Как правильно сертифицироваться самописной системе? - Форум по вопросам информационной безопасности

Добрый день, уважаемые форумчане.

Есть организационный вопрос от непрофессионала и рассчитываю на ваш комментарий.

Мы строим систему по безопасной доставке документов в рамках организации-заказчика. У нас получилось неплохо ее защитить с помощью разработанных нами программно-аппаратных средств. Для шифрования используется симметричный алгоритм AES и 128-битный ключ.

Потребуется-ли нам сертифицировать данное решение в ФСБ? На сколько сложен этот процесс и какие этапы нам придется пройти?

Заранее благодарю за ответ,

с Уважением,
Николай

Здравствуйте! А собственно зачем Вам ее сертифицировать?

Думаю что с алгоритмом AES ФСБ Вам ее не сертифицирует, необходимо ГОСТ использовать, тогда еще может быть...

Насчет этапов не знаю, но думаю что это процесс сложный, длительный и дорогостоящий...

2 irkuna, Интегрум
Приношу Вам свои извинения - ничего личного!
Но подобным "Профи" Нельзя доверять ИБ!
Подобные "Кухарки" научились программировать и берутся за криптографию не зная что это такое и с какого бока за нее браться.
Лучшей Антирекламы придумать сложновато!
Все несите денежки в Интегрум и ждите в стране дураков на поляне чудес что взойдет невидомое дерево денег...

Николай,
для работ по созданию информационных систем, использующих симметричные криптоалгоритмы с длиной ключа более 40 бит требуется лицензия ФСБ. Попытка заявиться на сертификацию c AES-128 без лицензии на разработку СКЗИ - это расписаться в правонарушении (статья 13.13 КоАП, она как раз в сфере отетственности ФСБ)

Прохожий,
пока что наблюдается антисамореклама человека, впадающего в истерику при любом упоминании зарубежных криптоалгоритмов. Лучший из известных способов восстановления ключа AES-128 требует 2^126 операций, т.е. всего в 4 раза быстрее полного перебора. Учитывая, что у вас нет никакой информаци о системе, условиях ее использования, частоте смены ключа и т.п. - молчали бы уж.

Малотавр, спасибо за комметарий. А на сколько страшно-сложно сертифицировать свою разработку небольшой компании? Для нас это важный элемент и мы хотим иметь свой продукт.

2 Малотавр.
Не стану я с Вами спорить т.к. уже Вы на эту тему затевались и все Ваши аргументы я уже знаю и всерьез принять не могу - уж извините. (У Вас в криптографии образования и опыта ...извините...только пересказ чужих сплетен.)

А с первой частью Вашего сообщения не могу не согласиться.
В России AES-128 не продается официально, а неофициалное все контрабанда, значит речь о 56 или 40 а это фуфел.

Будем все-же соблюдать аборигенные нормы, раз уж нам здесь выпало быть аборигенами.

Малотавр - а вы и вправду считаете что бывают и иностранные крпитоалгоритмы?
Если Вы ГРЕФ или там Чубайс какой-нибудь или его дочь или мама - тогда не спорим...
А так-?
Только для поколения Пеп-си

> В России AES-128 не продается официально, а неофициалное все контрабанда, значит речь о 56 или 40 а это фуфел.

Поддерживаю

> А на сколько страшно-сложно сертифицировать свою разработку небольшой компании?

Это просто невозможно. Вы не знаете требований, которые предъявляются к СКЗИ и у вас нет допуска к документам, которые эти требования определяют.

Наши споры с Прохожим по поводу стойкости криптоалгоритмов возникают из-за того, что я не готов принять на веру, что ему известны "непубличные" недостатки иностранных криптоалгоритмов, а он, если они ему и известны, не может подтвердить их наличие.

Так что криптография - это такая тема, куда не стоит соваться людям, не имеющим соответствующего опыта и допусков.

А если мне надо сертифицировать, то как решать данную задачу?