pa ni prav, da v spor med Uradom, ki skrbi za zakonitost iger na srečo in tujim prirediteljem iger na srečo vlečemo tretje osebe. Še posebej, če gre tu za operaterje, ki imajo za nalogo hitro in učinkovito omrežno komunikacijo in jim zakonodaja sicer nalaga, da se vsebine uporabnikove komunikacije ne smejo pritakniti. Ne zdi se mi primeren izgovor, da je težko doseči, da bodo tujci sprejeli omejitve, ki veljajo v Sloveniji, ter da ti postopki trajajo dolgo časa. Še posebej, kadar ima prireditelj sedež v članici EU.

Končal bom s prispodobo. Predstavljajmo si italijanske uradnike nekaj let nazaj, kako so preko meje strmeli v Hitove reklame in se jezili, da njihovi državljani v slovenske igralnice nosijo denar. Ker vedo, da čez mejo pristojnosti nimajo in da so tam zakoni drugačni, so po mrzličnem iskanju rešitve odredili lastniku ozemlja ob meji, naj na lastne stroške postavi veliko tablo, ki mimoidočim zakrije pogled na reklamne napise igralnice tam čez. Ne glede na to, da vsak lahko reklame vidi, če se premakne nekaj deset metrov stran, bi svoj “ukrep” opravičili s tem, da so naredili vsaj nekaj in da je tudi to bolje, kot nič.

Pa je res?