Спасёт ли сертификация?

Часто сертификацию средств защиты и шифрования преподносят как средство защиты российских производителей от конкуренции международных компаний. Причем в это верят, похоже, как российские так и международные компании. В частности, недавно Алексей Лукацкий, эксперт компании Cisco, написал в своём блоге пост "]]>Куда дует ветер перемен]]>", где предположил, что скорое принятие закона о поправках в ФЗ-152 имело целью спасти загибающихся российских производителей средств защиты. Давайте попробуем разобраться в этом вопросе.

Сертификация средств защиты уже некоторое время действует в том числе и в рамках ФЗ-152, и из этого процесса можно сделать определенные выводы. В частности, что иностранные производители средств защиты вполне могут пройти процедуру сертификации. За примерами не нужно далеко ходить - несколько производителей средств защиты, такие как Eset, Stonesoft, Trend Micro ну и конечно же Microsoft вполне успешно прошли эту процедуру по требованиям ФСТЭК. И теперь они имеют сильное преимущество над другими иностранными компаниями по сертификации, а над российскими - по функционалу. Некоторые могут заметить, что сертификация в ФСБ более строгая и уж туда-то точно не пустят иностранные компании, однако и это не совсем так. Процедуру сертификации криптоалгоритмов не могут пройти средства криптографической защиты, построенные на иностранных алгоритмах. Если же производитель соглашается использовать российское шифрование, то и такая сертификация вполне может быть получена. Примером этому является сертификация по требованиям ФСБ нескольких продуктов Check Point и модулей для маршрутизаторов Cisco.

Следует отметить, что именно иностранным компаниям проще пройти сертификацию. Дело в том, что она требует определенных финансовых ресурсов, которых у наших компаний и так не много. В то время как иностранные компании подобные ресурсы вполне имеют. Например, компания Intel вполне может покрыть расходы по сертификации из маркетингового бюджета, в то время как, например, для "Крипто Про" расходы на сертификацию могут быть сравнимы с годовым доходом.

К тому же сертификация - это способ продавать устаревшие продукты. Примером может служить продукт Aladdin-RD под названием Secret Disk. Когда выпускалась версия этого продукта с индексом 4.5, то сертифицированный продукт по прежнему был с версией 3, и он на тот момент пользовался спросом. Аналогичто, и маршрутизаторы компании Cisco (именно они чаще всего встречаются в базе сертифицированных продуктов) также сертифицируются не последних версий. Это можно понять - процедура длиться какое-то время, но зато потом может продаваться достаточно долго. То есть сертификация может служить определенной гарантией того, что данная версия продукта будет ещё долго востребована и её можно производить более крупной партией, то есть дешевле.

В результате, сертификация для иностранных компаний - это способ продавать больше на российском рынке причём не самых свежих продуктов. И это называется защита российского производителя?

Теперь немного конспиралогии - для чего же на самом деле ФСБ так упортно тянет сертификацию в ФЗ-152? Ответ, что для защиты российского рынка - критики не выдерживает. Тогда зачем? Есть мнение, что российские спецслужбы умеют раскрывать данные, зашифрованные ГОСТом. Связано это с теорией шифрования с лазейкой, которая предполагает такое формирование блока перестановок, которое достаточно сильно упрощает раскрытие шифра. В то же время в процедуре сертификации блок перестановок (так называемый долговременный ключ) формируется сотрудниками спецслужб, что наводит на мысль... Таким образом, требуя внедрения сертифицированных средств шифрования ФСБ просто хочет исполнять свою функцию - знать всё про граждан своей страны. Беда только в том, что как раз основные утечки персональных данных, похоже, инициированы как раз ФСБ, но кто их проверит на соблюдение требований ФЗ-152?

Очевидно одно - причины, по которым поправки к закону приняли в такой спешке могут быть и не очевидны для простых пользователей и даже специалистов. Чего же на самом деле добились спецслужбы покажет время.

Tweet