Валерий Конявский: Периферийная защита ненадежна. Защищать нужно документы и технологии

CNews. ru: Какие наиболее интересные тенденции или события вам хотелось бы выделить на рынке защиты информации в 2002 г. и в начале этого года?

Валерий Конявский: На мой взгляд, 2002 год был очень важным годом для всей отрасли защиты информации. Мы, со своей стороны, ощутили интерес заказчиков к нашей системе защиты «Аккорд». 27 тысяч штук — это существенный показатель продаж. В скором времени мы ожидаем продажи 100-тысячного устройства «Аккорд» — тоже значимая для нас величина. Думаю, что мало кто из российских разработчиков аппаратуры может привести аналогичные примеры.

Обучение в области информационной безопасности сейчас обеспечивают 80 вузов страны, в которых почти везде читаются курсы по «защищенным информационным технологиям», однако ни в одном из этих курсов не дается определения собственно «защищенных информационных технологий». Как вариант, защищенными информационными технологиями называют, скажем, защищенную СУБД или Outlook Express, то есть какую-то конкретную задачу. Однако сейчас мы понимаем, что это не правильное определение, что информационная технология дуалистична, как и информация в целом, что она существует в динамической и статической форме. Мы понимаем, что технология представляет собой не совокупность, а последовательность операций, защиту которой требуется обеспечить. Сделать это можно только за счет специализированных аппаратных средств, позволяющих фиксировать прохождение сообщений через те или иные участки информационных технологий.

Таким образом, помимо трех названных составляющих был выявлен четвертый важнейший элемент, требующий защиты, — информационные технологии. При этом, из указанных четырех элементов только доступ к данным и каналы связи можно защищать без аппаратуры. Информационные технологии и компьютерные терминалы без аппаратуры защищать нельзя.

CNews. ru: Каких практических последствий можно ожидать после осознания рынком наличия этого четвертого элемента, требующего защиты?

Валерий Конявский: Практические последствия этого осознания будут заключаться в преобразовании систем электронного документооборота, которые будут перестроены с учетом требований защиты информационных технологий. Электронный документ должен приобрести специальные свойства, должен иметь встроенные метки безопасности, которые встраиваются на этапе создания документа, а не по факту изготовления. Я уже неоднократно приводил в качестве примера денежную купюру, в которую защита встроена в процессе изготовления и позволяет отличить подлинную купюру от поддельной. Аналогично нужно обеспечить встроенную защиту электронных документов. В соответствии с этим необходимо внести изменения во все системы электронного документооборота. В выигрыше оказываются отечественные системы, поскольку их коды контролируются разработчиками.

CNews. ru: Говоря об электронном документе, сейчас идут разговоры о том, что закон «Об ЭЦП» не удовлетворителен и требует изменений. На ваш взгляд, нужны ли какие-то изменения в законе? Как быстро могут появиться у нас удостоверяющие центры?

Валерий Конявский: В последнее время объявляется все большее количество тендеров на создание удостоверяющих центров. Этот факт говорит в первую очередь о том, что как явление они уже существуют, остается вопрос — когда они будут легализованы? Легализация в соответствии с законом предполагает выдачу этим центрам лицензии. Этот процесс был заторможен по некоторым причинам, хотя, насколько мне известно, около сотни заявлений на получение лицензий уже были поданы в ФАПСИ.

Зачем вообще нужны удостоверяющие центры? Очевидно, что в обществе в целом должна существовать система, позволяющая убедиться в вашей платежеспособности или возможности осуществить какую-либо операцию на ту или иную сумму. Эту функцию может выполнять система открытого распределения ключей. Сертификат ключа выполняет функции паспорта для представления партнеру — я тот-то и тот-то, мне можно совершать сделки на 100 руб. В рамках корпорации, где все участники между собой знакомы, такая система не является необходимой, однако тоже может использоваться. Может, но не обязана. Зачем мне регулярно проверять паспорт человека, которого я и так хорошо знаю? Более того — не припомню, что бы при покупке колбасы у меня спрашивали паспорт — хотя нет, помню, было. Не хочется, чтобы эти времена вернулись. Во всяком случае, если нет дефицита, то для покупки нужны деньги, а не паспорт. Так что если нам нужен корпоративный документооборот, автоматизация госзакупок и др., — удостоверяющие центры не обязательны, хотя и могут применяться.

Хочу обратить внимание на тот факт, что даже после решения вопросов об осуществлении лицензирования этой деятельности, удостоверяющие центры все равно не смогут в полной мере начать работу. Это обусловлено объективной причиной — невозможностью точно фиксировать время. Статьи 4, 12 и 13 закона «Об ЭЦП» содержат недвусмысленные упоминания о времени, в частности, в вопросах приостановления или аннулирования сертификата. Это необходимо, скажем, для решения спорных вопросов относительно первенства при регистрации заявок на торговые марки. Для того чтобы обеспечить полноценное функционирование механизма ЭЦП, должно абсолютно точно фиксироваться время. Однако системы единых меток времени в стране на сегодня не существует. Безусловно, их можно создать — например, на основе ТСС — технической службы синхронизации Минсвязи России. Любому другому ведомству будет сложно решить эту задачу. И это еще один аргумент в пользу того, что уполномоченным органом в области закона «Об ЭЦП» должно стать Министерство Российской Федерации по связи и информатизации.

До создания подобной системы меток единого времени удостоверяющие центры не смогут заработать на правовой основе в полной мере. Полагаю, что к полноценному функционированию они перейдут не ранее 2005 г. До этого момента будет вестись подготовительная работа.

CNews. ru: Должен ли быть изменен закон «Об ЭЦП» в связи с развитием электронного документооборота?

Валерий Конявский: Я могу ответить лишь вопросом — а как они связаны? Для регулирования отношений, возникающих при электронном документообороте, необходим закон об электронном документообороте, и конкретный механизм (ЭЦП) здесь не при чем. Другое дело, что в обществе сформировались завышенные ожидания относительно закона «Об ЭЦП», но с ними придется распрощаться. До сих пор в сознании общества электронный документ воспринимается как файл, подписанный ЭЦП. Это неправильно.

Вот две иллюстрации — шифрограмма и денежная купюра. И шифрограмма, и купюра не имеют ни подписей, ни печатей — но документами являются. Почему мы воспринимаем их как документы? Лишь потому (и этого достаточно), что доверяем технологии их изготовления. Если командир воинской части получает расшифровку приказа своего начальства из рук шифровальщика — он имеет все основания воспринимать полученный текст как документ (приказ). А если тот же текст окажется на рабочем столе неизвестно как — впору проводить служебное расследование. Для этого есть свои методы, мало известные в широких кругах. По-другому дело обстоит с купюрами — редко кто из нас получает их непосредственно из фабрики Госзнака. Чаще пути, которыми купюры попадают к нам — известны не досконально. И поведение наше отличается — купюры, полученные в отделении Сбербанка мы, как правило, лишь пересчитываем, а вот сдачу из рук рыночного торговца не грех и изучить на предмет подлинности внимательнее.

Технология электронного взаимодействия должна соответствовать сертифицированному эталону, ее соблюдение должно контролироваться. Сообщение становится документом только при одном условии — доверии к технологии изготовления. Иногда доверие может достигаться применением ЭЦП, чаще — другими методами. Вот это и должно стать предметом нового закона — об электронном документообороте.

CNews. ru: К каким изменениям на рынке приведет упразднение ФАПСИ?

Валерий Конявский: По нашим оценкам, скорее всего ни к каким. Та ниша, которую занимало на рынке агентство — т. е. криптография, является естественной и будет кем-то занята. Либо Минобороны, либо ФСБ, либо ФСО, куда и переводятся подразделения агентства, занимающиеся данной проблемой. Может быть, это и лучше, хотя неразбериха на первых порах неизбежна. ФАПСИ вообще все последние годы было принято ругать за позицию, не способствующую развитию рынка в стране. Хотя, как мне кажется, развивать рынок — задача не ФАПСИ, а МЭРТ. Задача ФАПСИ в обсуждаемой сфере — обеспечивать выполнение требований качества, непосредственно связанных с безопасностью. С этой задачей они справлялись — во всяком случае, мы ощущали положительное влияние их контроля на качество нашей продукции, хотя часто выход на рынок новых изделий затягивался, пока мы устраняли замечания. Обидно, конечно, было, но обида быстро прошла, а качество продукта осталось.

Сейчас много говорят о том, нужна ли нам «военная» криптография, «гражданская» (открытая) криптография. Давайте посмотрим, что у нас существует на настоящий момент. Во-первых, сняты ограничения на разработку и использование криптографии с коротким ключом, по крайней мере, в открытой («гражданской») криптографии. ФАПСИ заявило, что не будет этого касаться и, если у вас открытая криптография с ключом меньше 128, — пожалуйста, пользуйтесь. Что касается «военной» криптографии, то там ограничения будут всегда. Разумеется, должны развиваться и новые алгоритмы. Хотя лично у меня возникает вопрос: зачем делать новый алгоритм, если есть хороший старый? В целом, криптографию нельзя путать с защитой информации, это всего лишь одна, довольно узкая и специфичная ее часть.

В этом аспекте важны другие последствия. Раньше мы полагали, что уполномоченным органом в области ЭЦП будет либо ФАПСИ, либо Минсвязи России. Эта ситуация правительством так и не была окончательно разрешена. В зависимости от того, кто отвечает за закон, так или иначе будет развиваться вся технология. Поскольку механизм ЭЦП, прописанный законом, предназначен в первую очередь для общества, вряд ли его исполнением должны заниматься спецслужбы. На мой взгляд, более естественно было бы сделать уполномоченным органом гражданское ведомство — Минсвязи России.

CNews. ru: Все говорят о необходимости защиты информации, а есть ли у вас данные о подобных инцидентах в сфере ИБ в России? Или это «дутая» проблема?

Валерий Конявский: Эта угроза абсолютно реальна. В 2002 г. мы несколько раз отражали серьезные атаки по нашим информационным системам. Мы знаем точно, от кого они исходили и с какой целью. Более того, поскольку мы движемся в сторону информационного общества, эти угрозы возрастают.

В данный момент мы заканчиваем работу над книгой, которая называется «Летопись компьютерных преступлений», которую делаем на основе открытых материалов, начиная с 1999 года. Мы обрабатываем колоссальное количество информации, нам приходится существенно ограничивать ее объем. Так что проблема абсолютно реальна.

Несмотря ни на что, в первую очередь приходится бороться с человеческой глупостью. Вот простой пример — в супермаркете «Седьмой Континент» на каждом чеке печатается номер кредитной карты покупателя. Делается это кассовой системой уважаемой компании «Сервис-плюс». Это один из наиболее серьезных игроков на рынке кассовых аппаратов. О какой безопасности может идти речь? При этом мы говорим о сложных атаках, совершаемых хакерами, чтобы украсть номера кредитных карточек. Любой может набрать целую кучу таких чеков в урнах этой торговой сети. В этих магазинах впредь карточкой я расплачиваться вряд ли стану. Пока не приведут кассы в порядок.

CNews. ru: Известно, что вы являетесь одним из наиболее активных пропагандистов развития системы страхования информационных рисков. Как развивается это направление?

Валерий Конявский: Действительно, в свое время мы получали поручение по созданию системы страхования информационных рисков от администрации Президента. Необходимость развития подобной системы отмечена также в «Доктрине информационной безопасности», подписанной Президентом Российской Федерации. Кстати, в настоящее время Минсвязи планирует принять собственную концепцию информационной безопасности, которая, на наш взгляд, конкретизирует основные положения государственной доктрины по вопросам страхования информационных рисков применительно к такой важнейшей отрасли хозяйствования, какой являются связь и информатизация. Две страховые компании — «Ингосстрах» и «Росно» — уже осуществляют страхование информационных рисков. Выгодно это или нет — ответ очевиден, конечно выгодно, и прежде всего, для собственников информационных ресурсов.

Проблематика защиты от информационных рисков нашла также свое отражение в перечне приоритетных проблем научных исследований в области информационной безопасности Российской Федерации, одобренных секцией по информационной безопасности Научного совета при Совете безопасности РФ. Об интересе общества к этой проблеме говорит и высокая активность участников конференции по информационной безопасности, недавно проведенной АДЭ.

Вопрос в другом — как протекает внедрение системы страхования информационных рисков. Отвечу — не так активно, как хотелось бы. Но мы активизируемся — принято решение о создании специализированной компании, непосредственно осуществляющей страхование информационных рисков.

CNews. ru: Что значит «собственная концепция информационной безопасности Минсвязи России»? Как она будет интегрирована в общую федеральную систему?

Валерий Конявский: Связь и информатизация, являющиеся объектом ведения Минсвязи России, как и любая другая отрасль науки и техники, народно-хозяйственного комплекса страны, обладают своей спецификой, которая не может (да и не должна) быть отражена достаточно детально в общефедеральных концептуальных положениях по тем или иным вопросам. Разработка собственной концепции информационной безопасности, на наш взгляд, должна стать развитием действующей в нашем государстве Концепции национальной безопасности и ее важнейшей составной части — Доктрины информационной безопасности Российской Федерации. Отраслевая концепция учитывает как особенности и специфику отрасли связи и информатизации, так и роль и место министерства, как одного из основных разработчиков и держателей информационного ресурса страны. Она отражает основные взгляды на противодействие угрозам безопасности личности, общества и государства через информационную сферу; разрабатывается на основе уже принятых и действующих нормативных документов государства в области связи и информатизации, учитывает международный опыт.

CNews. ru: В прошлом году вы рассказывали о создаваемой вами по поручению Минсвязи системе центров безопасности технологий связи. Как в настоящий момент развивается этот проект?

Валерий Конявский: Существует определенная технологическая последовательность создания любой системы — сначала нужно разработать концепцию, а потом приступать к ее реализации. В разрабатываемой Концепции информационной безопасности Минсвязи России сформулированы основные идеи по созданию системы центров безопасности технологий связи (ЦБТС), их возможная структура, задачи и направления деятельности, основные принципы функционирования и взаимодействия с другими органами, обеспечивающими безопасность технологий связи. К сожалению, эта работа пока полностью не завершена, что не дает возможности приступить к следующему этапу по созданию системы ЦБТС. При этом, необходимость создания подобной системы стала более очевидной.

CNews. ru: На ваш взгляд, теракты 2001-2002 гг. как-то повлияли на рынок защиты информации в России?

Валерий Конявский: Честно говоря, прямого влияния я не вижу. В тоже время какое-то влияние на методы обеспечения защиты информации просматривается. Так, 17-20 марта 2003 г. в Российской академии наук проходил российско-американский симпозиум по высокотехнологичному терроризму, где, в частности, обсуждались вопросы по городскому и кибернетическому терроризму. Организатором выступил Международный институт безопасности сложных технических систем. Среди участников конференции, как с нашей, так и с американской стороны, не было разногласий относительно необходимости борьбы с кибертерроризмом.

Американцы сделали акцент на концепции ненадежности периферийной защиты, хотя в свое время именно они придумали все те средства, которые фактически защитой не являются, а только создают иллюзию защищенности. Мы, в свою очередь, ознакомили их с концепцией распределенной аппаратной защиты. Во всяком случае, стороны признали критическую необходимость аппаратной защиты информации по крайней мере в тех случаях, когда необходимо не просто защищать систему, а защитить ее надежно. 98% атак могут навредить и огорчить, и лишь 2% влекут за собой тяжелые экономические и социальные последствия. Эти 2% и отличают хулиганство и терроризм. От этих 2% атак и следует защищаться особенно тщательно. Если мы хотим защитить сложные системы, нам в любом случае приходится говорить не просто о высоком уровне защищенности, а о защищенности на 100%.

CNews. ru: Насколько явление хакерства для вас однородно? Готовы ли вы взаимодействовать с ними для совершенствования систем защиты?

Валерий Конявский: Хакерство неоднородно по своей сути. Кто-то «ломает» телефонные станции, кто-то атакует сайты, кто-то по заказу ворует список клиентов у конкурентов. Это разные люди и мотивы у них разные. Тем не менее, мы расцениваем хакеров как людей морально ущербных и не стремимся с ними взаимодействовать. Специалистов хорошего уровня критически мало. И мы, и, думаю, многие другие ищут и готовят специалистов. Так что существуют неограниченные возможности реализации себя в исследованиях и работе. Далеко не каждый человек позволит себе реализовываться за счет причинения вреда другим людям.

CNews. ru: ВНИИПВТИ входит в ассоциацию разработчиков средств обеспечения информационной безопасности. В чем вы видите роль этой ассоциации в развитии рынка?

Валерий Конявский: В создании цивилизованного рынка средств защиты. Специалисты первыми осознают необходимость в применении того или иного механизма защиты, но реально средства защиты начинают использоваться тогда, когда эта потребность осознана обществом — то есть создан рынок. Именно в этом и состоит деятельность ассоциации. Так, защита систем электронного документооборота будет востребована только тогда, когда общество осознает, что старые, известные методы защиты для этого непригодны.

До последнего времени проблематика технической защиты исчерпывалась защитой компьютеров от НСД, разграничением доступа к данным, сетевой защитой — и все. Ни на одном из этих этапов не рассматривался вопрос о том, что именно мы защищаем. Очевидно, что если завод производит чайники, а фабрика — ботинки, то возможным объектом преступных посягательств будут именно чайники и ботинки. Компьютерные системы не производят информацию. Они обрабатывают одни сообщения и вырабатывают другие.

Подчеркнем — в информационных системах производятся электронные документы. В процессе изготовления ЭлД участвуют такие объекты, как: компьютеры, данные (другие ЭлД), сетевые (телекоммуникационные) средства и информационные технологии. Раньше мы защищали компьютеры, данные, сети — но не защищали технологии. Сейчас мы находимся на переломном этапе — общество постепенно осознает, что между обычным и электронным документом существует гигантская пропасть, связанная с невозможностью восприятия электронного документа с помощью органов чувств человека.

Раньше способ определения подлинности документа основывался на изучении его носителя, от которого содержание документа было физически неотделимо. Электронный документ, во-первых, не воспринимается органами чувств человека непосредственно и, во-вторых, не связан неотделимо ни с каким носителем. В связи с этим подлинность (целостность и авторство) электронного документа не может контролироваться изучением особенностей носителя электронного документа, а может быть подтверждена только контролируемостью всех процессов, связанных с его обработкой. Метки безопасности, на наш взгляд, должны являться неотъемлемой частью содержания электронного документа, что позволило бы определить не только его подлинность на всех этапах технологического процесса обработки, но и место, время и средство, с помощью которого он был изготовлен.

Статус документа предполагает не только идентичность (соответствие эталону) собственно документа, но и соответствие эталонным требованиям примененных информационных технологий.

Защищенность объекта индицируется сопоставлением эталона (объекта в исходной точке пространства и времени) и результата (объекта в момент наблюдения). В нашем случае в точке наблюдения (получения ЭлД) имеется только весьма ограниченная контекстная информация об эталоне (содержании исходного ЭлД), но зато имеется полная информация о результате (наблюдаемом документе). Это означает, что ЭлД должен включать в свой состав атрибуты, удостоверяющие соблюдение технических и технологических требований, а именно — неизменность сообщения на всех этапах изготовления и транспортировки документа.

При защите технологии, в отличие от защиты ЭлД, достоверно известны характеристики требуемой технологии — эталона, но имеются ограниченные сведения о выполнении этих требований — о результате. Единственным объектом, который может нести информацию о фактической технологии (как последовательности операций), является собственно ЭлД, а точнее — входящие в него атрибуты.

Одним из видов этих атрибутов могут быть ЗКА. Эквивалентность технологий может быть установлена тем точнее, чем большее количество функциональных операций привязывается к сообщению через ЗКА. Готов ли рынок к применению настолько новых подходов? Пока нет. Стало быть, просветительство — важнейшая задача.

CNews. ru: В чем еще вы видите несовершенство рынка сейчас, помимо неграмотности пользователя?

Валерий Конявский: Я не стал бы называть «неграмотностью пользователя» его неинформированность. Неграмотность — это его проблема, а вот его неинформированность — это наша проблема.

Есть одна общая проблема — отсутствие механизмов, обеспечивающих капитализацию бизнеса. Именно поэтому у нас не слишком хорошо построены все рынки, включая и рынок защиты информации. К сожалению, пока для нас практически невозможно выйти с акциями на финансовый рынок — и это беда нашей экономики. Когда станет выгодно капитализировать предприятие и рынок станет открытым — это пойдет на пользу всем.

CNews. ru: Насколько российские компании смогут конкурировать с западными предприятиями в условиях открытого рынка?

Валерий Конявский: Мне кажется, вопрос нужно ставить по-другому — насколько западные компании смогут конкурировать с нами? Очевидно, что на нашем рынке они не смогут конкурировать — потому что отечественные продукты качественнее и лучше, чем западные. Это касается криптографии, антивирусных пакетов, аппаратных решений в области защиты от НСД. Успех в продвижении на западный рынок для наших компаний зависит от возможности капитализироваться. Однако конкуренции на рынке защиты информации, думаю, не боится никто, потому что наши решения сильнее, научно-технический уровень отечественных разработок значительно выше зарубежных.

CNews. ru: Средний уровень кадров в отрасли не снизился за последнее десятилетие?

Валерий Конявский: Количество профессионалов за последние годы не уменьшилось, а просто перераспределилось. Более 80 вузов страны на хорошем уровне обучают специалистов в области информационной безопасности. Ухудшения качества в целом не произошло. Однако некоторое ухудшение ситуации заметно в подготовке специалистов тех областей, которые долгое время не были востребованы. Допустим, сейчас почти невозможно найти хороших молодых конструкторов. У нас до сих пор работают конструкторы, которым 55 лет, и, к сожалению, крайне мало молодых специалистов, которые могли бы их заменить. На это, по нашим оценкам, потребуется 5-10 лет.

CNews. ru: Кто производит комплектующие для всех ваших аппаратных средств?

Валерий Конявский: Как правило, это западная комплектация. К сожалению, приходится констатировать, что российская микроэлектроника практически безвозвратно потеряна. Для нас это тем более печально, поскольку именно с микроэлектроники мы в свое время начинали и, думаю, что до сих пор можем похвастаться некоторыми разработанными тогда изделиями. Сейчас же отечественную микроэлектронику нужно создавать с самого начала — если вообще имеет смысл это делать. Ведь реальной конкуренции тем продуктам, которые поставляют крупнейшие компании мира, составить практически невозможно. Тем не менее, возрождать это направление нужно, хотя бы потому, что интеллектуальный уровень в обществе не может быть локальным. И если кто-то делает хорошую аппаратуру, другие должны делать неплохие микросхемы, хорошие программы. Любая технологическая культура должна быть однородной.

CNews. ru: В каких ключевых проектах используется система «Аккорд»?

Валерий Конявский: Система внедрена, например, в Центральном Банке Российской Федерации, в Сбербанке России. Кроме того, наши клиенты — Государственный таможенный комитет, Федеральная пограничная служба Российской Федерации, Пенсионный фонд Российской Федерации. Из наиболее крупных пользователей, появившихся в 2002 г., могу называть Госкомстат России.

CNews. ru: Все эти организации приняли за основу своей стратегии в сфере безопасности именно аппаратные средства?

Валерий Конявский: Да, и эта стратегия окончательно зафиксирована обществом. Сегодня уже все понимают, что программные средства с помощью программных средств защитить нельзя. Хотя продукты этого направления продолжают появляться на рынке — например, программное решение одного из наших конкурентов, основанное на модификации BIOS. Тем не менее, профессионалы понимают, что защита может быть только аппаратная. По крайней мере, первый ее уровень. Дальше можно развивать все остальное.

CNews. ru: Спасибо.

Особое Конструкторское Бюро Систем Автоматизированного Проектирования (ОКБ САПР), созданное при ВНИИПВТИ является признанным разработчиком и производителем программно-аппаратных комплексов средств защиты от несанкционированного доступа «Аккорд»ТМ, технологий защиты информации и электронного документооборота на их основе. Реализованные в СЗИ НСД семейства «Аккорд» требования к аппаратным СЗИ и принципы аппаратной защиты уже стали фактическим стандартом и применяются всеми крупными разработчиками средств защиты, действующими на российском рынке СЗИ.

ОКБ САПР является лицензиатом ФСБ, Гостехкомиссии России и ФАПСИ, имеет аттестованное Гостехкомиссией России производство средств защиты информации от несанкционированного доступа и широкую дилерскую сеть в большинстве субъектов Российской Федерации, ведет активную работу по подготовке специалистов в области защиты информации. На изделия ОКБ САПР получено: 22 сертификата Гостехкомиссии России, Минобороны России — 1, 4 сертификата ФАПСИ и 3 сертификата системы Госстандарта России.

Вернуться на главную страницу обзора