Использование ПО с признаками шифровальных (криптографических) средств

[Zuz]

Давненько мучает несколько вопросов.

Возьмём для примера браузер Opera. Мы хотим его использовать на компьютере под управлением ОС Windows.
Согласно действующим положениям по лицензированию всякой всячены с СКЗИ браузер Opera не что иное как шифровальное (криптографическое) средство (SSL/TLS и пр.), не подпадающее под исключение.

Вопрос номер один:
Когда я скачиваю этот браузер с серверов компании Opera (они не на территории России), то произвожу ли я как сотрудник юридического лица ввоз шифровальных (криптографических) средств на территорию РФ?
Если нет, то почему.
Если да, то чем мне это грозит. Как поступать в этом случае?

Вопрос номер два:
Т.к. браузер Opera не что иное как шифровальное (криптографическое) средство, не подпадающее под исключение, то его установка = техническое обслуживание СКЗИ, следовательно юридическому лицу, сотрудником которого я являюсь нужна лицензия на ТО. В свете 99-ФЗ, вопрос актуален до 3 ноября 2011 года.

Вопрос номер три:
Т.к. браузер Opera не что иное как шифровальное (криптографическое) средство, не подпадающее под исключение, то, если я хочу распространять на флешке клиенту его портабл версию (допустим, как настроенный клиент для системы электронного документооборота) это = распространение СКЗИ, следовательно юридическому лицу, сотрудником которого я являюсь нужна лицензия на распространение СКЗИ. В свете 99-ФЗ, вопрос всё равно актуален.

Прошу комментариев.

P.S. И ещё вы в устав вносите дейятельность связанную с СКЗИ (гугл говорит, что многие банки так поступают, а нужно ли)? Лицензии получены для систем электронного документооборота банка (внутренние и внешние).

[Банкирёнышъ]

ммм...читайте 957 постановление правительства от 2007 года...там все черным по белому написано...(других пока нормативных актов не вышло)

Опера попадает под исключение, ибо распространяется свободно...
ответы на 1,2 отпадают т.к. опера является исключением...
3)лицензия нужна на разработанное вами ПО, а опера только доп. опции, но если вы ее тоже будете распространять в пакете с вашим ПО, то лицензия необходима (думаю вам не стоит на это заморачиваться...хотя...)

далее, про П.С.: да вносим, но только для того что в случае внутренних СЭД (организатором которых является Банк) это требуют контролеры (ФСБ), и то если посредством внутренних СЭД мы предоставляем услуги сторонним организациям, а в случае с внешними СЭД (организаторы внешние организаторы, такие как ЦБ, ПФР и тому подобное) этого требует организаторы ЦБ, ПФР и т.д., а от них уже ФСБ... и если брать первых случай, то (внутренние СЭД) то Банк получит по голове от ФСБ, во втором случае получит от ЦБ (что тоже может нести тяжелые последствия для банка)

[Zuz]

Я читал, иначе бы вопрос не задал, если бы увидел, что Opera попадает под исключение. Дайте конкертную цитату, пункта под который попадает опера.

[Банкирёнышъ]

Я читал, иначе бы вопрос не задал, если бы увидел, что Opera попадает под исключение. Дайте конкертную цитату, пункта под который попадает опера.

статья 1, пункт б)

Настоящее Положение не распространяется на деятельность по распространению:
б) шифровальных (криптографических) средств, являющихся компонентами доступных для продажи без ограничений посредством розничной торговли, либо сделок по почтовым запросам, либо электронных сделок, либо сделок по телефонным заказам программных операционных систем, криптографические возможности которых не могут быть изменены пользователями, которые разработаны для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и техническая документация (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т.д.) на которые является доступной, в том числе для проверки;

[Tor]

статья 1, пункт б)

Или статья 1 пункт к)
Настоящее Положение не распространяется на деятельность по техническому обслуживанию:
шифровальных (криптографических) средств, используемых для защиты технологических каналов информационно-телекоммуникационных систем и сетей, не относящихся к критически важным объектам.

[Банкирёнышъ]

Или статья 1 пункт к)
Настоящее Положение не распространяется на деятельность по техническому обслуживанию:
шифровальных (криптографических) средств, используемых для защиты технологических каналов информационно-телекоммуникационных систем и сетей, не относящихся к критически важным объектам.

Теперь осталось, найти определение что такое критически важные объекты...а потом доказать что ваша система является таковой...моё лучше...

[Zuz]

1. Как-то вы не правильно подзаконные акты читаете, написано же ПРОГРАММНЫХ ОПЕРАЦИОННЫХ СИСТЕМ, т.е. windows, linux и пр., причём тут браузер, который не использует возможности операционной системы для реализации криптографических функций? Тот же Google Crome на windows одно время использовал, сейчас там у них всё своё по теме SSL/TLS.

2. Технологические каналы это удалённый мониторинг, управление и т.п. Есть разъяснение по этому вопросу от ФСБ где-то. Список критически важных объектов есть в МЧС думаю.

[Банкирёнышъ]

1. Как-то вы не правильно подзаконные акты читаете, написано же ПРОГРАММНЫХ ОПЕРАЦИОННЫХ СИСТЕМ, т.е. windows, linux и пр., причём тут браузер, который не использует возможности операционной системы для реализации криптографических функций? Тот же Google Crome на windows одно время использовал, сейчас там у них всё своё по теме SSL/TLS.

2. Технологические каналы это удалённый мониторинг, управление и т.п. Есть разъяснение по этому вопросу от ФСБ где-то. Список критически важных объектов есть в МЧС думаю.

Самое главное, для чего создавался закон, это идет от постановления президента гражданина Ельцина № 334 от 1995 года помоему, там говорится о том что, для чего и как...

мда...

1.) это по моему вы читаете не правильно...там написано "... КОМПОНЕНТАМИ...трали вали...ПРОГРАММНЫХ ОПЕРАЦИОННЫХ СИСТЕМ...", а браузер, насколько я компетентен, является как раз таки компонентом операционной системы, закупаемый и устанавливаемый пользователем самостоятельно, и т.д. и т.п. да, и где вы видели чтобы программный продукт не использовал возможности операционной системы...?(т.е. по вашему все ПО одинаково заточено под все ОСИ???), конечно все в итоге сводится к "0" и "1"...
2.) сколько читал пояснений ФСБ, ФАПСИ - про технологические каналы нет ничего..., тем более про критически важные...при чем тут защита информации и Шойгу...когда президентом определено кто отвечает за защиту информации и СКЗИ, и если контролер говорит, что и как, то зачем лезть в бутылку и придумывать что-то новое...

Если Вас мучают сомнения, то сделайте официальный запрос в ФСБ, они вас или по головке погладят, или пальчиком у виска покрутят.
И потом можете идти с этой бумажкой куда угодно, покуда контролер не сменится...

[Zuz]

Самое главное, для чего создавался закон, это идет от постановления президента гражданина Ельцина № 334 от 1995 года помоему, там говорится о том что, для чего и как...

Да, там запрещается вообще использовать любые криптографические средства без лицензии всем без исключения. Или дано поручение, лично мне непонятно кому, внести изменения в законодательство и подзаконные акты, чтобы запретить такую деятельность.

1.) это по моему вы читаете не правильно...там написано "... КОМПОНЕНТАМИ...трали вали...ПРОГРАММНЫХ ОПЕРАЦИОННЫХ СИСТЕМ...", а браузер, насколько я компетентен, является как раз таки компонентом операционной системы, закупаемый и устанавливаемый пользователем самостоятельно, и т.д. и т.п. да, и где вы видели чтобы программный продукт не использовал возможности операционной системы...?(т.е. по вашему все ПО одинаково заточено под все ОСИ???), конечно все в итоге сводится к "0" и "1"...

Я читаю правильно, в постановлениях идёт речь о шифровальных (криптографических) средствах, которые являются "КОМПОНЕНТАМИ...трали вали...ПРОГРАММНЫХ ОПЕРАЦИОННЫХ СИСТЕМ", а не обо всех теоретически возможных компонентах операционных систем. В любом случае браузер Opera не является компонентом операционной системы Windows и вообще какой-либо операционной системы. В составе системы как компонет этот браузер не предоставляется, так же не поставляется документация по криптографическим функциям (та же Microsoft давала сырцы Windows для анализа кому необходимо).
В составе Windows есть компоненты, реализующие криптографические средства, это криптопровайдеры, всякие там schannel.dll и пр. вот это и есть криптографические средства, о которых идет в постановлении речь. Именно их использует IE, и использовал Google Chrome.

2.) сколько читал пояснений ФСБ, ФАПСИ - про технологические каналы нет ничего..., тем более про критически важные...при чем тут защита информации и Шойгу...когда президентом определено кто отвечает за защиту информации и СКЗИ, и если контролер говорит, что и как, то зачем лезть в бутылку и придумывать что-то новое...

Я не придумываю, как вам мнение компании Cisco (вопрос 11)?
Критически важные объекты - это, например, атомные станции. Для них шифрование технических каналов вполне себе актуально и в духе закона о лицензировании особых видов деятельности.

Если Вас мучают сомнения, то сделайте официальный запрос в ФСБ, они вас или по головке погладят, или пальчиком у виска покрутят.
И потом можете идти с этой бумажкой куда угодно, покуда контролер не сменится...

Вопрос был не в этом. В ФСБ отвечают, что лицензия требуется на каждый чих (и в целом согласно закону это так и должно быть).

Я надеялся встретить тут тех, кто уже задался подобным вопросом и возможно получил официальный ответ.

[Алексей Лукацкий]

Теперь осталось, найти определение что такое критически важные объекты...а потом доказать что ваша система является таковой...моё лучше...

Есть такое определение. И перечень есть. Правда сам перечень секретный.

[Алексей Лукацкий]

Вопрос номер один:
Когда я скачиваю этот браузер с серверов компании Opera (они не на территории России), то произвожу ли я как сотрудник юридического лица ввоз шифровальных (криптографических) средств на территорию РФ?
Если нет, то почему.
Если да, то чем мне это грозит. Как поступать в этом случае?

Да. Такова позиция ФСБ. Она ничем не подтверждена - это именно позиция, согласно которой пересечение государственной границы РФ считается ввозом СКЗИ. Не грозит, т.к. вы попадаете под исключение про компоненты программных систем. Как поступить - запросить в ФСБ разъяснение (если вы хотите совсем быть чистым). Многие забивают на это.

Вопрос номер два:
Т.к. браузер Opera не что иное как шифровальное (криптографическое) средство, не подпадающее под исключение, то его установка = техническое обслуживание СКЗИ, следовательно юридическому лицу, сотрудником которого я являюсь нужна лицензия на ТО. В свете 99-ФЗ, вопрос актуален до 3 ноября 2011 года.

Не до 3-го, а до 5-го (закон опубликован 6-го). Под исключения вы попадаете (под компонент свободно распространяемого ПО).

Вопрос номер три:
Т.к. браузер Opera не что иное как шифровальное (криптографическое) средство, не подпадающее под исключение, то, если я хочу распространять на флешке клиенту его портабл версию (допустим, как настроенный клиент для системы электронного документооборота) это = распространение СКЗИ, следовательно юридическому лицу, сотрудником которого я являюсь нужна лицензия на распространение СКЗИ. В свете 99-ФЗ, вопрос всё равно актуален.

Я боюсь, что вы не можете распространять Opera - лицензионное соглашение на него это вам не позволяет, имхо.

[alexmib]

Под исключения вы попадаете (под компонент свободно распространяемого ПО).

Встречный вопрос - а если, гипотетически, opera была бы платной?

[Zuz]

Да. Такова позиция ФСБ. Она ничем не подтверждена - это именно позиция, согласно которой пересечение государственной границы РФ считается ввозом СКЗИ. Не грозит, т.к. вы попадаете под исключение про компоненты программных систем.

Алексей и вы туда же, какие компоненты програмнных систем? Пожалуйста, приведите цитату.

В постановлениях говорится о программных операционных системах, в общепринятом смысле это Windows, Linux, HP-UX и т.п., может можно с некоторой натяжкой карточные ОС ещё под этот пункт притянуть. Причём тут браузеры? Да Google стирает эту грань своей Google Chrome OS, но вы никогда не убедите меня, что браузер = ОС (то, что внутри браузера может работать ОС, даже виртуальная машина есть на яваскрипте, не делает браузер ОС).

Настоящее Положение не распространяется на деятельность по распространению:
б) шифровальных (криптографических) средств, являющихся компонентами доступных для продажи без ограничений посредством розничной торговли, либо сделок по почтовым запросам, либо электронных сделок, либо сделок по телефонным заказам программных операционных систем, криптографические возможности которых не могут быть изменены пользователями, которые разработаны для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и техническая документация (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т.д.) на которые является доступной, в том числе для проверки;

Как поступить - запросить в ФСБ разъяснение (если вы хотите совсем быть чистым). Многие забивают на это.

Похоже так и придётся сделать. Не подскажите куда писать?

Не до 3-го, а до 5-го (закон опубликован 6-го). Под исключения вы попадаете (под компонент свободно распространяемого ПО).

Ну, что консультант+ написал, то я и сказал.
И снова говорите загадками: "Под исключения вы попадаете (под компонент свободно распространяемого ПО)". Цитату, пожалуйста. В положениях нет вообще понятия "свободно распространяемого ПО".

Я боюсь, что вы не можете распространять Opera - лицензионное соглашение на него это вам не позволяет, имхо.

Это был просто пример. Например, Яндекс распространяет кастомизированную версию FireFox. Просто FF может являться частью какого-нибудь дистрибутива linux и даже ставиться по умолчанию, поэтому была выбрана нейтральная и закрытая Opera для примера.

P.S. Алексей, каждый раз когда я кому-нибудь задаю подобные вопросы, то получаю ответ типа "под исключения вы попадаете (под компонент свободно распространяемого ПО)", но объяснить никто не может толком. Пожалуйста, зная вашу настойчивость, взгляните на эти вопросы ещё раз и объясните человеческим языком (можно и на страницах вашего блога).

[Банкирёнышъ]

Встречный вопрос - а если, гипотетически, opera была бы платной?

Вообще, в любом случае, если это определено EULA (договором), Вам может быть разрешено распространять ПО.
Но это уже юридические тонкости (поможет вам юрист по защите интеллектуальной собственности).

Если Вы решите распространять чье либо ПО (в случае с Оперой) , вам:
1. необходимо согласие производителя данного ПО (там будет оговорен способ, цена, и т.п.);
2. наличие необходимого количества лицензий (копий дистрибутивов);
3. выполнение требований законодательства той страны в которой вы осуществляете распространение данного ПО;
4. отчет перед государством о полученных доходах (налоги);
5. отчет перед производителем ПО, о количестве проданного ПО (если оговорено кол-во, которое вы можете распространить);
возможно что-то еще, все зависит от ПО, производителя, требований законодательства.

[Zuz]

Банкирёнышъ, вопрос был о другом, сами придумываете вопросы?

[Банкирёнышъ]

Zuz, Браузер Опера, как таковой, является компонентом программной операционной системы, доступный для продажи без ограничений посредством розничной торговли, либо сделок по почтовым запросам, либо электронных сделок, либо сделок по телефонным заказам, криптографические возможности которого не могут быть изменены пользователями, который разработан для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и технической документации (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т.д.) на которые является доступной, в том числе для проверки.

[Банкирёнышъ]

Zuz, нет, просто отвечаю на поставленный вопрос в форуме..=)

[Zuz]

Вы чего издеваетесь? Хатит тролить!

В постановлении чётко написано про криптографические средства, которые являются компонентами программых операционных систем, а не про любые программы, в которых есть криптографические средества. Браузер Opera не является частью ОС Windows, соответсвенно данное исключение не применимо.

[Банкирёнышъ]

Похоже так и придётся сделать. Не подскажите куда писать?

http://www.fsb.ru/fsb/webreception.htm можете использовать, ответят в течении 3-4 недель по почте...,с печатью и другими реквизитами

[Zuz]

Спасибо, но это для обращений граждан, а не для юридических лиц.

Мне нужно, что то типа этого http://clsz.fsb.ru/ .

[Банкирёнышъ]

Вы чего издеваетесь? Хатит тролить!

Уважаемый, браузер создается под операционную систему, а не операционная система создается под браузер, соответственно, когда вы устанавливаете "что-то" в операционную систему, это "что-то" становится ее компонентом... если я не прав - бросьте в меня камень.
Вы можете просто ушататься выполняя все требования нашего законодательства по защите информации, но я на вашем месте пока, искал бы в нем дыры, которые устроят вас и ваш бизнес, если вы хотите почувствовать себя значимым перед бизнесом, то бизнес вам скажет что он важнее в любом случае...
С разъяснением формулировок закона, если вы их не понимаете, обращайтесь либо к контролеру, если вас их ответ не устроит, обращайтесь к юристам (они в итоге будут отстаивать ваши позиции перед контролером в суде), и если конценцус не будет найдет, то делайте то, что вам говорит контролер, или принимайте соответствующие риски и не лезьте в бутылку.

[Банкирёнышъ]

Zuz,

в итоге ваш запрос будет перенаправлен в центр по лицензированию...

вы все прекрасно знаете сами

[Zuz]

Банкирёнышъ, прошу прощения, если задел, но по иному я не могу воспринимать ваши сообщения.
1. По вашей логике любая программа после установки в ОС становится её компонентом и если в ней реализованы криптографические средства (именно в ней самой, т.е. она не использует встроенные в ОС криптографические средства, о которых идет речь в постановлениях) является исключением и не регулируется постановлениями о лицензировании. По такой логике вообще не нужно получать лицензии, для программных криптографических средств, которые устанавливаются в ОС. Практика говорит об обратном.

2. Запрос через веб-приёмную будет перенаправлен, но как от частного лица, что в данном случае мне не нужно.

3. Бизнес важнее, но с учётом установленной ответственности (как административной таки и уголовной) за нарушения законодательства, как лицу, отвечающему за деятельность организации в области криптографической защиты мне от этого не легче.

4. Перед тем как начать юлить перед законодателем, логично прояснить те моменты, что не понятны и только потом юлить. Аудитория этого форума вполне подходит для решения такого вопроса.

[Банкирёнышъ]

Zuz,
1. Любая программа, после установки является компонентом ОС, т.к. устанавливает (заменяет, делает резервные копии, прописывается в реестре и прочее) в ОС, за исключением пожалуй exe-шников, и то только те, которые не вносят какие либо изменения в ОС. Но не любая программа (СКЗИ), а именно та, которая удовлетворяет хотя бы одному из перечисленных требований в пункте. Если требования к ПО выполняется (согласно пункта), то требование можно не выполнять, если не выполняется то извольте исполнить.

2. Вы можете указать что вы юридическое лицо и вам ответят как юридическому лицу (это я по себе говорю обращался именно так), при желании можете позвонить в приемную, и вам дадут телефон центра, а там уже письменно или устно ответят на Ваш вопрос (при письменном ответе запросят Ваш вопрос в письменном виде, соответственно дадут почтовые реквизиты).

3. и 4. оставлю без комментариев...

[Zuz]

Банкирёнышъ,

1. Нет не является и вашей аргументации мне не достаточно. После второй запятой в первом пункте, я, к сожалению, вашу мысль потерял (5 раз перечитал, тупой я наверно).

2. Спасибо не знал.

3. Штрафы за нарушения накладываются так же и на должностное лицо, которым могу случайно оказаться я.

4. Почему? Вы так и написали: "но я на вашем месте пока, искал бы в нем дыры, которые устроят вас и ваш бизнес". Т.е. юлить.

[Банкирёнышъ]

Банкирёнышъ,

1. Нет не является и вашей аргументации мне не достаточно. После второй запятой в первом пункте, я, к сожалению, вашу мысль потерял (5 раз перечитал, тупой я наверно).

2. Спасибо не знал.

3. Штрафы за нарушения накладываются так же и на должностное лицо, которым могу случайно оказаться я.

4. Почему? Вы так и написали: "но я на вашем месте пока, искал бы в нем дыры, которые устроят вас и ваш бизнес". Т.е. юлить.

1. Если вы устанавливаете ПО при котором модифицируется реестр, устанавливаются в ОС дополнительные библиотеки, делает какие либо резервные копии системных файлов ОС заменяя, то это называется внедрение в ОС (windows, unix), от сюда следует, что ПО становится компонентом ОС. (к примеру человеку пересаживают орган: допустим печень, донор (это разработчик этой печени) со своими наворотами (резус фактор, размер и т.п. - это особенности ОС), сначала это просто печень (ПО), затем при пересадке эта печень становится компонентом этого человека (ОС), если ее изъять из человека, то это уже просто печень, а человеку соответственно пересаженная печень что-то сделала).
Я уже просто не знаю как вам объяснить по другому что такое компонент ОС.

Соответственно по статье если ПО СКЗИ доступно для продажи без ограничений посредством розничной торговли, либо сделок по почтовым запросам, либо электронных сделок, либо сделок по телефонным заказам, криптографические возможности которого не могут быть изменены пользователями, который разработан для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и технической документации (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т.д.) на которые является доступной, в том числе для проверки. КАКИМ ЯВЛЯЕТСЯ ОПЕРА (в нашем случае), то лицензия не нужна, за исключением, если вы самостоятельно не решите сделать собственный криптодвижок в данном ПО (дополнительно вам необходимо будет взять разрешение у разработчика ПО в которое вы собираетесь внедрять ваш движок, т.к. есть закон об авторском праве), взять этот движок у сторонней организации (в данном случае вам необходимо разрешение от этой организации, т.к. есть закон об авторском праве) то вам необходимы лицензии на разработку, обслуживание, распространение и предоставление услуг в области шифрования.

3. и 4. Не спорю, но в том что виноваты вы необходимо еще доказать, но хочу вам сказать изначальную истину "форум к делу не пришьешь" (из собственного), поэтому или принимаем риски, или ищем лазейки, или выполняем требования (в ваше случае выходит последнее) ну или едем на село поднимать народное хозяйство.

[Zuz]

Банкирёнышъ, спасибо, но по первому пункту ваши аргументы не убедительны.
В постановлениях говорится о шифровальных (криптографических) средствах которые являются компонентами программных ОС (т.е. составной её частью, иного толкования слова компонент тут не может быть). Вот то, что есть в дистрибьютиве ОС и может являться компонентом ОС, а не какая-либо внешняя программа, которую поставил пользователь.
Упрощу пример. У меня есть архиватор 7-Zip в виде одного exe-файла (консольное приложение), он умеет шифровать по AES архив. Соответственно он суть шифровальное (криптографическое) средство.
Он использует собственную реализацию AES для шифрования (свой код внутри этого exe-файла), не использует для этого компоненты образующие криптографические средства ОС Windows.
Тут ваша логика не работает. Нет никаких указанных вами ранее «признаков компонента ОС» (замечу, что вами эти признаки просто придуманы).
Далее, где доступная документация на это шифровальное средство (используемы алгоритмы, протоколы и т.п.)? Есть правда исходники. Это же верно и для Opera, какая там есть доступная документация по этой теме? Но тут даже исходников нет.
Далее, как я уже говорил, если считать саму ОС и все установленные программы (не входящие в дистрибьютив ОС) программной операционной системой, то вообще любое программное криптографическое средство попадает под исключение. Практика говорит об обратном.
Организация, например, может купить коммерческую версию PGP, но не может использовать её для оказания услуг, мотивируя тем, что это компонент программной ОС, следовательно положения о лицензировании на него не распространяются.

P.S. Ваша точка зрения ясна, я надеюсь, ещё услушать иные точки зрения, чтобы точнее сформулировать вопросы для центра лицензирования ФСБ.

[Банкирёнышъ]

Zuz, я просто умываю руки...разговор идет о палке...она или бесконечная или безначальная...

7zip свободно распространяемое ПО, в свободном доступе можно получить листинг программного кода...

Вывод: лицензия ФСБ на распространение данного ПО не нужна.

У вас мне кажется возникло непонимание определений: лицензирование ФСБ, сертификация ФСБ и необходимые требования для обоих случаев.

Удачи Вам в Ваших поисках.

[Zuz]

Почему не нужна? С ваших слов получается, что 7-Zip я могу использовать для оказания услуг по шифрованию без лицензии (ведь исключения практически одинаковые для всех лицензий)?

[Банкирёнышъ]

Почему не нужна? С ваших слов получается, что 7-Zip я могу использовать для оказания услуг по шифрованию без лицензии (ведь исключения практически одинаковые для всех лицензий)?

Вы можете распространять только сертифицированные средства...