Что произошло

26 августа 2026 года Минфин США внёс итальянский коллектив Autistici/Inventati в санкционный список как «особо обозначенного глобального террориста» (SDGT) по указу 13224. Минфин утверждает, что коллектив предоставлял хостинг, шифрованную почту и платформу Noblogs «ячейкам антифа» и другим насильственным ультралевым группам, а также обслуживал Рабочую партию Курдистана (PKK)1. В тот же день OFAC выпустил генеральную лицензию № 36, разрешающую только сворачивание операций с коллективом2. Коллектив, основанный в 2001 году, обвинения отрицает и называет свои сервисы средствами цифровой самозащиты4.

Дальше всё произошло за полторы недели. 27 августа PayPal заблокировал счёт. 28 августа американский оператор зоны .org Public Interest Registry (PIR) перевёл autistici.org в статус serverHold, и домен перестал разрешаться. 1 сентября итальянский Banca Etica в качестве меры предосторожности приостановил счёт3. PIR заявил, что обязан соблюдать санкционное право США4. Срок лицензии на сворачивание истекал 25 сентября, а 6 сентября коллектив объявил о прекращении всех сервисов4. На пике он обслуживал около 16 000 почтовых ящиков, 10 000 блогов, 1 500 сайтов и 5 500 рассылок3.

13 октября нидерландская полиция по запросу США изъяла арендованный коллективом сервер в амстердамском дата-центре. Основанием стал двусторонний договор о правовой помощи по уголовным делам, а копия данных готовится для передачи американской стороне5. Ни правительство Нидерландов, ни ЕС не присоединились к американскому обозначению6.

Почему распределённость не помогла

Серверы стояли в разных странах, но управляющие точки были в единственном экземпляре: один домен у одного регистра, один платёжный провайдер, один банк. Для отключения хватило по одному решению в каждой из них. При этом ни одно из этих решений не было приговором суда, и ни одно не было принято в Италии или в ЕС.

Вопрос к RIPE

На RIPE 93 в Софии Тимо Хилбринк выступил с докладом «Насколько наши доменные имена защищены от санкций США?»8. По его словам, Autistici/Inventati был не политической организацией, а поставщиком услуг. Он также предупредил, что под удар может попасть и сам RIPE NCC как распределитель IP-адресов7. Участники напоминали, что Verisign, оператор зон .net и .com, тоже подчиняется праву США, и спрашивали, что будет, если целью станет SIDN, оператор .nl7. Глава Internet Society Салли Вентворт написала, что отказ исполнять санкции грозил бы PIR «значительной уголовной и гражданской ответственностью»7. Джо Эбли предложил не строить «отдельный европейский интернет», а последовательно убирать единственные точки отказа: один банк, одну валюту, один дата-центр, один регистр10.

У самого RIPE NCC эти зависимости уже стоят денег. Организация отказалась от стратегии «Cloud First» 2019 года и возвращается к собственной инфраструктуре в двух дата-центрах7. В проекте бюджета на 2027 год капитальные расходы растут с €930 тыс. до €10,5 млн, включая €2,2 млн на ремонт офиса. Проект обновления инфраструктуры идёт с 2026 по 2028 год9. По данным heise, из 2 339 проверенных членов и конечных пользователей санкции официально затрагивают 53. С 2021 года более €7 млн взносов отложено, потому что нидерландские банки соблюдают санкции США7.

Какие точки отказа закрываются техникой

Каждую зависимость из этой истории можно разобрать отдельно.

Домен и DNS. Если доступ к сервису начинается с имени в чужом реестре, то реестр и есть выключатель. Альтернатива — проверять подлинность по криптографической подписи, а не по каналу, через который пришёл адрес. Если клиенту заранее известен открытый ключ, подписанный список серверов можно доставить любым путём: напрямую, через DNS-запросы, через посредника или файлом. Подменённую копию клиент отбросит, а заблокированный канал заменит другим.

Записи, которые можно изъять. Ключи и список узлов можно публиковать в публичном журнале, куда записи только добавляются, например в смарт-контракте. Такую запись нельзя изъять, как сервер, и нельзя незаметно показать одному адресату не то, что видят остальные.

Отдельные IP-адреса. Блокировку конкретных адресов обходят ротацией узлов и тем, что каждый клиент видит лишь небольшую часть сети. Но это не уход от IP: узлам по-прежнему нужны адреса, хостинг и выделения у региональных регистраторов, в том числе у того же RIPE NCC.

Один из примеров такого подхода — исследовательский проект IPvX. В лабораторном эксперименте сообщения доставляются прямо по Ethernet, со своим EtherType, без IP и DNS на пути доставки. Проверен обмен между пятью машинами по двум маршрутам с перестройкой маршрута11. Авторы прямо пишут, что глобальная сеть и открытое подключение участников пока не доказаны, а их RFC — рабочие черновики, а не стандарты IETF11. Построенный на той же сети потребительский сервис Lopux предлагает VPN и своё пространство имён Lopux-Internet. Эти имена разрешаются только внутри сети и не зависят от обычных регистраторов12. Это пилот: регистрация новых зон пока требует одобрения оператора, а реестр работает в тестовой сети Sepolia, а не в основном Ethereum.

Чего техника не даёт

Ни один из этих приёмов не помог бы Autistici/Inventati сохранить банковский счёт, приём пожертвований или сервер, к которому пришла полиция. Протокол снимает зависимость от регистратора, но не от юрисдикции, в которой работает оператор, и не от банков, которые оценивают риск вторичных санкций. Есть и новые зависимости: блокчейн и его RPC-провайдеры, хостинг узлов, сами разработчики. Проект с одним оператором — тоже единственная точка отказа, просто в другом месте. У IPvX сейчас один голосующий участник11, и это честно отмечено на его сайте.

Отсюда вывод, к которому приходит и автор статьи на Habr: техническая избыточность почти не защищает от административных решений государства10. Защищает только разнесение всех видов зависимостей — технических, финансовых, юридических и организационных — так, чтобы ни одно отдельное решение не отключало всё сразу.

Вывод

История Autistici/Inventati — не повод ждать, что RIPE NCC отключат завтра. Но выражение «единая точка отказа» теперь надо понимать шире: это не только диск или канал связи, но и регистр, банк или подпись чиновника. Технически можно закрыть часть таких точек: домен, DNS, конкретные IP, подделку записей. Остальное требует организационных мер — нескольких банков и юрисдикций, распределённого управления. Именно их сейчас и обсуждают в RIPE.

  1. [1] Treasury Takes Action Against Violent Far-Left Terrorist NetworksU.S. Department of the Treasury
  2. [2] Counter Terrorism Designations; Issuance of Counter Terrorism General LicenseOFAC, U.S. Department of the Treasury
  3. [3] Italian hosting collective Autistici/Inventati is shutting down after a US terrorist designationTNW (Netherlands)
  4. [4] Autistici/Inventati, dagli USA le sanzioni al collettivo italianoEuronews (EU)
  5. [5] Why has the US seized Autistici/Inventati servers in Amsterdam?Digit / nd (Germany), Matthias Monroy
  6. [6] 'Terrifying Precedent': Dutch Hand US Data From Seized Anti-Fascist ServerDecrypt (USA)
  7. [7] RIPE members debate reliance on U.S. internet infrastructureheise online (Germany), Monika Ermert
  8. [8] Plenary, 27 October 2026: How safe are our domain names from US sanctions?RIPE 93 programme
  9. [9] Draft Activity Plan and Budget 2027 PublishedRIPE NCC
  10. [10] Вопрос к RIPE: кто следующий — или как хостинг с 25-летней историей закрылся в Италии из-за санкций АмерикиHabr, Александр Чекалин
  11. [11] IPvX research projectIPvX
  12. [12] Lopux-VPN and Lopux-InternetLopux