Риск «слить» данные. Есть ли смысл использовать опенсорсные решения при защите каналов связи?

Велик соблазн применить открытые исходные коды шифрования, ведь они зачастую бесплатны и, следовательно, могут удешевить разработки, предназначенные для защиты информации. Приемлемы ли такие продукты для белорусского рынка – разбираемся вместе с Александром Сапрыкиным, директором компании «С-Терра Бел», специализирующейся на сетевых решениях безопасности.

В последние годы появились и стали распространяться так называемые опенсорсные средства криптографической защиты информации (СКЗИ). Такие средства шифрования можно свободно скачать с европейских и американских интернет-сайтов – они предлагаются в исходных кодах со стандартной общественной лицензией GNU GPL (GPL), надо лишь встроить белорусскую криптобиблиотеку и сертифицировать. Библиотека по объему составляет примерно 2% от ПО, остальные 98% скачиваются. На базе ПО strongSwan создан «белорусский» БАС, на базе OpenVPN – ItVPN. По такому варианту создавать новые СКЗИ очень легко. И в этой легкости первая опасность – делать собственные продукты становится невыгодным и даже бессмысленным: объемы разработок несопоставимы, а по уровню защиты и свои, и «иностранные» у нас поставлены на один уровень.

Отмечу, что опенсорсные СКЗИ – это не обычное ПО с открытыми кодами. Средства шифрования во всем мире относят к товарам двойного назначения. В отношении их ввоза/вывоза действуют жесткие национальные разрешительные системы. А тут мы видим, что СКЗИ предлагается свободно, бесплатно и всем желающим. При этом проверить скачиваемое ПО (около миллиона строк исходных кодов), созданное неизвестными разработчиками, невозможно. Не секрет, что в наше время техническими спецслужбами осуществляется тотальный контроль за информационными потоками – прослушивание, мониторинг, взломы и проникновения стали повседневностью. Поэтому я разделяю мнение экспертов международной конференции «Инфофорум-Евразия» (страны ШОС, БРИКС, ОДКБ), в оргкомитет которой вхожу, о том, что в опенсорсных СКЗИ (ПО) с высокой вероятностью имеются закладки, позволяющие получить доступ к защищаемой информации и/или блокировать работу шифраторов.

В этом контексте показателен скандал с самой известной в мире криптографии швейцарской фирмой «Крипто АГ», когда опубликованные секретные материалы бывшим спецагентом ЦРУ и АНБ Эдвардом Сноуденом открыли миру, что ее тайным владельцем на протяжении 50 лет являлось ЦРУ, которое под многочисленные публикации о самых надежных швейцарских шифраторах поставляло эти изделия и через них контролировало переписку более чем в 120 странах.

Технологии дистанционного вмешательства развиваются, становятся все изощреннее. На слуху конфликт с ремонтом и возвращением в РФ турбины Siemens для «Северного потока 1». Газпром требует гарантий в том, что турбина не под санкциями и что британская дочка Siemens не отключит ее впоследствии дистанционно. А этих гарантий ему пока не дают. Риск того, что турбина может быть отключена, реален, аналогичный случай в «Газпроме» уже был – тогда оборудование на его месторождении было отключено дистанционно.

Есть у опенсорсных продуктов, а они у нас основные конкуренты, и другие недостатки: поскольку код ПО общедоступен, то все могут искать и находить в нем уязвимости, которые часто публикуют, но как быть с теми, которые не публикуются? Или с теми, которые длительное время не закрываются патчами по безопасности? И как быть с лицензией GPL, ведь это свободно распространяемые продукты, их коммерческое использование проблематично (допустимо только сервисное обслуживание, но не продажи).

В той же России, столкнувшейся с реальной кибервойной, опенсорсным СКЗИ поставлен надежный заслон. Средства защиты информации (СЗИ) в этой стране можно использовать только из реестра отечественного ПО, сам процесс разработки СКЗИ происходит под контролем регуляторов, неграждан РФ привлекать запрещено, повсеместно присутствует нацеленность на импортозамещение и собственные разработки. Вероятно, и нам следует идти таким же путем.

От «госов» до «физиков»

Беларусь – одна из немногих стран Восточной Европы, которая имеет и развивает собственные средства криптографической защиты информации (шифрования). В республике есть научная школа криптографии, разработаны криптографические стандарты и ТНПА, создана Национальная система соответствия, в рамках которой работают механизмы сертификации и аттестации. Развитие продуктов по защите данных становится одним из элементов национальной безопасности страны, которая входит в эпоху цифрового общества.

Развитие защиты данных в Беларуси происходит постепенно и поэтапно. На первом этапе белорусский законодатель сделал защиту информации обязательной для госорганов и организаций. Второй этап начался со вступления в силу Закона от 07.05.2021 № 99-З «О защите персональных данных». Под действие Закона попали не только крупные игроки вроде телекоммуникационных компаний, банков и страховых организаций, но и большое количество малых и средних организаций, которые аккумулируют данные о физлицах.

В дальнейшем следует ожидать вовлечение в сферу защиты персональных данных все большего числа организаций, а также непосредственно граждан (физлиц) – по мере развития и встраивания средств защиты в популярные программные приложения, расширения оказываемых услуг, цифровизации общества в целом. Принцип «Купляйце беларускае» может стать актуален и в этой сфере. Потребуется осмысление людьми ценности своих личных данных, доверие к отечественным средствам защиты, а также серьезное их удешевление за счет массовости использования.

Защищает ли Телеграм?

Сомнения в этом, как и в отношении других мессенджеров, небезосновательно испытывают многие. Вероятно, Телеграм защищает, но как и от кого – останется вопросом, сколько бы по этому поводу ни делалось заявлений. Доступ к чужой информации стал, пожалуй, слишком ценным ресурсом. А бизнес владельцев мессенджеров весьма уязвим и, предположу, напрямую зависит от их договороспособности. Поэтому любые мессенджеры в этом плане гарантий по защите информации в реальности дать не могут.

Чтобы не быть зависимыми, чтобы внутренние информационные системы не стали объектом мониторинга, контроля и воздействия извне, страны развивают собственные средства защиты информации (шифрования). На этих кирпичиках СЗИ строится информационная безопасность и суверенитет цифрового (электронного) государства. Слово «сертифицированные» как раз и означает, что СЗИ проверены по собственным методикам испытаний в Национальной системе соответствия. Все остальные – непроверенные, за их надежность и безопасность белорусское государство поручиться не может.

Возможно, когда-то появится и белорусский Телеграм (вспомните о разработанном у нас Viber) на сертифицированных в республике средствах защиты информации.

А сейчас белорусские СЗИ, в т.ч. криптографические, используются в информационных системах для защиты как служебной информации, так и персональных данных – там, где это требуется согласно нашему законодательству.

Что в портфеле «С-Терра Бел»?

Созданные компанией «С-Терра Бел» программные и программно-аппаратные средства СКЗИ под брендом Bel VPN используются в территориально распределенных межведомственных, ведомственных и корпоративных IP-сетях для защиты межсетевого трафика, ЦОДов, СХД, коммуникаций к облачным хранилищам, спутниковой связи, IP-телефонии, платежных систем, доступа и защиты программных приложений для удаленных рабочих мест (компьютеров, планшетов, смартфонов) и других задач.

Говоря о продукции «С-Терра Бел», следует отметить две главные особенности. Первая – это белорусские СКЗИ, сертифицированные в Беларуси и предназначенные для использования внутри страны. Вторая – это продукты собственной разработки.

За 14 лет работы на рынке создано четыре линейки Bel VPN продуктов, поставлено в общей сложности свыше 15 тыс. средств криптографической защиты информации в более чем 600 организаций – министерств, ведомств, учреждений и компаний.

Сейчас в функционально полной Bel VPN линейке семь продуктов, в т.ч. три клиента безопасности под различные ОС. Производительность шифрования данных с использованием Bel VPN продуктов измеряется гигабитами в секунду, максимальное значение в настоящее время для наиболее производительных моделей шлюзов достигает 15 Гб/с.

Выпускаемые компанией «С-Терра Бел» Bel VPN продукты могут защищать трафик любых приложений на компьютере, планшете или смартфоне (почта, видеоконференцсвязь, IP-телефония, защищенный терминальный доступ к ресурсам и т.п.). Возможен и удаленный доступ к информационным ресурсам с рабочего места, защищенного клиентом.

В последнее время заметно вырос сервис по защите коммуникаций клиентов со стороны «облачников» – телекоммуникационных операторов, государственных учреждений, оказывающих услуги юридическим и физическим лицам. Комплексные решения для виртуальных сред также есть в портфеле нашей компании.

По итогам конкурса «Знатный Талер. Hi-Tech – 2022», совместно проводимого бизнес-союзами и «Экономической газетой», компании «С-Терра Бел» присвоено звание «Лучший поставщик решений кибербезопасности и защиты информации».

*на правах рекламы