Вообще-то это закон. Федеральный.

Помните, в августе 2023 года СМИ наперебой цитировали Горелкина, что мол запретят регистрироваться на сайтах с иностранной почтой?

Законопроект был о другом, и, в двух словах - он был о том, что на сайтах в рунете можно будет регистрироваться либо с помощью российской системы SSO (Яндекс.ID, VK.ID, СберID, кто сможет по всем правилам налепить Свой.ID - пусть его юзает), либо с помощью номера телефона, либо через ЕСИА.

В те дни я писал об этом некоторые многобукв для узкого сообщества:

Несколько дней назад по новостным лентам кованым сапогом журналистского безумия оттопталась новость о том, что Государственная Дума запретила регистрироваться на российских сайтах с использованием иностранной электронной почты.

Это, конечно же, не так. На самом деле Дума запретила регистрацию на сайтах с любой электронной почтой. Перейдем к деталям.

Обсуждается не принятый законопроект, а прямая речь одного из авторов, Антона Горелкина. "По электронной почте авторизацию проводить можно, но это должна быть российская почта", — уточнил Горелкин - вот что обсуждают все новостные издания. Но в тексте законопроекта (https://sozd.duma.gov.ru/bill/570420-7) этого нет и откуда это взял г-н Горелкин - дорогой редакции непонятно.

Что же в законопроекте есть? Есть поправка в 149-ФЗ "Об информации, информационных технологиях и о защите информации", гласящая, что (далее не дословное цитирование, а мое вольное изложение близко к тексту, текст законопроекта в оригинале здесь: https://sozd.duma.gov.ru/download/6D8D2116-3ADC-4F12-BF1A-C2... ):

Владелец сайта, информационной системы или программы для ЭВМ, являющийся гражданином или юрлицом РФ, если доступ к информации сайта/ИС/программы предоставляется пользователям, прошедшим авторизацию, должен проводить ее (авторизацию) одним из следующих способов

* С использованием номера мобильного на основании договора об идентификации с оператором мобильной связи

* ЕСИА ("через госуслуги")

* ГИС "Единая биометрия"

* С использованием иной информационной системы, обеспечивающией авторизацию пользователей сайтов....сответствующей требованиям о защите информации, установленным ст. 16 настоящего Закона, владельцем которой является гражданин или юрлицо РФ.

Разберем все подробненько.

1) Регистрация не имеет отношения к авторизации. Авторизация - это процесс проверки прав пользователя на какое-то действие. А проверка что пользователь тот, за кого себя выдаёт - это аутентификация. Если вы сидите за рулём огромного пикапа Ford F-350 и предъявляете инспектору водительское удостоверение - вас аутентифицирует фотография на водительском, а авторизует - отметка об открытой категории C. Впрочем, эти понятия все путают. Теперь и в законах.

2) Первый предложенный способ проверки пользователя - с использованием номера мобильного. Казалось бы всё ок, всё нам знакомо - но закон теперь требует наличия у владельца сайта договора с оператором мобильной связи. Раньше владелец сайта часто обходился договором со службой-посредником, у которой уже были договора со всеми нужными операторами.

3) ЕСИА и Госбиометрия, конечно, хороши, но для того чтоб к ним подключиться, нужно внести свой сайт / инфоромационную систему в реестр и выполнить некоторое количество довольно обременительных требований

4) И вот теперь - "с помощью иной информационной системы, обеспечивающей авторизацию пользователей". Речь идет, конечно, о система SSO (Signle Sign-On) - "войти с помощью Facebook", "войти с помощью Google", "войти с помощью Twitter", "войти с аккаунтом Microsoft" и прочих. Владельцам сайтов, видимо, предлагается использовать поддержку SSO отечественных провайдеров - Яндекс ID, VK ID и других. Электронная почта здесь только при том, что Google, Яндекс и VK (Mail.RU) кроме сервиса SSO также предлагают услуги электронной почты. А автор законопроекта эти понятия тупо путает.

В итоге в нынешнем виде закон

* написан безграмотно

* непонятно как применять

* не прописана ответственность за нарушения

* не имеет вообще никакого отношения к электронной почте

* вступает в силу с 1 декабря 2023

В общем, ждем от Минцифры разъяснений по применению, в нынешнем виде это просто дичь.

С тех пор, каюсь, не следил, были ли разъяснения от Минцифры о порядке применения

Но входов на сайты через VK/Яндекс/Сбер.ID будет все больше и больше

Начнем с того, что у них и так-то было практически невозможно подключить нормальный 2FA. Приходилось копаться в каких-то древних ссылках от их старого интерфейса, так теперь они решили его просто отрубить нахер!

Ну а зачем обеспечивать безопасность пользователей, если можно вместо этого пить смузи и впаривать всем свой VK ID?

Про SMS вообще молчу, надо было вообще только его оставить, и вернемся все нафиг в каменный век, где застряли современные российские банки.

Морали в этом посте не будет, mail.ru - мудаки, ИМХО.

Вам предлагают перейти в телеграм, объясняя это тем, что якобы не грузятся картинки объявления, просят прислать фото в лс и оставляют ник.

В ТГ вы присылаете картинки, вас уверяют мол, все точно беру, буду оформлять заказ.

Далее у вас просят почту, якобы чтобы оформить заказ. На этом шаге бдительность падает, так как почта - что с нее будет?

Переписка может иметь и такой вид:

Вам на почту поступает письмо вот такого плана:

Письмо имеет такое содержание. Обращаем внимание на отправителя как минимум:

Далее будет страница-копия сайта Юлы, на котором из странного бросается в глаза лишь ссылка: yula.object-5242.site.

Сейчас этот фишинговый сайт удален. Не могу показать его содержание.

Вы выбираете банк для оплаты, там есть пояснение внизу, что мол если вам поступит смс с номера 900 о списании средств, то проигнорируйте это.

Далее предлагается ввести номер карты и все данные, включая cvc, что более подходит, конечно же для списания средств, а не их начисления.

Что следует за этим шагом я не знаю, скорее всего денег на вашей карте не останется.

Какой из этого вывод можно сделать?

1. Проверка ссылок электронной почтой не защищает от мошеннических сайтов - переход на него был совершен через кнопку в письме, причем "безопасность" проверялась mail.ru.

2. Мошеннические схемы становятся крайне хитрыми, развод происходит в несколько шагов, опасность может поджидать где угодно.

3. Проверяйте регистрацию аккаунта, с которого пишет потенциальный покупатель. Этому аккаунту, например, был 1 день.

4. Юла достаточно быстро дает бан мошенническим аккаунтам. После моей жалобы даже без скриншотов этот аккаунт был заблокирован за 1 час.

Обратился ко мне человек, у которого кто-то пытался взломать почту и эту почту заблокировали. Думаю ну щас через СМСку пароль сбросим быстро и вуаля, но не тут-то было

при попытке нажать "восстановить доступ", пишет: "этот аккаунт привязан к Госуслугам, чтобы получить к нему доступ, войдите через Госуслуги. Если не получается, обратитесь в службу поддержки"

При нажатии ссылочки госуслуг он предлагает не ВОЙТИ, а СБРОСИТЬ ПАРОЛЬ от госуслуг. Но зачем, если у нас есть пароль Госуслуг? Ну, думаю, ладно, надо так надо. Сбросили пароль, думаю "ну теперь-то точно зайдём". Ан нет. Предлагает снова сбросить пароль Госуслуг.

Ладно, возвращаемся на первый шаг, не тыкаем ничего связанного с восстановлением, тыкаем войти через Госуслуги. А он опять предлагает СБРОСИТЬ ПАРОЛЬ ГОСУСЛУГ.

При нажатии ссылочки с надписью "обратитесь в службу поддержки" никакой службой поддержки и не пахнет, только ответы на часто задаваемые вопросы, но нашей ситуации, разумеется, там нет.

Ну, думаю, ладно, сейчас почту эту от Госуслуг отвяжем, может из-за этого баг какой-то... Отвязали, ждём когда до mail.ru дойдет инфа что этот аккаунт больше не связан с Госуслугами. Неделю ждали, нет дождались.

По итогу имеем:
1) почта заблокирована, сбросить нельзя потому что "привязана к госуслугам", хотя уже и не привязана на самом деле
2) через смс сбросить не даёт
3) через Госуслуги войти невозможно, выдает все время форму сброса пароля Госуслуг вместо формы входа(и до отвязки почты в ЛК и после)

Чозанафиг?