Встраивание библиотек шифрования - Форум по вопросам информационной безопасности

Если ПО не содержит ни строчки, связанной с криптографией, а работает с данными через библиотеку, будь то КриптоПро или OpenSSL, то есть является только оберткой, GUI, при этом сама библиотека (OpenSSL) не входит в дистрибутив, а устанавливается пользователем отдельно, может ли такое ПО считаться СКЗИ и подпадать под указ, ограничивающий экспорт?

Другими словами: программа передает данные OpenSSL, библиотека OpenSSL выполняет шифрование, передает результат программе. Программа сама не выполняет шифрование. Может ли она считаться СКЗИ?

Если установить программу без библиотеки, зашифровать данные будет невозможно.

Данная программа, без криптобиблиотек, СКЗИ не считается. Вообще, читайте матчасть http://clsz.fsb.ru/in-out.htm

Спасибо, будем изучать.

ustav, подскажите пожалуйста, какими положениями, можно обосновать, что у нас не скзи? просмотрел документы и конкретно ничего не нашел.

Тут важнее отсутствие признаков, перечисленных в п.2 (а...и) Постановления Правительства РФ от 16.04.2012 N 313 "Об утверждении Положения о лицензировании деятельности...". Например, ничто не ограничивает оборот слабой криптографии, или шифровальных (криптографических) средств, являющихся компонентами программных операционных систем, криптографические возможности которых не могут быть изменены пользователями ;)

Наверное, что-то не то. У вас ведь не часть ОС и не слабая - макс. длина ключа 8192, но сама программа то шифрование не выполняет.

Сама программа, без криптобиблиотек, подпадает хоть под одно из определений п.2 ПП-313? ;)

Вызывает сомнение пункт з):

з) программные шифровальные (криптографические) средства - программы для электронных вычислительных машин и их части, в том числе содержащие ключевую информацию, обеспечивающие возможность преобразования информации в соответствии с алгоритмами криптографического преобразования информации в программно-аппаратных шифровальных (криптографических) средствах, информационных системах и телекоммуникационных системах, защищенных с использованием шифровальных (криптографических) средств;

Но здесь не указано, где эти алгоритмы находятся - в сторонней библиотеке или в программе.

> Если ПО не содержит ..., может ли такое ПО считаться СКЗИ

Может и называется, если программа предназначена используется в ИС, для которой есть обязательные требования по криптографиеской защите

> и подпадать под указ, ограничивающий экспорт?

Нет, не может. К экспортерам таких программ никаких вопросов не возникает.

malotavr, у нас обычная программа, не предназначенная для какой-либо ИС.

И еще: в каком нормативном акте есть определение защищенной ИС? Нашел только определение ИС