СВР разрешит россиянам (якобы в целях безопасности) обращаться к спецслужбе через свой сайт. Этот канал связи НИКАК не защищен от перехвата сообщений уже шестой год. Их сможет прочитать любой злоумышленник, оператор связи — и даже иностранные разведчики

Что случилось?

Служба внешней разведки России (СВР РФ) разработала проект приказа, который регламентирует «особый порядок» для приема и подачи обращений граждан онлайн. А также ответов на такие обращения со стороны СВР РФ.

Особый порядок выглядит так:

• Обращение гражданин может отправить только через официальный сайт svr.gov.ru
• Ответ должен прийти на электронную почту, указанную в обращении

Особый порядок направления обращений граждан в форме электронного документа в Службу внешней разведки Российской Федерации и ее должностным лицам, а также направления ответов на такие обращения и уведомлений

1. Обращения граждан в форме электронного документа направляются в Службу внешней разведки Российской Федерации и ее должностным лицам только с использованием официального сайта СВР России в информационно-телекоммуникационной сети «Интернет» (www.svr.gov.ru).
2. Ответы на обращения граждан в форме электронного документа и уведомления направляются по адресу электронной почты, указанному в обращении гражданина.

А о каких обращениях граждан вообще идет речь?

Россияне могут отправлять любые предложения, заявления или жалобы в государственные органы власти или органы местного самоуправления. Каждое такое обращение должны обязательно рассмотреть в течении 30 дней. За игнорирование обращений от граждан должностные лица должны штрафовать.

Зачем нужен «особый порядок»?

Для «обеспечения безопасности граждан» — такая формулировка зафиксирована в поправке федеральному закону «О порядке рассмотрения обращений граждан Российской Федерации». «Особый порядок» могут устанавливать органы власти, которые занимаются оперативно-разыскной деятельностью или обеспечением безопасности России.

По всей видимости, «особый порядок» нужен в том числе, чтобы скрыть факт такого обращения.

Предыдущая поправка 2023 года разрешала гражданам обращаться в любые органы власти через «Госуслуги». Обеспечить такую возможность государственные и муниципальные органы власти должны были не позднее 1 января 2025 года.

Статья 6. Гарантии безопасности гражданина в связи с его обращением

3. В целях обеспечения безопасности граждан в связи с их обращениями в органы, осуществляющие оперативно-разыскную деятельность или обеспечение безопасности Российской Федерации, к должностным лицам указанных органов нормативными правовыми актами федерального органа исполнительной власти в области внутренних дел, федерального органа исполнительной власти в области обеспечения безопасности, федерального органа исполнительной власти в области внешней разведки, федерального органа исполнительной власти в области государственной охраны может быть установлен особый порядок направления обращений в форме электронного документа и направления ответов на обращения, уведомлений.

Приказ директора СВР РФ Сергея Нарышкина должен вступить в силу 30 марта 2025 года — одновременно с новой поправкой к федеральному закону.

Получается, СВР скоро запустит онлайн-форму для обращений граждан?

Она существует уже несколько лет.

В мае 2019 года, накануне своего объявил о вступлении спецслужбы в свой «вековой юбилейный год». ">столетия, СВР обновила дизайн официального сайта. На нем служба создала отдельную страницу для отправки обращений граждан: текстовых сообщений и прикрепленных файлов.

Такая форма защищеннее «Госуслуг»?

Нет, совсем наоборот.

СВР вообще никак не защищает обращения граждан от перехвата и подмены

Дело в том, что сайт СВР никогда не использовал защищенный протокол HTTPS (в этом можно убедиться с помощью сервиса crt.sh, который собирает историю публичных сертификатов SSL/TLS).

Сайт svr.gov.ru использует только незащищенный протокол HTTP, который передает все данные в открытом виде. Это значит, что на любом промежуточном узле связи можно не только подсмотреть и сохранить себе копию такого обращения, но и подменить его содержание. Скажем, указать другой электронный адрес для ответа.

Промежуточными узлами могут быть, например:

• Wi-Fi роутер в кафе или магазине
• сервер российского и иностранного оператора связи, через который идет трафик пользователя к сайту svr.gov.ru

Подождите, в этом можно как-то убедиться самостоятельно?

Да, конечно.

Проще всего воспользоваться инструментами разработчика в вашем браузере

• нажмите Ctrl+Shift+I
• откройте вкладку Network
• отправьте сообщение через форму на сайте СВР
• найдите запрос со словом feedback (он будет в самом конце списка) и нажмите на него
• в панели с деталями запроса откройте вкладку Payload — там будет вся информация, которую вы отправили.

Если предварительно запустить на вашем компьютере программу для анализа сетевых пакетов Wireshark, тогда с ее помощью можно перехватить трафик от браузера к сайту svr.gov.ru. А затем при помощи инструментов разработчика в браузере обнаружить ваш запрос — со всеми данными в незашифрованном виде.

Ровно таким же образом вся эта информация будет видна на любом промежуточном узле. В России операторы связи обязаны хранить весь трафик пользователей как минимум в течение полугода.

Поэтому любопытные технические специалисты операторов связи смогу проверить, что именно пользователи писали в своих обращениях на сайте СВР за последние шесть месяцев.

Если они, конечно, не использовали при этом VPN. В этом случае обращения граждан могут теоретически собирать недобросовестные операторы VPN, которые мониторят трафик своих пользователей.

Как безопасно связаться с «Медузой»

• У меня есть важная информация для «Медузы», но я боюсь ее передавать. Как сделать это по-настоящему анонимно?

Разве кто-то пытается отследить такой трафик?

Да, наверняка.

Например, с 2017 года на сайте ЦРУ можно найти предупреждение для граждан России. Их просят не использовать онлайн-форму для обратной связи:

Attention: If you are a citizen of the Russian Federation, please do not contact us via this site

Американские коллеги российских разведчиков опасаются раскрыть свои источники, хотя и используют на сайте HTTPS с 2013 года.

А СВР тоже набирает разведчиков через эту форму обратной связи?

Нет. Но будущие разведчики могут по ошибке сначала воспользоваться именно этим каналом связи из-за явной недоработки.

На сайте СВР есть отдельная страница, которая посвящена описанию работы с обращениями граждан. Там отдельно оговаривается, что спецслужба будет игнорировать любые сообщения о трудоустройстве, отправленные «по электронным каналам связи».

Почему? Потому что в таком случае персональные данные будущих разведчиков могут стать известны иностранным спецслужбам.

Любые материалы, связанные с поступлением на военную службу (работу) в СВР России и направленные гражданами по электронным каналам связи (электронная почта, факсимильная связь и т. п.), не рассматриваются в связи с тем, что их персональные данные могут стать известны третьим лицам (в том числе иностранным спецслужбам).

Проблема в том, что такого предупреждения нет на странице с формой отправки обращений граждан. Перейти на нее очень просто. Внизу каждой страницы на сайте СВР можно найти кнопку «Отправить обращение» — она отправляет посетителей сайта сразу на форму обратной связи.

Денис Дмитриев