В Москве прошла IX международной научно-практической конференции OS DAY «Технологические основы безопасности операционных систем», которая была посвящена вопросам обеспечения безопасности ключевых программных технологий — ядер различных операционных систем: общераспространенной Linux, мобильной «Авроры», встроенной embox, полностью отечественной QP и многих других. Организатором конференции выступил консорциум OS DAY, в который входят ведущие компании-разработчики российских ОС и системного ПО: ИСП РАН, DZ Systems, «Базальт СПО», «Лаборатория Касперского», РЕД СОФТ, «РусБИТех-Астра», «Криптософт», «Открытая мобильная платформа» и НИЦ «Институт имени Н.Е. Жуковского». Информационным партнером конференции стала АРПП «Отечественный софт». Важным вопросом, который обсуждался на OS DAY 2022, стал баланс между открытостью кодов и эксклюзивностью программных разработок, который как раз и проходит по вопросу информационной безопасности.
Анализ отечественного ПО
В рамках конференции состоялась церемония подписания меморандума о сотрудничестве в сфере информационных технологий между ассоциацией разработчиков программных продуктов (АРПП) «Отечественный софт» и Институтом системного программирования им. В.П. Иванникова РАН (ИСП РАН). Согласно договоренностям Институт по запросу членов АРПП будет обеспечивать доступ к инструментам анализа программ для их тестового внедрения и оказывать разработчикам полную техподдержку при апробации практик и инструментов анализа кода на тиражных программных продуктах. Ассоциация, со своей стороны, будет координировать взаимодействие с российскими разработчиками ПО и содействовать развитию практики безопасной разработки.
Следует отметить, что именно АРПП «Отечественный софт» отвечает за экспертизу программного обеспечения при наполнении реестра отечественного ПО, который ведёт Минцифры. В то же время инструменты анализа кодов, которые предлагает ИСП РАН, является важной частью стандарта ГОСТ Р 56939-2016 “Защита информации. Разработка безопасного программного обеспечения Общие требования” – его соблюдение упрощает процедуру сертификации программных продуктов по требованиям ФСТЭК. Таким образом, заключение партнёрских отношений между этими институтами упростит для разработчиков отечественного ПО анализ безопасности кодов с возможностью их последующей сертификации по уровням доверия ФСТЭК.
«ИСП РАН является очень важным партнером для нас, – подчеркнул в своем выступлении исполнительный директор АРПП «Отечественный софт» Ренат Лашин. – Институт предоставляет сообществу разработчиков ПО самые передовые инструменты и методики, а также инфраструктуру распределенного анализа наиболее значимых приложений, получая от вендоров обратную связь о потребностях в различных технологиях безопасности. Подобное сотрудничество способствует как развитию инструментов и методик безопасной разработки, так и формированию партнерства государственных и частных организаций, целью которого является повышение качества разрабатываемых решений».
«Для нас заключение этого меморандума − важный этап развития, – считает директор ИСП РАН, академик РАН Арутюн Аветисян. – Это признание нашего технологического лидерства и возможность в модели кооперации, а не конкуренции, обеспечить долгосрочное устойчивое развитие как отдельных компаний, так и отрасли в целом. Все члены ассоциации получат не только доступ к технологиям безопасной разработки. Они смогут объединить усилия, минимизировать риски, оптимизировать затраты ресурсов, а также (и это особенно важно для нас) смогут предоставлять консолидированную обратную связь, что позволит вывести качество программных продуктов на новый уровень».
Российские коды
На конференции также стало заметно, что деятельность созданного на базе ИСП РАН технического центра исследования безопасности ядра Linux приносит первые плоды. Уже предложенный специалистами Центра набор исправлений был вынесен в основной код ядра. По словам руководителя Технологического центра исследования безопасности ядра Linux Алексея Хорошилова уже 23 исправления, выработанных в результате исследования безопасности ядра, было включено в основной код. Исправления касаются безопасной загрузки ядра при старте из UEFI. Сейчас ведётся разработка следующего набора исправлений — исследоваться будет как само ядро, так и набор критических утилит. Центр набирает волонтеров, которые готовы анализировать сообщения сканеров уязвимостей и могут оценить насколько они опасны.
По оценкам начальника управления ФСТЭК Дмитрия Шевцова для того, чтобы сделать Linux безопасным, достаточно подправить не более 3% существующего кода. Важно делать это систематически и в соответствии с методикой. Служба как раз и занимается разработкой требований по безопасности к различным базовым компонентам информационных систем, чтобы обеспечить совершенствование встроенных в них средств защиты. «Мы отходим от концепции наложенных средств защиты и переходим к модели совершенствования встроенных в базовое программное обеспечение механизмов безопасности, — пояснил Дмитрий Шевцов направление развития нормативного регулирования. — Работа по проверке открытых кодов может быть только начата. Хотя формально она должна закончиться через 3 года, но мы надеемся, что она не закончиться никогда». Служба уже приняла требования к системам контейнеризации — приказ сейчас находиться на регистрации в Минюсте. До конца года планируется еще разработка и принятие требований для средств виртуализации.
Кроме того, Центр начинает формирование отечественного репозитория открытого кода, который можно будет использовать для формирования отечественных дистрибутивов различных операционных систем. Предполагается, что в репозитории будут сопровождаться две ветки ядра — наиболее популярную на текущий момент 5.10 и перспективную 5.15. Сейчас большинство отечественных ОС и программно-аппаратных комплексов базируется на достаточно старых версиях ядра — третьего или четвертого поколения, а переход на пятое — планируется в ближайшие три года. Именно к этому времени предполагается создание безопасного репозитория кода ядра 5.15, который можно будет использовать в качестве основы для защищенных продуктов с открытым кодом. Также Центр собирается заняться унификацией средств разработки, которые также будут проверены на безопасность и качество создаваемых программ. Также этот проект будет работать над совершенствованием средств разработки для отечественных процессоров — «Эльбрус», «Байкал» и RISK-V.
Под давлением копилефта
На конференции также была поднятая важная для отрасли разработки с открытыми кодами проблема свободных лицензий — так называемого «копилефта». Как отметил заместитель генерального директора компании «Базальт СПО» Алексей Новодворский при анализе авторских прав открытых проектов важно смотреть не на лицензию, а на правообладателя. Проекты с открытыми кодами очень часто принадлежат коммерческим компаниям, которые полностью контролируют процесс разработки и могут заблокировать как исправление найденных уязвимостей, так и использование российскими компаниями. Полностью скопировать проект также не получиться, поскольку тогда это будет уже нарушение основной открытой лицензии. В результате, ключевые для безопасности компоненты могут контролироваться недружественными для отечественных разработчиков компаниями, и это нужно учитывать при разработке на их основе отечественных продуктов — лучше использовать международные исследовательские проекты или разрабатывать собственные библиотеки.
