FAQ zu Maskenshows im Rechenzentrum in der Rechtspraxis des VDS-Hostings

Hallo Habr! Sie haben mich gebeten, Ihnen zu sagen, wie echte Maskenshows in einem russischen Rechenzentrum aussehen werden, in dem Sie VDS mieten. Ich muss sofort sagen: Erwarten Sie keine Wunder, laut einer richtig formatierten Anfrage werden die Daten sofort und ohne unnötiges Aufstehen der Brust zum Schutz übertragen. Denn die Praxis ist folgende: Entweder Sie führen ein legales Geschäft oder Sie fliegen aus dem Markt. Aber es gibt Nuancen. Unser Anwalt und ich werden jetzt versuchen, die Hauptprobleme zu lösen.

Wie sieht es normalerweise aus, Kundendaten von Behörden anzufordern?

Zum Beispiel haben Sie Kinderpornografie zur Unterstützung von Navalny gefilmt - und es wurde eine Untersuchung über die Attraktivität Ihrer Art und gesetzestreuen Konkurrenten eingeleitet. Wir werden dies durch eine offizielle schriftliche Anfrage erfahren. Ein müder Kurier kommt im Büro an, oder wir erhalten einen eingeschriebenen Brief per Post oder kommen auf besondere Weise an, zum Beispiel durch einen Kurier. Wenn die Anfrage keine geheimen Daten enthält, wird sie normalerweise durch eine reguläre E-Mail an eine Adresse wie info @ dupliziert. Bereits zu diesem Zeitpunkt wird etwa ein Drittel der eingehenden Anforderungen eliminiert, da sie korrekt zusammengesetzt sein müssen.



Natürlich wissen wir nicht (und darüber hinaus wollen wir nicht wissen, dass es für uns nicht rentabel ist), was mit dem Kunden auf seinem VPS los ist. Darüber hinaus in einigen Fällen und nicht grundsätzlich - wenn der Client die Verschlüsselung aktiviert hat und die Schlüssel nicht im Klartext auf dem Server gespeichert sind.



Die Anfrage selbst zielt jedoch normalerweise darauf ab, Daten über eine bestimmte Person (Kundenkontakte, Transaktionshistorie usw.) zu erhalten, deren kriminelle Aktivitäten der Körper zu unterdrücken versucht.

Warum werden Anfragen verworfen?

Viele Anfragen werden aufgrund falscher Zusammenstellung eliminiert: Beispielsweise weiß das Innenministerium nicht immer, für welches unserer Dutzenden von Rechenzentren und in welcher Gerichtsbarkeit es sich bewerben soll. Das heißt, eine kleine Anzahl von Anforderungen fällt einfach ab, weil sie falsch adressiert oder falsch zusammengesetzt sind. Oft schreiben sie an RUVDS (dies ist ein Handelsname, keine juristische Person "MT FINANCE"), oft kontaktieren sie den CEO nicht und so weiter. In diesem Fall lehnt unser Anwalt das Formular ab, aber fast sofort kommt das richtige Dokument wieder an - diesmal mit dem erforderlichen Header.



Solche Situationen machen etwa 30% der Gesamtmasse aus, aber viele kehren innerhalb weniger Tage korrekt zurück. Wenn Sie also die Transparentfolien einer Person lesen, achten Sie nicht zu sehr auf die Absprungrate: Es geht nur darum, das Formular von einem Mitarbeiter der Abteilung korrekt auszufüllen. Und er kann fast sofort eine zweite Anfrage senden.



Dann wird überprüft, ob eine solche Anfrage wirklich war und dies keine Wettbewerbsinformationen sind. Das heißt, Sie müssen sich an diese Abteilung wenden und fragen, ob es wirklich eine solche Anfrage gab. Und es geht nicht um Telefonnummern aus dem Brief, sondern wir gehen zu Google, suchen nach Kontakten und rufen an. Bisher sind die Statistiken 100%, aber wir versichern weiterhin. Einige sind überrascht, wenn ein Anwalt den bestimmten Mitarbeiter fragt, der die Anfrage an das Telefon gesendet hat. Aber nachdem wir erklärt haben, dass wenn dies nicht der Fall ist, werden wir die Polizei kontaktieren, um Betrug zu verhindern, normalerweise verbinden sie sich. Wir haben ein separates Verfahren für den FSB, aber ich kann Ihnen nichts darüber erzählen.



Solche Anfragen kommen vom FSB (Grenzdienst), dem Bundessteuerdienst, der Polizei und anderen Abteilungen. Fast alle FSB-Anfragen sind auf einmal korrekt, aber die Polizei weiß nicht immer, wie sie erstellt wurden oder an welche juristische Person sie schreiben sollen - und sie erhalten häufiger Ablehnungen als andere. Gleichzeitig kommen rund 90% der Anfragen vom Innenministerium.

Haben Sie ein Beispiel für eine abgelehnte Anfrage?

Nach welchem ​​Gesetz wird der Antrag allgemein bearbeitet?

Grundlage für eine solche Anfrage ist das Gesetz „Über operative Suchaktivitäten“. Es werden die Organisationen aufgelistet, die befugt sind, operative Suchaktivitäten durchzuführen. Dies ist ein Bundesgesetz, das in unserem Land gilt. Es listet das Innenministerium, FSB, FSO, Zollbehörden, SVR, FSIN, GRU auf (nur im Rahmen der Gewährleistung ihrer eigenen Sicherheit). Der Steuerdienst ist nicht in dieser Liste enthalten, es gibt jedoch eine gemeinsame Verordnung Nr. 317 / -7-2 / 481 @, die es dem Steuerdienst ermöglicht, die Ergebnisse der Untersuchung direkt vom Innenministerium zu erhalten. und wenn zum Beispiel die Steuerbehörden nicht antworten, wird es ziemlich schnell eine Anfrage vom Innenministerium geben. Nun, das Finanzamt fragt nicht nach Installationsdaten für Kunden, es interessiert sich für die Art der Beziehung zwischen juristischen Personen, Dokumente, die die Beziehung bestätigen, um zu verstehen, dass beispielsweise Zahlungen für die Dienstleistung als akzeptiert werden können Kosten.



Wir sind gesetzlich verpflichtet, auf diese Dienstleistungen in der vorgeschriebenen Weise zu antworten (außer wenn es um uns geht - hier können wir Kommentare und Antworten auf Fragen nach Artikel 51 der Verfassung ablehnen). Zum Glück hatten wir das auch nicht.

Was ist der Grund für eine solche Anfrage am häufigsten?

Der Hauptgrund für die Anfrage ist eine Beschwerde über betrügerische Aktivitäten. Dementsprechend leitet das Innenministerium eine Untersuchung des Bankkartenbetrugs ein. Es gibt viele solcher Fälle aus Moskau (etwa ein Drittel), viele aus Krasnodar und dem europäischen Teil Russlands im Allgemeinen, geschweige denn wegen des Urals. Dies ist die "K" -Abteilung, dh die Cyberpolizei. Das Wesentliche bei der Verwendung des Servers ist, dass dort eine Mini-Telefonanlage für Anrufe von Betrügern an Einzelpersonen bereitgestellt wird. Seltener eine Landingpage für den Verkauf von Drogen.



Weitere 9% sind der FSB und die Suche nach bestimmten Personen.



Die verbleibenden Anfragen dieses Typs sind der Grenzdienst, der im Zusammenhang mit dem Import-Export anfordert, auf seinen Servern einen Liefernachweis zu finden.

Weiß der Kunde, dass er von Regierungsbehörden „geschlagen“ wird?

Nein, er weiß es nicht und wir haben kein Recht, so etwas zu melden - das ist ein Geheimnis der Untersuchung. Wir hatten einmal einen Fall, in dem die Antwort auf eine Anfrage versehentlich an den Kunden anstatt an die Polizei ging. Dies war ein sehr ernster Pfosten, und wir hätten wegen Beihilfe angeklagt werden können. In dieser Situation haben wir einem potenziellen Verbrecher gezeigt, ja, er ist ein potenzieller Verbrecher, niemand hat ihn verurteilt, niemand nennt ihn einen Verbrecher, aber er ist ein Verdächtiger einer Straftat. Wir haben ihm die Tatsache offenbart, dass in seiner Haltung eine Untersuchung stattfindet. Sie werden nie erfahren, dass ein Telekommunikationsbetreiber etwas über Sie an Strafverfolgungsbeamte weitergegeben hat, bis Sie bei der Untersuchung darüber informiert werden.



Glücklicherweise hatte der Kunde damals lange gewusst, dass ein Verwaltungsverfahren gegen sein Unternehmen eingeleitet wurde, und im Allgemeinen werden solche Dinge in der Regel viel früher bekannt, als Anfragen eingehen.

Wenn eine Anfrage nicht aufgrund eines falschen Designs zurückgeschickt wird?

Wenn es eine Blockierungsanforderung gibt. Wir blockieren nicht auf Anfrage, insbesondere auf Anfrage des Innenministeriums in freier Form. Wir müssen Daten angeben, aber nicht blockieren. Gleichzeitig verzögern wir die Antwort nicht, sondern erklären, was falsch ist. Infolgedessen kommt meistens am nächsten Tag eine Anfrage der Polizei an, ohne dass eine Sperrung in der richtigen Form erforderlich ist.

Warum werden Kunden, die sich an illegalen Aktivitäten beteiligen, nicht blockiert?

Wir blockieren solche Mandanten auf gerichtlichen Befehl, jedoch nicht auf Ersuchen des Innenministeriums. Denn ohne eine Gerichtsentscheidung ist es unmöglich festzustellen, dass jemand etwas Illegales tut. Die Entscheidung zur Sperrung wird entweder vom Gericht oder von Roskomnadzor (in Form der Eingabe der IP-Adresse in die schwarze Liste der verbotenen Adressen) an seinen Geräten getroffen. Danach blockieren alle Telekommunikationsbetreiber, die in der russischen Gerichtsbarkeit einen Internetzugang anbieten, den Zugang zu es automatisch innerhalb von 24 Stunden. Wir wissen vielleicht nicht einmal davon. Dies geschah uns, als die IP-Adresse unseres Kunden von Roskomnadzor auf die schwarze Liste gesetzt wurde. Das haben wir bereits vom Kunden erfahren, weil er uns begegnet ist - vom Support-Ticket. Wir haben die Roskomnadzor-Datenbanken überprüft, und es stellte sich heraus, dass der Kunde dort in offenen Betrug verwickelt war.



Aber wir blockieren nicht bis zum Urteil. Es liegt nicht in unserer Verantwortung zu entscheiden, wer richtig und wer falsch ist. Wir sind Infrastruktur. Wir können die EULA nicht verletzen. Das heißt, als Person würde ich sehr gerne Betrüger blockieren, über die bereits klar ist, dass sie alte Menschen um Geld betrügen, aber als Spezialist halte ich mich an das Gesetz.



Gleichzeitig verstehen wir menschlich, wenn ein Polizist im Falle einer offensichtlichen Tatsache der kriminellen Aktivität des Klienten um Blockierung bittet. Aber wir sind kein Gericht, wir können die Position der Polizei nicht überprüfen und orientieren uns daher immer am Gesetz.

Was ist mit Hosting in anderen Ländern?

Fast jede Gerichtsbarkeit hat ein Analogon zum Yarovaya-Paket, und Kundendaten werden normalerweise automatisch angefordert. Ja, in verschiedenen Ländern ist es anders, denn jetzt ist es in Europa auf nationaler Ebene geregelt und nicht von der EU, sondern auf die eine oder andere Weise haben Dienste Zugang zu plus oder minus denselben Daten wie in Russland. Wir berücksichtigen keine Sprachkommunikation - wir beschäftigen uns nicht damit, und da wir kein Telekommunikationsbetreiber sind, sollten wir auch keinen Verkehr speichern. Hier bieten Sie einen Service in der Europäischen Union. Ihre Geräte sind auf einem Server installiert, zu dem die Leitung eines lokalen Telekommunikationsbetreibers passt. Der Telekommunikationsbetreiber stellt die erforderlichen Informationen über die Aktivitäten auf diesem Server für die Nachrichtendienste bereit. Nun, das heißt, sie verstehen automatisch, dass solche und solche Aktivitäten von solchen und solchen IP aus stattfinden.Diese IP-Adresse gehört zu diesem und jenem Unternehmen und befindet sich an diesem und jenem Ort. Alle Daten über dieses Unternehmen werden sofort gesammelt. Der Betreiber wird automatisch um Informationen darüber gebeten, was er über ihn weiß, und zwar in der Datenbank des Betreibers. Wenn es genügend Daten gibt, werden wir nicht einmal davon erfahren. In Europa werden etwas weniger Daten gesammelt, in den USA und in China am meisten.



Wenn die Nachrichtendienste nicht über genügend Daten verfügen, setzt sich der Telekommunikationsbetreiber direkt mit uns in Verbindung. Wir hatten letzten Sommer einen solchen Fall mit einem Kunden aus Russland, von dem wir sicher wussten, dass er Russe war. Er gab seine Passdaten in seinem persönlichen Konto an. Er mietete einen Server in Frankfurt. Er erhielt eine Anfrage von der örtlichen Polizei in Frankfurt. Grundsätzlich haben wir geantwortet, dass die IP-Adresse von unserer Organisation geleast wird. Es ist an diesen und jenen Kunden, einen Bürger der Russischen Föderation, vermietet. Ohne Namen, ohne irgendetwas. In diesem Fall geben wir ihnen keine Setup-Daten. Und wir sagen, dass Sie Interpol bitte an unsere Kollegen in Russland wenden. Wenn eine Anfrage aus Russland, vom russischen Innenministerium, vom Untersuchungsausschuss kommt, werden wir ihnen Informationen über diesen Kunden geben, da die Anfrage in unserer russischen Gerichtsbarkeit liegen muss.Wir werden Ihnen nichts geben.



Und unser Innenministerium wiederum interessiert sich beispielsweise nicht für VDS aus Frankfurt, da ihre Adressen ausländisch sind. Sie interessieren sich für das, was in Russland passiert, weil sie klar verstehen, dass es sehr schwierig ist, Informationen von der dortigen ausländischen Polizei zu erhalten. Besonders in der aktuellen Situation der Beziehung, die wir jetzt haben. Daher hatten wir in sechs Jahren keinen einzigen Fall einer IP-Adressanfrage im Ausland.



Buchstäblich ein paar Mal im Jahr kommen Anfragen über Interpol. Dort kann man nicht schriftlich antworten, man muss physisch gehen und aussagen (Erklärungen). Während des Kommunikationsprozesses haben wir die Möglichkeit, uns mit der Zusammensetzung eines potenziellen Strafverfahrens gegen einen Klienten vertraut zu machen. Was ich gesehen habe, sind große Betrugsverdächtige.

Warum gelten die Niederlande als Freizone?

Weil sie Warez haben, sind Erwachsene und viele andere Dinge nicht illegal.



Lokale Gesetze zur Datenhoheit sind zu gut, als dass ein Russe wahr wäre. Dank ihnen kann jedoch niemand den Server ohne Gerichtsentscheidung von Ihnen beschlagnahmen - auch nicht, um während der Untersuchung nach Beweisen zu suchen.



Das niederländische Recht erlaubt auch das, was in anderen Ländern der Welt verboten ist: Inhalte für Erwachsene. Infolgedessen werden die Dienste niederländischer Rechenzentren nicht nur von Webmastern genutzt, sondern auch von Hosting-Anbietern, die mit dem Verkauf von kugelsicherem Hosting verdienen - Services, bei denen Sie die Möglichkeit haben, Informationen jeglicher Art zu veröffentlichen und sich darüber zu beruhigen, dass die Das Hosting-Unternehmen kann es bei der ersten Beschwerde ohne Vorwarnung entfernen. Als "Informationen jeglicher Art" können nicht nur Erwachsene, sondern auch Warez, Pharma, Türöffnungsseiten, Spam gelten. Es gibt Online-Pornostudios in Holland. Dort befinden sich Online-Casinos. Nun, im Allgemeinen wird alles, was in allen anderen europäischen Ländern verboten ist, in Holland gehostet.

Gab es Fälle von physischer Beschlagnahme von Servern?

Wir haben es nicht speziell in RUVDS, es passiert auf dem russischen Markt. Das heißt, es wird kein virtuelles Image angefordert, sondern die Leute kommen direkt für die Ausrüstung. Sie nehmen entweder Festplatten oder Server und sogar Drucker. Aber in der Schweiz habe ich noch nie davon gehört, und deshalb wählen unsere Kunden dort oft ein Rechenzentrum für ihren VDS.



Aber im Allgemeinen sind alle Geschichten mit physischen Maskenshows ziemlich alt. Was den letzten großen betrifft, erinnere ich mich an die Streitigkeiten zwischen Unternehmen (in St. Petersburg wurde das Hosting aufgrund eines Streits zwischen den Gründern geteilt). Dann wurde eine Menge Ausrüstung physisch ausgeschaltet, und diejenigen, die geografisch nicht auf andere Standorte gesichert haben, litten natürlich sehr darunter.



Ein gutes Rechenzentrum schützt vor Willkür. Dies soll einfach niemanden ohne Gerichtsbeschluss und ohne ernsthaften Grund hereinlassen. Alle unsere Rechenzentren, einschließlich der russischen, verfügen über mindestens drei physische Schutzbereiche. Alle mit Kameras. Das heißt, nur aktiver Widerstand gegen die Aktionen der Polizei kann zur tatsächlichen Ankunft des OMON führen. Wenn Sie beispielsweise drei Briefe an den FSB-Beauftragten senden, der eine formelle Anfrage gesendet hat, und dann im Wesentlichen nicht innerhalb der vorgeschriebenen Frist antworten. Nun, oder wenn Sie ihnen mehrmals das Falsche senden, zum Beispiel einige Bilder anstelle eines virtuellen Bildes. Im Allgemeinen muss man ein kompletter Idiot sein, um dies zu tun.

Was ist mit Torrents?

Dies sind keine Anfragen von Behörden, sondern Anfragen des Copyright-Inhabers. Zum Beispiel gibt es Sony Pictures, das nicht in Russland vertreten ist, aber hier einen legalen Partner hat, der dafür sorgt, dass Sonys Filme nicht von Piraten vertrieben werden. Im Laufe des Jahres gehen mehrere hundert Anfragen ein, dass ein Pirat auf Ihren Servern gehostet wird. Ergreifen Sie Maßnahmen. Wir leiten diese Anfragen direkt an den Hosting-Client weiter.



Normalerweise löscht der Kunde dies alles innerhalb eines Tages, entschuldigt sich und wir leiten es an den Inhaber des Urheberrechts weiter. Dies passt normalerweise zu jedem.

Was ist mit Steueranfragen?

Diese Anfragen fallen auf, da sie nicht direkt mit dem Hosting zusammenhängen. Das heißt, der FTS sieht eine Transaktion für die VDS-Zahlung und kann nicht beurteilen, was es war. Dann beginnen sie über das Dokumentenverwaltungssystem zu fragen, was es war und wie der Dienst aussieht. In der Regel beziehen sich Anfragen auf die Angemessenheit der Kostenannahme. Das heißt, einige Unternehmen zahlen uns unter bestimmten Bedingungen 100.000 Rubel pro Monat. Das Unternehmen rechnet natürlich damit, zum Jahresende 1,2 Millionen Euro für Ausgaben aufzuwenden und die Steuerbemessungsgrundlage zu senken. Reist eine Erklärung ein. Zahlt Steuern. Tax zum Beispiel ist der Ansicht, dass unsere Dienstleistungen nicht in ihre Ausgaben fallen sollten. Sie wenden sich an uns mit der Bitte, den Vertrag mit dieser Organisation, die ausgestellten Rechnungen und die Versöhnungsakte nachzuweisen, dass wir wirklich wirtschaftliche Aktivitäten zwischen unseren Organisationen haben.Solche Anfragen sind auch mit Büroprüfungen und Feldprüfungen verbunden, um Beweise dafür zu sammeln, dass Unternehmen Steuern umgehen. Ihre Anfragen werden automatisch kompiliert und es gibt keine Ablehnungen aufgrund unregelmäßiger Formen.

Und was ist mit den Anfragen des Anwalts?

In unserem Gesetz gibt es so etwas wie die Bitte eines Anwalts: In diesem Fall kann ein Anwalt Daten anfordern, um seinen Mandanten zu schützen. Wir lehnen sie in der Regel ab, da wir nicht zur Angabe von Daten verpflichtet sind. In meiner Praxis gab es einige Male den Versuch, Daten über Wettbewerber zusammen mit den Bildern ihrer Festplatten kostenlos abzurufen. Die einzig richtige Antwort auf eine solche Anfrage lautet: "Kontaktieren Sie die Polizei mit Ihren Fragen, dann werden wir sie beantworten."







Das heißt, wie sie Daten anfordern können, aber wir sind nicht gesetzlich verpflichtet, diese bereitzustellen, da Anwälte nicht zu denen gehören, denen wir zur Bereitstellung von Daten verpflichtet sind. In der Regel betreffen diese Anwaltsanfragen eine juristische Person, mit der der Antragsteller einen geschäftlichen Streit oder einen anderen Rechtsstreit hat.