3-qism. Axborot resurslarini himoya qilish texnologiyalari

11.3.4. VPN va qonuniy talablar

Hozirga qadar faqat G'arb ishlab chiqaruvchilarining mahsulotlariga asoslangan korporativ VPN-larni qurishning turli xil variantlari ko'rib chiqilgan, chunki, afsuski, Rossiyada tarmoq operatsion tizimlari va routerlari shunchaki ishlab chiqarilmagan va VPN funktsiyalari bilan IE yaqinda paydo bo'la boshladi va hali ham iste'molchini texnik echimlarning sifati bilan "xursand qilmaydi". Biroq, barcha texnologik afzalliklari bilan g'arbiy VPN mahsulotlari bitta umumiy kamchilikka ega, bu ba'zi hollarda mavjud bo'lgan barcha afzalliklarni qadrsizlantirishi mumkin. Biz korporativ VPN-ning qurilishi bugungi kunda Rossiya Federatsiyasida mavjud bo'lgan qonun hujjatlari qoidalari bilan bog'liq bo'lishi kerak bo'lgan holatlar haqida gapiramiz. Ushbu mavzu juda muhim, shuning uchun keling, ushbu mavzuga bevosita tegishli bo'lgan Rossiya qonunchiligining asosiy qoidalarini qisqacha bayon qilishga va sharhlashga harakat qilaylik.
Har qanday VPN mahsulotining ajralmas va, ehtimol, asosiy elementlaridan biri bu ma'lumotlarning kriptografik konversiyasini (shifrlashni) amalga oshiradigan vositalar (modullar, apparat qurilmalari va boshqalar) mavjudligi. Dunyoning barcha rivojlangan mamlakatlarida kriptografiyadan foydalanish masalalari davlat tomonidan juda qattiq qonuniy tartibga solinadi. Qoida tariqasida, ushbu tartibga solish kriptografiyani qo'llashning uch tomoniga tegishli:

• 
  axborotni kriptografik himoya qilish vositalarini sertifikatlash (CPI);
  
• 
  tashkilotlar va korxonalarning ishlab chiqarish, tarqatish, ekspluatatsiya qilish va boshqalar bilan bog'liq faoliyatini litsenziyalash.
  
• 
  SCI bo'yicha eksport va import cheklovlari.
  

Bunday tartibga solishning maqsadi juda oddiy: o'z xavfsizligini ta'minlash uchun har qanday davlat kompyuter tarmoqlarida aylanib yuradigan ma'lumotlar ustidan maksimal darajada nazoratni ta'minlashi kerak va bu nafaqat o'z milliy tarmoqlarida va nafaqat o'z ma'lumotlarida.
Shu munosabat bilan AQShning cipi eksporti sohasidagi qonunchiligi ma'lum bir qiziqish uyg'otmoqda, chunki bu jahon bozorida ustun mavqega ega bo'lgan Amerika cipi. Ushbu sohadagi asosiy Qonunchilik akti AQSh Prezidentining "jamiyatda shifrlashni boshqarish to'g'risida" ("ommaviy shifrlashni boshqarish") direktivasi bo'lib, u AQShdan eksport qilinadigan CPI AQShning elektron razvedka organlariga dunyoning istalgan mamlakatidagi kompyuter tarmoqlarida kerakli ma'lumotlarni olishda to'sqinlik qilmasligi kerakligini aniq belgilab beradi. Boshqacha qilib aytganda, ushbu qoidani shunday tushunish mumkinki, agar biron bir CPI AQShdan eksport qilingan bo'lsa, bu ushbu mamlakatning tegishli vakolatli organlari (va, ehtimol, nafaqat bu) ushbu vositani "buzish" qiyin emasligini aniq ko'rsatib turibdi.
Ushbu bayonotning to'g'riligini quyidagi amaliy misol yordamida osongina ko'rsatish mumkin. Ma'lumki, Rossiya bozorida o'rnatilgan cipi (va bularning barchasi, istisnosiz, VPN mahsulotlari) bo'lgan Amerikada ishlab chiqarilgan mahsulotlarning aksariyati 56 bitli kalit uzunligi bilan nosimmetrik des shifrlash kriptoalgoritmiga ega. 5.3-bo'limda ushbu algoritmni "qo'pol kuch" usuli bilan buzish uchun sarflanishi kerak bo'lgan vaqt va moddiy vositalarning taxminiy hisob-kitoblari, ya'ni standart kompyuterlar va ixtisoslashtirilgan kriptanalitik apparatlar yordamida barcha mumkin bo'lgan kalitlarni to'liq takrorlash orqali keltirilgan.
Kalit uzunligi 168 bit bo'lgan TripleDES algoritmiga ega bo'lgan kriptografik himoya vositalarini sotib olish uchun xorijiy kompaniyalar AQSh davlat departamentidan maxsus ruxsat olishlari kerak.
Rossiya qonunchiligida Rossiya federatsiyasi hududida CIPIDAN foydalanishni tartibga solish uchun mo'ljallangan bir qator qonun hujjatlari va tashabbuslar mavjud. Biz korporativ VPN-larni qurish bilan bevosita bog'liq bo'lgan qoidalarni qisqacha ko'rib chiqamiz va ularga izoh berishga harakat qilamiz:

1. 
   Axborotni muhofaza qilish sohasidagi ishlarni (ishlab chiqarish, sotish, ekspluatatsiya qilish va boshqalar) amalga oshirish bilan bog'liq tashkilotlar va korxonalarning faoliyati majburiy litsenziyalanishi kerak. Rossiya federatsiyasi hududida davlat sirini ifodalovchi ma'lumotlarni himoya qilish bo'yicha tashkilotlar va korxonalar faoliyatini litsenziyalash FAPSI va FSB tomonidan amalga oshiriladi. Axborotni himoya qilish va axborotni himoya qilish vositalarini (szi) yaratish bilan bog'liq ishlarni litsenziyalash Davlat texnik komissiyasi va FAPSI tomonidan ularning vakolatlari doirasida amalga oshiriladi.
   
2. 
   Szi va szi sertifikatlarini, shu jumladan import ishlab chiqarishni tashkil etish Rossiya Federatsiyasi Prezidenti huzuridagi Davlat texnik komissiyasi va FAPSIGA yuklatilgan. Shu bilan birga, FAPSI organlari faqat kriptografiya va shifrlash vositalarini (CPI) sertifikatlashlari mumkin. Kriptografiya va shifrlash usullaridan foydalanmaydigan szi sertifikati Rossiya Federatsiyasi Davlat texnik komissiyasi tomonidan tashkil etiladi.
   
3. 
   Szi va szi, shu jumladan chet elda ishlab chiqarilgan, davlat sirini aks ettiruvchi ma'lumotlarni qayta ishlash bilan axborot tizimlarida foydalanish uchun mo'ljallangan, majburiy sertifikatlashtirilishi kerak.
   
4. 
   Davlat tashkilotlari, korxonalar va banklar, shuningdek davlat buyurtmasi bo'yicha ishlaydigan korxonalar va korxonalar va tashkilotlar Rossiya federatsiyasi Markaziy banki bilan o'zaro aloqada bo'lganda, davlat sertifikatiga ega bo'lmagan szi va CIPIDAN foydalanish taqiqlanadi.
   
5. 
   SCI-ni olib kirish va olib chiqishga bojxona organlari tomonidan zarur texnik ekspertiza o'tkazilgandan keyingina FAPSINING tegishli ruxsati asosida ruxsat berilishi mumkin. Bu, birinchi navbatda, shifrlash vositalariga tegishli bo'lishi uchun Rossiya federatsiyasi chegarasini kesib o'tishda szi-ni majburiy texnik ekspertizadan o'tkazishni talab qiladi.
   

Yuqorida aytilganlarning barchasidan biz quyidagi xulosaga kelishimiz mumkin: ba'zi hollarda korporativ VPN dizaynerlari mahalliy VPN mahsulotlarini ishlab chiqaruvchilarga jiddiy e'tibor berishlari kerak.
Bilimsiz odam uchun, bu sohada Rossiya kompaniyalari G'arb mahsulotlari bilan jiddiy raqobatlasha oladigan hech narsa taklif qila olmayotganga o'xshaydi va shuning uchun Qonunchilik yana bir bor "mahalliy ishlab chiqaruvchini qo'llab-quvvatlash"uchun ishlatiladi. Aslida, bu haqiqatdan yiroq. Bugungi kunda rus ishlab chiquvchilari haqiqatan ham OS va routerlarga asoslangan VPN mahsulotlarini taklif qila olmaydilar. Biroq, bugungi kunda o'nlab mahalliy kompaniyalar me va o'z-o'zini rivojlantirishga ixtisoslashgan VPN mahsulotlarini taklif qilmoqdalar. Bundan tashqari, kriptografik algoritmlarni va tegishli dasturiy ta'minotni yaratish sohasida Rossiya, umumiy e'tirofga ko'ra, G'arbning eng rivojlangan mamlakatlari bilan bir qatorda dunyoda etakchi mavqeini saqlab kelmoqda.