Инфобезопасный дискуссионный клуб

Поделиться:
Уведомления
Очистить все

Криптографическая защита ПДн

4 Записи
2 Пользователи
0 Likes
143 Просмотры
(@kirill_msc)
New Member
16
Присоединился: 2 месяца назад
Записи: 2
Создатель темы  

Коллеги, добрый день.

В процессе проекта, связанного с интеграцией внутренней ИСПДн с внешней системой подрядчика, встал вопрос способа защиты передаваемых ПДн. Одним из решений – это применение реверсивного прокси сервера с протоколом TLS версии 1.2/1.3, но возникает вопрос, необходимо ли в обязательном порядке использовать криптоалгоритмы ГОСТ в протоколе TLS (например «Магма», «Кузнечик»)?

С точки зрения минимизации рисков – ответ очевиден, что да, как минимум – это получение сертификатов с отечественного удостоверяющего центра и минимальная вероятность, что он будет отозван, к примеру, как было с сертификатами зарубежных УЦ, применяемых на российских банковских онлайн-ресурсах. С точки зрения российского законодательства – четкого требования в НПА по применению TLS ГОСТ при передаче ПДн по открытым каналам не нашел...


   
Цитата
(@admin)
Участник Admin
1668
Присоединился: 10 месяцев назад
Записи: 76
 

Добрый день, @kirill_msc!

На счет сертификатов зарубежных УЦ мне даже такой риск в голову не приходил, хотя да, такая угроза существует. Ну уж если на то пошло, то для организации защищенного обмена с сайтом никто не мешает и самоподписанные сертификаты использовать. Так что риск тот еще. Но использование протокола TLS не только в сертификаты упирается.

Что касается обязательности использования сертифицированных СКЗИ в протоколе TLS при передачи по нему конфиденциальных ПДн, логика регуляторов подразумевает такое обязательное использование. Может быть вы напрямую в НПА такой формулировки и не найдете. Однако 152-ФЗ устанавливает обязательность использования СЗИ, прошедших оценку соответствия, а 378 приказ ФСБ даже не подразумевает возможности использования для защиты ПДн СКЗИ ниже класса КС1, т.е. сертифицированных по данному классу. Другие приказы ФСБ, которые можно сюда притянуть, так же даже не рассматривают возможности того, что СКЗИ могут быть не гостовые и не сертифицированные.

Поэтому, если вы представляете лицензиата ФСБ, то вам следует забыть даже о теоретической возможности существования не гостовых СКЗИ, не отечественных и не сертифицированных, тем более о возможности  использования таких СКЗИ для защиты любых видов конфиденциальной информации.

Если же вы представляете адвокатскую контору, то вы вполне можете пободаться на тему обязательности использования сертифицированных СКЗИ в конкретных ситуациях, т.к. эта простыня, как правило, шита белыми нитками.


   
ОтветитьЦитата
(@kirill_msc)
New Member
16
Присоединился: 2 месяца назад
Записи: 2
Создатель темы  

@admin Т.е. вы считаете, что в любом случае необходимо будет применять готовое сертифицированное решение (СКЗИ) вендора или собственное сертифицированное решение, даже если можно обойтись "малой кровью" с точки зрения затрат, например выполнить на Веб-сервере доработку библиотеки OpenSSL под свои нужды для организации шифрованного канала? К слову, ту же библиотеку OpenSSL на Веб-сервере можно доработать расширением Gost Engine, что в свою очередь обеспечит шифрование трафика отечественными криптоалгоритмами, но скорее все такое решение необходимо будет сертифицировать, чтобы соответствовать 378 приказу, как вы думайте?

 


   
ОтветитьЦитата
(@admin)
Участник Admin
1668
Присоединился: 10 месяцев назад
Записи: 76
 

Насколько я знаю, с точки зрения регулятора (ФСБ), для защиты ПДн необходимо применять только сертифицированные СКЗИ. Классы защищенности этих СКЗИ и требования к ним устанавливаются регулятором в соответствующих приказах. Готовые сертифицированные отечественные реализации TLS существуют.

По пути встраивания сертифицированного криптопровайдера в OpenSSL наверное тоже можно пойти. Я не берусь судить насколько это сложно и дорого. Но надо учесть, что есть сертификация самих крипто-библиотек (криптопровайдеров) и есть сертификация встраивания этих библиотек в различные продукты.

С точки зрения практической и экономической целесообразности, а также обеспечиваемого уровня ИБ в большинстве случаев вполне достаточно использовать стандартные бесплатные реализации TLS.

К слову сказать, вот что думает об этом Bard AI 😉 :

"Если ваша организация работает в странах, где требуется использование криптоалгоритмов ГОСТ для защиты информации, то рекомендуется рассмотреть возможность включения этих алгоритмов в протокол TLS. В противном случае, использование стандартных криптоалгоритмов, поддерживаемых протоколом TLS, может быть достаточным для обеспечения безопасности передаваемых данных".


   
ОтветитьЦитата
Поделиться:
Enable Notifications OK No thanks