Категории шифровальных средств для нотификации: разбор двенадцати категорий с примерами и границами

01

Зачем нужны категории и как они работают

Раздел 2.19 единого перечня товаров нетарифного регулирования охватывает шифровальные средства в целом. Чтобы не лицензировать каждую партию наушников, Положение выделяет товары с ограниченными криптографическими функциями и разрешает их ввоз по нотификации — уведомлению, которое изготовитель регистрирует один раз на модель. Перечень таких товаров и есть категории.

Три правила, без которых категории читаются неправильно. Первое: категории описывают криптографию, а не тип изделия, поэтому «роутер» может быть в нотификации, а может и не быть. Второе: категории применяются к изделию в целом — если хотя бы одна криптографическая функция за пределами всех категорий, изделие на нотификацию не проходит, сколько бы «разрешённых» функций в нём ни было. Третье: в уведомлении указывают все категории, в которые изделие попадает, и орган проверяет каждую по описанию.

02

Категория: общедоступные товары розничной продажи

К категории относятся товары, которые продаются свободно в розницу, не требуют существенной поддержки поставщика при установке и использовании, а криптография в них не может быть легко изменена пользователем. Это самая широкая «потребительская» категория, под неё подпадает большинство бытовой электроники.

03

Категория: товары с ограниченной длиной ключа

К категории относятся изделия, криптография которых не превышает установленных порогов длины ключа для симметричных алгоритмов, асимметричных алгоритмов на факторизации и алгоритмов на эллиптических кривых. Категория количественная, и попасть в неё можно только с точными числами из спецификации.

04

Категория: компоненты и узлы с неизменяемой криптографией

К категории относятся модули, чипсеты, встраиваемые платы и иные компоненты, криптографические функции которых зафиксированы изготовителем и не могут быть изменены пользователем или интегратором. Категория закрывает ввоз комплектующих для сборки и ремонта.

• Wi-Fi и Bluetooth-модули для встраивания в готовые изделия;
• чипсеты с аппаратным ускорением шифрования, если функции фиксированы;
• модули сотовой связи для промышленных устройств;
• платы для ремонта устройств, нотифицированных как готовые изделия.

05

Категория: товары гражданского применения с фиксированной криптографией

Изделия, криптография в которых обслуживает основную, некриптографическую функцию и не доступна для иных целей: умная бытовая техника, климатическое оборудование с модулем связи, автомобильная электроника, медицинские приборы с передачей данных. Отличие от розничной категории — здесь изделие может продаваться и не через розницу, важна фиксированность и служебность криптографии.

06

Категория: средства аутентификации и контроля доступа

К категории относятся товары, криптография которых используется только для аутентификации — проверки подлинности пользователя, устройства, лицензии — и не шифрует содержание данных. Пароли, ПИН-коды, одноразовые коды, цифровые подписи для входа.

• аппаратные ключи доступа и токены двухфакторной аутентификации;
• считыватели карт доступа и контроллеры СКУД;
• лицензионные ключи и аппаратные защиты ПО от копирования;
• модули аутентификации в принтерах и оргтехнике.

07

Категория: защита интеллектуальной собственности и контента

К категории относятся устройства и ПО, криптография которых служит защите контента и лицензий: управление цифровыми правами, защита медиапотока, условный доступ платного телевидения. Ключи и алгоритмы недоступны пользователю и не применимы к иным данным.

• медиаплееры, приставки, ресиверы с условным доступом;
• устройства с поддержкой защищённых видеоинтерфейсов;
• игровые консоли в части защиты контента;
• электронные книги с защитой файлов.

08

Категория: оборудование банковских и платёжных операций

К категории относятся товары, специально разработанные для финансовых операций: платёжные терминалы, банкоматы, PIN-клавиатуры, карт-ридеры, кассы с приёмом карт. Криптография в них ограничена защитой транзакций и соответствует отраслевым стандартам платёжных систем.

09

Категория: портативные и мобильные радиосредства гражданского назначения

К категории относятся рации, бытовые радиостанции, мобильные терминалы гражданского применения, где криптография ограничена радиоканалом и не обеспечивает сквозного шифрования между абонентами. Смартфоны обычно проходят по розничной категории, а здесь — профессиональные и любительские радиосредства.

• любительские и бытовые радиостанции с защитой канала;
• терминалы транкинговой связи гражданского применения без сквозного шифрования;
• персональные рации для туризма и охраны.

10

Категория: беспроводное оборудование малого радиуса действия

К категории относятся устройства, шифрующие только радиоканал ограниченной дальности — Bluetooth, Wi-Fi, ZigBee, Z-Wave и подобные — без сквозного шифрования данных между конечными точками. Это категория для наушников, датчиков, умных замков, клавиатур, гарнитур.

11

Категория: криптография для служебных функций оборудования

К категории относятся промышленное, сетевое и офисное оборудование, где криптография защищает служебные функции: обновление прошивки, диагностику, удалённое администрирование, защиту конфигурации. Данные пользователя при этом не шифруются или шифруются только в части служебного канала. Подробный разбор этой категории, которую на практике называют двенадцатой, — в отдельной статье.

• коммутаторы и маршрутизаторы с HTTPS для управления;
• принтеры и МФУ с защищённым администрированием;
• контроллеры, счётчики, телеметрия с подписанными обновлениями;
• серверы и СХД с защитой удалённого доступа к управлению.

12

Категория: программное обеспечение общего назначения

К категории относятся операционные системы, офисные пакеты, браузеры и прикладные программы массового распространения, криптография в которых — стандартная часть продукта и не является его основным назначением. Категория актуальна при ввозе ПО на материальных носителях и при поставке предустановленного ПО с оборудованием.

• операционные системы для рабочих станций и серверов;
• офисные и прикладные пакеты со встроенным шифрованием документов;
• браузеры и клиенты с TLS;
• драйверы и утилиты изготовителя оборудования.

13

Категория: товары для личного пользования владельца

К категории относятся электроника, ввозимая физическим лицом для собственного использования, в количестве и ассортименте, характерном для личных нужд. Категория закрывает пересечение границы с личным смартфоном и ноутбуком, но не работает для юридических лиц и не работает для партий.

14

Что выводит изделие из всех категорий сразу

Изделие переводит с нотификации на лицензию любая функция из списка, независимо от остальных характеристик. Проверять его нужно до анализа категорий: если нашёлся хотя бы один пункт, дальше можно не считать.

• криптография с длиной ключа выше порогов, доступная пользователю для защиты произвольных данных;
• возможность пользователя загружать собственные ключи, менять алгоритмы или параметры сверх пределов;
• защита информации как основное назначение: шифраторы, криптошлюзы, HSM, средства криптографической защиты как продукт;
• сквозное шифрование чужого трафика в промышленных масштабах — операторское и корпоративное оборудование защиты сетей;
• средства криптоанализа;
• поставка с исходными кодами криптомодулей или SDK для разработки криптографии;
• защита государственной тайны и служебной информации специальными алгоритмами;
• признаки средств негласного получения информации — это уже другой раздел перечня с уголовной ответственностью.

15

Алгоритм определения категории по документации изготовителя

1. Получите от изготовителя техническое описание криптографии: перечень функций, алгоритмы, длины ключей, режимы, назначение каждой функции, доступность пользователю.
2. Проверьте список исключающих функций из предыдущего блока. Есть хотя бы одна — лицензия, анализ категорий не нужен.
3. Определите назначение каждой функции: защита радиоканала, служебные функции, аутентификация, контент, платежи, защита данных пользователя.
4. Сопоставьте функции с категориями и выпишите все, в которые изделие попадает. Обычно их две-три.
5. Проверьте количественные пороги там, где категория их требует.
6. Убедитесь, что для всех исполнений и модификаций модели криптография одинакова; если нет — исполнения описываются отдельно.
7. Зафиксируйте вывод в уведомлении со ссылкой на все подходящие категории и приложите описание, по которому он сделан.

16

Технология в изделии и вероятная категория

Ориентировочная таблица для быстрой первичной оценки. Она не заменяет анализ по спецификации, но помогает понять, куда смотреть.

17

Типичные ошибки на границах категорий

• оценка по названию технологии, а не по параметрам: «есть Wi-Fi — значит нотификация» без проверки остальных функций;
• игнорирование одной функции за пределами категорий на фоне десяти функций внутри;
• заявление категории «для личного пользования» юридическим лицом;
• отнесение HSM и криптошлюзов к банковской категории;
• попытка нотифицировать корпоративное исполнение по описанию бытового;
• описание категорий по практике прошлых лет без сверки с актуальным текстом Положения;
• заявление «криптографии нет» на устройстве с Bluetooth или шифрованием накопителя;
• подача уведомления с указанием одной категории, когда изделие попадает в три, — орган возвращает на доработку.

18

Чек-лист перед подачей уведомления

1. Есть техническое описание криптографии от изготовителя с алгоритмами, ключами, режимами и назначением.
2. Список исключающих функций проверен, совпадений нет.
3. Определены все категории, в которые изделие попадает, а не одна «самая подходящая».
4. Количественные пороги проверены там, где категория их требует.
5. Исполнения и модификации модели сверены: криптография одинакова или описана раздельно.
6. Вывод о категориях сделан инженером и зафиксирован письменно.
7. Есть план на случай отказа: исполнение с ограниченной криптографией или лицензия.

19

Три режима ввоза

20

Что покрывается нотификацией

• товары, содержащие в составе криптографические средства с ограниченными возможностями;
• устройства с симметричным алгоритмом при длине ключа, не превышающей установленного порога;
• устройства с асимметричным алгоритмом при длине ключа в пределах установленных значений для соответствующих типов алгоритмов;
• товары, в которых криптография является вспомогательной функцией: защита каналов связи, аутентификация, защита от копирования;
• устройства с криптографией, встроенной для защиты собственных данных пользователя без функции защиты чужого трафика;
• беспроводные интерфейсы: Wi-Fi с WPA, Bluetooth с защищённым сопряжением;
• устройства с реализацией TLS для связи с облачным сервисом изготовителя;
• программное обеспечение, поставляемое вместе с устройством, в пределах тех же ограничений.

21

Что нотификацией не покрывается

• специализированные средства криптографической защиты информации;
• аппаратные шифраторы каналов связи и криптомаршрутизаторы;
• средства защиты государственной тайны и служебной информации;
• оборудование для криптоанализа;
• устройства с реализацией криптографии сверх установленных пороговых значений;
• средства электронной подписи, реализующие сертифицированные алгоритмы, в отдельных конфигурациях;
• оборудование с функцией защиты чужого трафика в промышленных масштабах;
• системы, позволяющие пользователю самостоятельно изменять криптографические параметры сверх пределов.

22

Что определяет категорию

23

Как определить категорию своего товара

1. Запросить у изготовителя технический документ с описанием применяемых криптографических алгоритмов и длин ключей.
2. Уточнить назначение шифрования в изделии: защита данных пользователя, защита канала, иные функции.
3. Проверить, может ли пользователь изменять криптографические параметры и в каких пределах.
4. Сопоставить параметры с пороговыми значениями, установленными для нотификации.
5. Проверить наличие нотификации на точный индекс модели в едином реестре ЕЭК.
6. Если нотификация есть — использовать её реквизиты при декларировании.
7. Если нотификации нет, но параметры укладываются в её рамки — обратиться к изготовителю с просьбой её оформить.
8. Если параметры выходят за рамки — планировать заключение и лицензию, закладывая месяцы в график.
9. При неоднозначности — обратиться за официальным разъяснением до заключения контракта.

24

Нотификация: свойства процедуры

25

Лицензия и заключение

Установите область раздела 2.19 по коду, описанию и криптографическим функциям. Порядок определяется приложением № 9 с учётом процедуры и исключений. Неприменимость нотификации не означает одинаковую обязанность лицензирования для любой операции. Для выбранной процедуры согласуют комплект технических и коммерческих документов, участников и сроки.

26

Практические категории товаров

27

Ошибки при проверке нотификации на шифровальные средства

• проверка нотификации по названию линейки вместо точного индекса модели;
• уверенность, что криптографии в устройстве нет, — она есть практически везде, где есть сеть;
• оценка категории по названию технологии, а не по параметрам алгоритмов;
• предположение, что нотификацию можно оформить силами импортёра;
• расчёт оформить лицензию, пока груз в пути, — сроки этого не позволяют;
• ввоз образцов для испытаний без нотификации и без заключения ФСБ;
• региональная версия модели с другим суффиксом считается покрытой существующей нотификацией;
• корпоративное оборудование с расширенной криптографией ввозится как потребительское;
• техническое описание от изготовителя получено в маркетинговом виде без параметров алгоритмов;
• использованы устаревшие пороговые значения при определении категории.

28

Что делать при неоднозначности

1. Собрать максимально полное техническое описание криптографической подсистемы от изготовителя.
2. Зафиксировать письменно параметры: алгоритмы, длины ключей, назначение шифрования, возможность настройки.
3. Проверить, есть ли нотификации на аналогичные модели того же изготовителя и с какими формулировками.
4. Обратиться за официальным разъяснением о применимом режиме до заключения контракта.
5. При неоднозначности соберите технические доказательства и уточните применимое основание до отгрузки. Лицензию нельзя выбирать только как более дорогую альтернативу без проверки установленного порядка.
6. Не начинать производство и отгрузку до получения ясности.
7. Задокументировать основание для принятого решения — оно понадобится при таможенном контроле.
8. Пересматривать вывод при смене ревизии изделия или обновлении прошивки, меняющем криптографию.

29

Источники для проверки

• ЕЭК — приложение № 9: порядок ввоза и вывоза шифровальных средств