VPN и ViPNet

[Евгений]

Поговорим о технологиях VPN, решениях фирмы ИнфоТеКС и ее конкурентов...

[Гость]

Ну давай поговорим.

Дай попробовать..

[Гость]

Ну что же, коллеги, объясните чем вы лучше

[1AA]

от коллеги и слышу

[Гость]

Объяснять чем лучше или хуже можно (и нужно) только предметно.

Какие конкретно решения Вас интересуют?

Последнее замечание 1АА о коллегах, наверное, не очень корректно...

[1AA]

чем лучше vipnet по отношению к предлагаемым, например,

cisco решениям по организации vpn и их защите?

[Гость Dreemer]

Во первых Cisco - это всегда жедезо (дорогое и пыльное

А потом, у софта ViPNet более гибкие и удобные настройки.

Да и вообще, софт можно поставить куда угодно, а железку на каждый комп в офисе не поставишь )

Так, что вот мои аргументы.

[Гость admin]

чем лучше vipnet по отношению к предлагаемым, например,

cisco решениям по организации vpn и их защите?

В добавление к аргументам Dreemer'a хотел бы отметить, что комплекс ViPNet сертифицирован Гостехкомиссией России и ФАПСИ, что приобретает особую актуальность в связи с принятием с 1-го июля 2002 года нового административного кодекса.

КОДЕКС РОССИЙСКОЙ ФЕДЕРАЦИИ ОБ АДМИНИСТРАТИВНЫХ ПРАВОНАРУШЕНИЯХ

Приведу выдержки из главы 13: "АДМИНИСТРАТИВНЫЕ ПРАВОНАРУШЕНИЯ В ОБЛАСТИ СВЯЗИ И ИНФОРМАЦИИ"

Статья 13.12. Нарушение правил защиты информации

1. Нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну), - влечет наложение административного штрафа на граждан в размере от трех до пяти минимальных размеров оплаты труда; на должностных лиц - от пяти до десяти минимальных размеров оплаты труда; на юридических лиц - от пятидесяти до ста минимальных размеров оплаты труда.

2. Использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну), -

влечет наложение административного штрафа на граждан в размере от пяти до десяти минимальных размеров оплаты труда с конфискацией несертифицированных средств защиты информации или без таковой; на должностных лиц - от десяти до двадцати минимальных размеров оплаты труда; на юридических лиц - от ста до двухсот минимальных размеров оплаты труда с конфискацией несертифицированных средств защиты информации или без таковой.

3. Нарушение условий, предусмотренных лицензией на проведение работ, связанных с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите информации, составляющей государственную тайну, -

влечет наложение административного штрафа на должностных лиц в размере от двадцати до тридцати минимальных размеров оплаты труда; на юридических лиц - от ста пятидесяти до двухсот минимальных размеров оплаты труда.

4. Использование несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, - влечет наложение административного штрафа на должностных лиц в размере от тридцати до сорока минимальных размеров оплаты труда; на юридических лиц - от двухсот до трехсот минимальных размеров оплаты труда с конфискацией несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, или без таковой.

[Виталий]

Вопрос такой: третий режим безопасности ("бумеранг") у VipNet продуктов удовлетворяет требованиям 3 класса защищенности для Межсетевых экранов :?:

[Maxvit]

Вопрос такой: третий режим безопасности ("бумеранг") у VipNet продуктов удовлетворяет требованиям 3 класса защищенности для Межсетевых экранов :?:

Виталий, приветствую. Межсетевой экран сертифицировался по 3 классу в целом (и в том числе с функцией "бумеранг"), поэтому формально можно сказать "ДА, соответствует".

Другое дело, что если Вы посмотрите любой сертификат на любой продукт, то там написана фраза - "при условии выполнения требований ТУ....". В ТУ прописаны условия при которых продукт способен с полной уверенностью защищать информацию по данному классу.

[Виталий]

А где посмотреть на эти требования ТУ по данному продукту:?:

[Maxvit]

А где посмотреть на эти требования ТУ по данному продукту:?:

Сообщите мне Ваш почтовый ящик и ТУ Вам будет выслано :wink:

[Виталий]

Скажите, для ФАПСИ (чтоб не придрались) необходимо использовать ключи шифрования симметричные и ассиметричные или можно ограничиться только симметричными :?:

[Гость Basov Gena]

Уважаемый, Виталий. Не совсем понятна фраза про ФАПСИ "чтоб не придрались" и тем более в отношении ключей симметричных или асимметричных. Если быть корректным, то ФАПСИ следит за законностью применения криптосредств (это одна из функций).

Сегодня в России законным считается только один алгоритм шифрования ГОСТ (именно на него выдаются сертификаты)(если Вы имели виду именно шифрование, а не ЭЦП).

И тем более непонятен вопрос в отношении ViPNet. Если Вы хотите использовать ViPNet только для того, чтобы не "придиралось" ФАПСИ то я не думаю, что этот продукт для Вас (хотя естественно в ViPNet присутствует сертифицированное криптоядро "Домен-К"). ViPNet больше ориентирован для реального использования и решения проблем по защите информации, нежели для того чтобы положить его на полку для защиты от придирок "ФАПСИ".

[Андрей]

Возник вопрос. Можно ли российские сертифицированные средства вывозить за границу для служебного использования в филиале российской компании? Если кто знает, прошу Вас ответить на данный вопрос. Хорошо бы было, если бы ответ разделили на две части. Как для защиты сведений попадающих под гостайну, так и конфедициальные седения (коммерческая тайна).

[Maxvit]

Андрей, здравствуйте.

1. Что касается использования криптосредств для защиты гос. тайны, то здесь не то что за границей, но и внутри нашей Родины все жестко регламентировано и этим может заниматься только ФАПСИ. и в редких исключениях кому-то доверяется.

2. С конфиденциальной и коммерческой информацией все проще. Вывоз за границу. Законом установлено в общем случае ограничение на вывоз ГОСТа за границу. В этом случае мы поставляем для организаций версию нашего ПО без ГОСТа.

НО можно получить разрешение в органах (для каждого случая отдельно) на использование ГОСТа на территории компании РФ, представительства РФ и т.п. - такие прецеденты есть.

Поэтому есть два варианта. Первый менее хлопотный. В нем м.б. реализована следующая картина. Допустим 1 станция в РФ, а др. (напр.) в Гондурасе. На станции в РФ шифрование производится ГОСТом и отправляется заграницу, а там это принимается Но обратно шифруется скажем 3DES. При этом учтены все формальности. На территории РФ используется сертифицированное средство, а на территории Врага шифрование производится другим алгоритмом и все довольны

[Гость bill]

Законом установлено в общем случае ограничение на вывоз ГОСТа за границу.

Откуда такие сведения? Что за закон Вы имели в виду, если не секрет? :shock:

Допустим 1 станция в РФ, а др. (напр.) в Гондурасе. На станции в РФ шифрование производится ГОСТом и отправляется заграницу, а там это принимается Но обратно шифруется скажем 3DES. При этом учтены все формальности. На территории РФ используется сертифицированное средство, а на территории Врага шифрование производится другим алгоритмом и все довольны

Однако, в Вашей схеме, ИМХО, есть существенный пробел - обратное криптографическое преобразование (расшифрование поступающих данных) на территории РФ осуществляется с использованием несертифицированных ФАПСИ СКЗИ. Где же заявленное соблюдение формальностей? :evil:

[Maxvit]

bill, здравствуйте.

Если Вы очень хотите вывезти какой-то продукт за границу, то высылаю Вам ссылку на официальный сайта ФАПСИ, где все это описано http://www.fagci.ru/bez_inf/vv02.htm

Если же Вы хотите вывести конкретно наш продукт, то мы готовы оказать содействие в получении разрешения официальных органов на вывоз ViPNet.

:!:

Что касается второй части Вашего замечания - оно тоже не совсем состоятельно, т.к. на территории РФ будет происходить только РАСШИФРОВКА информации поступающей на алгоритмах DES, 3DES, RC6 (или какие там настроены)..., а это не запрещено :!:

[Firebox]

Уважаемый FireWall!

Извините, но вы написали ерунду.

Может такой кодекс и есть в природе, но он является подзаконным актом.

Есть единственный закон "О защите информации", (который кстати никто еще не отменил, ни ФАПСИ и иже с ними) в котором русскими буквами написано - собственник информации определяет что и как защищать. Все остальное - подзаконные акты, включая преславутую бумагу от ФАПСИ где им ЕБН разрешил кого то там ловить за "нелегальную" криптографию. На моем богатом опыте таких прецендентов не было, и видимо не будет. Т.к. не один суд не признает виновным человека в том что он защищал свои конфиденциальные данные, так как считал это нужным. Иначе можно любого привлечь к ответственности за хранение денежек в стеклянной банке а не в "сбербанке".

То что описывается в кодексе - есть частный случай. Т.е. скажем я провайдер. Решил заработать денежек на предоставлении защищенного доступа к интернет. (т.е. оказать населению возмездные услуги) и использую для этого скажем циску с IPSec модулем. В этом случае я действительно попадаю под действие законодательства, но не по описанной статье - а по закону о лицензировании деятельности в области защиты информации. Т.е. если я не буду брать за это денежку - пожалуйста, шифруй сколько хочешь и чем хочешь. Если я хочу на этом заработать - будь любезен используй "проверенный " госучреждениями софт, иначе будешь иметь проблемы с законом.

[Гость admin]

Здравствуйте, Firebox!

Извините за молчание, как говорится: "Лучше поздно, чем никогда..." :oops:

Есть единственный закон "О защите информации", (который кстати никто еще не отменил, ни ФАПСИ и иже с ними) в котором русскими буквами написано - собственник информации определяет что и как защищать.

Дело в том, что в приведенной мной цитате из кодекса административных правонарушений, есть несколько ключевых слов: "...средств защиты информации, если они подлежат обязательной сертификации"

Т.е. - под статью кодекса попадает не любая организация, решившая защитить свою информацию, а те, которым предписано в силу специфики их деятельности использовать сертифицированные средства защиты информации. Например, гос. организации или участвующие с ними в информационном обмене смежные организации (банки, подразделения предприятий крупных естественных монополий, etc.)