Давно хотел написать про один оксюморон отечественной ИБ, связанный с передачей ключей шифрования.
Летом этого года вышел Приказ ФСБ №432 "Об утверждении Порядка представления организаторами распространения информации в информационно-телекоммуникационной сети "Интернет" в Федеральную службу безопасности Российской Федерации информации, необходимой для декодирования принимаемых, передаваемых, доставляемых и (или) обрабатываемых электронных сообщений пользователей информационно-телекоммуникационной сети "Интернет".
Если говорить простыми словами, данный приказ посвящен тому, каким образом «организаторы распространения
информации» (например, те же социальные сети) будут передавать в ФСБ ключи,
необходимые для расшифровки трафика пользователей.
Само требование по раскрытию ключей шифрования "уходит корнями" в "пакет Яровой", в рамках которого и была внесена эта наделавшая шуму поправка.
А в чем парадокс? В том, что предложенный порядок предоставления ключей противоречит требованиям самих же регуляторов.
Посмотрим почему. Порядок занимает 1,5 страницы и особо не примечателен. Обращает на себя внимание только пункт 6, который гласит:
То есть, ключи шифрования, дающие доступ сообщениям граждан (в том числе к персональным данным), предлагается передавать на магнитном носителе по почте или по электронной почте.
Передача ключей шифрования по электронной почте - звучит не очень безопасно. Да и по "Почте России" - не многим лучше. Не передают такие вещи по эл. почте.
Ладно, даже если не занудствовать, то все равно это противоречит даже формальным требованиям по безопасности.
Возьмем, например, приказ ФАПСИ №152 "Об
утверждении Инструкции об организации и обеспечении безопасности
хранения, обработки и передачи по каналам связи с использованием средств
криптографической защиты информации с ограниченным доступом, не
содержащей сведений, составляющих государственную тайну". Данный приказ, кстати, обязателен к применению.
Из 152 приказа ФАПСИ следует, что:
"Передача по техническим средствам связи криптоключей не допускается, за
исключением специально организованных систем с децентрализованным
снабжением криптоключами."
и еще:
"СКЗИ и ключевые документы могут доставляться фельдъегерской (в том числе
ведомственной) связью или со специально выделенными нарочными из числа
сотрудников органа криптографической защиты или пользователей СКЗИ, для
которых они предназначены, при соблюдении мер, исключающих
бесконтрольный доступ к ним во время доставки."
То есть, по требованиям безопасности, ключи передаются либо с нарочными под роспись, либо фельдъегерской связью. Можно возразить, что ФАПСИ уже не существует, и то что написано в их приказе к делу не относится (хотя еще раз вспомним, что приказ по сей день действует).
Но точно о том же самом говорят канувшие в лету "Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, в случае их использования для обеспечения безопасности персональных данных" от 2008 года, автором которых является уже ФСБ.
Еще можно посмотреть, что по поводу передачи ключей говорят производители криптосредств. Криптосредства должны эксплуатироваться в соответствии с документацией к ним. Криптосредства сертифицируются ФСБ и документация тоже проходит контроль.
Например, в документации на ViPNet есть фраза о том, что «…ключевая информация передается пользователям посредством личной встречи администраторов УКЦ, использования доверенных нарочных с документальным подтверждением отправки и приема, использования ведомственной или фирменной фельдъегерской связи и т.п.»
У «Континента» тоже есть упоминание о рассылке ключевого материала «средствами спецсвязи».
Таким образом, согласно документации на криптосредства, передача ключей по электронной почте также не предусмотрена.
В результате приходим к забавной ситуации.
"Оператор распространения информации", когда ему нужно передать ключ от VPN (даже если через нее ходят полтора пакета в час), на компьютер кадровика в далеком горном селе - отправляет его фельдегерьской связью.
Для пересылки он помещает ключи в "прочную упаковку, исключающую возможность их физического
повреждения и внешнего воздействия". На упаковке
указывает орган криптографической защиты или пользователя, для
которых она предназначена, с пометкой "Лично". Упаковку опечатывает (!) таким образом, чтобы
исключалась возможность извлечения содержимого без нарушения
упаковок и оттисков печати.
До высылки, сообщает адресату отдельным
письмом описание высылаемых упаковок и печатей, которыми они могут
быть опечатаны.
Если тот же "оператор распространения информации" должен отправить информацию, необходимую для декодирования трафика миллионов пользователей, то он просто кидает его по электронке уполномоченным органам. Или отправляет по почте.
P.S. В статье Алексея Лукацкого есть предположение о том, что "ключи шифрования" и "информация необходимая для декодирования" - разные вещи. Потому что "кодирование" и "шифрование" - разные понятия .
Но в этом случае возникает другой вопрос. В перечне поручений Президента говорилось, что ФСБ поручено определить именно порядок передачи ключей шифрования. Тогда получается, что поручено было одно, а определено было другое.
В итоге получилась коллизия, которых, впрочем, в ИБ достаточно.
