упаковка программного обеспечения для криптографии и распределения - PullRequest
1 голос
/ 19 декабря 2009

Я занимаюсь разработкой приложения с графическим интерфейсом Python и планирую вызвать внешнюю программу, поставляемую с моей программой, для некоторого шифрования. Я заметил на таких сайтах, как OpenSSL, в которых говорится о законах об экспорте программного обеспечения для криптографии.

Если я не могу упаковать двоичные формы программного обеспечения для криптографии с моим приложением, как я могу обойти это, чтобы все еще иметь возможность шифровать выходные данные моей программы?

Ответы [ 2 ]

5 голосов
/ 19 декабря 2009

Вам нужно тщательно выбирать целевую аудиторию, особенно когда вы танцуете с ITAR - Международными правилами торговли оружием. Определите страны, в которые вы можете легально экспортировать свой продукт, а затем, по крайней мере, скажите, что люди из других стран не могут его загрузить. Возможно, вам придется сделать больше, чтобы оставаться законным в вашей стране.

Юридически, это относится к глубокому концу пула, и вы захотите поговорить с знающим адвокатом об этом. Если вы живете в Финляндии, вы, вероятно, можете делать все что угодно. Если вы живете в США, будьте осторожны. Если вы живете во Франции, будьте очень осторожны.

Обновление: Иногда я чувствую себя старым, в другие дни я это доказываю. Не проверяя текущую обработку сильной криптографии в ITAR, я ответил ответом, который устарел как минимум на 12 лет. До 1997 года экспорт крипто любого вида из / в любую страну был очень рискованным делом и нес серьезную юридическую ответственность. Это было особенно актуально во Франции, которая на какое-то время запретила все виды криптографического использования, даже очень слабые 40-битные DES. Хотя Франция немного ослабла, они, похоже, отстают от большинства других развитых стран в понимании того, что а) их граждане имеют действительное право на неприкосновенность частной жизни, и б) они мало что могут сделать, чтобы остановить это в мире, где 4096-битный RSA доступен по всей сети.

Позиция ИТАР в крипто-индустрии изменилась в 96-97. Хотя в целом ситуация улучшилась, все еще существуют препятствия для экспорта / импорта криптографии. Прежде чем идти слишком далеко, вы должны тщательно ознакомиться с законами вашей страны, касающимися крито - вы можете быть потрясены / опечалены тем, что найдете. Даже в США все еще есть некоторые ограничения в отношении того, какой тип шифрования вы можете экспортировать, кому и в какой форме.

В некоторых странах, в частности во Франции и Великобритании, действуют (и, похоже, все еще действуют в той или иной форме) законы, которые могут требовать от поставщика программного обеспечения либо депонировать ключи, используемые их клиентами, и / или предоставлять бэкдор в система на случай, если правительство захочет понять, о чем вы говорите.

Итог: Хорошая криптография заставляет правительства нервничать, а законы о том, что законно / незаконно, повсюду на карте. Постарайтесь точно понять, какую роль играет шифрование в вашем предлагаемом продукте / проекте, и определите, может ли пользователь принять в нем участие, исходя из позиции своей страны по этому вопросу.

0 голосов
/ 19 декабря 2009

Я часто видел, как люди полагаются на внешний пакет для криптографической части: вы можете упаковать свое программное обеспечение без криптографического пакета и сказать своему пользователю, что он должен загрузить и установить криптографическую часть от оригинального издателя.

это фактически переносит ответственность за криптографическую часть от вас к вашему пользователю.

...