Перейти к основному контенту
Технологии и медиа ,  
0 
Эксклюзив

Депутаты предложили защитить Рунет с помощью отечественного шифрования

Эксперты предупреждают, что это облегчит российским спецслужбам расшифровку трафика
Профильный комитет Госдумы подготовил поправки в законопроект о суверенном Рунете, которые обяжут шифровать весь трафик с помощью российской криптографии. Это может облегчить спецслужбам расшифровку сообщений, указывают эксперты
Фото: Silas Stein / DPA / ТАСС
Фото: Silas Stein / DPA / ТАСС

Комитет Госдумы по информационной политике подготовил поправки ко второму чтению в так называемый законопроект о суверенном Рунете, которые обязывают передавать информацию в российском сегменте интернета с использованием отечественных средств шифрования. Об этом РБК рассказали два источника в ИТ-индустрии.

«Распространение или предоставление информации в электронном виде осуществляется с использованием кодирования такой информации. Правительство Российской Федерации устанавливает порядок выдачи и использования кодов и средств шифрования, необходимых для кодирования информации, а также определяет лиц, уполномоченных выдавать такие коды и средства шифрования», — говорится в проекте текста поправок, подписанном главой думского комитета Леонидом Левиным (копия документа есть у РБК). Левин от комментариев отказался, отметив, что поправки еще находятся в работе.

Медведев заявил об отсутствии планов регулировать Рунет по образцу Китая
Политика

Документ отдельно обязывает организаторов распространения информации (ОРИ), то есть компании, управляющие сервисами по обмену сообщениями, обеспечить возможность использования дополнительного кодирования электронных сообщений с использованием средств шифрования, одобренных правительством. В реестре ОРИ, который ведет Роскомнадзор, сейчас находится более 170 компаний, среди которых «Яндекс», Telegram, Сбербанк, Mail.Ru Group, Opera, WeChat, Vimeo.

Отечественное шифрование, согласно поправкам, также будет использоваться в государственных информационных системах (ГИС), то есть в системе госзакупок, на портале госуслуг, в системе государственных и муниципальных платежей и др.

Что и как сейчас шифруется в интернете

В браузерах при установлении защищенного HTTPS-соединения используются SSL-сертификаты, которые позволяют зашифровать данные и проверить, действительно ли сайт, на который заходит пользователь, принадлежит той компании, которая на нем указана. В настройках браузеров есть список корневых доверенных центров сертификации, и каждый сайт, который хочет зашифровать обмен данными со своими поcетителями, должен приобрести сертификат у одного из таких центров. Годовая лицензия на популярные SSL-сертификаты стоит от 3 тыс. до 30 тыс. руб. Эта система позволяет зашифровать трафик в соцсетях, онлайн-банкинге, интернет-магазинах и на других сайтах, где важен защищенный обмен данными. У России собственных корневых доверенных центров сертификации нет, поэтому даже на государственных сайтах используются иностранные SSL-сертификаты. Так, на сайте gosuslugi.ru стоит сертификат американской компании COMODO, а на сайте nalog.ru — сертификат от Thawte.

Большинство мессенджеров в последние годы стали использовать end-to-end шифрование, при котором ключи генерируются и хранятся на устройствах пользователей, и у администрации сервиса нет доступа к ним. Такой вид шифрования используется в WhatsApp, Telegram и Viber. У Telegram на почве этого возник конфликт с ФСБ — ведомство требовало от компании передать ключи шифрования, чтобы декодировать переписку некоторых пользователей, а основатель компании Павел Дуров утверждал, что сервис ими просто не обладает.

Кому придется использовать отечественную криптографию

На практике предложенные поправки означают, что все крупные российские интернет-компании должны будут внедрить российские средства шифрования в свои продукты — почтовые клиенты, браузеры, мессенджеры и др., считает гендиректор Института исследований интернета Карен Казарян.

Программа развития РБК Pro Освойте 52 навыка за год
Программа развития — удобный инструмент непрерывного обучения новым навыкам для успешной карьеры

Дума ужесточила законопроекты Клишаса
Политика
Андрей Клишас

«Например, в случае с браузерами это означает, что им придется добавить российскую структуру в доверенные корневые центры сертификации в настройках. При этом все мировые центры сертификации — это, как правило, частные компании: GlobalSign, DigiCert и др. Попытки некоторых стран создать свои государственные центры сертификации, как показывает практика, заканчиваются не очень красиво — взять, к примеру, случай с Китаем. Именно поэтому бытует мнение, что национальные стандарты криптографии продвигаются странами исключительно в целях контроля за гражданами», — говорит Казарян.

В апреле 2015 года Google и Mozilla Foundation удалили корневые сертификаты китайского государственного удостоверяющего центра CNNIC из браузеров Chrome и Firefox после того, как обнаружили, что организация выдала сертификаты некой компании, создавшей фальшивые страницы Google. Предполагалось, что подставные страницы могли быть использованы для слежки за китайскими посетителями ресурсов Google.

«Криптография сейчас используется во всех значимых интернет-сервисах — мессенджерах, соцсетях, онлайн-банкинге, ради которого, собственно, изобрели протокол SSL. В интернете сейчас больше 80% шифрованного трафика, и его доля продолжает расти», — говорит разработчик отечественных систем шифрования Дмитрий Белявский. Он отмечает, что предлагаемые поправками меры не дают шансов сделать использование отечественной криптографии добровольным и удобным.

Роскомнадзор предложил протестировать Рунет на «суверенность»
Технологии и медиа
Фото:Marcelo Perez del Carpio / Bloomberg

«В идеале нужно было бы добиваться поддержки российской криптографии на международном уровне в массово распространяемом программном обеспечении, например браузерах. Я имею в виду не принудительно заставлять внедрять отечественное шифрование в «Яндекс.Браузер», а добиться поддержки отечественных средств шифрования в Google Chrome, Mozilla Firefox и т.д. Также необходим международно признанный удостоверяющий центр с российской криптографией, а об этом пока речи не идет», — говорит Белявский.

Фото: Виктория Вотоновская / ТАСС

Какие риски возникают при использовании российского шифрования

Ряд опрошенных РБК экспертов выразили беспокойство тем, что массовое использование отечественных средств шифрования может помочь российским силовым структурам расшифровывать российский интернет-трафик, который операторы связи и ОРИ с прошлого года должны хранить в рамках так называемого закона Яровой.

«Полагаю, российские органы власти будут декларировать необходимость использования отечественных средств шифрования исключительно защитными функциями, объясняя это тем, что в иностранной криптографии могут быть уязвимости или закладки, которые позволят расшифровывать сообщения пользователей. Однако мы не знаем, насколько надежны отечественные средства шифрования. Если предположить, что в них тоже есть какие-либо закладки, то массовое использование российской криптографии позволит силовым структурам расшифровывать весь тот трафик, большие объемы которого в рамках «закона Яровой» должны хранить операторы связи», — говорит независимый эксперт Алексей Семеняка.

Исполнение законопроекта о суверенном Рунете подорожало до ₽30 млрд
Технологии и медиа
Фото:Сергей Карпов / ТАСС

У экспертов по криптографии ранее уже возникали вопросы к двум российским криптографическим стандартам — «Кузнечик» и «Стрибог», разработанным Центром защиты информации и специальной связи ФСБ при участии компании «ИнфоТеКС». Так, в 2015 году исследователь Лео Перрин из Университета Люксембурга и его коллеги представили доклад, в котором рассказывалось о некоторых скрытых особенностях упомянутых алгоритмов, которые могут свидетельствовать о специально заложенных уязвимостях. В феврале 2019 года Перрин представил еще одно исследование, в котором вновь обосновал этот тезис.

«В статье Лео Перрина дается только предположение о наличии алгоритма построения S-box, и при этом сразу же, без каких-либо обоснований и примеров реализации атак на криптоалгоритмы, делается вывод о наличии в них недекларированных возможностей, то есть закладок. На наш взгляд, эта публикация носит явно спекулятивный характер и имеет своей целью срыв работ российских экспертов по продвижению указанных криптоалгоритмов в международные стандарты ИСО», — сообщили РБК в пресс-службе «ИнфоТеКС».

Что будут делать иностранные компании

«В реестре ОРИ есть немало иностранных компаний, поэтому требование использовать отечественную криптографию коснется и их. Но есть подозрение, что ни один иностранный игрок на это не пойдет, а даже если и решится, из-за экспортных ограничений внедрить российскую криптографию он не сможет», — говорит Карен Казарян.

Независимый эксперт в сфере информационной безопасности Алексей Лукацкий подтверждает, что по действующему российскому законодательству разработать средства криптографической защиты и встроить их в готовые решения, например мессенджеры, могут только резиденты России, имеющие соответствующую лицензию ФСБ. «Ряд иностранных вендоров пытался встроить в свои продукты отечественную криптографию, в ходе чего выяснилось, что единственный легитимный вариант — это создание совместного продукта с российской компанией — разработчиком средств криптографической защиты информации (СКЗИ)», — говорит Лукацкий.

При этом рынок СКЗИ в России практически поделен между двумя компаниями, которые в конечном счете могут оказаться бенефициарами этого законопроекта, утверждают два собеседника РБК на рынке информационной безопасности. «На 90% рынок СКЗИ делят «ИнфоТеКС» и «Код безопасности» (входит в холдинг «Информзащита». — РБК), причем у первой компании доля больше. «ИнфоТеКС» неявно прописан во многих постановлениях правительства — их используют госорганы в системе межведомственного электронного взаимодействия, а также для присоединения к системам ФинЦЕРТа Банка России и ГосСОПКА, которую создает ФСБ», — говорит собеседник РБК. В сентябре 2018 года компания «ИнфоТеКС» попала под санкции США за «способствование злонамеренной деятельности в киберпространстве».

Как Рунет должен стать «суверенным»

Законопроект о суверенном Рунете внесли в Госдуму в середине декабря 2018 года, его авторы — сенаторы Андрей Клишас и Людмила Бокова, а также депутат Андрей Луговой. Документ призван защитить российский сегмент интернета от внешних угроз и, в частности, предписывает всем операторам связи установить на свои сети специальное оборудование, которое позволит отражать различные атаки, а также даст возможность управлять Рунетом Роскомнадзору в случае какой-либо критической ситуации. Установленное оборудование также будет фильтровать трафик, ограничивая доступ к запрещенным в России ресурсам. В прошлом году данное оборудование уже протестировали на сети «Ростелекома», а в ближайшее время его тестирование может начаться на сетях операторов МТС, «МегаФона» и «ВымпелКома». Согласно данным программы «Цифровая экономика», расходы на этот законопроект запланированы в размере более 30 млрд руб., из которых 20,8 млрд руб. должны пойти на закупку оборудования.

В феврале 2019 года законопроект был принят в первом чтении, дата второго еще не назначена.

Авторы
Теги
Магазин исследований Аналитика по теме "Интернет-торговля"
Прямой эфир
Ошибка воспроизведения видео. Пожалуйста, обновите ваш браузер.

  

Лента новостей
Курс евро на 29 марта
EUR ЦБ: 99,71 (-0,56)
Инвестиции, 28 мар, 16:51
Курс доллара на 29 марта
USD ЦБ: 92,26 (-0,33)
Инвестиции, 28 мар, 16:51
В Днепре и Черкассах прогремели взрывы Политика, 01:34
Лавров назвал пиаром заявления Макрона об отправке войск на Украину Политика, 01:26
Генштаб отправил в запас достигших 27-летия до 2024 года призывников Политика, 00:56
Пассажир впал в кому во время суточной задержки рейса из Таиланда Общество, 00:39
Генштаб пообещал не привлекать срочников весеннего призыва к спецоперации Политика, 00:35
Власти Казахстана призвали сограждан покинуть Одессу и Харьков Политика, 00:16
Одержит ли «Спартак» первую победу в этом году в РПЛ. Интриги тура Спорт, 00:00
Тайм-менеджмент: как больше успевать
За 5 дней вы пересмотрите свой подход к планированию и научитесь разным инструментам тайм-менеджмента
Подробнее
Верховный суд обязал ВТБ заплатить НДС за лицензии на Microsoft Технологии и медиа, 00:00
Минпросвещения дало советы тем, чьих детей призывают к терроризму Общество, 28 мар, 23:58
Какими будут обои и ламинат: где можно увидеть ремонт будущей квартиры РБК и ПИК, 28 мар, 23:33
В Киевской области прогремели взрывы Политика, 28 мар, 23:31
Зеленский объяснил нежелание некоторых стран ехать на саммит по Украине Политика, 28 мар, 23:28
Europe 1 узнала о возможной отмене церемонии открытия Олимпийских игр Спорт, 28 мар, 23:24
Вино и ферросплавы. Что известно об изъятии активов уральских бизнесменов Бизнес, 28 мар, 23:09