Средства криптографической защиты информации (СКЗИ)

Константин Черезов, ведущий специалист SafeLine, группа компаний "Информзащита"

КОГДА нас попросили составить критерии для сравнения всего российского рынка средств криптографической защиты информации (СКЗИ), меня охватило легкое недоумение. Провести технический обзор российского рынка СКЗИ несложно, а вот определить для всех участников общие критерии сравнения и при этом получить объективный результат - миссия из разряда невыполнимых.

Начнем с начала

Театр начинается с вешалки, а техническое обозрение -с технических определений. СКЗИ у нас в стране настолько засекречены (в открытом доступе представлены слабо), поэтому самое последнее их определение нашлось в Руководящем документе Гостехкомиссии 1992 г. выпуска: "СКЗИ - средство вычислительной техники, осуществляющее криптографическое преобразование информации для обеспечения ее безопасности".

Расшифровка термина "средство вычислительной техники" (СВТ) нашлось в другом документе Гостехкомиссии: "Под СВТ понимается совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем".

Таким образом, СКЗИ - это совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем и осуществлять криптографическое преобразование информации для обеспечения ее безопасности.

Определение получилось всеобъемлющим. По сути, СКЗИ является любое аппаратное, аппаратно-программное или программное решение, тем или иным образом выполняющее криптографическую защиту информации. А если еще вспомнить постановление Правительства РФ № 691, то оно, например, для СКЗИ четко ограничивает длину криптографического ключа - не менее 40 бит.

Из вышесказанного можно сделать вывод, что провести обзор российского рынка СКЗИ возможно, а вот свести их воедино, найти общие для всех и каждого критерии, сравнить их и получить при этом объективный результат - невозможно.

Среднее и общее

Тем не менее все российские СКЗИ имеют общие точки соприкосновения, на основе которых можно составить некоторый список критериев для сведения всех криптографических средств воедино. Таким критерием для России является сертификация СКЗИ в ФСБ (ФАПСИ), так как российское законодательство не подразумевает понятие "криптографическая защита" без соответствующего сертификата.

С другой стороны, "общими точками соприкосновения" любых СКЗИ являются и технические характеристики самого средства, например, используемые алгоритмы, длина ключа и т.п. Однако, сравнивая СКЗИ именно по этим критериям, общая картина получается в корне неверной. Ведь то, что хорошо и правильно для программно-реализованного криптопровайдера, совсем неоднозначно верно для аппаратного криптографического шлюза.

Есть еще один немаловажный момент (да простят меня "коллеги по цеху"). Дело в том, что существуют два достаточно разноплановых взгляда на СКЗИ в целом. Я говорю о "техническом" и "потребительском".

"Технический" взгляд на СКЗИ охватывает огромный круг параметров и технических особенностей продукта (от длины ключа шифрования до перечня реализуемых протоколов).

"Потребительский" взгляд кардинально отличается от "технического" тем, что функциональные особенности того или иного продукта не рассматриваются как главенствующие. На первое место выходит ряд совершенно других факторов - ценовая политика, удобство использования, возможности масштабирования решения, наличие адекватной технической поддержки от производителя и т.п.

Однако для рынка СКЗИ все же есть один важный параметр, который позволяет объединить все продукты и при этом получить в достаточной степени адекватный результат. Я говорю о разделении всех СКЗИ по сферам применения и для решения тех или иных задач: доверенного хранения; защиты каналов связи; реализации защищенного документооборота (ЭЦП) и т.п.

Тематические сравнительные обзоры в области применения различных российских СКЗИ, например - российские VPN, то есть защита каналов связи, уже проводились в данном издании. Возможно, в дальнейшем появятся обзоры, посвященные другим сферам применения СКЗИ.

Но в данном случае сделана попытка всего лишь объединить все представленные на российском рынке решения по криптографической защите информации в единую таблицу на основе общих "точек соприкосновения". Естественно, что данная таблица не дает объективного сравнения функциональных возможностей тех или иных продуктов, а представляет собой именно обзорный материал.

Обобщающие критерии - для всех и каждого

Для обобщенной таблицы российского рынка СКЗИ в конечном счете можно составить следующие критерии:

• Фирма-производитель. Согласно общедоступным данным (Интернет), в России на данный момент порядка 20 компаний-разработчиков СКЗИ.
• Тип реализации (аппаратная, программная, аппаратно-программная). Обязательное разделение, которое имеет тем не менее весьма нечеткие границы, поскольку существуют, например, СКЗИ, получаемые путем установки некоторой программной составляющей - средств управления и непосредственно криптобиблиотеки, и в итоге они позиционируются как аппаратно-программное средство, хотя на самом деле представляют собой только ПО.
• Наличие действующих сертификатов соответствия ФСБ России и классы защиты. Обязательное условие для российского рынка СКЗИ, более того - 90% решений будут иметь одни и те же классы защиты.
• Реализованные криптографические алгоритмы (указать ГОСТы). Также обязательное условие - наличие ГОСТ 28147-89.
• Поддерживаемые операционные системы. Достаточно спорный показатель, важный для программно-реализованной криптобиблиотеки и совершенно несущественный для чисто аппаратного решения.
• Предоставляемый программный интерфейс. Существенный функциональный показатель, одинаково важный как для "технического", так и "потребительского" взгляда.
• Наличие реализации протокола SSL/TLS. Однозначно "технический" показатель, который можно расширять с точки зрения реализации иных протоколов.
• Поддерживаемые типы ключевых носителей. "Технический" критерий, который дает весьма неоднозначный показатель для различных типов реализации СКЗИ -аппаратных или программных.
• Интегрированность с продуктами и решениями компании Microsoft, а также с продуктами и решениями других производителей. Оба критерия больше относятся к программным СКЗИ типа "криптоби-блиотека", при этом использование этих критериев, например, для аппаратного комплекса построения VPN представляется весьма сомнительным.
• Наличие дистрибутива продукта в свободном доступе на сайте производителя, дилерской сети распространения и сервиса поддержки (временной критерий). Все эти три критерия однозначно являются "потребительскими", причем выходят они на первый план только тогда, когда конкретный функционал СКЗИ, сфера применения и круг решаемых задач уже предопределены.

Выводы

В качестве вывода я акцентирую внимание читателя на двух самых важных моментах данного обзора.

Во-первых, выбор СКЗИ изначально должен отталкиваться от сферы применения, что значительно сужает спектр возможных решений.

Во-вторых, "технический" и "потребительский" взгляды на СКЗИ не должны вступать в противоречия, наличие уникальных функциональных возможностей СКЗИ не должно превалировать над здравым смыслом при выборе компании-производителя с широкой сетью распространения продукта, доступной ценовой политикой и адекватным сервисом технической поддержки решения.