Правила Керкгоффса (не путать с законами Кирхгофа)

Предположу, что многие слыщали про правило  Керкгоффса, которое упрощенно часто звучит как "стойкость криптографической системы должна зависеть только от секретности ключа, а не от секретности алгоритма". На самом же деле Керкгоффс сформулировал в конце 19-го века 6 принципов, которые должны соблюдаться при создании криптографических систем:

1. Система должна быть практически, если не математически, невзламываемый.
2. Система не должна требовать сохранения ее в тайне и попадание ее в руки врагов не должно вызывать проблем.
3. Хранение и передача ключа должны быть осуществимы без помощи бумажных записей; участники должны располагать возможностью легко менять ключ по своему усмотрению.
4.  Система должна быть совместима с телеграфной связью (напомню, что речь идет о конце 19-го века, когда единственным способом связи был телеграф).
5. Система должна быть портативной и работа с ней не должна требовать более одного человека.
6. Наконец, от системы требуется, учитывая возможные обстоятельства ее использования, чтобы она была проста в использовании и не требовала значительного напряжения ума или соблюдения большого количества правил.

Данные шесть принципов были впервые опубликованы в журнале "Военная наука" в 1883-м году (издается до сих пор). Две статьи, в январском и февральском выпусках, описывали существующие в 19-м веке системы шифрования и способы их криптоанализа. Там же Огюст Керкгоффс сформулировал и основы создания надежных криптографических систем, упомянутые выше.

Позже вышла одноименная книга - "Военная криптография", отличающаяся от статей большим объема материала. В ней автор высказал две важных идеи:

• Не бывает универсальных шифровальных средств. Система для нечастой переписки узкого круга лиц и система для массового применения - это разные системы с разными требованиями. 
• Надежность криптографического решения может быть оценена только с помощью криптоанализа.

Кстати, второй принцип Керкгоффса также упоминался и в известной работе Клода Шеннона "Теория связи в секретных системах", но немного в ином виде, получившим название максимы Шеннона - "противнику известна используемая система". Именно второй принцип и стал наиболее известным, что не умаляет важности и остальных, актуальных до сих пор. И это несмотря на то, что Керкгоффс формулировал свои идеи, опираясь на стратегию ведения войн, принятую еще до Первой мировой.

Я эту заметку написал после некоторой дискуссии, которая возникла на днях у меня с одним из стартаперов, который решил разработать систему защиты, опираясь на принцип "security through obscurity", который как раз и противоречит второму правилу Керкгоффса. Кроме того, я пробежался глазами по десятку отечественных учебников по криптографии и ни в одном, что удивительно, не упоминаются все шесть принципов, ограничиваясь только вторым.

ЗЫ. Кстати, не стоит путать Керкгоффса и Кирхгофа. Первый предложил принципы создания криптографических систем, актуальные до сих пор. И звали его Огюст. А второй был великим физиком, который сформулировал правила (часто именуемые законами) в области электричества. И звали его Густав. Но это так, из области общих знаний. 

Подробнее…

Попытки улучшить ситуацию с ИБ в России: экскурс в историю

Так сложилось, что ИБ я занимаюсь с 91-го года, когда по распределению попал в отдел защиты информации одного из московских "ящиков". И за эти 25 с лишним лет видел множество попыток изменения ситуации на отечественном рынке ИБ, который многим экспертам казался далеким от идеала. Ведь если посмотреть на то, как формировалась наша отрасль, то имела она исконно государственные корни и была направлена на защиту государевых тайн. Таковой она многие годы и оставалась, являясь уделом КГБ и Гостехкомиссии.

Первой известной мне попыткой стала работа комиссии академика Юрия Рыжова, который в 1990-м году попытался поменять последовательность интересов в области безопасности с "государство - общество - личность" в сторону "личность - общество - государство", поставив во главу угла именно интересы гражданина, а уж потом интересы государства. Но г-н Крючков, председатель КГБ на тот момент, посчитал, что эта концепция слишком революционна и не отвечала интересам своего времени. В итоге от нее отказались. Да, Рыжов занимался не ИБ, но его работа могла повлиять на все варианты обеспечения безопасности, включая и информационную.

Спустя всего пару лет ведущими специалистами РАН и научно-исследовательских институтов России была опубликована "Концепция развития безопасных информационных технологий: обеспечение защиты информации в проектах информатизации России", которая описывала, какой должна была стать отрасль информационной безопасности в России. И вновь ничего. Параллельно ученым свое видение подготовила тогда еще Гостехкомиссия (и текст), позже переименованная в ФСТЭК России. Но за пределы проекта этот документ не вышел и его идеи тоже не нашли своего отражения в нормативных документах того времени.

Следующие попытки, из тех, что известны мне, стали появляться уже в 2000-х годах, ближе к концу первого десятилетия 21-го века (если оставить в стороне Доктрину ИБ 2000-го года). Например, Стратегия развития информационного общества 2009-го года. В ряде из них довелось принимать участие и мне (я даже папку у себя на компьютере с такими инициативами создал и назвал ее "Развитие ИБ в России"). Одно из них (2009-го года) начиналось так (ниже шел перечень предложений по изменению ситуации с ИБ к лучшему):

Потом было еще несколько попыток реформировать отрасль, предложив какие-то конкретные шаги по улучшению сложившейся ситуации с глубокой ориентацией на интересы государства и "кгбшную" идеологию. Сейчас нет смысла говорить обо всех из них, но о парочке упомянуть стоит. В 2013-м при Совете Федерации началась работа на Стратегией кибербезопасности РФ, в которую были включены многие ранее звучавшие идеи и предложения. Я про Стратегию и статус работы над ней писал неоднократно, повторяться не буду. Итог неутешителен - работа ушла в топку.

В 2015-м году, когда на сцену вышел Институт развития Интернет, из состава которого я не могу выйти до сих пор несмотря на почти годовую переписку с ее администрацией, рядом экспертов была подготовлена дорожная карта по повышению информационной безопасности государства, бизнеса и общества. Но ей даже хода не дали, раздербанив и включив некоторые идеи в другие дорожные карты, которые с переменным успехом пытался двигать советник Президента по Интернету.

В конце 2015-го года состоялся пресловутый форум "Интернет Экономика", на котором присутствовал Президент и на котором представили очередную версию стратегии развития Интернет и околосвязанных тем, включая и ИБ. Кроме одиозных, а местами и просто глупых и некомпетентных идей, там ничего не прозвучало, но в копилку попыток поменять отрасль ИБ я все равно это событие вношу.

В последнее время число попыток что-то поменять стало просто зашкаливать. На финишной прямой (к текущему моменту) у нас находится целых три попытки реформирования отрасли:

• Доктрина информационной безопасности
• Стратегия развития информационного общества
• Программа "Цифровая экономика".

Все они были приняты за последний год. И хотя каждая из них вроде как вытекает из предыдущей (Программа из Стратегии, а Стратегия из Доктрины), но писали их люди разные и местами там идут нестыковки, а то и вовсе диаметрально противоположные идеи и предложения.

Вот такой экскурс, который показывает, что за 25 лет ситуация в нашей отрасли так и не сдвинулась с мертвой точки. Интересы государства превыше всего, а они, как известно, отличаются от интересов граждан, общества и бизнеса. И даже наше понимание интересов государства отличается от того, что про них думает государство. Вспоминая известную картинку:

Вот и интересы силовиков, стоящих у руля и определяющих, как и куда будет развиваться отрасль ИБ, отличаются от того, что считают многочисленные эксперты. И пока этот руль остается в упомянутых руках не стоит ждать существенных изменений в отрасли ИБ.

Завтра поговорим "Цифровой экономике" - последней попытке улучения мира ИБ в России.

Подробнее…

Как я посетил АНБ. Музей, а не то, что вы подумали :-)

Начав недавнюю поездку в США с посещения международного шпионского музея, завершить ее я решил, посетив национальный криптологический музей, расположенный в штаб-квартире АНБ в Форт Миде (40 минут езды от Вашингтона). Он не так посещаем (все-таки сказывается удаленность от столицы), но для меня оказался гораздо более интересным, чем шпионский. Наверное потому, что он мне ближе по роду деятельности (шутки про АНБ отставить :-) Все-таки начинал я свой профессиональный путь как программист СКЗИ, да и потом достаточно тесно был связан с криптографией. Поэтому и было так интересно посмотреть экспозицию музея.

Криптологический музей АНБ небольшой, но описывает практически все ключевые моменты истории американской криптографии - начиная войну южан и северян и заканчивая нашим временем. Каждый из залов посвящен определенной теме (Вторая мировая война, корейская война, Гражданская война 1861-1865 годов, Афганистан и Ирак и т.п.).

Учитывая ведомственную принадлежность музея, в нем нет ничего о древней истории криптологии, но... Музей обладает отличной коллекцией книг-раритетов, которые давно уже стали историей и в особом представлении не нуждаются. "Египетская грамматика" Шампольона, "Полиграфия" Тритемия, "Криптография. Искусство секретного письма" Клюбера, "Криптография" Фридеричи, Opus Novum Сильвестри (старейшая книга в собрании АНБ - 1526 год) и др.

Многие из этих названий (книг и авторов) я использовал в криптографических "Своей игре" и "Брейн-ринге" на РусКрипто.

Кстати, чтобы закончить с книжной темой. В музее представлена и рукопись "Взломщиков кодов" Кана - одного из самых значительных трудов по истории мировой криптографии.

На выходе из музея находится библиотека, основу которой составила коллекция Кана, а позже она пополнялась (и до сих пор пополняется) сотрудниками музея.

 
Глаза, конечно, разбегаются :-) Но книг на русском языке (хотя на других есть) я так и не увидел. Хотя Советскому союзу, КГБ, России книг посвящено немало; среди авторов Судоплатов, Калугин, Гордиевский...

Единственным сувениром, который я купил в шпионском магазине, был шифровальный цилиндр Джефферсона (один из отцов-основателей и 3-й президент США). Его же, а также ряд других связанных с войной северян и южан экспонатов, я видел в музее. Идеи Джефферсона позже были использованы многими странами, в том числе и США, который создали свой шифратор М-94, используемый вплоть до 1943-го года.

Начало 20-го века ознаменовалось Первой мировой войной, в результате которой родилась мощная криптографическая служба Военно-морского флота США (на фото внизу слева первая роторная машина Хепберна).

Обойти историю Энигмы в АНБ не могли и этой странице Второй мировой войны посвящена большая часть экспозиции криптологического музея. Различные варианты Энигмы, Tunny и другие немецкие шифровальные устройства, успешно взломанные английскими и американскими криптоаналитиками.

Устройства для криптоанализа также были представлены в музее АНБ - Colossus, Sturgeon, тьюринговские "бомбы" для взлома Энигмы и т.п. Это, кстати, редкость, - я мало где видел такие экспонаты; обычно все заканчивается немецкой Энигмой или менее известной советской Фиалкой (ее, кстати, в музее АНБ не было :-).

На входе в национальный криптологический музей были представлен еще ряд экспонатов времен Второй мировой войны - различные "ручные" шифровальные и криптоаналитические машины, применяемые в войне с немцами и японцами.

Пёрл Харбор оставил непростой след в истории США и это нашло свое отражение в экспозиции музея АНБ. Японские шифровальные машины Red, и пришедшая ей на смену Purple, а также устройства для их дешифрования. Тут американцам есть чем хвастаться - они участвовали в процессе в одиночку; в отличие от взлома Энигмы, где основную роль сыграли англичане.

В отличие от шпионского музей, "повернутого" на Советстком союзе, АНБ не концентрируется на России - это одна из множества историй, оставивших след в криптографическом "досье" США. Советский союз представлен двумя историями - атомный шпионаж супругов Розенбергов и Великая американская печать. Вторую историю я уже упоминал при обзоре шпионского музея и добавить мне нечего. Разве что в музее АНБ показаны внутренности печати с "закладкой" Льва Термена.

А вот экспонатов по делу Розенбергов (операция "Венона") гораздо больше - ведь это был один из самых больших успехов в истории американских спецслужб. Даже копия изъятой финнами кодовой книги (т.н. "код Победа") представлена.

В одно время с операцией "Венона" начинается и активное применение вычислительной техники в криптологической деятельности. Этому витку истории посвящена отдельная экспозиция, где показаны различные вычислительные машины (Крей - одна из самых известных), применяемых Агентством в своей работе.

Отдельной экспозиции удостоились войны "за демократию" - Персидский залив, Ирак, Афганистан и другие, где также активно применялась криптография, за которую отвечало в том числе и АНБ (помимо шифровальных служб ВВС и ВМФ США).

Меня удивило количество сотрудников АНБ, которые были направлены в эти горячие точки - 5000 сотрудников в Ирак и 8000 в Афганистан!!! Всего же по миру по признанию АНБ разбросано 18 тысяч их сотрудников. Вообще численность спецслужб обычно информация засекреченная (и АНБ не исключение), но мне кажется, что у американцев одно из самых больших в мире подразделений, отвечающих за криптографию и спецсвязь.

Завершалась экспозиция музея АНБ двумя направлениями - кибербезопасность (тут экспонатов не было совсем и как в шпионском музее на стенах висели таблички с текстом о важности этого направления в деятельности АНБ, о Heartbleed, который явился большой угрозой нацбезопасности США, и т.п.) и засекреченная связь чиновников высшего ранга. Во втором случае АНБ пошло по пути наращивания защитного потенциала коммерчески выпускаемых смартфонов функциями, позволяющими вести секретные переговоры. Тут, как мне кажется, АНБ поступило очень здраво - подстраиваясь к тому, что есть на рынке и что удобно секретоносителю, не навязывая своей воли (но это, понятно, тема для дискуссии).

Уже на выходе из музей размещен мемориал славы сотрудников АНБ и шифровальных подразделений иных спецслужб и силовых структур, погибших в деле обеспечения национальной безопасности. Разумеется, без имен. Но заставляет задуматься. Есть ли у нас такая "могила неизвестного сотрудника спецслужб", куда может прийти любой желающий и поблагодарить за безопасность? Не знаю. Интересным, кстати, мне показался стенд о роли женщин в истории американской криптологии. Таких героинь оказалось немало (а сколько осталась под грифом...).

Стены гнева или хотя бы поля для игры в дартс, на которой можно было бы повесить портрет Сноудена, в музее АНБ нет :-) А вот настоящие письма американского математика и нобелевского лауреата Джона Нэша в музее АНБ есть. Этот человек должен быть знаком читателям блога по фильму "Игры разума". Нэш, кстати, первый в мире человек, получивший и Нобелевскую и Абелевскую премии. Вклад Нэша в развитие криптографии не так известен широкой публике, но тем не менее его письма в АНБ, развивающие идеи Шеннона и идущие в части криптостойкости и вычислительной сложности гораздо дальше. Первые публичные работы по этой теме были опубликованы только в 75-м году, а Нэш свои письма в АНБ написал двадцатью годами раньше!

На стенде АНБ на выставке RSAC пару лет назад я увидел занимательные детские книжки с головоломками и загадками. Идеи некоторых головоломок я использовал в "Брейн-ринге" на РусКрипто в этом году. Потом я обнаружил на сайте АНБ раздел для детей. И вот в музее уже я наткнулся на магическую комнату, куда приезжают дети из окрестных школ на различные занимательные занятия, позволяющие воспитывать молодое поколение, прививая ему не только интерес к криптографии, но и выискивая даровитых детей для последующего трудоустройства на работу. Я не знаю, как сейчас обстоят дела у нас, но в последнем классе к нам приходили "сотрудники в штатском" и приглашали, сначала на учебу в Вышку, а потом уже на службу. Меня, как одного из лучших математиков класса, тоже пригласили, но это была перестройка и я не решился связывать свою судьбу с тогда еще КГБ. Кто знает, как сложилась бы моя судьба, если бы я принял тогда приглашение?..

Вот таким был мой визит в Национальный криптологический музей США, расположенный в Форт Миде. Жаль, что в России такого музея нет. Вообще у нас не любят раскрывать историю отечественной криптографической школы. Как-то одно отечественное издание захотело на своих страницах публиковать такую историю в именах и лицах, но "старшие товарищи" запретили это, посчитав несвоевременным и ненужным :-( А жаль. Знать историю очень полезно. Чтобы не совершать ошибок и извлекать уроки. А пока остается только посещать американские музеи с их пусть и интересным, но все-таки однобоким взглядом на развитие мировой истории ИБ и шпионажа.

ЗЫ. Интересующимся историей криптографии могу посоветовать посетить онлайн-музей (не АНБшный). 

Подробнее…

Как я посетил шпионский музей

В марте я написал про заметку про гламурные средства утечки информации, навеянную посещением международного шпионского магазина, который я нашел во время посещения RSAC. И вот на днях мне довелось побывать в международном шпионском музее, который находится в Вашингтоне (еще есть один в Берлине и один в финском Тампере), недалеко от здания ФБР.

Различные шпионские аксессуары, выпущеные КГБ СССР

Надо сказать, что мне музей понравился. Я в своем отрочестве посещал музей МВД и вашингтонский музей в чем был схож с тем, что я запомнил из своей юности. История событий, которые когда-то были тайной за семью печатями и только спустя много лет стали достоянием гласности. Схожая картина с музеем КГБ, который сейчас вроде закрыт, но который тоже повествовал о замечательной истории отечественных спецслужб. Американский музей решает ту же задачу. И хотя он называется международным, все-таки он местами однобоко показывает историю мирового шпионажа - "СССР пытался захватить мир, а доблестные США помешали этому" :-)

Экспонаты "русского" отдела музея

Ни слова о ФСБ, ГРУ или СВР. Только советская история - никаких постсоветских фактов или экспонатов. Понятно, что это музей, но все-таки распад СССР произошел пару с лишним десятилетий назад и за это время произошло немало интересных событий, которые стали публичными и о которых можно было бы в музее рассказать. Доходит до смешного - на стенде с аббревиатурами мировых спецслужб нет ФСБ или СВР (есть НКВД). Все, что напоминает о них - это пара гербов в самом начале экпозиции. Кстати, у некоторых спецслужб герб относится к засекреченной информации.

Начинается музей с маленького задания - на стенах первого зала висят различные "легенды" и вам предлагается заучить их. Имя, фамилия, возраст, место рождения, цель визита, профессия и остальная информация, которую принято называть офицеру пограничной службы при въезде в США. По ходу экспозиции вам предлагают "вспомнить" то, что вы должны были запомнить :-) Я выбрал более простую для меня легенду "Дмитрия Иванова" из Кирова и до конца музея (а ходил я там 2 часа) из 12 пунктов моего прикрытия забыл только 2 (подозрение в отношении себя обеспечил). Помимо этого были и другие квесты. Например, по фотографии определить скрытые сигналы шпионов (разведчиков), места хранения микропленки, наблюдателей и т.п. Достаточно интересные задания даже для взрослых. Есть и отдельная расширенная программа с полноценными часовыми квестами.

Несмотря на статус международного, основной акцент делается на противоборстве прогрессивной Америки и зашоренного коммунизма. Очень много экспонатов, изъятых именно у советских разведчиков в разное время - со времен НКВД и заканчивая 80-ми годами.

Грамоты чекистов

И если уж вначале я вспомнил про первую заметку про гламурные средства утечки, то нельзя не упомянуть про большую коллекцию таких устройств - от пятикопеечных монет-контейнеров до широкого набора микро-фотоаппаратов и диктофон, закамуфлированных под совершенно различные вещи.

Порадовал портрет Ангелы Меркель с встроенной камерой. Американцы умеют троллить (вспоминая историю со слежкой за мобильным телефоном немецкого канцлера). На фото внизу также и другие примеры миниатюрной техники шпионажа - пистолеты в виде тюбиков губной помады и ректальные контейнеры для хранения ядов и микропленок (главное не перепутать). Надо отметить, что с тех пор миниатюризация ушла еще дальше и искать такие средства утечки информации стало еще сложнее.

Пистолет в виде тюбика губной помады (слева) и ректальный контейнер для секретных материалов (справа)

Не могли американцы обойти вниманием историю с великой печатью США из ценных пород дерева, которая была вручена пионерами послу Гаррисону и которую он повесил в своем кабинете в посольстве. Как потом оказалось, в эту скульптуру было встроено уникальное прослушивающее устройство, разработанное русским ученым Львом Терменом (автором терменвокса), которое использовало уникальный принцип работы и не требовало никаких элементов питания или электроники. Проработало оно 8 лет, поставляя КГБ ценнейшую информацию о планах США.

Не могли обойтись в шпионском музее без шифровального отдела, но по своей экспозиции он сильно уступает криптологическому музею АНБ, о котором я расскажу в следующей заметке. Да, Энигма, была представлена :-) Похоже, Энигма - это то, чем действительно гордятся американцы. Они ее упоминают везде и стараются экспонировать на многих выставках, например, на RSAC ее выставляли как раз на стенде АНБ. Роль Великобритании и Тьюринга во взломе Энигмы в музее в Вашингтоне была "малость" преуменьшена.

А вот "компьютерный" отдел меня разочаровал. Какие-то банальные лозунги на стенах, ноутбук Рауля Сильвы из серии бондианы "007: Координаты "Скайфол". Про компьютерный шпионаж, про регулярные кражи информации китайцами, про Сноудена, про взлом Sony ни слова. Даже Google Glass, как современный пример шпионской технологии, не показали. Может спустя какое-то время этот зал расширят разделом про "русских хакеров" (было бы логично).

Завершалась экспозиция музея несколькими залами с рассказом о бондиане, что с одной стороны понятно (все-таки эта голливудская шпионская франшиза одна из самых старейших и успешных), а с другой - залы можно было посвятить и чему-то более реальному и интересному. Но эти залы были полны посетителей, которые активно участвовали в разных конкурсах, повторяющих отдельные "подвиги" Бонда.

На выходе, традиционно находился сувенирный музей, который не поразил меня; от слова "совсем". Какие-то побрякушки, кружки, ручки, брелки, но ничего того, что можно было бы преподнести в качестве настоящего шпионского сувенира. Даже международный шпионский магазин и тот содержал больше интересных вещиц, которые можно было бы купить в виде сувениров. Разве что в магазине был интересный книжный магазин, включая и литературу про "русских шпионов".

Не секрет, что американцы умеют делать деньги из всего. А уж из истории шпионажа и подавно. Очень благодатная тема, которая привлекала, привлекает и будет привлекать посетителей, готовых выложить около полутора тысяч рублей за посещение интересной (а она была таковой) экспозиции. И музей этот решает не только чисто меркантильную задача - заработать денег. У него есть и иная цель (как мне показалось) - патриотическая (смотрите, какие мы, американцы, молодцы). Да и уколоть традиционного геополитического соперника в лице России (все-таки СССР и Россия для американцев это синонимы) американцы любят. В музее же это сделать очень легко, якобы скрывая негатив к нашей стране, в фактах и экспонатах (правильно поданных). Правда, у меня после посещения шпионского музея скорее возникла гордость за СССР, который мог делать просто офигенные штуки - от миниатюрных камер и многозарядных пистолетов в пачке от сигарет (еще во времена НКВД) до закладки в великой печати США.

Жаль, что такого музея нет в России. Я уверен, что он бы пользовался популярностью у туристов. Да и подрастающее поколение было бы интересно туда водить и показывать, что могли и могут российские спецслужбы. А то все Бонд да Борн. А где новые Штирлиц, Тульев (тетралогия о "Резиденте") и Славин ("Тасс уполномочен заявить")? Отечественный музей КГБ когда-то принимал посетителей и пользовался популярностью у туристов, которые приходили посмотреть на секреты одной из самых закрытых спецслужб мира, но сейчас он закрыт :-( А жаль...

Подробнее…

История гонений на криптографию в России

В контексте "закона Яровой" мне хотелось бы вспомнить о тех попытках "нагнуть" криптографию в России, которые предпринимались в новейшей отечественной истории. Исторически криптография была уделом спецслужб и они не горели желанием выпускать ее из своих рук. Мало кто уже помнит (да и трудно себе такое представить), но раньше даже книжки про криптографию относились к информации ограниченного доступа. Когда я занимался разработкой СКЗИ в одном московском "ящике" в начале 90-х годов, то мне приходилось ходить в закрытую библиотеку, чтобы получить доступ к определенным материалам. Да что говорить, сам ГОСТ 28147-89 долгое время был с грифом и только спустя годы этот гриф был снят и текст криптографического стандарта стал доступен всем желающим.

Однако перестройка расставила все по своим местам и в коммерцию ринулись сотни выходцев из КГБ, которые стали делиться своим немалым опытом, в том числе и по части криптографии. Стали выходить книжки, в журналах стали публиковаться тексты программ для шифрования по ГОСТу, отдельные счастливчики были обладателями книжки Шнайера "Прикладная криптография". Но несмотря на перемены в политической и экономической жизни страны, спецслужбы по-прежнему не горели желанием выпускать криптографию в свободное плаванье. Надо признать, кстати, что это удел не только российских спецслужб - они одинаковые во всех странах. Достаточно вспомнить известное уголовное дело против автора PGP - Фила Циммерамана, который обвинялся в США в распространении своей криптографической программы в нарушении американского законодательства. Фил тогда поступил очень неожиданно и опубликовал исходники PGP в книжке, которая и распространялась по миру, не являясь нарушением американского законодательства (так что причисление литературы про криптографию к шифровальным средствам было вполне логичным шагом для тех, кто хотел ограничить их распространение).

В 1995-м году вышел пресловутый Указ Президента Ельцина №334, который по сути блокировал распространение гражданской криптографии, вводя ее под жесткий контроль отпочковавшегося от КГБ ФАПСИ, которое спустя некоторое время вновь влилось в основную спецслужбу страны, именуемую нынче ФСБ. Данный указ включал несколько основных положений:

• Запрет госорганам и предприятиям применять несертифицированные средства шифрования.
• Запрет банкам применять несертифицированные средства шифрования и заставить Банк России следить за этим запретом.
• Запрет деятельности юрлиц и физлиц в области разработки, производства, реализации и эксплуатации шифровальных средств без соответствующей лицензии.
• Запретить ввоз шифровальных средств без соответствующей лицензии на ввоз.
• Поиск нарушителей данного указа.
• Усиление прокурорского надзора за соблюдением данного указа.

Надо сказать, что данный Указ не только был реализован, но и до сих пор действующее законодательство опирается на положения данного нормативного акта (пусть и немного в иных формулировках). Единственное, что всегда оставалось под большим вопросом - эксплуатация СКЗИ без лицензии. Если внимательно посмотреть на историю развития законодательства по лицензированию отдельных видов деятельности, то данная тема всегда вызывала, вызывает и, думаю, будет и дальше вызывать вопросы - ФСБ достаточно недвусмысленно дает всегда понять, что по их мнению, применение СКЗИ должно сопровождаться наличием соответствующей лицензии ФСБ. В судах они эту позицию отстаивают не так часто, но с завидной регулярностью озвучивают на различных мероприятиях и в различных официальных ответах.

Но пойдем дальше. 334-й Указ всегда вызывал определенные вопросы, но их острота и градус накала постепенно снижались, особенно после прекращения существования ФАПСИ. Однако желание спецслужб контролировать криптографию на территории России жило и цвело. В 2010-м году в России, учитывая создание Таможенного Союза, были введены новые правила по ввозу средств шифрования. Вообще тема ввоза средств шифрования очень непроста и те, кто с ней незнаком регулярно попадают впросак, в т.ч. и под статьи действующего КоАП. И изменений в этой части не предвидится - даже поручение Президента по либерализации ввоза СКЗИ ФСБ посчитала нецелесообразным. С вывозом шифровальных средств (а любой мобильник или ноутбук к ним относится) ситуация тоже далека от желаемой.

В 2011-м году руководитель 8-го Центра ФСБ заявил о том, что такие сервисы как Skype, Gmail и т.п. представляют угрозу национальной безопасности и организованная преступность, террористы и экстремисты (334-й Указ упоминал только оргпреступность, которая позже уже не упоминалась в качестве мотива ограничений СКЗИ) могут использовать западные сервисы для своих черных дел. Тогда запретить ничего не удалось, но "осадочек остался". Да и проект аналога 334-го указа, но посвежее, тоже успел просочиться в Интернет (но принят не был, столкнувшись с отпором ИТ-отрасли).

В 2014-м году ФСБ выпускает свой 378-й приказ по защите персональных данных, в котором фигурирует требование применения сертифицированных СКЗИ при защите ПДн. А учитывая, что у нас ПДн есть везде и создать изолированную и не имеющую ПДн среду невозможно, то ситуация вновь стала непростой. Регулятор опять дал понять, что он не откажется от идеи перевести всех на сертифицированные рельсы в части СКЗИ.

С 14-го года еще больше усиливается риторика представителей законодательной и исполнительной власти о необходимости более пристального контроля за Интернет, о необходимости бороться с экстремизмом (чтобы ни вкладывалось в этот термин) и терроризмом, о необходимости борьбы с пиратством, о необходимости отказа от анонимности в сети и т.п. И везде криптография является препятствием; имеется ввиду неконтролируемая криптография. Неслучайно в февральском списке поручений Президента тема регулирования криптографии в отечественных сетях связи была выделена особо. Поэтому закономерным стало появление закона Яровой, который с точки зрения криптографии задал новую планку в части запрета применения любых средств/алгоритмов/решений, не имеющих сертификата ФСБ. Обратите внимание - не прошедшими оценку соответствия в установленном порядке, а просто не имеющими сертификата. С сертификацией, как единственной формой оценки соответствия, у нас носится только ФСБ.

Надежды на отмену "закона Яровой" у меня нет (хотя высказать свою позицию все-таки стоит), как и на либерализацию вопросов применения шифровальных средств в России. Учитывая ужесточение подходов к сертификации СКЗИ и отмену сертификации криптобиблиотек картина вырисовывается не очень позитивная. А тут еще накладывается и полная техническая недееспособность депутатов, которые хоть и отказались от идеи запретить UDP в Интернет, но зато утвердили требование отдавать все сеансовые ключи в мессенджерах и иных средствах коммуникаций.

Похоже история наших регуляторов ничему не учит и они хотят наступить на те же грабли, что наступили в США в свое время (и даже не один раз). С терроризмом бороться это сильно не помогло. А вот компетенция людей, которые стали все чаще искать пути обхода ограничений, только выросла. В данном случае предположу, что те, кому есть что скрывать вернутся к старой доброй стеганографии, которая была незаслуженно забыта, но видимо скорь восстанет из пепла.

В 2011-м году я предположил, что ветер переменился и теперь все будет делаться под соусом "национальной безопасности", в том числе и выдавливание западных технологий/продуктов/алгоритмов. Как показали прошедшие 5 лет прогноз оказался верным :-( Остается только надеяться, что ресурсов на всесторонний контроль принятого закона у регуляторов не будет. Но как Дамоклов меч висеть он будет, а уж как рычаг давления на неугодных тем более.

Подробнее…

Что нового в SOC?

По результатам моей заметки про SOC Forum мне многие написали, что ничего нового в теме SOCов нет и что примеры работающих SOCов известны уже не первый год. И что? Где в информационной безопасности вообще что-то новое? Сканеры безопасности? Так тот же SATAN был в начале 90-х разработан и что с тех сильно поменялось? IDS, которые сейчас все кому ни лень в России пишут (на базе open source)? Ну так первые сетевые IDS появились также в начале 90-х. Поведенческие анализаторы? Первые решения так и вовсе в 80-м году были представлены миру. NBAD? Тоже в 80-х. Да та же "инновационная" квантовая криптография была предложена еще в 70-х. Анализаторы кодов? Так первые решения в конце 70-х стали использоваться.

Что нового в SOC? Ничего. Командные и штабные центры в войсках были с незапамятных времен. Но тогда еще компьютеров не было, чтобы собирать с них сигналы тревоги. В АНБ первый SOC появился в 1968 (тогда он еще назывался центром наблюдения (National SIGINT Watch Center), а в 1973 его переименовали в национальный SOC.

Что вообще совсем нового у нас в ИБ есть? Ничего. Только уровень автоматизации задач повышается, да интерфейсы удобные разрабатываются, да некоторые дополнительные функции добавляются. Вот и вся новизна. Но это же не значит, что про это не надо говорить и проводить конференции, посвященные тому или иному направлению.

ЗЫ. Вообще, человеку свойственен эгоцентризм - он всегда ставит себя и свое мнение в центр Вселенной и считает, что именно его мнение является единственно верным. Например, анализируя документы регуляторов, специалист по ИБ часто думает "Вот же бред, кто это мог придумать", не задумываясь о мотивах авторов. А ведь они есть и могут отличаться от мнения специалистов. Или многие часто спрашивают, когда я сплю, если у меня часто заметки в блоге публикуются в 5 утра. Но... это 5 утра в Москве. А, например, в Калифорнии в это время 6 вечера - самое продуктивное время :-) А на Дальнем Востоке в это время разгар рабочего дня. Но мы не привыкли смотреть на вопрос с позиции другого человека. Отсюда, зачастую, и все проблемы в общении и коммуникациях. 

Подробнее…

Кто придумал SDLC?

Что-то заметка про мои первые труды навела на мысль, что стоит раскрыть тему про первенство SDLC. Тема эта модная, про нее все пишут и говорят, нормативка готовится. Однако сейчас мне хотелось бы обратиться к истории и вспомнить о том, кто был первым в этой области и сделал задел, которым пользуются сегодня многие. Как и в случае с многими другими технологиями, начинались соответствующие исследования в интересах военных - в американских NASA и DARPA. Очень активно им помогал Университет Калифорнии в Девисе, засветившийся во многих проектах ИБ агентства DARPA. Было это еще в самом начале 90-х. В России создавались первые подходы к оценке соответствия и писались РД Гостехкомиссии, а в США изучались подходы к повышению качества и защищенности ПО, поведение которого можно было бы предсказать во время отказа по той или иной причине.

Позже при активном участии Cigital Lab появился и первый в мире коммерческий статический сканер исходных кодов ITS4, задача которого была автоматизировать то, что раньше делалось утилитой grep. Именно ITS4 был лицензирован Fortify Software, позже купленной HP за 300 миллионов долларов. За почти двадцатилетнюю историю Cigital ее сотрудники написали около 20 книг по данной тематике, одной из самых известных из которых является "Software Security. Build Security In" Гэри МакГроу, пионер и гуру в области безопасного программирования.

"SDL" по версии МакГроу

Еще одним первопроходцем в этой области является известный институт Карнеги-Меллона, при котором был создан и первый CERT. Но помимо темы CSIRT, борьбы с внутренними угрозами, институт Карнеги-Меллона с конца 90-х - начала 2000-х годов активно занимается темой безопасного программирования. Помимо ведения собственного сайта институт вовлечен в поддержку еще одного ресурса, который схож по названию с книгой МакГроу - buildsecurityin.us-cert.gov. На этом официальном сайте Министерства национальной безопасности США хранится и распространяется огромный объем информации, включая и инструментарий, по данному вопросу.

Позже к этому процессу подключились и другие игроки, одним из самых известных из которых является Microsoft. Сегодня многие олицетворяют аббревиатуру SDL именно с Microsoft, которая после объявления Биллом Гейтсом инициативы Trustworthy Computing в 2002-м году, стала активно двигаться в этом направлении. SDL в варианте Microsoft оформился в 2004-м и с тех пор MS пытается эту инициативу двигать по всей своей продуктовой линейке.

В 2008-м году МакГроу решил проанализировать опыт Microsoft и нескольких десятков других компаний, которые занимались безопасным программированием и внедряли в свой процесс разработки отдельные инициативы по повышению защищенности ПО. Результатом работы МакГроу стал проект The Building Security In Maturity Model (BSIMM). На сегодняшний день опубликована уже пятая версия BSIMM, вобравшая опыт 67 инициатив по безопасной разработке. В текущей версии BSIMM-V описано 112 активностей, повышающих защищенности ПО, и по каждой из активностей проект BSIMM предлагает любому желающему оценивать себя и свою зрелость в области SDL.

Уровень зрелости десятка самых зрелых разработчиков ПО по BSIMM-V

Кстати, МакГроу не использует термин SDL, заменяя его на Security Touchpoints. Так сложилось, что не все компании участвуют в проекте BSIMM. В нем, как правило, нет, по понятным причинам, "железных" разработчиков (при разработке системотехники немного иные нюансы, проблемы и задачи стоят); также нет и ряда других известных софтверных компаний - Facebook, Twitter, Mozilla, Oracle и других. Поэтому оценить, кто лучше на этом поприще сложно. Тот же МакГроу считает, что среди участников BSIMM нет явных лидеров, но все достойны и делают большое дело.

Но дело DARPA и NASA продолжает жить и развиваться. Недавно Банк Америки зарегистрировал патент в этой области, заявив, что подходы МакГроу и Microsoft имеют серьезные недостатки, которые и устраняет подход Bank of America. Они же, кстати, являются автором патента по оценке защищенности Web-приложений. Вообще, достаточно интересно читать патенты в данной области. По ним можно смотреть, кто дальше всех продвинулся в этой области и кто больше всего ею занимается. Тут вам и Microsoft, и IBM, и уже упомянутая в начале статьи Cigital, и Coverity, и Veracode, и HP. Отечественных игроков рынка SDLC, к сожалению, среди авторов патентов нет.

Подробнее…

Как я пытался организовать Gartner в России в далеком 1997-м году

Что-то опять потянуло покопаться в истории :-) а точнее в моей библиотеке. В процессе подготовки небольшой заметки наткнулся на две своих публикации, которые можно назвать первыми моими серьезными работами, отличными от обычных статей, которые я тогда только начинал писать. Тут же речь идет о более серьезном труде. Первый, 70-тистраничный, труд касался вопросов обеспечения безопасности Интернет в банках (а это, к слову, 97-й год).

В 97-м я ушел из отдела аудита Информзащиты, чтобы возглавить там же мной же созданный и мной одним и наполненный отдел информационного обеспечения. Я тогда наивно предполагал, что если иностранные Lexis Nexis, Gartner и другие информационные агентства могут брать большие деньги за подписку на информацию, то и в России можно предложить такой же сервис. Вот собственно в 1997-м году в рамках Информзащиты я его и создавал, предложив потенциальным заказчикам два сервиса - еженедельную новостную рассылку по ИБ и тематические выпуски, посвященные той или иной теме. Первая и была посвящена Интернету в банках.

Второй мой большой (на 80 страниц) труд касался безопасности Java и ActiveX. Я тогда перелопатил кучу материалов, поскольку эта тема была в новинку и мало кто про нее писал и говорил.

Кстати, тогда я впервые погрузился в тему безопасного программирования, которое, как это не странно, придумала не Microsoft, как это часто говорят и пишут, а совершенно другие люди, работающие в NASA и DARPA. Один из них Гэри МакГроу (Gary McGraw) считается основоположником данного направления и сооснователем Cigital Lab, которая не только одной из первых стала заниматься этой темой и консультировать по вопросам безопасного программирования, но именно ей принадлежит первый коммерческий сканер исходных кодов ITS4. Именно технологии, заложенные Cigital Lab, были позже лицензированы Клейнером Перкинсом и использованы при создании продуктов Fortify Software.

Но вернемся к безопасности Java и ActiveX. Я тогда, пожалуй, в первые набрался наглости и списался с МакГроу и общался с ним на тему безопасности Java и безопасности при разработке ПО. Это уже потом я понял, что эти "гуру ИБ", на самом деле простые люди, которые достаточно спокойно общаются даже с представителями далекой России :-) Опять же вспомнилось. Я когда писал свою первую книгу по обнаружению атак, то изучал разные материалы, которых было много, но на английском языке. Помню, не надеясь на ответ, я написал Дороти Деннинг, иконе мировой ИБ, которая как раз писала книгу по обнаружению атак. И... что было просто потрясающе, она написала своему издателю с просьбой прислать мне рукопись своей еще неопубликованной книги! Просто фантастика :-) У нас все-таки не так :-(

Но хватить ностальгировать. Пора вспомнить, что на дворе 21-й век. В понедельник напишу что-нибудь свеженькое...

ЗЫ. Кстати, на этих двух выпусках и паре десятков новостных рассылок дело и закончилось. Клиенты не хотели платить за информацию. Отдел пришлось закрыть, а я занялся Интернет-безопасностью и продвижением решений ISS в России и странах СНГ.

Подробнее…

Мое первое знакомство с криптографией

Кто знает, как зарождалась информационная безопасность в России, тот помнит, что изначально все строилось вокруг криптографии. И большинство публикаций касалось именно этой науки. В своем посте я уже писал, что первые статьи по ИБ в России были в 91-м году. На самом деле это не совсем так. Ходят слухи, что в середине-конце 80-х годов в России была переведена и издана книга Дороти Деннинг "Криптография и защита данных" 82-го года издания. Сам я этого издания не видел, хотя в закрытой библиотеке одного из ящиков, где я начинал свой путь в области ИБ, эта книга значилась в числе имеющихся (но она все время была на руках).

Поэтому писать буду про то, что видел собственными глазами ;-) Речь идет о ТИИЭР ("Труды Института Инженеров по Электротехнике и Радиоэлектронике"). Это переводное ежегодное издание одноименного американского журнала, которое переводилось и издавалось издательством "Мир" до 91-го года. Так вот в мае 1988-го года был опубликован 76-й том этого журнала, полностью посвященный защите информации. Еще ранее, в марте 79-го года, в 67-м томе была переведена и опубликована статья Диффи и Хеллмана "Защищенность и имитостойкость: введение в криптографию".

Но вернемся к 76-му тому ТИИЭР. Я его тоже читал сначала в закрытой библиотеке, а потом, уже в середине 90-х, смог скопировать в ГПНТБ. Этот малый тематический выпуск на 150 страниц, содержал статьи известнейших на тот момент (да и сейчас) специалистов по безопасности.

Из переведенных и опубликованных там статей были:

• Введение в современную криптологию. Дж.Л.Месси. Собственно эта статья до сих пор может считаться эталонным обзором всей криптографии. В ней были освещены вопросы истории криптологии (Цезарь, Вернам, Шеннон, Диффи и Хеллман), симметричные и асимметричные шифры, теоретическая и практическая стойкость, совершенная секретность, рассеивание и перемешивание, управление ключами, блочные и поточные шифры, криптографические протоколы и т.д.
• Стандарт шифрования данных: прошлое и будущее. М.Э.Смид, Д.К.Бранстед.
• Первые десять лет криптографии с открытым ключом. У.Диффи. Отличный материал от основоложника криптографии с открытым ключом, в котором от первого лица рассказываются интересные истории о становлении асимметричной криптографии, о ее взлетах и падениях, примерах криптоанализа и компрометации...
• Несостоятельность протоколов криптосистем. Дж.Х.Мур. На тот момент революционная статья, автор которой говорил, что важен не только и не столько криптоалгоритм, сколько криптопротокол, который и гарантирует, что при использовании криптосистемы (криптоалгоритма) реально достигается уровень безопасности и аутентификации, требуемый в системе. Этой теме в России очень мало посвящено внимания (по анализу многочисленных учебников и книг по криптографии).
• Обзор методов аутентиикации информации. Г.Дж.Симмонс.
• Как обеспечить доверие к данным, используемым для проверки соблюдения договоров. Г.Дж.Симмонс. Статья посвящена тому, как добиться того, чтобы две недоверяющие друг другу стороны, каждая из которых предполагается способной к обману, обе могли верить показаниям системы сбора данных, функция которой состоит в том, чтобы информировать другу сторону (и, может быть, третьи стороны) о том, нарушает ли первая сторона условия некоторого договора или нет. На примере соблюдения США и СССР договора о полном запрещении ядерных испытаний или на примере проверки МАГАТЭ выполнения оговоренных условий эксплуатации атомных установок.
• Криптоанализ: обзор новейших результатов. Э.Ф.Брикелл, Э.М.Одлижко. Именно из этой статьи я узнал о различных методах криптоанализа с примерами для различных криптоалгоритмов.

Самое интересное, что все эти материалы были публичны в США и только у нас на них вешался гриф "секретно". Ведь когда-то книги с описанием криптографии в СССР приравнивались к самим шифровальным средствам; со всеми вытекающими отсюда особенностями.

Подробнее…

Еще один бриллиант моей библиотеки

Иногда, в минуты отчаяния по поводу того, что происходит в области регулирования ИБ, я обращаюсь к своей библиотеке, которая уносит меня в мир грез и фантазий на тему: "Как могла бы развиваться информационная безопасность в России, если бы приняли все те документы, что разрабатывались в свое время". Про "Концепцию развития безопасных информационных технологий: обеспечение защиты информации в проектах информатизации России" 92-го года выпуска я уже писал 3 года назад. Про проект системы нормативных актов ФСТЭК 2005-го года тоже писал и тоже 3 года назад.

И вот новый бриллиант, который казался мне утерянным. Это тоже проект Концепции защиты информации в системах обрработки информации (СОИ). Причем этот документ является нечто средним между Доктриной информационной безопасности и Концепцией защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации, разработанной Гостехкомиссией. Если Доктрина очень высокоуровнева и ничего конкретного о защите информации не говорит, то второй документ достаточно узок и описывает систему взглядов, основных принципов, которые закладываются в основу проблемы защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники.

А вот бриллиант из моей библиотеки достаточно конкретен и при этом высокоуровневый. Как видно из оглавления он описывает то, как должна строиться защита информации в государстве, какие нормативные акты должны быть приняты для регулирования данного вопроса, какие государственные органы должны заниматься защитой информации, что должно финансироваться государством для того, чтобы отрасль ИБ не загнила, как готовить кадры. Сразу отвечу на вопрос по поводу быка на иллюстрации. Фиг знает откуда он, как собственно и куча рукописных пометок на страницах. Они точно не мои. Есть у меня подозрения, чья это рука, но озвучивать не буду ;-)

Вернемся к документу. Я думаю его отсканировать и выложить, а пока только некоторые выдержки (тезисно). О чем же писали разработчики?

• Описываемый в концепции ущерб связан с материальными, финансовыми, политическими, военными, экономическими потерями, снижением обороноспособности страны, нарушениями и изменениями прав и интересов государства, организаций и граждан и т.д. (в приложении даже перечислены конкретные виды ущерба).
• Целью защиты является предотвращение или минимизация ущерба. Ну чем не подход на базе анализа рисков? И вообще, документ базируется на том, что нет ущерба от реализации угрозы и беспокоиться по ее поводу не надо.
• Принцип неполной формализуемости, которые предполагал, что защита не может быть формализована до конца и содержание этапов защиты информации формулироваться должно только на содержательном уровне и их механическое осуществление в общем случае невозможно.
• Осуществление непрерывного процесса защиты информации возможно лишь на базе промышленного производства средств защиты.
• Активизация разведывательной деятельности США, появление новых стратегий и устремлений на ведение "информационной войны" против государства. Уже в 92-м году упоминались информационные войны!
• Дифференциация степени конфиденциальности информации.
• Рост квалификации пользователей, которые могут использовать свою квалификацию для создания вредоносного кода.
• Система защиты информации должна строиться на 3-х уровнях иерархии - государственное управление, уровень министерства, ведомства, отрасли и уровень организации.
• Госорган управления по защите информации должен быть один! И он должен в том числе осуществлять международное сотрудничество с другими госорганами по защите информации!
• Разработка отраслевых требований по безопасности информации.
• Техническая политика в области защиты информации должна строиться на базе практики (в том числе и мировой).
• СЗИ не должны разрабатываться отдельно, а должна быть составной частью процесса разработки системы обработки информации.
• Одним из перспективных направлений в области аутентификации считалось применение одноразовых паролей (в 92-м году), биометрии, генераторов и хранилищ паролей, диалоговых паролей (звуковых и графических).
• СЗИ от НСД должны интегрироваться с СКУД.
• Описаны направление стандартизации вопросов защиты информации. При этом одной из целей стандартизации является повышение качества отечественных СЗИ и их конкурентоспособности на мировом рынке.
• Очень интересный раздел по правовому и кадровому обеспечению защиты информации

Вот такой документ... Кстати, кто его автор я тоже не знаю. От руки написано, что это проект Гостехкомиссии. Вполне допускаю. Но ходу ему так и не дали - в числе принятых документов ФСТЭК или иных регуляторов по ИБ его нет.

Подробнее…

Триада "конфиденциальность, целостность, доступность": откуда она?

Все специалисты по безопасности знают классическую триаду "конфиденциальность, целостность и доступность" (КЦД) или "confidentiality, integrity, availability" (CIA). Ее применяют к месту и не очень, но мало кто знает, откуда она вообще появилась? Этому в ВУЗах не учат, а стоило бы. Тогда стало бы понятно, что эта концепция уже немного устарела и не является догмой.

Напомню, что впервые этот принцип был изложен в статье "Защита информации в компьютерных системах", написанной Зальцером и Шредером в 1974-м году и опубликованной в "Communications of the ACM". В этой статье безопасность определялась как "техники, которые контролируют, кто может использовать или модифицировать компьютер или содержащуюся в нем информацию". При этом авторы ссылались на других авторов, которые считали, что все нарушения безопасности могут быть разбиты всего на 3 группы - неавторизованное использование (unauthorized information release), неавторизованное изменение и неавторизованное блокирование использования (unauthorized denial of use). С тех пор и началось победное шествие этой триады по миру. У нас она как-то подзадержалась и зависла во многих нормативных документах.

Однако, чтобы понимать всю ограниченность этой концепции в современном мире надо вспомнить окружение, в котором эта триада появилась. Мейнфреймы, язык COBOL, операционная система MVS, Multics, UNIX и т.д. Что поменялось с тех пор? Все. Появился Интернет, черви навроде Stuxnet, Java и C++, облачные вычисления и много чего... Все это уже очень трудно уложить в традиционную триаду. Стали появляться расширения триады. Например, ФСБ в своей методичке по персональным данным, указав триаду как основные характеристики безопасности, добавила еще: "в дополнение к перечисленным выше основным характеристикам безопасности могут рассматриваться также и другие характеристики безопасности. В частности, к таким характеристикам относятся неотказуемость, учетность (иногда в качестве синонима используется термин «подконтрольность»), аутентичность (иногда в качестве синонима используется термин «достоверность») и адекватность".А в 91-м Джон МакКамбер предложил свою модель на базе триады, названную им моделью информационной безопасности МакКамбера (я о ней писал 3 года назад).

ОЭСР в 1992-м году предложила свои 9 принципов безопасности - Awareness, Responsibility, Response, Ethics, Democracy, Risk Assessment, Security Design and Implementation, Security Management и Reassessment. ОСЭР всегда смотрела на безопасность с философски-культурологической позиции ;-)

В 2002-м году Дон Паркер предложил свой "Паркеровский гексагон", котрый к триаде добавлял еще 3 характеристики - владение или контроль (possession или control), аутентичность (достоверность) и полезность (utility).

По поводу владения/контроля Паркер приводил такой пример. Представьте, что вор украл у вас запечатанный конверт с банковскими картами и PIN-кодами к ним. Даже если вор не открыл этот конверт и не нарушил тем самым его конфиденциальность, это все равно должно вызывать беспокойство владельца конверта, который потерял над ним контроль. Аналогичная ситуация с тестами на проникновение, например, в системы АСУ ТП. Во время таких тестов не страдает ни один из элементов классической триады, но успешное проникновение показывает потерю контроля.

На тему полезности Паркер тоже приводил жизненную ситуацию. Допустим вы зашифровали свой жесткий диск и забыли пароль (ключ). Для данных на диске сохраняется конфиденциальность, целостность, доступность, достоверность и контроль, но... вы не можете ими воспользоваться. Это и есть нарушение полезности.

NIST в 2004-м году пошел еще дальше и предложил свою модель из 33 (!) элементов или, как написано в SP800-27 "Engineering Principles for Information Technology Security (A Baseline for Achieving Security)", принципов. Но и это тоже не конец. Многие организации пытались придумать что-то свое, подменяя понятие "информационной безопасности" другими - "управление рисками", "security governance" и т.д. И у каждого из них был свой набор характеристик или принципов, реализация которых позволяла надеяться на создание действительно защищенной системы или процесса.

Подробнее…

Какой была безопасность в России в 90-х годах

И вновь потянуло меня разбирать архивы... И вновь я наткнулся на антикрвариат; погрузился в него; стал вспоминать. Так случилось, что аккурат с 92-го года, как я стал заниматься ИБ, я стал коллекционировать библиотеку литературы по ИБ. И накопилось за это время много всего. И книг штук 200, а уж статей и вовсе не счесть. Первые статьи по нашей теме появились в 91-м году. До этого тема была табу и тайной за семью печатями, доступной только сотрудникам КГБ (а потом ФАПСИ) да ФСТЭК. Даже литература по криптографии считалась шифровальным средством и ее распространение контролировалось очень серьезно. Это сейчас сложно представить, что литература по ИБ была под запретом. А в начале 90-х я многое мог читать только в спецбиблиотеке при ящике, к которому я был приписан. Но 91-й год запомнился не только распадом СССР, но и годом рождения коммерческого рынка ИБ. И в этом же году появились первые статьи по нашей теме.

Одним из рупоров в области ИБ был журнал Компьютер-Пресс, который начал с основ - с рассказа о том, что такое ИБ и как ее строить. Причем уже тогда учитывалась не только техническая, но и организационная сторона вопроса.

 

И в том же 91-м в Компьютер-Пресс подняли тему анализа рисков, описав что это такое и зачем он нужен.

  

 Кстати, в статьях уже тогда приводилось более менее нормальное определение термина "безопасность".

 

И про оценку эффективности и надежности средств защиты тогда тоже писали. По сути, Компьютер-Пресс за 1-2 года рассказал все основные темы по ИБ, которые продолжают мусолиться, без чего-то действительно нового и инновационного.

Не обошлось без рассказа о том, как строится система защиты в США, с описанием ее нормативных документов и т.д. Других-то тогда не было. Первые РД ФСТЭК появились в 92-м году и были калькой с "Радужной серии". Причем не очень удачной, т.к. в серию входило 1-2 десятка разных книг, из которых мы взяли только одну - по СВТ (средствам вычислительной техники), читай "автономные персоналки". Все остальное переводить по какой-то причине не стали и мы до сих пор так и живем по документам 92-го года.

Криптография тоже пыталась развиваться достаточно активно. Был такой журнал для программеров "Монитор", который в начале 90-х стал публиковать описание различных алгоритмов шифрования (преимущественно зарубежных), погружаясь и в математику и в программирование (причем на Ассемблере). Вот так выглядела, например, 3-я часть статьи про рюкзачные криптоалгоритмы (до этого Монитор рассмотрел симметричные DES и ряд других алгоритмов).

Ну и про асимметричную криптрографию тоже не забывали.

Спустя всего пар лет появились первые серьезные продукты в области сетевой безопасности, а точнее в области VPN. Вот вы можете видеть одну из первых статей по сетевой криптографии на базе международных протоколов. Еще до появления протокола обмена ключами IKE для IPSec в 98-м году весь мир пользовался SKIPом. И его и реализовали Александр Галицкий, Сергей Рябко и другие в компании Элвис+. А ведь это было в своем роде революцией - вся Россия тогда работала на проприетарных протоколах обмена криптографическими ключами, согласуемыми сначала с ФАПСИ, а потом и с ФСБ (а то и получаемых от них). Раньше считалось, что IPSec - это зло, которое разработано американцами, чтобы вывести из строя российскую экономику (та же мотивация была в СовБезе, когда в России не смогли ратифицировать "Общие критерии"). Отечественные криптосредства перешли на IPSec год-два назад и то не все - многие до сих пор работают на закрытых протоколах, что зачастую приводит к проблемам при работе в сетях связи общего пользования.

И уже в тоже время начались активные искания в области правового регулирования вопросов ИБ. И хотя многие сотрудники спецслужб покинули родные пенаты и основали собственные "бизнеса", сама "контора" не желала расставаться с монополией на защиту информации. Вот так выглядела заметка в "Московском комсомольце" о факте выхода пресловутого 334-го Указа Президента Ельцина, вводящего запрет на любую криптографию, которая не была "освящена" ФАПСИ. Именно с тех времен тянется известный конфликт ЛАН Крипто и ФАПСИ, в котором так и оказалось победителей.

Что характерно госмонополия в части криптографии у нас осталась до сих пор. А вот с монополией ФСТЭК и тогда было не все просто. Поэтому стали появляться различные обоснования, что защита информации - это удел избранных, лицензиатов. Да и средства защиты можно применять только сертифицированные. С тех пор ситуация тоже не сильно поменялась.

Вообще, по зрелому размышелнию за кружкой кефира (и это не метафора) понимаешь, что российский рынок ИБ не сильно отличается от того, что было в начале 90-х. Разрабатываются продукты одного класса - СЗИ от НСД, т.е. те, которые можно сертифицировать. Если раньше были "Редуты", "Кометы", "Кобры", "QP DOSы", то сейчас "Щиты", "Брони", "Панцири". Крипта тоже не сильно меняется. Меня поражает ФПСУ-IP, который до сих пор под управление MS DOS работает. Последняя версия 6.22 была выпущена в 94-м году; про версии 7.0 и 7.1 не говорю, т.к. они были частью Windows, а не самостоятельным продуктом (да и они в 2000-м прекратили разрабатываться). Нормативные документы регуляторов не сильно поменялись (небольшие правки я не беру в расчет). Отношение регуляторов к вопросам лицензирования и сертификации... ну не мне рассказывать. Что поменялось? Интерфейс продуктов. Тут изменения налицо - была псевдографика MS DOS, а стала нормальная графика Windows. Дизайн "железячных" продуктов изменился. Ну и рекламные листовки тоже претерпели сильные изменения. Вот только сами продукты такого разительного скачка не сделали.

ЗЫ. Иногда приходит в голову мысль, что зря в ВУЗах не преподают историю российского рынка информационной безопасности. Она многому может научить будущих выпускников.

Подробнее…