Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

6 Страницы«<23456>
Опции
К последнему сообщению К первому непрочитанному
Offline alex61  
#31 Оставлено : 28 октября 2019 г. 14:10:58(UTC)
alex61

Статус: Активный участник

Группы: Участники
Зарегистрирован: 05.03.2019(UTC)
Сообщений: 47
Российская Федерация
Откуда: РнД

Сказал(а) «Спасибо»: 2 раз
Добрый день.
В данной теме все время идут ссылки на некий закон (требование) насчет доверенного распространения/приобретения дистрибутивов. Может кто-нибудь поделиться ссылкой или наименованием данного закона (требования)?

Я имею ввиду именно требования к передаче дистрибутивов на физических носителях. Метод передачи подписанных дистрибутивов мне понятен. Но опять же юридичекую сторону необходимо подтянуть.

Отредактировано пользователем 28 октября 2019 г. 14:15:32(UTC)  | Причина: Не указана

Offline Винтик  
#32 Оставлено : 28 октября 2019 г. 17:56:03(UTC)
Винтик

Статус: Активный участник

Группы: Участники
Зарегистрирован: 20.11.2014(UTC)
Сообщений: 399

Сказал(а) «Спасибо»: 6 раз
Поблагодарили: 14 раз в 11 постах
Автор: alex61 Перейти к цитате
Добрый день.
В данной теме все время идут ссылки на некий закон (требование) насчет доверенного распространения/приобретения дистрибутивов. Может кто-нибудь поделиться ссылкой или наименованием данного закона (требования)?

Я имею ввиду именно требования к передаче дистрибутивов на физических носителях. Метод передачи подписанных дистрибутивов мне понятен. Но опять же юридичекую сторону необходимо подтянуть.



Тут я думаю так и не сойдутся не когда во мнение не кто, но если не хотите лишней возни,
то что всем в лом так купить этот один всего лишь диск?!!!
Ну если вы не понимаете сути, то купите и забудьте, нет же из за 500 руб удавятся, и зайдут на "Г"...
потом при проверка "обосру..." и получат лишние штрафы в 10 раз больше. Whistle

Это конечно всё не про вас да? Вы просто хотите понять всю дурость наших законов, ну тогда про кассы
давайте поговорим где ФН идёт как СКЗИ и требует такого же поэкземплярного (ой даже лучше это не упоминать тем,
кто сейчас попадает под это).

Ну давайте ещё раз по простому вернёмся к нашей теме, вот тут есть уже не мало и об одном и том же,
очень хорошо написано https://www.cryptopro.ru/forum2/default.aspx?g=posts&t=3810
Там основной акцент и проблема журнала и номера https://mvf.klerk.ru/ecp/pr152.htm
И тут самое простое и верное, это иметь хотя бы ОДИН такой 100% диск который записан в этот формуляр производителем
и который 100% гарантирует его целостность - т.е. это ваша основная копия по которой у вас не будет проблем.

Теперь вернёмся к диску и ПО которое ЛЕГАЛЬНО вы можете скачать с сайта и там же даже с инструкциями есть формуляр,
далее вы можете их распечатать, записать на диск скаченный СКЗИ, проверить его чем то СЕРТИФИЦИРОВАННЫМ (на пример
утилитой от КриптоПро, которая шла на прошлом сертиф. диске, ах да - у вас же нет диска..., ну тогда купите что то
вроде ФИКС, сертиф. проверялка не чем не лучше HashTab обычного, а скорее даже хуже т.к. во втором до кучи алгоритмов,
но надо же сертифицированное и ещё лиц на него иметь действующую и ДА не забудьте, что его вы тоже обязаны получить на
твердотельном носителе где в формуляре вписаны КС и только тогда проверив КС КриптоПро (хотя я могу ошибаться и ФИКС
может не поддерживать тот ГОСТ, но не он так тирет, в Сканер-ВС дополнение и т.п. всё одно к одному короче выйдет.).
..
И вот вы проконтролировали, сверили, ввели свой номер или иногда бывает используют номер лицензии в таком случае,
как на пример когда ViPNet CSP свободный скачивают проверяют и чтоб не выдумывать номер - номер лиц можно использовать
как поэкземплярный номер и быть может (тут не уверен т.к. не видел чтоб кто то доходил до такой глупости) ещё
на всякий случай уведомите производителя, что вы всё проверили, предъявите все данные (что у вас на тот момент все
поверочные средства были) сообщите им чтоб они может у себя ещё зарезервировали, хотя они только за свои номера
и экземпляры отвечают.

Ну а потом ещё в итоге может получится что то типа - а ещё покажите что вы можете с СКЗИ работать, сколько там надо,
образование высшие по тематике или без таматики но ещё больше 500 часов намотать по доп. в теме СКЗИ....

Ну в итоге итогов под итог - вам что делать больше нечего?
КриптоПро даже диск этот не так как Инфотекс накручивают, он там дармовой идёт - купили, записали и забили.
Надо копии - с него в нутри организации штаппуйте хоть мильон копий, только не зубудьте ещё мильон лицензий купить,
но диск вам надо эталонный всего один. В золотую рамочку его запечатаете и в сейф однотонный спрячьте :-)


Offline alex61  
#33 Оставлено : 29 октября 2019 г. 16:34:13(UTC)
alex61

Статус: Активный участник

Группы: Участники
Зарегистрирован: 05.03.2019(UTC)
Сообщений: 47
Российская Федерация
Откуда: РнД

Сказал(а) «Спасибо»: 2 раз
Я так понял, что накипело. Но опять же ответа конкретно на свой вопрос не увидел, только собранная воедино информация о получении через интернет . Заранее извиняюсь если плохо смотрел, но заставил себя перечитать пост раз 10.

Проясню пару моментов:
1. Лично я понимаю, что диск покупать надо.
2. Не я решаю покупать что-либо или нет.
3. Объяснение "Потому что так пишут на форуме" не прокатило. Тот кто решает, требует легитимный документ, в котором написано или хотя бы из которого следует, что нужно купить и иметь.


Опять же не раз написано, что по договоренности с ФСБ именно такой способ проверки согласован. Неужели он согласовывался каждым пользователем СКЗИ при личной встрече с конкретным проверяющим? И до сих пор не выпущено ни одного регламентирующего документа на этот счет? В это верится с трудом.

Приказ 152 глазами пробежал и поиском пробил. Ничего связанного с подтверждением подлинности СКЗИ путем проверки контрольной суммы с дистрибутивами, полученными доверенным способом, не нашел.

Еще раз, убедительная просьба, ответить кто знает, в каком документе прописано, что требуется экземпляр СКЗИ, полученный доверенным способом?


Offline Винтик  
#34 Оставлено : 29 октября 2019 г. 19:48:03(UTC)
Винтик

Статус: Активный участник

Группы: Участники
Зарегистрирован: 20.11.2014(UTC)
Сообщений: 399

Сказал(а) «Спасибо»: 6 раз
Поблагодарили: 14 раз в 11 постах
Автор: alex61 Перейти к цитате
Я так понял, что накипело.....

Приказ 152 глазами пробежал и поиском пробил. Ничего связанного с подтверждением подлинности СКЗИ путем проверки контрольной суммы с дистрибутивами, полученными доверенным способом, не нашел.

Еще раз, убедительная просьба, ответить кто знает, в каком документе прописано, что требуется экземпляр СКЗИ, полученный доверенным способом?




Angel Да неее - я же там написал, что это не для вас ;-)

Но мне почему то кажется, вам не будут платить, за то, чтоб вы ещё им это доказывали.
Всё это и эти журналы конечно тянутся от "дюрак.ратического" аппарата и многое в том же дуже,
тем более когда все знают что ВСЯ СТРАНА работает с СКЗИ (ну я про бухгалтеров в частности отмечу)
и посмотрите и лишите хотя бы одного возможности удалённого доступа и.... А ЭТО УЖЕ 100% нарушение
всего и вся, и о чём мы тут вопче говорим, и на что тратим свои жизни?
Пошлите на рыбалку, приходите в "КрпитоПрошный закрытый клуб УЦ", где то тут нашёл как то потайную дверьку)))
и поехали на рыбалку, а всё остальное гори оно....

Нет так нет - скачивайте с сайта, даже не используйте лицензию, просто делайте постойнный сброс
и всё будет работать, плювать на всё...
!!! НООО ТОЛЬКО ПИСЬМЕННО оформите служебку, где укажите, что вы в меру своей компетенции указали Фоме Жлобному о необходимости
приобретения поэкземплярного СКЗИ (если речь о КриптоПро CSP, то можно одного носителя, но если много филиалов
и они сильно распределены, и журналы понятно разные, то лучше по одному на каждое удалённое место, чтоб на местах
были свои образцы), но вас проигнорировали и все дальнейшие вопросы по данной тематике адресовать непосредственно Фоме.
Пишите также что составлен в 2-х экземплярах, один Фоме, другой вам.
И всё - дальше плюёте в потолок.

\ Обычно при таком, Фома Жлобный если такой экономист или всё же просто купит т.к. застрёмится на себя ответственность брать
или может ещё больше сдурнуть и написать прям в ФСБ и требовать обоснование и уж тут то они ему "ответят"... только как вы
поняли не ответом, а зная, что там 100% есть СКЗИ (как указал выше, вы попробуйте найти место где этого нет сейчас - бухгалтерия,
торги, алкоголь, всё что с онлайн кассами, вся сейчас пытающаяся создаться маркировка, 50% перс. даных которые непременно
передаются по сети, ..... - поняли вопчем да? Если им надо они идут в любое место, просто они ещё не настолько обеднели,
чтоб такими поборами ещё заниматься, но при таком обращении как от Фомы Жлобного - это же милое дело по выписывать предписаний
и штрафов и потом он узнает всё и даже больше, чего потом захочет забыть ;-) \

Ну и давайте как раз немножко посмотрим, что узнает из того что меньшего:

+ Методические_рекомендации_ФСБ_скзи
\ Если Фома тут попытается заикнуться типа у него нет средств автоматизации системы перс данных и это не к нему (хотя
это формальность и речь первоначально про СКЗИ, то путь заикается, пусть.. ФСБ это не интересно, но тут ФСТЭК
в соседнем здании сидят и Фома после ФСБ не успев столы убрать услышит стук в дверь и уже вы догадались
кто там будет не улыбаться)))) ну положено им быть строгими, но в душе они добрые \


Ну как Алекс? Надеюсь Фома ваш читать то хоть умеет? А это поверьте даже не начало, это только выбор места для грядки помидор,
там где навоза было достаточно и чтоб потом ууух такие плоды выросли))) давайте продолжать читать и Фоме теперь тыкаете
в документацию на изделия (там много всего, но я как пример же показываю только хотя бы давайте два документа, которые
вы можете скачать с их же сайта загрузки, показывать некоторое ГОСТ-ы с "грифом" ДСП это сильное нарушение будет и лишним,
но просто поверьте и там есть не мало всякой непонятности, а то что не знание законов не освобождает (даже если они закрытые),
это мы все уже с детства знаем, потому или доверяй или потом на скамье примеряй ;-)))).

Вариант КС-1 (остальные накручивают ещё использование доп, СЗИ, если Фоме будет интересно и не верит, сам почитает про КС-2,3)
ЖТЯИ.00087-03 91 01. Руководство администратора безопасности. Общая часть


ЖТЯИ.00087-03 30 01. Формуляр


Что и этого мало? Где чёрно по белому написано СОБЛЮДАТЬ ТРЕБОВАНИЕ ИНСТРУКЦИИ НА ИЗДЕЛИЕ,
а это не игрушка Матрёшка или Ванька встянька - это СКЗИ!!!
Ну давайте ещё тогда прочитаем немного лицензию на изделия (знаю их не кто не читает, но у
КриптоПро она адекватная и не на мильон страниц, потому имейте совесть!!!)

Лицензии на использование продукта необходимо приобретать в ООО "КРИПТО-ПРО" или у официального дилера.


Мне уже даже самому, стало всё понятно, как в анекдоте про учителя
- Уххх пока объяснял уже сам понял, а они ещё не поняли.

Но если так, то продолжаем и читаем...

19 марта 2005 г .
Российская газета - Федеральный выпуск №3724 (0) Приказ Федеральной службы безопасности Российской Федерации от 9 февраля 2005 г. N
66 г. Москва "Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных
(криптографических) средств защиты информации (Положение ПКЗ-2005)"


В.К.
Offline two_oceans  
#35 Оставлено : 30 октября 2019 г. 6:21:28(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 393 раз в 366 постах
Добрый день. Спасибо за разъяснение. Для себя понял вот что - у нас в организации есть доверенный диск Випнета, полученный по всем правилам (заказным письмом от дилера), получается я могу его утилитой проверки проверить хэши утилиты cpverify с сайта КриптоПро, а самой утилитой cpverify проверить весь дистрибутив КриптоПро, составить некий акт проверки и записать его на отдельный диск?

Отредактировано пользователем 30 октября 2019 г. 6:23:22(UTC)  | Причина: Не указана

Offline Винтик  
#36 Оставлено : 30 октября 2019 г. 7:33:21(UTC)
Винтик

Статус: Активный участник

Группы: Участники
Зарегистрирован: 20.11.2014(UTC)
Сообщений: 399

Сказал(а) «Спасибо»: 6 раз
Поблагодарили: 14 раз в 11 постах
Автор: two_oceans Перейти к цитате
Добрый день. Спасибо за разъяснение. Для себя понял вот что - у нас в организации есть доверенный диск Випнета, полученный по всем правилам (заказным письмом от дилера), получается я могу его утилитой проверки проверить хэши утилиты cpverify с сайта КриптоПро, а самой утилитой cpverify проверить весь дистрибутив КриптоПро, составить некий акт проверки и записать его на отдельный диск?


Логически вы правы, но только тут есть один "тонкий момент" который надо учитывать на всякий случай.
Инфотекс - это прямой конкурент и их утилита, хотя 100% и выполняет алгоритмы хеширования, но всё же
они не строняя компания, которая выпускает специализированное ПО для таких целей и "не привязана"
юридическим обязательством использовать её только в рамках программ выпущенных "для себя.

Вот на пример смотрим https://infotecs.ru/product/vipnet-hashcalc.html
ViPNet HashCalc - утилита для контроля целостности дистрибутивов программных продуктов компании ИнфоТеКС, которые доступны для загрузки на сайте компании.

Т.е. тоже самое может быть и с утилитой от КрптоПро - вы технически да, проверите и не будет вопросов, НО как это
юридически по соглашению пройдёт и не попадётся ли тот, кто скажет - Дайте описание на это ПО. где сказано,
что на для контроля ЛЮБОГО ПО?
Все понимают это "тупость", НО поверьте я как то сравнивал как считает ViPNet HashCalc и другое ПО которое для всех.
На моё удивление тот же самый ГОСТ я на ViPNet HashCalc сверку проходит 100%, а на другом ПО для снятия КС я так
и не смог добиться правильного результата, однако это НЕ повод, что ПО было повреждено, т.к. ГОСТ гсотом,
но "длину шага" вправе выбирать любую и потому в ViPNet HashCalc был пересчёт по своим правилам в другом
ПО по своим и оба варианты не оспоришь.

Так что как итог - тут вам решать, сможете вы потом это доказать или нет.
На 98% я уверен если написать в Инфотекс и попросить письменного подтверждения, они откажут и прокомментируют
что то вроде "ViPNet HashCalc - утилита для контроля целостности дистрибутивов программных продуктов компании ИнфоТеКС,
целостность других продуктов не гарантируем. Вы можете попросить производителей воспользоваться нашей утилитой
и заверить это в своих документациях, тогда вы сможете пользоваться ей"

Ну а теперь подумайте, что вам ответит КриптоПро, если вы попросите их это отразить в их документации? - это не вопрос,
отвечать на него не надо :-)


Offline two_oceans  
#37 Оставлено : 30 октября 2019 г. 10:57:45(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 393 раз в 366 постах
Автор: Винтик Перейти к цитате
Т.е. тоже самое может быть и с утилитой от КрптоПро - вы технически да, проверите и не будет вопросов, НО как это
юридически по соглашению пройдёт и не попадётся ли тот, кто скажет - Дайте описание на это ПО. где сказано,
что на для контроля ЛЮБОГО ПО?
В процитированной Вами документации есть ссылка на сертифицированное ПО, реализующее определенный алгоритм. Поэтому я скорее всего отвечу кому-то: утилита сертифицирована? сертифицирована. На доверенном ностителе? да. Реализует алгоритм гост-94? Реализует. Контрольные примеры совпадают с гост-94? Совпадают (с точностью до представления результата). По документам КриптоПро выходит что разрешается использовать, что сайте пишут не так важно (логично что конкуренты на своем сайте не напишут значения контрольных сумм КриптоПро), на заборах тоже много что пишут. Полагаю, окончательно надо смотреть в бумажных формулярах на утилиту. Ведь практически любой сертифицированный криптопровайдер еще и имеет компонент/утилиту для контроля целостности системных файлов, которые уже продукты Майкрософт. То есть будет непросто, например, запретить использовать cpverify для контроля любых файлов. Другой вопрос в том, что для "родных" файлов утилита еще и содержит ключ проверки подписи, помимо хэша проверяет и подпись, а для "прочих" файлов выдаст только хэш.

Цитата:
На 98% я уверен если написать в Инфотекс и попросить письменного подтверждения, они откажут
Ради смеха попробую запросить (не зря же с обновлением клиента снова втюхали в счет техподдержку), не указывая что для другого криптопровайдера, а "для любого ПО, хэш суммы которого указаны на сайте производителя ПО".
Автор: Винтик Перейти к цитате
На моё удивление тот же самый ГОСТ я на ViPNet HashCalc сверку проходит 100%, а на другом ПО для снятия КС я так и не смог добиться правильного результата, однако это НЕ повод, что ПО было повреждено, т.к. ГОСТ гсотом, но "длину шага" вправе выбирать любую и потому в ViPNet HashCalc был пересчёт по своим правилам в другом
ПО по своим и оба варианты не оспоришь.
Это известная проблема, гост-94 не регламентирует представление результата - есть 2 наиболее распостраненных парамсета гост-94 и 4 представления (2 порядка записи байтов умножить на 2 порядка полубайтов). Таким образом, не считая способа разделения шестадцатиричных цифр, возможно 8 вариантов результата выдаваемых утилитами, все из них соответствуют гост. Решается на раз - нужно посчитать контрольные примеры из госта обоими утилитами на одном парамсете и выяснить какое представление дает утилита. Закавыка только в том, что некоторые утилиты считают только определенным парамсетом и он может не совпасть у двух таких утилит. Потом можно перевести результат выданные утилитами в представление в госте (big endian без обмена половинок байта, то есть старший байт по младшему адресу, уточнение о порядке в госте есть в rfc по госту, а вот примеры парамсетов наоборот в little endian), убедиться что представление по госту совпадает и, допустим, заверить актом с описанием всех операций.

В целом, я думаю, считать хэш вообще имеет какой-то смысл только когда нет возможности проверить цифровую подпись КриптоПро. Целостность подписи очевидно будет нарушена при неверном скачивании.

Отредактировано пользователем 30 октября 2019 г. 11:24:54(UTC)  | Причина: Не указана

Offline Винтик  
#38 Оставлено : 30 октября 2019 г. 14:00:07(UTC)
Винтик

Статус: Активный участник

Группы: Участники
Зарегистрирован: 20.11.2014(UTC)
Сообщений: 399

Сказал(а) «Спасибо»: 6 раз
Поблагодарили: 14 раз в 11 постах
Автор: two_oceans Перейти к цитате
... Реализует алгоритм гост-94? Реализует. Контрольные примеры совпадают с гост-94? Совпадают (с точностью до представления результата)...


Я говорю что они не проходят вот такую на пример сертификацию
http://prp.su/products/s...pleksa-fix-versiya-2-0-2
ФИКС 2.0.2 имеет сертификат соответствия №1548, выданный ФСТЭК России, действительный до «15» января 2020 г.

Вот я про что, если вы не поняли.
А выше я выделил пожирнее, на что там идёт эта утилита и на что рассчитана.
Но конечно убеждать не стану, это ваше право.

Когда Инфотекс ответит сообщите, что в итоге вышло )))
Ещё и в КриптоПро тогда напишите официально, примут они такую проверку,
если вы скажите - я скачал, проверил этим, всё верно, теперь бы мне ещё в формуляр
номер написать какой то.





Offline nikolkas_spb  
#39 Оставлено : 30 октября 2019 г. 15:10:11(UTC)
nikolkas_spb

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.01.2017(UTC)
Сообщений: 219
Российская Федерация
Откуда: Санкт-Петербург

Сказал(а) «Спасибо»: 11 раз
Поблагодарили: 41 раз в 40 постах
Автор: Винтик Перейти к цитате
Ещё и в КриптоПро тогда напишите официально, примут они такую проверку,


вот чтобы не было этой канители и надо просто купить диск.
Цена свободы - вечная бдительность!
Offline Винтик  
#40 Оставлено : 30 октября 2019 г. 16:51:45(UTC)
Винтик

Статус: Активный участник

Группы: Участники
Зарегистрирован: 20.11.2014(UTC)
Сообщений: 399

Сказал(а) «Спасибо»: 6 раз
Поблагодарили: 14 раз в 11 постах
Автор: nikolkas_spb Перейти к цитате
Автор: Винтик Перейти к цитате
Ещё и в КриптоПро тогда напишите официально, примут они такую проверку,


вот чтобы не было этой канители и надо просто купить диск.


Вы это не мне, а им потом официально ответьте на запрос :-)

Я думаю когда начнут штрафовать и не выслушивать эти канители, вот тогда у них отпадут вопросы.
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
6 Страницы«<23456>
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.