20 август 2017
Либертариум Либертариум

1.
> Этому персоналу придется выступать свидетелями в суде (иначе как они
> будут осуществлять свои правозащитные функции) и, соответственно,
> нести ответственность за лжесвидетельство. Вопрос: какая вероятность
> сесть на пару лет приемлема лично для Вас?
Это не абсолютная величина; она зависит от вознаграждения, которое я получаю 
за работу, связанную с таким риском. Риск понести ответственность за 
небрежность (или даже за ошибку), административную, гражданскую или даже 
уголовную, несет и нотариус, и любое лицо, выполняющее частичные нотариальные 
функции (например, клерк банка, заполняющий банковскую карточку, или клерк 
брокерской конторы, заполняющий т.н. "анкету клиента").
Для меня важно, что существует механизм, с помощью которого мы _можем_ 
получить такую оценку: мы просто делаем этот риск фактором, учитываемым при 
заключении контракта. Рынок оценит.
А как оценивать риски в архитектуре с "третьей стороной", "четвертой 
стороной", "ответственным (?) персоналом", я просто не знаю. Долго над этим 
размышлял в связи с "Клиппером", но пока остаюсь при мнении, что метода такой 
оценки просто не существует.
Реальная ситуация, конечно, зависит от судебных системы и процедуры. Вам, 
наверное, известен цикл работ Росса Андерсона, написанный им после того, как 
ему пришлось выступать экспертом по делам о конфликтах, связанных с 
"фантомными проводками" в банкоматных сетях. Вот выводы Андерсона, как мне 
кажется, пожводят нас очень близко к некоей будущей ккриптографической 
парадигме.
У нас все может быть иначе. Если, например, "фапсистские" поправки в Законе 
о платежных картах останутся, клиенты-карточкодержатели останутся практически 
без правовой защиты. А проблемы с "фантомными транзакциями" в банкоматных 
сетях на территории России уже появились, это не абстрактный вопрос. За 
присутствие военных в гражданской сфере, за "секретные" системы "защиты" 
платят конкретные клиенты неконтролируемым увеличением нестрахуемых рисков.
В любом случае, "Девятый принцип Андерсона" достаточно важен для того, чтобы 
я процитировал его в интересах других участников обсуждения, которые могут 
быть не столь начитаны:
"Principle 9: A trusted component or system is one which you can insure."
("Принцип 9: Надежен тот компонент системы, который можно застраховать")
В контексте работы Андерсона "можно застраховать" означает "можно 
количественно оценить риск".
2.
 
> А потом, желающий уйти от санкционированного прослушивания устраивает
> небольшой шторм пакетов.
Посчитайте, сколько стоит это сделать в нужное время на некоей "чужой" паре 
адресов, не теряя самому bandwidth и оставаясь неидентифицируемым. Порвать 
"защищенное" оптоволокно или купить офицера "закрытой" системы, скорее всего, 
будет все же дешевле. И на много порядков дешевле просто стегозащита.
3.
> > Вирусы рекомендуется разводить не на тех машинках, которые используются в
> > конфиденциальной коммуникации, "защита в ОС" сводится к физическому контролю
> > над машинкой (ну, положите ее в карман...), с датчиками случайных чисел,
> 
> Ага с карманой машины с Win?98? да в Internet и при том не разводить
> вирусы.
Win98 вполне умещается в карман (например, в Libretto), хотя Wintel, конечно 
же, не слишком удачная платформа в смысле надежности.
4.
> > вроде бы, разобрались года три назад (посмотрите изящное решение, например,
> > в \libs\pgpcdk\priv\crypto\random в PGPsdk).
> 
> Да, да, у моих знакомых файлы генерации случайных чисел (да и ключей)
> тоже просто лежат на публично доступных диска.
А что мне с исходными текстами делать, слить в /dev/null/ ? ;)
* * *
(По пунктам 2-4 уже пошло мелкое препирательство, а вот пункт 1 мне кажется 
очень важным и хорошей темой для продолжения. Кстати, переводил ли кто 
работы Андерсона и его сотрудников на русский?).
> > Про стоимость. Есть ФАПСИ и МО ПНИЭИ (если буквы не перепутал),
> Анкей да буковки у МО ПНИЭИ не перепутает, конечно перепутает.
:) Но лучше б конкуренты на рынках спорили, честное слово... :)
25.07.1998

Комментарии (3)

  • Архитектура систем криптоаудита СОРМ

    > > Этому персоналу придется выступать свидетелями в суде (иначе как они
    > > будут осуществлять свои правозащитные функции) и, соответственно,
    > > нести ответственность за лжесвидетельство. Вопрос: какая вероятность
    > > сесть на пару лет приемлема лично для Вас?
    > 
    > Это не абсолютная величина; она зависит от вознаграждения, которое я получаю
    > за работу, связанную с таким риском. Риск понести ответственность за
    > небрежность (или даже за ошибку), административную, гражданскую или даже
    > уголовную, несет и нотариус, и любое лицо, выполняющее частичные нотариальные
    > функции (например, клерк банка, заполняющий банковскую карточку, или клерк
    > брокерской конторы, заполняющий т.н. "анкету клиента").
    > 
    > Для меня важно, что существует механизм, с помощью которого мы _можем_
    > получить такую оценку: мы просто делаем этот риск фактором, учитываемым при
    > заключении контракта. Рынок оценит.
    > 
    > А как оценивать риски в архитектуре с "третьей стороной", "четвертой
    > стороной", "ответственным (?) персоналом", я просто не знаю. 
                  ^^^^^^^^^^^^^^^^^^^^^^^^^^^^
    Примечание: под "персоналом с высоким уровнем отвествености" я имел в
    виду, персонал оператора связи (на слэнге: провайдер (provider) или
    поставщик услуг) который будет выступать в суде в качестве свидетеля о
    фактах и содерщании прослушивания, со стороны правохранительных органов,
    клиентов данного оператора связи, как при обвинении клиента в не
    законных действиях, так и при обвинении правохранительных органов в
    превышении полномочий и/или не законном прослушивании.
    Простите, но в предложенной мною схеме у персонала оператора связи в
    каждый момент времени имеется объект (носитель ключа) за который
    отвечает конкретно он. Далее все риски оцениваются тривиально.
    Сменим тему.
    Я не корректно начал рассматривать ситуацию с позицией операторов связи.
    В настоящий момент мне представляется, что схема прелагаемая в качестве
    ТТ их устраивает по юридическим соображениям в значительной большей
    степени, чем по экономическим. В самом деле схема ТТ:
    1. Следователь подает заявку руководителю (готов выступать в суде);
    2. Руководитель либо разрешает прослушивыние и в 24 часовой срок
    получает санкцию судьи, либо сначала получает санкцию судьи и потом
    разрешает (готов выступать в суде);
    3. Технический персонал ПУ включает прослушивание по получении заявки и
    разрешения (готов выступать в суде);
    4. Технический персонал оператора связи может (!) протоколировать
    команды ПУ на прослушивание, но поскольку выступать в суде, по моему
    мнению, не готов (!), то даже этого делать не намерен;
    Как легко видеть правохранительные органы готовы взять на себя всю
    полноту отвественности за совершаемые действия, причем в схеме ТТ
    отвественность нормально распределена, хотя и в рамках одного ведомства.
    Что делается в альтернативной схеме: принятие конечного решения о
    прослушивании и основное протоколирование самого прослушивания
    переносится на пресонал оператора связи. Пользователю, конечно, лучше,
    но захочет ли оператор этой дополнительной работы и отвествености? На
    мой взгляд, ответ отрицательный! При чем, вероятно, правохранительные
    органы с некоторой радостью и облегчением свалят эту отвественность на
    оператора связи, это операторы не захотят ее взять.
    Поэтому сообществу пользователей с начала имеет смысл рассмотреть
    следующий вопрос:
    Как уговорить (заставить) операторов связи взять на себя всю полноту
    отвественности за нарушение тайны переписки своих клиентов?
    Согласно закону о связи эта отвественность возложена на них, но они ею
    легко делятся с правохранительными органами! Поэтому второй вопрос:
    Когда и куда следует подавать иски клиентам по поводу позиции и/или
    действий операторов связи?
    >... 
    > "Principle 9: A trusted component or system is one which you can insure."
    > ("Принцип 9: Надежен тот компонент системы, который можно застраховать")
    Согласно закону о связи, вроде бы, это головная боль операторов связи.
    Это им предлагать и составлять страховой(ые) договора.
    > > А потом, желающий уйти от санкционированного прослушивания устраивает
    > > небольшой шторм пакетов.
    > 
    > Посчитайте, сколько стоит это сделать в нужное время на некоей "чужой" паре
    > адресов, не теряя самому bandwidth и оставаясь неидентифицируемым. 
    См. CERT сейчас и завтра и через год, это почти ничего не стоит!
  • Архитектура систем криптоаудита СОРМ

    Сергей:
    > Примечание: под "персоналом с высоким уровнем отвествености" я имел в
    > виду, персонал оператора связи (на слэнге: провайдер (provider) или
    > поставщик услуг) который будет выступать в суде в качестве свидетеля о
    > фактах и содерщании прослушивания, со стороны правохранительных органов,
    > клиентов данного оператора связи, как при обвинении клиента в не
    > законных действиях, так и при обвинении правохранительных органов в
    > превышении полномочий и/или не законном прослушивании.
    Вроде бы, сам смысл судебной процедуры (в отличие от административных 
    служебных расследований) и заключается в том, что ценность, допустимость в 
    качестве доказательств и т.п. свидетельских показаний определяется в ходе 
    процесса, а не априорно.
    Институт "заранее назначенных свидетелей" сильно подорвал бы ценность 
    собственно судебной процедуры и открыл бы дорогу к массовым злоупотреблениям 
    и фабрикации квазидоказательств.
        Пример: если я предложу Вам купить у меня квартиру, но буду настаивать,
        чтобы сделка была зарегистрированна обязательно предварительно выбранным
        мной нотариусом (а нотариус и есть "профессиональный свидетель"), Вы
        ведь насторожитесь, и, вероятно, откажетесь, не так ли?
        Обычный "протокол" заключается в том, что нотариуса подбирает не та
        сторона, которая предлагает сделку. Само наличие разветвленной сети
        оказывающих такие улуги лиц плюс возможность выбора плюс ненулевая
        вероятность попасться на фальсификации - это уже неплохой институт.
    Возможно, в некоторых топологиях предложенная Вами раскладка и приемлема 
    (спецарбитраж?), но конкретно для уголовного процесса она мне кажется 
    опасной.
    В странах общего права такие штуки не проходят (см. того же Андерсона), и это 
    хороший индикатор их социальной опасности.
    > Простите, но в предложенной мною схеме у персонала оператора связи в
    > каждый момент времени имеется объект (носитель ключа) за который
    > отвечает конкретно он. Далее все риски оцениваются тривиально.
    Кроме риска предварительного сговора, который увеличивается из-за того, что 
    потенциальные участники известны друг другу заранее.
    В любой распределенной системе за целостность и некомпрометацию любого ключа 
    отвечает тоже конкретно его "хозяин". То, что я не разбрасываю носители с 
    копиями своего ключа примерно соответствует тому, что я не имею привычски 
    разбрасывать чистые листы бумаги со своей подписью. Кажется, комплекс таких 
    привычек юристы называют "дееспособностью".
    > Сменим тему.
    Для меня вопрос о сравнительной оценке рисков остается открытым.
    (на вторую половинку я отвечу отдельно, чтобы явно отбить черту).
    
  • Архитектура систем криптоаудита СОРМ

    Еще раз, здравствуйте:
    > Я не корректно начал рассматривать ситуацию с позицией операторов связи.
    > В настоящий момент мне представляется, что схема прелагаемая в качестве
    > ТТ их устраивает по юридическим соображениям в значительной большей
    > степени, чем по экономическим. В самом деле схема ТТ:
    > 
    > 1. Следователь подает заявку руководителю (готов выступать в суде);
    > 2. Руководитель либо разрешает прослушивыние и в 24 часовой срок
    > получает санкцию судьи, либо сначала получает санкцию судьи и потом
    > разрешает (готов выступать в суде);
    > 3. Технический персонал ПУ включает прослушивание по получении заявки и
    > разрешения (готов выступать в суде);
    > 4. Технический персонал оператора связи может (!) протоколировать
    > команды ПУ на прослушивание, но поскольку выступать в суде, по моему
    > мнению, не готов (!), то даже этого делать не намерен;
    > 
    > Как легко видеть правохранительные органы готовы взять на себя всю
    > полноту отвественности ...
    :) Да они-то готовы, только непонятно, как заставить их отвечать, перед кем, 
    и по каким критериям.
    > за совершаемые действия, причем в схеме ТТ
    > отвественность нормально распределена, хотя и в рамках одного ведомства.
    Ну что это за распределение? В лубянском подвале тоже все распределено - один 
    держит, другой бьет, в одиночку боятся. Однако это не делает пытку правовым 
    действием.
    > Что делается в альтернативной схеме: принятие конечного решения о
    > прослушивании и основное протоколирование самого прослушивания
    > переносится на пресонал оператора связи. Пользователю, конечно, лучше,
    > но захочет ли оператор этой дополнительной работы и отвествености? На
    > мой взгляд, ответ отрицательный! 
    Конечно. Если я, в инкриминируемой мне грубой манере, переформулирую это 
    таким образом: оператор рад отдаться гэбистам, но при этом хочет продолжать 
    пользоваться всеми преимуществами законного брака (контракта) с клиентами, я, 
    наверное, не слишком сильно искажу Вашу мысль.
    Прагма за этим понятна: мужья бывают разные, один только за волосы оттаскает, 
    а другой сгоряча и прибить может.
    > Поэтому сообществу пользователей с начала имеет смысл рассмотреть
    > следующий вопрос:
    > 
    > Как уговорить (заставить) операторов связи взять на себя всю полноту
    > отвественности за нарушение тайны переписки своих клиентов?
    > 
    > Согласно закону о связи эта отвественность возложена на них, но они ею
    > легко делятся с правохранительными органами! Поэтому второй вопрос:
    > 
    > Когда и куда следует подавать иски клиентам по поводу позиции и/или
    > действий операторов связи?
    По-моему, это один из наиболее правильных тезисов.
    Я сомневаюсь, что при известной склонности судебной ветви в этой стране 
    ложиться под исполнительную, будет легко продавить это нормальным порядком, 
    через суд. Боюсь, что некий политический процесс все равно придется 
    инициировать.
    С другой стороны, можно попытаться бегом пробежать то расстояние, которое 
    отделяет нас от общедоступности стойкого крипто для аналоговых сигналов. Эта 
    та пятилетка, которую можно выполнить за два-три года.
    > >... 
    > > "Principle 9: A trusted component or system is one which you can insure."
    > > ("Принцип 9: Надежен тот компонент системы, который можно застраховать")
    > 
    > Согласно закону о связи, вроде бы, это головная боль операторов связи.
    > Это им предлагать и составлять страховой(ые) договора.
    Да. Но, на самом деле, это много чья головная боль. Парадигму надо менять, от 
    "навешивания" "средств безопасности" переходить к формулированию 
    криптологических критериев разработки сложных распределенных систем. За что я 
    Андерсона так и люблю :)
    ----
    Side
    > > > А потом, желающий уйти от санкционированного прослушивания устраивает
    > > > небольшой шторм пакетов.
    > > Посчитайте, сколько стоит это сделать в нужное время на некоей "чужой" паре
    > > адресов, не теряя самому bandwidth и оставаясь неидентифицируемым. 
    > См. CERT сейчас и завтра и через год, это почти ничего не стоит!
    CERT, действительно, давно не читал, но остается недоумение: что мне 
    атаковать, чтобы экскоммуницировать местное РУ ФСБ, если у них VPN? Где их 
    физические линии лежат, я знаю, а вот как их туннель отличить от любого 
    другого...
    
liberty@ice.ru Московский Либертариум, 1994-2017