Názory k článku
CETIN a O2 propojily datacenta pomocí distribuce kvantových klíčů
-
Wikipedia má slušný popis: https://en.wikipedia.org/wiki/Quantum_key_distribution
TL;DR na každé straně máte QKD krabici - ty jsou navzájem propojeny, a posílají si mezi sebou nějaká data (klíče - což je v podstatě náhodný šum), která pak vstupují do dalšího algoritmu (AES, one-time pad), kterým se reálně data na lince šifrují. QKD by mělo být odolné proti odposlechu klíčů.
Nicméně QKD neobsahuje žádnou interní autentizaci uzlů, takže stejně někdo musí do obou těch krabic naťukat nějaké sdílené tajemství.
A ta data, která tou linkou prochází nejsou šifrovaná end-to-end, jenom pouze na té lince. Pak je samozřejmě otázka, proč to rovnou nezašifrovat pomocí AES (v GCM viz ta Wikipedie), bylo by to levnější a stejně bezpečné. Akorát by tam chyběly ty buzzwordy. V té tiskové zprávě už chybí jenom: blockchain, NFT, AGI, LLM, AI. Cetin by se měl zlepšit.
-
Ta tisková zpráva je naprostá slátanina. Míchá dohromady postkvantovou kryptografii a QKD. A pro jistotu do toho míchá ještě ukládání dat vs zabezpečení přenosového kanálu.
QKD má (nějaké) výhody jako detekce, ale zrovna v případě zabezpečení jedné datové linky mi ten význam tak nějak uniká. A ještě jim to sežere jedno vlákno navíc - QKD uzly musí být spolu propojeny dedikovaným kanálem.
IMO tady někdo utratil milióny tak akorát za PR.
-
tak ono to také PR je. Jedná se ve své podstatě o technologických demonstrátor, u toho moc výhod čekat nemůžeš.
Máš samozřejmě pravdu, že symetricky šifrovat přenos s relativně malým dopadem na výkon už můžeš i dnes, ale zase budeš narážat na problém výměny klíčů. Tohle řeší jen ten problém výměny klíčů a umožňuje to klíče měnit třeba v minutových intervalech, dává to tedy velmi malou šanci k online dešifrování provozu a velmi stěžuje offline dešifrování.
Když jsem viděl něco podobné, tak ty krabičky byly nejdříve u sebe, napárovaly se (= předali si tajemství), pak se odvezly na místo a spojily přímým optickým spojem a přenos probíhal.
Je mi ale záhodno jak řešit výpadky? Není tohle náhodou dost slušný SPoF pro celou O2/Cetin infrastrukturu? Nebo při výpadku si zavolají přes konkurenčního operátora a vypnou šifrování na obou uzlech?
-
David SlížekPodporovatelAno, stejně to podle CETINu proběhlo i tady. Vysílač a přijímač se dodávají napárované a pak se jedna "krabice" převezla do druhého datacentra.
Při výpadku se prý používá naposledy přenesený klíč, který byl přenesen a je tedy považován za důvěryhodný (nedal se odposlechnout).
-
> Je mi ale záhodno jak řešit výpadky? Není tohle náhodou dost slušný SPoF pro celou O2/Cetin infrastrukturu? Nebo při výpadku si zavolají přes konkurenčního operátora a vypnou šifrování na obou uzlech?
Pokud tomu rozumím, tak jeden z plánů je mít QKD síť (sítě) a nikoli jen jedno vlákno, takže výměna klíčů by se přepnula na jiný okruh, který zrovna nevykopl bagr.
Zároveň tipuju, že to vlákno pro QKD vede stejnou chráničkou jako vlákna, na kterých se pak šifruje, takže je to vcelku jedno. Pokud se bavíme o redundanci, tak by každá trasa mezi DC měla mít i extra vlákno pro QKD, tj. propojení těch krabic musí být úplně stejně redundantní jako redundance mezi DC.
A pokud bude bagr opravdu hodně šikovný, tak by ta data prostě měla přestat téct. Pokud se spoléhám na šifrovanou infrastrukturu, tak nemůže dojít svévolně k downgrade bezpečnosti. Na druhou stranu si úplně neumím představit, že do trubky, kterou mi zajišťuje někdo další pošlu nešifrovaná data, která mají být zabezpečená. Cokoli, co je potřeba chránit musí být e2e - dokážu si pak představit, že QKD bude možné používat jako SaaS, ale opět - nějak si nedokážu představit situaci, kdy mám citlivá data a jejich šifrování svěřím třetí straně.
-
bagr, úhlavní nepřítel síťařů!
Šlo mi spíše o samotné QKD krabičky, i ty se mohou porouchat, potřebuji občas udělat ůdržbu, mají jen dva kusy (a nevypadá to, že by měli nějaké spare nebo testovací), takže update přímo na produkci? Nebo tohle řeší výměnou celého HW kus za kus a nedělají se změny uvnitř? I HSM mají svoje firmwary a občas se aktualizují.
Nejenže, že mohou přestat fungovat, tak mohou začít fungovat i špatně, ty klíče musí být na obou stranách shodné, jinak neproběhne dešifrování. Ty dvě DC jsou zrovna pro O2 klíčové, tak proto jsem se na to ptal. Co jsem se ptal, tak tyhle QKD mají ještě klasický komunikační kanál, kde probíhá něco jako two phase commit, aby se potvrdilo, že došlo k předání klíčů a mohly se tedy aktualizovat na obou stranách.
David Slížek tady už odpověděl, že v případě problémů zůstanou poslední distribuované klíče, to lze ale také chápat jako downgrade zabezpečení.
SaaS QKD si nedokáži zatím moc dobře přestavit, aby to bylo k něčemu, musí být fyzicky velmi blízko zařízením, které provádí samotné šifrování a dešifrování, ideálně být jejich nedílnou součástí. Přenášet šifrovací klíče přes internet nebo interní sítí je skoro horší než v současnosti používané KMS nebo HSM.
Dokáži si ale představit, že tohle nasadí peeringy a budou ti prodávat zabezpečené propojení dvou lokalit odolných proti odposlechu.
-
IMO tady někdo utratil milióny tak akorát za PR.
Nojo, tak O2 se potřebuje tvářit, že jeho síť je lepší, než jiné sítě, když bezdůvodně zdražuje. Do toho blábolu, co posílali zákazníkům taky psali, že má "bezpečnou síť", což při dohledání detailů spočívá v tom, že vám dle svého vlastního uvážení blokuje některé IP adresy, když se mu zdá, že by to mohlo někomu uškodit.Ale musím uznat, že je opravdové marketingové umění prodat svévolnou cenzuru jako fíčuru, za kterou si lidi mají připlatit.
-
Vlakno je to posledni, co by CETIN trapilo. Maji jich v zemi mraky. A jinak se na to jde divat take tak, ze utraci za za nejake R&D. Zkoumaji nove moznosti, technolgie - a pak to logicky zkousi na jedne vybrane lince. Ano, mozna to je slepa ulicka... ale i ty k R&D take preci patri. A nebo to slepa ulicka nebude, delat zavery je predcasne.
