В России выбран курс на импортозамещение. В области программных разработок он подразумевает переход на программное обеспечение с открытым исходным кодом (Open Source). Расскажем о том, как будет развиваться защищённый, надёжный софт базового уровня в условиях санкций против России.
- Введение
- Open Source: российский или глобальный софт?
- Технологический центр исследования безопасности ядра Linux
- Партнёры для разработки ядра Linux
- Методика анализа безопасности кода ядра Linux
- Унифицированная среда разработки безопасного ПО
- Разработка свободного софта требует ответственности
- Выводы
Введение
В последние три месяца ситуация с безопасностью программных разработок в России сильно изменилась. Прежний богатый выбор различных программных платформ сменился ситуацией, когда большинство иностранных вендоров решили прекратить прямые продажи своих продуктов российским заказчикам. Несмотря на риски тотального отключения, иностранные компании, к их чести, не пошли на поводу у тех, кто провоцировал их на такие решения, но в то же время ситуация на рынке резко изменилась.
Среди тех, кто не пострадал в изменившейся ситуации, оказались разработчики программ с открытым исходным кодом, которые раньше были ограничены по большей части узкоспециализированными направлениями: научными, прикладными в специальных отраслях. В новых условиях они доказали, что именно их модель разработки становится наиболее актуальной для России.
Open Source: российский или глобальный софт?
Объявленный в России курс на импортозамещение быстро приобрёл «бизнес-ориентированные» черты. Взамен импортозамещения как курса на развитие компетенций внутри страны и перехода на ПО, которому можно доверять в любых условиях, термин был быстро трансформирован в «более понятный»: переход на российский софт.
В результате у части общества возникло суждение, что Россия была вынуждена взять курс на самоизоляцию. Прежний смысл был подменён обязательной локализацией всех программных разработок внутри России с опорой только на внутренние ресурсы. Мировое сообщество было объявлено недостойным доверия, переход же России к локализации (а по сути, самоизоляции от мирового сообщества), как следствие, — безальтернативным вариантом.
Как показали дебаты на конференции разработчиков свободно распространяемого софта OS Day, прошедшей 23-24 июня в Москве, такого категоричного мнения придерживаются далеко не все российские программисты. Точнее, это мнение скорее продвигается теми российскими компаниями, которые стремятся захватить долю в образовавшемся вакууме, тогда как государство в лице научного сообщества (ИСП РАН) и регулятора (ФСТЭК России) придерживается более открытой, прагматичной позиции, близкой к оригинальному смыслу «импортозамещения».
Как отметил в своём выступлении Виктор Шевцов (ФСТЭК России), регулятор поддерживает не «русификацию» ПО, а отказ от модели выстраивания эшелонированной защиты и переход на более прагматичную модель доверенной разработки надёжного ПО, возможность пользоваться которым не зависела бы от конъюнктурных решений отдельных участников рынка.
По сути речь идёт о том, что свободно распространяемое ПО было и остаётся частью глобальной экосистемы программных разработок.
Технологический центр исследования безопасности ядра Linux
ИСП РАН проводит в настоящее время три самостоятельных проекта по развитию экосистемы безопасных программных разработок в России, которые были инициированы ФСТЭК России.
Первым из них стал проект создания Технологического центра исследования безопасности ядра Linux и Центра по доверенному системному ПО в России. Об этом рассказал Алексей Хорошилов, ведущий научный сотрудник ИСП РАН. В течение 2021 года была проведена разработка требований и технической документации нового Центра. В июне 2022 года открылся его веб-портал.
В течение 2022 года будет проводиться опытная эксплуатация инфраструктуры Центра, а в следующем 2023 году начнётся его промышленная эксплуатация.
На Технологический центр возлагается задача объединить усилия всех отечественных разработчиков, создающих важное ПО на основе ядра Linux. Центром уже подготовлена базовая редакция методик и рекомендаций по реализации мер безопасной разработки для этого ядра. В качестве базовой выбрана версия 5.10 от 16 июня 2022 года. Она является последней среди прошедших полный набор проверочных мероприятий на текущий момент.
Выбор этой версии был сделан экспертным решением всех участников международного сообщества разработчиков Linux. Она будет считаться базовой, и под неё создается перспективный план нововведений, рассчитанный до 2027 года.
Рисунок 1. План перехода российских сертифицированных средств безопасности на ядро 5.10, поддерживаемое Центром компетенции Linux
Технологический центр берёт на себя обязательство отслеживать все изменения, которые происходят в выбранной ветке ядра Linux, проверять создаваемые патчи, устраняющие выявленные уязвимости и ошибки. Он также будет заниматься наполнением БДУ ФСТЭК России сведениями об открытых уязвимостях ядра Linux.
Уже создана экспертная группа, состоящая из представителей 13 компаний. Это сообщество будет расширяться, отметил Алексей Хорошилов.
Рисунок 2. Партнёры Технологического центра компетенций Linux
#Аналитика
#Open Source
#Linux
#Импортозамещение
#Санкции
Полная версия >>
