«Обращайтесь к разработчикам СКЗИ, чтобы сократить время на создание действительно защищённого криптографическими методами ПО»

«Обращайтесь к разработчикам СКЗИ, чтобы сократить время на создание действительно защищённого криптографическими методами ПО»

— Насколько сложно быть разработчиком и производителем криптографических решений, в чём специфика этой области деятельности?

— При наличии профильных специалистов в области разработки криптографических средств, математиков-криптографов, а таких специалистов готовят лишь несколько учебных заведений в России, готовности организации-разработчика работать с информацией ограниченного доступа, включая информацию, составляющую государственную тайну, а также готовности вкладываться в достаточно длинные циклы разработки и сертификации своих СКЗИ-продуктов, разработка и поддержка СКЗИ превращаются во вполне типичную деятельность по созданию и поддержке программных или программно-аппаратных продуктов. Другими словами: если у вас есть соответствующие компетенции и ресурсы, разработка СКЗИ не сложнее любой другой профессиональной области деятельности, предполагающей разработку ПО и железа, основанной на определенных алгоритмах и математической теории. 

Специфики в этой области деятельности достаточно много: жёсткое регулирование со стороны ФСБ России, небольшое число профильных специалистов по сравнению с обычными разработчиками, большое разнообразие сценариев применения СКЗИ в тех или иных информационных системах (ИС): от обычных офисных систем до систем IoT и промышленных систем автоматизации, мобильных устройств, что порождает большое разнообразие видов и типов СКЗИ и, как следствие, специфику их реализации и сертификации. Одной компании-разработчику очень сложно в равной степени уделять внимание и иметь в продуктовой линейке все возможные типы СКЗИ — ​все так или иначе выбирают определённую продуктовую нишу, на которой и специализируются. 

Также не следует забывать, что СКЗИ при всей своей специфичности — ​это средство защиты информации, элемент информационной системы, который сам по себе должен соответствовать жёстким требованиям безопасности. Недостаточно написать программный код, который будет реализовывать тот или иной криптоалгоритм, надо ещё реализовать правильные, безопасные механизмы работы с ключами, интерфейсы взаимодействия СКЗИ с другими элементами ИС и много чего ещё. Не все разработчики прикладных систем это понимают и часто считают, что достаточно взять open-source реализацию криптоалгоритмов, где-то и как-то сформировать ключи защиты и — ​voilà — ​я уже использую криптографию в своём приложении — ​всё хорошо. К сожалению, практика показывает, что такие подходы часто приводят к отсутствию реальной защиты данных и являются всего лишь опасной иллюзией применения криптографии. Поэтому хочется всех разработчиков ПО и железа призвать не заниматься экспериментами, а обращаться к нам, разработчикам СКЗИ, чтобы сократить время на создание действительно защищённого криптографическими методами ПО и ИС. 

— ИнфоТеКС делает серьёзные вложения в квантовые криптографические системы. Почему это для вас важно и какие новые перспективы вы видите в этом направлении?

— Одной из базовых задач в практической криптографии является задача распределения криптографических ключей по местам установки СКЗИ. Ключи бывают разных видов и в больших ИС их может быть очень много. Ключи нельзя использовать бесконечно. В зависимости от вида решаемой задачи их надо с заданной периодичностью менять. Поэтому в больших, территориально распределённых ИС эта задача может требовать достаточно серьёзных ресурсов администраторов безопасности, даже при условии наличия в СКЗИ механизмов удалённой смены ключей — ​в любом случае человек нажимает на кнопки. И человек может оказаться не совсем доверенным лицом либо просто нарушить по ошибке или недомыслию инструкции по смене ключей… и ключи могут оказаться в руках нарушителя, что приведёт к компрометации всей криптографической системы защиты. К сожалению, такие прецеденты случаются.

Системы квантового распределения ключей (КРК) — ​единственные в своём роде системы, использующие в своей основе фундаментальные физические законы квантового мира, позволяющие исключить человека-администратора из процесса обновления ключей для СКЗИ и максимально осложнить попытки нарушителей эти ключи перехватить или подменить. На принципах работы систем КРК останавливаться не будем — ​здесь много своей «квантовой магии», порекомендую обратиться к множеству публикаций по теме, в том числе к публикациям нашей компании.

Вторым важным качеством систем КРК является скорость автоматической выработки ключей для СКЗИ, что позволяет таким системам в перспективе противостоять «квантовой угрозе» или способности будущих квантовых компьютеров эффективно взламывать существующие асимметричные криптосистемы, на которых построены все существующие системы юридически значимого ЭДО, банковские системы и многие другие, включая безопасные интернет-соединения на основе протоколов SSL/TLS. Быстрая же смена асимметричных ключей под защитой квантовозащищённых ключей может существенно снизить возможные последствия взлома квантовым компьютером таких систем, и при этом ещё отсутствует человеческий фактор.

Тут сразу хотелось бы дать комментарий про постквантовую криптографию, которую некоторые противопоставляют системам квантового распределения ключей и считают при этом универсальным рецептом решения всех криптографических задач. Постквантовая криптография — ​это попытка математиков-криптографов придумать алгоритмы, которые не взламывались бы квантовым компьютером. Определённые успехи на этом пути уже достигнуты, но эта область знаний ещё очень молода по сравнению с классической криптографией, и нет гарантий, что для того или иного постквантового алгоритма не будет предложен способ взлома на обычном компьютере — ​такие прецеденты тоже уже есть! Но даже если предположить, что мы сумели доказать надёжность какого-либо постквантового алгоритма, то многие из них страдают серьёзным недостатком — ​длины ключей в них могут на несколько порядков превышать длины современных асимметричных ключей. Эти ключи тоже надо распределять и обновлять. И вот здесь на помощь готовы прийти системы КРК. Поэтому следует говорить не о конкуренции систем КРК с постквантовой криптографией, а о возможности объединения в будущем этих двух направлений развития криптографических решений.

Все эти замечательные и уникальные свойства систем КРК, на наш взгляд, однозначно заслуживают внимания разработчиков СКЗИ и отрасли ИБ в целом. Не зря в России в рамках Национальной программы «Цифровая экономика РФ» было выделено и поддерживается отдельное высокотехнологичное направление под названием «Квантовые коммуникации». И поэтому наша компания уже восемь лет активно развивает это направление и имеет сертифицированные и массово производимые продукты — ​элементы систем КРК, которые поставляются ряду заказчиков и находятся в реальной эксплуатации.

— Ваша компания стояла у истоков ТК26 и симпозиума CTCrypt. Ведение функций секретариата ТК 26 сейчас возложено на АО «ИнфоТеКС». Это серьёзные затраты времени и средств. Такая общественная нагрузка оправдана для вашей компании? Что ещё вы делаете для криптографического сообщества?

— Будет не совсем правильным считать такие активности исключительно общественной нагрузкой. Вся наша работа по линии ТК26 — ​подготовка и проведение первых CTCrypt, а сейчас активное участие в формировании программы и работе на новых симпозиумах — ​имеет под собой понятные практические основания. Так, например, CTCrypt задумывался как площадка обмена опытом с международным криптографическим сообществом с целью получения оснований для вывода на международный уровень отечественных криптоалгоритмов. И задумка удалась — ​несколько криптоалгоритмов ГОСТ вошли в международные стандарты. С целью национальной стандартизации криптографических механизмов был создан технический комитет ТК26 «Криптографическая защита информации». Всё это продемонстрировало всему миру высокий потенциал России как страны, обладающей собственной сильной криптографической школой и готовой делиться своим опытом и наработками с заинтересованными специалистами в других странах. А для нашей компании эта работа стала точкой входа в систему национальной стандартизации. К настоящему моменту мы являемся авторами целого ряда национальных стандартов в области криптографии, что является хорошим стимулом для развития наших специалистов, а также позволяет защищать вложения компании в такие перспективные направления развития продуктов, как системы КРК, о которых я рассказал выше, и специализированные криптографические решения для промышленных систем автоматизации и IoT. 

Помимо работы в ТК26 и в рамках симпозиумов CTCrypt, ИнфоТеКС активно поддерживает и другие криптографические конференции: РусКрипто, PKI-Форум.

Ещё одним важным направлением своей работы в части популяризации отечественной криптографии и криптографических методов защиты информации в целом мы считаем подготовку новых инженерных кадров, которые со студенческой скамьи, будь то программисты или инженеры-схемотехники, начинают осваивать работу с СКЗИ. Поставляем в вузы и колледжи свои учебно-методические комплексы с СКЗИ, оборудуем учебные лаборатории, приглашаем преподавателей и студентов участвовать в грантовой программе ИнфоТеКС Академии и в наших публичных мероприятиях, где мы рассказываем о месте и роли криптографической защиты в современных ИС.