Российский антипиратский стартап получил $100 тыс. от Microsoft

Cruiser78 написал:

Юникса любого вообще нет по требованиям IT-безопасности, например, для систем обрабатывающих персональные данные по 152-ФЗ. Так как в соответсвующих книжках, раскрывающих эти требования для данного применения черным по понятному написано, что целостность вычислительной среды обеспечивается применением программ, скомпилированных с языков высокого уровня и отсутствием в системе каких либо средств разработки и отладки ПО. То есть все питоны, перлы, шеллы и иже с ними - есть нарушение требований IT-безопасности. И система, построенная на их базе пройти аттестацию не сможет никак. Ибо по определению не обеспечена целостность вычислительной среды.

Более того, персональные данные (расчет зарплаты) нельзя даже в 1С обрабатывать. По этой же причине. Ибо 1С - интерпретатор. И исходные тексты как на ладони, меняй - не хочу.

А можно ссылочку на на эти требования?

D_Chu написал:

А можно ссылочку на на эти требования?

Да без проблем. Для людей, профессионально занимающихся информационной безопасностью - это баян рваный. А правильное название:
"Положение о методах и способах защиты информации в информационных системах персональных данных" введено в действие приказом ФСТЭК №58 от 5.02.2010. Ссылка на первоисточник вот: http://www.fstec.ru/_docs/doc_781.htm
А то, что написал выше - вот цитата из документа:

2.1. Для информационных систем 3 класса при однопользовательском режиме обработки персональных данных применяются следующие основные методы и способы защиты информации:
........
в) обеспечение целостности:
- обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов системы защиты персональных данных, целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ; 
............
2.3. Для информационных систем 3 класса при многопользовательском режиме обработки персональных данных и разных правах доступа к ним пользователей применяются следующие основные методы и способы защиты информации: 
.....
в) обеспечение целостности:
- обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по контрольным суммам компонентов средств защиты информации, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации; 

А теперь назовите мне юникс, который полностью удовлетворяет этим требованиям. То есть в системе не должно быть средств разработки и отладки программ, что весь исполняемый код должен быть только скомпилирован с ЯВУ. И что будет делать с перлом, шеллом и прочей гопкомпанией на которой и стоит программное обеспечение юникса?

Vadimsky написал:

Ну что ж, начнём разбор полётов.
И так, их сайт http://www.piratepay.ru

А что, их сайт только мне заглавную только страницу показывает и ничего более? Или и всем остальным такой же кукишь?
Хорошо ребята устроились, за красивую картинку (стартап-же) сто тыщ зелени... Я могу и десять таких картинок за эти деньги сбацать...

Cruiser78 написал:

А теперь назовите мне юникс, который полностью удовлетворяет этим требованиям. То есть в системе не должно быть средств разработки и отладки программ, что весь исполняемый код должен быть только скомпилирован с ЯВУ. И что будет делать с перлом, шеллом и прочей гопкомпанией на которой и стоит программное обеспечение юникса?

А как же тогда http://www.altlinux.ru/solutions/state/protection-information/? Просто реклама или все-таки они все согласовали?

mvt написал:

А как же тогда http://www.altlinux.ru/solutions/state/ … formation/? Просто реклама или все-таки они все согласовали?

ну там класс 4-5, это не сложно пройти. Веселье начинается с 3) и дальше круче. Вплоть до закрытия окон

i2ks написал:

распространяемый в торрент-сетях, путем предотвращения его загрузки.

интересно как? засрут весь интернет?) или с провайдерами договорятся?
PS их сайт мегакрут одна html страничка, и то не по стандартам сделана

Vadimsky написал:

nmap показал вот что:

И какой логический смысл должен следовать из того что они линем пользуются?

mogul82, ну типа они работают на MS и отсюда все вытекающие)

3axapp, а MS делает опен-сорц проекты и помогает даже линуксу и BSD. Что не любить линукс что ли

Cruiser78 написал:

[quote=D_Chu]А можно ссылочку на на эти требования?

Да без проблем. Для людей, профессионально занимающихся информационной безопасностью - это баян рваный. А правильное название:
"Положение о методах и способах защиты информации в информационных системах персональных данных" введено в действие приказом ФСТЭК №58 от 5.02.2010. Ссылка на первоисточник вот: http://www.fstec.ru/_docs/doc_781.htm

А теперь назовите мне юникс, который полностью удовлетворяет этим требованиям. То есть в системе не должно быть средств разработки и отладки программ, что весь исполняемый код должен быть только скомпилирован с ЯВУ. И что будет делать с перлом, шеллом и прочей гопкомпанией на которой и стоит программное обеспечение юникса?[/quote]
Да, этим требованиям ни один дистрибутив не угодит. Везде хотя бы gcc имеется.
А вот виндовс - да, там средств разработки в комплекте нету. Они к этому подталкивают?

ЗЫ Cruiser78, спасибо за ссылку.

mogul82, ну по моему вполне логично было бы если мегаантипираты работающие с МС купили себе хостинг на винде, а недохостинг Джино. У них там только одна html-страничка + картинки, думаю IIS с этим бы справился=). И при этом эти чуваки еще использовали триальную версию редактора. Ну не знаю для кого как, но для меня триальная версию можно использовать только ради попробовать.

D_Chu написал:

Да, этим требованиям ни один дистрибутив не угодит. Везде хотя бы gcc имеется.

ну насколько я знаю у мандривы есть сертифицированный дистрибутив + сертифицированный репозиторий. Соответственно даже программы можно с репы тянуть не боясь ФСТЭКа)

D_Chu написал:

А вот виндовс - да, там средств разработки в комплекте нету. Они к этому подталкивают?

да и винда не подходит. Эти требования мудаки какие-то придумали. Считай в юниксах есть bash, perl, а в винде powershell , батники(не помню как это правильно называется) + vbscript сюда наверно можно прикрутить(он вроде тоже по умолчанию идет).

3axapp написал:

mogul82, ну по моему вполне логично было бы если мегаантипираты работающие с МС купили себе хостинг на винде, а недохостинг Джино. У них там только одна html-страничка + картинки, думаю IIS с этим бы справился=). И при этом эти чуваки еще использовали триальную версию редактора. Ну не знаю для кого как, но для меня триальная версию можно использовать только ради попробовать.

Вот и я про тоже. выглядит как очередной распил бабла.

3axapp написал:

Эти требования мудаки какие-то придумали.

Сколько я себя в ИБ помню, а это с года так 1994-го, помню и подобные требования. Они "отлиты из бронзы" и кочуют из документа в документ. Вначале я полагал, что это "трудности перевода", что текст "не должено быть доступно юзеру" был переведен неправильно, был переведен как "не должно быть установлено". Но с годами убедился в ином. Все инструкции и требования пришутся не с целью обезопасить тебя, исполнителя, но прикрыть задницу писателю этих инструкций. Дать ему возможность перевести стрелки от себя, случись что, на нижних чинов, которые его мудрое указание не выполнили. А то, что эти указания невыполнимы чисто технически - то мало кого волнует. Но зато - приедет ревизор какой в твою контору и легко найдет недостатки в выполнении нормативных документов. И никого волновать не будет, что написан изначально бред. Но ты будешь виноват в невыполнении требований нормативных документов.

D_Chu написал:

да, там средств разработки в комплекте нету.

@echo off
echo Hello, World!
pause > nul

mvt написал:

А как же тогда http://www.altlinux.ru/solutions/state/protection-information/? Просто реклама или все-таки они все согласовали?

Сертификаит выдан на другое - на 4й класс по отсутствию недекларированных возможностей и на 5й класс по несанкционированому доступу (по сути это аналог классического оранжевого С2). Запрета на наличие средств разработки в этих классах нет и никогда не было. А вот если ты будешь строить систему по обработке персональных данных - то тебе надо использовать не систему, сертифицированную по этим классам, а выполнить требования 58-го приказа. А затем аттестовать свою подготовленную систему установленным порядком в компетентном органе. Компетентный орган будет проверять как наличие у тебя необходимго пакета документов (которые ты должен написать), так и соответствие построенной системы соответствующим требованиям. Есть у тебя в системе текстовый редактор и полсистемы написаны не перле - как докажешь, что не имеешь средств разработки и отладки и используешь код, компилированный с ЯВУ, без возможности изменения объектоного кода в ходе эксплуатации системы?
Есть и еще дополнительные заморочки. Эта - самая очевидная.

Darth Revan написал:

Спросите это у

text

@echo off
echo Hello, World!
pause > null

Я уже не говорю о M$ Office. Это что? С его макросами, из которых доступен весь WinAPI.

Cruiser78
Это Batch (CMD). По сути, убогий, но интерпретированный язык программирования.

Darth Revan написал:

Cruiser78
Это Batch (CMD). По сути, убогий, но интерпретированный язык программирования.

Я, похоже, неправильно ударения расставил. Мой вопрос "Это что?" относился не к цитируемому коду, а к MS Office. Что это такое? Это офисный пакет для секретутки или среда полноценного программирования, разработки и отладки ПО?
И, кстати, по мере возможности я досовский batch менял на ndos. И имел возможность в ряде случаев ограничиваться написанием только батников.

Cruiser78, полноценной средой является Microsoft Office Toolkit. Поставляется с 2007г. отдельно smile

Боюсь даже предположить, какие требования в 1-м классе?

Vadimsky написал:

Боюсь даже предположить, какие требования в 1-м классе?

Ну там уже требования не только к ПО, но и железу и рабочему месту в целом.