25.14 Экспортное законодательство США

Согласно правительству США криптография относится к военному снаряжению . Это означает, что криптография подчиняется тем же законам, что и ракета TOW или танк М1 Абрамс. Если вы продаете криптографический продукт без соответствующей экспортной лицензии, то вы - международный контрабандист оружием . Если вы не хотите испортить ваше резюме строкой о пребывании в федеральной тюрьме, обратите внимание на зак о-нодательство.

С началом в 1949 году холодной войны все страны НАТО (кроме Исландии), а затем Австралия, Япония и Испания, образовали КОКОМ - Координационный комитет для многостороннего контроля за экспортом (CoCom, Coordinating Committee for Multilateral Export Controls ). Это неофициальная организация, призванная координировать национальные ограничения, касающиеся экспорта важных военных технологий в Советский Союз, другие страны Варшавского Договора и Китайскую Народную Республику . Примерами контролируемых технологий являются компьютеры, станки для металлопроката и криптография . Целью этой организации являлось замедление передачи технологий в указанные страны, и сдерживание, таким образом, их военного поте н-циала.

С концом холодной войны страны КОКОМ осознали, что выполняемый ими контроль большей частью уст а-рел. В настоящее время, по видимому, идет процесс формирования "Нового форума", другой международной организации, которая собирается остановить поток военных технологий в страны, которые не нравятся членам организации.

В любом случае экспортная политика США в отношении стратегических товаров регулируется Правительс т-венным актом об экспорте ( Export Administration Act), Актом о контроле над экспортом вооружения (Arms Export Control Act), Актом об атомной энергии (Atomic Energy Act) и Актом о нераспространении ядерных воор ужений (Nuclear Non-Proliferation Act). Контроль, установленный этим законодательством, реализуется с пом о-щью многих подзаконных актов, ни один из них не координирует другой . Свыше дюжины организаций, включая военные службы, осуществляют контроль, часто их деятельность перекрывается и конфликтует .

Подконтрольные технологии фигурируют в нескольких списках . Криптография, по традиции относящаяся к вооружению, появляется в Перечне вооружений США ( U.S. Munitions List, USML), Международном перечне вооружений (International Munitions List, IML), Перечне контроля за торговлей (Commerce Control List, CCL) и Международном промышленном перечне (International Industrial List, IIL). Госдепартамент отвечает за USML, он публикуется как часть Регулирования международного трафика оружия (International Traffic in Arms Regulations, ITAR) [466, 467].

Экспорт криптографии в США контролируется двумя правительственными организациями . Одной является Комитет по управлению экспортом (Bureau of Export Administration, BXA) в Министерстве торговли, уполномоченный Правилами регулирования экспорта (Export Administration Regulations, EAR). Другая - это Управление по регулированию продажи средств обороны (Office of Defense Trade Controls, DTC) в Государственном департаменте, уполномоченное ITAR. По опыту требования BXA из Министерства торговли менее строги, но сначала весь криптографический экспорт просматривается DTC из Госдепартамента (которое получает советы по технике и национальной безопасности от NSA и, кажется, всегда следует этим советам), которое может отказать передать право решения BXA.

ITAR регулирует этот процесс. (До 1990 года Управление DTC называлось Управлением по контролю над вооружением, возможно, эти усилия в области "паблик рилейшнз" направлены на то, чтобы мы забыли, что мы имеем дело с бомбами и пушками .) Исторически DTC сопротивлялось выдаче экспортных лицензий на средства шифрования сильнее определенного уровня - хотя о том, каков этот уровень, никогда не сообщалось .

Следующие разделы взяты из ITAR [466, 467]:

§ 120.10 Технические данные.

Технические данные - это, в настоящем подпункте:

(1)Информация, отличная от программного обеспечения , определенного в 120.10(d), которая нужна для проектирования, разработки, производства, обработки, изготовления, сборки, работы, ремонта, поддержки или модификации средств обороны . Это, например, информация в форме светокопий, чертежей, фотографий, планов, инструкций и докуме нтации;

(2)Секретная информация, касающаяся средств обороны и оборонной деятельности ;

(3)Информация, охватываемая постановлением о засекречивании изобретения ;

(4)Программное обеспечение, определенное в разделе 121.8(f) и непосредственно связанное со средствами обороны

(5)Это определение не включает информацию, касающуюся общенаучных, математических или инженерных принц и-пов, обычно изучаемых в общедоступных школах, колледжах и университетах, как определено в § 120.11. Оно также не включает базовую рыночную информацию о функции, назначении или общесистемном описании средств обороны .

§ 120.11 Открытый доступ.

Открытый доступ обозначает информацию, которая опубликовывается и может быть общедоступной :

(1)С помощью продажи в киосках и книжных магазинах ;

(2)С помощью подписки, которая доступна без ограничений для любого, кто хочет получить или приобрести опублик о-ванную информацию;

(3)С помощью почтовых привилегий второго класса, выданных правительством США ;

(4)В библиотеках, открытых для публики, или в которых публика может получить документы ;

(5)С помощью патентов, доступных в любой патентной конторе ;

(6)С помощью неограниченного распространения на конференции, встрече, семинаре, презентации или выставке, до с-тупных обычной публике в Соединенных Штатах;

(7)С помощью сообщений для печати (т.е., неограниченное распространение) в любой форме (например, необязательно опубликованной), одобренных компетентными органами США (см. также § 125.4(b)(13)).

(8)С помощью фундаментальных исследований в науке и технике в аккредитованных высших учебных заведениях США, где полученная информация обычно публикуется и широко распространяется в научном сообществе . Фундаментальными называются базовые и прикладные исследования в науке и технике, когда полученная информация обычно публикуе т-ся и широко распространяется в научном сообществе в отличие от исследований, результаты которых не разглашаются из-за прав собственности или определенного контроля доступа и распространения правительством США . Университетские исследования не считаются фундаментальными, если :

(i)Университет или его исследователи соглашаются с другими ограничениями на публикацию научно-технической и н-формации, полученной в результате работы над проектом, или

(ii)Исследования финансируются правительством США, а доступ к результатам исследований и их распространение н а-ходится ограничены с целью защиты информации .

§ 120.17 Экспорт.

Под экспортом понимается:

(1)Передача или вывоз средств обороны за пределы Соединенных Штатов любым способом, кроме путешествия за пр е-делы Соединенных Штатов лица, чьи личные знания включают технические данные ; или

(2)Передача иностранному лицу прав регистрации, управления или собственности на любой самолет, судно или спутник, присутствующий в Перечне вооружений США, в Соединенных Штатах или за их пределами ; или

(3)Раскрытие (в том числе устное или визуальное) или передача в Соединенных Штатах любых средств обороны посол ь-ству, учреждению или подразделению иностранного правительства (например, дипломатическим миссиям ); или

(4)Раскрытие (в том числе устное или визуальное ) или передача технических данных иностранному лицу в Соединенных Штатах или за их пределами; или

(5)Выполнение оборонной деятельности от имени или для выгоды иностранного лица в Соединенных Штатах или за их пределами.

(6)Запускаемый аппарат или полезная нагрузка не должны, при запуске такого аппарата, рассматриваться как экспорт. Однако для определенных целей (см § 126.1 этого подпункта), положения этого подпункта применимы к продажам и другим способам передачи средств обороны или продуктов оборонительной деятельности .

Часть 121- Перечень вооружений США

§ 121.1 Общие положения. Перечень вооружений США Category XIII-Дополнительное военное снаряжение

(1)Криптографические (включая управление ключами) системы , аппаратура, конструкции, модули, интегральные схемы, компоненты или программное обеспечение с возможностью поддержки секретности или конфиденциальности информации или информационных систем, кроме следующего криптографического оборудования и программного обеспечения :

(Специально спроектированное для выполнения защищенным от копирования программным обеспечением только функций дешифрирования при условии, что управление дешифрированием недоступно пользователю .

(ii)Специально спроектированное, разработанное или модифицированное для использования в машинах для банковских операций или денежных транзакций, которое можно использовать только для таких транзакций . Машины для банковских операций или денежных транзакций включают автоматические кассовые аппараты , самообслуживаемые печатающие ус тройства, торговые терминалы или оборудование для шифрования межбанковских транза кций.

(iii)Использующее только аналоговые методы для криптографической обработки, которая обеспечивает безопасность информации в следующих приложениях. . . .

(iv)Персональные интеллектуальные карточки, использование которых возможно только в оборудовании или системах, не попадающих под регулирование USML.

(v)С ограничением доступа, такие как автоматические кассовые аппараты , самообслуживаемые печатающие устройства или торговые терминалы, которые обеспечивают защиту паролей или персональных идентификационных номеров (PIN) или аналогичных данных, чтобы предотвратить несанкционированный доступ к средствам, но не могут шифровать файлы или тексты, не посредственно не связанные с защитой паролей или PIN.

(vi)Осуществляющее только проверку подлинности данных с помощью вычисления кода проверки подлинности соо б-щения (MAC) или аналогичной функции для проверки, что в текст не было внесено изменений, или для проверки подлинн ости пользователей, но которое нельзя использовать для шифрования данных, текста или другой информации помимо необходимой для проверки подлинности.

(vii)Использующее только фиксированные методы сжатия и кодирования данных .

(viii)Используемое только для радиовещания, платного телевидения или аналогичных телевизионных систем с огран и-ченной аудиторией, без цифрового шифрования, и в которых цифровое дешифрирование ограничено только видео- и ауди о-функциями или управлением.

(ix)Программное обеспечение, спроектированное или модифицированное для защиты от злоумышленных компьютерных повреждений, (например, вирусов).

(2)Криптографические (включая управление ключами) системы , аппаратура, конструкции, модули, интегральные схемы, компоненты или программное обеспечение с возможностью генерации распространяемых кодов для большого количества систем или устройств :

(3)Криптографические системы, аппаратура, конструкции, модули, интегральные схемы, компоненты или программное обеспечение.

§ 125.2 Экспорт несекретных технических данных.

(a)Общие положения. Для экспорта несекретных технических данных необходима лицензия (DSP-5), если эти данные не исключены из лицензирующих требований данного подпункта . В случае планового визита детали предполагаемых диску с-сий должны быть переданы в Управление по регулированию продажи средств обороны для экспертизы технических данных. Должно быть предоставлено семь копий технических данных или тем ди скуссий.

(b)Патенты. При экспорте технических данных требуется лицензия, выданная Управлением по регулированию продажи средств обороны, если данные превышают необходимые для заполнения внутренней патентной заявки или для заполнения иностранной патентной заявки, если внутренняя заявка не была заполнена . Заявки на патентование за рубежом, выполнение в таких патентах улучшений, модификаций или дополнений должны регулироваться Управлением по патентам и торговым знакам США в соответствии с 37 CFR, часть 5. Экспорт технических данных, необходимых для патентования в других стр а-нах, является субъектом норм, издаваемых Управлением по патентам и торговым знакам США, в соответствии с 35 U.S.C.

(c)Раскрытия. Для устного, визуального или документального раскрытия технических данных гражданами США ин о-странным лицам требуется лицензия, если в данном подпункте не оговорено иное . Лицензия требуется независимо от формы передачи технических данных (например, лично, по телефону, в переписке, электронными средствами, и т.д.). Лицензия тре-

буется для таких раскрытий, делаемых гражданами США при посещении иностранных дипломатических миссий и ко н-сульств.

И так далее. В этом документе намного больше информации. Если вы собираетесь экспортировать крипт о-графию, я советую вам добыть его копию и воспользоваться услугами юриста, который во всем этом разбирае т-ся.

В действительности экспорт криптографических продуктов контролируется NSA. Если вам нужно получить свидетельство о признании вашего продукта предметом общего потребления (Commodity Jurisdiction, CJ), вы должны представить ваш продукт на одобрение в NSA и подать в Государственный департамент заявку на п о-лучение CJ. После одобрения в Госдепартаменте дело попадает под юрисдикцию Министерства торговли , которое никогда особенно не интересовалось криптографией . Однако Государственный департамент никогда не в ы-даст CJ без одобрения NSA.

В 1977 году Джозеф А. Мейер (Joseph A. Meyer), служащий NSA, написал письмо - несанкционированное, в соответствии с официальной историей инцидента - в IEEE, предупреждающее, что планируемое представление оригинальной работы RSA нарушит ITAR. Из The Puzz/e Pa/ace:

Вот его точка зрения. ITAR охватывает всю "несекретную информацию, которая может быть использована, или адапт и-рована для использования, при проектировании, производстве, изготовлении, ремонте, капитальном ремонте, переработке, конструировании, разработке, действии, поддержке или восстановлении" перечисленных материалов, также как и "любую технологию, которая развивает определенное умение или создает новое в области, которая имеет важное военное применение в Соединенных Штатах." И экспорт действительно включал передачу информации как в письменном виде, так и с помощью устных или визуальных средств , включая краткие обсуждения и симпозиумы, на которых были представлены иностра нцы.

Но, буквально следуя туманному, часто слишком пространному законодательству, кажется, требуется, чтобы каждый, кто собирается написать или заявить что-то на тему , касающуюся Перечня вооружений, сначала получил бы одобрение Госуда р-ственного департамента - эта унылая перспектива явно противоречит Первой поправке и требует подтверждения Верховным судом.

В конце концов NSA признало действия Мейера несанкционированными, и работа по RSA была опубликована, как планировалось. Против изобретателей не было предпринято никаких действий , хотя может быть доказано, что их работа увеличила возможности зарубежной криптографии гораздо больше, чем что-нибудь, опу б-ликованное до того.

Экспорт криптографии обсуждается в следующем заявлении NSA [363]:

Криптографические технологии считаются жизненно важными для интересов национальной безопасности, включая эк о-номические интересы, военные интересы и интересы внешней политики .

Мы не согласны с заявлениями, сделанными 7 мая 1992 года на слушаниях Судебного комитета, и последними газетн ыми статьями, которые заявляют, что экспортные законы США мешают американским фирмам изготавливать и использовать современное шифровальное оборудование . Нам неизвестно ни об одном случае, когда из-за экспортных ограничений США американской фирме помешали изготавливать и использовать аппаратуру шифрования внутри страны, или американской фирме либо ее дочерней компании помешали использовать аппаратуру шифрования за пределами США . В действительности, NSA всегда поддерживало использование шифрования в американском бизнесе для защиты важной информации как дома, так и за границей.

Для экспорта в другие страны NSA, являющееся частью Министерства обороны, (вместе с Государственным департаме н-том и Министерством торговли просматривает экспортные лицензии в поисках технологий информационной безопасности, попадающих под действие Экспортного правительственного законодательства или Регулирования международного трафика оружия. Аналогичная система контроля экспорта действует во всех странах КОКОМ и во многих других странах, так как эти технологии повсеместно считаются важными . Не существует общего запрета на экспорт подобных технологий, каждый сл у-чай рассматривается отдельно . При этом может потребоваться получить лицензии на такие системы, при получении которых анализируется влияние экспорта этой системы на интересы национальной безопасности - включая интересы экономической, военной и политической безопасности. Экспортные лицензии выдаются или не выдаются в зависимости от типа задейств о-ванного оборудования, предполагаемого использования и предполагаем ого пользователя.

Наш анализ показывает, что США лидирует в мировом производстве и экспорте технологий информационной безопа с-ности. NSA одобряет для экспорта свыше 90% криптологических продуктов, направленных в NSA Государственным департаментом для лицензирования. Экспортные лицензии на продукты информационной безопасности, попадающие под юри с-дикцию Министерства торговли, выдаются без участия NSA или Министерства обороны. Среди них - продукты, использующие такие методы, как DSS и RSA, обеспечивающие проверку подлинности и контроль доступа к компьютерам и сетям . На самом деле, в прошлом NSA играло главную роль в успешном отстаивании ослабления экспортного контроля над RSA и близкими технологиями для проверки подлинности . Эти методы особенно важны при решении проблемы хакеров и несан к-ционированного использования ресурсов.

Итак, заявлено, что NSA ограничивает экспорт только продуктов шифрования, но не проверки подлинности . Если вы собираетесь экспортировать продукт только для проверки подлинности , получение разрешение ограничится демонстрацией того, что ваш продукт нельзя без значительных переделок использовать для шифрования . Более того, бюрократическая процедура для продуктов проверки подлинности намного проще, чем для проду к-тов шифрования. Для системы проверки подлинности получать одобрение Госдепартамента ( CJ), система шифрования требует повторного одобрения для каждой версии продукта или даже при каждой продаже .

Без CJ вам придется запрашивать разрешение на экспорт всякий раз, когда вы захотите экспортировать пр о-дукт. Государственный департамент не разрешает экспортировать продукты с сильным шифрованием, даже использующие DES. Отдельные исключения были сделаны для дочерних фирм американских компаний для возможности закрытой связи с , для некоторых банковских приложений и экспорт для военных пользователей США. Ассоциация производителей программного обеспечения (SPA) вела переговоры с правительством об о с-лаблении ограничений на экспортные. Соглашение, заключенное SPA и Госдепартаментом в 1992 году, облег-