Альтернативная измерительная площадка - Форум по вопросам информационной безопасности

Здравствуйте, коллеги!
СВЧ писал: "...Конечно, можно критиковать РД и тех, кто участвовал в его разработке, но раз уж он введен в действие, следовать ему надо".
Вот и я о том, полностью поддерживаю.
Уважая мнение по методам измерения ПЭМИН, высказанные участниками форума и понимая технологию проведения измерений мы, (я имею ввиду нашу организацию) руководствуемся действующими НМД, строго и тупо, если хотите, пока нет чего-то нового. Нашей лицензии ФСТЭК по ТЗИ, к примеру, всего лишь почти год, и в случае проверки инспекцией ФСТЭК я и руководство хочет одного: чтоб проверяющий не сказал: "А вы не по методике меряете сигналы и свои протоколы делаете! " Это еще раз о параметрах измерения ПЭМИН. К слову о протоколе - я считаю Сигурдом-Дельта 4.0.0 и не понимаю, почему нельзя было в расчетных таблицах привести данные в том виде и в тех единицах, как рекомендуется в методике. Поэтому приходится условно вручную пересчитывать Дб затухания в разы, и складывать Дб сигнала и шумов с Ка, или зная действующую величину антенны из расчета оценки защиенности по наводкам, рассчитывать дополнительно шумы в линиях. Звонил, разговаривал с разработчиками, на прямой вопрос, почему в таблице расчета нет данных в таком виде, как рекомендует методика, внятного ответа так и не получил, сказали, что итоговые цифры должен отражать правильность алгоритма расчета, чтоб можно было в этом убедиться и то, что мы ваши пожелания учтём. Кто б спорил! Может в новых версиях это уже учтено, я не в курсе. Я понимаю, что корифеям может быть и не важно, чтоб форма протокола была один в один по методике, а нам вот важно! Дайте за мои деньги такую программу, чтоб голова не болела по этому поводу! А если инспекцию устроят формы протоколов, отличающиеся от рекомендаованных и они нам это скажут, то так и будем поступать.
Такие вот "Особенности национального ПЭМИНа"!
Всех коллег, кто имеет или имел отношение к ВС, с наступающим праздником!

Для СВЧ, ТехЗИ :
Ну, что ж, опять же, по порядку.
1. Я, мы - говорили, конкретно, о клавиатуре. Если уж продолжаете утверждать - докажите, обоснованно, что в составе типовой микросхемы управления ею есть штатный генератор с частотой "за 30" МГц. Докажете - ваша правда. Я никогда не упорствовал в заблуждениях, особенно в своих.
2. Ход мыслей понятен. Тем не менее не готов согласится безоговорочно. Изготовитель передаёт в испытательную лабораторию только ТУ (это из того, что есть "святая святых") Понять, какие именно "ноу-хау" использованы, например, в нашем "Талис" - невозможно. Мы за это не переживаем ни разу :-)) Что касается дизайна, чего-то ещё второстепенного - а всё равно всё основное анонсируется много раньше реального выпуска изделия. Так что аргумент, но, на мой взгляд не слишком весомый.
Что же касается первой части ваших возражений, то совершенно то же самое можно сказать о любом специалисте вообще. Это действительно субъективно. И не зависит от того, производит ли контора что-то своё. Вот как к этому относится - это уже вопрос этики. Но сие другая область...
Есть ещё один аргумент, на мой взгляд достаточно весомый. Как вы отметили круг нас вообще - довольно узок. Фирм, имеющих коллективы, способные объективно и профессионально испытать изделие - наперечёт. Если ограничится только теми, которые сами не производят ничего - боюсь испытательных лабораторий просто останется одна-две. Они не справятся с объёмом работ. Система ГОСТ создавалась десятилетиями, а у нас "за спиною", после развала 90-х, всего ничего... Может, со временем, и придём к такому разделению. Готов согласится, что тогда нареканий, Вами озвученных, не будет, так будут иные. Это вечная "борьба".... Идеал недостижим.
Пока давайте работать в той системе, какая есть, иного же не дано...
Кстати, но это уж так, просто "реплика в сторону". Если бы Вы взглянули на то, как у меня в отделе "потрошат" разработки нашего КБ, думаю сомнения испарились бы. Ни одно "цузое" изделие при сертификационных испытаниях такого аутодафе не проходит. Там есть утверждённая Программа и Методика, которую согласует ещё и экспертная инстанция и волюнтаризм практически невозможен. А тут я сам себе судья и палач!!! ;-))) Но это так, "размышления вслух..."
Чак

Всем привет и поздравления с наступающим!!!! Спасибо Алекс Юстасович!, хоть напомнили:-))))
К вопросу о форме Протокола в "Сигурд". На эту тему копий сломали немало в своё время. С тем же Саком, с ГНИИИ ПТЗ, с покойным Макаровым, с многоми.
Что объективно:
1. То, что выводится в таблицы ПО "Сигурд-Дельта" - есть "технический результат расчёта", не более. Это, кстати, стало дним из аргументов "за" открытый вариант ПО.
2. Да, те данные, которые есть в таблицах, действительно позволяют вручную проверить любой этап расчёта и весь расчёт в целом. Данные из таблицы в Методике этого НЕ ПОЗВОЛЯЮТ в принципе. Именно поэтому уважаемый Виктор Васильевич и "пропустил" сие, дав своё благословление. Форма в Методике неоптимальна!
3. Похоже, придётся делать как в "Шёпот", вывод по желанию, в формате ФСТЭК, чтоб инспекция была довольна, и в формате "как надо". Я в КБ сию мысль заброшу, сделать-то недолго...
4. А вы не пробовали инспекции сказать, что раз сертифицированное ПО выдаёт вот так, то и это правильно? Дело в том, что к нашим протоколам ни разу со стороны инспекции претензий не было, с 2003-го года! И не только в Москве - везде, где мы работали по России...
Ещё раз всех поздравляю!!!
Чак

Для Алекс Юстасович:
А в чем собственно проблема, программа имеет сертификат ФСТЭК, то есть фстэк ее признает в том числе и форму отображения результатов. У нас ни когда такой вопрос с регуляторами не вставал, а форма в методике прям скажем не самая удобная и менее информативная чем маскомовская. А следовать строго всем документам не всегда получается, бывает один другому противоречит. На пример точное следование чуду 2000 года имело лично для нас много геморроя впоследствии :)

Кстати, программа расчета "ПЭМИН-2005" (ЦБИ) тоже на выходе даёт протоколы не по Методике, но более информативные.

Кстати, программа расчета "ПЭМИН-2005" (ЦБИ) тоже на выходе даёт протоколы не по Методике, но более информативные.

Коллеги, спасибо за моральную поддержку :-))))))))))))000
Но всё равно учтём и будем учитывать пожелания клиентов. Со ФСТЭК вот "бороться" тяжко, сразу вспоминается солженицынское "Бодался телёнок с дубом"....
Чак

Отвечаю по п.п.:
1. В плате клавиатуры действительно нет генератора с частотой выше 12...20 кГц, но это ни о чем не говорит. Она не является самостоятельным устройством с закрытой (никуда не выходящей) инф. цепью. А мы вобще-то при СИ исследуем не отдельные устройства, а информационные цепи. Не правда ли? Вы ведь не тестируете, например, монитор отдельно от видеокарты - вы тестируете видеосистему. Поэтому:
1) у клавиатуры, как Вы, наверное, знаете, своего источника питания нет, она питается от шины питания импульсного источника питания системного блока, от которой питаются также и иные устройства. Там уже есть абсолютно любые генераторы, я даже не говорю о гармониках генератора импульсного преобразователя напряжения. Вся эта армия тактовых генераторов выдает в шину питания все, что угодно, и это все гуляет по шине питания, куда захочет, в т.ч. и в кабель клавиатуры.;
2) с другой стороны клавиатура тоже через ту же самую шину выдает все, что угодно, и это все идет к тактовым генераторам других устройств. Где и как это взаимодействует, отследить почти невозможно. Кроме того, сигнал от клавиатуры идет на материнскую плату, если говорить о клавиатуре PS/2, то это южный мост чипсета, который работает уже с другими частотами тактового генератора. Отсюда и появляются гармоники и 20 МГц, и выше. Неужели Вы думаете, что то, что Вы видели на частотах ок. 20 МГц - это сиречь преобразование Фурье от импульсов с тактовой 6 кГц? Где-то 3333-я гармоника, и Вы ее обнаруживаете в шумах приемником скажем SMV-11 или R&S ESPI? (Вопрос, я надеюсь, риторический.) А раз так, то и смотреть надо во всем диапазоне частот, и в расчет надо брать все, что хоть как-то коррелирует с нажатием клавиши;
3) лично находил такие компоненты на частотах вплоть до 80 МГц, кто-то м/б видел и выше, техника-то развивается в сторону повышения скоростей; поэтому считаю, говорить о том, что надо как-то ограничивать диапазон частот контроля для интерфейсов низкочастотных устройств некорректно, как минимум.
2. Объективно испытать - сиречь незаинтересованно. Может это сделать только тот, кто не имеет каких либо (я имею в виду не только материальные) интересов в этой области. По поводу нехватки кадров - это несерьезно. Может быть нехватка или несовершенство нормативной базы - согласен, но кадров - не уверен. Да и система СЕРТИФИКАЦИИ ГОСТ Р имеет такой же возраст, что и ФСТЭК. В советское время не было никаких сертификатов, были требования ГОСТов, обязательные для всех, система ОТК и система Санэпиднадзора. Дело в разности подходов, которые используются при аккредитациях. У ГОСТ Р он действительно работает на объективность.
Это кто не справляется с объемом? Чет я такого не слышал. Я знаю, что наоборот, ИЛ за каждый заказ грызутся. Особенно по программным средствам (НДВ и пр. "изобретения").
Насчет предоставления только ТУ не соглашусь, хотя и там (если ТУ написаны не абы как) методы испытаний могут представлять интерес, хотя бы в смысле оптимизации трудозатрат. При квалифицированном подходе ИЛ должна, что называется, "влезть" в шкуру производителя и внутрь его изделия, чтоб понять, какие могут быть уязвимости у испытуемого изделия. Без этого невозможно написать грамотные программу и методики испытаний. Я уже не говорю об аттестации (контроле) производства. Поэтому там много чего интересного становится известным.
"А тут я сам себе судья и палач!!! " - это до поры до времени. Своя рубашка, как правило, ближе к телу.

Как бурно все откликнулись на "формальный" вопрос! Это говорит о том, что единообразия в этом вопросе нет, несмотря на единый документ, которому надо бы следовать.
Уважаемый Chechaco! Я не пробовал инспекции ФСТЭК сказать, поскольку этих инспекций у нас еще не было, так что радость (заметьте, без кавычек!) общения по этому поводу у нас еще впереди. Может я и "дую на воду", время покажет. А вариант представления расчетных данных в форме, рекомендованной методикой, конечно надо было предусмотреть, а уж каждый лицензиат сам выберет, как ему поступить.

Хм...
Вообще-то вы и правы и нет. Давайте строго по "букве". Уж если клавиатура, то она и боле ничего. Всё остальное - по боку. Это лежит в основе методики и оценки ИП, с чего мы и начали. Потому что рассчитать (по действующему НМД) можно ТОЛЬКО одно устройство, причём надо точно убедится, что измеренные компоненты ПЭМИН принадлежат именно этому устройству с конкретной длительностю импульсов и их тактовой частотой. Всё "иное" по происхождению - мусор, помеха. Это не я сказал, это методика. Посему Ваша позиция именно такой трактовки "удар не держит" :-)). Так вот касательно "клавы" и ещё раз "клавы" (о других устройствах в контексте упоминать не будем, поскольку параметры расчёта для них иные). Лично я сигнал от её тактового генератора "видел" до 17 МГц. "Тридцатку" назвал "с запасом". А что касается номера гармоники, то, например, для IDE интерфейса флопа легко находил, при тактовой 500 кГц, компоненты на частоте 800 МГц, то есть за 1600-ю гармонику. Что ж Вас удивляет? Это совсем не экстрим. Нечасто, да, но реально. Для клавы на 17 МГц это будет, примерно, 2700-ая гармоника. Я ж не утверждаю, что она даст заметную зону :-)) Но увидеть - можно. Хотя "ан масс" её заметный ПЭМИН заканчивается где-то в районе 300 кГц - 1,5 МГц. Исключения, типа вышеописанного - встречаются. Вспомните, именно с этого дискуссия и началась! Я удивился Вашему предложения рассчитать "как клаву" уровень помех аж до 2 ГГц. Если бы Вы уточнили, что "как клаву" до 10 МГц, как монитор до 8000 и как USB до 2 ГГц я бы ни разу и не возразил!

Ну а по поводу особенностей сегодняшней системы сертификации... Мне кажется спорить просто не о чем. Что есть - то есть. Вот буде разработаете "нечто", нужна будет сертификация - заходите ;-))) И будет возможность не абстрактно спорить, а всё на практике. Милости просим, всегда рады хорошей работе. Мне ещё и интересно этим заниматься!
Чак