Názory k článku Co všechno se rozbije, až se Rusko odpojí od internetu?

Preco vsetko davaju do AWS, Google, Cloudflare, Azure? Lokalne hostingy su spatne? Je to proste moderne a vsetci to pouzivaju?

Také si občas říkám... Ono je to asi opravdu na jednu stranu sice do jisté míry bezstarostné, alespoň, co se HW týče, relativně levné, leckdy možná i dokonalejší - tím myslím třeba antispamovou kontrolu... Ale z mého pohledu vlastně smutné.
Ať už se jedná o faktické odsunutí služeb "bůhvikam", ztrátu know-how (bylo by zajímavé mapovat, k jaké ztrátě znalostí postupem let v oboru konfigurace a provozu třeba právě e-mailových serverů dojde), až po nastavení - občas pochybuji, že opravdu komplikovaná pravidla a nastavení, použité v lokálních e-mailových serverech, jsou 1:1 přenositelná do Googlu nebo Microsoftiho 365 bez potřeby nějakého kompromisu...
V neposlední řadě mi přijde poněkud přiblblé posílat si s kolegy e-maily v rámci kanceláře přes případně geograficky zcela odloučený server...

Poslední kapkou v této demagogii by mohla být třeba situace, kdy by Seznam, jakožto organizace, která, myslím, používá hodně svých proprietárních řešení, vybudovala vlastní velké datacentrum atd... by přenesla všechny "Seznam mailboxy" do Googlu nebo Office 365 :-D

On to není zas tak divný nápad. Dělal jsem před pár dny rozhovor s technickým ředitelem Seznamu a prý chvíli uvažovali nad tím, jestli se jim nevyplatí infrastrukturu dát třeba do Amazonu. Nakonec zjistili, že je to pro ně příliš drahé a je lepší si budovat vlastní datacentra a dokonce v poslední době i vlastní hardware. Článek bude, nebojte :-).

Vlastnym hardware myslite vlastnu spravu hw (udrzba, vymena komponent), skladanie vlastnych serverov z komponentov alebo vlastny navrh hardware (DPS, case na miru)? Tipujem tretiu moznost.

Ano, staví si vlastní servery. Máme o tom natočené povídání a spoustu fotek. Všechno bude, jen je potřeba to zpracovat a zařadit do redakčního plánu. Viděl bych to tak za 14 dnů.

V ČR neexistuje firma, která by AWS, Azure nebo GCP dokázala nahradit. Pokud máte projekt, který vydělává a musí prostě běžet, tak spustit managovanou databázi a Kubernetes cluster včetně load balancingu a persistent volumes je otázka jednoho odpoledne. Všechno tohle určitě nahradíte na VPSkách českých hostingů, ale nebude to hotové ani za měsíc, natož odpoledne a ke stejné spolehlivosti se budete plazit měsíce.

Lokální hostingy jsou dobré, pokud chceš hosting. Ale vesměs nenabízí totéž. Tedy zatím...

Divim se, ze na rootu ani zminka o dnssec. To by se asi kompletne a nenapravitelne rozbilo, ne?

DNSSEC se nerozbije. Ten jen přidává podpisy k DNS záznamům a pokud bude uvnitř uzavřené sítě kompletní kopie kořenové zóny, autoritativní servery TLD a koncové autoritativní servery, pak to bude fungovat normálně, protože do dat se nezasáhne a podpisy budou platné. Jak by se to mělo rozbít?

Mel jsem zato, ze korenove servery maji HSM, kterymi podepisuji odpovedi. A ty se asi jen tak nezkopiruji, ne?

Ne, HSM jsou jen na místech, kde dochází k provisioningu (2 datacentra v USA + Verisign). Servery žádné tajemství nemají. Nicméně, podpisy mají životnost 14 dnů, navíc po jednom týdnu zóna expiruje, takže při delším ostrovním provozu přestane DNS fungovat i pro ty, co DNSSEC nevalidují.

K čemu je takový experiment dobrý? Že by zvýšená kontrola datového toku (ve smyslu, co kam teče)? Nech jdou kamsi.

V článku je to vysvětleno. Pro případ masivního útoku. Když do Česka poteče ze všech stran na mnoho cílů několik terabitů provozu a nebude možné to zvládnout jinak, tak by se mohla velká část sítě takto odpojit a dočasně běžet, než se to zvládne. Mohly by fungovat kritické prvky: e-government, pošta, komunikace různých institucí uvnitř a podobně.

Ani nemusíte uvažovat o extrému typu války, ono jde obecně o nalezení nečekaných závislostí, které by vyskákaly třeba jen při dočasném výpadku některé konektivity.
Pěkný příklad v článku u nás je ta ReCaptcha - to prostě nemělo v dané službě důvod být a oprava této relativní "prkotiny" umožní poměrně důležité službě nezávislou funkci. A podobných věcí může být spousta.

V tomto ohledu si myslím, že je ruský test velmi rozumný, sice přinese nějaké ekonomické ztráty, ty ale při ohlášení předem nebudou asi nijak tragické a přínosy mohou převažovat...

Weby státního aparátu by měly být obecně budovány jako samostatně funkční v ostrovním provozu státu už z podstaty věci. Použít v nich jakousi captchu odkudsi z p**ele od jakýchsi pakátlů je diletantismus a hovadismus 1. třídy!

Paradoxem ovšem je, že DARPA to navrhovala právě tak, aby síť neohrozilo to, že část bude zničena. Dnešní centralizace některých služeb tak jde proti původnímu návrhu.

Nedavno byl na akci CZ.NICu Steve Crocker, coz je autor RFC1 a tam prave tento mytus vyvracel. Bezne se to rika, ale pravda to neni. Spise slo o snizeni nakladu na komunikaci.

Třeba je předmětem testu naopak zmapovat, o kolik klesne světový traffic tím, že se přeruší veškeré kybernetické útoky z Ruska :-D :-D

Tak na to jsem sám zvědavý, jenom aby se přitom neukázalo, že ty kybernetické útoky z Ruska jsou řízené ze zahraničí ;-)

To urcite ne. Ja bych si dokonce tipnul ze radikalne ustanou i utoky hakeru ze severni korei.

Pokud jsem občas sledoval, odkud jdou útoky na heslo roota přes SSH, tak nejčastěji to šlo z Číny.

A Venezuely a Iránu.

Možná je to pokus směřovat provoz přes uzel, který bude pod kontrolou vlády.

Zatím jsem nikde nenašel ani náznak informace, jak dlouho by ten test měl trvat. Jestli pár minut, tak budiž, ale takový výpadek (byť "jen" zahraniční) konektivity v řádu hodin už by pro spoustu firem znamenal velké komplikace a nezanedbatelné finanční ztráty.

Když to budou vědět dostatečně dlouho předem, tak se mohou připravit.

Moc ne. Dneska se bezne celej chod kancelare odehrava v googlu - emaily, dokumenty...nic neni lokalni. Takovejhle experiment muze znamenat, ze firma bude uplne paralizovana a jedina obrana je presunout vsechno do ruskych siti a to je samo o sobe nakladne. Ze by tohle byl ucel?

Dneska je to opravdu naprosto běžné, i taková Česká spořitelna má poštu u Google. Dnes frčí cloudová kancelářská řešení, buď od Google nebo od Microsoftu (Office365), je to velmi pohodlné, levné a má to spoustu výhod. Můžeme o tom vést spory, můžeme s tím nesouhlasit, ale to je tak všechno, co se proti tomu dá dělat.

Takhle to skutečně má dnes kdekdo. Odhadem polovina firem, kde jsem pracoval. Velkých i malých. Google, Microsoft.

To je ale blbost návrháře infrastruktury a fungování firmy. Internet je už z podstaty negarantované propojení různých subjektů (garantované může být nanejvýš tak spojení k ISP), jen na to lidi trochu pozapomněli. Potom nepočítat s možností, že to nepojede, je opět jen neschopností.

Spíš než neschopnost návrháře bych to viděl na 1) pohodlnost uživatelů (my máme gůgl a dropbox a nebudeme se učit nějaký lokální owncloud a jsme zvyklí na rozhraní XXX!), 2) cenu, kde například pronájem garantované linky mezi pobočkami nebo dokonce ke každému „senzoru v IoT“ bude stát mnohem víc než to hnát přes veřejný internet.

Myslim ze pvni navrh byl odpojit na 24 hodin

Rozumné by bylo dát to na neděli nebo státní svátek. Na různé kancelářské krysky to bude mít vliv jen marginální.
A ajťáci z větších služeb jako vkontakte a podobně, které by měli zůstat fungovat mohou mít klidně pohotovost nebo prostě pracovat a hned ty chyby opravovat.

Ale pořád nechápu k čemu je to až tak Dobré, když Internet je decentralizovaná síť.

Na té nejnižší úrovni ano, ale služby nad tím jsou pak hodně propojené. Přesně o tom je tenhle článek. Jde o to zjistit, co brání ve skutečném ostrovním provozu a jak to opravit pro případ, že by to bylo někdy skutečně potřeba.

Předpokládám, že ten test bude trvat několik hodin, to pro vystavování certifikátů není problém – nechávat obnovu certifikátu na poslední den není dobrý nápad i bez odpojení od internetu. Větší problém bude zmíněné CRL a OCSP, protože nebude možné zjistit, zda certifikát nebyl odvolán. Pro servery může být ještě větší problém OCSP stapling, chybně nakonfigurovaný server by dokonce mohl přestat odpovídat (pokud bude mít na OCSP tvrdou závislost).

Co se týče certifikačních autorit, české I.CA i PostSignum mají kořenové certifikáty mezi důvěryhodnými certifikáty ve Windows, I.CA má certifikát i u Apple. Sice je to smutné, ale jejich absence v Mozilla CA je z hlediska klientů málo zajímavá, protože to pokrývá jen menšinu uživatelů. I.CA už vydává QWAC certifikáty podle eIDASu, PostSignum zatím vydává doménové certifikáty „postaru“, ale předpokládám, že QWAC také budou podporovat. Takže české certifikační autority pro ostrovní provoz máme. A naopak předpokládám, že QWAC autority se do těch seznamů důvěryhodných certifikátů začnou přebírat automaticky – je to oboustranně výhodné, ze strany EU by na to měl být tlak, aby ty certifikáty bez problémů „fungovaly“ uživatelům, pro správce těch seznamů je to také výhodné, protože ověření za ně už udělala EU.

1. Prestane fungovat spousta webu a to i velmi dulezitych - banky, posta, vlada. Treba i kvuli naproste blbosti jako ta zminena captcha nebo zbytecne statistiky od guglu.
2. Ovsem co hur, prestanou fungovat maily. Z nasich klientu dobra polovina ma mail u guglu. A tech par co maji svoji domenu, polovina z nich ma maily presmerovane na gmail. Ten samozrejme po odpojeni prestane fungovat.
3. Pravdepodobne prestanou fungovat vsechny sluzby, co nejsou na lokalni domene. Jakakoliv com nebo net nebo info pravdepodobne nepojede.
4. Samozrejme prestanou fungovat vsechny komunikatory typu wazapp a podobni, ale to by mi nechybelo :-)
5. Kdovi, jestli by fungovaly credit karty.

Jedine pozitivum vidim v tom, ze by celkem urcite prestal fungovat facebook. To by meli lidi najednou casu :-)

A nie je prave cielom toho odpojenie toto vsetko zistit a prijat take opatrenia aby to nemalo fatalne nasledky?

No, z mého pohledu bude spíš zajímavé, jestli nám (myšleno světu) Rusko řekne co se rozbilo. A nebo si to nechá pro sebe a ať si uděláme také test...

Mnoho veci nejde ututlat takze to uvidime.
Zajime ale bude kdyz se dostanou do stavu ze se nebudou moc pripojit nazpet.

Myslím, že oficiálně se s výsledky chlubit moc nebudou. Nicméně určitě napadlo ostatní státy umístit si do Ruska dobře nakonfigurované "sondy" a sledovat poté zevnitř chování síťového provozu.

Takovou sondu si tam může připravit kdokoliv, určitě je tam dost poskytovatelů VPS, do kterých se dá nainstalovat monitoring. Stejně tak je tam spousta sond z projektu RIPE Atlas, ty ale nebudou bez dostupného řídicího centra fungovat.

RIPE Atlas sondy by AFAIK pri spadnutej konektivite v rozbehnutych testoch mali pokracovat (minimalne built-in testy bezia dalej) a uploadnut vysledky po opatovnom pripojeni.

Při ostrovním provozu v ČR budou mít výpadek taky telefonní hovory do a ze zahraničí a to tam, kde český operátor nepředává data tranzitním operátorům přes pronajatý privátní okruh, ale přes internet.

Ohledne toho jQuery z Google serveru: nechapu, proc si lidi na stranky vkladaj takhle skript z cizich stranek a nedavaji si jej radsi na vlastni server; vzdyt nema ani 100kB, takze vam na hostingu ani VPS paseku neudela, a navic to ma vyhody bezpecnostni (Google si na svem serveru muze dat na tu URL jaky skript chce, ktery muze byt i skodlivy; toto muze take udelat utocnik, ktery by Googleapis napadl) a navic prave tu, v tomto clanku zminovanou, decentralizacni, ktera je velice dulezita (na decetralizaci prece stavi prvotni myslenka Internetu, nebo ne?).
Ja mam zasadne jQuery naklonovane a hostovane na vlastnim serveru, a to uz jen treba z toho duvodu, ze kdyz nejde Internet, tak na LANce mi stale vse funguje jak ma.

linkovat jquery primo z guglu ma svoje pro a proti:

pro: ze clovek ma furt updatnutou verzi.
proti: google kdykoliv muze zmenit knihovnu tak, ze moje veci potom nepojedou.

Přesně proto se linkuje vždycky konkrétní verze, označení je součástí cesty. Takže neplatí ani jedno, verze se drží, takže se nic nerozbije. Ono by to ani nešlo, když ty soubory mají nastavenou ohromnou dobu kešování.

No ale skus toto vysvetlit ludom. Nemozne. Az pri dlhsom vypadku pochopia, ze cloud a vyuzivanie takychto veci (jQuery, reCaptcha a fontov u Googlu a nie u seba) ma aj svoje rizika :). Vlastny admin a zelezo je predsa drahe a narocne na spravu.
Na viacere veci ani nieje potrebne robit takyto test. Trochu zbehlemu cloveku su jasne. Velmi doby priklad je spominana seria clankov o odpojeni sa od velkej 5-tky. Ten clovek, co schavil tu reCatpchu hostovanu u google mal letiet v momente. Take nieco je neakceptovatelne.

Akurat sedim vo firme, kde v podste vsetko mame mimo firmu(google, aws, jira, github,..). Vypadok internetu alebo inych veci a sme ochromeny tak, ze si ani neprdneme. Vsetci su ale spokojny. Asi to bude tym, ze vsetci su SW vyvojari a ja jediny byvaly sys.admin, ktory pred tym pracoval biznise, kde takato zavislost bola neziaduca. Infrastruktura musela fungovat co najnezavislejsie.

Ten důvod je hlavně ten, že jQuery a podobné knihovny jsou servírované ze stejné adresy napříč všemi weby a s ohromně dlouhou životností. Takže je velmi pravděpodobné, že při načítání vaší stránky už má tu správnou jQuery prohlížeč v keši. Ta dlouhá životnost taky efektivně omezuje možnost serveru s kódem něco špatného udělat, to můžete navíc pojistit správným hešem v CSP hlavičce.

Pokud tedy pravidelně nečistíte cache prohlížeče, populární JS knihovny ani fonty nemusí být problém.

Tomuhle vysvětlení bych přikládal váhu, kdyby zbytek takové stránky neměl dva megabajty.

A ten uplne najhlavnejsi je ze ludia su lenivy a este jeden dolezity dovod. Niektori 'developeri' ani nevedia o com to tam pisete s tym hostovanim a dovodmi preco to odniekial tahat.

Zajímavé bude sledovat co se stane se službami mimo ruskou síť až se zase rusové připojí do globální sítě. Přeci jen v době kdy budou odříznuti tak se budou Android, iOS, windows atd. chtít neustále aktualizovat nebo synchronizovat a náhlé připojení milionů zařízení s požadavkem na synchronizaici pošle do globální sítě desítky milionů požadavků.

Každopádně rozhodně důležitý experiment pro národní bezpečnost který by se měl realizovat i v rámci buď EU nebo v rámci NATO a z experimentu vytvořit dokument pro státní organizace a firmy s doporučeními jak se na takovou situaci připravit.

Osobně si myslím, že takový experiment v rámci západních států nejde udělat, pokud není vyhlášen stav ohrožení. Jinak by stát musel odškodňovat všechny, kteří díky experimentu přijdou o spojení/data a tím i o peníze. V Rusku nebo Číně je to jiné...

Znovu: Ona je funkčnost internetu (tj. spojení 2 subjektů) garantovaná?

Každopádně tento pokus považuju za jednu z nejzajímavějších věcí, co se v posledních letech objevily.

Zaplatí někdo firmám ztráty a ušlé zisky způsobené výpadkem?

Proč by měl?
Je to typická "vyšší moc". Váš poskytovatel, který snad jediný vám něco garantuje, bude z obliga.

Typická vyšší moc to není. Je to zásah státu, který ale v mírové době těžko ospravedlníte. Je to asi stejný typ experimentu, jako kdyby zítra armáda na den zavřela všechny hranice. Jen tak, aby zjistila, jak se budou lidi chovat.

To je nesmysl - mezitímco právo opustit zemi máte garantováno, žádné právo funkčního propojení 2 subjektů internetem neexistuje.

Je to stejná vyšší moc, jako když si někdo zcela plánovitě udělá vojenské cvičení na mé zahrádce.

1/ mam z toho presne pocit, ze nasledne pujde o test centralizovaneho pripojeni s moznosti cenzury
2/ RBL a dalsi spamlisty zpusobi s nejvetsi pravdepodobnosti pad mnoha serveru na preplneny /var, aktualizace systemu budou v haji, virove databaze taktez... ale to jsou vsechno veci, ktere kratky (v radu hodin) vypadek stejne neodhali, takze je to IMHO dost polovicate reseni. prave bod 1 (tedy 'centralizovany' pristup) by byl vhodnejsi pro zjisteni techto kritickych mist. Jeho provedeni vsak vyzaduje duveru v autority, coz mi v Rusku prijde jako klicovy problem. (dalsi probkem pak je prehlceni takoveto centralizovane pristupove linky, ale to verim, ze je mozne technickymi prostredky zajistit).

A taky taková "pobídka" pro místní firmy, aby přesunuly data do Ruska pod kontrolu ruských úřadů, protože jinak k nim mohou kdykoli ztratit přístup.

To je ale logické bezpečnostní opatření, přičemž je třeba si připomenout, že bezpečnost má pro každého jinou hodnotu.

Nekomplikujte to:

1. Opravdový test jinak než vypnutím udělat nejde.
2. Když se něco složí, není to důkazem, že je chybná myšlenka testu, ale že daný systém je nedomyšlený a asi i nespolehlivý.
3. Test lze provést v různých rozsazích dle potřeb a třeba i opakovaně. Navrhuju jeden den v roku určit jako Den bez internetu a v ten den něco povypínat. :)

Je to vobec technicky mozne odstavit cele rusko od zvysku sveta?
Nebol predsa internet vymysleny tak, aby ho neslo len tak lahko vypnut?
Je mozne nejako znemoznit regulatorom tento test?
Ak si nejaky Rus nastavi antenu a bude komunikovat napr. cez finsko neadaptuje sa siet a nebude narodny traffic prudit cez tento uzol do zvysku sveta?

Resp. ako to technicky prebehne? Tipujem ze fyzicky kable asi neprerezu.
Dal by sa pouzit nejaky hack ako to obist?

Moze niekto vysletlit? Sorry ak su to hlupe otazky.
Diky! :)

Každý operátor má svou síť pod plnou kontrolou a rozhoduje o tom, kudy mu poteče provoz. Pokud se rozhodne, že poteče jen směrem do jednoho peeringového centra a bude komunikovat jen se třemi sítěmi v něm, tak to tak bude.

Koncový uživatel má nad svou domácí sítí naprosto stejnou kontrolu a může se připojit třeba přes družici k jinému operátorovi. Tomu původnímu ale nemá právo zasahovat do routingu (směrování), takže chování celé nadřazené sítě neovlivní. Rozhodně to nefunguje tak, že by se síť „automaticky adaptovala“ na pokyn kteréhokoliv klienta.

Mluví se o tom, že se vnější provoz přesměruje do jedné sítě, kterou bude řídit stát. Bude stačit, když se hraniční routery ruských sítí nastaví tak, aby neposílaly žádný provoz do mezinárodních tranzitních sítí (čili do internetu) a komunikovaly jen s úzkou skupinou okolních sítí sdružených zřejmě v nějakém státem řízeném peeringovém uzlu. Spojení bude existovat jen mezi těmito sítěmi a do zbytku světa nebudou existovat routy. Tím se sítě efektivně odříznou od internetu.

Myslím si, že experiment je ovšem zajímavý, ale...

Snad rovněž zajímavým je fakt, že pokus odpojení od vnějších sítí vztahuje se k návrhu zákona "o stabilním fungování internetu", který mimochodem vůbec neobsahuje informaci o tom, co internetu v Rusku hrozí, ale obsahuje dost slov "omezovat" a "kontrolovat", přitom nenavrhuje proti hrozeb nic kromě "národního DNS" (http://sozd.duma.gov.ru/bill/608767-7).

Jestliže se podívat globálně, v státním programu pod názvem "Digitální ekonomika RF" se plánuje vytvoření nových mechanismů cenzury a identifikace uživatelů v síti, instalace "nacionálních antivirů" do všech importovaných počítačů, a konečné omezení provozu do zahraničí až do 10% v roce 2024. (http://static.government.ru/media/files/9gFM4FHj4PsB79I5v7yLVuPgu4bvR7M0.pdf s. 65-85)

IT veřejnost v Rusku pochybuje, že jde o bezpečnosti, nezávislosti a stabilitě, spíš o cenzuře a totální kontrole. V této souvislosti je důležité dbát, jaký základ mají takové experimenty. Udržme internet volným a spojeným.

P.S. Omlouvám se za gramatické chyby a odkazy v ruštině (nenašel jsem jiné).

Ted to dava trocha smysl.
https://cybersec.sk/kyberneticka-politika/americania-odpojili-ruskych-trollov-od-internetu/

:D Zní to trochu jako: „Kdo se nám nelíbí nebo nehodí, toho odpojíme. Demokracii si rozvracet nedáme.“

Hodně hodně hezkých argumentů, ale souhlasím hlavně s jedním, podle mě nejpodstatnějším. Když Rusko vytvoří na pár hodin v průběhu prime-time odpojení od zbytku, extrémně velké množství uživatelů úplně všeho "natlakuje" síť gigantickou hromadou requestů ven i dovnitř a to sestřelí naprosto cokoliv. Je to z jejich strany opravdu velké BU BU BU! Zkusil bych si to představit tak, že tím de facto odpojí jeden nejmenovaný velmi často používaný operační systém, u kterého je MOŽNÉ, že nastane potřeba provádět aktualizacemi (tedy stavem systému, kdy je dokonce uživateli explicitně řečeno "NESAHAT, NEODPOJOVAT") jak instalaci nových dat, tak také SBĚR nějakých dat (nebuďme naivní...). Tzn, že první věc, kterou to sestřelí, je Bill a jeho "poselství". Jakmile se toto tedy nad neaktualizova­telnými systémy nepovede, uživatelstvo začne tlakovat requesty na DNS, prostornují aktualizace, použijí alternativní operační systémy, to je jedno. To sestřelí DNS (asi dočasně, ale nějak sestřelí... uživatelé stále netuší, že jede mód "ostrov"). Pak pozdechají normální weby a hromady služeb CDN/neCDN, distribuované, cloudové, to je jedno, protože prostě objem dat. No a mezi tím vším obrovským bordelem, kterej takto nastane si "ostrovní" systém připraví a načasuje svoje ovečky na to, aby si "vzal co mu patří". Hodně v uvozovkách. Bude to hodně velkej mazec, ale jasně to řekne jednu věc: software je od slova soft. Ten test to řekne jak jim (nevidět ven je prostě blbý), tak "globálním" superautoritám, přebujelým ultrahypersuper­megagigakorpo­racím, který to prostě bez ohledu na cokoliv neumanageují. Já bych to udělal na menším vzorku než je Rusko se slušnou autonomií v jinejch věcech a poměrně schopným programátorstvem. Netuším jak to zařídit, napadá mě snad JEJICH Ústavní soud, jestli vůbec nějakej mají...

Čeněk mooph Svoboda, Šťouchadlo Vyšťouchané

hmm...u mna by to bolo rovno na dovolenku. polovica timu na SK druha v USA, dovi dopo.