Air-gap
Air-gap (szczelina powietrzna) oznacza, że maszyna albo segment sieci nie ma połączenia z internetem ani z innymi sieciami uznanymi za niezaufane. Nie „firewall na maksimum”. Brak kabla, brak Wi-Fi, brak celowego mostu. Ruch wchodzi i wychodzi tylko świadomymi nośnikami albo wcale.
Na blackweb.pl air-gap to decyzja architektoniczna dla wysokiej wartości: klucze główne CA, materiał źródłowy dziennikarza, cold storage, systemy OT. Nie jest domyślnym ustawieniem laptopa do poczty. I nie jest obietnicą „sto procent”.
Po co się to robi
Gdy powierzchnia zdalna ma spaść do zera, odcinasz sieć. Atakujący z internetu nie skanuje portów, których nie ma. Nie dostarcza payloadu przez przeglądarkę, której nie ma. Model jest brutalnie prosty: brak kanału, brak tej klasy wektora.
W praktyce air-gap pojawia się tam, gdzie skutek kompromisu jest nieproporcjonalny do wygody: infrastruktura krytyczna, wojskowe systemy sterowania, HSM i ceremonie kluczy, portfele offline. Opis historyczny Stuxnetu pokazuje też drugą stronę: izolacja zmusza przeciwnika do innych ścieżek, nie do rezygnacji.
Gdzie dziura i tak istnieje
Pendrive, dysk zewnętrzny, karta SD, „tylko ten jeden update”, laptop serwisowy podpięty „na chwilę”, pracownik z telefonem w kieszeni przy konsoli. Kanały side-channel (akustyka, EMI, optyka) są w literaturze; dla większości threat modeli liczy się raczej higiena nośników i procedur niż science fiction z konferencji.
Air-gap nie chroni przed osobą z fizycznym dostępem i motywacją. Nie chroni przed błędem procedury: skopiowaniem pliku z zainfekowanej stacji „pomocniczej”. Nie czyści metadanych na nośniku. Nie zastępuje szyfrowania spoczynkowego, jeśli ktoś wyniesie dysk.
Air-gap a „prawie odłączone”
Sieć „tylko do intranetu”, maszyna z Wi-Fi wyłączonym w GUI, VLAN bez routingu do WAN: to ograniczenia, nie air-gap. Słowa mają znaczenie, bo marketing lubi je mylić. Jeśli istnieje jakikolwiek most do świata zewnętrznego, modelujesz most, nie szczelinę.
Podobnie „air-gapped backup” w chmurze z jednokierunkowym replikatorem: sprawdź, czy jednokierunkowość jest sprzętowa i audytowalna, czy tylko w PowerPoincie. Threat model pyta o założenia, nie o buzzword.
Opsec przy izolacji
Dziennikarz albo analityk z maszyną offline nadal zostawia artefakty: kiedy nośnik był podłączany, jaki hash pliku, kto miał klucz do szafy. Kompartmentacja tematów i urządzeń (opsec) zostaje. Air-gap zmniejsza zdalny wektor; nie usuwa ludzkiej warstwy.
Dla czytelnika blackweb.pl praktyczny wniosek: stosuj izolację tam, gdzie wartość materiału to uzasadnia, opisuj procedury transferu tak samo surowo jak brak kabla, nie udawaj, że pendrive jest niewidzialny. Reszta narzędzi (sandbox, firewall, szyfrowanie) uzupełnia, nie zastępuje decyzji o braku sieci.