Сертификация ФСТЭК решений на базе MS Windows - фикция? - Форум по вопросам информационной безопасности

Каким образом получается, что существует множество сертифицированных ФСТЭК продуктов, рассчитанных на работу под MS Windows?

Разве можно считать безопасной систему, в которой основная часть - с закрытым кодом?
Пусть даже сам продукт сертифицирован на наличие НДВ, но если операционная система принципиально не может пройти такую сертификацию, то безопасность всего комплекса - фикция...

Интересует официальное мнение экспертов ФСТЭК поэтому вопросу...

Официальное мнение экспертов, в том числе и ФСТЭК, изложено в ГОСТ 15408, предполагающем 7 уровней доверия к сертифицируемого продукта.

Глубина анализа крайне слабо зависит от открытости или закрытости исходного кода. Windows системы и большинство западных средств защиты сертифицируются на первом (низшем) уровне. Большинство дистрибутивов Linux с трудом дотягивают до ОУД2: видите ли, мало предоставить исходный код, его еще и корректно документировать нужно. Документации для ОУД4 по RHEL и SLES выбивалась из IBM и Novell с редкостным геморроем.

Среди систем, сертифицированных с ОУД7 (такие есть в Европе) систем с открытым исходным кодом мне как-то наблюдать не приходилось. Найдете пример - отпишите :)

MS предоставляет во ФСТЭК исх коды

> MS предоставляет во ФСТЭК исх коды

Предоставляет. Однако при сертификации они не используются: ОУД1, в расках которого проводилась сертификация Windows и близко не предполагает изучения исходных кодов.

Ну да, и к тому же нет гарантиии что это именно те исходные коды, из которых бинарники компилируются. Процесс сборки закрыт.

Вообще я не понимаю этого...
Аналогия элементарная:
Какую сейсмоустойчивую мебель не покупай в квартиру, если дом не сейсмоустойчив, то все развалится при первом толчке.

Все-таки эта сертификация - фикция...

Китайцы сделали правильно - создали _свой_ государственый дистрибутив (Red Flag) и гос-контору по его поддержке.
Хитрые, однако :) И америкосам бабло незачем платить.

Любая сертификация ФСТЭК - это фикция. Все почему то обращают внимание на НДВ. А кто читал требования для проверки НДВ? Отсутствие избыточности на уровне файлов!!! И это требование для 4 уровня НДВ, который необходим для К1. А ПО, вообще, работать должно? Ничего не написано про это. Или оно должно работать только в части тех требований, которые предъявляются к НСД? Лаборатории как-то умудряются понять, что этот модуль связан с безопасностью, а другой нет - видимо эти "спецы" никогда не видели эксплойтов, и вся безопасность для них - это РД или начальник.
Проверку на НДВ надо отменить (чтобы не позориться хотя бы перед разработчиком), потому что лаборатория, в которой проектом занимается людей на порядок меньше, чем в лаборатории разработчика, и ни разу не видевших код проекта, найти что-либо связанное с нарушением безопасности просто не сможет - ни статический ни динамический анализ не спасет (тем более АИСТом :-)).

Коллеги, спасибо Вам за подробное комментирование сути вопроса - во многом разобрался. А кто подскажет - собираемся на курсы в "Эшелон" (Москва) по сертификации ПО - всего 5 дней - на мой взгляд очень мало для такой темы. Реально ли уяснить основы проблемы за такой срок ?

Тут я смотрю два крутых специалиста (Wakizashi и CoolZero ) в области сертификации ПО отметились.
Не сочтите за труд, просветите почтеннейшую публику, где столь фундаментальных знаний понабрались, на каком предприятии проходили стажировку или работали? Может непосредственно участвовали в сертификации кокой нибудь ОС? *****ть , как известно, гораздо легче чем, перемещать собственными силами сыпучие грузы в мягкой таре.

Климу. На курсах "Эшелона" вам дадут основные базовые понятия. Специалистом в этой области вы сможете стать только под присмотром опытного наставника перелопатив за несколько лет гору литературы и вывихнув мозги на десятке сертификационных испытаний.