VPN<\/a> nebo bez n\u00ed.<\/p>\nS\u00ed\u0165ov\u00e9 \u0161ifrov\u00e1n\u00ed v distribuovan\u00e9 s\u00edti Ethernet<\/i><\/p>\n
Samotn\u00e1 za\u0159\u00edzen\u00ed mohou b\u00fdt bu\u010f specializovan\u00e1<\/b> (ur\u010den\u00e1 v\u00fdhradn\u011b pro \u0161ifrov\u00e1n\u00ed), nebo multifunction\u00e1ln\u00ed (hybridn\u00ed, konvergovan\u00e9<\/b>), tedy vykon\u00e1vaj\u00edc\u00ed i jin\u00e9 funkce (nap\u0159\u00edklad firewall nebo router). R\u016fzn\u00ed dodavatel\u00e9 za\u0159azuj\u00ed sv\u00e1 za\u0159\u00edzen\u00ed do r\u016fzn\u00fdch t\u0159\u00edd\/kategori\u00ed, ale to nen\u00ed d\u016fle\u017eit\u00e9 \u2013 d\u016fle\u017eit\u00e9 je pouze to, zda um\u011bj\u00ed \u0161ifrovat mezi webov\u00fd provoz, a jak\u00e9 charakteristiky p\u0159i tom maj\u00ed.<\/p>\n
Pro jistotu p\u0159ipom\u00edn\u00e1m, \u017ee term\u00edny jako \u201es\u00ed\u0165ov\u00e9 \u0161ifrov\u00e1n\u00ed\u201c, \u201e\u0161ifrov\u00e1n\u00ed provozu\u201c, \u201e\u0161ifrovac\u00ed za\u0159\u00edzen\u00ed\u201c jsou neform\u00e1ln\u00ed, i kdy\u017e se \u010dasto pou\u017e\u00edvaj\u00ed. V rusk\u00fdch normativn\u00edch aktech (v\u010detn\u011b t\u011bch, kter\u00fdmi se zav\u00e1d\u011bj\u00ed GOSTy) se s nimi pravd\u011bpodobn\u011b nesetk\u00e1te.<\/p>\n
\u00darovn\u011b \u0161ifrov\u00e1n\u00ed a re\u017eimy p\u0159enosu<\/h4>\n \nNe\u017e se pust\u00edme do popisu samotn\u00fdch charakteristik, kter\u00e9 budou pou\u017eity pro hodnocen\u00ed, mus\u00edme se nejprve vyrovnat s jednou d\u016fle\u017eitou v\u011bc\u00ed, a to je \u201e\u00farove\u0148 \u0161ifrov\u00e1n\u00ed\u201c. V\u0161iml jsem si, \u017ee se \u010dasto zmi\u0148uje jak v ofici\u00e1ln\u00edch dokumentech dodavatel\u016f (v popisech, p\u0159\u00edru\u010dk\u00e1ch atd.), tak v neform\u00e1ln\u00edch diskuz\u00edch (na jedn\u00e1n\u00edch, na \u0161kolen\u00edch). Jakoby v\u0161ichni dob\u0159e v\u011bd\u011bli, o \u010dem je \u0159e\u010d, ale osobn\u011b jsem byl sv\u011bdkem ur\u010dit\u00e9 nejasnosti.<\/p>\n
Tak co vlastn\u011b znamen\u00e1 \u201e\u00farove\u0148 \u0161ifrov\u00e1n\u00ed\u201c? Je jasn\u00e9, \u017ee jde o \u010d\u00edslo \u00farovn\u011b referen\u010dn\u00ed s\u00ed\u0165ov\u00e9 modelu OSI\/ISO, na kter\u00e9 prob\u00edh\u00e1 \u0161ifrov\u00e1n\u00ed. \u010cteme GOST R ISO 7498-2\u201399 \u201eInforma\u010dn\u00ed technologie. Propojen\u00ed otev\u0159en\u00fdch syst\u00e9m\u016f. Z\u00e1kladn\u00ed referen\u010dn\u00ed model. \u010c\u00e1st 2. Architektura ochrany informac\u00ed\u201c. Z tohoto dokumentu lze pochopit, \u017ee \u00farove\u0148 slu\u017eby d\u016fv\u011brnosti (jedn\u00edm z mechanism\u016f jej\u00ed zaji\u0161t\u011bn\u00ed je pr\u00e1v\u011b \u0161ifrov\u00e1n\u00ed) \u2013 to je \u00farove\u0148 protokolu, servisn\u00ed blok dat (\u201eu\u017eite\u010dn\u00e9 zat\u00ed\u017een\u00ed\u201c, data u\u017eivatele), jeho\u017e \u0161ifrovan\u00e9. Jak je v norm\u011b uvedeno, slu\u017eba m\u016f\u017ee b\u00fdt zaji\u0161t\u011bna na t\u00e9to \u00farovni \u201evlastn\u00edmi silami\u201c nebo s pomoc\u00ed ni\u017e\u0161\u00ed \u00farovn\u011b (p\u0159esn\u011b tak, jak je to nap\u0159\u00edklad \u010dasto zrealizov\u00e1no v MACsec).<\/p>\n
V praxi existuj\u00ed dva re\u017eimy p\u0159enosu \u0161ifrovan\u00fdch informac\u00ed p\u0159es s\u00ed\u0165 (hned m\u011b napad\u00e1 IPsec, ale tyto re\u017eimy se vyskytuj\u00ed i v jin\u00fdch protokolech). V transportn\u00edm<\/b> (n\u011bkdy se mu tak\u00e9 \u0159\u00edk\u00e1 native) re\u017eimu se \u0161ifruje pouze servisn\u00ed<\/b> blok dat, zat\u00edmco hlavi\u010dky z\u016fst\u00e1vaj\u00ed \u201eotev\u0159en\u00e9\u201c, ne\u0161ifrovan\u00e9 (n\u011bkdy se p\u0159id\u00e1vaj\u00ed dal\u0161\u00ed pole se slu\u017eebn\u00edmi informacemi \u0161ifrovac\u00edho algoritmu, a jin\u00e1 pole se modifikuj\u00ed, p\u0159epo\u010d\u00edt\u00e1vaj\u00ed). V tunelov\u00e9m<\/b> re\u017eimu naopak cel\u00fd protokolov\u00fd<\/b> blok dat (tedy samotn\u00fd paket) se \u0161ifruje a inkapsuluje do servisn\u00edho bloku dat t\u00e9\u017ee nebo vy\u0161\u0161\u00ed \u00farovn\u011b, tedy je obklopen nov\u00fdmi hlavi\u010dkami.<\/p>\n
\u00darove\u0148 \u0161ifrov\u00e1n\u00ed sama o sob\u011b v kombinaci s jak\u00fdmkoli re\u017eimem p\u0159enosu nen\u00ed dobr\u00e1 ani \u0161patn\u00e1, tak\u017ee nelze \u0159\u00edci, \u017ee nap\u0159\u00edklad L3 v transportn\u00edm re\u017eimu je lep\u0161\u00ed ne\u017e L2 v tunelov\u00e9m. Mnoho charakteristik, podle kter\u00fdch jsou za\u0159\u00edzen\u00ed hodnocena, z nich z\u00e1vis\u00ed. Nap\u0159\u00edklad flexibilita a kompatibilita. Pro pr\u00e1ci v s\u00edti L1 (p\u0159enos bitov\u00e9ho toku), L2 (komutace r\u00e1mc\u016f) a L3 (sm\u011brov\u00e1n\u00ed paket\u016f) v transportn\u00edm re\u017eimu jsou pot\u0159eba \u0159e\u0161en\u00ed, kter\u00e1 \u0161ifruj\u00ed na stejn\u00e9 nebo vy\u0161\u0161\u00ed \u00farovni (jinak bude za\u0161ifrov\u00e1na adresn\u00ed informace a data nedoraz\u00ed na sv\u00e9 m\u00edsto), zat\u00edmco tunelov\u00fd re\u017eim umo\u017e\u0148uje p\u0159ekonat toto omezen\u00ed (i kdy\u017e na \u00fakor jin\u00fdch d\u016fle\u017eit\u00fdch charakteristik).<\/p>\n
Transportn\u00ed a tunelov\u00e9 re\u017eimy \u0161ifrov\u00e1n\u00ed L2<\/i><\/p>\n
A nyn\u00ed se poj\u010fme pod\u00edvat na charakteristiky.<\/p>\n
V\u00fdkon<\/h4>\n \nPro s\u00ed\u0165ov\u00e9 \u0161ifrov\u00e1n\u00ed je v\u00fdkon komplexn\u00ed a mnohorozm\u011brn\u00fd pojem. N\u011bkdy se st\u00e1v\u00e1, \u017ee ur\u010dit\u00fd model p\u0159ekon\u00e1v\u00e1 v jedn\u00e9 v\u00fdkonnostn\u00ed charakteristice, zat\u00edmco v jin\u00e9 zaost\u00e1v\u00e1. Proto je v\u017edy u\u017eite\u010dn\u00e9 zva\u017eovat v\u0161echny slo\u017eky v\u00fdkonnosti \u0161ifrov\u00e1n\u00ed a jejich vliv na v\u00fdkon s\u00edt\u011b a aplikac\u00ed, kter\u00e9 ji vyu\u017e\u00edvaj\u00ed. Lze tu prov\u00e9st analogii s automobilem, pro kter\u00fd nen\u00ed d\u016fle\u017eit\u00e1 pouze maxim\u00e1ln\u00ed rychlost, ale tak\u00e9 zrychlen\u00ed na \u201estovku\u201c, spot\u0159eba paliva atd. V\u00fdkonov\u00fdm charakteristik\u00e1m v\u011bnuj\u00ed spole\u010dnosti-v\u00fdrobci a jejich potenci\u00e1ln\u00ed z\u00e1kazn\u00edci velkou pozornost. Obvykle se pr\u00e1v\u011b podle v\u00fdkonnosti \u0159ad\u00ed modely v \u0159ad\u00e1ch v\u00fdrobc\u016f \u0161ifrovac\u00edch za\u0159\u00edzen\u00ed.<\/p>\n
Je z\u0159ejm\u00e9, \u017ee v\u00fdkon z\u00e1vis\u00ed jak na slo\u017eitosti s\u00ed\u0165ov\u00fdch a kryptografick\u00fdch operac\u00ed prov\u00e1d\u011bn\u00fdch na za\u0159\u00edzen\u00ed (v\u010detn\u011b toho, jak dob\u0159e se \u00fakoly daj\u00ed paralelizovat a konvertovat do potrub\u00ed), tak na v\u00fdkonu hardwaru a kvalit\u011b vestav\u011bn\u00e9ho softwaru. Proto se u vy\u0161\u0161\u00edch model\u016f pou\u017e\u00edv\u00e1 v\u00fdkonn\u011bj\u0161\u00ed \u201e\u017eelezo\u201c, n\u011bkdy je mo\u017en\u00e9 jej vybavit dal\u0161\u00edmi procesory a pam\u011b\u0165ov\u00fdmi moduly. Existuje n\u011bkolik p\u0159\u00edstup\u016f k realizaci kryptografick\u00fdch funkc\u00ed: na univerz\u00e1ln\u00edm centr\u00e1ln\u00edm procesoru (CPU), specializovan\u00e9m zak\u00e1zkov\u00e9m integrovan\u00e9m obvodu (ASIC) nebo na programovateln\u00e9m logick\u00e9m integrovan\u00e9m obvodu (FPGA). Ka\u017ed\u00fd p\u0159\u00edstup m\u00e1 sv\u00e9 v\u00fdhody a nev\u00fdhody. Nap\u0159\u00edklad CPU m\u016f\u017ee b\u00fdt \u201e\u00fazk\u00fdm hrdlem\u201c \u0161ifrov\u00e1n\u00ed, zejm\u00e9na kdy\u017e procesor nem\u00e1 specializovan\u00e9 instrukce pro podporu \u0161ifrovac\u00edch algoritm\u016f (nebo pokud se pou\u017e\u00edvaj\u00ed) . Specializovan\u00fdm \u010dip\u016fm chyb\u00ed flexibilita, \u201ep\u0159eprogramovat\u201c je pro zv\u00fd\u0161en\u00ed v\u00fdkonu, p\u0159id\u00e1v\u00e1n\u00ed nov\u00fdch funkc\u00ed nebo odstran\u011bn\u00ed zranitelnosti nen\u00ed v\u017edy mo\u017en\u00e9. Krom\u011b toho se jejich vyu\u017eit\u00ed st\u00e1v\u00e1 rentabiln\u00edm pouze p\u0159i velk\u00fdch objemech v\u00fdroby. Proto se stala tak popul\u00e1rn\u00ed \u201ezlat\u00e1 st\u0159edn\u00ed cesta\u201c - pou\u017eit\u00ed FPGA (\u010desky PLIS). Pr\u00e1v\u011b na PLIS jsou vyrobeny takzvan\u00e9 kryptookceler\u00e1tory - vestav\u011bn\u00e9 nebo p\u0159ipojiteln\u00e9 specializovan\u00e9 hardwarov\u00e9 moduly pro podporu kryptografick\u00fdch operac\u00ed.<\/p>\n
Jeliko\u017e se jedn\u00e1 o s\u00ed\u0165ov\u00e9<\/b> \u0161ifrov\u00e1n\u00ed, je logick\u00e9, \u017ee v\u00fdkonnost \u0159e\u0161en\u00ed je t\u0159eba m\u011b\u0159it ve stejn\u00fdch jednotk\u00e1ch, jak\u00e9 se pou\u017e\u00edvaj\u00ed pro jin\u00e1 s\u00ed\u0165ov\u00e1 za\u0159\u00edzen\u00ed - propustnosti, procentu ztr\u00e1ty paket\u016f (frame loss) a latence. Tyto hodnoty jsou definov\u00e1ny v RFC 1242. Mimochodem, o \u010dasto zm\u00edn\u011bn\u00e9 variaci latence (jitter) se v tomto RFC nic nep\u00ed\u0161e. Jak tyto hodnoty m\u011b\u0159it? Nena\u0161el jsem zat\u00edm \u017e\u00e1dnou schv\u00e1lenou metodiku (ofici\u00e1ln\u00ed nebo neofici\u00e1ln\u00ed jako RFC) speci\u00e1ln\u011b pro s\u00ed\u0165ov\u00e9 \u0161ifrov\u00e1n\u00ed. Bylo by logick\u00e9 pou\u017e\u00edt metodiku pro s\u00ed\u0165ov\u00e1 za\u0159\u00edzen\u00ed zakotvenou ve standardu RFC 2544. Mnoho dodavatel\u016f se j\u00ed \u0159\u00edd\u00ed - mnoho, ale ne v\u0161ichni. Nap\u0159\u00edklad pos\u00edlaj\u00ed testovac\u00ed provoz pouze jedn\u00edm sm\u011brem m\u00edsto obou, jak je doporu\u010deno<\/b> standardem. No nic.<\/p>\n
M\u011b\u0159en\u00ed v\u00fdkonu za\u0159\u00edzen\u00ed pro s\u00ed\u0165ov\u00e9 \u0161ifrov\u00e1n\u00ed m\u00e1 sv\u00e9 specifiky. Zaprv\u00e9, je nezbytn\u00e9 prov\u00e1d\u011bt ve\u0161ker\u00e1 m\u011b\u0159en\u00ed pro dvojici za\u0159\u00edzen\u00ed: i kdy\u017e jsou \u0161ifrovac\u00ed algoritmy symetrick\u00e9, latence a ztr\u00e1ty paket\u016f p\u0159i \u0161ifrov\u00e1n\u00ed a de\u0161ifrov\u00e1n\u00ed nemus\u00ed b\u00fdt nutn\u011b shodn\u00e9. Zadruh\u00e9, m\u00e1 smysl m\u011b\u0159it konkr\u00e9tn\u011b delta, tedy vliv s\u00ed\u0165ov\u00e9ho \u0161ifrov\u00e1n\u00ed na kone\u010dn\u00fd v\u00fdkon s\u00edt\u011b, porovn\u00e1v\u00e1n\u00edm dvou konfigurac\u00ed: bez \u0161ifrovac\u00edch za\u0159\u00edzen\u00ed a s nimi. Nebo, jak v p\u0159\u00edpad\u011b hybridn\u00edch za\u0159\u00edzen\u00ed kombinuj\u00edc\u00edch v\u00edce funkc\u00ed vedle s\u00ed\u0165ov\u00e9ho \u0161ifrov\u00e1n\u00ed, p\u0159i vypnut\u00e9m a zapnut\u00e9m \u0161ifrov\u00e1n\u00ed. Tento vliv m\u016f\u017ee b\u00fdt r\u016fzn\u00fd a z\u00e1vis\u00ed na sch\u00e9matu p\u0159ipojen\u00ed \u0161ifrovac\u00edch za\u0159\u00edzen\u00ed, na pracovn\u00edch re\u017eimech a kone\u010dn\u011b na charakteru provozu. Konkr\u00e9tn\u011b, mnoh\u00e9 parametry v\u00fdkonu z\u00e1vis\u00ed na d\u00e9lce paket\u016f, a proto se pro porovn\u00e1n\u00ed v\u00fdkonu r\u016fzn\u00fdch \u0159e\u0161en\u00ed \u010dasto pou\u017e\u00edvaj\u00ed grafy z\u00e1vislosti t\u011bchto parametr\u016f na d\u00e9lce paket\u016f, nebo se pou\u017e\u00edv\u00e1 IMIX - rozd\u011blen\u00ed provozu podle d\u00e9lky paket\u016f, kter\u00e9 p\u0159ibli\u017en\u011b odr\u00e1\u017e\u00ed skute\u010dnost. Pokud vezmeme pro srovn\u00e1n\u00ed stejnou z\u00e1kladn\u00ed konfiguraci bez \u0161ifrov\u00e1n\u00ed, budeme schopni porovn\u00e1vat \u0159e\u0161en\u00ed pro s\u00ed\u0165ov\u00e9 \u0161ifrov\u00e1n\u00ed realizovan\u00e1 r\u016fzn\u00fdmi zp\u016fsoby, ani\u017e bychom se zab\u00fdvali t\u011bmito rozd\u00edly: L2 s L3, \u201euchovej-a-p\u0159ed\u00e1vej\u201c (store-and-forward) s pr\u016fchoz\u00edm (cut-through), specializovan\u00e9 s konvergovan\u00fdmi, GOST s AES a tak d\u00e1le.<\/p>\n
Sch\u00e9ma p\u0159ipojen\u00ed pro testov\u00e1n\u00ed v\u00fdkonu<\/i><\/p>\n
Prvn\u00ed charakteristika, na kterou se zam\u011b\u0159uje pozornost \u2013 to je \u201erychlost\u201c \u0161ifrovac\u00edho za\u0159\u00edzen\u00ed, tedy \u0161\u00ed\u0159ka p\u00e1sma<\/b> (bandwidth) jeho s\u00ed\u0165ov\u00fdch rozhran\u00ed, rychlost toku bit\u016f. Ta je ur\u010dena s\u00ed\u0165ov\u00fdmi standardy, kter\u00e9 rozhran\u00ed podporuj\u00ed. Pro Ethernet jsou b\u011b\u017en\u00e1 \u010d\u00edsla \u2013 1 Gbit\/s a 10 Gbit\/s. Ale, jak v\u00edme, v ka\u017ed\u00e9 s\u00edti je maxim\u00e1ln\u00ed teoretick\u00e1 propustnost<\/b> (proprie) na ka\u017ed\u00e9 z jej\u00edch \u00farovn\u00ed je v\u017edy men\u0161\u00ed ne\u017e \u0161\u00ed\u0159ka p\u00e1sma: \u010d\u00e1st \u0161\u00ed\u0159ky p\u00e1sma je \u201esn\u011bdena\u201c mezikadrov\u00fdmi intervaly, \u0159\u00eddic\u00edmi hlavi\u010dkami a podobn\u011b. Pokud je za\u0159\u00edzen\u00ed schopno p\u0159ijmout, zpracovat (v na\u0161em p\u0159\u00edpad\u011b za\u0161ifrovat nebo de\u0161ifrovat) a p\u0159en\u00e9st provoz plnou rychlost\u00ed s\u00ed\u0165ov\u00e9ho rozhran\u00ed, tedy s maxim\u00e1ln\u00ed teoretickou propustnost\u00ed pro tuto \u00farove\u0148 s\u00ed\u0165ov\u00e9ho modelu, \u0159\u00edk\u00e1 se, \u017ee funguje na lince<\/b>. K tomu je pot\u0159eba, aby za\u0159\u00edzen\u00ed neztr\u00e1celo, neodstrkovalo pakety bez ohledu na jejich velikost a jakoukoliv frekvenci jejich p\u0159\u00edchodu. Pokud za\u0159\u00edzen\u00ed pro \u0161ifrov\u00e1n\u00ed nepodporuje pr\u00e1ci na lince, obvykle se uv\u00e1d\u00ed jeho maxim\u00e1ln\u00ed propustnost ve stejn\u00fdch gigabitech za sekundu (n\u011bkdy s uveden\u00edm d\u00e9lky paket\u016f \u2013 \u010d\u00edm krat\u0161\u00ed pakety, t\u00edm obvykle ni\u017e\u0161\u00ed propustnost). Je velmi d\u016fle\u017eit\u00e9 pochopit, \u017ee maxim\u00e1ln\u00ed propustnost je maxim\u00e1ln\u00ed bez ztr\u00e1t<\/b> (i kdy\u017e za\u0159\u00edzen\u00ed m\u016f\u017ee \u201eproch\u00e1zet\u201c provozem rychlost\u00ed vy\u0161\u0161\u00ed, ale p\u0159itom ztr\u00e1c\u00ed \u010d\u00e1st paket\u016f). Nav\u00edc je t\u0159eba si d\u00e1vat pozor na to, \u017ee n\u011bkte\u0159\u00ed dodavatel\u00e9 m\u011b\u0159\u00ed celkovou propustnost mezi v\u0161emi p\u00e1ry port\u016f, tak\u017ee tato \u010d\u00edsla m\u00e1lokdy n\u011bco znamenaj\u00ed, pokud ve\u0161ker\u00fd \u0161ifrovan\u00fd provoz proch\u00e1z\u00ed jedin\u00fdm portem.<\/p>\n
Kde je zvl\u00e1\u0161\u0165 d\u016fle\u017eit\u00e9 fungovat na lince (nebo jinak, bez ztr\u00e1ty paket\u016f)? V kan\u00e1lech s vysokou propustnost\u00ed a velk\u00fdmi zpo\u017ed\u011bn\u00edmi (nap\u0159\u00edklad satelitn\u00edmi), kde pro udr\u017een\u00ed vysok\u00e9 rychlosti p\u0159enosu je t\u0159eba nastavit velkou velikost okna TCP, a kde ztr\u00e1ty paket\u016f v\u00fdrazn\u011b sni\u017euj\u00ed v\u00fdkon s\u00edt\u011b.<\/p>\n
Ale ne v\u0161echna \u0161\u00ed\u0159ka p\u00e1sma se pou\u017e\u00edv\u00e1 pro p\u0159enos u\u017eite\u010dn\u00fdch dat. Je t\u0159eba br\u00e1t v \u00favahu takzvan\u00e9 n\u00e1klady<\/b> (overhead) propustnosti. Je to \u010d\u00e1st propustnosti \u0161ifrovac\u00edho za\u0159\u00edzen\u00ed (v procentech nebo v bajtech na paket), kter\u00e1 se ve skute\u010dnosti ztr\u00e1c\u00ed (nem\u016f\u017ee b\u00fdt pou\u017eita pro p\u0159enos dat aplikac\u00ed). N\u00e1kldy vznikaj\u00ed p\u0159edev\u0161\u00edm d\u00edky zv\u00fd\u0161en\u00ed velikosti (dopln\u011bn\u00ed, \u201evypln\u011bn\u00ed\u201c) datov\u00e9ho pole v za\u0161ifrovan\u00fdch s\u00ed\u0165ov\u00fdch paketech (z\u00e1vis\u00ed na \u0161ifrovac\u00edm algoritmu a re\u017eimu jeho \u010dinnosti). Za druh\u00e9, kv\u016fli zv\u00fd\u0161en\u00ed d\u00e9lky hlavi\u010dek paket\u016f (tunelov\u00fd re\u017eim, pomocn\u00e9 vlo\u017een\u00ed \u0161ifrovac\u00edho protokolu, imitace vkl\u00e1d\u00e1n\u00ed atd. podle protokolu a re\u017eimu \u010dinnosti \u0161ifru a re\u017eimu p\u0159enosu) \u2013 obvykle jsou tyto n\u00e1klady nejv\u00fdznamn\u011bj\u0161\u00ed a na n\u011b se nejprve upozor\u0148uje. Za t\u0159et\u00ed, z d\u016fvodu fragmentace paket\u016f p\u0159ekra\u010duj\u00edc\u00edch maxim\u00e1ln\u00ed velikost datov\u00e9ho bloku (MTU) (pokud s\u00ed\u0165 um\u00ed rozd\u011blit paket p\u0159ekra\u010duj\u00edc\u00ed MTU na dva, duplikuje jeho hlavi\u010dky). Za \u010dtvrt\u00e9, vzhledem k v\u00fdskytu v s\u00edti dal\u0161\u00edho pomocn\u00e9ho (kontroln\u00edho) provozu mezi \u0161ifrovac\u00edmi za\u0159\u00edzen\u00edmi (pro v\u00fdm\u011bnu kl\u00ed\u010d\u016f, nastaven\u00ed tunel\u016f atd.). N\u00edzk\u00e9 n\u00e1klady jsou d\u016fle\u017eit\u00e9 tam, kde je kapacita kan\u00e1lu omezena. Obzvl\u00e1\u0161\u0165 se to ukazuje na provozu mal\u00fdch paket\u016f, nap\u0159\u00edklad hlasov\u00e9m \u2013 tam n\u00e1klady mohou \u201esn\u00edst\u201c v\u00edce ne\u017e polovinu rychlosti kan\u00e1lu!<\/p>\n
\u0160\u00ed\u0159ka p\u00e1sma<\/i><\/p>\n
Kone\u010dn\u011b je tu je\u0161t\u011b p\u0159enosn\u00e1 latence<\/b> \u2013 rozd\u00edl (v zlomc\u00edch sekundy) v s\u00ed\u0165ov\u00e9m zpo\u017ed\u011bn\u00ed (\u010dasu pot\u0159ebn\u00e9ho na pr\u016fchod dat od vstupu do s\u00edt\u011b k v\u00fdstupu) mezi p\u0159enosem dat bez s\u00ed\u0165ov\u00e9ho \u0161ifrov\u00e1n\u00ed a s n\u00edm. Obecn\u011b plat\u00ed, \u017ee \u010d\u00edm men\u0161\u00ed je zpo\u017ed\u011bn\u00ed (\u201elatence\u201c) s\u00edt\u011b, t\u00edm kriti\u010dt\u011bj\u0161\u00ed se st\u00e1v\u00e1 zpo\u017ed\u011bn\u00ed zp\u016fsoben\u00e9 \u0161ifrovac\u00edmi za\u0159\u00edzen\u00edmi. Zpo\u017ed\u011bn\u00ed zav\u00e1d\u00ed samotn\u00e1 operace \u0161ifrov\u00e1n\u00ed (z\u00e1vis\u00ed na algoritmu \u0161ifrov\u00e1n\u00ed, d\u00e9lce bloku a re\u017eimu pr\u00e1ce \u0161ifru, stejn\u011b jako na kvalit\u011b jeho implementace v softwaru) i zpracov\u00e1n\u00ed s\u00ed\u0165ov\u00e9ho paketu v za\u0159\u00edzen\u00ed. Zpo\u017ed\u011bn\u00ed z\u00e1vis\u00ed jak na re\u017eimu zpracov\u00e1n\u00ed paket\u016f (pr\u016fchoz\u00ed nebo \u201euchovej-a-p\u0159ed\u00e1vej\u201c), tak na v\u00fdkonnosti platformy (\u201ehardwarov\u00e1\u201c implementace na FPGA nebo ASIC je zpravidla rychlej\u0161\u00ed ne\u017e \u201esoftwarov\u00e1\u201c na CPU). \u0160ifrov\u00e1n\u00ed L2 m\u00e1 t\u00e9m\u011b\u0159 v\u017edy men\u0161\u00ed p\u0159idan\u00e9 zpo\u017ed\u011bn\u00ed ve srovn\u00e1n\u00ed se \u0161ifrov\u00e1n\u00edm na L3 nebo L4: projevuje se to t\u00edm, \u017ee za\u0159\u00edzen\u00ed, kter\u00e1 \u0161ifruj\u00ed na L3\/L4, jsou \u010dasto prov\u00e1d\u011bna konvergovan\u011b. Nap\u0159\u00edklad u vysokorychlostn\u00edch Ethernetov\u00fdch \u0161ifrovac\u00edch za\u0159\u00edzen\u00ed realizovan\u00fdch na FPGA a \u0161ifruj\u00edc\u00edch na L2 je zpo\u017ed\u011bn\u00ed zp\u016fsoben\u00e9 \u0161ifrovac\u00ed operac\u00ed zanedbateln\u00e9 \u2013 n\u011bkdy p\u0159i zapnut\u00ed \u0161ifrov\u00e1n\u00ed na p\u00e1ru za\u0159\u00edzen\u00ed se celkov\u00e9 zpo\u017ed\u011bn\u00ed, kter\u00e9 zav\u00e1d\u011bj\u00ed, dokonce zmen\u0161\u00ed! Mal\u00e9 zpo\u017ed\u011bn\u00ed je d\u016fle\u017eit\u00e9 tam, kde je srovnateln\u00e9 s celkov\u00fdmi zpo\u017ed\u011bn\u00edmi v kan\u00e1lu, v\u010detn\u011b zpo\u017ed\u011bn\u00ed \u0161\u00ed\u0159en\u00ed sign\u00e1lu, kter\u00e9 \u010din\u00ed p\u0159ibli\u017en\u011b 5 \u03bcs na kilometr. To znamen\u00e1, \u017ee pro s\u00edt\u011b m\u011bstsk\u00e9ho rozm\u011bru (des\u00edtky kilometr\u016f v pr\u016fm\u011bru) mohou mikrosekundy rozhodnout o mnoh\u00e9m. Nap\u0159\u00edklad pro synchronn\u00ed replikaci datab\u00e1z\u00ed, vysoce frekven\u010dn\u00ed obchodov\u00e1n\u00ed, nebo samotn\u00fd blockchain.<\/p>\n
P\u0159idan\u00e9 zpo\u017ed\u011bn\u00ed<\/i><\/p>\n\u0160k\u00e1lovatelnost<\/h4>\n
\nVelk\u00e9 distribuovan\u00e9 s\u00edt\u011b mohou zahrnovat tis\u00edce uzl\u016f a s\u00ed\u0165ov\u00fdch za\u0159\u00edzen\u00ed, stovky segment\u016f m\u00edstn\u00edch s\u00edt\u00ed. Je d\u016fle\u017eit\u00e9, aby \u0159e\u0161en\u00ed pro \u0161ifrov\u00e1n\u00ed nekladla dal\u0161\u00ed omezen\u00ed na velikost a topologii distribuovan\u00e9 s\u00edt\u011b. To se t\u00fdk\u00e1 p\u0159edev\u0161\u00edm maxim\u00e1ln\u00edho po\u010dtu adres uzl\u016f a s\u00edt\u00ed. S takov\u00fdmi omezen\u00edmi se lze nap\u0159\u00edklad setkat p\u0159i implementaci v\u00edcebodov\u00e9 topologie \u0161ifrovan\u00e9 s\u00edt\u011b (s nez\u00e1visl\u00fdmi chr\u00e1n\u011bn\u00fdmi spojen\u00edmi nebo tunely) nebo selektivn\u00edho \u0161ifrov\u00e1n\u00ed (nap\u0159. podle \u010d\u00edsla protokolu nebo VLAN). Pokud se p\u0159itom s\u00ed\u0165ov\u00e9 adresy (MAC, IP, VLAN ID) pou\u017e\u00edvaj\u00ed jako kl\u00ed\u010de v tabulce, jej\u00ed\u017e po\u010det \u0159\u00e1dk\u016f je omezen, pak se zde t\u011bchto omezen\u00ed projevuj\u00ed.<\/p>\n
Krom\u011b toho maj\u00ed velk\u00e9 s\u00edt\u011b \u010dasto n\u011bkolik struktur\u00e1ln\u00edch \u00farovn\u00ed, v\u010detn\u011b j\u00e1drov\u00e9 s\u00edt\u011b, na ka\u017ed\u00e9 z nich\u017e je realizov\u00e1na vlastn\u00ed sch\u00e9ma adresace a vlastn\u00ed politika sm\u011brov\u00e1n\u00ed. Pro implementaci takov\u00e9ho p\u0159\u00edstupu se \u010dasto pou\u017e\u00edvaj\u00ed speci\u00e1ln\u00ed form\u00e1ty r\u00e1mc\u016f (nap\u0159\u00edklad Q-in-Q nebo MAC-in-MAC) a protokoly ur\u010dov\u00e1n\u00ed tras. Aby se nebr\u00e1nilo budov\u00e1n\u00ed takov\u00fdch s\u00edt\u00ed, mus\u00ed za\u0159\u00edzen\u00ed pro \u0161ifrov\u00e1n\u00ed spr\u00e1vn\u011b pracovat s t\u011bmito r\u00e1mci (to znamen\u00e1, \u017ee v tomto smyslu bude \u0161k\u00e1lovatelnost znamenat kompatibilitu \u2013 o kter\u00e9 bude hovo\u0159eno n\u00ed\u017ee).<\/p>\n
Flexibilita<\/h4>\n \nZde se hovo\u0159\u00ed o podpo\u0159e r\u016fzn\u00fdch konfigurac\u00ed, sch\u00e9mat p\u0159ipojen\u00ed, topologi\u00ed a dal\u0161\u00edch. Nap\u0159\u00edklad pro p\u0159ep\u00ednan\u00e9 s\u00edt\u011b na b\u00e1zi technologi\u00ed Carrier Ethernet to znamen\u00e1 podporu r\u016fzn\u00fdch typ\u016f virtu\u00e1ln\u00edch spojen\u00ed (E-Line, E-LAN, E-Tree), r\u016fzn\u00fdch typ\u016f slu\u017eeb (jak podle port\u016f, tak podle VLAN) a r\u016fzn\u00fdch transportn\u00edch technologi\u00ed (ty byly ji\u017e uvedeny v\u00fd\u0161e). To znamen\u00e1, \u017ee za\u0159\u00edzen\u00ed by m\u011blo b\u00fdt schopno pracovat jak v line\u00e1rn\u00edm (\"point-to-point\"), tak v v\u00edcebodov\u00e9m re\u017eimu, vytv\u00e1\u0159et jednotliv\u00e9 tunely pro r\u016fzn\u00e9 VLAN, povolovat neuspo\u0159\u00e1dan\u00e9 doru\u010dov\u00e1n\u00ed paket\u016f v r\u00e1mci chr\u00e1n\u011bn\u00e9ho kan\u00e1lu. Mo\u017enost v\u00fdb\u011bru r\u016fzn\u00fdch re\u017eim\u016f provozu \u0161ifry (v\u010detn\u011b s autentizac\u00ed obsahu nebo bez n\u00ed) a r\u016fzn\u00fdch re\u017eim\u016f p\u0159enosu paket\u016f umo\u017e\u0148uje zajistit vyv\u00e1\u017eenost mezi odolnost\u00ed a v\u00fdkonnost\u00ed v z\u00e1vislosti na aktu\u00e1ln\u00edch podm\u00ednk\u00e1ch.<\/p>\n
Tak\u00e9 je d\u016fle\u017eit\u00e1 podpora a priv\u00e1tn\u00edch s\u00edt\u00ed, jejich\u017e za\u0159\u00edzen\u00ed pat\u0159\u00ed jedn\u00e9 organizaci (nebo jsou j\u00ed pronajata), a oper\u00e1torsk\u00fdch, jejich\u017e r\u016fzn\u00e9 segmenty spravuj\u00ed r\u016fzn\u00e9 spole\u010dnosti. Dobr\u00e9 je, kdy\u017e \u0159e\u0161en\u00ed umo\u017e\u0148uje spr\u00e1vu jak vlastn\u00edmi silami, tak extern\u00ed organizac\u00ed (v r\u00e1mci modelu spravovan\u00e9 slu\u017eby). V oper\u00e1torsk\u00fdch s\u00edt\u00edch je dal\u0161\u00edm d\u016fle\u017eit\u00fdm faktorem podpora multitenantnosti (spole\u010dn\u00e9ho vyu\u017e\u00edv\u00e1n\u00ed r\u016fzn\u00fdmi z\u00e1kazn\u00edky) ve form\u011b kryptografick\u00e9 izolace jednotliv\u00fdch z\u00e1kazn\u00edk\u016f (u\u017eivatel\u016f), jejich\u017e provoz proch\u00e1z\u00ed stejnou sadou \u0161ifrovac\u00edch za\u0159\u00edzen\u00ed. Obvykle to vy\u017eaduje pou\u017eit\u00ed odd\u011blen\u00fdch sad kl\u00ed\u010d\u016f a certifik\u00e1t\u016f pro ka\u017ed\u00e9ho z\u00e1kazn\u00edka.<\/p>\n
Pokud je za\u0159\u00edzen\u00ed zakoupeno pro n\u011bjak\u00fd konkr\u00e9tn\u00ed sc\u00e9n\u00e1\u0159, nemus\u00ed b\u00fdt v\u0161echny tyto mo\u017enosti zvl\u00e1\u0161\u0165 d\u016fle\u017eit\u00e9 \u2013 sta\u010d\u00ed se ujistit, \u017ee za\u0159\u00edzen\u00ed podporuje to, co je nyn\u00ed pot\u0159eba. Ale pokud je \u0159e\u0161en\u00ed zakoupeno \u201ena budoucnost\u201c, k podpo\u0159e i budouc\u00edch sc\u00e9n\u00e1\u0159\u016f, a je vybr\u00e1no jako \u201epodnikov\u00fd standard\u201c, flexibilita bude v\u00fdhodou \u2013 zejm\u00e9na vzhledem k omezen\u00edm interoperability za\u0159\u00edzen\u00ed r\u016fzn\u00fdch dodavatel\u016f (o tom si pov\u00edme n\u00ed\u017ee).<\/p>\n
Jednoduchost a pohodl\u00ed<\/h4>\n \nPohodl\u00ed \u00fadr\u017eby je tak\u00e9 mnohofaktorov\u00fd pojem. M\u016f\u017eeme p\u0159ibli\u017en\u011b \u0159\u00edci, \u017ee jde o celkov\u00e9 n\u00e1klady na \u010das specialist\u016f ur\u010dit\u00e9 kvalifikace pot\u0159ebn\u00fdch k podpo\u0159e \u0159e\u0161en\u00ed v r\u016fzn\u00fdch f\u00e1z\u00edch jeho \u017eivotn\u00edho cyklu. Pokud nejsou n\u00e1klady \u017e\u00e1dn\u00e9 a instalace, nastaven\u00ed, provoz je pln\u011b automatick\u00e9, jsou n\u00e1klady nulov\u00e9 a pohodl\u00ed absolutn\u00ed. Samoz\u0159ejm\u011b, v re\u00e1ln\u00e9m sv\u011bt\u011b to takto nefunguje. Rozumn\u00e9 p\u0159ibl\u00ed\u017een\u00ed je model \u201euzel na dr\u00e1tu\u201c<\/b> (bump-in-the-wire), nebo transparentn\u00ed p\u0159ipojen\u00ed, p\u0159i n\u011bm\u017e p\u0159id\u00e1n\u00ed a odpojen\u00ed \u0161ifrovac\u00edch za\u0159\u00edzen\u00ed nevy\u017eaduje \u017e\u00e1dn\u00e9 ru\u010dn\u00ed ani automatick\u00e9 zm\u011bny v konfiguraci s\u00edt\u011b. To zjednodu\u0161uje \u00fadr\u017ebu \u0159e\u0161en\u00ed: m\u016f\u017eete bez obav zap\u00ednat a vyp\u00ednat funkci \u0161ifrov\u00e1n\u00ed, a v p\u0159\u00edpad\u011b pot\u0159eby jednodu\u0161e \u201eobej\u00edt\u201c za\u0159\u00edzen\u00ed s\u00ed\u0165ov\u00fdm kabelem (to znamen\u00e1 p\u0159\u00edmo spojit ty porty s\u00ed\u0165ov\u00e9ho vybaven\u00ed, k nim\u017e bylo p\u0159ipojeno). Pravda, m\u00e1 to i jednu nev\u00fdhodu \u2013 tot\u00e9\u017e m\u016f\u017ee ud\u011blat i \u00fato\u010dn\u00edk. Pro realizaci principu \u201euzel na dr\u00e1tu\u201c je t\u0159eba vz\u00edt v \u00favahu nejen vrstvu dat<\/b>, ale tak\u00e9 vrstvy \u0159\u00edzen\u00ed a spr\u00e1vy<\/b> \u2013 za\u0159\u00edzen\u00ed by m\u011bla b\u00fdt transparentn\u00ed v\u016f\u010di nim. Proto lze takov\u00fd provoz \u0161ifrovat pouze tehdy, kdy\u017e v s\u00edti mezi \u0161ifrovac\u00edmi za\u0159\u00edzen\u00edmi nejsou p\u0159\u00edjemci tohoto typu provozu, proto\u017ee pokud by byl odra\u017een nebo za\u0161ifrov\u00e1n, m\u016f\u017ee se p\u0159i zap\u00edn\u00e1n\u00ed a vyp\u00edn\u00e1n\u00ed \u0161ifrov\u00e1n\u00ed zm\u011bnit konfigurace s\u00edt\u011b. \u0160ifrovac\u00ed za\u0159\u00edzen\u00ed m\u016f\u017ee b\u00fdt tak\u00e9 transparentn\u00ed pro signalizaci na fyzick\u00e9 \u00farovni. Zejm\u00e9na p\u0159i ztr\u00e1t\u011b sign\u00e1lu by m\u011blo tuto ztr\u00e1tu p\u0159en\u00e1\u0161et (tj. vypnout sv\u00e9 vys\u00edla\u010de) zp\u011bt a vp\u0159ed (\u201eza sebe\u201c) ve sm\u011bru sign\u00e1lu.<\/p>\n
Tak\u00e9 je d\u016fle\u017eit\u00e9 podporovat rozd\u011blen\u00ed pravomoc\u00ed mezi odd\u011blen\u00edmi kybernetick\u00e9 bezpe\u010dnosti a IT, zejm\u00e9na s\u00ed\u0165ov\u00fdm odd\u011blen\u00edm. \u0158e\u0161en\u00ed pro \u0161ifrov\u00e1n\u00ed by m\u011blo podporovat p\u0159ijat\u00fd model spr\u00e1vy p\u0159\u00edstupu a auditu v organizaci. M\u011bla by b\u00fdt minimalizov\u00e1na nezbytnost spolupr\u00e1ce mezi r\u016fzn\u00fdmi odd\u011blen\u00edmi p\u0159i prov\u00e1d\u011bn\u00ed rutinn\u00edch operac\u00ed. Proto maj\u00ed specializovan\u00e1 za\u0159\u00edzen\u00ed, kter\u00e1 podporuj\u00ed v\u00fdhradn\u011b \u0161ifrovac\u00ed funkce a jsou co nejtransparentn\u011bj\u0161\u00ed pro s\u00ed\u0165ov\u00e9 operace, v\u00fdhodu z hlediska pohodl\u00ed. Jin\u00fdmi slovy, zam\u011bstnanci odd\u011blen\u00ed kybernetick\u00e9 bezpe\u010dnosti by nem\u011bli m\u00edt d\u016fvod obracet se na \u201es\u00ed\u0165ov\u00e9 in\u017een\u00fdry\u201c pro zm\u011bnu nastaven\u00ed s\u00edt\u011b. A ti by na opl\u00e1tku nem\u011bli m\u00edt pot\u0159ebu m\u011bnit nastaven\u00ed \u0161ifrov\u00e1n\u00ed p\u0159i \u00fadr\u017eb\u011b s\u00edt\u011b.<\/p>\n
Dal\u0161\u00edm faktorem jsou mo\u017enosti a pohodl\u00ed spr\u00e1vcovsk\u00fdch n\u00e1stroj\u016f. M\u011bly by b\u00fdt p\u0159ehledn\u00e9, logick\u00e9, umo\u017e\u0148ovat import-export nastaven\u00ed, automatizaci a podobn\u011b. Hned je t\u0159eba si v\u0161\u00edmat, jak\u00e9 mo\u017enosti spr\u00e1vy jsou dostupn\u00e9 (obvykle se jedn\u00e1 o vlastn\u00ed \u0159\u00edd\u00edc\u00ed prost\u0159ed\u00ed, webov\u00e9 rozhran\u00ed a p\u0159\u00edkazov\u00fd \u0159\u00e1dek) a jak\u00e9 funkce ka\u017ed\u00e1 z nich nab\u00edz\u00ed (mohou existovat omezen\u00ed). D\u016fle\u017eit\u00e1 funkce je podpora out-of-band<\/b> (mimo p\u00e1smo) \u0159\u00edzen\u00ed, tedy prost\u0159ednictv\u00edm vyhrazen\u00e9 spr\u00e1vcovsk\u00e9 s\u00edt\u011b, a in-band<\/b> (v r\u00e1mci p\u00e1sma) \u0159\u00edzen\u00ed, tedy prost\u0159ednictv\u00edm sd\u00edlen\u00e9 s\u00edt\u011b, po kter\u00e9 je p\u0159en\u00e1\u0161en u\u017eite\u010dn\u00fd provoz. Spr\u00e1vn\u00ed n\u00e1stroje by m\u011bly signalizovat v\u0161echny mimo\u0159\u00e1dn\u00e9 situace, v\u010detn\u011b incident\u016f bezpe\u010dnosti informac\u00ed. Rutinn\u00ed, opakuj\u00edc\u00ed se operace by m\u011bly b\u00fdt prov\u00e1d\u011bny automaticky. To se p\u0159edev\u0161\u00edm t\u00fdk\u00e1 spr\u00e1vy kl\u00ed\u010d\u016f. Ty by m\u011bly b\u00fdt generov\u00e1ny\/distribuov\u00e1ny automaticky. Podpora PKI je velk\u00fd plus.<\/p>\nKompatibilita<\/h4>\n
\nTo znamen\u00e1 kompatibilitu za\u0159\u00edzen\u00ed se s\u00ed\u0165ov\u00fdmi standardy. P\u0159i tom se jedn\u00e1 nejen o pr\u016fmyslov\u00e9 standardy p\u0159ijat\u00e9 autoritativn\u00edmi organizacemi, jako je IEEE, ale i o propriet\u00e1rn\u00ed protokoly l\u00eddr\u016f odv\u011btv\u00ed, jako je nap\u0159\u00edklad Cisco. Existuj\u00ed dva z\u00e1kladn\u00ed zp\u016fsoby zaji\u0161t\u011bn\u00ed kompatibility: bu\u010f prost\u0159ednictv\u00edm transparentnosti<\/b>, nebo prost\u0159ednictv\u00edm explicitn\u00ed podpory<\/b> protokol\u016f (kdy\u017e se \u0161ifrovac\u00ed za\u0159\u00edzen\u00ed st\u00e1v\u00e1 pro n\u011bjak\u00fd protokol jedn\u00edm z uzl\u016f s\u00edt\u011b a zpracov\u00e1v\u00e1 kontroln\u00ed provoz tohoto protokolu). Na \u00faplnosti a spr\u00e1vnosti implementace kontroln\u00edch protokol\u016f z\u00e1vis\u00ed kompatibilita se s\u00edt\u011bmi. D\u016fle\u017eit\u00e1 je podpora r\u016fzn\u00fdch variant \u00farovn\u011b PHY (rychlosti, m\u00e9dia p\u0159enosu, k\u00f3dovac\u00edch sch\u00e9mat), r\u00e1mc\u016f Ethernet r\u016fzn\u00fdch form\u00e1t\u016f s jak\u00fdmkoli MTU, r\u016fzn\u00fdch podp\u016frn\u00fdch protokol\u016f L3 (p\u0159edev\u0161\u00edm rodiny TCP\/IP).<\/p>\n
Transparentnost je zaji\u0161t\u011bna pomoc\u00ed mechanism\u016f mutace (do\u010dasn\u00e9 zm\u011bny obsahu otev\u0159en\u00fdch hlavi\u010dek v provozu mezi \u0161ifrovac\u00edmi za\u0159\u00edzen\u00edmi), pr\u016fchodu (kdy\u017e jednotliv\u00e9 pakety z\u016fst\u00e1vaj\u00ed nezabezpe\u010den\u00e9) a \u00fastupu za\u010d\u00e1tku \u0161ifrov\u00e1n\u00ed (kdy\u017e obvykle \u0161ifrovan\u00e1 pole paket\u016f nejsou \u0161ifrov\u00e1na).<\/p>\n
Jak je zaji\u0161t\u011bna transparentnost<\/i><\/p>\n
Proto se v\u017edy ptejte, jak je podpora dan\u00e9ho protokolu zaji\u0161t\u011bna. \u010casto je podpora v transparentn\u00edm re\u017eimu pohodln\u011bj\u0161\u00ed a spolehliv\u011bj\u0161\u00ed.<\/p>\n
Interoperabilita<\/h4>\n \nTohoto se t\u00fdk\u00e1 tak\u00e9 kompatibilita, ale v jin\u00e9m smyslu, a to schopnost spolupracovat s jin\u00fdmi modely \u0161ifrovac\u00edch za\u0159\u00edzen\u00ed, v\u010detn\u011b t\u011bch od jin\u00fdch v\u00fdrobc\u016f. Mnoho z\u00e1vis\u00ed na stavu standardizace \u0161ifrovac\u00edch protokol\u016f. Na \u00farovni L1 obecn\u011b neexistuj\u00ed uzn\u00e1van\u00e9 \u0161ifrovac\u00ed standardy.<\/p>\n
Pro \u0161ifrov\u00e1n\u00ed L2 v s\u00edt\u00edch Ethernet existuje standard 802.1ae (MACsec), ale vyu\u017e\u00edv\u00e1 ne end-to-end<\/b> , ale meziportov\u00e9<\/b>, \u201eskokov\u00e9\u201c (hop-by-hop) \u0161ifrov\u00e1n\u00ed, a ve sv\u00e9 p\u016fvodn\u00ed verzi nen\u00ed pou\u017eiteln\u00fd v distribuovan\u00fdch s\u00edt\u00edch, proto se objevily jeho propriet\u00e1rn\u00ed roz\u0161\u00ed\u0159en\u00ed, kter\u00e1 p\u0159ekon\u00e1vaj\u00ed toto omezen\u00ed (samoz\u0159ejm\u011b na \u00fakor interoperabilnosti s vybaven\u00edm jin\u00fdch v\u00fdrobc\u016f). Pravda, v roce 2018 byla do standardu 802.1ae p\u0159id\u00e1na podpora distribuovan\u00fdch s\u00edt\u00ed, ale podpora sad \u0161ifrovac\u00edch algoritm\u016f GOST st\u00e1le chyb\u00ed. Proto propriet\u00e1rn\u00ed, nestandardn\u00ed protokoly \u0161ifrov\u00e1n\u00ed L2 obvykle vynikaj\u00ed vy\u0161\u0161\u00ed efektivitou (zejm\u00e9na ni\u017e\u0161\u00edmi re\u017eijn\u00edmi n\u00e1klady na \u0161\u00ed\u0159ku p\u00e1sma) a flexibilitou (mo\u017enost zm\u011bny algoritm\u016f a zp\u016fsob\u016f \u0161ifrov\u00e1n\u00ed).<\/p>\n
Na vy\u0161\u0161\u00edch \u00farovn\u00edch (L3 a L4) jsou uzn\u00e1van\u00e9 standardy, p\u0159edev\u0161\u00edm IPsec a TLS, ale ani tady to nen\u00ed tak jednoduch\u00e9. Skute\u010dnost je takov\u00e1, \u017ee ka\u017ed\u00fd z t\u011bchto standard\u016f je sada protokol\u016f, z nich\u017e ka\u017ed\u00fd m\u00e1 r\u016fzn\u00e9 verze a povinn\u00e1 \u010di nepovinn\u00e1 roz\u0161\u00ed\u0159en\u00ed. Krom\u011b toho n\u011bkte\u0159\u00ed v\u00fdrobci d\u00e1vaj\u00ed p\u0159ednost pou\u017eit\u00ed sv\u00fdch propriet\u00e1rn\u00edch \u0161ifrovac\u00edch protokol\u016f i na \u00farovn\u00edch L3\/L4. Proto ve v\u011bt\u0161in\u011b p\u0159\u00edpad\u016f nelze po\u010d\u00edtat s plnou interoperabilitou, ale je d\u016fle\u017eit\u00e9, aby bylo zaji\u0161t\u011bno alespo\u0148 vz\u00e1jemn\u00e9 fungov\u00e1n\u00ed mezi r\u016fzn\u00fdmi modely a r\u016fzn\u00fdmi generacemi jednoho v\u00fdrobce.<\/p>\n
Spolehlivost<\/h4>\n \nPro srovn\u00e1n\u00ed r\u016fzn\u00fdch \u0159e\u0161en\u00ed lze pou\u017e\u00edt bu\u010f pr\u016fm\u011brnou dobu provozu mezi poruchami, nebo koeficient dostupnosti. Pokud tyto \u010d\u00edsla nejsou k dispozici (nebo jim nen\u00ed d\u016fv\u011b\u0159ov\u00e1no), lze prov\u00e9st kvalitativn\u00ed srovn\u00e1n\u00ed. V\u00fdhodu budou m\u00edt za\u0159\u00edzen\u00ed s intuitivn\u00edm \u0159\u00edzen\u00edm (ni\u017e\u0161\u00ed riziko chyb ve konfiguraci), specializovan\u00e9 \u0161ifrovac\u00ed za\u0159\u00edzen\u00ed (z t\u00e9ho\u017e d\u016fvodu), stejn\u011b jako \u0159e\u0161en\u00ed s minim\u00e1ln\u00edm \u010dasem na detekci a odstran\u011bn\u00ed poruchy, v\u010detn\u011b prost\u0159edk\u016f \u201ehotov\u00e9ho\u201c z\u00e1lohov\u00e1n\u00ed uzl\u016f a za\u0159\u00edzen\u00ed jako celku.<\/p>\n
N\u00e1klady<\/h4>\n \nPokud jde o n\u00e1klady, jako tomu b\u00fdv\u00e1 u v\u011bt\u0161iny IT \u0159e\u0161en\u00ed, je rozumn\u00e9 porovn\u00e1vat celkov\u00e9 n\u00e1klady na vlastnictv\u00ed. Pro jejich v\u00fdpo\u010det nen\u00ed nutn\u00e9 vym\u00fd\u0161let kolo, sta\u010d\u00ed pou\u017e\u00edt jakoukoli vhodnou metodiku (nap\u0159\u00edklad od spole\u010dnosti Gartner) a jak\u00fdkoli kalkul\u00e1tor (nap\u0159\u00edklad ten, kter\u00fd ji\u017e organizace pou\u017e\u00edv\u00e1 pro v\u00fdpo\u010det TCO). Je jasn\u00e9, \u017ee u \u0159e\u0161en\u00ed pro \u0161ifrov\u00e1n\u00ed s\u00edt\u00ed se celkov\u00e9 n\u00e1klady na vlastnictv\u00ed skl\u00e1daj\u00ed z p\u0159\u00edm\u00fdch<\/b> n\u00e1klad\u016f na po\u0159\u00edzen\u00ed nebo pron\u00e1jem samotn\u00e9ho \u0159e\u0161en\u00ed, na infrastrukturu pro um\u00edst\u011bn\u00ed vybaven\u00ed a v\u00fddaj\u016f na nasazen\u00ed, administraci a \u00fadr\u017ebu (bez ohledu na to, zda vlastn\u00edmi silami nebo jako slu\u017eby t\u0159et\u00ed strany), stejn\u011b jako z nep\u0159\u00edm\u00fdch<\/b> n\u00e1klad\u016f na prostoje \u0159e\u0161en\u00ed (zp\u016fsoben\u00fdch ztr\u00e1tou produktivity koncov\u00fdch u\u017eivatel\u016f). Snad existuje pouze jedna jemnost. Dopad v\u00fdkonu \u0159e\u0161en\u00ed lze zohlednit r\u016fzn\u00fdmi zp\u016fsoby: bu\u010f jako nep\u0159\u00edm\u00e9 n\u00e1klady zp\u016fsoben\u00e9 poklesem produktivity, nebo jako \u201evirtu\u00e1ln\u00ed\u201c p\u0159\u00edm\u00e9 n\u00e1klady na n\u00e1kup\/modernizaci a \u00fadr\u017ebu s\u00ed\u0165ov\u00fdch prost\u0159edk\u016f, kter\u00e9 kompenzuj\u00ed pokles v\u00fdkonu s\u00edt\u011b v d\u016fsledku pou\u017eit\u00ed \u0161ifrov\u00e1n\u00ed. V ka\u017ed\u00e9m p\u0159\u00edpad\u011b je nejlep\u0161\u00ed \u201evy\u0159adit z v\u00fdpo\u010dtu\u201c n\u00e1klady, kter\u00e9 se obt\u00ed\u017en\u011b p\u0159esn\u011b spo\u010d\u00edtaj\u00ed: t\u00edm se zv\u00fd\u0161\u00ed d\u016fv\u011bra v kone\u010dn\u00fd v\u00fdsledek. A, jak je obvykl\u00e9, porovn\u00e1n\u00ed r\u016fzn\u00fdch za\u0159\u00edzen\u00ed podle TCO m\u00e1 smysl prov\u00e1d\u011bt pro konkr\u00e9tn\u00ed sc\u00e9n\u00e1\u0159 jejich pou\u017eit\u00ed \u2013 skute\u010dn\u00fd nebo typick\u00fd.<\/p>\nOdolnost<\/h4>\n
\nA posledn\u00ed charakteristikou je odolnost \u0159e\u0161en\u00ed. V\u011bt\u0161inou lze odolnost hodnotit pouze kvalitativn\u011b, porovn\u00e1v\u00e1n\u00edm r\u016fzn\u00fdch \u0159e\u0161en\u00ed mezi sebou. Mus\u00edme m\u00edt na pam\u011bti, \u017ee \u0161ifrovac\u00ed za\u0159\u00edzen\u00ed nejsou pouze prost\u0159edkem, ale tak\u00e9 objektem ochrany. Mohou b\u00fdt vystavena r\u016fzn\u00fdm hrozb\u00e1m. Na prvn\u00edm m\u00edst\u011b jsou hrozby naru\u0161en\u00ed d\u016fv\u011brnosti, reprodukce a modifikace zpr\u00e1v. Tyto hrozby mohou b\u00fdt realizov\u00e1ny prost\u0159ednictv\u00edm zranitelnost\u00ed \u0161ifrovac\u00edho algoritmu nebo jeho jednotliv\u00fdch re\u017eim\u016f, prost\u0159ednictv\u00edm zranitelnost\u00ed v \u0161ifrovac\u00edch protokolech (v\u010detn\u011b f\u00e1z\u00ed navazov\u00e1n\u00ed spojen\u00ed a generov\u00e1n\u00ed\/distribuce kl\u00ed\u010d\u016f). V\u00fdhodu budou m\u00edt \u0159e\u0161en\u00ed, kter\u00e1 umo\u017e\u0148uj\u00ed zm\u011bnu \u0161ifrovac\u00edho algoritmu nebo p\u0159epnut\u00ed re\u017eimu \u0161ifrov\u00e1n\u00ed (alespo\u0148 prost\u0159ednictv\u00edm aktualizace firmwaru), \u0159e\u0161en\u00ed, kter\u00e1 zaji\u0161\u0165uj\u00ed co nej\u00fapln\u011bj\u0161\u00ed \u0161ifrov\u00e1n\u00ed, skr\u00fdvaj\u00edc\u00ed p\u0159ed \u00fato\u010dn\u00edkem nejen u\u017eivatelsk\u00e1 data, ale tak\u00e9 adresn\u00ed a dal\u0161\u00ed servisn\u00ed informace, a tak\u00e9 ta \u0159e\u0161en\u00ed, kter\u00e1 nejen \u0161ifruj\u00ed, ale tak\u00e9 chr\u00e1n\u00ed zpr\u00e1vy p\u0159ed reprodukc\u00ed a modifikac\u00ed. Pro v\u0161echny modern\u00ed \u0161ifrovac\u00ed algoritmy, elektronick\u00e9 podpisy, generov\u00e1n\u00ed kl\u00ed\u010d\u016f a dal\u0161\u00ed, kter\u00e9 jsou zakotveny ve standardech, lze pova\u017eovat odolnost za stejnou (jinak se m\u016f\u017eete jednodu\u0161e ztratit v d\u017eungli kryptografie). Mus\u00ed to b\u00fdt nutn\u011b algoritmy GOST? Tady je to jednoduch\u00e9: pokud sc\u00e9n\u00e1\u0159 pou\u017eit\u00ed vy\u017eaduje certifikaci FSB pro SKZI (a v Rusku je to v\u011bt\u0161inou tak), pro v\u011bt\u0161inu sc\u00e9n\u00e1\u0159\u016f s\u00ed\u0165ov\u00e9ho \u0161ifrov\u00e1n\u00ed je to tak), pak si vyb\u00edr\u00e1me pouze mezi certifikovan\u00fdmi. Pokud ne, pak nem\u00e1 smysl vylu\u010dovat za\u0159\u00edzen\u00ed bez certifik\u00e1t\u016f z \u00favahy.<\/p>\n
Jinou hrozbou je hrozba hacknut\u00ed, neopr\u00e1vn\u011bn\u00e9ho p\u0159\u00edstupu k za\u0159\u00edzen\u00ed (v\u010detn\u011b fyzick\u00e9ho p\u0159\u00edstupu zvenku a vnit\u0159n\u00ed \u010d\u00e1sti pouzdra). Hrozba se m\u016f\u017ee realizovat prost\u0159ednictv\u00edm
Nakonec dal\u0161\u00edm typem hrozeb jsou chyby p\u0159i nastaven\u00ed a provozu, \u010dist\u011b lidsk\u00fd faktor. Zde se projevuje dal\u0161\u00ed v\u00fdhoda specializovan\u00fdch \u0161ifrovac\u00edch za\u0159\u00edzen\u00ed oproti konvergentn\u00edm \u0159e\u0161en\u00edm, kter\u00e1 jsou \u010dasto zam\u011b\u0159ena na zku\u0161en\u00e9 's\u00ed\u0165a\u0159e', a mohou vyvol\u00e1vat pot\u00ed\u017ee u 'b\u011b\u017en\u00fdch', \u0161iroce specializovan\u00fdch odborn\u00edk\u016f na informa\u010dn\u00ed bezpe\u010dnost.<\/p>\n
Shrnut\u00ed<\/h4>\n \nPrincipi\u00e1ln\u011b by bylo mo\u017en\u00e9 navrhnout jak\u00fdsi integrovan\u00fd ukazatel pro porovn\u00e1n\u00ed r\u016fzn\u00fdch za\u0159\u00edzen\u00ed, n\u011bco jako<\/p>\n
$$display$$K_j=\u2211p_i r_{ij}$$display$$<\/p>\n
\nkde p \u2013 v\u00e1ha ukazatele a r \u2013 rang za\u0159\u00edzen\u00ed podle tohoto ukazatele, p\u0159i\u010dem\u017e jakoukoli z v\u00fd\u0161e uveden\u00fdch vlastnost\u00ed lze rozd\u011blit na 'atom\u00e1rn\u00ed' ukazatele. Takov\u00fd vzorec by mohl b\u00fdt u\u017eite\u010dn\u00fd nap\u0159\u00edklad p\u0159i porovn\u00e1v\u00e1n\u00ed nab\u00eddek podle p\u0159edem dohodnut\u00fdch pravidel. Ale vysta\u010d\u00edme si tak\u00e9 s jednoduchou tabulkou typu<\/p>\n
Vlastnosti
\u0160\u00ed\u0159ka p\u00e1sma
+++<\/p>\n
Nep\u0159\u00edm\u00e9 n\u00e1klady
+++<\/p>\n
Zpo\u017ed\u011bn\u00ed
++<\/p>\n
\u0160k\u00e1lovatelnost
+++<\/p>\n
Flexibilita
+<\/p>\n
Interoperabilita
+<\/p>\n
Kompatibilita
+++<\/p>\n
Jednoduchost a pohodl\u00ed
++<\/p>\n
Odolnost proti v\u00fdpadk\u016fm
++<\/p>\n
N\u00e1klady
+<\/p>\n
Odolnost
+++<\/p>\n
\nR\u00e1d odpov\u00edm na ot\u00e1zky a konstruktivn\u00ed kritick\u00e9 pozn\u00e1mky.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u042d\u0442\u043e\u0442 \u043e\u0431\u0437\u043e\u0440 (\u0438\u043b\u0438, \u0435\u0441\u043b\u0438 \u0445\u043e\u0442\u0438\u0442\u0435, \u0440\u0443\u043a\u043e\u0432\u043e\u0434\u0441\u0442\u0432\u043e \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f) \u044f \u043d\u0430\u043f\u0438\u0441\u0430\u043b, \u043a\u043e\u0433\u0434\u0430 \u043c\u043d\u0435 \u043f\u043e\u0440\u0443\u0447\u0438\u043b\u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432 \u0440\u0430\u0437\u043d\u044b\u0445 \u0432\u0435\u043d\u0434\u043e\u0440\u043e\u0432. \u041a \u0442\u043e\u043c\u0443 \u0436\u0435 \u044d\u0442\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043f\u0440\u0438\u043d\u0430\u0434\u043b\u0435\u0436\u0430\u043b\u0438 \u043a \u0440\u0430\u0437\u043d\u044b\u043c \u043a\u043b\u0430\u0441\u0441\u0430\u043c. \u041f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u0438 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0441\u0442\u0438\u043a\u0430\u0445 \u0432\u0441\u0435\u0445 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432 \u0438 \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u00ab\u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u043a\u043e\u043e\u0440\u0434\u0438\u043d\u0430\u0442\u00bb \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f. \u042f \u0431\u0443\u0434\u0443 \u0440\u0430\u0434, \u0435\u0441\u043b\u0438 \u043c\u043e\u0439 \u043e\u0431\u0437\u043e\u0440 \u043f\u043e\u043c\u043e\u0436\u0435\u0442 \u043a\u043e\u043c\u0443-\u0442\u043e: \u0420\u0430\u0437\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u0432 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52834","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t