Kryptografie-Notifizierung (Russland und EAWU)

Die Kryptografie-Notifizierung, die der russische Inlandsgeheimdienst FSB registriert, ist der leichte Weg, um Waren mit Verschlüsselung in die Eurasische Wirtschaftsunion zu bringen. Rechtsgrundlage ist der Beschluss Nr. 30 des EWK-Kollegiums vom 21. April 2015 über nichttarifäre Maßnahmen, der die einheitliche Liste der Waren führt, die an der Grenze ein Genehmigungsdokument brauchen. Eine registrierte Notifizierung wird im gemeinsamen Register der Notifizierungen über die Merkmale von Verschlüsselungsmitteln veröffentlicht, das die EWK führt, und Waren aus diesem Register passieren den Zoll jedes Mitgliedstaats ohne Lizenz. Verschlüsselung, die die Notifizierung nicht abdeckt, braucht ein Sachverständigengutachten des FSB und eine Einfuhrlizenz des Minpromtorg, die nur in Russland gilt und je Sendung erteilt wird.

Welche Produkte brauchen die Kryptografie-Notifizierung?

Fast jedes vernetzte Konsumprodukt. Die einheitliche Liste der Waren, die im Handel mit Drittländern nichttarifären Maßnahmen unterliegen, auf der Website der Union nach Beschluss Nr. 30 veröffentlicht, umfasst Verschlüsselungsmittel und die Waren, die sie enthalten. Maßgeblich ist die kryptografische Funktion; unter welcher Bezeichnung das Produkt verkauft wird, spielt keine Rolle. Ein Funklautsprecher mit WPA2, ein Thermostat, das sich per Bluetooth koppelt, eine Kamera mit HTTPS-Client zur Cloud: jedes davon enthält in diesem Sinn kryptografische Funktionen.

Der Weg der Notifizierung steht offen, wenn die Verschlüsselung die des Massenmarkts ist: standardisierte, veröffentlichte Algorithmen, übliche Schlüssellängen, eine Nebenfunktion gegenüber dem Zweck des Produkts. WLAN, Bluetooth und TLS in einem Konsumgerät sind genau dieser Fall. Ein Produkt, dessen Zweck die Verschlüsselung selbst ist, ein VPN-Gateway oder ein Hardware-Sicherheitsmodul, liegt außerhalb der Kategorien der Notifizierung und nimmt den weiter unten beschriebenen Lizenzweg.

Der erste Fehler, den wir sehen, ist ein Einordnungsfehler. Die Konformitätsakte sagt "kein Sicherheitsprodukt", die Firmware sagt das Gegenteil, und entschieden wird nach der kryptografischen Spezifikation: welche Algorithmen, welche Schlüssellängen, welche Protokolle, in welchem Modul. Diese Liste fragen wir bei den Firmware-Entwicklern ab, bevor irgendetwas anderes passiert, denn die Antwort entscheidet, ob das Projekt eine einzige Notifizierung ist oder eine Lizenz je Sendung mit einem Gutachten dahinter.

Wie wird die FSB-Notifizierung registriert, und wo gilt sie?

Die FSB-Notifizierung ist eine Registrierung, einmal für ein Produkt und seinen Hersteller eingereicht und gegen ein öffentliches Register geprüft. In Russland ist der FSB die zuständige Behörde. Eine registrierte Notifizierung wird in das gemeinsame Register der Notifizierungen über die Merkmale von Verschlüsselungsmitteln und der Waren, die sie enthalten, eingetragen, das die EWK veröffentlicht, und der Handelsleitfaden der EWK nennt dieses Register unter den Grundlagen für die Einfuhr ohne Vorlage einer Lizenz oder eines Gutachtens.

Das Dokument nennt den Hersteller, das Produkt und seine kryptografischen Merkmale, und eingereicht wird es vom Hersteller oder von einer Person, die er bevollmächtigt. Es gilt in allen Mitgliedstaaten der EAWU: eine Registrierung trägt Einfuhren nach Russland, Kasachstan, Belarus, Armenien und Kirgisistan durch jeden Importeur. Der Zoll prüft das Produkt an der Grenze gegen das Register; für Waren, die dort stehen, wird weder Lizenz noch Gutachten vorgelegt.

Weil das Register öffentlich ist und der Eintrag dem Hersteller gehört, sollte die Notifizierung auf seinen Namen laufen. Ein Händler, der nach eigener Lesart der Firmware einreicht, hält am Ende den einzigen Eintrag, gegen den der Zoll abgleicht, und der nächste Importeur des Herstellers fängt bei null an. Hat der Hersteller niemanden, der unterschreibt, entwerfen wir die Notifizierung und reichen sie als bevollmächtigte Person im Namen des Herstellers ein.

Was, wenn das Produkt außerhalb der Kategorien der Notifizierung liegt?

Dann bleibt die Einfuhrlizenz (Verschlüsselung, Russland): zuerst ein Sachverständigengutachten des FSB zum Produkt und auf dieser Grundlage eine Einzellizenz für eine benannte Sendung oder eine Generallizenz des Ministeriums für Industrie und Handel (Minpromtorg). Beides sind russische Dokumente. Die Lizenz gilt nur in Russland und wird je Sendung erteilt, sodass eine Lieferung nach Kasachstan oder Belarus dort eine eigene nationale Genehmigung braucht.

Die Lizenz verwendet das einheitliche Formular, das die EWK mit Beschluss Nr. 199 des Kollegiums vom 6. November 2014 für alle Mitgliedstaaten festgelegt hat, und der Leitfaden der EWK ist eindeutig: für diese Waren wird das Genehmigungsdokument dem Zoll bei Ankunft vorgelegt. Die Zeit geht im Gutachten verloren. Der FSB prüft die kryptografische Implementierung, und die Akte muss sie auf einem Niveau beschreiben, das eine Compliance-Abteilung ohne das Firmware-Team am Tisch selten erreicht.

Die Entscheidung, die das erzwingt, lautet: dieses Produkt in dieser Konfiguration überhaupt liefern? Wenn die Funktion, die das Produkt aus den Kategorien der Notifizierung drängt, nur wenige Käufer interessiert, macht eine Firmware-Variante für die Union ohne diese Funktion aus einer Lizenz je Sendung eine einzige Notifizierung. Führen Sie dieses Gespräch mit der Entwicklung vor der ersten Bestellung; der Lizenzweg ist die längste der russischen Freigaben.

Ist die Notifizierung von EAC, FAC und RFC-Gutachten getrennt?

Ja, und keines der anderen Dokumente ersetzt sie. Die EAC-Erklärung oder das EAC-Zertifikat deckt elektrische Sicherheit und elektromagnetische Verträglichkeit nach den technischen Regelwerken ab. Das FAC-Dokument deckt den Anschluss an das öffentliche Kommunikationsnetz ab, und das RFC-Gutachten lässt Funkanlagen durch den russischen Zoll. Diese beiden sind russische Genehmigungen. Die Notifizierung der Verschlüsselungsmittel ist die einzige aus dem Satz, die in der ganzen Union gilt.

Die Verfahren laufen parallel, und deshalb sollten sie gemeinsam starten. Dasselbe Datenblatt des Moduls liefert die Funkparameter für das RFC-Gutachten und die Algorithmenliste für die Notifizierung, und eine einmal zusammengestellte Akte trägt drei Anträge.

An Produktänderungen bricht eine saubere Historie. Die Notifizierung beschreibt ein Produkt mit einer kryptografischen Implementierung. Eine Kostensenkungsrevision, die das WLAN-Modul tauscht, oder ein Firmware-Release, das ein Protokoll hinzufügt, ist in diesem Sinn ein anderes Produkt, und der Registereintrag passt nicht mehr zu dem, was im Container liegt. Gleichen Sie den Eintrag vor jedem Versand einer neuen Revision mit der Stückliste ab. Das dauert eine Stunde, und es ist die Prüfung, die der Zoll vornehmen wird.

Notifizierung gegen Lizenz

Welcher Weg gilt, entscheidet die kryptografische Spezifikation des Produkts, sodass dieselbe Produktlinie ein Modell mit Notifizierung und eine Variante mit Lizenz führen kann.