Сертификация RHEL4 в России
Сегодня прошла презентация сертификата, который ФСТЭК выдала IBM и VDEL. Теперь RedHat Enterprise Linux 4 QU1 (RHEL4 QU1) сертифицирован в России на платформе IBM (System x, BladeCenter, System p5, System i5, System z9) по ОУД4 и НДВ4.
Если не такими запутанными словами -- RHEL4 получил сертификат, соответствующий уже имеющемуся в США по сертификации Common Criteria EAL4+ на технике IBM. Несмотря на то, что в России действует сертификация по тому же ISO 15408, по которому сертифицируют и в странах с Common Criteria, уже выданные "заграничные" сертификаты здесь не признаются, так что все приходится делать с нуля.
На сей раз сам процесс сертификации занял почти год -- от 26 декабря 2005 года, когда ФСТЭК выдала решение №1685 на проведение сертификационных испытаний до сегодняшнего дня, когда был вручен сертификат на "сертификационный образец".
Александр Павлович Трубачев из сертификационной лаборатории Центра Безопасности Информации рассказывает о тяжелой жизни сертификаторов. Жизнь и на самом деле непростая -- процесс сертификации занимает в среднем шесть месяцев, а в этом случае занял все семь.
Я, признаться, и сам думал, что весь этот процесс по большей мере формальный. Однако же, не все так просто. Помимо объемного пакета документации, которая положена по ISO 15408, наличие исходников позволяет провести реальную оценку соответствия предоставленного бинарного кода. Сертификационная лаборатория так и поступила -- RHEL4 QU1 был пересобран из исходников и получившиеся пакеты были сверены с теми, что поставляет RedHat. Методика сверки -- know-how лаборатории, но в общих словах была описана так: получившиеся ELFы разбираются и код сверяется побайтно. В результате оказалось, что из более чем 700 "объектов сертификации" не совпало около 350.
Вот тут начинается самое интересное. Детальное исследование показало, что различия скорее в смещениях и переходах из-за выравнивания кода при пересборке. То есть, среда в которой собирали пакеты в RedHat не совсем соответствует самому RHEL4 QU1. Специалистами VDEL и IBM была разработана дополнительная технология, которая показала, что везде, кроме 9 файлов присутствует именно такой шаблон, а сам код остается тем же самым.
Для девяти файлов, которые были получены статической компоновкой, воспроизвести сборку не удалось, поэтому пакеты были проанализированы статическими анализаторами кода и в результате их пересобрали в исследуемой среде. Получились новые пакеты, которые добавили к сертифицируемому объекту (RHEL4 QU1) в виде Audit Pack. И вот с этой коллекцией пакетов сертификат и "взлетел".
В дополнение, к моменту попадания RHEL4 QU1 в лабораторию, в ядре уже была найдена локальная уязвимость, исправленная в RHEL4 QU4. Поэтому ее исправление добавили в ядро RHEL4 QU1, пересобрав его и добавив в тот же Audit Pack.
Вот такие непростые работы... К которым добавился серьезный анализ документации, предоставленной RedHat-ом и IBM. Документация описывает все аспекты разработки, тестирования и поддержки дистрибутива, свободного ПО вообще, а также выпуска обновлений. Вообще, ISO 15408 -- достаточно забавный документ, интересный во всех отношениях, пока не начинаешь ему следовать: работы не просто много, а очень много.
Зато теперь можно праздновать: вот Игорь Егоркин из ФСТЭК; зачитывает постановление о вручении сертификата, а Евгений Максимов из IBM (справа от Игоря) готовится этот сертификат принять. Сертификат на самом деле знаковый, поскольку по новым сертификационным правилам такого уровня сертификат еще ни одной операционной системе общего назначения не выдавался.
На презентации также выступали и Милан Прохаска из VDEL, и Игорь Жуков из ВНИИНС. Поскольку сертификат выдан только на один экземпляр, то необходимо еще организовать сертифицированное производство, а в рамках этого производства обеспечить сертифицированный выпуск сертифицированных обновлений. Вообще, слово "сертифицированный" звучало сегодня так часто, что все остальное уходило на другой план. :-)
Надо сказать, что VDEL и ВНИИНС скорее всего скоро выполнят все требования по организации этого процесса -- во всяком случае представитель ФСТЭК выразил надежду, что документы по этому процессу будут переданы в комиссию в течение пары недель.
С этой надеждой слушатели перешли ко второй части презентации, в которой Алексей Федосеев (droggy) рассказал о том, чем может сертифицированный RHEL помочь уважаемым заказчикам, а также поведал о том, как идет использование SE Linux в госорганах других стран на примере Великобритании. Следом за ним выступал Андрей Меганов из VDEL с докладом о том, какие услуги предоставляет RedHat в России и что это такое -- RedHat Enterprise Linux.
После чего был небольшой фуршет, на котором слушатели задавали много вопросов выступавшим и присутствовшим, поедали вкусные пирожные и вообще как могли затягивали окончание этого вечера и возвращение в промозглую Москву.
Если не такими запутанными словами -- RHEL4 получил сертификат, соответствующий уже имеющемуся в США по сертификации Common Criteria EAL4+ на технике IBM. Несмотря на то, что в России действует сертификация по тому же ISO 15408, по которому сертифицируют и в странах с Common Criteria, уже выданные "заграничные" сертификаты здесь не признаются, так что все приходится делать с нуля.
На сей раз сам процесс сертификации занял почти год -- от 26 декабря 2005 года, когда ФСТЭК выдала решение №1685 на проведение сертификационных испытаний до сегодняшнего дня, когда был вручен сертификат на "сертификационный образец".
Александр Павлович Трубачев из сертификационной лаборатории Центра Безопасности Информации рассказывает о тяжелой жизни сертификаторов. Жизнь и на самом деле непростая -- процесс сертификации занимает в среднем шесть месяцев, а в этом случае занял все семь.
Я, признаться, и сам думал, что весь этот процесс по большей мере формальный. Однако же, не все так просто. Помимо объемного пакета документации, которая положена по ISO 15408, наличие исходников позволяет провести реальную оценку соответствия предоставленного бинарного кода. Сертификационная лаборатория так и поступила -- RHEL4 QU1 был пересобран из исходников и получившиеся пакеты были сверены с теми, что поставляет RedHat. Методика сверки -- know-how лаборатории, но в общих словах была описана так: получившиеся ELFы разбираются и код сверяется побайтно. В результате оказалось, что из более чем 700 "объектов сертификации" не совпало около 350.
Вот тут начинается самое интересное. Детальное исследование показало, что различия скорее в смещениях и переходах из-за выравнивания кода при пересборке. То есть, среда в которой собирали пакеты в RedHat не совсем соответствует самому RHEL4 QU1. Специалистами VDEL и IBM была разработана дополнительная технология, которая показала, что везде, кроме 9 файлов присутствует именно такой шаблон, а сам код остается тем же самым.
Для девяти файлов, которые были получены статической компоновкой, воспроизвести сборку не удалось, поэтому пакеты были проанализированы статическими анализаторами кода и в результате их пересобрали в исследуемой среде. Получились новые пакеты, которые добавили к сертифицируемому объекту (RHEL4 QU1) в виде Audit Pack. И вот с этой коллекцией пакетов сертификат и "взлетел".
В дополнение, к моменту попадания RHEL4 QU1 в лабораторию, в ядре уже была найдена локальная уязвимость, исправленная в RHEL4 QU4. Поэтому ее исправление добавили в ядро RHEL4 QU1, пересобрав его и добавив в тот же Audit Pack.
Вот такие непростые работы... К которым добавился серьезный анализ документации, предоставленной RedHat-ом и IBM. Документация описывает все аспекты разработки, тестирования и поддержки дистрибутива, свободного ПО вообще, а также выпуска обновлений. Вообще, ISO 15408 -- достаточно забавный документ, интересный во всех отношениях, пока не начинаешь ему следовать: работы не просто много, а очень много.
Зато теперь можно праздновать: вот Игорь Егоркин из ФСТЭК; зачитывает постановление о вручении сертификата, а Евгений Максимов из IBM (справа от Игоря) готовится этот сертификат принять. Сертификат на самом деле знаковый, поскольку по новым сертификационным правилам такого уровня сертификат еще ни одной операционной системе общего назначения не выдавался.
На презентации также выступали и Милан Прохаска из VDEL, и Игорь Жуков из ВНИИНС. Поскольку сертификат выдан только на один экземпляр, то необходимо еще организовать сертифицированное производство, а в рамках этого производства обеспечить сертифицированный выпуск сертифицированных обновлений. Вообще, слово "сертифицированный" звучало сегодня так часто, что все остальное уходило на другой план. :-)
Надо сказать, что VDEL и ВНИИНС скорее всего скоро выполнят все требования по организации этого процесса -- во всяком случае представитель ФСТЭК выразил надежду, что документы по этому процессу будут переданы в комиссию в течение пары недель.
С этой надеждой слушатели перешли ко второй части презентации, в которой Алексей Федосеев (droggy) рассказал о том, чем может сертифицированный RHEL помочь уважаемым заказчикам, а также поведал о том, как идет использование SE Linux в госорганах других стран на примере Великобритании. Следом за ним выступал Андрей Меганов из VDEL с докладом о том, какие услуги предоставляет RedHat в России и что это такое -- RedHat Enterprise Linux.
После чего был небольшой фуршет, на котором слушатели задавали много вопросов выступавшим и присутствовшим, поедали вкусные пирожные и вообще как могли затягивали окончание этого вечера и возвращение в промозглую Москву.