Apple App Store. Получаем ERN

[nochkin]

Я как-то некоторое время назад общался с BlackBerry и HP (когда выпускался для HP Touchpad) на эту тему. Обе конторы утверждали, что такие заморочки нужны только если в самом приложении есть своё шифрование. Но если приложение использует стандартные API вызовы ОС (например, WebView с https), то ничего не надо, так как сама ОС уже имеет нужные сертификации на эту тему.

[nochkin]

В этом случае почти любое приложение использует шифрование если не напрямую, то косвенно.
Не знаю как у яблока, но в других «app store» вызов шифрования через API не требует регистрации SNAP-R. И это вполне логично на мой взгляд, так как шифрованием занимается не приложение, а сама ОС и аппараты с этой ОС уже имеют нужные сертификаты. То есть, если экспорт какого-то алгоритма шифрования запрещён, то и через API это нельзя будет использовать, так как в самом аппарате это будет отключено на уровне ОС.
Если само приложение реализует шифрование внутри, то тогда к нему требования соотвествующие и сертификация новая.

[fshp]

А в случае, если используется шифрование накопителя средствами OS или аппаратно (SSD там всякие), как быть? Ведь тогда любое приложение, использующее fopen, автоматически использует криптографию.

[egormerkushev]

Круто! Вы молодец. Я выпилил защиту кое-чего из-за этого требования. 8(

[JacobL]

Спасибо. Теперь можно возвращать защиту.

[Houston]

А какие санкции если везде ставить галочку что криптография не используется, а она, например, используется для хеширования при аутентификации в API какого-нибудь сервиса?

[JacobL]

На практике не факт, что вообще какие-то санкции применят.
На каком-то форуме я читал, что эппл в этом случае может заблокировать приложение.
Вполне логично, что этой формой эппл просто подстраховываются.

[egormerkushev]

А некоторые пугают чуть ли не проблемами в будущем с получением визы и вообще сотрудничества с американскими компаниями…

[AleksDesker]

Ну визу могут и не выдать, если известно о вашей не законопослушности, так что связь при желании можно найти.

[egormerkushev]

А можете пояснить, ERN вообщени ничего не проверяет, а просто записывает, что вот тот человек или вот та компания сделали какой-то программный продукт с шифрованием и хотят его экспортировать из US? Просто ставят на заметку?

[JacobL]

Да, просто фиксируется, что есть продукт и он использует криптографию.

[Pupsikus]

Я так понимаю нужно для каждого приложения получать ERN? или можно один и тот же во всех приложениях использовать?

[JacobL]

Хорошо, что Вы обратили внимание. Я раньше не задумывался, потому что у нас один продукт. Но нигде название продукта не указывается, только название компании. Так что один ERN можно использовать на все продукты.

[Pupsikus]

Понятно. Спасибо за статью и ответы на комментарии :)

[Niemand]

ERN нужен только если планируется размещать приложение в USA, или если только в Европе тоже?

[JacobL]

Я сначала попробовал указать только Россию в выборе стран, где будет распространяться приложение. И все равно меня попросили предоставить ERN.

[Niemand]

Я скорее про то, что если приложение не будет размещаться в USA, обязательно указывать наличие криптографии при использовании например HTTPS или MD5-хэширования внутри приложения?

[JacobL]

Я думаю, да. Во всяком случае разрешения не указывать нигде не встречал.

[Niemand]

Ясно, спасибо за статью. Сколько уже приложений закачивали в App-Store, в большинстве использовали SSL, в некоторых хэш-функции, и еще нигде не указывали криптографию… Для меня это как-то само собой разумеющееся, как мытье рук или чистка зубов.

[SRichard]

BIS регулирует ЭКСПОРТ из США.
Поскольку, с юридической точки зрения сервера Apple находятся на территории США скачивание программного обеспечения с территории США на территорию например России, ну или там Ирака классифицируется как экспорт. Формально ERN может не потребоваться только если вы собираетесь продавать программы исключительно на территории США, для продажи же на любой части остальной территории земли ERN уже требуется, поскольку BIS хочет контролировать процесс экспорта «передовых» технологий к которым США относит и криптографию.

HTTPS обычно используется для аутентификации и контроля цифровой подписи, можно смело отвечать «да».