Недавно по страницам отечественных СМИ и блогов прокатилась волна возмущения действиями чиновников, которые запретили использовать в госструктурах открытую почту и Skype для служебной переписки. Теперь служащие могут пользоваться только продуктами, сертифицированными в ФСБ. Но так ли ужасно это постановление? Может быть, чиновники Свердловской области и президент РФ, одобривший эту инициативу, не так уж неправы?

Не так давно правительство Свердловской области обратилось к главам муниципальных образований с просьбой провести анализ состояния информационной безопасности. По его результатам предписывалось использовать для служебной переписки только сертифицированные программные продукты, а также запретить Skype и бесплатный e-mail. Документ, предназначенный "для служебного пользования", попал в Сеть и вызвал всеобщее негодование.

Однако его причины не очень понятны, поскольку перечисленный комплекс мероприятий не содержит ничего нового по сравнению с указом президента РФ от 17.03.2008 N 351 "О мерах по обеспечению информационной безопасности". Пункт а) указа не предполагает разночтений: подключение информационных систем, применяемых для передачи информации, содержащей сведения, составляющие государственную или служебную тайну, к международной компьютерной сети "Интернет" не допускается. Если без подключения к публичной сети не обойтись, пункт б) предписывает использовать средства шифрования, сертифицированные ФСБ.

Вероятно, дело в том, что журналисты и интернет-социум никак не воспринимают простую формулировку "подключение не допускается", но остро реагируют на имена собственные. Как назло, помимо цитирования указа президента свердловский чиновник упомянул Skype. Язвительные статьи сразу же появились в бумажных и электронных СМИ, за ними последовало обсуждение "в одни ворота" на форумах и в блогах. Сошлись на том, что Skype и Gmail – флагманы инновационного развития РФ, но спецслужбы ими недовольны. Так что же беспокоит президента России и правительство Свердловской области? Оставим в покое бесплатную электронную почту, с которой всё понятно. Рассмотрим Skype и алгоритмы шифрования.

Кто может "слушать" Skype?

Проведите эксперимент. Войдите в Skype под своим именем с двух компьютеров и запустите чат на одном из них. Обратите внимание: всё, что вы читаете и пишете, незаметно копируется на второй компьютер, даже если он подключился к сети уже после окончания разговора. Иными словами, достаточно иметь "золотой пароль", чтобы получить оперативный доступ к "одному из самых защищенных от прослушивания средств современной связи".

Несколько смущает, что компания Skype с момента основания в 2003 г. является убыточной, но неплохо себя чувствует все эти годы. Рискнем предположить, что eBay в 2005 году не по своей воле приютил депрессивный социально значимый проект, исполнив роль известного чукотского губернатора. Писатель Виктор Пелевин упоминает якобы существующие Google Secret Service и cекретную службу "Яндекс#". В каждой шутке есть доля шутки, но Яндекс уже поделился с государством "золотой акцией".

Откройте закладку "О программе" в любой системе "банк-клиент". Зайдите на сайт разработчика и обратите внимание на количество сертификатов соответствия от ФСБ. Разработчик реализует алгоритмы шифрования по ГОСТу, и для чувствительной информации это важнее убогого пользовательского интерфейса. Потому что все остальные сертификаты централизованно выдает американский Verisign.

Недавно к российским разработчикам в области VoIP обратилась служба новостей одного из федеральных телеканалов. Без претензии на оригинальность редакция использует бесплатные видеоконференции Skype для связи с корпунктами. Однако обсуждение выпусков новостей они вынуждены проводить строго после окончания эфира. Наложенное самоограничение объяснили просто: "неизвестно, кто в Америке нас слушает". Телевизионщики попросили разработать для них конкурентный продукт, конечно, уже не бесплатный. Да и сертификация от спецслужб не потребуется. Лишь бы было удобно общаться с корреспондентами до выхода сюжетов в эфир, а не после.

Skype использует закрытые технологии. Это является одновременно и сильной, и слабой стороной их услуги. Декларация гарантированной конфиденциальности имеет серьезные основания, однако проверить это утверждение не представляется возможным. Нельзя проверить - нельзя сертифицировать. Для государственных органов это означает одно - нельзя использовать.

О чем молчат SIP-операторы

Тем временем отечественные компании (SIPNET, Mail.Ru, QIP) успешно оказывают идентичные услуги IP-телефонии в соответствии с выданными лицензиями. Разработчики (SPIRIT, SIPNET, IToolabs) готовы сертифицировать программные продукты для применения в госсекторе. В отличие от Skype, здесь используются открытые стандарты обмена данными. В зависимости от области применения могут быть задействованы и сертифицированы различные алгоритмы шифрования. Наконец, по закону только российская компания может официально предоставлять услуги связи.

Однако CNews известны случаи, когда госкомпания желает использовать для корпоративного общения услуги отечественных операторов, работающих с сигнальным протоколом SIP, но не может это сделать. Дело в том, что такой компании зачастую необходимо иметь коды программного обеспечения оконечных устройств, чтобы проверить их на наличие следящей аппаратуры. И в большинстве случаев, когда российская компания – поставщик SIP-услуг обращается к производителю этих устройств с просьбой предоставить коды, она получает отказ. Что, в свою очередь, делает невозможным использование в компании-заказчике SIP.

Протокол RTP (англ. Real-time Transport Protocol) работает на транспортном уровне и используется при передаче трафика реального времени. Протокол переносит в своём заголовке данные, необходимые для восстановления голоса или видеоизображения в приёмном узле, а также данные о типе кодирования информации. Установление и разрыв соединения не входит в список возможностей RTP, такие действия выполняются сигнальным протоколом (например, RTSP или SIP протоколом).

Как известно, сам SIP является открытым протоколом соединения, коды его открыты, но по сути это лишь система сигнализации, способ соединения абонентских устройств. Человек набирает номер - работает SIP, ищет, кого вызывают. Как только абонент ответил, SIP завершает свою работу, а голос и видео идут открытым RTP-потоком. При необходимости можно передавать и шифрованные данные, в этом случае используется другой протокол (SRTP). Завершается соединение опять с помощью SIP.

Но и тут есть сложности, которые делают услуги SIP-операторов неприменимыми для госструктур и организаций, имеющих дело с секретной информацией. Например, не исключено возникновение следующей ситуации: двое разговаривают по шифрованному каналу, казалось бы, все отлично. Но поставщик услуги может с неизвестной целью с помощью SIP подключить третьего. Получается что-то вроде конференции, о которой не знают два человека из трех подключенных к каналу. Двое разговаривают, а третий – слушает.

Итак, как мы выяснили, для передачи секретной информации не подходят ни Skype, ни SIP. Что же остается на долю госслужащих, у которых нет ни времени, ни сил, чтобы вместо проведения видеоконференций ездить по городам и весям России? Пока этот вопрос открыт.