Ky kyçje (ose, nĂ«se doni, njĂ« udhĂ«zues pĂ«r krahasim) e shkrova kur mĂ« kĂ«rkuan tĂ« krahasoja disa pajisje nga furnizues tĂ« ndryshĂ«m. PĂ«r mĂ« tepĂ«r, kĂ«to pajisje i pĂ«rkisnin klasave tĂ« ndryshme. Duhej tĂ« kuptoja arkitekturĂ«n dhe karakteristikat e tĂ« gjitha kĂ«tyre pajisjeve dhe tĂ« krijoja njĂ« âsistem koordinatashâ pĂ«r krahasim. Do tĂ« jem i lumtur nĂ«se ky shqyrtim ndihmon dikĂ«:
- Të kuptosh përshkrimet dhe specifikimet e pajisjeve të enkriptimit
- Të dallosh karakteristikat 'të shkruara' nga ato vërtet të rëndësishme në jetën reale
- Të dalësh përtej furnizuesve të zakonshëm dhe të përfshish në shqyrtim çdo produkt që është i përshtatshëm për zgjidhjen e detyrës së vendosur
- Të bësh pyetje të duhura gjatë negociatave
- Të hartosh kërkesat për tender (RFP)
- Të kuptosh se cilat karakteristika do të duhet të hiqen, nëse përzgjidhet një model i veçantë pajisjeje
ĂfarĂ« mund tĂ« vlerĂ«sohet
NĂ« parim, ky qasje Ă«shtĂ« e aplikueshme pĂ«r çdo pajisje autonome (standalone), tĂ« pĂ«rshtatshme pĂ«r enkriptimin e trafikut rrjetor ndĂ«rmjet segmenteve tĂ« largĂ«ta Ethernet (enkriptimi ndĂ«rsa rrethit). Pra, 'kutinat' nĂ« njĂ« boks tĂ« veçantĂ« (mirĂ«, pĂ«rjashtojmĂ« gjithashtu bladat/modulet pĂ«r shashtet), tĂ« cilat lidhen pĂ«rmes njĂ« ose disa porteve Ethernet me rrjetin lokal (kampus) Ethernet me trafik tĂ« paenkriptuar, dhe pĂ«rmes njĂ« porte (porteve) â me kanalin/rrjetin, pĂ«rmes tĂ« cilit trafiku i enkriptuar kalon nĂ« segmente tĂ« tjera tĂ« largĂ«ta. NjĂ« zgjidhje e tillĂ« pĂ«r enkriptimin mund tĂ« vihet nĂ« funksion nĂ« njĂ« rrjet privat ose operator pĂ«rmes llojeve tĂ« ndryshme tĂ« 'transportit' ('fibra optike e errĂ«t', pajisjet e ndarjes sĂ«éąç, rrjeti Ethernet tĂ« komutuar, si dhe 'pseudovetĂ«' tĂ« vendosur nĂ« njĂ« rrjet me arkitekturĂ« tjetĂ«r rrugulluese, mĂ« shpesh MPLS), duke pĂ«rdorur teknologjinĂ« VPN ose pa tĂ«.
Enkriptimi rrjetor në një rrjet të shpërndarë Ethernet
Pajisjet pĂ«rkatĂ«se mund tĂ« jenĂ« ose tĂ« specializuara (tĂ« dizajnuar vetĂ«m pĂ«r enkriptim), ose multifunksionale (hibridĂ«, konvergjente), dmth qĂ« kryejnĂ« gjithashtu funksione tĂ« tjera (p.sh. pĂ«rcaktuesi i rrjetit ose rrugulluesi). Furnizues tĂ« ndryshĂ«m klasifikojnĂ« pajisjet e tyre nĂ« disa klasa/kategoritĂ«, por kjo nuk ka rĂ«ndĂ«si â e rĂ«ndĂ«sishme Ă«shtĂ« nĂ«se ato mund tĂ« enkriptojnĂ« trafikun ndĂ«rmjet vendeve dhe cilat karakteristika kanĂ« gjatĂ« procesit.
PĂ«r çdo rast, tĂ« kujtoj se 'enkriptimi rrjetor', 'enkriptimi i trafikut', 'enkriptuesi' â janĂ« terma joformalĂ«, megjithatĂ« shpesh pĂ«rdoren. NĂ« aktet normative-ligjore ruse (pĂ«rfshirĂ« ato, me tĂ« cilat futen GOST-et) pĂ«r tĂ«, ndoshta nuk do t'i takosh.
Nivelet e enkriptimit dhe modet e transmetimit
Para se përshkruhen karakteristikat që do të përdoren për vlerësim, është e nevojshme të kuptojmë një gjë të rëndësishme, atëherë "niveli i enkriptimit". Kam vënë re se shpesh përmendet si në dokumentet zyrtare të ofruesve (në përshkrime, udhëzime, etj.), ashtu edhe në diskutimet informale (në negociata, në trajnime). Pra, duket se të gjithë e dinë për çfarë bëhet fjalë, por personalisht kam qenë dëshmitar i disa ngatërrimeve.
Pra, çfarĂ« Ă«shtĂ« "niveli i enkriptimit"? ĂshtĂ« e qartĂ« se flitet pĂ«r numrin e nivelit tĂ« modelit referues tĂ« rrjetit OSI/ISO, nĂ« tĂ« cilin ndodh enkriptimi. Le tĂ« lexojmĂ« GOST R ISO 7498-2â99 "Teknologjia e informacionit. NdĂ«rveprimi i sistemeve tĂ« hapura. Modeli bazĂ« referues. Pjesa 2. Arkitektura e mbrojtjes sĂ« informacionit". Nga ky dokument mund tĂ« kuptohet se niveli i shĂ«rbimit tĂ« konfidencialitetit (njĂ« nga mekanizmat e sigurimit tĂ« cilit Ă«shtĂ« enkriptimi) Ă«shtĂ« niveli i protokollit, blloku shĂ«rbim tĂ« tĂ« dhĂ«nave ("ngarkesa e dobishme", tĂ« dhĂ«nat e pĂ«rdoruesit) tĂ« cilit enkriptohet. Siç shkruhet gjithashtu nĂ« standard, shĂ«rbimi mund tĂ« sigurohet si nĂ« kĂ«tĂ« nivel, "me forcat e tij", ashtu edhe me ndihmĂ«n e nivelit tĂ« poshtĂ«m (pikĂ«risht kĂ«shtu, pĂ«r shembull, zakonisht realizohet nĂ« MACsec).
Në praktikë, ka dy moda të transmetimit të informacionit të enkriptuar përmes rrjetit (menjëherë më vjen në mendje IPsec, por këto moda ndodhin dhe në protokole të tjera). Në modin transportues (ndonjëherë quhet edhe native) enkriptohet vetëm blloku shërbim i të dhënave, ndërsa kokat mbeten "të hapura", të paenkriptuara (ndonjëherë shtohen fusha shtesë me informacion shërbimi të algoritmit të enkriptimit, ndërsa fusha të tjera modifikohen, ripërllogarithen). Në modin tunel ndërsa e gjithë blloku protokoll (dmth. paketa e vet) enkriptohet dhe inkapsulohet në bllokun shërbim të të dhënave të të njëjtit ose nivel më të lartë, dmth. rrethsohet me kokë të reja.
Niveli i enkriptimit vetë, në kombinim me një mod të transmetimit, nuk është as i mirë, as i keq, kështu që nuk mund të themi, për shembull, se L3 në modin transportues është më i mirë se L2 në modin tunel. Thjesht nga ata varen shumë karakteristika, me të cilat vlerësohen pajisjet. Për shembull, fleksibiliteti dhe kompatibiliteti. Për të funksionuar në rrjetin L1 (rikthimi i fluxit të bitëve), L2 (kalimi i kuadrove) dhe L3 (rrugëzimi i paketave) në modin transportues nevojiten zgjidhje që enkriptojnë në të njëjtin ose në një nivel më të lartë (ndryshe do të enkriptohet informacioni adresues dhe të dhënat nuk do të arrijnë në destinacion), ndërsa modin tunel lejon të tejkalosh këtë kufizim (në të vërtetë, duke sakrifikuar disa karakteristika të tjera të rëndësishme).
Modi transportues dhe tunel i enkriptimit L2
Tani të kalojmë në shqyrtimin e karakteristikave.
Performanca
Për kriptimin rrjetor, performanca është një koncept kompleks dhe shumëdimensionale. Ka raste kur një model i caktuar, duke e kaluar në një karakteristikë të performancës, përfundon se është më i dobët në një tjetër. Prandaj, është gjithmonë e dobishme të shqyrtohen të gjitha komponentët e performancës së kriptimit dhe ndikimi i tyre në performancën e rrjetit dhe aplikacioneve që e përdorin atë. Këtu mund të bëjmë një analogji me një makinë, për të cilën nuk është vetëm e rëndësishme shpejtësia maksimale, por edhe koha e akselerimit deri në "qind" dhe konsumi i karburantit, etj. Karakteristikave të performancës, prodhuesit dhe klientët e mundshëm u kushtojnë shumë rëndësi. Zakonisht, renditja në linjat e pajisjeve të kriptimit bazohet në performancë.
ĂshtĂ« e qartĂ« se performanca varet si nga kompleksiteti i operacioneve rrjetore dhe kriptografike qĂ« kryhen nĂ« pajisje (duke pĂ«rfshirĂ« edhe sa mirĂ« kĂ«to detyra mund tĂ« paralelizohen dhe tĂ« konvejojnĂ«), ashtu edhe nga performanca e pajisjeve dhe cilĂ«sia e softuerit tĂ« integruar. Prandaj, nĂ« modelet e larta pĂ«rdoren pajisje mĂ« tĂ« avancuara, ndonjĂ«herĂ« ka mundĂ«si pĂ«r t'i pajisur ato me procesorĂ« dhe module memorjeje shtesĂ«. Ka disa afroa pĂ«r implementimin e funksioneve kriptografike: nĂ« njĂ« procesor qendror universale (CPU), njĂ« qark tĂ« integruar tĂ« personalizuar (ASIC) ose nĂ« njĂ« qark tĂ« integruar tĂ« programueshĂ«m (FPGA). Ădo qasje ka avantazhet dhe disavantazhet e veta. PĂ«r shembull, CPU mund tĂ« bĂ«het "grykĂ« shishe" pĂ«r kriptimin, sidomos nĂ«se procesori nuk ka instruksione tĂ« specializuara pĂ«r tĂ« mbĂ«shtetur algoritmin e kriptimit (apo nĂ«se ato nuk pĂ«rdoren). Qarku tĂ« integruar tĂ« specializuar ndonjĂ«herĂ« i mungon fleksibiliteti; "rikodimi" i tyre pĂ«r tĂ« rritur performancĂ«n, pĂ«r tĂ« shtuar funksione tĂ« reja, ose pĂ«r tĂ« eliminuar dobĂ«sitĂ« nuk Ă«shtĂ« gjithmonĂ« i mundur. PĂ«rveç kĂ«saj, Ă«shtĂ« e kostoja vetĂ«m pĂ«r sasi tĂ« mĂ«dha prodhimi. Kjo Ă«shtĂ« arsyeja pse "mesatarja e artĂ«" Ă«shtĂ« bĂ«rĂ« kaq popullore â pĂ«rdorimi i FPGA (nĂ« rusisht PLIS). PikĂ«risht nĂ« PLIS janĂ« realizuar tĂ« ashtuquajturit kriptoakseleratorĂ« â module tĂ« specializuara hardueri tĂ« mbĂ«shtetjes pĂ«r operacione kriptografike, tĂ« integruara ose tĂ« lidhura.
Duke pasur parasysh se bĂ«het fjalĂ« pĂ«r rrjetin nĂ« enkriptim, Ă«shtĂ« logjike qĂ« performanca e zgjidhjeve duhet tĂ« matet nĂ« tĂ« njĂ«jtĂ«n shifĂ«r si pĂ«r pajisjet e tjera tĂ« rrjetit â kapacitetin, pĂ«rqindjen e humbjes sĂ« frame-ve dhe vonesĂ«n. KĂ«to parametra janĂ« tĂ« pĂ«rcaktuar nĂ« RFC 1242. PĂ«rveç kĂ«saj, pĂ«r variacionin e pĂ«rmendur shpesh tĂ« vonesĂ«s (jitter) nĂ« kĂ«tĂ« RFC nuk Ă«shtĂ« shkruar asgjĂ«. Si tĂ« masim kĂ«to parametra? Nuk kam gjetur ndonjĂ« metodologji tĂ« miratuar nĂ« ndonjĂ« standard (zyrtar ose jozyrtar, si RFC) tĂ« posaçëm pĂ«r enkriptimin nĂ« rrjet. Do tĂ« ishte logjike tĂ« pĂ«rdoret metodologjia pĂ«r pajisjet e rrjetit, e cila Ă«shtĂ« e pĂ«rcaktuar nĂ« standardin RFC 2544. ShumĂ« furnizues e ndjekin atĂ« â shumĂ«, por jo tĂ« gjithĂ«. PĂ«r shembull, ata dĂ«rgojnĂ« trafik testimi vetĂ«m nĂ« njĂ« drejtim nĂ« vend qĂ« nĂ« tĂ« dyja, si konsiderohet standardi. MirĂ«, le tĂ« shohim.
Matja e performancĂ«s sĂ« pajisjeve tĂ« enkriptimit nĂ« rrjet megjithatĂ« ka disa veçori. SĂ« pari, Ă«shtĂ« e saktĂ« tĂ« bĂ«hen tĂ« gjitha matjet pĂ«r njĂ« çift pajisjesh: ndonĂ«se algoritmet e enkriptimit janĂ« simetrike, vonesat dhe humbjet e paketeve gjatĂ« enkriptimit dhe dekriptimit nuk do tĂ« jenĂ« domosdoshmĂ«risht tĂ« barabarta. SĂ« dyti, ka kuptim tĂ« matim saktĂ«sisht dytĂ«n, ndikimin e enkriptimit ne rrjet nĂ« performancĂ«n pĂ«rfundimtare tĂ« rrjetit, duke krahasuar dy konfiguracione: pa pajisjet e enkriptimit dhe me to. Ose, si nĂ« rastin e pajisjeve hibride qĂ« kombinojnĂ« disa funksione pĂ«rveç enkriptimit rrjet, me enkriptimin tĂ« çaktivizuar dhe tĂ« aktivizuar. Ky ndikim mund tĂ« jetĂ« i ndryshĂ«m dhe tĂ« varet nga skema e lidhjes sĂ« pajisjeve tĂ« enkriptimit, nga modet e punĂ«s, pĂ«rfundimisht nga karakteri i trafikut. NĂ« veçanti, shumĂ« parametra tĂ« performancĂ«s varen nga gjatĂ«sia e paketave, prandaj pĂ«r krahasimin e performancĂ«s sĂ« zgjidhjeve tĂ« ndryshme shpesh pĂ«rdoren grafikĂ«t e varĂ«sisĂ« sĂ« kĂ«tyre parametrave nga gjatĂ«sia e paketave, ose pĂ«rdorim IMIX â shpĂ«rndarjen e trafikut sipas gjatĂ«sive tĂ« paketave, qĂ« pasqyron nĂ« mĂ«nyrĂ« tĂ« pĂ«rafĂ«rt realitetin. NĂ«se marrim pĂ«r krahasim tĂ« njĂ«jtĂ«n konfiguracion bazĂ« pa enkriptim, atĂ«herĂ« mund tĂ« krahasojmĂ« zgjidhjet pĂ«r enkriptimin nĂ« rrjet, tĂ« implementuara nĂ« mĂ«nyra tĂ« ndryshme, pa u pĂ«rfshirĂ« nĂ« kĂ«to dallime: L2 me L3, "ruaj dhe dĂ«rgo" me "prerje", tĂ« specializuara me ato konvergente, GOST me AES dhe kĂ«shtu me radhĂ«.
Skema e lidhjes për testimin e performancës
Karakteristika e parĂ« qĂ« tĂ«rheq vĂ«mendjen Ă«shtĂ« "shpejtĂ«sia" e pajisjes sĂ« enkriptimit, pra kapaciteti (bandwidth) i interfeceteve tĂ« saj rrjet, shpejtĂ«sia e rrjedhĂ«s sĂ« bitĂ«ve. Ajo pĂ«rcaktohet nga standardet rrjetore qĂ« mbahen nga interfecetet. PĂ«r Ethernet, numrat e zakonshĂ«m janĂ« 1 Gbit/s dhe 10 Gbit/s. Por, siç e dimĂ«, nĂ« çdo rrjet, kapaciteti maksimal teorik i transmetimit (throughput) nĂ« çdo nivel tĂ« saj gjithmonĂ« Ă«shtĂ« mĂ« i ulĂ«t se lartĂ«sia e kanaleve: pjesa e lartĂ«sisĂ« "hahet" nga intervalet ndĂ«rframe, titujt shĂ«rbim etj. NĂ«se pajisja Ă«shtĂ« nĂ« gjendje tĂ« pranojĂ«, pĂ«rpunojĂ« (nĂ« rastin tonĂ«, tĂ« kodojĂ« ose tĂ« dekodojĂ«) dhe tĂ« transmetojĂ« trafikun me shpejtĂ«si tĂ« plotĂ«, pra me kapacitetin maksimal teorik pĂ«r kĂ«tĂ« nivel tĂ« modelit tĂ« rrjetit, atĂ«herĂ« thuhet se ajo punon me shpejtĂ«sinĂ« e linjĂ«s. PĂ«r kĂ«tĂ« duhet qĂ« pajisja tĂ« mos humbasĂ«, tĂ« mos heqĂ« paketa, pavarĂ«sisht nga madhĂ«sia e tyre dhe frekuenca e ndjekjes sĂ« tyre. NĂ«se pajisja e enkriptimit nuk mbĂ«shtet punĂ«n me shpejtĂ«sinĂ« e linjĂ«s, atĂ«herĂ« zakonisht tregohet kapaciteti i saj maksimal nĂ« tĂ« njĂ«jtĂ«n gigabitĂ« nĂ« sekondĂ« (ndonjĂ«herĂ« duke pĂ«rcaktuar gjatĂ«si paketash â sa mĂ« tĂ« vogla tĂ« jenĂ« paketat, aq mĂ« shpesh Ă«shtĂ« zakonisht kapaciteti). ĂshtĂ« shumĂ« e rĂ«ndĂ«sishme tĂ« kuptohet se kapaciteti maksimal Ă«shtĂ« maksimal pa humbje (edhe nĂ«se pajisja mund tĂ« "kalojĂ«" trafikun pĂ«rmes saj me shpejtĂ«si mĂ« tĂ« madhe, por duke humbur disa paketa). PĂ«r mĂ« tepĂ«r, duhet tĂ« kushtohet vĂ«mendje qĂ« disa furnizues matnin kapacitetin e pĂ«rgjithshĂ«m midis tĂ« gjithĂ« çifteve tĂ« porteve, kĂ«shtu qĂ« kĂ«to numra pak thonĂ«, nĂ«se tĂ« gjithĂ« trafiku i enkriptuar kalon pĂ«rmes njĂ« porte tĂ« vetme.
Kurse ku është veçanërisht e rëndësishme të punosh me shpejtësinë e linjës (ose, ndryshe, pa humbje paketash)? Në kanale me kapacitet të lartë dhe vonesa të mëdha (për shembull, satelitore), ku për të mbajtur shpejtësinë e lartë të transmetimit duhet të vendosësh një madhësi të madhe të dritares TCP, dhe ku humbjet e paketave ndjeshëm ulin performancën e rrjetit.
Por jo gjithĂ« kapaciteti pĂ«rdoret pĂ«r tĂ« transmetuar tĂ« dhĂ«na tĂ« dobishme. Duhet tĂ« merret parasysh e ashtuquajtura shpenzime kapaciteti i (ngarkesave) kalon. Ky Ă«shtĂ« njĂ« pjesĂ« e kapacitetit tĂ« pajisjes sĂ« enkriptimit (nĂ« pĂ«rqindje ose nĂ« byte pĂ«r paketĂ«), e cila nĂ« tĂ« vĂ«rtetĂ« humbet (nuk mund tĂ« pĂ«rdoret pĂ«r tĂ« transferuar tĂ« dhĂ«na aplikacionesh). Ngarkesat shfaqen, sĂ« pari, pĂ«r shkak tĂ« rritjes sĂ« madhĂ«sisĂ« (shtesave, 'mbushjes') sĂ« fushĂ«s sĂ« tĂ« dhĂ«nave nĂ« paketat e rrjetit tĂ« enkriptuara (varet nga algoritmi i enkriptimit dhe mĂ«nyra e tij e funksionimit). SĂ« dyti, pĂ«r shkak tĂ« rritjes sĂ« gjatĂ«si tĂ« kapitujve tĂ« paketes (modi tunel, shtesĂ« shĂ«rbimi tĂ« protokollit tĂ« enkriptimit, imitoshtesĂ« etj., nĂ« varĂ«si tĂ« protokollit dhe mĂ«nyrĂ«s sĂ« funksionimit tĂ« enkriptimit dhe mĂ«nyrĂ«s sĂ« transmetimit) â zakonisht, kĂ«to kostot janĂ« mĂ« tĂ« dukshme dhe mbi to pĂ«rqendrohen vĂ«mendja kryesore. SĂ« treti, pĂ«r shkak tĂ« fragmentimit tĂ« paketeve kur tejkalon madhĂ«sinĂ« maksimale tĂ« bllokut tĂ« tĂ« dhĂ«nave (MTU) (nĂ«se rrjeti Ă«shtĂ« nĂ« gjendje tĂ« ndanĂ« paketĂ«n e tepĂ«rt MTU nĂ« dy, duke dyfishuar kapitujt e saj). SĂ« katĂ«rti, pĂ«r shkak tĂ« shfaqjes nĂ« rrjet tĂ« trafikut shtesĂ« shĂ«rbimi (kontroll) midis pajisjeve tĂ« enkriptimit (pĂ«r shkĂ«mbimin e çelĂ«save, vendosjen e tunelĂ«ve etj.). Ngarkesat e ulta janĂ« tĂ« rĂ«ndĂ«sishme aty ku kapaciteti i kanalit Ă«shtĂ« i kufizuar. Kjo shfaqet veçanĂ«risht nĂ« trafikun e paketave tĂ« vogla, pĂ«r shembull, vokal â aty ngarkesat mund tĂ« 'hanĂ«' mĂ« shumĂ« se gjysmĂ«n e shpejtĂ«sisĂ« sĂ« kanalit!
Kapaciteti i Kalimit
SĂ« fundi, ka edhe vonĂ«nĂ« e propozuar â dallimi (nĂ« pjesĂ« tĂ« sekondĂ«s) i vonesĂ«s rrjetore (koha e kalimit tĂ« tĂ« dhĂ«nave nga hyrja nĂ« rrjet deri nĂ« daljen e saj) midis transmetimit tĂ« tĂ« dhĂ«nave pa enkriptim rrjeti dhe me tĂ«. NĂ« pĂ«rgjithĂ«si, sa mĂ« e vogĂ«l tĂ« jetĂ« vonesa (âlatencaâ) e rrjetit, aq mĂ« kritik bĂ«het vonesa e sjellĂ« nga pajisjet e enkriptimit. Vonesa e sjellĂ« vjen nga vetĂ« operacioni i enkriptimit (varet nga algoritmi i enkriptimit, gjatĂ«sia e bllokut dhe modeli i funksionimit tĂ« enkriptimit, si dhe nga cilĂ«sia e implementimit tĂ« tij nĂ« softuer), si dhe procesimi i paketĂ«s rrjetore nĂ« pajisje. Vonesa e sjellĂ« varet si nga modeli i pĂ«rpunimit tĂ« paketave (pĂ«rmes ose âruaje-dhe-transmetoâ), ashtu dhe nga performanca e platformĂ«s (implementimi âharduerikâ nĂ« FPGA ose ASIC, zakonisht Ă«shtĂ« mĂ« i shpejtĂ« se âsoftuerikâ nĂ« CPU). Enkriptimi L2 pothuajse gjithmonĂ« dallon me vonesĂ« mĂ« tĂ« vogĂ«l krahasuar me enkriptimin nĂ« L3 ose L4: kjo ndikon nga fakti se pajisjet qĂ« enkriptojnĂ« nĂ« L3/L4 shpesh funksionojnĂ« si konvergjente. PĂ«r shembull, nĂ« enkriptuesit e shpejtĂ« Ethernet, tĂ« implementuar nĂ« FPGA dhe qĂ« enkriptojnĂ« nĂ« L2, vonesa pĂ«r shkak tĂ« operacionit tĂ« enkriptimit Ă«shtĂ« pothuajse e papĂ«rfillshme â ndonjĂ«herĂ«, kur aktivizohet enkriptimi nĂ« njĂ« çift pajisjesh, vonesa totale e sjellĂ« prej tyre madje zvogĂ«lohet! Vonesa e vogĂ«l Ă«shtĂ« e rĂ«ndĂ«sishme atje ku pĂ«rputhet me vonesat totale nĂ« kanal, duke pĂ«rfshirĂ« vonesĂ«n e pĂ«rhapjes sĂ« sinjalit, e cila Ă«shtĂ« rreth 5 ÎŒs pĂ«r kilometrin. Pra, mund tĂ« thuhet se pĂ«r rrjetet e shkallĂ«s qytetare (disa dhjetĂ«ra kilometra nĂ« diametĂ«r) mikrosekondat mund tĂ« vendosin shumĂ«. PĂ«r shembull, pĂ«r riprodhimin sinhron tĂ« bazave tĂ« tĂ« dhĂ«nave, tregtinĂ« me frekuencĂ« tĂ« lartĂ«, po ashtu dhe blockchain-in.
Vonesa e sjellë
Shkallëzueshmëria
Rrjetet e mĂ«dha tĂ« shpĂ«rndara mund tĂ« pĂ«rfshijnĂ« mijĂ«ra nodet dhe pajisje rrjetesh, qindra segmente tĂ« rrjeteve lokale. ĂshtĂ« e rĂ«ndĂ«sishme qĂ« zgjidhjet pĂ«r enkriptim tĂ« mos vendosin kufizime shtesĂ« nĂ« madhĂ«sinĂ« dhe topologjinĂ« e rrjetit tĂ« shpĂ«rndarĂ«. Kjo i pĂ«rket mĂ« sĂ« shumti numrit maksimal tĂ« adresave tĂ« nodĂ«ve dhe rrjeteve. Mund tĂ« hasen kĂ«to kufizime, pĂ«r shembull, gjatĂ« implementimit tĂ« njĂ« topologjie shumĂ«pikĂ«she tĂ« rrjetit tĂ« mbrojtur nga enkriptimi (me lidhje tĂ« pavarura tĂ« mbrojtura, ose tunele) ose enkriptimit selektiv (pĂ«r shembull, sipas numrit tĂ« protokollit ose VLAN). NĂ«se nĂ« kĂ«tĂ« rast adresat rrjetore (MAC, IP, VLAN ID) pĂ«rdoren si çelĂ«sa nĂ« tabelĂ«, numri i rreshtave nĂ« tĂ« cilĂ«n Ă«shtĂ« i kufizuar, kĂ«tu dhe shfaqen kĂ«to kufizime.
Për më tepër, rrjetet e mëdha shpesh kanë disa nivele strukturore, duke përfshirë rrjetin themelor, në secilin prej të cilave zbatohet një sistem adresimi dhe një politikë rrugëzimi e ndryshme. Për të realizuar një qasje të tillë, shpesh përdoren formate të veçanta kornizash (si Q-in-Q ose MAC-in-MAC) dhe protokolle për përcaktimin e rrugëve. Për të mos penguar ndërtimin e këtyre rrjeteve, pajisjet e enkriptimit duhet të menaxhojnë këto korniza në mënyrë të saktë (domethënë, në këtë aspekt, shkallëzueshmëria do të thotë kompativitet - për të cilin do të flasim më poshtë).
Fleksibiliteti
Këtu bëhet fjalë për mbështetje të konfiguracioneve të ndryshme, skemave të lidhjeve, topologjive dhe të tjera. Për shembull, për rrjetet e ndërlidhura bazuar në teknologjinë Carrier Ethernet, kjo do të thotë mbështetje për lloje të ndryshme të lidhjeve virtuale (E-Line, E-LAN, E-Tree), lloje të ndryshme shërbimesh (si sipas porteve ashtu edhe sipas VLAN) dhe teknologji të ndryshme transporti (të cilat janë përmendur më lart). Kështu që pajisja duhet të jetë në gjendje të operojë si në modin lineare ("pikë në pikë"), ashtu edhe në modalitete multi-pikë, të krijojë tunel të veçantë për VLAN të ndryshme, dhe të lejojë shpërndarjen e pakove në rend të çrregullt brenda kanaleve të mbrojtura. Mundësia për të zgjedhur mënyra të ndryshme funksionimi të enkriptimit (duke përfshirë autentikimin e përmbajtjes ose pa të) dhe mënyra të ndryshme të transmetimit të paketave lejon që të sigurohet një balancë midis qëndrueshmërisë dhe performancës në varësi të kushteve aktuale.
Po ashtu, mbĂ«shtetja pĂ«r rrjetet private Ă«shtĂ« e rĂ«ndĂ«sishme, pajisjet e tĂ« cilave i pĂ«rkasin njĂ« organizate (ose janĂ« tĂ« qira nga ajo), dhe ato operatorike, segmente tĂ« ndryshme tĂ« tĂ« cilave janĂ« nĂ« menaxhimin e kompanive tĂ« ndryshme. ĂshtĂ« mirĂ« qĂ« zgjidhja tĂ« lejojĂ« menaxhimin si nga forcat e brendshme ashtu edhe nga njĂ« organizatĂ« e jashtme (sipĂ«r modelit tĂ« shĂ«rbimit tĂ« menaxhuar). NĂ« rrjetet operatore, njĂ« funksion tjetĂ«r i rĂ«ndĂ«sishĂ«m Ă«shtĂ« mbĂ«shtetja pĂ«r multi-tenancĂ«n (pĂ«rdorim tĂ« pĂ«rbashkĂ«t nga klientĂ« tĂ« ndryshĂ«m) nĂ« formĂ«n e izolimit kriptografik tĂ« klientĂ«ve tĂ« veçantĂ« (abonentĂ«ve), ai trafiku i tĂ« cilĂ«ve kalon pĂ«rmes tĂ« njĂ«jtit grup pajisjesh enkriptimi. Si rregull, kjo kĂ«rkon pĂ«rdorimin e grupeve tĂ« veçanta tĂ« çelĂ«save dhe certifikatave pĂ«r çdo klient.
Nëse pajisja blihen për ndonjë skenar të caktuar, atëherë të gjitha këto mundësi mund të mos jenë shumë të rëndësishme - thjesht duhet të siguroheni se pajisja mbështet atë që është e nevojshme tani. Por nëse zgjidhja blihet "për t'u rritur", për të mbështetur edhe skenarët e ardhshëm, dhe zgjidhet si "standardi i korporatës", atëherë fleksibiliteti s'ka për të qenë i tepërt - veçanërisht duke pasur parasysh kufizimet në ndërobaritetin e pajisjeve të prodhuesve të ndryshëm (për këtë do të flasim pak më poshtë).
Thjeshtësia dhe lehtësia
Komoditeti i shĂ«rbimit Ă«shtĂ« njĂ« koncept multifaktorial. Mund tĂ« thuhet se janĂ« shpenzimet e pĂ«rgjithshme tĂ« kohĂ«s pĂ«r specialistĂ«t e kualifikimeve tĂ« caktuara qĂ« nevojiten pĂ«r mbĂ«shtetje tĂ« zgjidhjes nĂ« etapa tĂ« ndryshme tĂ« ciklit tĂ« saj jetĂ«sor. NĂ«se nuk ka shpenzime, dhe instalimi, konfigurimi, funksionimi janĂ« plotĂ«sisht automatike, atĂ«herĂ« shpenzimet janĂ« zero dhe komoditeti Ă«shtĂ« absolut. Sigurisht, nĂ« botĂ«n reale kjo nuk ndodh. NjĂ« afrim i arsyeshĂ«m Ă«shtĂ« modeli «nyje nĂ« tel» (bump-in-the-wire), ose lidhje transparente, ku shtimi dhe shkĂ«putja e pajisjeve tĂ« enkriptimit nuk kĂ«rkon as ndryshime manuale, as automatike nĂ« konfigurimin e rrjetit. Kjo e thjeshton mbĂ«shtetje zgjidhjes: mund tĂ« ndihesh nĂ« qetĂ«si duke aktivizuar ose çaktivizuar funksionin e enkriptimit, dhe kur Ă«shtĂ« e nevojshme thjesht ta "e shohĂ«sh" pajisjen me njĂ« kabllo rrjeti (pra, tĂ« lidhĂ«sh direkt portet e pajisjeve rrjetĂ«rore tĂ« cilat ishin lidhur me tĂ«). MegjithatĂ«, ka njĂ« disavantazh â njĂ« sulmues mund ta bĂ«jĂ« tĂ« njĂ«jtĂ«n gjĂ«. PĂ«r tĂ« zbatuar parimin e "nyjĂ«s nĂ« tel" duhet tĂ« merret parasysh trafiku jo vetĂ«m nga shtresa e tĂ« dhĂ«nave, por edhe nga shtresat e kontrollit dhe menaxhimit â pajisjet duhet tĂ« jenĂ« tĂ« padukshme pĂ«r ta. Prandaj, ky trafik mund tĂ« enkriptohet vetĂ«m kur nĂ« rrjet midis pajisjeve tĂ« enkriptimit nuk ka marrĂ«s tĂ« kĂ«tij lloji tĂ« trafik, pasi nĂ«se ai refuzohet apo enkriptohet, konfigurimi i rrjetit mund tĂ« ndryshojĂ« gjatĂ« aktivizimit/zgjidhjes sĂ« enkriptimit. Pajisja e enkriptimit mund tĂ« jetĂ« e padukshme edhe pĂ«r sinjalizimin nĂ« nivelin fizik. SaktĂ«sisht, nĂ« rast humbjeje tĂ« sinjalit, ajo duhet tĂ« pĂ«rcjellĂ« kĂ«tĂ« humbje (pra, tĂ« ndalojĂ« transmetuesit e saj) prapa dhe pĂ«rpara («pĂ«r vete») drejt sinjalit.
Po ashtu, mbështetje e rëndësishme është ndarja e fuqive midis departamenteve të Sigurisë së Informacionit dhe IT, në veçanti, departamentin e rrjetit. Zgjidhja për enkriptim duhet të mbështesë modelin e pranuar të menaxhimit të aksesit dhe auditimit në organizatë. Duhet të minimizohet nevoja për ndërveprim midis departamenteve të ndryshme për të realizuar operacione rutinë. Prandaj, avantazhi në aspektin e komoditetit është te pajisjet specialistike, të cilat mbështesin ekskluzivisht funksionet e enkriptimit dhe janë sa më transparente për operacionet rrjet. Thënë ndryshe, punonjësit e shërbimit të Sigurisë së Informacionit nuk duhet të kenë arsye për t'u drejtuar te "rrjetistët" për të ndryshuar cilësimet e rrjetit. Po ashtu, ata nuk duhet të kenë nevojë për të ndryshuar cilësimet e enkriptimit gjatë mbështetjes së rrjetit.
Një faktor tjetër është mundësitë dhe lehtësia e mjeteve të menaxhimit. Ato duhet të jenë të qarta, logjike, të sigurojnë import-export të cilësimeve, automatizim etj. Duhet të kushtohet vëmendje të veçantë se cilat mundësi menaxhimi janë në dispozicion (zakonisht është një ambient i brendshëm menaxhimi, ndërfaqe web dhe linjë komande) dhe me çfarë grumbulli funksionesh çdo njëra prej tyre ofron (ka kufizime). Një funksion i rëndësishëm është mbështetje jashtëbandës (out-of-band) menaxhimi, që do të thotë përmes një rrjeti të dedikuar menaxhimi, dhe nëbandës (in-band) menaxhimi, që do të thotë përmes rrjetit të përbashkët, përmes të cilit transmetohet trafiku i dobishëm. Mjetet e menaxhimit duhet të sinjalizojnë për të gjitha situatat jashtëzakonshme, përfshirë incidentet e sigurisë informatike. Operacionet rutinë dhe të përsëritura duhet të kryhen automatikisht. Para së gjithash, kjo i referohet menaxhimit të çelësave. Ata duhet të krijohen/ndahen automatikisht. Mbështetja PKI është një avantazh i madh.
Përputhshmëria
DomethĂ«nĂ«, kompatibiliteti i pajisjes me standardet e rrjetit. KĂ«tu nuk bĂ«het fjalĂ« vetĂ«m pĂ«r standardet industriale, tĂ« pranuara nga organizatat autoritative si IEEE, por edhe pĂ«r protokollet e markave kryesore nĂ« industri, si Cisco, pĂ«r shembull. Ka dy mĂ«nyra themelore pĂ«r tĂ« siguruar pĂ«rputhshmĂ«ri: ose pĂ«rmes trashĂ«sisĂ«, ose pĂ«rmes mbĂ«shtetjes eksplicite tĂ« protokolleve (kur pajisja e enkriptimit bĂ«het pĂ«r njĂ« protokoll njĂ« nga nyjet e rrjetit dhe pĂ«rpunon trafikun kontrollues tĂ« atij protokolli). Nga plotĂ«sia dhe korrektĂ«sia e implementimit tĂ« protokolleve kontrolluese varet pĂ«rputhshmĂ«ria me rrjetet. ĂshtĂ« e rĂ«ndĂ«sishme mbĂ«shtetja e varianteve tĂ« ndryshme tĂ« nivelit PHY (shpejtat, mediat e transmetimit, skemat e kodimit), kadro Ethernet tĂ« formateve tĂ« ndryshme me çdo MTU, dhe protokolleve tĂ« shĂ«rbimit L3 (pĂ«rpara familjes TCP/IP).
Trashësia sigurohet përmes mekanizmave të mutacionit (ndryshimi temporal i përmbajtjes së kokave të hapura në trafikun midis enkriptuesve), kalimit (kur paketa të veçanta mbeten të paenkriptuara) dhe tërheqjes së fillimit të enkriptimit (kur fushat zakonisht të enkriptuara të paketa nuk enkriptohen).
Si sigurohet trashësia
Prandaj gjithmonë sqaroni se si sigurohet mbështetja për një protokoll të caktuar. Shpesh, mbështetja në mënyrë transparente është më e përshtatshme dhe më e besueshme.
Interoperabiliteti
Kjo është gjithashtu përputhshmëri, por në një kuptim tjetër, pra mundësia e bashkëpunimit me modele të tjera pajisjesh enkriptimi, përfshirë edhe të tjera prodhuese. Këtu varet shumë nga gjendja e standardizimit të protokolleve të enkriptimit. Në L1 standardet e njëanshme të enkriptimit thjesht nuk ekzistojnë.
Për enkriptimin L2 në rrjetet Ethernet ekziston standardi 802.1ae (MACsec), por ai nuk përdor enkriptim të plotë (end-to-end), por mesportesh, encryptioni «hop-by-hop», dhe në redaktimin e saj fillestar ishte e papërshtatshme për përdorim në rrjeta të shpërndara, prandaj u shfaqën zgjerimet e saj të markës që tejkalojnë këtë kufizim (sigurisht, në kosto të interoperabilitetit me pajisje të prodhuesve të tjerë). Megjithatë, në vitin 2018, u shtua mbështetje për rrjetet e shpërndara në standardin 802.1ae, por mbështetje për grupet e algoritmeve të enkriptimit GOST ende nuk ka. Prandaj, protokollet e enkriptimit L2 të markës, në përgjithësi, karakterizohen nga efikasitet më i madh (në veçanti, një ngarkesë më të ulët të bandës) dhe fleksibilitet (mundësia për të ndryshuar algoritmet dhe modet e enkriptimit).
Në nivele më të larta (L3 dhe L4) ka standarde të njohura, përparësisht IPsec dhe TLS, por as këtu nuk është kaq e thjeshtë. Problemi është se secili nga këto standarte është një grup protokollesh, secili me versione të ndryshme dhe me zgjerime të detyrueshme ose të opcionale për implementim. Për më tepër, disa prodhues preferojnë të aplikojnë protokollet e tyre të enkriptimit edhe në L3/L4. Prandaj, në shumicën e rasteve nuk vlen të pritet interoperabiliteti i plotë, por është e rëndësishme që të paktën të sigurohet ndërlidhje midis modeleve të ndryshme dhe gjeneratave të ndryshme të një prodhuesi.
Besueshmëria
PĂ«r tĂ« krahasuar zgjidhje tĂ« ndryshme, mund tĂ« pĂ«rdorni ose kohĂ«n mesatare tĂ« punĂ«s deri nĂ« dĂ«shtim, ose koeficientin e gatishmĂ«risĂ«. NĂ«se kĂ«to numra nuk janĂ« tĂ« pranishĂ«m (ose nuk besohen), atĂ«herĂ« mund tĂ« kryhet njĂ« krahasim cilĂ«sor. Avantazhi do tĂ« jetĂ« pĂ«r pajisjet me menaxhim tĂ« lehtĂ« (mĂ« pak rrezik gabimesh nĂ« konfigurim), pĂ«r enkripta tĂ« specializuara (pĂ«r tĂ« njĂ«jtĂ«n arsye), si dhe pĂ«r zgjidhjet me kohĂ« minimale tĂ« zbardhjes dhe eliminimit tĂ« dĂ«shtimit, pĂ«rfshirĂ« mjetet pĂ«r ârezervimin e nxehtĂ«â tĂ« nyjeve dhe pajisjeve komplet.
Ămimi
Sa i pĂ«rket kostos, si pĂ«r shumicĂ«n e zgjidhjeve IT, Ă«shtĂ« e arsyeshme tĂ« krahasohet kostoja totale e pronĂ«sisĂ«. PĂ«r llogaritjen e saj nuk Ă«shtĂ« e nevojshme tĂ« shpikni bicikletĂ«n, por mund tĂ« pĂ«rdorni çdo metodologji tĂ« pĂ«rshtatshme (p.sh., nga Gartner) dhe çdo kalkulator (p.sh., atĂ« qĂ« tashmĂ« po pĂ«rdoret nĂ« organizatĂ« pĂ«r llogaritjen e TCO). ĂshtĂ« e qartĂ« se pĂ«r zgjidhjen e enkriptimit tĂ« rrjetit, kostoja totale e pronĂ«sisĂ« pĂ«rfshin shpenzimet e drejtpĂ«rdrejta pĂ«r blerjen ose qiranĂ« e zgjidhjes vetĂ«, pĂ«r infrastrukturĂ«n pĂ«r vendosjen e pajisjeve dhe shpenzimet pĂ«r implementimin, administrimin dhe mbĂ«shtetje (pa marrĂ« parasysh, nĂ« forcat e tyre ose si shĂ«rbime nga njĂ« organizatĂ« tjetĂ«r), si dhe shpenzimet e tĂ«rthorta kostove nga ndalesa e zgjidhjes (tĂ« shkatuara nga humbjet e produktivitetit tĂ« pĂ«rdoruesve tĂ« fundit). Mbase ka vetĂ«m njĂ« nuancĂ«. Ndikimi i performancĂ«s sĂ« zgjidhjes mund tĂ« llogaritet nĂ« mĂ«nyra tĂ« ndryshme: si kostot indirekte, tĂ« shkaktuara nga rĂ«nia e produktivitetit, ose si kostot "virtuale" tĂ« drejtpĂ«rdrejta pĂ«r blerjen/modifikimin dhe mirĂ«mbajtjen e mjeteve rrjetore, qĂ« kompensojnĂ« rĂ«nien e performancĂ«s sĂ« rrjetit si pasojĂ« e zbatimit tĂ« kriptimit. NĂ« çdo rast, kostot qĂ« Ă«shtĂ« e vĂ«shtirĂ« tĂ« llogariten me saktĂ«si tĂ« mjaftueshme Ă«shtĂ« mĂ« mirĂ« "ta nxjerrim jashtĂ« llogaritjes": kĂ«shtu do tĂ« ketĂ« mĂ« shumĂ« besim nĂ« vlerĂ«n pĂ«rfundimtare. Dhe, si zakonisht, nĂ« çdo rast, krahasimi i disa pajisjeve sipas TCO ka kuptim tĂ« bĂ«het pĂ«r njĂ« skenar konkret tĂ« pĂ«rdorimit tĂ« tyre â reale ose tipike.
Qëndrueshmëria
Dhe karakteristika e fundit â Ă«shtĂ« qĂ«ndrueshmĂ«ria e zgjidhjes. NĂ« shumicĂ«n e rasteve, qĂ«ndrueshmĂ«ria mund tĂ« vlerĂ«sohet vetĂ«m cilĂ«sisht, duke krahasuar zgjidhje tĂ« ndryshme midis tyre. Duhet tĂ« kemi parasysh se pajisjet e kriptimit jo vetĂ«m qĂ« janĂ« mjete, por edhe objekte mbrojtjeje. Ato mund tĂ« jenĂ« tĂ« ekspozuara ndaj kĂ«rcĂ«nimeve tĂ« ndryshme. NĂ« plan tĂ« parĂ« janĂ« kĂ«rcĂ«nimet e shkeljes sĂ« konfidencialitetit, riprodhimit dhe modifikimit tĂ« mesazheve. KĂ«to kĂ«rcĂ«nime mund tĂ« realizohen pĂ«rmes dobĂ«sive tĂ« algoritmit tĂ« kriptimit ose tĂ« mĂ«nyrave tĂ« tij tĂ« veprimit, pĂ«rmes dobĂ«sive nĂ« protokollet e kriptimit (duke pĂ«rfshirĂ« edhe fazat e vendosjes sĂ« lidhjes dhe krijimit/shpĂ«rndarjes sĂ« çelĂ«save). Avantazhi do tĂ« jetĂ« pĂ«r zgjidhjet qĂ« lejojnĂ« ndĂ«rrimin e algoritmit tĂ« kriptimit ose kalimin nĂ« modin e kriptimit (edhe pĂ«rmes pĂ«rditĂ«simit tĂ« softuerit), pĂ«r zgjidhjet qĂ« ofrojnĂ« kriptim sa mĂ« tĂ« plotĂ«, duke fshehur nga sulmuesi jo vetĂ«m tĂ« dhĂ«nat e pĂ«rdoruesve, por edhe informacionin shĂ«rbimor si adresat, si dhe pĂ«r ata zgjidhje qĂ« jo vetĂ«m qĂ« kriptojnĂ«, por gjithashtu mbrojnĂ« mesazhet nga riprodhimi dhe modifikimi. PĂ«r tĂ« gjithĂ« algoritmĂ«t modernĂ« tĂ« kriptimit, nĂ«nshkrimit elektronik, krijimit tĂ« çelĂ«save dhe tĂ« tjerave, qĂ« janĂ« tĂ« konsoliduara nĂ« standarde, qĂ«ndrueshmĂ«ria mund tĂ« merret si e njĂ«jtĂ« (pĂ«rndryshe, thjesht mund tĂ« humbim nĂ« errĂ«sirĂ«n e kriptografisĂ«). A duhet patjetĂ«r tĂ« jenĂ« algoritme GOST? KĂ«tu Ă«shtĂ« e thjeshtĂ«: nĂ«se skenari i pĂ«rdorimit kĂ«rkon certifikim nga FSB pĂ«r SKZI (dhe nĂ« Rusi kjo Ă«shtĂ« shpesh e tillĂ«), pĂ«r shumicĂ«n e skenarĂ«ve tĂ« kriptimit nĂ« rrjet, atĂ«herĂ« zgjidhim vetĂ«m mes atyre qĂ« janĂ« tĂ« certifikuar. NĂ«se jo â atĂ«herĂ« nuk ka kuptim tĂ« pĂ«rjashtojmĂ« pajisjet pa certifikata nga shqyrtimi.
KĂ«rcĂ«nimi tjetĂ«r â ky kĂ«rcĂ«nim Ă«shtĂ« thyerja, akses i paautorizuar nĂ« pajisje (duke pĂ«rfshirĂ« edhe pĂ«rmes aksesit fizik nga jashtĂ« dhe brenda strukturĂ«s). KĂ«rcĂ«nimi mund tĂ« realizohet pĂ«rmes
vulnerabilities in implementation â in hardware and in code. Therefore, the advantage will be with solutions that have a minimal "attack surface" through the network, with cases protected from physical access (with tamper sensors, protection against probing, and automatic resetting of key information upon case tampering), as well as those that allow firmware updates when a vulnerability in the code becomes known. There is another way: if all the compared devices have FSB certificates, then the resilience to hacking can be considered based on the information security class (ĐĄĐĐĐ) for which the certificate was issued.
Finally, another type of threat is configuration and operational errors, purely the human factor. Here, the advantage of specialized encryptors over convergent solutions, which are often aimed at seasoned "networkers," comes into play and can pose challenges for "ordinary" generalists in information security.
Të përmbledhim
In principle, an integral metric could be proposed for comparing different devices, something like
$$display$$K_j=âp_i r_{ij}$$display$$
where p â is the weight of the metric, and r â is the rank of the device according to this metric, with any of the aforementioned characteristics being able to be broken down into "atomic" metrics. Such a formula could be useful, for instance, when comparing tender proposals according to previously agreed rules. However, a simple table like
Specifikimi
Device 1
Device 2
âŠ
Device N
Kapaciteti i Kalimit
+
+
+++
Overhead Costs
+
++
+++
Vonesa
+
+
++
Shkallëzueshmëria
+++
+
+++
Fleksibiliteti
+++
++
+
Interoperabiliteti
++
+
+
Përputhshmëria
++
++
+++
Thjeshtësia dhe lehtësia
+
+
++
Qëndrueshmëria
+++
+++
++
Ămimi
++
+++
+
Qëndrueshmëria
++
++
+++
I will be happy to answer any questions and constructive critical remarks.
Burimi: habr.com
