Preguntas frecuentes sobre espectáculos de máscaras en el centro de datos en la práctica legal del alojamiento VDS

¡Hola, Habr! Me pidió que le dijera cómo se verían los espectáculos de máscaras reales en un centro de datos ruso donde alquila VDS. Debo decir de inmediato: no espere milagros, de acuerdo con una solicitud correctamente formateada, los datos se transferirán de inmediato y sin levantamientos innecesarios para protección. Porque la práctica es la siguiente: o tiene un negocio legal o sale volando del mercado. Pero hay matices. Nuestro abogado y yo intentaremos ahora resolver los principales problemas.

¿Cómo suele ser solicitar datos de clientes a las autoridades?

Por ejemplo, filmó pornografía infantil en apoyo de Navalny, y se inició una investigación sobre la apelación de sus competidores amables y respetuosos de la ley. Lo averiguaremos mediante una solicitud oficial por escrito. Un mensajero cansado llega a la oficina, o recibimos una carta certificada por correo ordinario o llegamos de alguna forma especial, por ejemplo, por mensajería. Si la solicitud no contiene datos secretos, generalmente se duplica mediante un correo electrónico normal a una dirección como info @. Ya en esta etapa, alrededor de un tercio de las solicitudes entrantes se eliminan, porque deben estar redactadas correctamente.



Naturalmente, no sabemos (y además, no queremos saber, no es rentable para nosotros) qué está pasando con el cliente en su VPS. Además, en algunos casos y no fundamentalmente, si el cliente ha habilitado el cifrado y las claves no se almacenan en texto sin cifrar en el servidor.



Pero la solicitud en sí suele tener como objetivo obtener datos sobre una persona específica (contactos de clientes, historial de transacciones, etc.), cuya actividad delictiva está tratando de suprimir el organismo.

¿Por qué se descartan las solicitudes?

Muchas solicitudes se eliminan debido a una compilación incorrecta: por ejemplo, el Ministerio del Interior no siempre sabe cuál de nuestras docenas de centros de datos debe solicitar y en qué jurisdicción se encuentra. Es decir, una pequeña cantidad de solicitudes simplemente desaparecen porque están mal dirigidas o redactadas incorrectamente. A menudo escriben a RUVDS (este es un nombre comercial, no una entidad legal "MT FINANCE"), a menudo no se comunican con el CEO, etc. En este caso, nuestro abogado rechaza en el formulario, pero casi de inmediato llega nuevamente el documento correcto, esta vez con el encabezado requerido.



Tales situaciones representan aproximadamente el 30% de la masa total, pero muchas vuelven correctas en solo unos días. Entonces, cuando lea las transparencias de alguien, no preste demasiada atención a la tasa de rebote: solo es cuestión de que un empleado del departamento complete el formulario correctamente. Y puede enviar una segunda solicitud casi de inmediato.



Entonces se verifica que tal solicitud realmente fue y esto no es inteligencia competitiva. Es decir, debe comunicarse con este departamento y preguntar si realmente hubo tal solicitud. Y no es por los números de teléfono de la carta, sino que vamos a Google, buscamos contactos y llamamos. Hasta ahora, las estadísticas son del 100%, pero seguimos asegurando. Algunos se sorprenden cuando un abogado le pregunta al empleado específico que envió la solicitud al teléfono. Pero luego de explicar que si este no es el caso, entonces contactaremos a la policía para evitar fraudes, generalmente ellos se conectan. Tenemos un procedimiento separado para el FSB, pero no puedo decírselo.



Dichas solicitudes provienen del FSB (servicio de fronteras), el Servicio de Impuestos Federales, la policía y otros departamentos. Casi todas las solicitudes del FSB son correctas a la vez, pero la policía no siempre sabe cómo están redactadas o a qué entidad legal escribir, y reciben rechazos con más frecuencia que otras. Al mismo tiempo, alrededor del 90% de las solicitudes provienen del Ministerio del Interior.

¿Tiene un ejemplo de una solicitud rechazada?

¿Bajo qué ley se procesa generalmente la solicitud?

La base de tal solicitud es la ley "Sobre las actividades de búsqueda operativa". Enumera las organizaciones que están facultadas para realizar actividades de búsqueda operativa. Esta es una ley federal que opera en todo nuestro país. En él se enumeran el Ministerio del Interior, FSB, FSO, autoridades aduaneras, SVR, FSIN, GRU (solo en el marco de garantizar su propia seguridad). El servicio de impuestos no está incluido en esta lista, sin embargo, hay una orden conjunta No. 317 / -7-2 / 481 @, que permite al servicio de impuestos recibir los resultados de la investigación directamente del Ministerio del Interior. y si, por ejemplo, las autoridades fiscales no responden, vendrá con bastante rapidez la solicitud del Ministerio del Interior. Pues bien, la agencia tributaria no solicita ningún dato de instalación sobre los clientes, le interesa la naturaleza de la relación entre las personas jurídicas, documentos que confirmen la relación, para entender que, por ejemplo, se pueden aceptar pagos por el servicio como gastos.



Estamos obligados por ley a responder a estos servicios de la manera prescrita (excepto cuando se trata de nosotros, en esto podemos rechazar cualquier comentario y respuesta a preguntas en virtud del artículo 51 de la Constitución). Afortunadamente, tampoco lo teníamos.

¿Cuál es el motivo de tal solicitud con mayor frecuencia?

El motivo principal de la solicitud es una queja sobre la actividad fraudulenta de alguien. En consecuencia, el Ministerio del Interior está iniciando una investigación sobre el fraude con tarjetas bancarias. Hay muchos casos de este tipo en Moscú (alrededor de un tercio), muchos en Krasnodar y la parte europea de Rusia en general, y mucho menos debido a los Urales. Este es el departamento "K", es decir, la policía cibernética. La esencia de usar el servidor con mayor frecuencia es un mini-PBX implementado allí para las llamadas de los estafadores a las personas. Con menos frecuencia, una página de destino para la venta de drogas.



Otro 9% visual es el FSB y la búsqueda de individuos específicos.



El resto de solicitudes de este tipo son el servicio de frontera, que está solicitando en relación con la importación-exportación, están tratando de encontrar prueba de suministro en sus servidores.

¿Sabe el cliente que está siendo "golpeado" por agencias gubernamentales?

No, él no lo sabe, y no tenemos derecho a denunciar tal cosa; este es un secreto de la investigación. Una vez tuvimos un caso en el que, por error, la respuesta a una solicitud fue para el cliente en lugar de la policía. Esta fue una jamba muy seria y podrían habernos acusado de ayudar. En esa situación, le revelamos a un criminal potencial, sí, es un potencial criminal, nadie lo condenó, nadie lo llama criminal, pero es sospechoso de un delito. Le revelamos el hecho mismo de que se está investigando su actitud. Nunca sabrá que un operador de telecomunicaciones ha transmitido algo sobre usted a los agentes del orden hasta que se lo presente en la investigación.



Pero, afortunadamente, el cliente sabía desde hacía mucho tiempo que se había iniciado un caso administrativo contra su empresa y, en general, estas cosas suelen conocerse mucho antes de que lleguen las solicitudes.

¿Cuando una solicitud se recupera no debido a un diseño incorrecto?

Cuando hay un requisito de bloqueo en él. No bloqueamos a pedido, especialmente a pedido del Ministerio del Interior de forma gratuita. Tenemos que dar datos, pero no bloquear. Pero al mismo tiempo, no demoramos la respuesta, sino que explicamos lo que está mal. Como resultado, la mayoría de las veces, llega una solicitud de la policía al día siguiente sin requerir un bloqueo en la forma adecuada.

¿Por qué no se bloquea a los clientes que participan en actividades ilegales?

Bloqueamos a dichos clientes por orden judicial, pero no a petición del Ministerio del Interior, por ejemplo. Porque sin una decisión judicial, es imposible determinar que alguien está haciendo algo ilegal. La decisión de bloquear la toma el tribunal o Roskomnadzor (en la forma de ingresar la dirección IP en su lista negra de direcciones prohibidas) en su equipo, después de lo cual todos los operadores de telecomunicaciones que brindan acceso a Internet en la jurisdicción rusa bloquean el acceso a automáticamente dentro de las 24 horas. Es posible que ni siquiera sepamos sobre esto. Esto nos sucedió cuando la dirección IP de nuestro cliente fue incluida en la lista negra por Roskomnadzor. Ya nos enteramos de esto por el cliente, porque se encontró con nosotros, desde el ticket de soporte. Verificamos las bases de datos de Roskomnadzor y resultó que el cliente estaba involucrado en un fraude abierto.



Pero no bloqueamos hasta el juicio. No es nuestra responsabilidad decidir quién tiene razón y quién no. Somos infraestructura. No podemos violar el EULA. Es decir, como persona, estaría muy feliz de bloquear a los estafadores, de los que ya está claro que engañan a los ancianos por dinero, pero como especialista me adhiero a la ley.



Al mismo tiempo, entendemos humanamente cuando un policía pide bloquear en caso de un hecho evidente de la actividad delictiva del cliente. Pero no somos un tribunal, no podemos controlar la posición de la policía y, por lo tanto, siempre nos guiamos por la ley.

¿Qué pasa con el hospedaje en otras jurisdicciones?

Casi todas las jurisdicciones tienen un análogo del paquete Yarovaya, y los datos del cliente generalmente se solicitan automáticamente. Sí, en diferentes países es diferente, porque ahora en Europa está regulado a nivel nacional, y no por la UE, pero de una forma u otra, los servicios tienen acceso a más o menos los mismos datos que en Rusia. No consideramos la comunicación por voz, no nos ocupamos de ella y, dado que no somos un operador de telecomunicaciones, tampoco deberíamos almacenar tráfico. Aquí proporcionas un servicio en la Unión Europea. Su equipo está instalado en un servidor, al que se adapta la línea de un operador de telecomunicaciones local. El operador de telecomunicaciones proporciona la información necesaria sobre las actividades en este servidor para los servicios de inteligencia. Bueno, es decir, automáticamente comprenden que tal o cual actividad se está llevando a cabo desde tal o cual IP.Esta dirección IP pertenece a tal o cual empresa y se encuentra en tal o cual lugar. Todos los datos sobre esta empresa se recopilan de inmediato. Se realiza una solicitud automática al operador para obtener información sobre lo que sabe sobre él a la base de datos del operador. Si hay suficientes datos, ni siquiera lo sabremos. En Europa, los datos se recopilan un poco menos, en los EE. UU. Y China, los más.



Si los servicios de inteligencia no tienen suficientes datos, entonces el operador de telecomunicaciones nos contacta directamente. Tuvimos un caso así el verano pasado con un cliente de Rusia, de quien sabíamos con certeza que era ruso. Indicó los datos de su pasaporte en su cuenta personal. Alquiló un servidor en Frankfurt, Alemania. Recibió una solicitud de la policía local de Frankfurt. Básicamente, respondimos que sí, la dirección IP la alquila nuestra organización. Está arrendado a tal o cual cliente, un ciudadano de la Federación de Rusia. Sin nombre, sin nada. En este caso, no les proporcionamos ningún dato de configuración. Y les decimos que se pongan en contacto con Interpol con nuestros colegas en Rusia. Cuando venga una solicitud de Rusia, del Ministerio del Interior de Rusia, del Comité de Investigación, les daremos información sobre este cliente, ya que la solicitud debe estar en nuestra jurisdicción rusa.No te daremos nada.



Y nuestro Ministerio del Interior, a su vez, por ejemplo, no está interesado en VDS de Frankfurt, ya que sus direcciones son extranjeras. Están interesados ​​en lo que está sucediendo en Rusia, por la razón que entienden claramente que es muy difícil obtener información de la policía extranjera allí. Sobre todo en la situación actual de la relación que, bueno, ahora tenemos. Por lo tanto, en seis años no hemos tenido un solo caso de solicitud de dirección IP en el extranjero.



Literalmente, un par de veces al año, las solicitudes llegan a través de Interpol. Allí no puedes contestar por escrito, tienes que acudir físicamente y dar pruebas (explicaciones). En el proceso de comunicación, tenemos la oportunidad de familiarizarnos con la composición de un caso criminal potencial contra un cliente. Lo que he visto son sospechosos de fraude a gran escala.

¿Por qué los Países Bajos se consideran una zona franca?

Porque tienen warez, adult y muchas otras cosas no son ilegales.



Las leyes locales de soberanía de datos son demasiado buenas para que un ruso sea verdad. Sin embargo, gracias a ellos, nadie podrá arrebatarle el servidor sin una decisión judicial, incluida la búsqueda de pruebas durante la investigación.



La ley holandesa también permite lo que está prohibido en otros países del mundo: contenido para adultos. Como resultado, los servicios de los centros de datos holandeses son utilizados no solo por los webmasters, sino también por aquellos proveedores de alojamiento que ganan con la venta de alojamiento a prueba de balas, servicios en los que tiene la oportunidad de publicar información de cualquier naturaleza y estar tranquilo con el La empresa de alojamiento podrá eliminarlo sin previo aviso a la primera queja. Como "información de cualquier naturaleza" puede ser no sólo para adultos, sino también warez, pharma, portadas, spam. Hay estudios de pornografía online en Holanda. Los casinos en línea se encuentran allí. Bueno, en general, todo lo que está prohibido en todos los demás países europeos, todo está alojado en Holanda.

¿Ha habido casos de incautación física de servidores?

No lo tenemos específicamente en RUVDS, ocurre en el mercado ruso. Es decir, no se solicita una imagen virtual, sino que la gente viene directamente por el equipo. Aceptan discos duros o servidores e incluso impresoras. Pero en Suiza, nunca había oído hablar de esto y, por lo tanto, nuestros clientes a menudo eligen allí un centro de datos para su VDS.



Pero, en general, todas las historias con espectáculos de máscaras físicas son bastante antiguas. En cuanto a la última gran, recuerdo las disputas entre entidades comerciales (en San Petersburgo, el alojamiento se dividió como resultado de una disputa entre los fundadores). Luego, una gran cantidad de equipo se apagó físicamente, y aquellos que no respaldaron a otros sitios en términos de geografía, por supuesto, sufrieron mucho.



Un buen centro de datos protege contra la arbitrariedad. Esto es simplemente para no dejar entrar a nadie sin una orden judicial y sin una razón seria. Todos nuestros centros de datos, incluidos los rusos, tienen al menos tres perímetros de protección física. Todo con cámaras. Es decir, solo la resistencia activa a las acciones de la policía puede conducir a la llegada real de la OMON. Por ejemplo, si envía tres cartas al oficial del FSB que envió una solicitud formal y, en esencia, aún no responde dentro del límite de tiempo prescrito. Bueno, o si les envías lo incorrecto varias veces, por ejemplo, algunas fotos en lugar de una imagen virtual. En general, tienes que ser un completo idiota para hacer esto.

¿Qué pasa con los torrents?

Estas no son solicitudes de las autoridades, son solicitudes del titular de los derechos de autor. Por ejemplo, está Sony Pictures, que no está representada en Rusia, pero tiene un socio legal aquí que se asegura de que las películas de Sony no sean distribuidas por piratas. Durante el año, llegan varios cientos de solicitudes de que un pirata está alojado en sus servidores, actúe. Reenviamos estas solicitudes directamente al cliente de alojamiento.



Por lo general, en un día, el cliente elimina todo esto, se disculpa y se lo reenviamos al titular de los derechos de autor. Esto generalmente se adapta a todos.

¿Qué pasa con las consultas fiscales?

Estas solicitudes destacan por no estar directamente relacionadas con el hosting. Es decir, el FTS ve una transacción para el pago de VDS y no puede evaluar cuál fue. Luego, a través del sistema de gestión de documentos, comienzan a preguntar qué era y cómo se ve el servicio. Por lo general, las solicitudes están relacionadas con la razonabilidad de la aceptación del costo. Es decir, alguna empresa nos paga, condicionalmente, 100 mil rublos al mes. La empresa, por supuesto, espera llevar 1,2 millones a gastos al final del año y reducir la base imponible. Presenta una declaración. Paga impuestos. Tax, por ejemplo, cree que nuestros servicios no deben caer en sus gastos. Se dirigen a nosotros con una solicitud para demostrar el contrato con esta organización, las facturas emitidas, los actos de conciliación, que realmente tenemos actividad económica entre nuestras organizaciones.Además, estas solicitudes están relacionadas con auditorías de oficina, con auditorías de campo para recopilar evidencia de que las empresas están evadiendo impuestos. Sus solicitudes se compilan automáticamente y no hay rechazos debido a formas irregulares.

¿Y las peticiones del abogado?

Existe tal cosa en nuestra ley, la solicitud de un abogado: aquí es cuando un abogado puede solicitar cualquier dato para proteger a su cliente. Normalmente los rechazamos, porque no estamos obligados a facilitar datos. En mi práctica, un par de veces hubo un intento de obtener datos sobre la competencia de forma gratuita junto con las imágenes de sus discos. La única respuesta correcta a tal solicitud es "comuníquese con la policía con sus preguntas, luego las responderemos".







Es decir, cómo pueden solicitar los datos, pero no estamos obligados a facilitarlos por ley, ya que los abogados no pertenecen a aquellos a los que estamos obligados a facilitarlos. Por regla general, estas consultas de abogados se refieren a alguna entidad jurídica con la que el solicitante tiene una disputa comercial u otro litigio.