Google сама себя сертифицировала по госнормативам ИБ США

Google сама себя сертифицировала по госнормативам ИБ США

На днях в ходе судебных разбирательств, в которые вовлечены американское правительство, корпорация Microsoft и Google, выяснилась странная вещь: поисковый гигант утверждал, будто его "облачный" программный пакет Google Apps for Government сертифицирован на соответствие федеральному акту об организации защиты информации, не имея на то никаких достоверных оснований.


Тяжба началась еще в прошлом году, когда Google подала иск в защиту свободной конкуренции против государства - за то, что американское МВД выбрало систему делегированных вычислений от Microsoft для построения своей новой электропочтовой службы. При этом юристы истца особо подчеркивали, что "облачное" решение Google имеет сертификат соответствия требованиям акта FISMA (Federal Information Security Management Act), которым продукт редмондской корпорации не располагает.

FISMA-сертификация - это серьезный козырь. В этом акте рассмотрены основные вопросы обеспечения надлежащей безопасности данных для государственных ведомств США, и вполне естественно, что отвечающий его стандартам продукт более предпочтителен для такого учреждения, как министерство внутренних дел. В силу этого претензии Google казались вполне обоснованными.

Однако вчера представитель Microsoft Дэвид Говард сообщил в корпоративном блоге компании, что проводимые министерством юстиции США проверки выявили загадочный факт: у решения Google Apps for Government... не оказалось сертификата соответствия FISMA. Это весьма удивительно, тем более что на странице с описанием данного "облачного" продукта Google и по сей день утверждает обратное.

В итоге выяснилось, что сертификат у поискового гиганта все-таки был, но на другой вариант программного пакета - Google Apps Premier; в свою очередь, версия for Government, как объяснили представители истца, является лишь его усовершенствованной и усиленной модификацией. Иными словами, в Google решили, что если продукт Premier прошел проверку на соответствие FISMA, то основанный на нем и более надежный выпуск for Government автоматически будет считаться отвечающим требованиям федерального акта.

Таким образом, компания де-факто сама сертифицировала свое решение, не советуясь с компетентными контрольно-надзорными органами и полагаясь не на существующие нормы и правила, а лишь на свое умозрительное представление о том, какими они могут быть. Чиновники, однако, объяснили представителям Google, что сознание не определяет бытие, и в объективной реальности проверку на соответствие FISMA нужно проходить заново, если сертифицированный продукт был подвергнут модификациям.

Теперь поисковый гигант, конечно, представит необходимые документы по правилам, и вполне вероятно, что решение Google Apps for Government получит свое FISMA-удостоверение. Однако, к сожалению, компания выставила себя не в самом благоприятном свете, использовав в промо-материалах и даже в судебно-исковых заявлениях фактически ложную информацию, основанную на домыслах. Складывается впечатление, что руководство Google рассматривает свою деятельность скорее как игру, нежели как серьезный бизнес; во всяком случае, некоторые аналитики уже намекают, что компании не мешало бы стать немного "взрослее".  

ZDNet

Письмо автору

" />

ИнфоТеКС представила квантовый генератор случайных чисел ViPNet QRNG

Компания «ИнфоТеКС» сообщила о расширении линейки квантовых криптографических систем ViPNet QCS. В неё вошёл новый продукт — ViPNet QRNG, квантовый генератор случайных чисел. Это устройство создаёт случайные последовательности не за счёт программных алгоритмов и не на базе обычных шумовых процессов, а с опорой на квантовые явления.

Именно это и считается его ключевой особенностью: такая генерация должна быть не псевдослучайной, а физически непредсказуемой.

Подобные последовательности нужны в самых разных задачах. В первую очередь — в криптографии, где случайные числа используются при создании секретных ключей для симметричных и асимметричных алгоритмов. Но область применения этим не ограничивается: такие решения могут использоваться и в исследовательских проектах, и в финансовой сфере, и в некоторых сценариях, связанных с ИИ.

Сам генератор выполнен в формфакторе M.2, то есть его можно встраивать в программно-аппаратные комплексы. По замыслу разработчика, устройство может применяться как альтернатива и программным генераторам случайных чисел, и более привычным аппаратным решениям, которые опираются на шумовые процессы.

В основе работы ViPNet QRNG лежит детектирование квазиоднофотонного излучения светодиода с последующей математической обработкой полученного сигнала. Источником такого излучения выступает полупроводниковый светодиод, работающий в непрерывном режиме. Это, как утверждает компания, позволяет повысить интенсивность поступления фотонов на детектор. При этом сам путь от источника излучения к фотодетектору сделан максимально коротким.

В компании отмечают, что при разработке устройства особое внимание уделялось не только самой генерации случайности, но и вопросам воспроизводимости характеристик и проверяемости качества получаемых последовательностей. Это важный момент: в криптографии мало просто заявить, что числа случайны, — нужно ещё подтвердить, что источник энтропии действительно даёт надёжный результат.

По словам представителей «ИнфоТеКС», новый генератор уже используется в некоторых продуктах ViPNet. Также предполагается, что его можно будет интегрировать и в решения других производителей СКЗИ.

RSS: Новости на портале Anti-Malware.ru