Životní cykly a kryptografie

Podvědomě tušíme souvislosti se stářím vybavení, jeho spolehlivostí a obecnou bezpečností. Na druhou stranu je obtížné si uvedený problém představit v oblasti kryptografie a tyto dopady vývoje přijmout. Zajímalo mne, jak vůbec je možné nad uvedenými životními cykly uvažovat, jaký mají vliv na bezpečnost, případně jaké vztahy jsou mezi životními cykly kryptografie a dalších aplikací nebo služeb. Cílem je jednak pochopení motivací udržet stávající řešení, dále dopady prodlužování na technologický dluh a nakolik může přístup za pomoci kryptoagility uvedené problémy řešit. Tato série článků se snaží sumarizovat přičiny, které překáží pravidelné a hlavně rychlé obměně kryptografie, stejně jako poskytnout přehled důvodů. Pokud důvody těchto problémů známe, jsme schopni je zvážit a odpovídajícím způsobem se rozhodnout.

Bezpečnost (security) versus ochrana (safety)

Na začátek je nutné se na záležitost životních cyklů podívat s nadhledem a zamyslet se nad tím, proč jsou pro nás tak důležité. Jedná se hlavně o zajištění funkčnosti zařízení a dopady změn této funkčnosti na lidské zdraví a majetek. A tady se začíná rýsovat první problém. V češtině se pojmy security a safety často překládají stejně jako „bezpečnost“, i když jde o dvě odlišné věci. Bezpečnost ve slova smyslu security zajišťuje ochranu dat, majetku nebo systémů před zneužitím, krádeží nebo neoprávněným přístupem. Zaměřuje se hlavně na úmyslné útoky a narušení zvenčí. Na druhou stranu bezpečnost jako safety znamená ochranu zdraví, života a celkové pohody v situacích, kdy může dojít k nehodě nebo selhání. Cílem je snížit riziko zranění nebo škody při nechtěném selhání systému. Rozdíl je možné dobře ukázat na „obyčejném“ zámku u dveří. Security zámek brání tomu, aby se k věcem dostal někdo nepovolaný. Safety zámek naopak zajišťuje, aby člověk mohl rychle a bezpečně odejít, když se něco pokazí, například při požáru. V případě životních cyklů se tak řeší obě záležitosti. Důvodem je na jedné straně bezpečnost ve slova smyslu security, která časem degraduje. Ne nepodstatnou je ale také bezpečnost ve slova smyslu safety, kde dochází k degradaci samotné komponenty a dochází k jejímu technickému a morálnímu zastarávání.

Životní cykly, technický pohled

Pokud se budeme bavit o situaci, kdy je potřeba řešit životní cykly zařízení, patrně potřebujeme u těchto zařízení řešit pravidelnou obměnu. Ta je závislá na cílových podmínkách a hlavně, jaká životnost pro nás bude určující. První pohled tak může být víceméně technologický, používá tři základní termíny:

Technická životnost udává kdy ještě komponenta fyzicky funguje. Na technickou životnost má vliv architektura a návrh v závislosti na provozních nárocích. V případě hardware tak živostnost ovlivňuje typ použitých komponent nebo teplota zařízení. Běžně se v případě elektroniky udává, že při růstu teploty nad 20˚C každý krok o dalších 10˚C zvyšuje opotřebení součástek na dvojnásobek. To lze velice volně interpretovat jako zvýšení poruchovosti nebo snížení spolehlivosti. Naproti tomu teploty pod 10˚C nebo cyklování (zapínání a vypínání zařízení) přináší jiné problémy. Jedná se o napěťové špičky, proudové nárazy nebo vliv rozdílné teplotní roztažnosti použitých materiálů (trhání čipů).

Morální životnost popisuje dobu, kdy přestává mít smysl komponentu používat. To zahrnuje nejenom kompatibilitu, ale i ekonomiku provozu nebo marketingové aktivity (přesvědčení zákazníků). Nejčastěji je potřeba počítat s náklady na pořízení, tedy cenu nového vybavení, ale i náklady na provoz (TCO - Total Cost of Ownership). Pod těmito náklady je schovaná například energetická efektivita versus požadavky na chlazení a hlavně obsluha. Pokud náklady na provoz starého systému překročí náklady na zakoupení a provoz nového systému, je možné tuto situaci považovat za konec morální životnosti. Nový systém má zpravidla nižší TCO než starý, výměna se pak stává otázkou dostupných prostředků. Mimo nákladů tu pak jsou různé přidané vlastnosti, jako například podporované bezpečnostní funkce. V případě nákladů na provoz je potřeba také připočíst výkonnostní změnu, při obnově hardware má nové zařízení během tří až pěti let zpravidla 2,5x vyšší výpočetní výkon proti příkonu než staré (PUE - Power Usage Efficiency).

Životnost podpory (častěji se používá doba podpory) je patrně nejnáročnější disciplína. Zařízení může fyzicky pracovat, tedy splní svůj účel. Ale to je k ničemu, pokud není pro toto zařízení podpora. V takovém případě jakýkoliv, běžnými prostředky neřešitelný problém, vede k výpadku nebo nutnosti migrace na nové řešení. A migrace z nepodporovaného systému dokáže být noční můrou projektu. Tedy podpora ze strany výrobce a podpora bezpečnostních update se za určitých podmínek stává důležitější, než technická nebo morální životnost. Protože podpora má ekonomické dopady, lze zhruba tvrdit následující. Do 5 let bývá dostupná podpora a dokonce i záruční či pozáruční servis. Mezi 5-10 lety je takový servis občas možný, ale velice drahý. Zpravidla se týká pouze enterprise systémů. Mezi 10-20 lety je servis téměř nemožný, řeší se kanibalizací komponent nebo systémů a nad 20 let je provoz takového systému možný prakticky pouze v případě vlastního skladu a servisování komponent.

Životní cykly, normativní pohled

Mimo technologického pohledu je ještě pohled normativní, který poskytují standardy jako je ITIL, IT4IT, ISO nebo COBIT. Uvedené pohledy se liší, ale mají společnou jednu záležitost. Životní cyklus je u konce společně s koncem podpory. Díky ukončení podpory totiž výrazně narůstá riziko bezpečnostních problémů a nedostupnosti. Z tohoto pohledu je tak možné uvedená hodnocení přepsat následujícím způsobem:

COBIT je rámec využívající řízení procesů změny, řízení rizika a odpovědnost za produkt/službu. Z pohledu uvedeného způsobu řízení musí přínos služby vždy překonat kombinaci rizika (hrozeb a nákladů na jejich odstranění), normativních nesouladů (a jejich řešení) a nákladů. Pokud k tomu tak není, je uvedená služba považována za nedostatečnou.

ISO prosazuje kontinuální řízení rizika (ISO 270001) kdy produkt nebo služba není bezpečná a je na konci své životnosti za následujících podmínek. Obsahuje zranitelnosti, není podporovaná nebo auditovatelná. Z pohledu asset managementu (ISO 55000) se jedná o kombinaci ekonomiky provozu (nákladů na provoz, údržbu a obměnu) nebo dopadů degradace (fyzické nebo morální). Tedy obsahuje technickou a ekonomickou stránku, stejně jako hodnocení rizik.

ITIL určuje, že životní cyklus je službou sám o sobě. Dokud produkt nebo služba přináší hodnotu, případně pokud rizika a náklady na jejich obhospodaření (včetně vlastní služby řízení životního cyklu) nepřesáhnou přínosy řízení daného produktu nebo služby, je stále možné ho dále využívat. V současnosti se považuje za ochranu před zvýšením nákladů kontinuální vývoj nebo vylepšování dané komponenty, náklady na tento vývoj jsou skládány s přínosy pro organizaci. Jakmile výsledný přínos klesá, je produkt/služba na konci své životnosti a je nutné zajistit obměnu.

Tento popis je pouze základní přehled složitosti pravidel a vztahů životních cyklů. Není cílem tyto cykly kompletně popsat, jenom uvést do problematiky. Životní cykly bohužel komplikují řízení a spolupráci systémů. To platí obzvláště pokud nedojde k pochopení motivací, které k těmto životním cyklům vedou. V praxi je často největší problém ne technika, ale odpovědnost (a s tím související akceptace rizika, snaha se vyhnout investicím) a know-how uvedených osob. To se týká rolí (kryptolog a architekt), procesů (schvalování a řízení změn), vlastníků odpovědných za migraci a hlavně osob, které ponesou riziko kryptografického dluhu.

Pokračování příště

Pokračování životních cyklů se v dalším dílu bude věnovat Zombie apokalypse, dopadům životních cyklů a útokům na kryptografii. Následovat bude vysvětlení motivace pro řízení kryptografie, životních cyklu kryptografie a objasnění kryptografickému dluhu. Poslední díl pak bude řešit měření kryptografického dluhu a důsledkům v řízení a obsluze tohoto dluhu. Součástí tohotu přehledu není životní cyklus kryptografického materiálu, ani otázka migrace na kryptografii odolnou kvantovým počítačům. Těmto tématům se věnují jiné články.

Autor článku:

Jan Dušátko

Jan Dušátko se počítačům a počítačové bezpečnosti věnuje již skoro čtvrt století. V oblasti kryptografie spolupracoval s předními odborníky např. s Vlastimilem Klímou, či Tomášem Rosou. V tuto chvíli pracuje jako bezpečnostní konzultant, jeho hlavní náplní jsou témata související s kryptografií, bezpečností, e-mailovou komunikací a linuxovými systémy.