Настоятельно просим вас при общении соблюдать Правила форума и законы РФ. Наша тематика вне политики, поэтому воздержитесь от обсуждения ситуации на Украине и связанных с ней событий, независимо от того, какую сторону вы поддерживаете.
Также напоминаем, что наш форум находится в доменной зоне .ru, физически расположен на российских серверах и мы соблюдаем действующее законодательство России. Любые сообщения о политике будут удаляться.
Linux Forum → Разговоры о Linux и не только → Лицензирование, сертифицирование и т.п.
Чтобы отправить ответ, вы должны войти или зарегистрироваться
Добрый день.
В связи с введением закона о защите персональной информации на компьютерах в организациях, и требованием использования сертифицированного ПО такой вопрос, можно ли поставить любой дистрибутив линукс (Ubuntu, федору, мандариву) и не думать об этом законе?
Или установленный дистрибутив линукса тоже должен быть сертифицирован фстэком?
И вообще если на предприятии установлена линукс система, может это повлечь какие нибудь наказания.
Заранее спасибо
Нужно иметь распечатанную лицензию, по которой распространяется линукс. Она должна быть переведена и обязательно заверена у натариуса. Это избавит от проблем, если они конечно не будут придираться. ИМХО.
Нужно иметь распечатанную лицензию, по которой распространяется линукс. Она должна быть переведена и обязательно заверена у натариуса. Это избавит от проблем, если они конечно не будут придираться. ИМХО.
тогда с лицензией мне понятно.
а сертификация нужна будет?
В связи с введением закона о защите персональной информации на компьютерах в организациях, и требованием использования сертифицированного ПО
ссылку дайте на этот закон. сертификаты разные бывают.
вот неплохая Сертифицированная ОС:
Дистрибутив Mandriva 2008 Spring Powerpack предназначен для создания защищенной офисной рабочей станции или небольшого сервера. Mandriva Linux — один из самых популярных в мире дистрибутивов операционной системы GNU/Linux, выгодно отличающийся удобством и простотой для начинающих пользователей, данная версия дистрибутива прошла сертификацию ФСТЭК.
Сертификация ФСТЭКДистрибутив сертифицирован ФСТЭК России (сертификат №1766 от 27 января 2009 года),
* по 5 классу для СВТ («Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (Гостехкомиссия России, 1992)
* по 4 уровню контроля НДВ («Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999).
http://shop.mandriva.ru/mandriva_08_spr … fic_fstek/
И вообще если на предприятии установлена линукс система, может это повлечь какие нибудь наказания.
конечно. если вы не купите, а скачаете с п2п вот эту мандриву, вас накажут также, как накажут за варезную венду.
Есть ещё Mandriva Free, эту можно свободно устанавливать, но на неё нет сертификатов ФСТЭК. На остальные ОС которые вам тут рекомендовали тоже нет.
если они конечно не будут придираться. ИМХО.
будут. у них работа такая. ИМХО (впрочем, ко мне не придрались, точнее - из-за ОС не придрались, как увидели Linux, сразу отстали от компов 
)
Или вот еще один http://www.altlinux.ru/solutions/state/ … formation/
Т.е. идеальный вариант если какая нить Ubuntu или федора получит сертификат фстэк и так же останется свободно распространяемой?
Иногда мне кажется что это прям заговор какойто, чтоб бабло срубить за эту сертифицированную продукцию.
Нужно иметь распечатанную лицензию, по которой распространяется линукс.
Они должны вроде как проверить самостоятельно электронные лицензии, и даже вроде это прописано в каком то законе.
и так же останется свободно распространяемой?
Иногда мне кажется что это прям заговор какойто, чтоб бабло срубить за эту сертифицированную продукцию.
сертификация == платная процедура. Если хозяин каноникал (которая Ubuntu делает) не даст денег, Ubuntu будет без сертификата. Если даст, то возможны два варианта:
1) появится сертифицированная и платная версия убунты.
2) (совсем фантастика) Марк сделает сертифицированную версию бесплатной,
На самом деле, всем глубоко наплевать на российский рынок, и потому никаких убунт/бубунт не ждите. Пользуйтесь российскими разработками, например Alt'ом. Ну или почти российской мандривой. И ещё:
1) есть свободное ПО
2) есть бесплатное ПО
3) есть сертифицированное ПО
Теоретически возможны все 8 комбинация этих трёх свойств. Они независимы. Я не очень понял, что в этом новом Законе прописано? Кстати, юристы и законодатели сами ещё слабо понимают, с чем имеют дело, потому пока, к сожалению, "закон что дышло - куда повернёшь, туда и вышло" 
Т.к. имею отношение к разработке ПО работающим с персональными данными выскажу свое мнение.
Читал закон в пошлом году. Могу в чем то ошибаться. Сертифицировать свою программу не стали. Клиенту сказали понадобиться - скажите - сделаем. Клиент заключал договор на анализ класса данных. (персональных данных храниться/обрабатывается у нас много). Пока нам ни чего не сказали о необходимости сертификации. Хотя газпром не из тех клиентов, что делает все на половину Хотя может быть не обязательно наше участие для сертификации.
Кстати по тому закону вообще больше вопросов организационных и для админов.
Так вот на скольку я помню не обязательно сертифицировать вообще все ПО. Сертифицировать надо то, что обеспечивает защиту от утечки. И вот тут может быть следующий подход: использовать криптозащиту всего раздела где храняться эти данные. Ведь по сути в любом документе офисном могут они содержаться.
Однако я не юрист -могу и ошибаться в своих выкладках.
может пригодиться ссылка http://www.reignvox.ru/privacy-guide.html
Вот еще почитайте http://www.mail-archive.com/debian-russ … 00076.html
Хотя может быть не обязательно наше участие для сертификации.
конечно нет! например сколько разработчиков разрабатывают дистрибутив линукса? тысячи! они и не в курсе, что их ПО получило сертификат.
Вот еще почитайте http://www.mail-archive.com/debian-russ … 00076.html
что-то не распарсил:
Не путайте. Операционная система и программное обеспечение есть разное
хоть и лежат в одной корзине.
UNUX/LINUX сертифицированы по C2 так же, как и Windows NT (XP и т.д.
исключая линейку DOS-ME). Это операционная система общего назначения,
которая выполняет все требования и нашего ГОСТа и оранжевой книги.
Для обеспечения закона N 152 "О персональных данных" требуется
использовать ПО которое отвечает требованиям безопасности, т.е. это
прикладное ПО
как можно надёжно сохранять данные в ненадёжной ОС?! только ОС сохраняет и защищает данные. Если в системе дыра, то не поможет никакое шифрование, ведь система имеет расшифрованный вариант этих данных! Если этот Виктор верно понял закон, то там написан полный бред, а следовательно этот закон не существует (де-юре).
Вот вам пример: некий витя ставит Сертифицированный и Не Ломаемый КриптоКонтейнер, а внутрь - венду 98 OSR 2RUS Warezz-edition. а некий петя регится на любимом витей ЛФ, с гиф-аватаркой, которая позволяет исполнять вредоносный код если на неё посмотреть из IE5. А этот код сливает ВСЕ витины данные на петин сервер. Ну и чем тут поможет сертификат? И контейнер?
с гиф-аватаркой, которая позволяет исполнять вредоносный код если на неё посмотреть из IE5.
поэтому у вити 64 битный проц у которого страницы памяти не являются исполняемыми
Вообще не важно закон какую ни будь пользу, да, принесет.
поэтому у вити 64 битный проц у которого страницы памяти не являются исполняемыми
1) для этого не нужен 64х битный проц.
2) венда 98 об этой фиче не в курсе, и там вся память исполняемая. Мало того, там одно приложение может читать данные в другом.
3) какая разница. Суть в том, что надёжное ПО не поможет залатать дыру в Системе. Не имеет смысла ставить сертифицированное ПО на не сертифицированную ОСь.
4) можно исполнять код без права исправления. Например любой скрипт. Или вообще любой код, если его подсунуть чему-нибудь, что это право имеет.
Вообще не важно закон какую ни будь пользу, да, принесет.
если я всё верно понял, то нет разницы, есть-ли вообще такой закон. Он не имеет юридической силы, и его невозможно применить. Только разве что как средство давления...
Он не имеет юридической силы
да ну
Например любой скрипт. Или вообще любой код, если его подсунуть чему-нибудь, что это право имеет.
Этот скрипт надо еще запустить
Этот скрипт надо еще запустить
да ну
ну да.
сделайте запрет пить пиво настоящим русалкам. К кому вы будете применять этот закон, если русалок не бывает? smile
хотя в этой стране, не сомневаюсь, русалки будут схвачены, и публично наказанны по всей строгости
если я всё верно понял, то нет разницы, есть-ли вообще такой закон. Он не имеет юридической силы, и его невозможно применить. Только разве что как средство давления...
Это из разряда закон он на то и закон чтоб его нарушать?)
Наказания есть за несоблюдения этого закона, начиная от штрафов и кончая закрытием предприятия.
Просто этот закон доведен до абсурда, что личные данные приравниваются к гос тайне.
теперь в отделе кадров должна стоять невзламываемываемая сертифицированная система со всевозможными средствами зашиты, непробиваемый сейф, овчарка в кабинете, и два снайпера держащие кабинет под прицелом, чтоб никто не вздумал заглянуть в монитор и увидеть секретную информацию.
А вот давайте представим себе такую контору как яндекс. Если не ошибаюсь они используют freebsd (или другую unix систему), это им согласно этого закона что делать нужно? все серваки переносить на мандриву или альт т.к. у них есть сертификат ФСТЭК?
Или я что-то не так понимаю?
Просто этот закон доведен до абсурда, что личные данные приравниваются к гос тайне.
теперь в отделе кадров должна стоять невзламываемываемая сертифицированная система со всевозможными средствами зашиты, непробиваемый сейф, овчарка в кабинете, и два снайпера держащие кабинет под прицелом, чтоб никто не вздумал заглянуть в монитор и увидеть секретную информацию.
всё не так, реальность сегодняшней ситуации такова, что В ЛЮБОЙ МОМЕНТ, ВНЕЗАПНО, из пиндостана МОЖЕТ придти команда, которая парализует ВСЕ гос-учреждения. Понимаете? ВСЕ - от роддомов до ГБ. Я не очень силён в политике и бизнесе, я знаю, что это возможно технически. мало того, угроза может придти и не из пиндостана, а например из Чечни, или Грузии - достаточно сломать сервера обновлений мс. Естественно, всем ясно, что надо либо сделать свою ось, либо проверить чужую. Вот ФСТЭК и проверили. И выдали бумажку - "вредоносного кода нет". Бумажка называется "сертификат", и не удивительно, что ось с такой бумажкой продают. И не удивительно, что без бумажки не продают. У всех вещей есть сертификат, что удивительного, что его продают и проверяют? Кстати, сама кровавая ГБня уже давно себе запилила линух, и его использует везде, где есть хоть какой-то намёк на важность - называется МСВС. Причина даже не столько в каких-то "тайнах", причина в надёжности, и в том, что МСВС зависит только от МСВС и этого, как его.. ВНИИНС. У них есть договор с красной шапкой, но они его в любой момент могут и расторгнуть. А расторгнуть договор с мысы в любой момент не получится. Это надо все компы переводить на что-то другое. А с МСВС это не нужно, дыры и в ВНИИНС'е могут самостоятельно закрывать. И новые фичи тоже могут прикручивать.
А вот давайте представим себе такую контору как яндекс. Если не ошибаюсь они используют freebsd (или другую unix систему), это им согласно этого закона что делать нужно? все серваки переносить на мандриву или альт т.к. у них есть сертификат ФСТЭК?
Или я что-то не так понимаю?
а яндекс не гос-структура. насколько я понимаю, им это фиолетово. такие конторы как яндекс сами в состоянии проверить ос, и поддерживать её в актуальном состоянии. В отличие от какого-нибудь детского садика.
а яндекс не гос-структура. насколько я понимаю, им это фиолетово. такие конторы как яндекс сами в состоянии проверить ос, и поддерживать её в актуальном состоянии. В отличие от какого-нибудь детского садика.
исходя из закона, не важно гос ты структура или не гос, если обрабатываешь персональные данные будь любезен иметь бумажку, что твоё по и ос сертифицированы фстэком.
исходя из закона, не важно гос ты структура или не гос, если обрабатываешь персональные данные будь любезен иметь бумажку, что твоё по и ос сертифицированы фстэком.
разумно. или вы хотите, что-бы ВАШИ персональные данные утекли в свободный доступ из-за какого-то глюка венды? Я - не хочу.
уж если на то пошло, то сертифициовать нужно каждую версию всего софта. По сути любое обновление.
Та программа к которой я имею отношение обновляется очень часто. Бывает каждый день несколько дней подряд по обновлению накатить. (Это не исправления багов, а следствия выхода новых законов, новых начальников, новых пожеланий и требований.....). А если считать отчеты (а через них так же возможно утечку организовать) - тогда вообще труба
уж если на то пошло, то сертифициовать нужно каждую версию всего софта. По сути любое обновление.
Та программа к которой я имею отношение обновляется очень часто. Бывает каждый день несколько дней подряд по обновлению накатить. (Это не исправления багов, а следствия выхода новых законов, новых начальников, новых пожеланий и требований.....). А если считать отчеты (а через них так же возможно утечку организовать) - тогда вообще труба
для примера та же win xp имеет три сертификата соответствия, на sp1, sp2, sp3. И если не ошибаюсь срок действия на какойто sp в этом году истечет.
Но вернемся к нашим баранам.
Просто правильно ли я понял, стоит например в фирме (не гос учереждении) сервак с linux (не alt и и не mandriva), приходят злые дядечки с проверкой, и обана организация попадает на бабки за то что ос на серваке не сертифицирована? и без разницы что есть фаерволы и другие средства защиты.
уж если на то пошло, то сертифициовать нужно каждую версию всего софта. По сути любое обновление.
да.
Та программа к которой я имею отношение обновляется очень часто. Бывает каждый день несколько дней подряд по обновлению накатить. (Это не исправления багов, а следствия выхода новых законов, новых начальников, новых пожеланий и требований.....).
надо было на этапе проектирования ПО отделить код от данных, и сертифицировать только код. т.е. сделать так, что-бы при выходе нового закона код-бы не менялся.
азбука...
Просто правильно ли я понял, стоит например в фирме (не гос учереждении) сервак с linux (не alt и и не mandriva), приходят злые дядечки с проверкой, и обана организация попадает на бабки за то что ос на серваке не сертифицирована?
ну так и должно быть ИМХО.
и без разницы что есть фаерволы и другие средства защиты.
да. см выше. атака на маздай98 в сертифицированном крипто-бункере http://linuxforum.ru/viewtopic.php?pid=151148#p151148
Можно вызвать фирму-лицензиата,того же ФСТЭК и она за денюжку сертифицирует.
надо было на этапе проектирования ПО отделить код от данных, и сертифицировать только код. т.е. сделать так, что-бы при выходе нового закона код-бы не менялся.
азбука...
Это как? Данные в базе, код в программе. Для обновлений надо менять и структуру базы и код (иногода одно из, иногда и то и дугое). Код работает с данными....... Или я не понял о чем вы....
Как вы себе представляете "код не меняется"? Отчет это что? Я могу и в отчете сделать "закладку", и в основном коде, и в хранимой процедуре, и в UDF на стороне сервера. Да даже и в любом запросе к базе (Firebird 2.5. позволяет цепляться к нескольким базам)
Данные в базе, код в программе. Для обновлений надо менять и структуру базы и код (иногода одно из, иногда и то и дугое). Код работает с данными....... Или я не понял о чем вы....
почему с выходом нового закона необходимо менять код? у вас в коде жёстко вбито, что должно быть 173 столбца? почему код не может сам добавить нужный столбец/таблицу/БД ?
расскажите.
Я могу и в отчете сделать "закладку", и в основном коде, и в хранимой процедуре, и в UDF на стороне сервера. Да даже и в любом запросе к базе (Firebird 2.5. позволяет цепляться к нескольким базам)
это по вашему "плюс"? oO
почему с выходом нового закона необходимо менять код? у вас в коде жёстко вбито, что должно быть 173 столбца? почему код не может сам добавить нужный столбец/таблицу/БД ?
расскажите.
В "куда" он будет добавлять? В алгоритм начислений? В алгоритмы юридической кухни? В алгоритмы обмена с внешними организациями? И т.д. и т.п.
Поверьте была бы возможность "еще больше разделить" разделили бы за 12 лет. Ну это может быть некая специфика. Но могу и более общий пример привести: в организациях со длинной/сложной структурой подчинения, да еще которая находится под контролем всяких обществ и организаций. Каждый от большого начальника до маленького шишонка в каждом отделе хочет получить отчет одному ему понятных сочетаний цифр. Пи чем уже получается не посто выборка, а некий дополнительный функционал по коду. Безусловно можно это обойти если довести алгоритм начислений до безумной степени детализации (да и то это не будет гарантиовать) - но в результате и база раздуется до терабайтов, и запросы/отчеты сводные будут нехило формиоваться.
В прочем, что то отошли. Короче хотите верьте хотите нет предложенный вами путь нам в нашей ситуации не подходит.
voral пишет:Я могу и в отчете сделать "закладку", и в основном коде, и в хранимой процедуре, и в UDF на стороне сервера. Да даже и в любом запросе к базе (Firebird 2.5. позволяет цепляться к нескольким базам)
это по вашему "плюс"? oO
А где вы увидели, что я это в "плюс" записал? Я к тому, что разделяй не разделяй путей организации утечки масса. И поэтому вообще ЛЮБОЕ изменение связанное с подобной системой (даже изменение структуры базы, даже новый отчет) по сути является отклонением от сертифициованной системы со всеми вытекающими.
В "куда" он будет добавлять? В алгоритм начислений? В алгоритмы юридической кухни? В алгоритмы обмена с внешними организациями?
да, а что?
Поверьте была бы возможность "еще больше разделить" разделили бы за 12 лет.
мне почему-то кажется, что если сейчас переписать заново, будет лучше.
в каждом отделе хочет получить отчет одному ему понятных сочетаний цифр. Пи чем уже получается не посто выборка, а некий дополнительный функционал по коду. Безусловно можно это обойти если довести алгоритм начислений до безумной степени детализации (да и то это не будет гарантиовать) - но в результате и база раздуется до терабайтов, и запросы/отчеты сводные будут нехило формиоваться.
почему нельзя сделать встроенный недоязык, как например сделали в 1С?
так сделано не только в СУБД, но и во многих других программах.
а "до безумной степени детализации" я и не предлагаю - как раз наоборот.
Я к тому, что разделяй не разделяй путей организации утечки масса. И поэтому вообще ЛЮБОЕ изменение связанное с подобной системой (даже изменение структуры базы, даже новый отчет) по сути является отклонением от сертифициованной системы со всеми вытекающими.
ИМХО это свидетельствует об очень плохом изначальном проектировании (которого наверное и не было).
voral пишет:В "куда" он будет добавлять? В алгоритм начислений? В алгоритмы юридической кухни? В алгоритмы обмена с внешними организациями?
да, а что?
Да потому, что это нужен скриптовой язык. Т.. прежде чем совершать каждый расчет нужно будет не только все условия наложить. Но и парсить саму формулу. Как ни крути быстродействие пострадает. Поймите я согласен, что в принципе, технически можно задаться и сделать это. Но это не целесообразно.
мне почему-то кажется, что если сейчас переписать заново, будет лучше.
Это безусловно. Эта система не имела четкого ТЗ. Мы даем новые возможности, клиент понимает, что можно выжать еще больше - мы делаем. И так далее.... В принципе реальный и правильный процесс: в идеале должен работать компьютер, а не человек.
Да к тому же третья делфа поднадоела, да и мы (азаботчики) уже под макосью да под линуксом сидим.
Я думаю это можно сказать вообще про все долгоиграющие проекты: тут и опыт и новые технологии и т.д и т.п. Только вот переписывать не рентабельно. (Мы новых клиентов на этот проект не ищем) Да и коме этого проекта есть чем заниматься.
почему нельзя сделать встроенный недоязык, как например сделали в 1С?
так сделано не только в СУБД, но и во многих других программах.
Все причины выше:
1. Переписывать по собственной инициативе - нет времени и желания
2. Быстродействие снизится. А тут есть подвижки вообще к единой базе.....
3. Переписывать по инициативе клиента - его не волнуют внутенности да еще за большие деньги.
Мы очень отклонились от темы. Если интересно обсуждение давайте в личку....
1. Переписывать по собственной инициативе - нет времени и желания
угу. просто в один "прекрасный" день, ваши клиенты поставят себе новую программку. не страшно?
2. Быстродействие снизится. А тут есть подвижки вообще к единой базе...
почему-же? часто скрипт работает быстрее программы на C. к тому-же скрипт - переносим на что угодно. потому для вашей программы CPU так и будет 80486м процессором(хоть и частотой 1000МГц), а для скрипта - последним i7 (или что там сейчас?)
кроме того, скрипты быстрее писать. надеюсь понятно, зачем это?
Мы очень отклонились от темы
да... но мы уже вроде закончили... я согласен, вашу софтину не сертифицируешь
есть и ещё один момент - не хотят серифицировать слишком хорошие программы, вроде GnuPG...
Чтобы отправить ответ, вы должны войти или зарегистрироваться
Linux Forum → Разговоры о Linux и не только → Лицензирование, сертифицирование и т.п.
Форум работает на PunBB, при поддержке Informer Technologies, Inc
