Проект "Свободные голосования"

Вот постановление о лицензировании деятельности, связанной с шифрованием: http://clsz.fsb.ru/docs/gov/957.htm

Я, честно говоря, совсем не понимаю как именно лицензирование относится к нам. Если мы будем делать программу-агент, внутри которой никакого шифрования или работы с ЭЦП не будет. Программа будет всего-лишь посредником, передающим данные со страницы токену и из токена на страницу. Непосредственно шифрование и работа с ЭЦП будет производится в токене, который сам по себе уже сертифицирован в ФСБ. Это разве является средством шифрования или средством для работы с ЭЦП?

_________________
7BF9BDC16428245B55CF04EF4A609CA44E0F6E68

Итак, попробую описать конечный итог обсуждения с Максом Чирковым необходимых для официального признания системы требований:

1. Наличие юридического лица, под эгидой которого и будет все делаться. В общем, мы и так думали о фонде, так что ничего неожиданного.

2. Необходимость наличия лицензий ФСБ на разработку, распространение средств криптографии и еще 2 каких-то. Сложно, но, если уж по большому счету, тоже реально.

3. Собственное помещение юрлица, в том числе и для размещения серверов. Аренда или покупка помещения + магистральные каналы связи + система электропитания для серверов + система охлаждения и т.д.

4. Команда, в которую, в обязательном порядке, должны входить несколько специалистов с определенным образованием в области криптографии и защиты информации. Здесь основная трудность в том, что таким специалистам нужно платить зарплату.

_________________
7BF9BDC16428245B55CF04EF4A609CA44E0F6E68

Таким образом, получается что если делать так, то надо начинать с организационных моментов и сбора средств. И надо этим заниматься где-то в центре. Я лично с периферии делать это не смогу.

Либо нужно отказываться от использования какой-либо ЭЦП и средств шифрования и делать все без них. Но тут возникает проблема обработки и хранения "персональных данных", что тоже достаточно коряво описывается нашим законодательством. Так что пока я лично в тупике.

_________________
7BF9BDC16428245B55CF04EF4A609CA44E0F6E68

Судя по всему, от использования официальных ЭЦП мы пока отказываемся. К ним можно вернуться на следующих этапах когда под работающую систему мы наберем достаточно пожертвований для того что-бы сделать офис, набрать команду и получить лицензии.

_________________
7BF9BDC16428245B55CF04EF4A609CA44E0F6E68

Опишите Андрей чего мы лишаемся...(в чем будут неудобства)
и как для простого пользователя будет выглядеть "компромиссный" вариант...или варианты

Лишимся мы автоматической юридической силы голосований. Тем не менее, мы можем с использованием GnuPG отработать технологию и механизмы. Т.к. от ГОСТ-овских они будут отличаться не сильно.

_________________
7BF9BDC16428245B55CF04EF4A609CA44E0F6E68

Для начала тоже не плохо...позже вложимся в эти лицензии....

А в чём разница между ГОСТовым алгоритмом и GnuPG? Что мешает сразу его использовать? Или там какие-то ограничения, типа длины ключа и подобных?

В ГОСТ-овских очень простое ограничение - необходимость наличия лицензий даже для разработки. Без лицензий, самое легкое на что нарвемся - на штрафы.

_________________
7BF9BDC16428245B55CF04EF4A609CA44E0F6E68

Не пойму, Андрей, зачем тратить деньги на лицензию? Можно же чисто технически использовать инструменты вроде GnuPG и OpenSSL. И чисто на техническом уровне безопасность будет абсолютно такая же.
А лицензирование, насколько я знаю, необходимо лишь для того чтобы ЭЦП имело юидическую силу. Это необходимо в сфере отношений юридических лиц в основном. А в той системе, которую делаете вы это вообще не нужно.