четверг, 30 августа 2012 г.

Вот вам и ФИПС

Сегодня случайно столкнулся с автоматизированной системой безбумажного делопроизводства экспертизы изобретений (система удаленной подачи заявок на изобретения) Федерального Института Промышленной Собственности и сильно удивился. Ребята взяли и развернули все на CheckPoint. В том числе сделали VPN SSL портал с ГОСТ-шифрованием. То, что CheckPoint реализовал у себя поддержку ГОСТ-шифрования через интеграцию с КриптоПро CSP уже давно не секрет, но их позиция была принципиальной в нежелании (или отсутствии возможности) проходить сертификацию в ФСБ. В своих презентациях они писали, что данную процедуру с их продуктами проходить не нужно. Не знаю, насколько они правы. Сейчас это один из камней преткновения, воюют все: регуляторы с вендорами, вендоры с покупателями и т.д. и т.п. Моя личная позиция в этом плане была "от греха подальше пользовать только сертифицированные СКЗИ для гос.заказчика". Да и как-то не слышал я, про реальные проекты, где бы использовали ГОСТ-VPN на CheckPoint. И вот пожалуйте. Уж не знаю, как они протащили такой проект, но система уже реально работает. Заявки на изобретение - это коммерческая тайна и с одной стороны владелец информации вправе сам устанавливать для неё меры по защите, но здесь речь идет в том числе и о государственных организациях, а значит необходимо использовать:
1) сертифицированные СКЗИ (в том числе сертифицированные VPN);
2) и/или ПО, прошедшее оценку влияния в случае взаимодействия прикладного ПО с СКЗИ.
В случае VPN SSL ещё можно попытаться перед регулятором уйти от сертификации к оценке влияния. В процессе обсуждения с одним из вендоров аргументы, которые мне привели на этот счет, технически мне показались обоснованными. Для установления ясности даже пришлось послать запрос в ФСБ по этому вопросу, но никакого ответа я к сожалению не получил, так что остается неясность. Как бы то ни было, про успешное выполнение ни первого, ни второго варианта относительно продуктов CheckPoint я не слышал. Но факт остается фактом.
Вот ссылочка на посмотреть ФИПС ))

2 комментария:

  1. 1. а куда именно было написано письмо ?
    дошло оно до входящего ? и вообще как ?
    если есть номер входящей можно и поискать.
    2. чекпоинт нагло врет , они никогда не подавали документы на сертификацию какую то ни было.

    ОтветитьУдалить
    Ответы
    1. Письмо я посылал 18 июля на электронную почту fsb@fsb.ru с пометкой, что оно для представителей 8 центра. Так что входящего/исходящего к сожалению нет.
      Текстовка сохранилась, если вы знаете другие варианты достучаться, я бы перепослал запрос. На одном форуме была жаркая дискуссия с одним из вендоров по этому поводу, поэтому многие ждут ответа от регулятора на этот запрос.

      Удалить