С оригиналом статьи Вы можете ознакомиться на сайте: https:/neg.by/
Велик соблазн применить открытые исходные коды шифрования, ведь они зачастую бесплатны и, следовательно, могут удешевить разработки, предназначенные для защиты информации. Приемлемы ли такие продукты для белорусского рынка – разбираемся вместе с Александром Сапрыкиным, директором компании «С-Терра Бел», специализирующейся на сетевых решениях безопасности.
В последние годы появились и стали распространяться так называемые опенсорсные средства криптографической защиты информации (СКЗИ). Такие средства шифрования можно свободно скачать с европейских и американских интернет-сайтов – они предлагаются в исходных кодах со стандартной общественной лицензией GNU GPL (GPL), надо лишь встроить белорусскую криптобиблиотеку и сертифицировать. Библиотека по объему составляет примерно 2% от ПО, остальные 98% скачиваются. На базе ПО strongSwan создан «белорусский» БАС, на базе OpenVPN – ItVPN. По такому варианту создавать новые СКЗИ очень легко. И в этой легкости первая опасность – делать собственные продукты становится невыгодным и даже бессмысленным: объемы разработок несопоставимы, а по уровню защиты и свои, и «иностранные» у нас поставлены на один уровень.
Отмечу, что опенсорсные СКЗИ – это не обычное ПО с открытыми кодами. Средства шифрования во всем мире относят к товарам двойного назначения. В отношении их ввоза/вывоза действуют жесткие национальные разрешительные системы. А тут мы видим, что СКЗИ предлагается свободно, бесплатно и всем желающим. При этом проверить скачиваемое ПО (около миллиона строк исходных кодов), созданное неизвестными разработчиками, невозможно. Не секрет, что в наше время техническими спецслужбами осуществляется тотальный контроль за информационными потоками – прослушивание, мониторинг, взломы и проникновения стали повседневностью. Поэтому я разделяю мнение экспертов международной конференции «Инфофорум-Евразия» (страны ШОС, БРИКС, ОДКБ), в оргкомитет которой вхожу, о том, что в опенсорсных СКЗИ (ПО) с высокой вероятностью имеются закладки, позволяющие получить доступ к защищаемой информации и/или блокировать работу шифраторов.
В этом контексте показателен скандал с самой известной в мире криптографии швейцарской фирмой «Крипто АГ», когда опубликованные секретные материалы бывшим спецагентом ЦРУ и АНБ Эдвардом Сноуденом открыли миру, что ее тайным владельцем на протяжении 50 лет являлось ЦРУ, которое под многочисленные публикации о самых надежных швейцарских шифраторах поставляло эти изделия и через них контролировало переписку более чем в 120 странах.
Технологии дистанционного вмешательства развиваются, становятся все изощреннее. На слуху конфликт с ремонтом и возвращением в РФ турбины Siemens для «Северного потока 1». Газпром требует гарантий в том, что турбина не под санкциями и что британская дочка Siemens не отключит ее впоследствии дистанционно. А этих гарантий ему пока не дают. Риск того, что турбина может быть отключена, реален, аналогичный случай в «Газпроме» уже был – тогда оборудование на его месторождении было отключено дистанционно.
Есть у опенсорсных продуктов, а они у нас основные конкуренты, и другие недостатки: поскольку код ПО общедоступен, то все могут искать и находить в нем уязвимости, которые часто публикуют, но как быть с теми, которые не публикуются? Или с теми, которые длительное время не закрываются патчами по безопасности? И как быть с лицензией GPL, ведь это свободно распространяемые продукты, их коммерческое использование проблематично (допустимо только сервисное обслуживание, но не продажи).
В той же России, столкнувшейся с реальной кибервойной, опенсорсным СКЗИ поставлен надежный заслон. Средства защиты информации (СЗИ) в этой стране можно использовать только из реестра отечественного ПО, сам процесс разработки СКЗИ происходит под контролем регуляторов, неграждан РФ привлекать запрещено, повсеместно присутствует нацеленность на импортозамещение и собственные разработки. Вероятно, и нам следует идти таким же путем.
От «госов» до «физиков»
Беларусь – одна из немногих стран Восточной Европы, которая имеет и развивает собственные средства криптографической защиты информации (шифрования). В республике есть научная школа криптографии, разработаны криптографические стандарты и ТНПА, создана Национальная система соответствия, в рамках которой работают механизмы сертификации и аттестации. Развитие продуктов по защите данных становится одним из элементов национальной безопасности страны, которая входит в эпоху цифрового общества.
Развитие защиты данных в Беларуси происходит постепенно и поэтапно. На первом этапе белорусский законодатель сделал защиту информации обязательной для госорганов и организаций. Второй этап начался со вступления в силу Закона от 07.05.2021 № 99-З «О защите персональных данных». Под действие Закона попали не только крупные игроки вроде телекоммуникационных компаний, банков и страховых организаций, но и большое количество малых и средних организаций, которые аккумулируют данные о физлицах.
В дальнейшем следует ожидать вовлечение в сферу защиты персональных данных все большего числа организаций, а также непосредственно граждан (физлиц) – по мере развития и встраивания средств защиты в популярные программные приложения, расширения оказываемых услуг, цифровизации общества в целом. Принцип «Купляйце беларускае» может стать актуален и в этой сфере. Потребуется осмысление людьми ценности своих личных данных, доверие к отечественным средствам защиты, а также серьезное их удешевление за счет массовости использования.
Защищает ли Телеграм?
Сомнения в этом, как и в отношении других мессенджеров, небезосновательно испытывают многие. Вероятно, Телеграм защищает, но как и от кого – останется вопросом, сколько бы по этому поводу ни делалось заявлений. Доступ к чужой информации стал, пожалуй, слишком ценным ресурсом. А бизнес владельцев мессенджеров весьма уязвим и, предположу, напрямую зависит от их договороспособности. Поэтому любые мессенджеры в этом плане гарантий по защите информации в реальности дать не могут.
Чтобы не быть зависимыми, чтобы внутренние информационные системы не стали объектом мониторинга, контроля и воздействия извне, страны развивают собственные средства защиты информации (шифрования). На этих кирпичиках СЗИ строится информационная безопасность и суверенитет цифрового (электронного) государства. Слово «сертифицированные» как раз и означает, что СЗИ проверены по собственным методикам испытаний в Национальной системе соответствия. Все остальные – непроверенные, за их надежность и безопасность белорусское государство поручиться не может.
Возможно, когда-то появится и белорусский Телеграм (вспомните о разработанном у нас Viber) на сертифицированных в республике средствах защиты информации.
А сейчас белорусские СЗИ, в т.ч. криптографические, используются в информационных системах для защиты как служебной информации, так и персональных данных – там, где это требуется согласно нашему законодательству.
Что в портфеле «С-Терра Бел»?
Созданные компанией «С-Терра Бел» программные и программно-аппаратные средства СКЗИ под брендом Bel VPN используются в территориально распределенных межведомственных, ведомственных и корпоративных IP-сетях для защиты межсетевого трафика, ЦОДов, СХД, коммуникаций к облачным хранилищам, спутниковой связи, IP-телефонии, платежных систем, доступа и защиты программных приложений для удаленных рабочих мест (компьютеров, планшетов, смартфонов) и других задач.
Говоря о продукции «С-Терра Бел», следует отметить две главные особенности. Первая – это белорусские СКЗИ, сертифицированные в Беларуси и предназначенные для использования внутри страны. Вторая – это продукты собственной разработки.
За 14 лет работы на рынке создано четыре линейки Bel VPN продуктов, поставлено в общей сложности свыше 15 тыс. средств криптографической защиты информации в более чем 600 организаций – министерств, ведомств, учреждений и компаний.
Сейчас в функционально полной Bel VPN линейке семь продуктов, в т.ч. три клиента безопасности под различные ОС. Производительность шифрования данных с использованием Bel VPN продуктов измеряется гигабитами в секунду, максимальное значение в настоящее время для наиболее производительных моделей шлюзов достигает 15 Гб/с.
Выпускаемые компанией «С-Терра Бел» Bel VPN продукты могут защищать трафик любых приложений на компьютере, планшете или смартфоне (почта, видеоконференцсвязь, IP-телефония, защищенный терминальный доступ к ресурсам и т.п.). Возможен и удаленный доступ к информационным ресурсам с рабочего места, защищенного клиентом.
В последнее время заметно вырос сервис по защите коммуникаций клиентов со стороны «облачников» – телекоммуникационных операторов, государственных учреждений, оказывающих услуги юридическим и физическим лицам. Комплексные решения для виртуальных сред также есть в портфеле нашей компании.
По итогам конкурса «Знатный Талер. Hi-Tech – 2022», совместно проводимого бизнес-союзами и «Экономической газетой», компании «С-Терра Бел» присвоено звание «Лучший поставщик решений кибербезопасности и защиты информации».
Больше информации о республиканском конкурсе «Знатный Талер. Hi-Tech – 2022» Вы можете узнать при переходе по ссылке: https://neg.by/novosti/otkrytj/biznes-soyuzy-nazvali-pobediteley-respublikanskogo-biznes-konkursa-znatnyy-taler-hi-tech-2022/
Больше информации о Bel VPN продуктах Вы можете узнать на интернет-сайте компании: www.s-terra.by