Позавчерашний пост о том, что у наших регуляторов нет людей, похожих на менеджеров по развитию бизнеса, приводит нас к одной из ключевых проблем, с которой сейчас приходится сталкиваться - отсутствие взгляда вперед. Возьмем, к примеру, ФСБ и криптографию. Общая идея ФСБ - криптография должна быть сертифицированной. В понедельник я подисскутировал на тему, что даже глобальная экспансия наших криптографических ГОСТов не приведет к тому, что зарубежные продукты их использующие, будут активно использоваться и сертифицироваться в России. Посмотрим на эту проблему с точки зрения менеджера по развитию бизнеса. Ключевое слово здесь "развитие".
Я уже как-то описывал список сценариев, когда сертифицированной криптографии попросту нет. Но это те технологии, что есть уже сейчас. А если посмотреть чуть вперед, на 3-4 года в будущее. Буквально на днях читал один отчет, в котором аналитики прогнозируют взрывной рост интереса к т.н. "встроенной" (embedded) безопасности и криптографии, как ее части.
Откуда у нас появляется эта встроенная криптография? Давайте посмотрим на тенденции ИТ-мира на ближайшие годы. Слайд 22 - взрывной рост видео-трафика в сети. Следовательно возрастет объем продаж ТВ-приставок (т.н. STB), где одним из механизмов защиты контента от воровства будет криптография. 5 миллиардов персональных видеоустройств. Слайд 44 - в 2013-м году прогнозируется подключение к Интернет одного триллиона (!) IP-устройств - телевизоры, холодильники, пианино, игровые приставки, домашнее видеонаблюдение, планшетники, электронные книги, смартфоны, микроволновки, унитазы и т.д. Слайд 50 - технологии энергосбережения, реализуемые через управление электричеством с сетевого оборудования по, преимущественно, протоколу IP или иным открытым протоколам. Управление будет защищенное и без криптографии тут опять никуда.
Но посмотрим еще шире. О чем говорит нам развитие ИТ? Что еще у нас будет объединяться в сеть (необязательно Интернет) для обмена информацией (не зря все чаще говорят о взаимодействии машин - M2M), дистанционного управления или диагностики и т.д. Кардиостимуляторы, счетчики электричества и воды, GPS-навигация, автомобили, NFC, RFID, АСУ ТП и т.д. Тут тоже не обойтись без криптографии. И все это реализуется как правило на уровне чипов.
И вот тут возникает ключевой вопрос. Как обеспечить выполнение требований ФСБ в таких условиях? Встроить российскую криптографию на уровне аппаратуры каждого устройства каждого производителя невозможно (я думаю не стоит объяснять почему). Сертифицировать западную криптографию тоже. Тупик? Понимают ли это у регулятора? Осознанно ли они идут на это или действительно не смотрят вперед? Ответов пока нет, но последствия могут быть достаточно плачевными, если регулятор будет и дальше упорствовать в своем нежелании изменить процедуру оценки соответствия или признания западной криптографии для ряда сценариев.
Я уже как-то описывал список сценариев, когда сертифицированной криптографии попросту нет. Но это те технологии, что есть уже сейчас. А если посмотреть чуть вперед, на 3-4 года в будущее. Буквально на днях читал один отчет, в котором аналитики прогнозируют взрывной рост интереса к т.н. "встроенной" (embedded) безопасности и криптографии, как ее части.
Откуда у нас появляется эта встроенная криптография? Давайте посмотрим на тенденции ИТ-мира на ближайшие годы. Слайд 22 - взрывной рост видео-трафика в сети. Следовательно возрастет объем продаж ТВ-приставок (т.н. STB), где одним из механизмов защиты контента от воровства будет криптография. 5 миллиардов персональных видеоустройств. Слайд 44 - в 2013-м году прогнозируется подключение к Интернет одного триллиона (!) IP-устройств - телевизоры, холодильники, пианино, игровые приставки, домашнее видеонаблюдение, планшетники, электронные книги, смартфоны, микроволновки, унитазы и т.д. Слайд 50 - технологии энергосбережения, реализуемые через управление электричеством с сетевого оборудования по, преимущественно, протоколу IP или иным открытым протоколам. Управление будет защищенное и без криптографии тут опять никуда.
Но посмотрим еще шире. О чем говорит нам развитие ИТ? Что еще у нас будет объединяться в сеть (необязательно Интернет) для обмена информацией (не зря все чаще говорят о взаимодействии машин - M2M), дистанционного управления или диагностики и т.д. Кардиостимуляторы, счетчики электричества и воды, GPS-навигация, автомобили, NFC, RFID, АСУ ТП и т.д. Тут тоже не обойтись без криптографии. И все это реализуется как правило на уровне чипов.
И вот тут возникает ключевой вопрос. Как обеспечить выполнение требований ФСБ в таких условиях? Встроить российскую криптографию на уровне аппаратуры каждого устройства каждого производителя невозможно (я думаю не стоит объяснять почему). Сертифицировать западную криптографию тоже. Тупик? Понимают ли это у регулятора? Осознанно ли они идут на это или действительно не смотрят вперед? Ответов пока нет, но последствия могут быть достаточно плачевными, если регулятор будет и дальше упорствовать в своем нежелании изменить процедуру оценки соответствия или признания западной криптографии для ряда сценариев.
17 коммент.:
да вообщем то никакой проблемы и нет. Вывело же ФСБ из сферы рассмотрения (по 957 ПП) криптографию, где невозможно воздействие пользователей на криптовозможности, мобильную связь, терминалы-банкоматы и пр.
Таким образом, переход на аппаратное криптование полностью решает вопросы с лицензированием ФСБ. Нет ножек, нет и мультиков (с)
я к тому, что остановить технический прогресс ФСБ не в силах; "поучаствовать" в процессе создания высокотехнологичных устройств Россия, по понятным причинам тоже не может; блокировать поступление и применение таких устройств тоже означает возврат полного "железного занавеса", что тоже невозможно в современных реалиях.
Остается один только путь: выводить криптографию в таких устройствах из под регулирования...
Алексей, ну у нас известна позиция, что никого не волнует, как выполнять требования.
Вот приказ по цифровому телевидению, например: http://minsvyaz.ru/ru/doc/index.php?id_4=435
Бери и хватай за шкирку любого оператора...
Так что могут где угодно обязать нашу криптографию городить (для тех же iPad'ов уже наваяли и криптопровайдеров и VPN клиентов)
ИМХО: ФСБ разрешит все, к чему у нее будет доступ и контроль.
Криптография для массового использования - попахивает скверно. Как часто будут меняться ключи? Как часто можно будет менять алгоритм? Как быстро растут вычислительные мощности для криптоанализа? Насколько качественная реализация криптографии будет у производителя тех же счетчиков воды? Насколько в тайне будут закрытые ключи? Когда админ уволится на водоканале, надо будет менять ключи по всему городу на всех счетчиках? И так далее и так далее.
О доверии к центрам сертификации вроде даже Вы сами писали. Если не ошибаюсь. А если и не писали, то стукснет пример. С действующими ключами подписей от производителя оборудования.
Но самое то главное! В наших органах госвласти (региональных и ниже) все еще не могут составить СПИСОК госуслуг! Какой тут переход к процессорным подходам в организации хозяйственной деятельности? Как можно с такой технологией выполнения операций внедрять облака и виртуализацию?
А про крупный бизнес и говорить нечего. Нету его в замкадье. Частные исключения - не в счет. И перспективы изменения ситуации не видно.
Малый бизнес в легкую обходится имеющимися средствами связи - костность возростная тому виной. И опять же, пока поколения не поменяются...
Обобщая: ФСБ то тут ни при чем. И все их действия пока не противоречат логике и аналогичным действиям АНБ (к примеру).
> Встроить российскую криптографию на уровне аппаратуры каждого устройства каждого производителя невозможно
Если законодательно запретить иностранную криптографию, то будут встраивать как миленькие, если захотят присутствовать на нашем рынке. Сейчас ведь западные вендоры сертифицируют во ФСТЭК свои межсетевые экраны и КриптоПро встраивают.
По моему, вышесказанное относится не только к нашей сфере - ко всем сферам народного хозяйства, свободы капиталов и труда, мировой интеграции и т.п. (ну Вы понимаете о чем я)...
Хочешь в современном мире играть какую то роль - играй.
НО - ИГРАЙ!!! а не поигрывай...
Проблемы нет:
1. На вопрос два года назад о необходимости разработки VPN решения с гарантированной пропускной способностью 1Gb/s и кластеризацией получил ответ - предлагайте. В настоящее время продукт на завершающей стадии сертификации, причем продукт иностранный с внедрением сертифицированного СКЗИ и главное вопросы управления ключевой информации поставлены сразу для решения в отличии от решений других западных компаний, которые только готовят решения для данной проблемы.
2. Встраивание в небольшие устройства сертифицированной СКЗИ - с 2009 года есть поддержка на ARM9 сертифицированного вариант openssl. Используется только в небольшом кол-ве проектов почему-то.
3. В документации на СКЗИ достаточно часто попадаются завышенные требования - вместо крика на форумах полезнее и правильнее решать данный вопрос с органом для улучшения жизни простых пользователей и разработчиков (в 2009 году проблемы был решена в течение 1 месяца без лишней шумихи, сейчас, надеюсь, решим эту проблему, но с другим средством, так же быстро и простые пользователи не пострадают).
Судя по комментариям, Алексей, читатели идеей глобальной всепоглощающей крипты не прониклись и удобно мыслят старыми категориями. В этой связи возникает вопрос - а так ли привлекателен наш рынок для продажи на нем криптоунитазов и VPN-холодильников?
Может не "не прониклись", а трезво оценивают "такую криптографию"?
Мне вспомнилась история с динамитом. Создавалось для одного, а используется для другого. Стандартная философская проблема без решения. Есть унитазы и холодильники с подключением в Интернет, а вот кто теперь и в каких целях будет информацию от них использовать... Естественно, что и преступники. На такой случай и создавалась конвенция по правам человека. Как универсальное решение таких философских вопросов. Замечу после офигительных войн, когда думали люди, которые насмотрелись на смерть.
При этом важно не подменять "технологией - криптографией" "право человека".
Мне в такие моменты всегда вспоминается история с Бруно и средневековьем. Инквизиторы тогда тоже трезво оценивали ситуацию. А вон потом, как оказалось...
А Вы ФСБ на место инквизиции ставите? А тогда блекбери на место несчастного бруно, который не виноват?
Или наоборот? И кто окажется прав? Прав через месяц. Через год. Через 5 лет.
Есть ли разница в ответственности водителя и пассажира автобуса? Перед собой, совестью своей, не говоря уж об юридической.
Сколько параметров рассматриваете Вы,когда хаете одно решение ФСБ (как пассажир резкую остановку автобуса), и сколько параметров рассматривает принимающий решение работник ФСБ (водитель автобуса, который не задавил ребенка или сумел остановиться перед рухнувшим мостом).
Честно говоря, уровень ответственности ФСБ по вопросам обеспечения ИБ в коммерческих структурах не больше, чем у инквизиции за... за что она там в общем отвечала...
На самом деле с Бурно не так всё просто. Он, насколько я знаю, продвигал идеи фашистско-экстремистские, да и многие ученые того времени его не поддерживали. На самом деле с Бурно не так всё просто. Он, насколько я знаю, продвигал идеи фашистско-экстремистские, да и многие ученые того времени его не поддерживали.
Эх...
Вопросы, о которых пишет многоуважаемый автор, полномочны решать 2-3 человека во всей стране. Вот они - и есть ваши менеджеры по развитию.
Turkish: А если все это выводить из под регулирования, то какой смысл в контроле? В этом же и проблема. Сначала создается одна большая стена, а потом из нее вынимаются кирпичи по одному... и то не сразу.
Но в целом да, немногие разделяют мой пессимизм ;-) Всех все устраивает. Потому что всем наплевать на действующие ограничения. Вопрос только в том, что будет, когда регулятор вдруг решить схватить кого-то за хобот за невыполнение установленных и ранее неработающих правил.
Отправить комментарий