Ve světě počítačových sítí a bezpečnosti informací existuje mnoho termínů a algoritmů, se kterými se odborníci na IT setkávají. Jedním z nich je CBC (Cipher Block Chaining) – režim fungování symetrického šifrovacího algoritmu. AES (Advanced Encryption Standard) je algoritmus symetrického šifrování, který je v současnosti nejoblíbenější a nejbezpečnější. HMAC (Hash-based Message Authentication Code)je hashovací a ověřovací algoritmus pro integritu dat. SHA1 (Secure Hash Algorithm 1) je kryptografická hashovací funkce široce používaná ke kontrole integrity dat.
Na MikroTik, vysoce výkonné platformě směrování a zabezpečení sítě, hrají tyto algoritmy důležitou roli při zajišťování bezpečnosti sítě a sdílení informací. Znalost a pochopení těchto termínů a algoritmů pomůže správcům sítě zlepšit zabezpečení jejich infrastruktury.
CBC šifrování je jedním z režimů fungování šifrovacích algoritmů. Tento režim poskytuje autentizaci a ochranu dat před změnou pomocí inicializačního vektoru. AES je symetrický šifrovací algoritmus, který používá pevné datové bloky a klíč k šifrování a dešifrování informací. HMAC umožňuje vytvářet autentizační kódy založené na hash funkci, které lze použít k ověření integrity dat. SHA1 je kryptografická hashovací funkce, která poskytuje záruku integrity dat a vysokou míru spolehlivosti.
Použití těchto algoritmů na MikroTik umožňuje vytvořit spolehlivou a bezpečnou síť s ochranou informací a zajistit bezpečnou výměnu dat. Znalost a schopnost aplikovat tyto algoritmy je nedílnou součástí práce správce sítě a pomáhá zajistit spolehlivost a bezpečnost interakce.
Kapitola 1: CBC-režim šifrování blokových algoritmů
Šifrování v režimu CBC probíhá následovně:
- Zpráva je rozdělena do datových bloků stejné délky.
- Každý datový blok prvním krokem prochází procesem kombinace XOR s předchozím šifrovaným datovým blokem. Pokud se jedná o první blok, provede se jeho kombinace XOR s inicializačním vektorem (IV).
- Výsledný výsledek je aplikován na vstup šifrovacího algoritmu (např. AES), který vrací zašifrovaný datový blok.
- Zašifrovaný datový blok je předán dalšímu bloku, který opakuje všechny kroky cyklu.
- Po dokončení šifrování všech datových bloků se získané výsledky spojí a vrátí se jako zašifrovaná zpráva.
Přepis v režimu CBC probíhá v opačném pořadí:
- Šifrovaná zpráva je rozdělena do datových bloků stejné délky.
- Každý datový blok prvním krokem prochází procesem dešifrování šifrovacím algoritmem (např. AES).
- Dešifrovaný datový blok prochází procesem kombinace XOR s předchozím šifrovaným datovým blokem. Pokud se jedná o první blok, provede se jeho kombinace XOR s inicializačním vektorem (IV).
- Výsledný výsledek se spojí a vrátí se jako dešifrovaná zpráva.
Režim CBC je spolehlivým prostředkem ochrany informací při použití blokových šifrovacích algoritmů. Poskytuje soukromí dat, integritu a detekci změn v zašifrovaných zprávách. V MikroTik je režim CBC aplikován ve spojení s dalšími algoritmy, jako jsou AES, HMAC a SHA1, aby byla zajištěna bezpečnost dat a ochrana síťových připojení.
Co je CBC?
V režimu CBC je každý datový blok šifrován samostatně pomocí speciálního inicializačního vektoru (IV) a poté je operace XOR aplikována na zašifrovaný blok a další blok otevřeného textu před jeho šifrováním. Každý blok tedy závisí na předchozím, což poskytuje určitý tvar "řetězce".
Díky použití operace XOR režim CBC zabraňuje snadnému obnovení zdrojových dat ze zašifrovaného toku, i když vstupy obsahují duplicitní bloky. Režim CBC však neposkytuje automatizaci dat a ochranu před změnami informací.
Chcete-li použít režim CBC v Mikrotiku, musíte před výběrem AES jako šifrovacího algoritmu zadat příslušné nastavení v možnostech šifrování nebo značky.
Jak funguje CBC?
Data v režimu CBC jsou šifrována jednotkami stejné velikosti a prezentována jako obvod, kde každá šifrovaná jednotka závisí na předchozí šifrované jednotce. U prvního bloku je předchozí blok považován za náhodný vektor a nazývá se inicializační vektor (IV).
Proces šifrování v režimu CBC začíná aplikací operace XOR na první datový blok a IV. Výsledek je poté šifrován pomocí tajného klíče. Šifrovaná jednotka se stává vstupními daty pro operaci XOR s dalším datovým blokem. Tento proces se opakuje pro každý datový blok.
Dešifrování dat v režimu CBC se provádí obráceně. Zašifrované datové bloky jsou dešifrovány pomocí tajného klíče a poté podrobeny operaci XOR s předchozím zašifrovaným blokem. Výsledkem je dešifrovaný zdrojový blok.
Použití režimu CBC zvyšuje zabezpečení šifrování, protože vstupy každého bloku závisí na předchozí jednotce inicializačního vektoru, takže je obtížné obnovit původní data bez znalosti správného klíče.
Poznámka: Režim CBC může být napaden vyřazením z rytmu (postup útoku změnou doby provádění algoritmu). Proto se doporučuje používat další bezpečnostní opatření, jako je HMAC (Hash-based Message Authentication Code) nebo SHA1 (Secure Hash Algorithm 1).
Aplikace CBC na MikroTik
V režimu CBC se každý blok otevřeného textu před šifrováním složí s předchozím šifrovaným blokem. Změnou jednoho bitu v otevřeném textu tedy dojde ke změně celého bloku šifrovaného textu. Tato vlastnost CBC jej činí odolným proti rušení, protože chyby v přenosu dat nezůstávají bez povšimnutí a neovlivňují dešifrování zbývající části zprávy.
CBC používá inicializační vektor (IV), který se přidává do prvního bloku otevřeného textu. IV je vybrán náhodně a měl by být společný pro odesílatele a příjemce.
Konfigurace CBC na MikroTik se provádí prostřednictvím příkazu /ip ipsec proposal set. Musíte zadat požadovaný název proposalu a vybrat vhodné možnosti šifrování. Pro použití CBC režimu je třeba zadat hodnotu cbc-* namísto ctr-* v poli enc-algorithms.
Příklad příkazu Nastavení CBC v proposalu:
/ip ipsec proposal set [ find default=yes ] name=cbc-proposal enc-algorithms=aes-256 strong enc-algorithms=aes-128 strong
Chcete-li použít nastavení CBC proposal režimu, měl by být uveden v poli proposal nebo tunnel v nastavení ipsec, podle toho, na jaké úrovni je použití CBC vyžadováno. Pro šifrování je nutné vybrat vytvořený proposal.
Kapitola 2: AES-symetrický šifrovací algoritmus
Základní myšlenkou AES je, že používá klíčové rozdělení a zástupné místo k vytvoření šifrotexu z původního textu. AES podporuje klíče různých délek (128, 192 a 256 bitů) a různé provozní režimy, jako je Electronic Codebook (ECB), Cipher Block Chaining (CBC) a další.
Pracovní režim CBC (Cipher Block Chaining) je jedním z nejběžnějších pracovních režimů AES. V režimu CBC je každý blok původního textu před šifrováním smíchán s šifrováním předchozího bloku. Díky tomu je šifrování odolnější vůči různým útokům a chrání před identifikací stejných bloků původního textu v šifrovacím textu.
K zajištění integrity dat a ověření integrity používání šifrování se často používá algoritmus HMAC (Hash-based Message Authentication Code) ve spojení s AES. HMAC používá hash funkci (např. SHA1) ke generování kódu autenticity zprávy. Po obdržení zprávy je možné ověřit její integritu porovnáním hodnot HMAC.
Co je AES?
AES je v současné době jedním z nejběžnějších a nejspolehlivějších šifrovacích algoritmů široce používaných v různých oblastech, včetně ochrany informací, bezpečné komunikace a ukládání dat.
AES funguje na bázi blokového šifrování, to znamená, že šifruje data jednotkami pevné velikosti. Velikost bloku v AES je 128 bitů. Podporuje také tři různé varianty klíčů: AES-128, AES-192 a AES-256, kde číslo označuje délku klíče v bitech.
Hlavní síla AES spočívá v jeho schopnosti zajistit bezpečnost dat jejich přeměnou na nepředvídatelnou a nemožnou formu obnovy. K tomu dochází kombinací šifrovacího klíče s datovými bloky v procesu šifrování a dešifrování.
AES zajišťuje vysokou bezpečnost dat pomocí nelineárních matematických operací a opětovného použití šifrovacích operací pro každý datový blok.
MikroTik AES se používá k šifrování a ochraně provozu v síti. AES lze například použít k ochraně konfigurace routeru nebo přístupového bodu a k vytvoření chráněných tunelů VPN.
Jak AES funguje?
Šifrování: Na začátku procesu jsou data rozdělena do bloků pevné velikosti. Každá jednotka je pak nezávisle zpracovávána pomocí připojení (šifrovacího klíče). Každý blok je postupně vystaven několika cyklům, které zahrnují substituci a přeskupování bajtů, míchání sloupců a posuny. To vytváří kryptografickou odolnost a poskytuje dobrou difúzi a konfuzi dat.
Klíčový plán: Šifrovací klíč prochází řadou konverzí, které vytvářejí další klíče pro každé kolo šifrování. Počet kol závisí na velikosti klíče: 10 kol pro 128bitový klíč, 12 kol pro 160bitový klíč a 14 kol pro 192bitové a 256bitové klíče.
Dešifrování: Proces dešifrování se provádí sekvenčním použitím zpětných šifrovacích operací k zašifrovaným blokům a použitím příslušných zpětně vytvořených klíčů. Tímto způsobem lze získat zdrojová data bez ztráty informací.
AES je považován za jeden z nejspolehlivějších šifrovacích algoritmů a je široce používán v různých oblastech, jako je ochrana dat v síti, ukládání informací a Ochrana soukromí v digitálních systémech.
Aplikace AES na MikroTik
Pomocí AES je možné zašifrovat a dešifrovat informace přenášené mezi zařízeními MikroTik. Všechna data procházející směrovači nebo přepínači MikroTik mohou být chráněna pomocí tohoto algoritmu.
Pro aplikaci AES na MikroTik je nutné nakonfigurovat šifrování na příslušných rozhraních nebo službách. Můžete si vybrat z režimů šifrování, jako je CBC (Cipher Block Chaining), který používá řetězec bloků k vytvoření šifrované sekvence.
Při použití AES s režimem CBC je každý datový blok šifrován Samostatně. To poskytuje spolehlivější ochranu dat, protože změny v jednom bloku nebudou mít vliv na dešifrování následujících bloků.
Je důležité si uvědomit, že zabezpečení šifrování AES závisí na správném nastavení klíčů a nastavení. Pro zvýšení úrovně zabezpečení se doporučuje používat dlouhé klíče a provádět pravidelnou výměnu klíčů.
Aplikace algoritmu AES na MikroTik umožňuje zajistit soukromí a integritu dat a chránit síť před neoprávněným přístupem.