Тунелът, ровът и мостът - трите начина да пазим това, до което не бива да се стига отвън.
VPN (виртуална частна мрежа) звучи скучно, но идеята е елегантна: копаеш криптиран тунел през отворения интернет и от другата страна излизаш вътре в мрежата, все едно никога не си бил навън. За отдалечена работа е удобно - седиш вкъщи, а системата те третира като служител зад бюрото. Проблемът е, че тунелът не пита кой всъщност минава през него. Пита само дали имаш ключа.
И точно затова VPN е любимата врата на нападателите. Не се налага да разбиват стена - достатъчно е да откраднат данни за вход, изтекли от някой друг сайт, и да ги пробват тук с надеждата, че паролата е същата. Влязат ли през тунела, системата отвътре вижда само легитимен трафик - крадецът остава невидим за нея. Затова добрите мрежи вече не се доверяват само на тунела - искат второ доказателство: устройство, което разпознават, поведение, което пасва.
Air-gap е другата крайност - ров без мост изобщо. Машината няма кабел към интернет, няма Wi-Fi чип, физически е откъсната. Използва се там, където цената на пробив е катастрофална: индустриални контролни системи, резервни копия, най-важните ключове за криптиране. Неудобството е брутално - всяка актуализация влиза пеша, на USB стик, през човек, който носи риска буквално в джоба си. Но точно тази неудобност е защитата. Няма мрежа - няма как да се хакне отдалечено.
Jump host е компромисът между двете - тесен мост през рова, вместо десет отворени врати. Всеки, който иска да стигне до вътрешните системи, минава първо оттам, и оттам всяко негово движение се записва. Хубавото е, че вместо да пазиш сто входа, пазиш един, стегнато. Лошото е огледално - падне ли тъкмо този мост, нападателят наследява целия трафик, минал през него. Затова добрите екипи не спират дотук - следят самия мост толкова внимателно, колкото и рова зад него.
Това го бива
Първият инстинкт у дома беше да отворя VPN към всичко - удобно е, работиш отвсякъде. После се замислих кой друг има същия ключ, ако лаптопът ми изтече или паролата ми се появи в някой стар пробив. Сега най-чувствителните неща нямат мрежов път навън изобщо - буквално air-gap на малка машина, до която се стига само физически. Не е удобно. Точно затова работи.
VPN държа само за нещата, които трябва да достигна отдалечено, и през тесен jump host, не през отворена врата към всичко. Разликата е философска: приемаш, че удобството и сигурността дърпат в различни посоки, и решаваш съзнателно кое колко струва, вместо да оставиш инерцията да реши вместо теб.