ZKP a soukromí P2P relací v sítích dVPN a DePIN

Co je to vlastně SASE a proč na tom záleží

Už se vám někdy stalo, že jste se v kavárně pokoušeli připojit přes těžkopádnou VPN, jen aby se načítání jednoduché tabulky vleklo hlemýždím tempem? Je to bezpochyby jedna z nejvíce frustrujících věcí na moderním stylu práce „odkudkoliv“. A právě proto se v poslední době tolik mluví o SASE.

Dříve vypadala kybernetická bezpečnost jako hrad s vodním příkopem – v kanceláři jste měli robustní firewall, a dokud jste byli uvnitř, byli jste v bezpečí. Jenže dnes jsou naše data všude. Používáme Salesforce v kuchyni, přistupujeme k lékařským záznamům z tabletů nebo kontrolujeme skladové zásoby přímo z haly.

Podle definice společnosti IBM je SASE (vyslovováno jako „sassy“) zkratka pro Secure Access Service Edge. V podstatě jde o způsob, jak propojit síťové funkce a zabezpečení do jednoho velkého balíčku poskytovaného prostřednictvím cloudu. Díky tomu nemusíte veškerý svůj provoz posílat zpět do zaprášené serverovny v centrále jen proto, abyste si zkontrolovali e-mail.

• SD-WAN (Síťová vrstva): Toto je „mozek“, který určuje nejrychlejší cestu pro vaše data, ať už využíváte 5G, domácí Wi-Fi nebo kancelářskou optiku.
• SSE (Bezpečnostní vrstva): Tato část funguje jako „vyhazovač“. Zkratka znamená Security Service Edge a byla zavedena později jako specializovaná bezpečnostní podmnožina širšího rámce SASE, která má na starosti výhradně ochranu.
• The Edge (Okraj sítě): Namísto jednoho centrálního uzlu probíhá zabezpečení v takzvaných „bodech přítomnosti“ (PoPs – Points of Presence), které jsou blízko vaší skutečné polohy.

Zpráva společnosti Gartner z roku 2021 definovala bezpečnostní polovinu tohoto řešení právě jako SSE. To je klíčové, protože to eliminuje takzvaný „hairpinning“ – onu otravnou latenci, kdy vaše data cestují stovky kilometrů do datového centra jen proto, aby se vrátila na webovou stránku, jejíž server je od vás vzdálený jen pár bloků.

Pokud provozujete maloobchodní řetězec nebo malou kliniku, nechcete spravovat deset různých bezpečnostních zařízení. SASE vše zjednodušuje tím, že pravidla přesouvá do cloudu. Jak uvádí Microsoft, tento přístup pomáhá vynucovat stejná pravidla pro zaměstnance s notebookem v parku i pro generálního ředitele v zasedací místnosti.

Nejde jen o rychlost, ale o to, aby digitální zadní vrátka nezůstala odemčená. V další části se podrobně podíváme na hlavní komponenty, jako je SD-WAN, a na to, jak bezpečnostní stránka celého systému reálně funguje.

Rozbor klíčových komponent SASE

Napadlo vás někdy, proč vaše firemní síť připomíná obří zašmodchané klubko vlny, na které se nikdo neodváží sáhnout? Upřímně řečeno, je to proto, že se stále snažíme řešit problémy roku 2025 nástroji z roku 2010. SASE jsou v podstatě nůžky, které nám konečně umožní tenhle chaos rozstřihnout.

Představte si SD-WAN jako chytrou GPS pro vaše data. Dříve jsme používali linky MPLS – což byly v podstatě drahé soukromé dálnice s mýtným, které vedly pouze do vaší kanceláře. Pokud jste byli doma, museli jste se "dotrmácet" až do kanceláře, abyste se vůbec dostali na tu "bezpečnou" cestu k internetu. Bylo to pomalé a, narovinu, dost nevýhodné.

Podle blogového příspěvku společnosti CodiLime SD-WAN odděluje síťový hardware od řídicích funkcí. To znamená, že nejste závislí na tom, jaký neohrabaný router máte zrovna ve skříni; software sám rozhodne, zda váš Zoom hovor poběží přes firemní optiku, 5G připojení nebo domácí broadband, podle toho, co má v danou chvíli lepší parametry.

• Konec závislosti na hardwaru: Nepotřebujete milion drahých krabiček na každé pobočce. "Mozek" celé sítě se nachází v softwaru.
• Směrování podle stavu sítě: Pokud vaše primární linka začne zlobit (jitter, lag a další obvyklí podezřelí), SD-WAN automaticky přesměruje provoz na zálohu, aniž byste si toho všimli.
• Radikální snížení nákladů: Můžete přestat platit za předražené MPLS okruhy a prostě používat běžný internet, z čehož bude mít finanční oddělení obrovskou radost.

Pokud je SD-WAN ona GPS, pak SSE (Secure Service Edge) je obrněný vůz. Je to ta bezpečnostní polovina mince SASE. Jak jsme už zmínili, Gartner s tímto termínem přišel proto, že některé firmy už mají síťovou infrastrukturu vyřešenou a chtějí jen tu bezpečnostní část.

SSE je zásadní, protože do jedné platformy integruje nástroje jako SWG (Secure Web Gateway – nástroj pro filtrování webového provozu a blokování škodlivých stránek), CASB (Cloud Access Security Broker – bezpečnostní kontrolní bod mezi uživateli a cloudovými aplikacemi) a FWaaS (Firewall as a Service – cloudový firewall, který se škáluje podle vašeho provozu). Zpráva společnosti Zscaler z roku 2024 uvádí, že SSE je podmnožinou SASE, která se zaměřuje výhradně na tyto bezpečnostní služby. (Zscaler 2024 AI Security Report) Je to ideální řešení pro firmy, které fungují v režimu "cloud-first" a nechtějí se starat o správu rozsáhlých fyzických pobočkových sítí.

SSE pomáhá organizacím zbavit se tzv. "hairpinningu" – toho otravného jevu, kdy váš provoz musí putovat do datového centra vzdáleného stovky kilometrů jen proto, aby byl zkontrolován, než se konečně dostane na cílový web.

Možná si říkáte: „Nemůžu si prostě koupit jen tu bezpečnostní část?“ Jistě, můžete. Ale SASE je verze, kde "celek je víc než součet jeho částí". Když propojíte síťovou vrstvu (SD-WAN) s tou bezpečnostní (SSE), získáte správu z jednoho jediného rozhraní (tzv. single pane of glass).

Představte si maloobchodní řetězec s 500 prodejnami. Místo aby v každém obchodě měli firewall a router, stačí jim jedna SASE politika. Pokud se pokladní v Ostravě pokusí otevřít pochybnou stránku, SWG ji okamžitě zablokuje, zatímco SD-WAN zajistí, aby transakce platebními kartami probíhaly tou nejrychlejší možnou cestou.

Ve zdravotnictví je to ještě kritičtější. Lékař, který provádí telemedicínskou konzultaci z domova, potřebuje nízkou latenci (díky SD-WAN), ale zároveň musí splňovat přísné normy pro ochranu dat (díky SSE). Pokud máte jen polovinu skládačky, výsledkem bude buď trhané video, nebo bezpečnostní díra.

V praxi jsem viděl několik úspěšných scénářů:

1. Finance: Národní spořitelní družstvo využilo SASE ke konsolidaci svých bezpečnostních nástrojů, čímž snížilo počet dashboardů, které musel jejich IT tým sledovat.
2. Výroba: Společnost s továrnami po celém světě využila SASE k zabezpečení svých IoT senzorů, aniž by musela vysílat techniky na každé místo kvůli konfiguraci hardwaru.
3. Vzdělávání: Univerzity díky SASE umožňují studentům přístup ke knihovním zdrojům odkudkoli, zatímco udržují hlavní akademickou síť v bezpečí před malwarem, který si lidé nevyhnutelně stahují do svých soukromých notebooků.

Nejde jen o to být "moderní" – jde o to zajistit, aby člověk pracující od kuchyňského stolu měl stejnou úroveň ochrany jako lidé v centrále firmy. V další části se podíváme na to, proč je v rámci SASE slovo "důvěra" v podstatě sprostý výraz.

Jak SASE pomáhá s detekcí hrozeb

Napadlo vás někdy, proč vaše firemní „zabezpečená“ síť působí, jako by držela pohromadě jen díky izolační pásce a modlitbám? Obvykle je to proto, že se stále snažíme lidem důvěřovat na základě toho, kde zrovna sedí, což je v roce 2025 upřímně ten nejhorší způsob, jak přistupovat k bezpečnosti.

Srdcem toho, jak SASE (Secure Access Service Edge) skutečně odhaluje útočníky, je koncept zvaný Zero Trust (nulová důvěra). V dřívějších dobách síť automaticky předpokládala, že pokud jste v kanceláři, jste „ten hodný“. Zero Trust tento přístup staví na hlavu – ke každému se chová jako k potenciální hrozbě, dokud dotyčný neprokáže opak.

Jak ve svém průvodci uvádí Microsoft, nejedná se pouze o jednorázové přihlášení. Jde o přístup řízený identitou. Systém neustále prověřuje: Je to skutečně náš ředitel? Proč se přihlašuje z tabletu v jiné zemi ve tři ráno?

• Kontext je klíčový: Platforma SASE zkoumá stav vašeho zařízení, vaši polohu a to, k čemu se snažíte přistoupit, než vás pustí dál.
• Mikrosegmentace: Namísto toho, abyste dostali klíče od celého hradu, získáte přístup pouze ke konkrétní aplikaci, kterou potřebujete. Pokud hacker ukradne vaše heslo, zůstane uvězněn v jedné místnosti, místo aby se volně pohyboval po celé budově.
• Kontrola stavu zařízení: Nástroje pro ochranu koncových bodů prověřují, zda má váš notebook zapnutý firewall a aktualizovaný software ještě předtím, než vás rozhraní API vůbec nechá navázat spojení.

Jednou z nejzajímavějších vlastností detekce hrozeb v rámci SASE je to, že vaše aplikace činí „neviditelnými“. V běžném nastavení vaše brána VPN prostě sedí na internetu a prakticky mává na hackery, aby si jí všimli.

Podle zprávy společnosti Trend Micro z roku 2024 nahrazuje ZTNA (Zero Trust Network Access) tyto zastaralé VPN a skrývá vaše aplikace před veřejným webem. Pokud hacker skenuje internet a hledá vaši mzdovou aplikaci, nenajde ji. Pro něj v podstatě neexistuje, protože SASE „vyhazovač“ ukáže dveře pouze těm, kteří již byli ověřeni.

Vzhledem k tomu, že veškerý váš provoz protéká přes cloud SASE, může systém využívat umělou inteligenci (AI) k odhalování podivných vzorců chování, které by člověk zcela přehlédl. Je to jako mít bezpečnostní stráž, která si přesně pamatuje, jak každý zaměstnanec chodí a mluví.

Analýza společnosti Zscaler z roku 2024 vysvětluje, že jelikož je architektura SSE (Security Service Edge) navržena přímo pro cloud, dokáže provádět hloubkovou inspekci šifrovaného provozu, aniž byste měli pocit, že se vracíte do dob vytáčeného připojení.

Většina dnešního malwaru se skrývá uvnitř šifrovaného provozu. Staromódní firewally mají problém do těchto paketů „vidět“, protože to vyžaduje příliš velký výpočetní výkon. Ale protože SASE funguje na principu Edge (na okraji sítě), dokáže tyto pakety otevřít, zkontrolovat na přítomnost virů pomocí strojového učení a během milisekund je opět uzavřít a odeslat.

Viděl jsem, jak tento systém zachránil různé typy podnikání:

1. Zdravotnictví: Lékař používá osobní iPad ke kontrole záznamů pacientů. Systém SASE zjistí, že zařízení není šifrované, a zablokuje přístup k citlivým datům, ale stále lékaři umožní zkontrolovat pracovní e-mail.
2. Maloobchod: Vedoucí prodejny v obchodním centru se pokusí stáhnout podezřelou přílohu. SWG (Secure Web Gateway) zachytí signaturu malwaru v cloudu dříve, než se vůbec dotkne lokální sítě prodejny.
3. Finance: Národní úvěrové družstvo využívá SASE k zajištění toho, že i když dojde ke kompromitaci fyzického internetu na pobočce, data zůstanou šifrovaná a spojení typu „inside-out“ zabrání útočníkům v laterálním pohybu sítí.

V zásadě jde o drastické zmenšení plochy útoku (attack surface). Pokud útočníci vaše aplikace vůbec nevidí a AI hlídá každý podezřelý pohyb, jste v mnohem bezpečnější pozici.

Dále si povíme o tom, jak vám toto „sassy“ nastavení ve skutečnosti usnadní – a zlevní – správu celé infrastruktury.

Reálné přínosy pro vaše podnikání

Upřímně řečeno, nikdo se ráno nebudí s nadšením, že bude spravovat síťový firewall. Většinou je to nevděčná práce, o které slyšíte, jen když je internet pomalý nebo když se nedaří připojit k VPN. SASE (Secure Access Service Edge) to však mění – celý tenhle chaos výrazně zjednodušuje a zároveň šetří nemalé peníze.

Jednou z největších nočních můr v IT je takzvaná „únava z konzolí“. Máte jednu obrazovku pro routery, další pro firewall a možná třetí pro cloudové zabezpečení. Je to vyčerpávající. Podle společnosti Zscaler vám SSE (bezpečnostní složka SASE) umožňuje konsolidovat všechny tyto dílčí produkty do jediné platformy. To přirozeně snižuje režijní náklady a finanční oddělení vám konečně přestane dýchat na záda.

• Konec „krabicové“ mentality: Nemusíte kupovat drahý hardware pokaždé, když otevíráte novou pobočku. Protože zabezpečení běží v cloudu, stačí vám základní internetové připojení a můžete fungovat.
• Snížení nákladů na MPLS: Jak jsme již zmínili, můžete přestat platit za předražené privátní linky. SASE využívá běžný internet, ale díky své architektuře se chová jako soukromá síť, což je pro firemní rozpočet naprostý průlom.
• Škálování bez dramat: Pokud zítra přijmete 50 nových lidí, nemusíte objednávat 50 nových hardwarových tokenů nebo výkonnější VPN koncentrátor. Jednoduše aktualizujete cloudovou licenci a jedete dál.

Všichni jsme to zažili – snažíte se připojit k Zoom hovoru, zatímco vaše VPN „přesměrovává“ (hairpinning) veškerý provoz přes datové centrum na druhém konci republiky. Výsledkem je lagování a chuť vyhodit notebook z okna. Protože SASE využívá body přítomnosti (PoPs – Points of Presence), o kterých jsme mluvili, bezpečnostní kontrola probíhá blízko uživatele.

Analýza společnosti Zscaler z roku 2024 vysvětluje, že tato distribuovaná architektura zajišťuje zaměstnancům v kavárně stejně vysokou rychlost připojení, jakou mají lidé sedící přímo v centrále firmy.

V praxi se to projevuje v různých odvětvích:

1. Maloobchod: Vedoucí prodejny potřebuje zkontrolovat inventář na tabletu. Místo čekání na pomalé připojení přes podnikovou centrálu ho SASE bezpečně nasměruje přímo ke cloudové aplikaci.
2. Finance: Bankovní poradce pracující z domova může přistupovat k citlivým databázím, aniž by musel při každém kliknutí na „uložit“ sledovat „nekonečné kolečko smrti“ své VPN.
3. Výroba: Vzdálené závody mohou připojit svá IoT čidla ke cloudu, aniž by potřebovaly IT specialistu přímo na místě pokaždé, když fyzický firewall nahlásí chybu.

Cílem je v podstatě učinit bezpečnost neviditelnou. Když vše funguje správně, zaměstnanci ani nevědí, že tam nějaké zabezpečení je – prostě jen vidí, že jejich aplikace běží rychle. V další části se podíváme na to, jak začít s přechodem na tuto moderní architekturu, aniž byste ohrozili stabilitu své stávající infrastruktury.

Implementace SASE bez zbytečných starostí

Takže jste se rozhodli přejít na model SASE, ale máte obavy, že tím rozhodíte vše, co jste dosud budovali? Upřímně, většina lidí se cítí stejně – nikdo nechce být tím, kdo v úterý ráno omylem shodí celou firemní síť.

Implementace SASE nemusí být noční můrou ve stylu „všechno vyhodit a začít znovu“. Ve skutečnosti ji můžete provádět po etapách, což je mnohem šetrnější k vašim nervům i rozpočtu.

Nejchytřejší způsob, jak začít, je vyřešit nejprve ten největší problém – obvykle zastaralou a těžkopádnou VPN. Jak jsme si řekli dříve, nahrazení VPN architekturou ZTNA (Zero Trust Network Access) je ideálním prvním krokem. Poskytne vašim vzdáleným pracovníkům vyšší rychlost a mnohem lepší zabezpečení, aniž byste museli sahat na hardware v kanceláři.

• Identifikujte své „rodinné stříbro“: Začněte tím, že pod ochranu SASE jako první umístíte své nejcitlivější aplikace.
• Vyberte si „pilotní“ skupinu: Nechte pár technicky zdatných kolegů z marketingu nebo obchodu otestovat nový přístup dříve, než jej nasadíte v celé firmě.
• Udělejte si pořádek v pravidlech: Využijte tento přechod jako záminku k odstranění starých uživatelských účtů, které v systému straší už tři roky.

Zpráva společnosti Zscaler z roku 2024 uvádí, že monitoring digitální zkušenosti (DEM) se postupně integruje přímo do platforem SASE, což je zásadní posun. SASE se totiž nachází přímo mezi uživatelem a aplikací, takže má dokonalý přehled o výkonnostních datech. To znamená, že můžete přesně zjistit, proč je připojení uživatele pomalé – ať už za to může jeho mizerná domácí Wi-Fi, nebo skutečný problém v síti – a to ještě dříve, než stihne zavolat na podporu.

Nemusíte kupovat vše od jednoho dodavatele, pokud nechcete. Některé firmy preferují přístup jednoho dodavatele („single-vendor“) kvůli jednoduchosti, zatímco jiné volí model dvou dodavatelů („dual-vendor“), kdy si ponechají stávající síťovou infrastrukturu a pouze přidají novou vrstvu cloudového zabezpečení.

Již zmíněná příručka od Microsoftu doporučuje, aby se vaše nasazení SASE propojilo s vašimi stávajícími poskytovateli identity. Pokud již používáte jednotné přihlašování (SSO), ujistěte se, že s ním váš nástroj SASE bezchybně komunikuje, aby si zaměstnanci nemuseli pamatovat další heslo.

Viděl jsem tento fázovaný přístup fungovat v praxi v různých odvětvích:

1. Školství: Univerzitní systém začal zabezpečením svých knihovních výzkumných databází pomocí ZTNA a poté postupně převedl zabezpečení kampusové Wi-Fi do cloudu.
2. Výroba: Globální firma si ponechala svůj tovární hardware, ale veškerý přístup pro dodavatele přesunula na platformu SASE, aby hlavní síť zůstala pro vnější svět „neviditelná“.
3. Maloobchod: Obchodní řetězec přidal cloudové firewally (FWaaS) nejprve do svých nových prodejen, zatímco ty staré nechal běžet na tradičních technologiích, dokud nevypršely smlouvy na hardware.

Ve výsledku je SASE cesta, nikoliv víkendový projekt. Začněte v malém, ověřte si, že to funguje, a pak systém škálujte. Vaše síť – i váš spánkový režim – vám za to později poděkují.