VPN<\/a> vagy an\u00e9lk\u00fcl.<\/p>\nH\u00e1l\u00f3zati titkos\u00edt\u00e1s elosztott Ethernet h\u00e1l\u00f3zaton<\/i><\/p>\n
Maguk az eszk\u00f6z\u00f6k lehetnek specializ\u00e1ltak<\/b> (kiz\u00e1r\u00f3lag titkos\u00edt\u00e1sra tervezettek), vagy multifunkcion\u00e1lisak (hibrid, konvergens<\/b>), azaz tov\u00e1bbi funkci\u00f3kat is ell\u00e1tnak (p\u00e9ld\u00e1ul t\u0171zfal vagy router). K\u00fcl\u00f6nb\u00f6z\u0151 gy\u00e1rt\u00f3k saj\u00e1t eszk\u00f6zeiket k\u00fcl\u00f6nb\u00f6z\u0151 oszt\u00e1lyokba\/kateg\u00f3ri\u00e1kba sorolj\u00e1k, de ez l\u00e9nyegtelen \u2013 a fontos az, hogy k\u00e9pesek-e titkos\u00edtani a helysz\u00ednek k\u00f6z\u00f6tti forgalmat, \u00e9s hogy milyen jellemz\u0151kkel rendelkeznek ezen a t\u00e9ren.<\/p>\n
Mindenesetre eml\u00e9keztetlek, hogy a \u201eh\u00e1l\u00f3zati titkos\u00edt\u00e1s\u201d, a \u201eforgalom titkos\u00edt\u00e1sa\u201d, a \u201etitkos\u00edt\u00f3\u201d kifejez\u00e9sek inform\u00e1lisak, b\u00e1r gyakran haszn\u00e1lj\u00e1k \u0151ket. Az orosz szab\u00e1lyoz\u00e1sokban (bele\u00e9rtve a GOST-ok bevezet\u00e9s\u00e9vel kapcsolatosakat is) val\u00f3sz\u00edn\u0171leg nem fogsz vel\u00fck tal\u00e1lkozni.<\/p>\n
Titkos\u00edt\u00e1si szintek \u00e9s adat\u00e1tviteli m\u00f3dok<\/h4>\n \nMiel\u0151tt r\u00e1t\u00e9rn\u00e9nk a jellemz\u0151k le\u00edr\u00e1s\u00e1ra, amelyeket az \u00e9rt\u00e9kel\u00e9shez fogunk haszn\u00e1lni, el\u0151sz\u00f6r is egy fontos dologgal kell foglalkozni, nevezetesen a \u201etitkos\u00edt\u00e1si szinttel\u201d. Megfigyeltem, hogy ezt gyakran eml\u00edtik a gy\u00e1rt\u00f3k hivatalos dokumentumaiban (le\u00edr\u00e1sok, \u00fatmutat\u00f3k stb.), valamint inform\u00e1lis megbesz\u00e9l\u00e9seken (t\u00e1rgyal\u00e1sokon, k\u00e9pz\u00e9seken). \u00dagy t\u0171nik, mindenki tudja, mir\u0151l van sz\u00f3, de szem\u00e9lyesen tan\u00faja voltam n\u00e9mi z\u0171rzavarnak.<\/p>\n
Teh\u00e1t mi is az a \u201etitkos\u00edt\u00e1si szint\u201d? Nyilv\u00e1nval\u00f3, hogy az OSI\/ISO referencia h\u00e1l\u00f3zati modell szintsz\u00e1m\u00e1r\u00f3l van sz\u00f3, ahol a titkos\u00edt\u00e1s zajlik. Olvassuk el a GOST R ISO 7498-2\u201399 \u201eInform\u00e1ci\u00f3s technol\u00f3gia. Nyitott rendszerek k\u00f6lcs\u00f6nhat\u00e1sa. Alapvet\u0151 referencia modell. 2. r\u00e9sz. Inform\u00e1ci\u00f3v\u00e9delmi architekt\u00fara\u201d dokumentumot. Ebb\u0151l a dokumentumb\u00f3l vil\u00e1goss\u00e1 v\u00e1lik, hogy a titkoss\u00e1gi szolg\u00e1ltat\u00e1s szintje (amelynek egyik mechanizmusa pontosan a titkos\u00edt\u00e1s) \u2013 az a protokoll szint, amelynek adatblokkja (\u201ehasznos terhel\u00e9s\u201d, felhaszn\u00e1l\u00f3i adatok) titkos\u00edtva van. Amint a szabv\u00e1nyban is meg van \u00edrva, a szolg\u00e1ltat\u00e1s ilyen szinten \u201esaj\u00e1t er\u0151b\u0151l\u201d is biztos\u00edthat\u00f3, \u00e9s az als\u00f3 szinten kereszt\u00fcl is (p\u00e9ld\u00e1ul a MACsec eset\u00e9ben gyakran \u00edgy val\u00f3s\u00edtj\u00e1k meg).<\/p>\n
A gyakorlatban k\u00e9t m\u00f3dja van a titkos\u00edtott adatok h\u00e1l\u00f3zaton kereszt\u00fcli \u00e1tvitel\u00e9nek (az IPsec jut eszembe, de ezek a m\u00f3dok m\u00e1s protokollokn\u00e1l is el\u0151fordulnak). A<\/b> sz\u00e1ll\u00edt\u00e1si (n\u00e9ha nat\u00edv m\u00f3dnak is h\u00edvj\u00e1k) m\u00f3dban csak a<\/b> szolg\u00e1ltat\u00e1si adatblokk titkos\u00edt\u00f3dik, m\u00edg a fejl\u00e9cek \u201enyitva\u201d maradnak, azaz nincsenek titkos\u00edtva (n\u00e9ha tov\u00e1bbi mez\u0151k ker\u00fclnek hozz\u00e1ad\u00e1sra a titkos\u00edt\u00e1si algoritmus szolg\u00e1ltat\u00e1si inform\u00e1ci\u00f3ival, \u00e9s egyes mez\u0151k m\u00f3dos\u00edt\u00f3dnak, \u00fajrasz\u00e1m\u00edt\u00f3dnak). A<\/b> alag\u00fatm\u00f3dban azonban az eg\u00e9sz<\/b> protokoll adatblokk (teh\u00e1t maga a csomag) titkos\u00edtva van, \u00e9s be\u00e1gyaz\u00f3dik az azonos vagy magasabb szint\u0171 adatblokkba, azaz \u00faj fejl\u00e9cekkel keretezik.<\/p>\n
A titkos\u00edt\u00e1si szint \u00f6nmag\u00e1ban, egy adott \u00e1tvitel \u00fczemm\u00f3ddal egy\u00fctt sem j\u00f3, sem rossz, \u00edgy nem \u00e1ll\u00edthat\u00f3, hogy p\u00e9ld\u00e1ul az L3 \u00e1tvitel \u00fczemm\u00f3dban jobb, mint az L2 alag\u00fat \u00fczemm\u00f3dban. Egyszer\u0171en sok jellemz\u0151 f\u00fcgg t\u0151l\u00fck, amelyek alapj\u00e1n az eszk\u00f6z\u00f6ket \u00e9rt\u00e9kelik. P\u00e9ld\u00e1ul a rugalmass\u00e1g \u00e9s a kompatibilit\u00e1s. Az L1 (bitfolyam tov\u00e1bb\u00edt\u00e1sa), L2 (keretek kapcsol\u00e1sa) \u00e9s L3 (csomagok ir\u00e1ny\u00edt\u00e1sa) h\u00e1l\u00f3zati m\u0171k\u00f6d\u00e9s\u00e9hez olyan megold\u00e1sok sz\u00fcks\u00e9gesek, amelyek azonos vagy magasabb szinten titkos\u00edtanak (k\u00fcl\u00f6nben a c\u00edmadatok titkos\u00edtva lesznek, \u00e9s az adatok nem jutnak el a c\u00e9lhelyre), m\u00edg az alag\u00fat \u00fczemm\u00f3d lehet\u0151v\u00e9 teszi ennek a korl\u00e1toz\u00e1snak a megker\u00fcl\u00e9s\u00e9t (igaz, m\u00e1s fontos jellemz\u0151k rov\u00e1s\u00e1ra).<\/p>\n
L2 titkos\u00edt\u00e1si \u00fczemm\u00f3dok: \u00e1tvitel \u00e9s alag\u00fat<\/i><\/p>\n
Most n\u00e9zz\u00fck meg a jellemz\u0151k r\u00e9szleteit.<\/p>\n
Teljes\u00edtm\u00e9ny<\/h4>\n \nH\u00e1l\u00f3zati titkos\u00edt\u00e1s szempontj\u00e1b\u00f3l a teljes\u00edtm\u00e9ny egy komplex, t\u00f6bbdimenzi\u00f3s fogalom. El\u0151fordulhat, hogy egy adott modell egy teljes\u00edtm\u00e9nyjellemz\u0151ben jobb, mint a m\u00e1sikban, de a m\u00e1sikban gyeng\u00e9bben teljes\u00edt. Ez\u00e9rt mindig hasznos figyelembe venni a titkos\u00edt\u00e1s teljes\u00edtm\u00e9ny\u00e9nek \u00f6sszetev\u0151it \u00e9s azok hat\u00e1s\u00e1t a h\u00e1l\u00f3zati teljes\u00edtm\u00e9nyre \u00e9s a h\u00e1l\u00f3zatot haszn\u00e1l\u00f3 alkalmaz\u00e1sokra. Itt hasonl\u00f3 p\u00e1rhuzamot lehet vonni egy aut\u00f3val, ahol nemcsak a maxim\u00e1lis sebess\u00e9g fontos, hanem a 100 km\/h-ra val\u00f3 gyorsul\u00e1si id\u0151, az \u00fczemanyag-fogyaszt\u00e1s \u00e9s \u00edgy tov\u00e1bb. A gy\u00e1rt\u00f3k \u00e9s potenci\u00e1lis megrendel\u0151ik nagy figyelmet ford\u00edtanak a teljes\u00edtm\u00e9ny jellemz\u0151ire. \u00c1ltal\u00e1ban a teljes\u00edtm\u00e9ny szerint rangsorolnak a gy\u00e1rt\u00f3k titkos\u00edt\u00f3 eszk\u00f6z\u00f6inek term\u00e9kpalett\u00e1j\u00e1n.<\/p>\n
Nyilv\u00e1nval\u00f3, hogy a teljes\u00edtm\u00e9ny f\u00fcgg a k\u00e9sz\u00fcl\u00e9ken v\u00e9gzett h\u00e1l\u00f3zati \u00e9s kriptogr\u00e1fiai m\u0171veletek bonyolults\u00e1g\u00e1t\u00f3l (bele\u00e9rtve, hogy mennyire k\u00f6nnyen p\u00e1rhuzamos\u00edthat\u00f3k \u00e9s cs\u0151be \u00e1ll\u00edthat\u00f3k ezek a feladatok), valamint a hardver teljes\u00edtm\u00e9ny\u00e9t\u0151l \u00e9s a be\u00e9p\u00edtett szoftver min\u0151s\u00e9g\u00e9t\u0151l. Ez\u00e9rt a magasabb modellv\u00e1ltozatokban er\u0151sebb \"vasat\" haszn\u00e1lnak, \u00e9s n\u00e9ha lehet\u0151s\u00e9g van tov\u00e1bbi processzorokkal \u00e9s mem\u00f3riamodulokkal b\u0151v\u00edteni a rendszert. K\u00fcl\u00f6nb\u00f6z\u0151 megk\u00f6zel\u00edt\u00e9sek l\u00e9teznek a kriptogr\u00e1fiai funkci\u00f3k megval\u00f3s\u00edt\u00e1s\u00e1ra: az \u00e1ltal\u00e1nos k\u00f6zponti processzoron (CPU), speci\u00e1lis, egyedi integr\u00e1lt \u00e1ramk\u00f6rben (ASIC) vagy programozhat\u00f3 logikai integr\u00e1lt \u00e1ramk\u00f6rben (FPGA). Minden megk\u00f6zel\u00edt\u00e9snek megvannak a maga el\u0151nyei \u00e9s h\u00e1tr\u00e1nyai. P\u00e9ld\u00e1ul a CPU a titkos\u00edt\u00e1s \"palacknyaka\" lehet, k\u00fcl\u00f6n\u00f6sen akkor, ha a processzor nem rendelkezik a titkos\u00edt\u00e1si algoritmusok t\u00e1mogat\u00e1s\u00e1hoz sz\u00fcks\u00e9ges speci\u00e1lis utas\u00edt\u00e1sokkal (vagy ha ezeket nem alkalmazz\u00e1k). A speci\u00e1lis mikrosch\u00e9m\u00e1k hi\u00e1nyolj\u00e1k a rugalmass\u00e1got, \u00e9s nem mindig lehet \u0151ket \"\u00fajraprogramozni\" a teljes\u00edtm\u00e9ny jav\u00edt\u00e1sa, \u00faj funkci\u00f3k hozz\u00e1ad\u00e1sa vagy sebezhet\u0151s\u00e9gek megsz\u00fcntet\u00e9se \u00e9rdek\u00e9ben. Ezen k\u00edv\u00fcl csak nagy mennyis\u00e9g\u0171 gy\u00e1rt\u00e1s eset\u00e9n v\u00e1lnak gazdas\u00e1goss\u00e1. Ez\u00e9rt lett annyira n\u00e9pszer\u0171 a \"k\u00f6zepes megold\u00e1s\" - az FPGA (magyarul PLI) alkalmaz\u00e1sa. A PLI-n k\u00e9sz\u00fcltek az \u00fagynevezett kripto-gyors\u00edt\u00f3k - be\u00e9p\u00edtett vagy csatlakoztathat\u00f3, speci\u00e1lis hardveres modulok a kriptogr\u00e1fiai m\u0171veletek t\u00e1mogat\u00e1s\u00e1ra.<\/p>\n
Mivel \u00e9ppen h\u00e1l\u00f3zati<\/b> titkos\u00edt\u00e1sr\u00f3l van sz\u00f3, logikus, hogy a megold\u00e1sok teljes\u00edtm\u00e9ny\u00e9t azonos m\u00e9rt\u00e9kegys\u00e9gekben kell m\u00e9rni, mint m\u00e1s h\u00e1l\u00f3zati eszk\u00f6z\u00f6k\u00e9t - s\u00e1vsz\u00e9less\u00e9g, csomagvesztes\u00e9gi ar\u00e1ny (frame loss) \u00e9s k\u00e9sleltet\u00e9s (latency). Ezek az \u00e9rt\u00e9kek az RFC 1242-ben vannak meghat\u00e1rozva. Egy\u00e9bk\u00e9nt, a k\u00e9sleltet\u00e9s vari\u00e1ci\u00f3j\u00e1r\u00f3l (jitter) gyakran eml\u00edtett inform\u00e1ci\u00f3k az RFC-ben nincsenek megeml\u00edtve. Hogyan m\u00e9rj\u00fck ezeket az \u00e9rt\u00e9keket? Semmilyen hivatalos (vagy nem hivatalos, mint az RFC) szabv\u00e1nyban nem tal\u00e1ltam kifejezetten h\u00e1l\u00f3zati titkos\u00edt\u00e1sra kidolgozott m\u00f3dszert. Logikus lenne a h\u00e1l\u00f3zati eszk\u00f6z\u00f6kre vonatkoz\u00f3 RFC 2544-ben r\u00f6gz\u00edtett m\u00f3dszert haszn\u00e1lni. Sokan k\u00f6vetik ezt, de nem mindenki. P\u00e9ld\u00e1ul tesztforgalmat csak egy ir\u00e1nyba bocs\u00e1tanak ki ahelyett, hogy mindk\u00e9t ir\u00e1nyba, ahogyan azt aj\u00e1nlott<\/b> a szabv\u00e1ny el\u0151\u00edrja. Na de ez m\u00e1r mindegy.<\/p>\n
A h\u00e1l\u00f3zati titkos\u00edt\u00f3eszk\u00f6z\u00f6k teljes\u00edtm\u00e9ny\u00e9nek m\u00e9r\u00e9s\u00e9nek vannak saj\u00e1toss\u00e1gai. El\u0151sz\u00f6r is, helyes az \u00f6sszes m\u00e9r\u00e9st egy p\u00e1r eszk\u00f6zre v\u00e9gezni: noha a titkos\u00edt\u00e1si algoritmusok szimmetrikusak, a k\u00e9s\u00e9sek \u00e9s a csomagvesztes\u00e9gek titkos\u00edt\u00e1sn\u00e1l \u00e9s visszafejt\u00e9sn\u00e9l nem felt\u00e9tlen\u00fcl lesznek egyenl\u0151ek. M\u00e1sodszor, \u00e9rdemes kifejezetten a delta m\u00e9r\u00e9se, a h\u00e1l\u00f3zati titkos\u00edt\u00e1s hat\u00e1sa a v\u00e9gs\u0151 teljes\u00edtm\u00e9nyre, \u00f6sszehasonl\u00edtva k\u00e9t konfigur\u00e1ci\u00f3t: titkos\u00edt\u00f3eszk\u00f6z\u00f6k n\u00e9lk\u00fcl \u00e9s azokkal. Vagy, ahogy a hibrid eszk\u00f6z\u00f6kn\u00e9l van, amelyek t\u00f6bb funkci\u00f3t \u00f6tv\u00f6znek a h\u00e1l\u00f3zati titkos\u00edt\u00e1son k\u00edv\u00fcl, titkos\u00edt\u00e1s ki- \u00e9s bekapcsolt \u00e1llapot\u00e1ban. Ez a hat\u00e1s v\u00e1ltoz\u00f3 lehet, \u00e9s f\u00fcgg a titkos\u00edt\u00f3eszk\u00f6z\u00f6k csatlakoz\u00e1si s\u00e9m\u00e1j\u00e1t\u00f3l, a m\u0171k\u00f6d\u00e9si m\u00f3dokt\u00f3l, v\u00e9g\u00fcl pedig a forgalom jelleg\u00e9t\u0151l. K\u00fcl\u00f6n\u00f6sen sz\u00e1mos teljes\u00edtm\u00e9nyparam\u00e9ter f\u00fcgg a csomagok hossz\u00e1t\u00f3l, ez\u00e9rt a k\u00fcl\u00f6nb\u00f6z\u0151 megold\u00e1sok teljes\u00edtm\u00e9ny\u00e9nek \u00f6sszehasonl\u00edt\u00e1s\u00e1ra gyakran grafikonokat haszn\u00e1lnak, amelyek azt mutatj\u00e1k, hogy ezek a param\u00e9terek hogyan f\u00fcggnek a csomagok hossz\u00e1t\u00f3l, vagy IMIX-et haszn\u00e1lnak - a forgalom eloszl\u00e1s\u00e1t csomaghossz alapj\u00e1n, ami nagyj\u00e1b\u00f3l a val\u00f3sat t\u00fckr\u00f6zi. Ha ugyanazt az alapkonfigur\u00e1ci\u00f3t vessz\u00fck forr\u00e1zk\u00e9nt, titkos\u00edt\u00e1s n\u00e9lk\u00fcl, akkor \u00f6ssze tudjuk hasonl\u00edtani a k\u00fcl\u00f6nb\u00f6z\u0151, formailag elt\u00e9r\u0151 megold\u00e1sokat a h\u00e1l\u00f3zati titkos\u00edt\u00e1sra an\u00e9lk\u00fcl, hogy ezekbe a k\u00fcl\u00f6nbs\u00e9gekbe m\u00e9lyebben belemer\u00fcln\u00e9nk: L2 \u00e9s L3, \u201et\u00e1rolj-\u00e9s-tov\u00e1bb\u00edts\u201d (store-and-forward) \u00e9s v\u00e1gott \u00e1tvitel (cut-through), szakos\u00edtott vs. konverg\u00e1lt, GOST \u00e9s AES, \u00e9s \u00edgy tov\u00e1bb.<\/p>\n
A teljes\u00edtm\u00e9nytesztel\u00e9s csatlakoz\u00e1si s\u00e9m\u00e1ja<\/i><\/p>\n
Az els\u0151 jellemz\u0151, amire figyelni kell, a titkos\u00edt\u00f3eszk\u00f6z \"sebess\u00e9ge\", azaz s\u00e1vsz\u00e9less\u00e9g<\/b> (bandwidth) a h\u00e1l\u00f3zati interf\u00e9szein, a bitfolyam sebess\u00e9ge. Ezt a h\u00e1l\u00f3zati szabv\u00e1nyok hat\u00e1rozz\u00e1k meg, amelyek t\u00e1mogatottak az interf\u00e9szek \u00e1ltal. Ethernet eset\u00e9n a szok\u00e1sos sz\u00e1mok 1 Gbit\/s \u00e9s 10 Gbit\/s. De, ahogy tudjuk, b\u00e1rmilyen h\u00e1l\u00f3zatban a maxim\u00e1lis elm\u00e9leti \u00e1tviteli kapacit\u00e1s<\/b> (\u00e1th\u00e1ram) mindegyik szintj\u00e9n mindig alacsonyabb, mint a s\u00e1vsz\u00e9less\u00e9g: a s\u00e1vsz\u00e9less\u00e9g egy r\u00e9sze \u201emegeszi\u201d a keretk\u00f6zi id\u0151ket, a c\u00edmeket \u00e9s \u00edgy tov\u00e1bb. Ha az eszk\u00f6z k\u00e9pes fogadni, feldolgozni (jelen esetben titkos\u00edtani vagy visszafejteni) \u00e9s tov\u00e1bb\u00edtani a forgalmat a h\u00e1l\u00f3zati interf\u00e9sz teljes sebess\u00e9g\u00e9n, azaz a h\u00e1l\u00f3zati modell szintj\u00e9n maxim\u00e1lis elm\u00e9leti kapacit\u00e1ssal, akkor azt mondj\u00e1k, hogy az eszk\u00f6z m\u0171k\u00f6dik vonalsebess\u00e9ggel<\/b>. Ehhez az sz\u00fcks\u00e9ges, hogy az eszk\u00f6z ne vesz\u00edtsen, ne dobjon el csomagokat, b\u00e1rmilyen m\u00e9retben \u00e9s b\u00e1rmilyen k\u00f6vet\u00e9si frekvenci\u00e1val. Ha a titkos\u00edt\u00f3 eszk\u00f6z nem t\u00e1mogatja a vonalsebess\u00e9get, \u00e1ltal\u00e1ban a maxim\u00e1lis s\u00e1vsz\u00e9less\u00e9g\u00e9t gigabitben adj\u00e1k meg m\u00e1sodpercenk\u00e9nt (n\u00e9ha a csomagok hossz\u00fas\u00e1g\u00e1val egy\u00fctt - min\u00e9l r\u00f6videbbek a csomagok, ann\u00e1l \u00e1ltal\u00e1ban alacsonyabb a s\u00e1vsz\u00e9less\u00e9g). Nagyon fontos meg\u00e9rteni, hogy a maxim\u00e1lis s\u00e1vsz\u00e9less\u00e9g a maxim\u00e1lis vesztes\u00e9gmentes<\/b> (m\u00e9g akkor is, ha az eszk\u00f6z k\u00e9pes \u201e\u00e1tpump\u00e1lni\u201d a forgalmat nagyobb sebess\u00e9ggel, de k\u00f6zben csomagokat vesz\u00edt). Ezen k\u00edv\u00fcl figyelni kell arra is, hogy egyes gy\u00e1rt\u00f3k az \u00f6sszes portp\u00e1r k\u00f6z\u00f6tti \u00f6sszes\u00edtett s\u00e1vsz\u00e9less\u00e9get m\u00e9rik, \u00edgy ezek a sz\u00e1mok nem sokat mondanak, ha az \u00f6sszes titkos\u00edtott forgalom egyetlen porton kereszt\u00fcl megy.<\/p>\n
Hol k\u00fcl\u00f6n\u00f6sen fontos a vonalsebess\u00e9g (m\u00e1s n\u00e9ven csomagveszt\u00e9s n\u00e9lk\u00fcli m\u0171k\u00f6d\u00e9s)? Magas s\u00e1vsz\u00e9less\u00e9g\u0171 \u00e9s nagy k\u00e9sleltet\u00e9s\u0171 csatorn\u00e1kban (p\u00e9ld\u00e1ul m\u0171holdas) ahol a magas \u00e1tviteli sebess\u00e9g fenntart\u00e1sa \u00e9rdek\u00e9ben nagy TCP ablakm\u00e9retet kell be\u00e1ll\u00edtani, \u00e9s ahol a csomagveszt\u00e9s drasztikusan cs\u00f6kkenti a h\u00e1l\u00f3zat teljes\u00edtm\u00e9ny\u00e9t.<\/p>\n
De nem minden s\u00e1vsz\u00e9less\u00e9g haszn\u00e1lhat\u00f3 hasznos adatok tov\u00e1bb\u00edt\u00e1s\u00e1ra. Figyelembe kell venni a \u00fagynevezett t\u00f6bbletk\u00f6lts\u00e9geket<\/b> (overhead) \u00e1tvitel. Ez az eszk\u00f6z titkos\u00edt\u00e1s\u00e1nak \u00e1tvitel\u00e9nek (sz\u00e1zal\u00e9kban vagy b\u00e1jtban) azon r\u00e9sze, amely val\u00f3j\u00e1ban elveszik (nem haszn\u00e1lhat\u00f3 az alkalmaz\u00e1si adatok tov\u00e1bb\u00edt\u00e1s\u00e1ra). Az \u00e1tvitel els\u0151sorban a titkos\u00edtott h\u00e1l\u00f3zati csomagok adatmez\u0151j\u00e9nek m\u00e9ret\u00e9nek n\u00f6veked\u00e9s\u00e9b\u0151l (kieg\u00e9sz\u00edt\u00e9sek, \u201ep\u00e1rn\u00e1z\u00e1s\u201d) ered, ami a titkos\u00edt\u00e1si algoritmust\u00f3l \u00e9s m\u0171k\u00f6d\u00e9si m\u00f3dj\u00e1t\u00f3l f\u00fcgg. M\u00e1sodszor, a csomagok fejl\u00e9ceinek hossz\u00e1nak emelked\u00e9s\u00e9b\u0151l (alag\u00fat \u00fczemm\u00f3d, titkos\u00edt\u00f3 protokoll szolg\u00e1ltat\u00f3i besz\u00far\u00e1sa, hamis\u00edtv\u00e1nyos besz\u00far\u00e1s stb., a protokollt\u00f3l \u00e9s a titkos\u00edt\u00e1si m\u00f3d m\u0171k\u00f6d\u00e9s\u00e9t\u0151l f\u00fcgg\u0151en) - \u00e1ltal\u00e1ban ezek az \u00e1tvitel jelent\u0151s r\u00e9sz\u00e9t k\u00e9pezik, \u00e9s ezekre figyelnek el\u0151sz\u00f6r. Harmadszor, a csomagok fragment\u00e1ci\u00f3j\u00e1b\u00f3l, ha a maxim\u00e1lis adatlengyelet (MTU) meghaladja (ha a h\u00e1l\u00f3zat k\u00e9pes a MTU-t meghalad\u00f3 csomagot k\u00e9t r\u00e9szre bontani, megkett\u00f6zve annak fejl\u00e9ceit). Negyedszer, a titkos\u00edt\u00f3 eszk\u00f6z\u00f6k k\u00f6z\u00f6tti kieg\u00e9sz\u00edt\u0151 szolg\u00e1ltat\u00f3i (ellen\u0151rz\u0151) forgalomb\u00f3l (kulcsok cser\u00e9j\u00e9re, alagutak l\u00e9trehoz\u00e1s\u00e1ra stb.). Alacsony \u00e1tvitelre van sz\u00fcks\u00e9g ott, ahol a csatorna \u00e1tvitel\u00e9nek kapacit\u00e1sa korl\u00e1tozott. Ez k\u00fcl\u00f6n\u00f6sen a kis csomagokb\u00f3l, p\u00e9ld\u00e1ul a hangforgalomb\u00f3l sz\u00e1rmaz\u00f3 forgalomn\u00e1l nyilv\u00e1nval\u00f3 - itt az \u00e1tvitel t\u00f6bb mint a s\u00e1vsz\u00e9less\u00e9g fel\u00e9t \u201eelfogyaszthatja\u201d!<\/p>\n
S\u00e1vsz\u00e9less\u00e9g<\/i><\/p>\n
V\u00e9g\u00fcl, van m\u00e9g beviteli k\u00e9sleltet\u00e9s<\/b> \u2013 a h\u00e1l\u00f3zati k\u00e9sleltet\u00e9s (az adatainak h\u00e1l\u00f3zaton val\u00f3 \u00e1tjut\u00e1s\u00e1ig eltelt id\u0151) k\u00fcl\u00f6nbs\u00e9ge (m\u00e1sodperc t\u00f6rtr\u00e9szekben) az adatok h\u00e1l\u00f3zati titkos\u00edt\u00e1sa n\u00e9lk\u00fcli \u00e9s azzal titkos\u00edtott \u00e1tad\u00e1sa k\u00f6z\u00f6tt. \u00c1ltal\u00e1noss\u00e1gban elmondhat\u00f3, hogy min\u00e9l alacsonyabb a k\u00e9sleltet\u00e9s (\u201elatencia\u201d) a h\u00e1l\u00f3zatban, ann\u00e1l kritikusabb\u00e1 v\u00e1lik a titkos\u00edt\u00f3 eszk\u00f6z\u00f6k \u00e1ltal okozott k\u00e9sleltet\u00e9s. A k\u00e9sleltet\u00e9st maga a titkos\u00edt\u00e1si m\u0171velet hozza l\u00e9tre (ez f\u00fcgg a titkos\u00edt\u00e1si algoritmust\u00f3l, a blokk hossz\u00e1t\u00f3l \u00e9s a titkos\u00edt\u00e1si m\u00f3d m\u0171k\u00f6d\u00e9s\u00e9t\u0151l, valamint a szoftver megval\u00f3s\u00edt\u00e1s\u00e1nak min\u0151s\u00e9g\u00e9t\u0151l), valamint a h\u00e1l\u00f3zati csomag feldolgoz\u00e1sa is az eszk\u00f6zben. A bevezetett k\u00e9sleltet\u00e9s f\u00fcgg a csomagok feldolgoz\u00e1si m\u00f3dj\u00e1t\u00f3l (\u00e1tfoly\u00f3s vagy \u201etartsd meg-\u00e9s-\u00e1tadd\u201d), valamint a platform teljes\u00edtm\u00e9ny\u00e9t\u0151l (az FPGA vagy ASIC \u201ehardveres\u201d megval\u00f3s\u00edt\u00e1s \u00e1ltal\u00e1ban gyorsabb, mint a CPU-n v\u00e9gzett \u201eszoftveres\u201d megold\u00e1s). Az L2 titkos\u00edt\u00e1s szinte mindig alacsonyabb bevezetett k\u00e9sleltet\u00e9ssel j\u00e1r, mint az L3 vagy L4 titkos\u00edt\u00e1s: ez azzal magyar\u00e1zhat\u00f3, hogy az L3\/L4-en titkos\u00edt\u00f3 eszk\u00f6z\u00f6k gyakran konvergens megold\u00e1sk\u00e9nt vannak v\u00e9grehajtva. P\u00e9ld\u00e1ul a magasan sebess\u00e9g\u0171 Ethernet titkos\u00edt\u00f3k, amelyek FPGA-ba vannak megval\u00f3s\u00edtva \u00e9s L2-n titkos\u00edtanak, a titkos\u00edt\u00e1si m\u0171veletb\u0151l ad\u00f3d\u00f3 k\u00e9sleltet\u00e9s elhanyagolhat\u00f3an csek\u00e9ly \u2013 n\u00e9ha, ha k\u00e9t eszk\u00f6z\u00f6n aktiv\u00e1ljuk a titkos\u00edt\u00e1st, a k\u00f6z\u00f6sen okozott k\u00e9sleltet\u00e9s m\u00e9g cs\u00f6kken is! Az alacsony k\u00e9sleltet\u00e9s fontos, ahol az \u00f6sszevont k\u00e9sleltet\u00e9sek a csatorn\u00e1ban, bele\u00e9rtve a jel terjed\u00e9si k\u00e9sleltet\u00e9s\u00e9t is, az egy kilom\u00e9ternyi t\u00e1vols\u00e1gra k\u00f6r\u00fclbel\u00fcl 5 mikrosekundum. Teh\u00e1t elmondhat\u00f3, hogy v\u00e1rosi m\u00e9ret\u0171 h\u00e1l\u00f3zatok (t\u00f6bb kilom\u00e9ter \u00e1tm\u00e9r\u0151j\u0171) eset\u00e9ben a mikrosekundumok sokat jelenthetnek. P\u00e9ld\u00e1ul adatb\u00e1zisok szinkron replik\u00e1l\u00e1sakor, nagyfrekvenci\u00e1s keresked\u00e9sn\u00e9l vagy ugyanazon blokkl\u00e1ncn\u00e1l.<\/p>\n
Bevezetett k\u00e9sleltet\u00e9s<\/i><\/p>\nSk\u00e1l\u00e1zhat\u00f3s\u00e1g<\/h4>\n
\nA nagy elosztott h\u00e1l\u00f3zatok ak\u00e1r t\u00f6bb ezer csom\u00f3pontot \u00e9s h\u00e1l\u00f3zati eszk\u00f6zt, valamint sz\u00e1z helyi h\u00e1l\u00f3zati szegmenst is tartalmazhatnak. Fontos, hogy a titkos\u00edt\u00e1si megold\u00e1sok ne rakjanak tov\u00e1bbi korl\u00e1tokat az elosztott h\u00e1l\u00f3zat m\u00e9ret\u00e9re \u00e9s topol\u00f3gi\u00e1j\u00e1ra. Ez els\u0151sorban a csom\u00f3pontok \u00e9s h\u00e1l\u00f3zatok maxim\u00e1lis c\u00edmz\u00e9s\u00e9re vonatkozik. Ilyen korl\u00e1tokkal tal\u00e1lkozhatunk p\u00e9ld\u00e1ul a titkos\u00edt\u00e1ssal v\u00e9dett h\u00e1l\u00f3zat t\u00f6bbpontos topol\u00f3gi\u00e1j\u00e1nak megval\u00f3s\u00edt\u00e1sakor (f\u00fcggetlen v\u00e9dett kapcsolatok, vagy alagutak) vagy a szelekt\u00edv titkos\u00edt\u00e1s (p\u00e9ld\u00e1ul protokollsz\u00e1m vagy VLAN alapj\u00e1n) eset\u00e9n. Ha k\u00f6zben a h\u00e1l\u00f3zati c\u00edmek (MAC, IP, VLAN ID) kulcsk\u00e9nt haszn\u00e1latosak egy t\u00e1bl\u00e1ban, amelynek sorainak sz\u00e1ma korl\u00e1tozott, akkor itt fognak megjelenni ezek a korl\u00e1tok.<\/p>\n
Ezen k\u00edv\u00fcl a nagy h\u00e1l\u00f3zatok gyakran t\u00f6bb strukt\u00far\u00e1lis szinttel rendelkeznek, bele\u00e9rtve a gerinch\u00e1l\u00f3zatot, mindegyiken saj\u00e1t c\u00edmz\u00e9si rendszert \u00e9s ir\u00e1ny\u00edt\u00e1si politik\u00e1t alkalmaznak. Az ilyen megk\u00f6zel\u00edt\u00e9s megval\u00f3s\u00edt\u00e1s\u00e1hoz gyakran haszn\u00e1lnak speci\u00e1lis keretform\u00e1tumokat (p\u00e9ld\u00e1ul Q-in-Q vagy MAC-in-MAC) \u00e9s \u00fatvonal-hat\u00e1roz\u00f3 protokollokat. Ahhoz, hogy ne akad\u00e1lyozz\u00e1k az ilyen h\u00e1l\u00f3zatok ki\u00e9p\u00edt\u00e9s\u00e9t, a titkos\u00edt\u00f3 eszk\u00f6z\u00f6knek helyesen kell kezelni\u00fck ezeket a kereteket (teh\u00e1t ebben az \u00e9rtelemben a sk\u00e1l\u00e1zhat\u00f3s\u00e1g kompatibilit\u00e1st jelent \u2013 err\u0151l lentebb lesz sz\u00f3).<\/p>\n
Rugalmass\u00e1g<\/h4>\n \nEz k\u00fcl\u00f6nb\u00f6z\u0151 konfigur\u00e1ci\u00f3k, csatlakoz\u00e1si s\u00e9ma, topol\u00f3gi\u00e1k \u00e9s egy\u00e9b dolgok t\u00e1mogat\u00e1s\u00e1r\u00f3l sz\u00f3l. P\u00e9ld\u00e1ul a Carrier Ethernet technol\u00f3gi\u00e1n alapul\u00f3 kapcsolt h\u00e1l\u00f3zatok eset\u00e9ben ez k\u00fcl\u00f6nb\u00f6z\u0151 t\u00edpus\u00fa virtu\u00e1lis kapcsolatok t\u00e1mogat\u00e1s\u00e1t jelenti (E-Line, E-LAN, E-Tree), k\u00fcl\u00f6nb\u00f6z\u0151 szolg\u00e1ltat\u00e1si t\u00edpusokat (portok \u00e9s VLAN alapj\u00e1n) \u00e9s k\u00fcl\u00f6nb\u00f6z\u0151 sz\u00e1ll\u00edt\u00e1si technol\u00f3gi\u00e1kat (ezeket m\u00e1r fentebb felsorolt\u00e1k). Teh\u00e1t az eszk\u00f6znek k\u00e9pesnek kell lennie arra, hogy egyar\u00e1nt m\u0171k\u00f6dj\u00f6n vonali (\u201epont-pont\u201d) \u00e9s t\u00f6bbpontos \u00fczemm\u00f3dban, k\u00fcl\u00f6n alagutakat \u00e1ll\u00edtva be k\u00fcl\u00f6nb\u00f6z\u0151 VLAN-ok sz\u00e1m\u00e1ra, \u00e9s lehet\u0151v\u00e9 kell tennie a csomagok rendezetlen k\u00e9zbes\u00edt\u00e9s\u00e9t a v\u00e9dett csatorn\u00e1n bel\u00fcl. A k\u00fcl\u00f6nb\u00f6z\u0151 titkos\u00edt\u00e1si \u00fczemm\u00f3dok (a tartalom hiteles\u00edt\u00e9s\u00e9vel vagy an\u00e9lk\u00fcl) \u00e9s a csomag\u00e1tviteli \u00fczemm\u00f3dok kiv\u00e1laszt\u00e1s\u00e1nak lehet\u0151s\u00e9ge egyens\u00falyt biztos\u00edt a tart\u00f3ss\u00e1g \u00e9s a teljes\u00edtm\u00e9ny k\u00f6z\u00f6tt a jelenlegi k\u00f6r\u00fclm\u00e9nyek f\u00fcggv\u00e9ny\u00e9ben.<\/p>\n
A priv\u00e1t h\u00e1l\u00f3zatok t\u00e1mogat\u00e1sa is fontos, amelyek berendez\u00e9sei egyetlen szervezet birtok\u00e1ban vannak (vagy azt b\u00e9relik), \u00e9s az \u00fczemeltet\u0151i h\u00e1l\u00f3zatok, amelyek k\u00fcl\u00f6nb\u00f6z\u0151 szegmensei k\u00fcl\u00f6nb\u00f6z\u0151 c\u00e9gek ir\u00e1ny\u00edt\u00e1sa alatt \u00e1llnak. J\u00f3, ha a megold\u00e1s lehet\u0151v\u00e9 teszi a saj\u00e1t er\u0151forr\u00e1sokkal, valamint egy harmadik f\u00e9l \u00e1ltal t\u00f6rt\u00e9n\u0151 ir\u00e1ny\u00edt\u00e1st (kezel\u00e9si szolg\u00e1ltat\u00e1s modell). Az \u00fczemeltet\u0151i h\u00e1l\u00f3zatok eset\u00e9ben egy m\u00e1sik fontos funkci\u00f3 a t\u00f6bbb\u00e9rl\u0151s t\u00e1mogat\u00e1s (k\u00fcl\u00f6nb\u00f6z\u0151 megrendel\u0151k k\u00f6z\u00f6tti k\u00f6z\u00f6s haszn\u00e1lat) a k\u00fcl\u00f6nb\u00f6z\u0151 megrendel\u0151k (el\u0151fizet\u0151k) titkos\u00edtott elk\u00fcl\u00f6n\u00edt\u00e9s\u00e9nek form\u00e1j\u00e1ban, akiknek forgalma ugyanazon titkos\u00edt\u00f3 berendez\u00e9sek egy csoportj\u00e1n halad \u00e1t. \u00c1ltal\u00e1ban ez k\u00fcl\u00f6n\u00e1ll\u00f3 kulcs- \u00e9s tan\u00fas\u00edtv\u00e1nyk\u00e9szletek haszn\u00e1lat\u00e1t k\u00f6veteli meg minden egyes megrendel\u0151 sz\u00e1m\u00e1ra.<\/p>\n
Ha a k\u00e9sz\u00fcl\u00e9k egy konkr\u00e9t tervhez k\u00e9sz\u00fcl, akkor ezek a lehet\u0151s\u00e9gek nem felt\u00e9tlen\u00fcl kritikusak \u2013 csak annyit kell biztos\u00edtani, hogy a k\u00e9sz\u00fcl\u00e9k t\u00e1mogassa, amit most sz\u00fcks\u00e9ges. De ha a megold\u00e1s \u201ej\u00f6v\u0151beli n\u00f6veked\u00e9sre\u201d van sz\u00e1nva, hogy a j\u00f6v\u0151beli forgat\u00f3k\u00f6nyveket is t\u00e1mogassa, \u00e9s \u201ev\u00e1llalati szabv\u00e1nynak\u201d v\u00e1lasztj\u00e1k, akkor a rugalmass\u00e1g nem \u00e1rt \u2013 k\u00fcl\u00f6n\u00f6sen figyelembe v\u00e9ve a k\u00fcl\u00f6nb\u00f6z\u0151 gy\u00e1rt\u00f3k eszk\u00f6zeinek interoperabilit\u00e1s\u00e1ra vonatkoz\u00f3 korl\u00e1toz\u00e1sokat (err\u0151l k\u00e9s\u0151bb).<\/p>\n
Egyszer\u0171s\u00e9g \u00e9s k\u00e9nyelem<\/h4>\n \nA karbantart\u00e1s k\u00e9nyelme is egy sokt\u00e9nyez\u0151s fogalom. Hozz\u00e1vet\u0151legesen elmondhat\u00f3, hogy ez a k\u00fcl\u00f6nb\u00f6z\u0151 szakk\u00e9pzetts\u00e9g\u0171 szakemberek id\u0151beli k\u00f6lts\u00e9geinek \u00f6sszess\u00e9ge, amelyek a megold\u00e1s t\u00e1mogat\u00e1s\u00e1hoz sz\u00fcks\u00e9gesek annak \u00e9letciklus\u00e1nak k\u00fcl\u00f6nb\u00f6z\u0151 szakaszaiban. Ha nincsenek k\u00f6lts\u00e9gek, \u00e9s a telep\u00edt\u00e9s, be\u00e1ll\u00edt\u00e1s, \u00fczemeltet\u00e9s teljesen automatikus, akkor a k\u00f6lts\u00e9gek null\u00e1k, a k\u00e9nyelem pedig abszol\u00fat. Term\u00e9szetesen a val\u00f3s\u00e1gban ilyesmi nem l\u00e9tezik. Egy \u00e9sszer\u0171 megk\u00f6zel\u00edt\u00e9s a modell \u201ecsom\u00f3pont a vezet\u00e9ken\u201d<\/b> (bump-in-the-wire), vagy \u00e1tl\u00e1tsz\u00f3 csatlakoz\u00e1s, ahol titkos\u00edt\u00f3 eszk\u00f6z\u00f6k hozz\u00e1ad\u00e1sa \u00e9s elt\u00e1vol\u00edt\u00e1sa nem ig\u00e9nyel manu\u00e1lis vagy automatikus v\u00e1ltoztat\u00e1sokat a h\u00e1l\u00f3zat konfigur\u00e1ci\u00f3j\u00e1ban. Ez egyszer\u0171s\u00edti a megold\u00e1s karbantart\u00e1s\u00e1t: nyugodtan bekapcsolhatjuk \u00e9s kikapcsolhatjuk a titkos\u00edt\u00e1st, \u00e9s ha sz\u00fcks\u00e9ges, egyszer\u0171en \"k\u00f6rbej\u00e1rhatjuk\" az eszk\u00f6zt egy h\u00e1l\u00f3zati k\u00e1bellel (teh\u00e1t k\u00f6zvetlen\u00fcl \u00f6sszekapcsoljuk azokat a portokat, amelyekhez csatlakozott). Az igazs\u00e1g az, hogy ennek is van egy h\u00e1tr\u00e1nya \u2013 ugyanezt megteheti egy t\u00e1mad\u00f3 is. Az \"eszk\u00f6z\u00f6n a vezet\u00e9ken\" elv megval\u00f3s\u00edt\u00e1s\u00e1hoz figyelembe kell venni a forgalmat nemcsak adatr\u00e9tegen<\/b>, hanem ellen\u0151rz\u00e9si \u00e9s vez\u00e9rl\u00e9si r\u00e9tegeken<\/b> \u2013 az eszk\u00f6z\u00f6knek \u00e1tl\u00e1that\u00f3nak kell lenni\u00fck sz\u00e1mukra. Ez\u00e9rt ezt a forgalmat csak akkor lehet titkos\u00edtani, ha a titkos\u00edt\u00f3 eszk\u00f6z\u00f6k k\u00f6z\u00f6tt nincsenek olyan forgalom c\u00e9lpontok, mert ha ezt eldobjuk vagy titkos\u00edtjuk, a titkos\u00edt\u00e1s bekapcsol\u00e1sa \u00e9s kikapcsol\u00e1sa eset\u00e9n megv\u00e1ltozhat a h\u00e1l\u00f3zat konfigur\u00e1ci\u00f3ja. A titkos\u00edt\u00f3 eszk\u00f6znek \u00e1tl\u00e1that\u00f3nak kell lennie a fizikai szint\u0171 jelz\u00e9s szempontj\u00e1b\u00f3l is. K\u00fcl\u00f6n\u00f6sen, ha jelveszt\u00e9s t\u00f6rt\u00e9nik, ennek a hi\u00e1nyt vissza kell jelentenie (teh\u00e1t le kell kapcsolnia az ad\u00f3it) mag\u00e1nak \u00e9s el\u0151re a jel ir\u00e1ny\u00e1ba.<\/p>\n
Ugyanakkor fontos t\u00e1mogatnia a hat\u00e1sk\u00f6r\u00f6k elk\u00fcl\u00f6n\u00edt\u00e9s\u00e9t az IT \u00e9s az IT biztons\u00e1gi oszt\u00e1lyok k\u00f6z\u00f6tt, k\u00fcl\u00f6n\u00f6sen a h\u00e1l\u00f3zati oszt\u00e1ly eset\u00e9ben. A titkos\u00edt\u00e1si megold\u00e1snak t\u00e1mogatnia kell a szervezeten bel\u00fcli elfogadott hozz\u00e1f\u00e9r\u00e9s- \u00e9s auditkezel\u00e9si modellt. Minim\u00e1lisra kell cs\u00f6kkenteni a sz\u00fcks\u00e9ges interakci\u00f3t a k\u00fcl\u00f6nb\u00f6z\u0151 oszt\u00e1lyok k\u00f6z\u00f6tt a rutinszer\u0171 m\u0171veletek v\u00e9grehajt\u00e1s\u00e1hoz. Ez\u00e9rt a titkos\u00edt\u00e1si funkci\u00f3kat kiz\u00e1r\u00f3lag t\u00e1mogat\u00f3, maxim\u00e1lisan \u00e1tl\u00e1tsz\u00f3 speci\u00e1lis eszk\u00f6z\u00f6k k\u00e9pesek biztos\u00edtani a k\u00e9nyelmet. Egyszer\u0171en fogalmazva, az IT biztons\u00e1gi oszt\u00e1ly munkat\u00e1rsainak nem kellene okot adniuk arra, hogy a \"h\u00e1l\u00f3zatosokhoz\" forduljanak a h\u00e1l\u00f3zati be\u00e1ll\u00edt\u00e1sok m\u00f3dos\u00edt\u00e1sa miatt. \u00c9s a h\u00e1l\u00f3zatosoknak sem lenne sz\u00fcks\u00e9g\u00fck a titkos\u00edt\u00e1si be\u00e1ll\u00edt\u00e1sok m\u00f3dos\u00edt\u00e1s\u00e1ra a h\u00e1l\u00f3zat karbantart\u00e1sa sor\u00e1n.<\/p>\n
Egy m\u00e1sik t\u00e9nyez\u0151 a kezel\u00e9si eszk\u00f6z\u00f6k lehet\u0151s\u00e9ge \u00e9s k\u00e9nyelme. Ezeknek \u00e1tl\u00e1that\u00f3knak, logikusnak kell lenni\u00fck, biztos\u00edtaniuk kell a be\u00e1ll\u00edt\u00e1sok import\u00e1l\u00e1s\u00e1t \u00e9s export\u00e1l\u00e1s\u00e1t, automatiz\u00e1l\u00e1st \u00e9s \u00edgy tov\u00e1bb. Azonnal figyelmet kell ford\u00edtani arra, hogy milyen kezel\u00e9si lehet\u0151s\u00e9gek \u00e1llnak rendelkez\u00e9sre (\u00e1ltal\u00e1ban saj\u00e1t kezel\u0151fel\u00fclet, webes fel\u00fclet \u00e9s parancssor) \u00e9s milyen funkci\u00f3kkal rendelkezik mindegyik (vannak korl\u00e1toz\u00e1sok). Fontos funkci\u00f3 a t\u00e1mogat\u00e1s kiv\u00fclr\u0151l<\/b> (out-of-band) kezel\u00e9s, vagyis egy dedik\u00e1lt kezel\u0151h\u00e1l\u00f3zaton kereszt\u00fcl, \u00e9s bel\u00fclr\u0151l<\/b> (in-band) kezel\u00e9s, vagyis a k\u00f6z\u00f6s h\u00e1l\u00f3zaton, amelyen a hasznos forgalom is \u00e1thalad. A kezel\u00e9si eszk\u00f6z\u00f6knek jelezni\u00fck kell minden rendellenes helyzetet, bele\u00e9rtve az informatikai biztons\u00e1gi incidenseket. A rutinszer\u0171, ism\u00e9tl\u0151d\u0151 m\u0171veleteket automatikusan kell v\u00e9grehajtani. Els\u0151sorban ez vonatkozik a kulcskezel\u00e9sre. Ezeknek automatikusan kell gener\u00e1l\u00f3dniuk\/eloszt\u00f3dniuk. A PKI t\u00e1mogat\u00e1sa nagy el\u0151ny.<\/p>\nKompatibilit\u00e1s<\/h4>\n
\nEz a k\u00e9sz\u00fcl\u00e9k kompatibilit\u00e1s\u00e1t jelenti a h\u00e1l\u00f3zati szabv\u00e1nyokkal. Nemcsak az ipari szabv\u00e1nyokr\u00f3l van sz\u00f3, amelyeket olyan elismert szervezetek fogadtak el, mint az IEEE, hanem az ipar\u00e1g vezet\u0151inek saj\u00e1t protokolljair\u00f3l is, p\u00e9ld\u00e1ul a Cisc\u00f3r\u00f3l. K\u00e9t alapvet\u0151 m\u00f3dja van a kompatibilit\u00e1s biztos\u00edt\u00e1s\u00e1nak: vagy a \u00e1ttetsz\u0151s\u00e9g<\/b>, vagy a kifejezett t\u00e1mogat\u00e1s<\/b> protokollokhoz (amikor a titkos\u00edt\u00f3 eszk\u00f6z egy protokoll sz\u00e1m\u00e1ra a h\u00e1l\u00f3zat egyik csom\u00f3pontj\u00e1v\u00e1 v\u00e1lik, \u00e9s kezeli az adott protokoll ellen\u0151rz\u0151 forgalm\u00e1t). A kontroll protokollok teljes \u00e9rv\u00e9nyes\u00edt\u00e9se \u00e9s helyess\u00e9ge hat\u00e1rozza meg a h\u00e1l\u00f3zatokkal val\u00f3 kompatibilit\u00e1st. Fontos a k\u00fcl\u00f6nb\u00f6z\u0151 PHY szint\u0171 vari\u00e1ci\u00f3k t\u00e1mogat\u00e1sa (sebess\u00e9gek, k\u00f6zvet\u00edt\u00e9si k\u00f6rnyezet, k\u00f3dol\u00e1si s\u00e9m\u00e1k), k\u00fcl\u00f6nb\u00f6z\u0151 form\u00e1tum\u00fa Ethernet keretek b\u00e1rmilyen MTU-val, valamint k\u00fcl\u00f6nb\u00f6z\u0151 L3 szolg\u00e1ltat\u00e1si protokollok (els\u0151sorban a TCP\/IP csal\u00e1db\u00f3l).<\/p>\n
Az \u00e1ttetsz\u0151s\u00e9g pedig a mut\u00e1ci\u00f3s mechanizmusok (az \u00fczenetek ny\u00edlt fejl\u00e9c\u00e9nek ideiglenes m\u00f3dos\u00edt\u00e1sa a titkos\u00edt\u00f3k k\u00f6z\u00f6tti forgalomban), \u00e1tenged\u00e9s (amikor a k\u00fcl\u00f6nb\u00f6z\u0151 csomagok nem titkos\u00edtva maradnak) \u00e9s a titkos\u00edt\u00e1si kezdeti eltol\u00e1sa (amikor a rendszerint titkos\u00edtott mez\u0151k nem titkos\u00edtva maradnak) r\u00e9v\u00e9n biztos\u00edtott.<\/p>\n
Hogyan biztos\u00edtj\u00e1k az \u00e1ttetsz\u0151s\u00e9get<\/i><\/p>\n
Ez\u00e9rt mindig tiszt\u00e1zza, hogyan garant\u00e1lj\u00e1k egy adott protokoll t\u00e1mogat\u00e1s\u00e1t. Gyakran a t\u00e1mogat\u00e1s \u00e1tl\u00e1that\u00f3 \u00fczemm\u00f3dban k\u00e9nyelmesebb \u00e9s megb\u00edzhat\u00f3bb.<\/p>\n
Interoperabilit\u00e1s<\/h4>\n \nEz is kompatibilit\u00e1s, de m\u00e1s \u00e9rtelemben, nevezetesen a lehet\u0151s\u00e9get jelenti, hogy egy\u00fctt m\u0171k\u00f6dj\u00f6n m\u00e1s titkos\u00edt\u00f3 eszk\u00f6zmodellekkel, bele\u00e9rtve m\u00e1s gy\u00e1rt\u00f3k term\u00e9keit is. Itt sok minden a titkos\u00edt\u00e1si protokollok standardiz\u00e1l\u00e1s\u00e1nak \u00e1llapot\u00e1t\u00f3l f\u00fcgg. Az L1-es szinten egyszer\u0171en nincsenek elismert titkos\u00edt\u00e1si standardok.<\/p>\n
Ethernet h\u00e1l\u00f3zatokban az L2 titkos\u00edt\u00e1shoz van egy 802.1ae (MACsec) standard, de ez nem v\u00e9gpontok k\u00f6z\u00f6tti<\/b> (end-to-end), hanem portok k\u00f6z\u00f6tti<\/b>, \u201eugr\u00e1s-ugr\u00e1s\u201d (hop-by-hop) titkos\u00edt\u00e1st haszn\u00e1l, \u00e9s eredeti form\u00e1j\u00e1ban nem volt alkalmas elosztott h\u00e1l\u00f3zatokban val\u00f3 haszn\u00e1latra, ez\u00e9rt sz\u00fclettek a gy\u00e1rt\u00f3i b\u0151v\u00edtm\u00e9nyek, amelyek \u00e1thidalt\u00e1k ezt a korl\u00e1toz\u00e1st (term\u00e9szetesen a m\u00e1s gy\u00e1rt\u00f3k berendez\u00e9seivel val\u00f3 interoperabilit\u00e1s rov\u00e1s\u00e1ra). Igaz, hogy 2018-ban az 802.1ae standardhoz hozz\u00e1adt\u00e1k az elosztott h\u00e1l\u00f3zatok t\u00e1mogat\u00e1s\u00e1t, de a GOST titkos\u00edt\u00e1si algoritmusok t\u00e1mogat\u00e1sa tov\u00e1bbra sincs. Ez\u00e9rt a gy\u00e1rt\u00f3i, nem standard L2 titkos\u00edt\u00e1si protokollok \u00e1ltal\u00e1ban nagyobb hat\u00e9konys\u00e1ggal (k\u00fcl\u00f6n\u00f6sen alacsonyabb s\u00e1vsz\u00e9less\u00e9gi k\u00f6lts\u00e9gekkel) \u00e9s rugalmass\u00e1ggal (titkos\u00edt\u00f3 algoritmusok \u00e9s \u00fczemm\u00f3dok megv\u00e1ltoztat\u00e1s\u00e1nak lehet\u0151s\u00e9ge) b\u00edrnak.<\/p>\n
Magasabb szinten (L3 \u00e9s L4) elismert standardok l\u00e9teznek, els\u0151sorban az IPsec \u00e9s TLS, de itt sem minden olyan egyszer\u0171. Az a helyzet, hogy mindk\u00e9t standard egy protokollk\u00e9szlet, amelyek mindegyike k\u00fcl\u00f6nb\u00f6z\u0151 verzi\u00f3kkal \u00e9s k\u00f6telez\u0151 vagy nem k\u00f6telez\u0151 b\u0151v\u00edtm\u00e9nyekkel rendelkezik. Ezen k\u00edv\u00fcl egyes gy\u00e1rt\u00f3k a saj\u00e1t gy\u00e1rt\u00f3i titkos\u00edt\u00e1si protokolljaikat is el\u0151nyben r\u00e9szes\u00edtik az L3\/L4 szinten. Ez\u00e9rt a legt\u00f6bb esetben nem \u00e9rdemes teljes interoperabilit\u00e1sra sz\u00e1m\u00edtani, de fontos, hogy legal\u00e1bb a k\u00fcl\u00f6nb\u00f6z\u0151 modellek \u00e9s azonos gy\u00e1rt\u00f3 k\u00fcl\u00f6nb\u00f6z\u0151 gener\u00e1ci\u00f3i k\u00f6z\u00f6tti interakci\u00f3 biztos\u00edtva legyen.<\/p>\n
Megb\u00edzhat\u00f3s\u00e1g<\/h4>\n \nA k\u00fcl\u00f6nb\u00f6z\u0151 megold\u00e1sok \u00f6sszehasonl\u00edt\u00e1s\u00e1ra haszn\u00e1lhat\u00f3 vagy a meghib\u00e1sod\u00e1si z\u00f3n\u00e1k \u00e1tlagos m\u0171k\u00f6d\u00e9si ideje, vagy a rendelkez\u00e9sre \u00e1ll\u00e1si t\u00e9nyez\u0151. Ha ezek az adatok nem \u00e1llnak rendelkez\u00e9sre (vagy nem megb\u00edzhat\u00f3ak), akkor min\u0151s\u00e9gi \u00f6sszehasonl\u00edt\u00e1st lehet v\u00e9gezni. El\u0151nyben r\u00e9szes\u00fclnek a k\u00f6nnyen kezelhet\u0151 eszk\u00f6z\u00f6k (kevesebb a konfigur\u00e1ci\u00f3s hib\u00e1k kock\u00e1zata), a speci\u00e1lis titkos\u00edt\u00f3k (ugyanez\u00e9rt), valamint azok a megold\u00e1sok, amelyek minim\u00e1lis meghib\u00e1sod\u00e1s- \u00e9s hibaelh\u00e1r\u00edt\u00e1ssal rendelkeznek, bele\u00e9rtve a teljes csom\u00f3pontok \u00e9s eszk\u00f6z\u00f6k \u201eforr\u00f3\u201d tartal\u00e9kait.<\/p>\n
\u00c1r<\/h4>\n \nAmi a k\u00f6lts\u00e9geket illeti, ugyan\u00fagy, mint a legt\u00f6bb IT-megold\u00e1s eset\u00e9ben, c\u00e9lszer\u0171 \u00f6sszehasonl\u00edtani az \u00f6sszk\u00f6lts\u00e9get. Ennek meghat\u00e1roz\u00e1s\u00e1hoz nem sz\u00fcks\u00e9ges \u00fajra feltal\u00e1lni a kereket, b\u00e1rmilyen megfelel\u0151 m\u00f3dszert (p\u00e9ld\u00e1ul a Gartner-t\u0151l) \u00e9s b\u00e1rmilyen kalkul\u00e1tort (p\u00e9ld\u00e1ul azt, amelyet m\u00e1r haszn\u00e1lnak a szervezetn\u00e9l az \u00f6sszk\u00f6lts\u00e9g sz\u00e1m\u00edt\u00e1s\u00e1hoz) haszn\u00e1lhatunk. Nyilv\u00e1nval\u00f3, hogy a h\u00e1l\u00f3zati titkos\u00edt\u00e1s eset\u00e9n az \u00f6sszk\u00f6lts\u00e9g az al\u00e1bbiakb\u00f3l \u00e1ll \u00f6ssze k\u00f6zvetlen<\/b> kiad\u00e1sokb\u00f3l, amelyek a megold\u00e1s megv\u00e1s\u00e1rl\u00e1s\u00e1ra vagy b\u00e9rl\u00e9s\u00e9re, a berendez\u00e9sek elhelyez\u00e9s\u00e9re szolg\u00e1l\u00f3 infrastrukt\u00far\u00e1ra, valamint a telep\u00edt\u00e9si, adminisztr\u00e1ci\u00f3s \u00e9s karbantart\u00e1si k\u00f6lts\u00e9gekb\u0151l ad\u00f3dnak (f\u00fcggetlen\u00fcl att\u00f3l, hogy ezt saj\u00e1t er\u0151forr\u00e1sokkal v\u00e9gzik, vagy k\u00fcls\u0151 szolg\u00e1ltat\u00f3k\u00e9nt), valamint k\u00f6zvetett<\/b> k\u00f6lts\u00e9gekb\u0151l, amelyek a megold\u00e1s le\u00e1ll\u00e1s\u00e1b\u00f3l ad\u00f3dnak (a v\u00e9gfelhaszn\u00e1l\u00f3k termel\u00e9kenys\u00e9g\u00e9nek elveszt\u00e9se miatt). Val\u00f3sz\u00edn\u0171leg csak egy apr\u00f3s\u00e1g van. A megold\u00e1s teljes\u00edtm\u00e9ny\u00e9nek hat\u00e1s\u00e1t elt\u00e9r\u0151en lehet figyelembe venni: vagy mint a termel\u00e9kenys\u00e9g cs\u00f6kken\u00e9s\u00e9b\u0151l ered\u0151 k\u00f6zvetett k\u00f6lts\u00e9geket, vagy mint \"virtu\u00e1lis\" k\u00f6zvetlen kiad\u00e1sokat a h\u00e1l\u00f3zati eszk\u00f6z\u00f6k v\u00e1s\u00e1rl\u00e1s\u00e1ra\/friss\u00edt\u00e9s\u00e9re \u00e9s karbantart\u00e1s\u00e1ra, amelyek kompenz\u00e1lj\u00e1k a h\u00e1l\u00f3zati teljes\u00edtm\u00e9ny cs\u00f6kken\u00e9s\u00e9t a titkos\u00edt\u00e1s alkalmaz\u00e1sa miatt. Mindenesetre a nehezen kisz\u00e1m\u00edthat\u00f3 k\u00f6lts\u00e9geket \u00e9rdemes \"kivenni a sz\u00e1m\u00edt\u00e1sb\u00f3l\": \u00edgy nagyobb bizalom k\u00eds\u00e9ri a v\u00e9gs\u0151 \u00e9rt\u00e9ket. Mint \u00e1ltal\u00e1ban, k\u00fcl\u00f6nb\u00f6z\u0151 eszk\u00f6z\u00f6k TCO szerinti \u00f6sszehasonl\u00edt\u00e1sa mindig \u00e9rdemes, egy adott haszn\u00e1lati forgat\u00f3k\u00f6nyv alapj\u00e1n \u2013 legyen az val\u00f3s vagy tipikus.<\/p>\nMegb\u00edzhat\u00f3s\u00e1g<\/h4>\n
\n\u00c9s az utols\u00f3 jellemz\u0151 a megold\u00e1s ellen\u00e1ll\u00e1sa. A legt\u00f6bb esetben az ellen\u00e1ll\u00e1s kvalitativ m\u00f3don \u00e9rt\u00e9kelhet\u0151, k\u00fcl\u00f6nb\u00f6z\u0151 megold\u00e1sok \u00f6sszehasonl\u00edt\u00e1s\u00e1val. Eml\u00e9kezn\u00fcnk kell arra, hogy a titkos\u00edt\u00f3 eszk\u00f6z\u00f6k nemcsak eszk\u00f6z\u00f6k, hanem v\u00e9dett objektumok is. K\u00fcl\u00f6nb\u00f6z\u0151 fenyeget\u00e9seknek lehetnek kit\u00e9ve. Az els\u0151dleges fenyeget\u00e9sek k\u00f6z\u00e9 tartozik a bizalmass\u00e1g megs\u00e9rt\u00e9se, az \u00fczenetek vissza\u00e9l\u00e9se \u00e9s m\u00f3dos\u00edt\u00e1sa. Ezek a fenyeget\u00e9sek a titkos\u00edt\u00e1s gyenges\u00e9gein vagy a titkos\u00edt\u00e1si protokollok (a kapcsolatfel\u00e9p\u00edt\u00e9s \u00e9s a kulcsgener\u00e1l\u00e1s\/eloszt\u00e1s szakasz\u00e1ban) sebezhet\u0151s\u00e9gein kereszt\u00fcl val\u00f3sulhatnak meg. Az el\u0151ny azokn\u00e1l a megold\u00e1sokn\u00e1l lesz, amelyek lehet\u0151v\u00e9 teszik a titkos\u00edt\u00e1si algoritmus v\u00e1lt\u00e1s\u00e1t vagy a titkos\u00edt\u00e1si m\u00f3d \u00e1tv\u00e1lt\u00e1s\u00e1t (legal\u00e1bbis az be\u00e1gyazott szoftver friss\u00edt\u00e9se r\u00e9v\u00e9n), azokn\u00e1l a megold\u00e1sokn\u00e1l, amelyek maxim\u00e1lis titkos\u00edt\u00e1st biztos\u00edtanak, elrejtve a t\u00e1mad\u00f3 el\u0151l nemcsak a felhaszn\u00e1l\u00f3i adatokat, hanem a c\u00edmz\u00e9si \u00e9s egy\u00e9b seg\u00e9dinform\u00e1ci\u00f3kat is, valamint azokn\u00e1l a megold\u00e1sokn\u00e1l, amelyek nemcsak titkos\u00edtanak, hanem v\u00e9dik az \u00fczeneteket a vissza\u00e9l\u00e9sekt\u0151l \u00e9s m\u00f3dos\u00edt\u00e1sokt\u00f3l is. Minden modern titkos\u00edt\u00f3 algoritmusra, elektronikus al\u00e1\u00edr\u00e1sra, kulcsgener\u00e1l\u00e1sra \u00e9s egyebekre, amelyek a norm\u00e1kban r\u00f6gz\u00edtettek, az ellen\u00e1ll\u00e1s azonosnak tekinthet\u0151 (k\u00fcl\u00f6nben egyszer\u0171en el lehet t\u00e9vedni a kriptogr\u00e1fia dzsungel\u00e9ben). Kell-e sz\u00fcks\u00e9gszer\u0171en a GOST algoritmusoknak lennie? Itt minden egyszer\u0171: ha az alkalmaz\u00e1si forgat\u00f3k\u00f6nyv megk\u00f6veteli az FSB \u00e1ltali tan\u00fas\u00edt\u00e1st a titkos\u00edt\u00e1si eszk\u00f6z\u00f6kn\u00e9l (Oroszorsz\u00e1gban ez a legt\u00f6bb esetben \u00edgy van), a h\u00e1l\u00f3zati titkos\u00edt\u00e1si forgat\u00f3k\u00f6nyvek t\u00f6bbs\u00e9g\u00e9ben ez \u00edgy van), akkor csak a tan\u00fas\u00edtottak k\u00f6z\u00f6tt v\u00e1lasszunk. Ha nem \u2013 akkor nincs \u00e9rtelme a tan\u00fas\u00edtv\u00e1ny n\u00e9lk\u00fcli eszk\u00f6z\u00f6ket kiz\u00e1rni a megfontol\u00e1sb\u00f3l.<\/p>\n
Egy m\u00e1sik fenyeget\u00e9s a hackel\u00e9s, az eszk\u00f6z\u00f6kh\u00f6z val\u00f3 jogosulatlan hozz\u00e1f\u00e9r\u00e9s (bele\u00e9rtve a fizik\u00e1lis hozz\u00e1f\u00e9r\u00e9st k\u00edv\u00fclr\u0151l \u00e9s a h\u00e1zon bel\u00fcl). A fenyeget\u00e9s megval\u00f3sulhat a
V\u00e9g\u00fcl egy m\u00e1sik fenyeget\u00e9st\u00edpus \u2013 a konfigur\u00e1l\u00e1si \u00e9s \u00fczemeltet\u00e9si hib\u00e1k, a t\u00e9nyez\u0151, amely teljesen emberi. Itt egy m\u00e1sik el\u0151ny mutatkozik meg a speci\u00e1lis titkos\u00edt\u00f3kkal szemben a konverg\u00e1l\u00f3 megold\u00e1sokkal, amelyek gyakran tapasztalt \u201eh\u00e1l\u00f3zati szakemberekre\u201d t\u00e1maszkodnak, \u00e9s neh\u00e9zs\u00e9geket okozhatnak a \u201enorm\u00e1l\u201d, sz\u00e9lesk\u00f6r\u0171 IT-szakemberek sz\u00e1m\u00e1ra.<\/p>\n
\u00d6sszefoglalva<\/h4>\n \nAlapvet\u0151en itt fel lehetne aj\u00e1nlani egy integr\u00e1lt mutat\u00f3t k\u00fcl\u00f6nb\u00f6z\u0151 eszk\u00f6z\u00f6k \u00f6sszehasonl\u00edt\u00e1s\u00e1ra, valami ilyesmit:<\/p>\n
$$display$$K_j=\u2211p_i r_{ij}$$display$$<\/p>\n
\nahol p \u2013 a mutat\u00f3 s\u00falya, r \u2013 az eszk\u00f6z rangja ezen a mutat\u00f3n, \u00e9s b\u00e1rmelyik fenti jellemz\u0151t \u201eatomtartalm\u00fa\u201d mutat\u00f3kra lehet bontani. Ez a k\u00e9plet p\u00e9ld\u00e1ul hasznos lehet a tenderaj\u00e1nlatok \u00f6sszehasonl\u00edt\u00e1sakor, el\u0151re meg\u00e1llap\u00edtott szab\u00e1lyok alapj\u00e1n. De el\u00e9g lenne egy egyszer\u0171 t\u00e1bl\u00e1zat is, mint p\u00e9ld\u00e1ul:<\/p>\n
Jellemz\u0151k
S\u00e1vsz\u00e9less\u00e9g
+++<\/p>\n
K\u00f6lts\u00e9gek
+++<\/p>\n
K\u00e9sleltet\u00e9s
++<\/p>\n
Sk\u00e1l\u00e1zhat\u00f3s\u00e1g
+++<\/p>\n
Rugalmass\u00e1g
+<\/p>\n
Interoperabilit\u00e1s
+<\/p>\n
Kompatibilit\u00e1s
+++<\/p>\n
Egyszer\u0171s\u00e9g \u00e9s k\u00e9nyelem
++<\/p>\n
Hibat\u0171r\u00e9s
++<\/p>\n
\u00c1r
+<\/p>\n
Megb\u00edzhat\u00f3s\u00e1g
+++<\/p>\n
\n\u00d6r\u00f6mmel v\u00e1laszolok a k\u00e9rd\u00e9sekre \u00e9s a konstrukt\u00edv kritikai megjegyz\u00e9sekre.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u042d\u0442\u043e\u0442 \u043e\u0431\u0437\u043e\u0440 (\u0438\u043b\u0438, \u0435\u0441\u043b\u0438 \u0445\u043e\u0442\u0438\u0442\u0435, \u0440\u0443\u043a\u043e\u0432\u043e\u0434\u0441\u0442\u0432\u043e \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f) \u044f \u043d\u0430\u043f\u0438\u0441\u0430\u043b, \u043a\u043e\u0433\u0434\u0430 \u043c\u043d\u0435 \u043f\u043e\u0440\u0443\u0447\u0438\u043b\u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432 \u0440\u0430\u0437\u043d\u044b\u0445 \u0432\u0435\u043d\u0434\u043e\u0440\u043e\u0432. \u041a \u0442\u043e\u043c\u0443 \u0436\u0435 \u044d\u0442\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043f\u0440\u0438\u043d\u0430\u0434\u043b\u0435\u0436\u0430\u043b\u0438 \u043a \u0440\u0430\u0437\u043d\u044b\u043c \u043a\u043b\u0430\u0441\u0441\u0430\u043c. \u041f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u0438 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0441\u0442\u0438\u043a\u0430\u0445 \u0432\u0441\u0435\u0445 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432 \u0438 \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u00ab\u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u043a\u043e\u043e\u0440\u0434\u0438\u043d\u0430\u0442\u00bb \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f. \u042f \u0431\u0443\u0434\u0443 \u0440\u0430\u0434, \u0435\u0441\u043b\u0438 \u043c\u043e\u0439 \u043e\u0431\u0437\u043e\u0440 \u043f\u043e\u043c\u043e\u0436\u0435\u0442 \u043a\u043e\u043c\u0443-\u0442\u043e: \u0420\u0430\u0437\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u0432 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52834","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t