Конструктивное предложение по преобразованию РКА в СРО: считать, что в РКА могут находиться только те производители (юрлица), которые для своих криптомодулей: -- публикуют исходные тексты;
-- обеспечивают перед продажей криптомодулей их двухмесячную публичную экспозицию;
-- не ссылаются на лицензию ФАПСИ как гарантию надежности для своих продуктов;
-- используют ключи не короче 256бит; А если не соблюдают эти правила, то из РКА их выгоняют. С другой стороны, они имеют право публично хвастаться своим присутствием в РКА, а РКА создает специальный комитет по систематической проверке выполнения своими членами этих простых правил.
Комментарии (5)
-
Место РКА в саморегулировании криптоотрасли
Даже если не принимать во внимание то, что юрлица не могут являться членами РКА, объединяющую только физических лиц, предложенные требования мне видятся не обоснованными.
используют ключи не короче 256бит. А почему именно 256 бит, а не 128 или 512? Принимая во внимание современные средства криптоанализа и вычислительной техники можно сказать, что хорошие алгоритмы с такой длиной ключа принципиально не различаются по стойкости. Imho цифра 256 появилась из-за разного рода спекуляций относительно крутости алгоритма ГОСТ 28147.
публикуют исходные тексты. Никто не станет возражать против публикации исходных текстов. И все же исходники это не сама цель, а средство верификации программы. Цель же заключается именно в верифицируемости. Например, пару килобайт кода состоящего из команд процессора Intel x86 верифицировать существенно легче, чем мегабайт запутанных С-шных исходников. Кроме того, изучение исходников дело, безусловно, полезное, но хлопотное и дорогостоящее. Насколько мне известно, платить за анализ исходников никто не собирается, а заниматься этим ради интереса, возможно, кто-то и будет, но совсем в небольших объемах.
обеспечивают перед продажей криптомодулей их двухмесячную экспозицию. Отечественные программные реализации крипто хорошо продавались лет пять назад. Затем их цена стабилизировалась на $25 за штуку. Сегодня вообще опустила до $5. Буржуйские программы шифрования и цифровой подписи уже давно распространяются бесплатно. Дольше всех, вероятно, продержалась RSA Security, но и она сейчас предлагает BSAFE-овские компоненты бесплатно. Продавать программы общего назначение, такие как средства шифрования соединений, средства сетевой аутентификации, программы шифрования и цифровой подписи сообщений электронной почты, вообще, какой-то архаичный вид бизнеса. Это все равно, что мыть золото на давно выработанном прииске. Но мы то с вами понимаем, что никакого золота в Альпах нет, и что действительно необходимо, так это искать новые виды услуг, основанных на криптографии.
Не надо держать пользователей за идиотов. Пользователь всегда хорошо осознает за что именно он платит: за сертификат, за лейбл известной фирмы, за совместимость с существующей информационной системой (или непрофессионализм тех кто в свое время не подумал о защите инвестиций и с потрохами отдался разработчику конкретной системы), за адаптацию модулей к своим потребностям и т.д. За предварительную экспозицию никто платить не станет. По крайней мере, если во время этой экспозиции не было каких-либо реальных действий. Мне всегда нравилась любимая фраза разработчиков "А мы предоставляем исходники нашим клиентам по их запросу". Ну и что с того. Может быть такие клиенты эти исходники просто положили на полку "про запас".
Похоже, что РКА действительно может стать криптологическим Гринпис-ом, будет торговать цифровыми майками и кепками, а на вырученные средства поддерживать вымирающие алгоритмы. Хотя это тоже кое-что. Я готов отдать этак $25-30 за годовой сертификат X509 заверенный РКА. Вещь в хозяйстве полезная. Я вам по секрету скажу, что из мой опыт свидетельствует о том, что настоящие криптографы никогда не шифрую свою почту, они архивируют ее winzip-ом с паролем. А так можно хоть с коллегами будет нормально переписываться.
-
Место РКА в саморегулировании криптоотрасли
ОК -- готов изменить требование длины ключа 256бит на любую другую цифру (512? 1024? 2048?). Требование двухмесячной экспозиции перед продажей на двухмесячную экспозицию с призовым фондом $10 000 и последующей бесплатной раздачей. Другое дело, что отдельно -- Foundation, отдельно -- СРО. Фонд, безусловно, может быть направлен на защиту от вымирания отечественного крипто путем его пропаганды. А вот СРО могло бы помочь в невымирании отечественного крипто путем повышения его конкурентоспособности с западными продуктами, устанавливая соответствующие стандарты. Но можно, конечно, обойтись и без СРО вообще. Обходились же раньше :)
-
Место РКА в саморегулировании криптоотрасли
Действительно, дело не в количестве бит. Нестойкое крипто это вообще американское изобретение. Кстати, на мой взгляд, вполне эффективное изобретение для сдерживания технологий обеспечения конфиденциальности. Конечно же, и в нашей стране использовались и вероятно используются шифры, которые можно дешифровать, но происходит это по сугубо техническим причинам. А какое количество бит должен содержать ключ " вопрос не простой. Шифровать 40 битным ключом лучше, чем не шифровать информацию вообще (В январе 1997 года взломать такой шифр стоило все же более чем 3х часов работы 250 компьютеров). Шифровать ключом 56 бит лучше, чем ключом 40, а шифровать ключом 64 бита, вообще очень не плохо. Граница, разделяющая длину ключа для вскрываемых шифров и шифров, допускающих только теоретическое дешифрование, постоянно растет, но в ближайшие несколько лет для распространенных и признаваемых хорошими алгоритмов, она, безусловно, не достигнет 128 бит. Вопрос о дизайне шифров тоже важен. И это не менее серьезная проблема, чем длина ключа.
-
Место РКА в саморегулировании криптоотрасли
Ага -- такая длинная реплика как раз показывает, что проблема с нестойким крипто и длиной ключа не является совсем уж надуманной. Вот и можно было бы создать СРО -- "Клуб производителей стойкого крипто". Может быть, не вместо РКА, а вместе с РКА. Смысл СРО -- это те конторы, которые обязуются присматривать друг за другом на предмет поддержания общей высокой планки в обслуживании потребителей. Скажем, приглядывать за тем, чтобы у них крипто было действительно сильным, определить внутри СРО параметры того, что является действительно сильным крипто, и принимать только тех, у кого крипто сильное по этим параметрам. И член этой СРО будет иметь право говорить потребителям "У меня действительно сильное крипто, меня коллеги-конкуренты проверяют на предмет этой силы..."
-
Место РКА в саморегулировании криптоотрасли
Проблема нестойкого действительно существует. Но это не проблема отечественных производителей. Скорее наоборот. Пока Microsoft с Netscape-ом предлагают нестойкое крипто у отечественного производителя программ шифрования и цифровой подписи есть рынок сбыта. Когда экспортные ограничения отменят, этот рынок, скорее всего, неимоверно сузится. И тогда проблема будет как раз с стойким крипто. По-моему, именно эту проблему надо сегодня рассматривать. Куда смогут приложить свои таланты и навыки отечественные криптографы при таком развитии событий? Надо ли работать с международными алгоритмами или надеяться, что федеральное агентство и другие органы власти вдруг начнут выполнять 334 указ и остановят ввоз импортных решений? Имеет ли смысл заниматься разработкой программ или более целесообразно уйти на вторичный рынок? Как сделать из крипто востребованную услугу? Прелесть ситуации заключается в том, что множество бизнесов морально готовы работать в Internet. Они даже уже умеют делать Web-приложения, а не только информационные сайты и единственное чего им действительно не хватает, так это нормальных средств защиты информации. Так вот, каждый криптолог сегодня стоит перед выбором. Либо он сумеет совместно с другими специалистами предоставить нужные и качественные услуги на открывающемся рынке, не важно какие конкретно, это может быть как серьезные теоретические исследования, так и элементарная работа с конечным пользователем, либо он останется сидеть в своей башне из слоновой кости. По этому поводу, я не могу удержаться от следующей цитаты из Брюса Шнайера: "Смысл криптографии - в решении проблем. (По сути, в этом состоит и смысл использования компьютеров, о чем многие пытаются забыть.) Криптография решает проблемы секретности, проверки подлинности, целостности и человеческой нечестности. Вы можете выучить все о криптографических алгоритмах и методах, но они представляют только академический интерес, если не используются для решения какой-нибудь проблемы."
|
