_ RU.UNIX.BSD (2:5077/15.22) _____________________________________ RU.UNIX.BSD _
From : Mr Alex V Eustrop 2:5020/400 12 Dec 98 15:36:14
Subj : сеpтификация FreeBSD
________________________________________________________________________________
From: "Mr Alex V Eustrop" <eustrop@electronics.kiae.ru>
Vladimir Andreyev <Vladimir.Andreyev@p44.f20.n5064.z2.fidonet.org> wrote in
article <3824418481@p44.f20.n5064.z2.ftn>...
>
>
> Dear All.
>
> А использует ли кто-нибyдь FreeBSD в госyдаpственных учреждениях
> типа администpаций и пpочих оpганах yпpавления?
>
> Говоpят, что все пpогpаммы, испyользyемые там, должны пpойти
> сеpтификацию в Гостехкомиссии пpи Комитете по связи и инфоpматике
> Пpавительства РФ, а мне не веpится :)
В идеале - именно так, для любых задач в гос. учреждениях должны
применятся _только_ средства имеющие сертификат Гостехкомиссии при
Президенте РФ (по крайней мере 2 месяцы назад она точно была при
Президенте). Однако в реальности применение таких средств с тебя могут
потребовать только если на твоем объекте информатизации (локальной сети или
отдельно стоящем компьютере) обрабатывается информация составляющая гос.
тайну (с грифом >=`С`).
Ситуация, на данные момент, выглядит след. образом:
1. По закону - при обработка информации составляющей гос. тайну должны
использоваться только сертифицированные средства (ОССУБДПрочие
приложения)
2. Сертифицированные средства практически отсутствуют, или их качество
недостаточно для решения серьезных задач
3. Гостехкомиссия пока смотрит сквозь пальцы на применение не
сертифицированных средств.
4. Однако мучения желающих использовать вычислительную технику для
обработки грифованной информации на этом не заканчиваются.
Вообщем российские правила обработки информации в первом приближении
выглядят след. образом :
Аттестация Объекта информатизации
1. Объект информатизации (ОИ) должен удовлетворять требованиям
Гостехкомиссии
2. Требования варьируются в зависимости от состава информации.
3. Факт того, что условие 1. выполнено подтверждается наличием _аттестата_
на ОИ
4. _Аттестация_ ОИ проводится независимой организацией (или несколькими
организациями) имеющими лицензию Гостехкомиссии, и состоит из следующих
этапов
4.1 Проверка средств вычислительной техники (СВЧ) на отсутствие закладок
~10-30% их стоимости. После такой проверки конфигурация СВЧ должна
оставаться неизменной, т.е. напр : нельзя просто так вставить новую сетевую
карту взамен сгоревшей.
4.2 Проверка каждого рабочего места (комнаты) на отсутствие каналов утечки
информации, установка зашумляющего оборудования (при необходимости)
~$n*e+3. После такой проверки конфигурация рабочего места должна оставаться
неизменной.
4.3 Аттестация персонала
4.4 В некоторых случаях, может быть выдвинуто требование применения
_сертифицированных_ средств защиты информации (СЗИ), т.е. либо самой
ОС/СУБД, либо некоторой надстройки над ней. Практически любая система
имеющая >1 пользователя попадает под это требование
4.5 В некоторых случаях, может быть выдвинуто требование применения
сертифицированных криптографических средств. _Всеми_ видами криптографии (и
только ними) занимается Федеральное Агентство Правительственной Связи
(ФАПСИ). С ФАПСИ работать _очень_ сложно.
4.6 При выполнении всех вышеописанных требований выдается _Аттестат_ на
ОИ, на имя эксплуатирующей организации. _Аттестат_ выдается
Гостехкомиссией, на определенный срок (1-5 лет).
Итого : _Аттестация_ ОИ выливается ~$n*e+4
Сертификация средств защиты информации (СЗИ)
1. СЗИ (а в идеале любое ПО) подлежат _сертификации_ в соответствии с
требованиями Гостехкомиссии по одному из 6 классов (6 самый меньший 1 самый
высший)
2. Класс определяет область применения соотв. ПО, < 4 это несерьезно.
3. Организация заявитель, должна иметь лицензию Гостехкомисси на право
разработки СЗИ
4. _Сертификация_ ОИ проводится независимой организацией (или несколькими
организациями) имеющими лицензию Гостехкомисси. 5. При сертификации ПО
следует исходить из следующего, сертификация - 10-30% стоимости разработки
6. _Сертификат_ выдается Гостехкомиссией, на определенный срок (1-5 лет),
на имя организации- заявителя.
7. Далее сертифицированное ПО можно использовать самому, или передавать
другим организациям (обычно за деньги). Сертифицированное ПО должно
оставаться неизменным в процессе эксплуатации.
Сертификация криптографических средств
1. Организация заявитель, должна иметь лицензию ФАПСИ на право разработки
криптографических средств, обычно все затыкаются на этом.
2. Эксплуатирующая организация, должна иметь лицензию ФАПСИ на
использование СЗИ криптографических средств.
3. что далее я не знаю, с сертифицированными криптографическими средствами
у нас совсем плохо.
Сертифицированные средства
1. Отечественные средства
1.1 существует несколько систем, в основном на базе ДОС и Netware,
разработанных в начале 90х
1.2 Применимость их, особенно во вновь создаваемых системах практически
невозможна (IMHO)
1.3 Существует ОС МСВС (мобильная система вооруженных сил) разработанная
на базе LINUX, имеющая класс 3 (или 2, не помню), утвержденная в качестве
основной для Мин. Обороны.
1.4 О конкретных проектах с применением этой ОС я ничего не слышал, сам ее
не щупал. Специалисты считают ее достаточно сырой, для серьезного
использования.
1.5 Кроме того существуют некоторые проблемы с исполнением условий GPL,
как это решается я не в курсе.
1.6 Существует СУБД Linter, так же имеющая достаточно высокий класс и
функционирующая под рядом UNIX-подобных ОС (в частности МСВС), вообщем не
ORACLE конечно, но все зависит от решаемой задачи.
1.7 Существует также ряд программных и программно-аппаратных комплексов,
дополняющих коммерческие ОС.
1.8 С применением этих комплексов, можно построить, и аттестовать ОИ для
обработки информации до СС включительно, при условии, что Гостехкомиссия
будет смотреть сквозь пальцы на применение не сертифицированных ОС и СУБД.
2. Зарубежные средства, сертифицируемые в соответствии с требованиями
Гостехкомиссии
2.1. Пионером в этой области является компания ORACLE, получившая в 1998
году сертификат по классу 1В на свою СУБД (какой версии не помню)
2.2. Работы по сертификации ОС Solaris, ведет SUN, вроде достигнуто
соглашение по передаче в Гостехкомиссию исходных текстов.
2.3. Ведутся работы по сертификации MS Windows NT 4.0 и MS SQL Server 6.5,
причем заявителем выступает не Microsoft. При этом Microsoft категорически
отказывается предоставлять исходные тексты, мотивируя это тем, что исходных
текстов NT не получило даже правительство США ( встает вопрос насколько в
таком случае можно доверять соответствию NT классу C2 по Orange Book)
Все вышеописанное воспроизводилось по памяти, поэтому в деталях я мог
что-нибудь напутать, но общую картину того, что нужно для построения систем
обработки грифованной информации и какие средства могут быть использованы в
данный момент я нарисовал достаточно точно.
Теперь что касаемо применения всего вышеописанного на практике:
1. Hыне существующие правила введены < 10 лет
2. Те организации, которые последние 10 лет не занимался разработкой и
внедрением систем обработки информации отнесенной к гос. тайне (а таких
большинство, с учетом той экономической ситуацией в которой мы живем)
вообще не имеют представления о ней.
3. Обычно, о том, что систему нужно аттестовать вспоминают, когда она уже
разработана, поэтому разброс использованных средств от DOS до Solaris и от
FoxPro до ORACLE ;)
4. Даже если об аттестации вспоминают на этапе проектирования, подход
обычно весьма поверхностный. Hапр. аргумент для выбора NT в качестве
базовой ОС обычно выглядит так : "NT соответствует C2 по Orange Book,
значит проблем с аттестацией не будет". По собственному опыту говорю :
"Будут."
5. Последний финансовый кризис практически уничтожил банковскую систему,
которая последние годы служила основным потребителем систем такого рода.
6. Развитие рынка отечественных, сертифицированных программных средств
сдерживается неплатежеспособностью потребителей.
7. Как показано выше, сертификация программного продукта есть операция
достаточно дорогостоящая
8. Аттестация и сертификация есть мероприятия успех которых в большей
степени зависит от политической поддержки, которую может оказать
руководство какого либо заинтересованного в конечном результате ведомства.
>
> Hе возникало ли y кого-нибyдь вопpосов с ФАПСИ по использованию
> некоммерческой ОС; если да - то как они pешались. В общем
интересно
ФАПСИ занимается _только_ криптографией, прочие средства защиты информации
ей подмять под себя пока не удается ;). Когда это случится, на применении
средств выч. техники в этой области придется поставить крест, IMHO ;)
Пример использования некоммерческой ОС в качестве основы для
сертифицированного программного продукта МСВС. Вопрос сертификации решался
в основном благодаря сильному лоббированию со стороны МО.
Теперь, что касаемо сертификации некоммерческих ОС:
1. Заявителем должна выступать организация имеющая лицензию Гостехкомиссии
2. Система должна быть адаптирована к требованиям Гостехкомиссии. Как
минимум должна быть команда разработчиков, которые способны оперативно
устранять недоработки выявленные сертифицирующей организацией.
3. Эта команда должна быть постоянной, т.к. сертификат имеет ограниченный
срок действия, кроме того требования к системе могут меняться
4. В сертифицирующую организацию должен быть представлен комплект
конструкторской документации (по ГОСТ, номеров не помню)
5. В сертификацию должны быть вложены достаточно большие средства (см.
пример ниже)
В качестве примера приведу оценку стоимости сертификации ядра FreeBSD. При
этом я исхожу из производительности одного программиста 50 строк кода в
день, 22 рабочих дня в месяц и зарплаты 500 у.е. (с учетом посткризисного
снижения зарплат)
kundao:eustrop> find /sys/ -name "*.[c,h,s]" -exec cat {} ; | wc -l
484331
kundao:eustrop> bc
bc 1.02 (Mar 3, 92) Copyright (C) 1991, 1992 Free Software Foundation, Inc.
This is free software with ABSOLUTELY NO WARRANTY.
For details type `warranty'.
(484331/50)/22*500/10
22000
(484331/50)/22*500/10*3
66000
Таким образом приблизительная оценка $22000-$66000, не считая создания и
содержания собственной команды разработчиков.
В свете всего выше сказанного, звезды говорят мне, что редкая ОС
перелетевшая эту реку останется некоммерческой ;)
За примерами далеко ходить не надо, вышеупомянутую МСВС уже нельзя назвать
некоммерческой.
Теперь возвращаясь к Эхотагу, с точки зрения его шансов стать
сертифицированным в соответствии с Российскими условиями.
1. В чистом виде BSD под маркой FreeBSD,NetBSD,OpenBSD,Linux пройти
сертификацию не могут, по причине отсутствия заявителя, готового оплачивать
процесс сертификации.
2. Фактически для того, чтобы сертифицировать одну из этих ОС, необходимо
выполнение одного из условий :
2.1 Hаличие гос. заказа
2.2 Ведомственного заказа, как например при сертификации МСВС
2.3 Hаличие инвестора, желающего вложить деньги в создание сертификацию ПО
для нужд Российских гос. учереждений.
3. Здесь следует упомянуть прецедент начала 80х годов, когда в КИАЕ на
базе BSD 2.2 была сделана операционная система ДЕМОС, за что группа
сотрудников получила гос. премию. Впрочем по различным причинам эта ОС не
прижилась на отечественном железе.
Выбор базовой системы
1. С моей точки зрения BSD, как более консервативная и профессиональная
система, более подходит как база для создания защищенной ОС.
2. BSD-Style лицензия позволяет ограничить право конечного пользователя
вносить изменения в ОС, и использовать ее исходный код в собственных
разработках. Это является немаловажным фактором, в свете необходимости
окупить затраты на сертификацию и поддержание ПО.
3. Многие преимущества Linux, такие как динамичное развитие, Internet
поддержка, теряются при замораживании исходного кода после сертификации на
длительное время.
4. GPL не позволяет ограничивать конечного пользователя в праве
использовать исходные тексты этой ОС.
5. К преимуществам Linux относится большее количество ПО, в том числе и от
коммерческих производителей. Большое количество пользователей, уже знакомых
с этой ОС. Рост количество пользователе Linux, по моему впечатлению, сильно
опережает рост количества пользователей BSD систем.
6. Впрочем, как видно из выше сказанного, по крайней мере одно ведомство
(МО) уже сделало выбор в пользу Linux.
> все, что касается организационных вопросов использования свободно
> распространяемого ПО, в том числе техническая поддержка.
Пока речь не идет о гос. тайне, решение может быть принято внутри
организации, обычно администратор ставит то, что хочет, с учетом что
закупать ПО в большинстве государственных организаций не принято :-(.
Вопрос технической поддержки решается тем же администратором.
Если в системе обрабатывается грифованная информация, то процедуры
аттестации не избежать. В этом случае лучше сразу начинать наводить мосты с
Гостехкомиссией. Мне не известны случаи использование
FreeBSD,NetBSD,OpenBSD,Linux в чистом виде в аттестованных системах,
впрочем и количество аттестованных систем пока исчисляется единицами. Как
показывает практика, для любой проблемы можно найти решение. В конце концов
можно решать эти вопросы чисто административным путем (напр Человек с
ружьем у каждого компьютера).
>
> PS. Sorry to moderator if offtopic ;)
Да похоже мы несколько отклонились от темы этой конференции, если есть
желание продолжить обсуждение этой темы, то это следует делать в
fido7.ru.security, а то они там совсем в абстракцию ударились, совершенно
оторвались от жизни ;)
> 10.Dec.1998 09:17 Vladimir Andreyev
--
Mr Alex V Eustrop KI RRC eustrop@electronics.kiae.ru
--- ifmail v.2.14dev2
* Origin: KI RRC (2:5020/400@fidonet)
Vova
