Криптография и Свобода - 3 (СИ)

операционных системах нет российских криптографических стандартов, то мы (чиновники) дадим

указание их переделать. Но не российские стандарты, а ваши операционные системы. Или же

пускай всякие Microsoft да Apple сами встраивают наши криптографические стандарты в свою

продукцию.

Но почему-то ни Microsoft, ни Apple ни многие другие зарубежные IT-гиганты не спешат

встраивать российские криптографические стандарты в свои операционные системы. Не спешат

дружить со Стекляшкой, колебаться вместе с ее генеральной линией. Например, сегодня

Стекляшка сертифицирует криптографический интерфейс CSP, а завтра ни с того ни с сего вдруг

объявляет, что сертифицировать можно только «законченные криптографические продукты». Что

это такое – толком никто не знает, четких определений нет, одни интуитивные понятия

чиновников, но CSP, на взгляд чиновников, таковым не является.

Да и всяких других чудес от чиновников можно ожидать в любой момент. IT-россияне к

этому привыкли, монополию Стекляшки на российскую криптографию отменить нельзя: считается

аксиомой. Некоторые из IT-нероссиян согласились с этой аксиомой, но все-таки далеко не все.

Вместо принципа «дружить со Стекляшкой» используют принцип держаться от криптографической России подальше.

Ах вы такие-сякие! Да мы тогда сами поломаем ваш Windows и впихнем туда творения

наших чиновников. Реализация усложнится и скорость уменьшится? Плевать!!!

И вот стали все российские IT-компании, которые дружат со Стекляшкой, ломать Windows, встраивать в него всякие доморощенные Kernel Drivers только с одной целью: продолжить дружить со Стекляшкой. Да только вот беда-то какая.

Если вы, к примеру, делаете криптографическую систему для узкого круга потребителей

(например, только для военных), то всех их можно принудительно заставить сломать свой

Windows. А если, к примеру, разрабатывается замечательный по задумке и исполнению портал

ГосУслуг, то там круг потребителей не определен. Всем нужен портал ГосУслуг. А доступ к порталу

должен быть безопасным, т.е. необходим зашифрованный трафик. SSL-протокол с RSA органически встроен куда угодно: и в Windows, и в IOS, и в Андроид и вообще в любую пуговицу.

Как там использовать «российские криптографические алгоритмы»?

Прежде всего отметим, что давняя мечта российских криптографических чиновников – это

чтобы «неопределенный круг пользователей», т.е. практически все россияне, дружили со

Стекляшкой, и начали бы ради такой дружбы ломать свои Windows. Но тут опять же загвоздка: не

Windows единым живет нынче цифровой мир. Если Windows любезно предоставляет

возможность сравнительно легко ломать себя с помощью Kernel Drivers, то всякие там IOS и

примкнувшие к ней другие операционные системы для смартфонов – нет. Подписывают они

основные файлы в своих операционных системах с помощью того же RSA.

И вот что делают разумные разработчики, несмотря на майские Указы Президента.

Сертификат портала ГосУслуг Российской Федерации.

Сертификат сервера Сбербанка.

Сертификат сервера КриптоПро.

И так далее.

Сжав челюсти, Стекляшка закрывает глаза на эти безобразия. Тут, правда, должен

заметить, что эти сертификаты предназначены для организации SSL - защищенного протокола

связи с сервером. Они являются сертификатами сервера и не предназначены для

криптографической аутентификации пользователей.

Везде сертификат используется фактически только для организации протокола SSL. Есть и

аналогичное российское создание – протокол TLS, но «неопределенный круг пользователей»

почему-то не хочет менять на него всем уже привычный и неприхотливый SSL. Да и 99% этих

пользователей вообще слабо себе представляют, что такое SSL и TLS, и почему вдруг надо

создавать себе какую-то дополнительную головную боль.

Пользовательские преимущества SSL по сравнению с TLS настолько очевидны, что их не

могли не учитывать разработчики. Был заключен негласный пакт о ненападении: Стекляшка не

трогает SSL в разработках для общероссийского использования. В отместку Стекляшка своей

политикой «анти RSA» практически на корню извела криптографическую аутентификацию

пользователей, о которой самое время сейчас поговорить.

Криптографическая аутентификация пользователей

Интуитивно ясно: логин и пароль – вот и аутентификация. Только уж больно ненадежная, мало ли было сообщений «о взломе электронной почты», а все отчего: от того, что там вся

аутентификация – логин и пароль.

Например, для банковской системы надо что-то понадежнее. А что? Сразу вспоминаем:

«на ваш мобильный телефон направлен код подтверждения». Такую аутентификацию во всем

мире принято именовать OTP – One Time Password. Одноразовый пароль. Надежная? Да, безусловно. А удобная и вообще работоспособная? Только если мобильный телефон работает. А

если нет мобильной связи?

6 лет я жил в Сеуле, а там российские мобильные телефоны не работают. Да и в России, в

моей любимой глухомани, деревне Гузеево Лесного района Тверской области, частенько бывают

проблемы с мобильником. Как быть?

Нужно что-то еще, помимо OTP. Ну и как же тут не вспомнить про криптографию и