Разработчики отечественного Linux-дистрибутива ROSA сообщили (http://www.rosalab.ru/blogs/operatsionnaya-sistema-rosa-polu...) о получения сертификата от Федеральной службы по техническому и экспортному контролю (ФСТЭК), подтверждающего соответствие требованиям 5 класса (http://www.fstec.ru/_docs/doc_3_3_003.htm) защиты информации от несанкционированного доступа и 4 уровня (http://www.fstec.ru/_docs/doc_3_3_010.htm) контроля от недекларированных возможностей. Дистрибутив ROSA официально можно использовать для работы с персональным данными любого типа, со служебной и конфиденциальной информацией, а также в автоматизированных системах с классом защищённости по 1Г включительно и системах защиты персональных данных по класс К1 включительно. До конца года планируется подготовить платформу, которая будет сертифицирована для работы с государственной тайной.URL: http://www.rosalab.ru/blogs/operatsionnaya-sistema-rosa-polu...
Новость: https://www.opennet.ru/opennews/art.shtml?num=34046
Вот вам и дистр с закладками ;)
Откуда там закладки?
Мамай клянёшься, что в OpenSSL, OpenSSH, glibc, ядре,..., coreutils
нет алгоритмических пасхальных яичек by FBI/CIA? :)---
А ещё меня интересует то, что в 5-классе защищенности
присутствует требование к "Очистке памяти".
Где в линухе очищалка памяти?
>Где в линухе очищалка памяти?Тссс! Тише, а то еще Поттеринг услышит!
ну дык... может у него тогда маразм случится.ps;
http://www.commandlinefu.com/commands/view/5670/clean-up-mem...
>To free pagecache:
>echo 1 > /proc/sys/vm/drop_caches
>To free dentries and inodes:
>echo 2 > /proc/sys/vm/drop_caches
>To free pagecache, dentries and inodes:
>echo 3 > /proc/sys/vm/drop_cachesне? или нужно чтоб в нули? типа dd if=/dev/urandom of=/dev/mem?
Для какого-то уровня защиты нужно именно оперативную память и своп очищать (для свопа - 3-кратная перезапись).
Своп есть крипто, а занятую озу не очистишь.
Зыж
А про пэйдж кэшь см выше.
Имеется в виду очищение памяти после освобождения. Т.е., как только память освобождается через free(), соответствующие страницы памяти заполняются случайными данными.
> Имеется в виду очищение памяти после освобождения.Имеется в виду очищение памяти ПЕРЕД освобождения. /* FIXME */
if (paranoia) {
struct rlimit save_rlim;
struct rlimit rlim = {0, 0};getrlimit(RLIMIT_CORE, save_rlim);
setrlimit(RLIMIT_CORE, rlim); // не дампиться!
mlockall(MCL_CURRENT | MCL_FUTURE); // не свопиться!
}char *ptr = malloc(ONE_GB);
foo(ptr);
...
if ( paranoia) {
memset(ptr, 0xff, ONE_GB); // 11111111111111111111111111111111
memset(ptr, 0xaa, ONE_GB); // 10101010101010101010101010101010
memset(ptr, 0x55, ONE_GB); // 01010101010101010101010101010101
}
memset(ptr, 0x00, ONE_GB);
free(ptr);if (paranoia) {
munlockall();
setrlimit(RLIMIT_CORE, save_rlim);
}
if (total_paranoia)
memset(save_rlim, 0, sizeof(struct rlimit));
memset(rlim, 0, sizeof(struct rlimit));
ptr = NULL;
paranoia = 0;
total_paranoia = 0; // Гы.
}
...
А знаете, что самое прикольное?! То, что вышеперечисленные фишки ФСБ не признаёт.
Например на звание операционки могущей "Совершенно секретно" и "Особой важности"
не подходит не один прибор и операционка общего назначения.Долго расписывать требования, но дам совет - повесится проще, чем создать и внедрить
аппаратно-программный комплекс на эти грифы. :)
>> Имеется в виду очищение памяти после освобождения.
> Имеется в виду очищение памяти ПЕРЕД освобождения. /* FIXME */Можно и так, да. Но я подразумевал что glibc/kernel эти вещи сделают автоматически, когда функция free() выполнится.
> оперативную память и своп очищать (для свопа - 3-кратная перезапись).для свопа AES каждый раз новым ключем
Нет, ну к закладкам by FBI/CIA уже все привыкли, я же спросил про тех кто сертификат выдал.
кто бы сомневался
Ради этого дистр и затевался. А потом окажется, что сертифицированный линукс, в отличии от несертифицированного, но при этом не менее безопасного, стоит 300-600 баксов за рабочее место, использовать в госструктурах можно только серт-й и в соответствии с программой по переходу на СПО только линукс. Таких дистров найдется две штуки, составителю техзадания забашляют и окажется, что на свете только 1 подходящий дистр. Профит!
Сертифицуруйте свой дистрибутив. Кто-то мешает? Или Вам должны поверить на слово, что он такой весь из себя безопасный и не хуже чем сертифированный?
Моё имхо - госорганы должны сами мониторить какого качество ПО шляется по территории страны и рекомендовать/не_рекомендовать/требовать соответственно.
А пока это всё узаконенные откаты.
Винда вон тоже сертифицирована вдоль и поперёк. Не смотря на $200'000'000 "вложенных" пентагоном в её "безопасность".
> Винда вон тоже сертифицирована вдоль и поперёк. Не смотря на $200'000'000 "вложенных"
> пентагоном в её "безопасность".У кого надо исходники венды есть, сам видел. Причём, в отличии
от РедХат, бинарники скомпилированные по инструкции совпадают,
не то, чтобы по функциям, а даже ПО КОНТРОЛЬНЫМ СУММАМ.
Неа, нету.
Более того скажу, все кто говорят, что сырцы сертифицированных виндей есть у наших служак, врут.
тем более что сертификация ФСТЭК'ом никогда даже запрашивала цырцы вообще ни у кого.зыж
и да, если ты павлин, то залогинся.
а то как-то трудно представить, что павлин написал вот эту глупость про инструкции компиляции и рх.
ПОТОМУ ЧТО ЭТО ЧУШЬ, недопавлинчег. не совпадают бинарники (собранные по инструкции!:D) у цетоси, потому что оттуда выпелены торговые марки рх.
когда будешь в следующий раз так нагло тролить имей это в виду.
а то слышал где звон, но не знаешь где он.
>> сертификация ФСТЭК'ом никогда даже запрашивала цырцы вообще ни у кого.Вот это ерунда кстати. Сертификация в ФСТЭК предполагает наличие исходников. Я думаю, есть конечно способы обойтись и без них. Но штатная процедура включает в себя также и повторную пересборку бинарников в присутствии представителя фирмы-сертификатора с последующим подсчетом контрольных сумм на совпадение с декларируемыми.
Ничего подобного.
Исходники фсиэком не требуются. И даже не предполагаются.
> также и повторную пересборку бинарниковТолько не во фстэке.
В МО — возможно. Не в курсах. Но не в экспортном контроле.
А то палинух договорится, что и боинги сертифицируют путём сборки из запчастей.
Ещё раз — нет.
Зыж
Да вы по ссылке на 5 уровень то зайдите и прочитайте требования.
Никто "жучков" в сырцах не ищет.
Как и помещения не разбирают — сканером/набором тестов прошлись.
> Неа, нету.
> Более того скажу, все кто говорят, что сырцы сертифицированных виндей есть у
> наших служак, врут.Служаки всем _говорят, что исходники у них есть. ЧСВ прокачивают или деситнна есть -- не известно, однако какой-нибудь павлин, попивший коньячку с хризматичным фсбешником, теперь рассказывает, что он "исходники винды видел", хотя на самом деле он про них только _слышал. Нудк, на то эти "разговорчики с пришчуром" и рассчитаны.
> ПОТОМУ ЧТО ЭТО ЧУШЬ, недопавлинчег. не совпадают бинарники (собранные по инструкции!:D)
> у цетоси, потому что оттуда выпелены торговые марки рх.
> а то слышал где звон, но не знаешь где он.Таки Пв говорил про сборку венды. И это ты "не знаешь".
Ванчтки тоже говорят.
А про сборку ниже смотри.Зыж
А как увидишь контрольную сумму драйвера мс собранного "служаками" да подписанного ими так сообщи.:D
> Более того скажу, все кто говорят, что сырцы сертифицированных
> виндей есть у наших служак, врут.Ну вааще не в теме... Слухай не пиши больше, иди разводи пчёл.
Иди водный стадион осваивай.
Ха, не в теме:D
> не то, чтобы по функциям, а даже ПО КОНТРОЛЬНЫМ СУММАМ.И как это достигается, учиывая что MSовские компилеры для каждой машины уникальный ID лепят в бинарь? :)
а также время и дату компиляции, серийник компилятора...
и приватные ключи мс для подписи программ:D
> а также время и дату компиляции, серийник компилятора...
> и приватные ключи мс для подписи программ:DМС им даёт спец.компилятор. Провереннный!! У которого внутри уже %) все правильные бинари с правильными хешами.B))))))))
Ессесно.
И вообще, собирать — это лишний этап.
Сразу по сырцам любого хеловорда контрольные суммы всех блобов винды павлину шлёт.
>> не то, чтобы по функциям, а даже ПО КОНТРОЛЬНЫМ СУММАМ.
> И как это достигается, учиывая что MSовские компилеры для каждой машины уникальный
> ID лепят в бинарь? :)А кто Вам сказал, что используются MS компиляторы? ;)
>>> не то, чтобы по функциям, а даже ПО КОНТРОЛЬНЫМ СУММАМ.
>> И как это достигается, учиывая что MSовские компилеры для каждой машины уникальный
>> ID лепят в бинарь? :)
> А кто Вам сказал, что используются MS компиляторы? ;)Винда теперь собираеться гнутым компайлером? А как же фишки безопасного кода, которые только Самый Разрекламированный Компайлер только понимает?
>>>> не то, чтобы по функциям, а даже ПО КОНТРОЛЬНЫМ СУММАМ.
>>> И как это достигается, учиывая что MSовские компилеры для каждой машины уникальный
>>> ID лепят в бинарь? :)
>> А кто Вам сказал, что используются MS компиляторы? ;)
> Винда теперь собираеться гнутым компайлером? А как же фишки безопасного кода, которые
> только Самый Разрекламированный Компайлер только понимает?Я не вкурсе, чё там сейчас, исходники винXP 2002 выпуска я видел. Из требований ANSI C90.
Если чо, я про сборку ntoskrnl.exe иль как его там.
> Я не вкурсе, чё там сейчас, исходники винXP 2002 выпуска я
> видел. Из требований ANSI C90.Начиная с Висты у них новые веяния. КНига даже есть насчет безопасного кода на висте.
> Если чо, я про сборку ntoskrnl.exe иль как его там.
ХР вроде мелкомягкими не поддерживаеться? Смысл в сертификате на нее?
> видел. Из требований ANSI C90.
> Если чо, я про сборку ntoskrnl.exe иль как его там.Для проверки хеш-сум бинарей входной язык-стандарт существенно менне важен, чем кодогенератор и вся-вся прочая среда сборки. Не позорился бы про "проверку пересборкой заявленных хешей бинарей"?
> исходники винXP 2002 выпуска я виделТы, сцуко, не только видел, но мд5 сравнил.
Причём всё. :D
Зыж
А сталина ты видел?
> И как это достигается, учиывая что MSовские компилеры для каждой машины уникальный
> ID лепят в бинарь? :)Для сборки windows используется собственный компилятор, который в visual studio никак не относится, собственная сборочная система и собственная система контроля версий, в которых есть возможность полностью пересобрать всю систему и получить идентичные контрольные суммы на выходе.
По крайней мере, в 3 года назад дело обстояло так.
>Для сборки windows используется собственный компилятор, который в visual studio никак не относится,и тем не менее, когда шлёпаешь на свойства любого файла от мс на вкладках волшебным образом появляется и версия сборки, и подпись сертификата мс, и ещё туева хуча информации.
зыж
собирается он при помощи мсбуилд.
но... возвращаемся к яйцу и курице - где сырцы этого волшебного компилятора, что он генерит, если волшебным образом появляется указанная инфа в бинарях.
>>Для сборки windows используется собственный компилятор, который в visual studio никак не относится,
> и тем не менее, когда шлёпаешь на свойства любого файла от мс
> на вкладках волшебным образом появляется и версия сборки, и подпись сертификата
> мс, и ещё туева хуча информации.
> зыж
> собирается он при помощи мсбуилд.
> но... возвращаемся к яйцу и курице - где сырцы этого волшебного компилятора,
> что он генерит, если волшебным образом появляется указанная инфа в бинарях.man WinAPI
> И как это достигается, учиывая что MSовские компилеры для каждой машины уникальный
> ID лепят в бинарь? :)Для сборки windows используется собственный компилятор, который в visual studio никак не относится, собственная сборочная система и собственная система контроля версий, в которых есть возможность полностью пересобрать всю систему и получить идентичные контрольные суммы на выходе.
По крайней мере, в 3 года назад дело обстояло так.
> На тестирование была предоставлена специальная сборка дистрибутива, включающего и десктопные и серверные компонентыТо есть ни один из доступных на их сайте дистрибутивов сертификата не имеет.
> То есть ни один из доступных на их сайте дистрибутивов сертификата не
> имеет.Сертификат имеет дистрибутив в коробочке с бумажкой с голограммой и печатью.
Ничего из вышеперечисленных _атрибутов "на сайте" не лежало и не лежать будет.
Остается только удивляться, зачем тогда Альт получал сертификат на актуальные релизы, а не искусственный гибрид...
СПТ 6 не актуальный релиз.
... и стоить будет куеву хучу бабла как бэдля аналогии можно глянуть http://www.altlinux.ru/products/altlinux-spt-fstec/
Да... теперь я понимаю что такое конские цены :)
> Да... теперь я понимаю что такое конские цены :)Считайте, что вы ещё ничего не видели.
http://www.linuxcenter.ru/shop/distros/linux-distros/redhat/
Вот интересно, если кто нить ломанет сервак с сертифицированной осью, этот сертификат ФСТЭКовский что-либо даст? Или это только "пропуск к бюджету"?
> Вот интересно, если кто нить ломанет сервак с сертифицированной осью, этот сертификат
> ФСТЭКовский что-либо даст? Или это только "пропуск к бюджету"?А что вы подразумеваете под серваком с сертифицированной осью? Вы всерьез думаете что защищаемая система имеет какие-то сношения с интернетом?
> А что вы подразумеваете под серваком с сертифицированной осью? Вы всерьез думаетеВот это РОСА-чудо с бумажкой от ФСТЭК.
> что защищаемая система имеет какие-то сношения с интернетом?
Я допускаю все. Ломать могут и не из интернета.
>Вы всерьез думаете что защищаемая система имеет какие-то сношения с интернетом?нет блин, по закону о персональных данных все хостеро/мобило/провайдеры по карточкам вручную будут инфу заносить.
да прочитайте уже ссылку на класс 5 http://www.fstec.ru/_docs/doc_3_3_003.htm
и найдите что он требует и где пункт не подключать в инет.
> Вот интересно, если кто нить ломанет сервак с сертифицированной осью, этот сертификат
> ФСТЭКовский что-либо даст? Или это только "пропуск к бюджету"?При желании можно заказать независимое расследование сторонними спецами по данному взлому.
Они определят - в анном случае попадает взлом под нарушение какого-то требования, или нет.
Если попадает, то можно передавать данные дальше.
Хотите заняться?)
> Они определят - в анном случае попадает взлом под нарушение какого-то требования,
> или нет.
> Если попадает, то можно передавать данные дальше.А если нет?
> Хотите заняться?)
Взломом или "икспиртизой"?
Внимание: Загруженные по ссылке образы могут быть использованы в соответствии с лицензионным соглашением, наравне с другими дистрибутивами, выпускаемыми компанией Альт Линукс. Образы идентичны входящим в комплект Альт Линукс 6.0 СПТ, но не являются сертифицированными. Сертифицированной считается система, установленная с оригинального диска, имеющего уникальный номер, проставленный сертифицированной лабораторией, и действующий купон технической поддержки.
Т.е. сам дистрибутив свободный, ибо GPL, а 100500 рублей стоит купон технической поддержки и оригинальная DVD-болванка.
> Т.е. сам дистрибутив свободный, ибо GPL, а 100500 рублей стоит купон технической
> поддержки и оригинальная DVD-болванка.свободный != бесплатный
http://goo.gl/ZNJFD
Спасибо Кэп, но мне как-то ближе бизнес-модель Redhat или Linux Foundation, когда пользователи и спонсоры платят не потому что вынуждены или "так надо", а потому что им это выгодно.
> Спасибо Кэп, но мне как-то ближе бизнес-модель Redhat или Linux Foundation, когда
> пользователи и спонсоры платят не потому что вынуждены или "так надо",
> а потому что им это выгодно.Насчет "выгодно" можно поспорить.
centos/ubuntu и другие бесплатные позволяют сэкономить на лицензиях.
> Насчет "выгодно" можно поспорить.
> centos/ubuntu и другие бесплатные позволяют сэкономить на лицензиях.Но не дают возможности застраховать риски, например.
То есть все зависит от кучи нюансов и общий вывод сделать нельзя, что выгоднее.
> Т.е. сам дистрибутив свободный, ибо GPL, а 100500 рублей стоит купон технической
> поддержки и оригинальная DVD-болванка.И сертификат.
То есть, я так понимаю, кусок бумаги делает из дырявого и небезопасного дистра суперзащищенный? Но только на одном компе, установленный на другой комп с того же диска тот же самый дистр опять превратится в тыкву?Воистину, "развитая технология неотличима от магии"(с).
>То есть, я так понимаю, кусок бумаги делает из дырявого и небезопасного дистра суперзащищенный?То есть ты ничего не понимаешь. Кусок бумаги говорит о том, что не декларированных функций в дистрибутиве нет о чём прямым текстом написано в новости.
>Но только на одном компе, установленный на другой комп с того же диска тот же самый дистр опять превратится в тыкву?
Нет не превратиться, можете устанавливать хоть на тысячу машин, ограничение копирования сертификация не накладывает, не путайте с лицензированием.
>>Кусок бумаги говорит о том, что не декларированных функций в дистрибутиве нетКак это нет, а разве функция улучшения благосостояния работников сертифицирующих органов уже официально задекларирована?
>>>Кусок бумаги говорит о том, что не декларированных функций в дистрибутиве нет
> Как это нет, а разве функция улучшения благосостояния работников сертифицирующих органов
> уже официально задекларирована?Они на зарплате, зарплата из гос. бюджета. Мимо.
> Внимание: Загруженные по ссылке образы могут быть использованы в соответствии с лицензионным
> соглашением, наравне с другими дистрибутивами, выпускаемыми компанией Альт Линукс. Образы
> идентичны входящим в комплект Альт Линукс 6.0 СПТ, но не являются
> сертифицированными. Сертифицированной считается система, установленная с оригинального
> диска, имеющего уникальный номер, проставленный сертифицированной лабораторией, и действующий
> купон технической поддержки.Там как то непонятно написано.
"Лицензия для Альт Линукс СПТ 6.0 Сервер на 1 год"
Что такое лицензия в данном случае? Право использования или гарантия безопасности?
"Персональные данные, с которыми работает медицинское учреждение будут защищены в течении 1 года. Для продления технической поддержки, а соответственно и сертификации своего комплекта, требуется закупить позиции «Лицензия на продление права использования Альт Линукс СПТ 6.0 Сервер на 1 год» и «Лицензия на продление права использования Альт Линукс СПТ 6.0 Рабочая станция на 1 год»."
Если по истечении срока действия лицензии персональные данные перестают быть защищены, то это как? Да и "лицензия на право использования" звучит странно.У Росы те же грабли, терминология запутанная, говориться одно, имеется в виду другое.
Если лицензия это именно право использования, то как это сочетается с ЖоПЛем? Если лицензия это право на техподдержку, то как это гарантирует сохранность персональных данных?Во всяком случае у КрасноШапа более человеческим языком названо то, что они продают.
Лицензия - это бумажка которой можно помахать перед проверяющими органами, если они придут и увидят на рабочих местах, предназначенных для обработки, например, конфиденциальной информации, эту РОСУ. Если бумажки не будет - будут проблемы.
Отлично, новость хорошая.
Только нельзя сразу было сертифицировать на 1Б для гостайны?
Зачем переплачивать два раза?
> Отлично, новость хорошая.
> Только нельзя сразу было сертифицировать на 1Б для гостайны?
> Зачем переплачивать два раза?Это разные сертификаты.
>Зачем переплачивать два раза?Как зачем? чтобы было в два раза больше денег. Сертификация нужна именно для этого.
>>Зачем переплачивать два раза?
> Как зачем? чтобы было в два раза больше денег. Сертификация нужна именно
> для этого.Вы бы в теме разобрались для начала.
> Вы бы в теме разобрались для начала.Поможете?
>> Вы бы в теме разобрались для начала.
> Поможете?fstec.ru fsb.ru и примерно 50 часов для самостоятельной подготовки, после этого не будете писать глупостей по сертификации дистрибутива на 1Б класс, хотя бы потому, что на 1Б класс не сертифицируют, а аттестуют и не компоненты отдельные, а целиком автоматизированную систему, то есть компьютер вместе со всеми его компонентами вплоть до мышки, а так же помещения и светильника на потолке.
ну и как это мешает зарабатыванию денег?
> ну и как это мешает зарабатыванию денег?Это весьма улучшает финансовое состояние чиновников ФСБ и ФСТЭК.
>> ну и как это мешает зарабатыванию денег?
> Это весьма улучшает финансовое состояние чиновников ФСБ и ФСТЭК.За клевету можно и в Сибирь уехать надолго, снег убирать. А снега там много.
"Тебя посодют, а ты не воруй"(с)Что, очко таки играет?
> За клевету можно и в Сибирь уехать надолго, снег убирать. А снега
> там много.Согласен, можно. Равно как и за бессмысленные угрозы можно словить в репу.
>> За клевету можно и в Сибирь уехать надолго, снег убирать. А снега
>> там много.
> Согласен, можно. Равно как и за бессмысленные угрозы можно словить в репу.Точно. Особенно "словить в репу" за словить в репу.
> За клевету можно и в Сибирь уехать надолго, снег убирать. А снега там много.Ох не зря говорят что правда глаза колет. Однако ж, AFAIK, господам из ФСБ нельзя заниматься бизнесом. Как вы догадываетесь, некоторые нерадивые сотрудники с удовольствием кладут на это и воркэраундят внаглую. Бабло побеждает зло ведь...
> ну и как это мешает зарабатыванию денег?Причём тут это? Ходу небесных светил это тоже не мешает.
При том что с этого и началась ветка.
> При том что с этого и началась ветка.Напомни с чего же?
>Зачем переплачивать два раза?.
>то есть компьютер вместе со
> всеми его компонентами вплоть до мышки, а так же помещения и
> светильника на потолке.А размер груди и IQ оператора? Определенное сочетание первого и второго дает такой эффект, что десяток троянов, вкомпиленных в ядро, отдыхает.:)
А не надо такие рабочие места пускать в интернет. И трояны никуда ничего не сольют, даже если есть.
>>то есть компьютер вместе со
>> всеми его компонентами вплоть до мышки, а так же помещения и
>> светильника на потолке.
> А размер груди и IQ оператора? Определенное сочетание первого и второго дает
> такой эффект, что десяток троянов, вкомпиленных в ядро, отдыхает.:)Не переживай. Размер груди и IQ оператора попадает под статью 283 УК РФ от 3 до 7 включительно.
>>>то есть компьютер вместе со
>>> всеми его компонентами вплоть до мышки, а так же помещения и
>>> светильника на потолке.
>> А размер груди и IQ оператора? Определенное сочетание первого и второго дает
>> такой эффект, что десяток троянов, вкомпиленных в ядро, отдыхает.:)
> Не переживай. Размер груди и IQ оператора попадает под статью 283 УК
> РФ от 3 до 7 включительно.Оператора точно нет, это персональные данные, а вот IQ презыдента...
Вот на Украине сказать "Янукович - дурак" скоро будет выдача гостайны.
>скоро будет выдача гостайны.ну значит при помощи росы так говорить будет нельзя. :D
>>скоро будет выдача гостайны.
> ну значит при помощи росы так говорить будет нельзя. :DС российским сертификатом -- можно.
>>>скоро будет выдача гостайны.
>> ну значит при помощи росы так говорить будет нельзя. :D
> С российским сертификатом -- можно.В украине этот сертификат не имеет силы. А в России говорить о Януковиче смысла нет.
> В украине этот сертификат не имеет силы. А в России говорить о
> Януковиче смысла нет.А возможность -- есть!!
>> В украине этот сертификат не имеет силы. А в России говорить о
>> Януковиче смысла нет.
> А возможность -- есть!!РФ страна возможностей, можно и про Януковича, и про Обаму, и про Меркель...
Воооот. Теперь ты понимаешь, как Стране нужны сертификаты ФСТЭК!
Плюс 100500.
Давно так не смеялся.:D
> Воооот. Теперь ты понимаешь, как Стране нужны сертификаты ФСТЭК!Тред доставляет, спасибо
>Только нельзя сразу было сертифицировать на 1Б для гостайны?Да легко, дистрибутив будет поставляться предустановленным в ж.д. контейнерах с автономным питанием, внутри будет находится пассивная акусто-вибро защита толщиной в 2 метра с гарантированным затуханием в 140 дб, вокруг контейнера предусмотрена двойная клетка Фарадея а то как же без защиты от ПЭМИН, в комплекте предусмотрена саморазворачивающаяся контролируемая зона в виде минного поля диаметром 100м и ограниченная забором в 4 метра высотой под напряжением. Стоимость всего 30 миллиардов. Для предзаказа пишите в спортлото.
> ж.д. контейнерах...
> толщиной в 2 метраЕсть только одна проблема: там будет негде ставить компьютер и оператора: стены как раз выжирают железнодорожный габарит. Ну и хватит с вас! Так даже секурнее! :)
А нафиг этот ФСТЕК нужен? Или это как ущербный алгоритм шифрования ГОСТ, только в виде целой ОС? Есть список требований PCIDSS, другого не нужно.
Анониму он, действительно, не нужен. Это требуется по закону. В законе "списка требований PCIDSS" нет.
> Это требуется по закону.Это мощный аргумент. Например, я ставлю сертифицированную винду с паролем админа 123, открываю все порты (точнее, НЕ ЗАКРЫВАЮ их) и наслаждаюсь безопасностью. Ведь у меня есть Сертификат!
>> Это требуется по закону.
> Это мощный аргумент. Например, я ставлю сертифицированную винду с паролем админа 123,
> открываю все порты (точнее, НЕ ЗАКРЫВАЮ их) и наслаждаюсь безопасностью. Ведь
> у меня есть Сертификат!Про создании ИСПДн вы должны пройти аккредитацию. Мало просто поставить дистрибутив, нужно его и правильно настроить. В вашем случае вы аккредитацию не пройдете.
> Про создании ИСПДн вы должны пройти аккредитацию. Мало просто поставить дистрибутив, нужно
> его и правильно настроить. В вашем случае вы аккредитацию не пройдете.Дада, всё верно. Я и говорю - можно наполучать сертификатов и аккредитаций, но в итоге завалить безопасность.
Ибо не бабло должно быть во главе угла, а реальный тест реальной системы (и работников при этой системе).
>> Про создании ИСПДн вы должны пройти аккредитацию. Мало просто поставить дистрибутив, нужно
>> его и правильно настроить. В вашем случае вы аккредитацию не пройдете.
> Дада, всё верно. Я и говорю - можно наполучать сертификатов и аккредитаций,
> но в итоге завалить безопасность.Расскажите как это сделать?
> Ибо не бабло должно быть во главе угла, а реальный тест реальной
> системы (и работников при этой системе).Так тест реальной системы и есть процесс аттестации.
> Так тест реальной системы и есть процесс аттестации.Т.е. тестируют именно конечный программно-аппаратный комплекс, да?
>> Так тест реальной системы и есть процесс аттестации.
> Т.е. тестируют именно конечный программно-аппаратный комплекс, да?Ура, наконец дошло!
> Ура, наконец дошло!Тогда поясните мне, пожалуйста, почему нельзя сделать это (аттестацию/сертификацию) на любом дистрибьютиве? Т.е. для чего сертифицировать дистр отдельно, а установленный на железо дистр ещё раз?
Я так полагаю, что только для повышения стоимости услуг.
Если взять любой дистр вас пошлют на аттестацию этого дистра. И это выльется для вас в сотни нефти и кучу времени. А купив дистр с сертификатом вы этот этап пройдете влет, просто показав бумажку.
> Если взять любой дистр вас пошлют на аттестацию этого дистра. И это
> выльется для вас в сотни нефти и кучу времени. А купив
> дистр с сертификатом вы этот этап пройдете влет, просто показав бумажку.Так я ж про это и говорю. Правильное решение - тестировать готовый, установленный комплекс. Неправильное решение продумано законодательством и приводит к увеличению затрат. Фактически это скрытый налог.
Нет. Вы меня не поняли. Готовый сертифицированный дистр хорош тем, что вам НЕ НАДО платить за его полную проверку. Это ОЧЕНЬ дорого. За его полную проверку завлатила фирма, его выпускающая и заложила свои затраты в стоимость лицензии.Причем взять дистрибутив-то вы действительно можете. Но при этом вы должны нанять грамотных спецов по защите информации, чтобы они красиво написали бумаги и объяснили органам сертификации, почему ваш комплекс удовлетворяет всем ГОСТ и другим руководящим документам.
К тому же, такая процедура займет не меньше полугода, а скорее всего и побольше. Оно вам вообще надо?А комплекс и так проверяется в целом как совокупность программной и аппаратной части. И даже более + помещения и коммуникации в этом помещении.
>Нет. Вы меня не поняли. Готовый сертифицированный дистр хорош тем, что вам НЕ НАДО платить за его полную проверку. Это ОЧЕНЬ дорого.Нет, есть мнение, что готовый сертифицированный дистр хорош тем, что за него обяжут платить и использовать только сертифицированное ПО.
при этом вопрос обновлений остаётся вообще за бортом - их никто не проверял и не сертифицировал, но без них это ещё тот класс надёжности.
Есть также мнение, что если бы удалось продумать механизм оплаты сертификации таких обновлений, то он за бортом не остался бы.
второе, никакого ГОСТ уже в принципе быть не может. вернее так, ГОСТ это только малая часть, входящая в комплекс.
третье, о комплексе вообще речи нет и не было.
сертифицируется только сабж, дистр.
в законах о персрнальных данных, комерческой тайне и тд, требований таких нет.
требования к комплексу есть (пока?) только для военных.
тем более о физичезких помещениях.
стоит напомнить как именно расшифровывается ФСТЭК? не? особенно Э?
> при этом вопрос обновлений остаётся вообще за бортом - их никто не
> проверял и не сертифицировал, но без них это ещё тот класс
> надёжности.Какие нахрен обновления, не выдумывайте.
Защищаемая система, в общем случае, не подключена к сетям общего пользования, на входе в помещение сидит дяденька охранник и пускает по предъявлению пропуска, паспорта и разрешения с обязательной записью в журнал времени входа и выхода и обязательным изыманием всех предметов от ручки до телефона.
>> при этом вопрос обновлений остаётся вообще за бортом - их никто не
>> проверял и не сертифицировал, но без них это ещё тот класс
>> надёжности.
> Какие нахрен обновления, не выдумывайте.
> Защищаемая система, в общем случае, не подключена к сетям общего пользования, на
> входе в помещение сидит дяденька охранник и пускает по предъявлению пропуска,
> паспорта и разрешения с обязательной записью в журнал времени входа и
> выхода и обязательным изыманием всех предметов от ручки до телефона.А еще она находится в сейфе, сейф в бункере на глубине 25и метров и она вообще не подключена ни к одной сети общего пользования, даже к сети электропитания.
Для того, чтобы избежать утечек через радиоизлучение, обмотана тремя слоями сфинцовой фольги и обесточена, для того, что бы избежать утечек при похичении носителей, винты отформатированы и забиты нулями, а ОЗУ обработано ренгеновским излучением.ЗЫ И самое главное вахтер и прочий песронал в свинцовых трусах, для пресечения утечки информации зашифрованной в ДНК.
балииин,
это не гостайна, это универсальный инструмент общего пользования с допуском к хранению персональных данных, коммерческой тайны и тд.
другими словами - именно его вы можете ставить для хранения данных и заполнения форм например в мтс, билайне, онлайме,..
или вы поставите на веб-форму (куда эти данные попадают в первую очередь) самосборный генту с релиз-кандидатным апачем? оригинально.
>> Ура, наконец дошло!
> Тогда поясните мне, пожалуйста, почему нельзя сделать это (аттестацию/сертификацию) на
> любом дистрибьютиве?А кто вам сказал что нельзя? Всё зависит от задания безопасности, модели угроз.
>Т.е. для чего сертифицировать дистр отдельно, а установленный на
> железо дистр ещё раз?Когда вы доказываете математическую теорему вы опираетесь на аксиомы или леммы.
Когда вы строите систему защиты, вы должны опираться на такие же подтверждаемые факты, например отсутствие недекларированных возможностей и необходимого уровня защиты от несанкционированного доступа в дистрибутиве.
> Я так полагаю, что только для повышения стоимости услуг.
Безопасность это дорого. Смиритесь.
Пожалуйста, аналог:По закону об оружии, Вы обязаны для его хранения приобрести сейф. Но если Вы будете бросать его как попало в местах, доступных для детей - Вы будете нести ответственность, если произойдет несчастный случай.
Закон обязывает для хранения определенного рода информации иметь сертифицированные программные средства (иногда и сертифицированное оборудование, и сертифицированное помещение). Если же все сертификаты на месте, а утечка информации произойдет, Вы также будете нести ответственность - но только если такая утечка будет. Если же данная информация нафиг никому не нужна - то можете вообще пароль не ставить - на свой страх и риск.
> Пожалуйста, аналог:
> По закону об оружии, Вы обязаны для его хранения приобрести сейф. Но
> если Вы будете бросать его как попало в местах, доступных для
> детей - Вы будете нести ответственность, если произойдет несчастный случай.Спасибо за хороший пример. Который как раз говорит о том, что сертификат не даёт безопасности - он только для того, чтобы избежать преследования за его отсутствие.
п.с. Ещё более яркий пример - талон техосмотра.
>> Это требуется по закону.
> Это мощный аргумент. Например, я ставлю сертифицированную винду с паролем админа 123,
> открываю все порты (точнее, НЕ ЗАКРЫВАЮ их) и наслаждаюсь безопасностью. Ведь
> у меня есть Сертификат!У вас огромная дыра в знаниях, не светите ей по форумам.
> У вас огромная дыра в знаниях, не светите ей по форумам.Это же прекрасно! На фоне таких невежд, как я, Вы выглядите академиком.
>> У вас огромная дыра в знаниях, не светите ей по форумам.
> Это же прекрасно! На фоне таких невежд, как я, Вы выглядите академиком.Не льстите, пока только КТН.
>> Это требуется по закону.
> Это мощный аргумент. Например, я ставлю сертифицированную винду с паролем админа 123,
> открываю все порты (точнее, НЕ ЗАКРЫВАЮ их) и наслаждаюсь безопасностью. Ведь
> у меня есть Сертификат!можешь спать спокойно :) Здесь на тебя всем плевать.
> А нафиг этот ФСТЕК нужен?А что такое ФСТЕК?
>Или это как ущербный алгоритм шифрования ГОСТ,
> только в виде целой ОС?Ваши знания просто поражают.
>Есть список требований PCIDSS, другого не
> нужно.Точно! Для ракетных войск нужно использовать стандарт безопасности банковской платежной системы.
> Точно! Для ракетных войск нужно использовать стандарт безопасности банковской платежной системы.В чем разница при хранении номера кредитки от хранения кода запуска ракеты? Код запуска ракеты тоже может состоять из 16 цифр.
>> Точно! Для ракетных войск нужно использовать стандарт безопасности банковской платежной системы.В целом да, сказал глупость насчет применения банковских стандартов к другим стандартам, спорить не буду, но КМК конечная цель схожа, непонятно зачем было придумывать своё.
>>> Точно! Для ракетных войск нужно использовать стандарт безопасности банковской платежной системы.
> В целом да, сказал глупость насчет применения банковских стандартов к другим стандартам,
> спорить не буду, но КМК конечная цель схожа, непонятно зачем было
> придумывать своё.У гос тайны требования могут быть строже.
А эти требования - не панацея.
Ту же 3D secure для карточек внедрили не от хорошей жизни.
Ну и плюс немного самодурства, куда же без него (насчет ГОСТ тут уже заметили).
>насчет ГОСТ тут уже заметили.Что заметили? Кстати вы про какой из них говорите?
>В чем разница при хранении номера кредитки от хранения кода запуска ракеты?Что ваш лечащий врач говорит по этому поводу?
Ну ты сравнил жопу с пальцем. Если у тебя сопрут твои копейки, это это никого, окромя тебя не волнует, а вот если утекут коды запуска - выяснится, что нанополимеры давно просраны. Конфуз, однако, будет.
> До конца года компания «РОСА» намерена подготовить платформу, которая будет
> сертифицирована для работы с государственной тайной.Только инженерам Intel до первого апреля не говорите, уписсаются раньше срока.
>> До конца года компания «РОСА» намерена подготовить платформу, которая будет
>> сертифицирована для работы с государственной тайной.
> Только инженерам Intel до первого апреля не говорите, уписсаются раньше срока.Чтобы сертифицироваться на гос.тайну нужно дистрибутив под MIPS.
Просто гэбня рубит бабло (http://www.securitylab.ru/blog/personal/Business_without_dan...)
> Просто гэбня рубит бабло (http://www.securitylab.ru/blog/personal/Business_without_dan...)А кто его в "этой стране"(tm), не рубит? Ну, не считая неудачников, разбрызгивающих полученный от зависти баттхерт по интернетам? Чем гебня хуже ментов и госчиновников?
>> Просто гэбня рубит бабло (http://www.securitylab.ru/blog/personal/Business_without_dan...)
> А кто его в "этой стране"(tm), не рубит? Ну, не считая неудачников,
> разбрызгивающих полученный от зависти баттхерт по интернетам? Чем гебня хуже ментов
> и госчиновников?А при чем тут "эта страна" ? В любой стране ровно так же, ну только называется по другому не взятки и откаты, а скажем демократическое лоббирование.
> А кто его в "этой стране"(tm), не рубит? Ну, не считая неудачников,
> разбрызгивающих полученный от зависти баттхерт по интернетам?Наш Президент же. Уже второй по счёту! Борется с коррупцией!!
>Чем гебня хуже ментов и госчиновников?
>> Просто гэбня рубит бабло (http://www.securitylab.ru/blog/personal/Business_without_dan...)
> А кто его в "этой стране"(tm), не рубит? Ну, не считая неудачников,
> разбрызгивающих полученный от зависти баттхерт по интернетам? Чем гебня хуже ментов
> и госчиновников?ну вот стадо белоленточников уверенно, что "бабло рубит" только партия жуликов и воров ... Им еще не сообщили о твоем откровении.
Один хрен, зелёный студент или криворукий программер (а другие на ту ЗП не пойдут, а ЗП херовая ибо потратили на откаты и сертификаты) одной неверной строчкой кода/конфига в php/asp/apache/iis/iptables/tmg еtc сведёт на нет все эти сертификаты и прочая-прочая-прочая. И потекут эти данные далеко-далеко =)
никого это не интересует. Главное продать и бабло поиметь. Остальное лабуда
ура, очередные кони на опенсоурсе делают бабло из воздуха!