কিভাবে ইথারনেট এনক্রিপশন ডিভাইসের মূল্যায়ন এবং তুলনা করা যায়

আমি এই পর্যালোচনাটি লিখেছিলাম (বা, যদি আপনি পছন্দ করেন, একটি তুলনা নির্দেশিকা) যখন আমাকে বিভিন্ন বিক্রেতাদের কাছ থেকে বেশ কয়েকটি ডিভাইসের তুলনা করার দায়িত্ব দেওয়া হয়েছিল। এছাড়াও, এই ডিভাইসগুলি বিভিন্ন শ্রেণীর অন্তর্গত। আমাকে এই সমস্ত ডিভাইসের আর্কিটেকচার এবং বৈশিষ্ট্যগুলি বুঝতে হবে এবং তুলনা করার জন্য একটি "সমন্বয় ব্যবস্থা" তৈরি করতে হবে। আমার পর্যালোচনা কাউকে সাহায্য করলে আমি খুশি হব:

• এনক্রিপশন ডিভাইসের বর্ণনা এবং স্পেসিফিকেশন বুঝুন
• "কাগজ" বৈশিষ্ট্যগুলি থেকে আলাদা করুন যা বাস্তব জীবনে সত্যিই গুরুত্বপূর্ণ
• বিক্রেতাদের সাধারণ সেটের বাইরে যান এবং সমস্যা সমাধানের জন্য উপযুক্ত যে কোনও পণ্য বিবেচনায় অন্তর্ভুক্ত করুন
• আলোচনার সময় সঠিক প্রশ্ন জিজ্ঞাসা করুন
• দরপত্রের প্রয়োজনীয়তা আঁকুন (RFP)
• একটি নির্দিষ্ট ডিভাইস মডেল নির্বাচন করা হলে কি বৈশিষ্ট্য বলি দিতে হবে বুঝতে হবে

কি মূল্যায়ন করা যায়

নীতিগতভাবে, পদ্ধতিটি দূরবর্তী ইথারনেট সেগমেন্টের (ক্রস-সাইট এনক্রিপশন) মধ্যে নেটওয়ার্ক ট্র্যাফিক এনক্রিপ্ট করার জন্য উপযুক্ত যেকোনো স্বতন্ত্র ডিভাইসের জন্য প্রযোজ্য। অর্থাৎ, "বক্স" একটি পৃথক ক্ষেত্রে (ঠিক আছে, আমরা এখানে চ্যাসিসের জন্য ব্লেড/মডিউলগুলিও অন্তর্ভুক্ত করব), যা এক বা একাধিক ইথারনেট পোর্টের মাধ্যমে একটি স্থানীয় (ক্যাম্পাস) ইথারনেট নেটওয়ার্কের সাথে এনক্রিপ্ট করা ট্র্যাফিকের সাথে সংযুক্ত থাকে এবং এর মাধ্যমে চ্যানেল/নেটওয়ার্কের অন্য পোর্ট(গুলি) যার মাধ্যমে ইতিমধ্যেই এনক্রিপ্ট করা ট্র্যাফিক অন্যান্য, দূরবর্তী বিভাগে প্রেরণ করা হয়। এই ধরনের একটি এনক্রিপশন সমাধান একটি প্রাইভেট বা অপারেটর নেটওয়ার্কে বিভিন্ন ধরনের "পরিবহন" (ডার্ক ফাইবার, ফ্রিকোয়েন্সি বিভাগের সরঞ্জাম, সুইচড ইথারনেট, সেইসাথে একটি ভিন্ন রাউটিং আর্কিটেকচার সহ একটি নেটওয়ার্কের মাধ্যমে স্থাপন করা "সিউডোয়ারস" এর মাধ্যমে স্থাপন করা যেতে পারে, প্রায়শই MPLS ), ভিপিএন প্রযুক্তি সহ বা ছাড়া।

একটি বিতরণ করা ইথারনেট নেটওয়ার্কে নেটওয়ার্ক এনক্রিপশন

ডিভাইস নিজেই হতে পারে বিশেষজ্ঞ (একচেটিয়াভাবে এনক্রিপশনের উদ্দেশ্যে), বা বহুমুখী (হাইব্রিড, অভিসারী), অর্থাৎ, অন্যান্য ফাংশনও সম্পাদন করে (উদাহরণস্বরূপ, একটি ফায়ারওয়াল বা রাউটার)। বিভিন্ন বিক্রেতারা তাদের ডিভাইসগুলিকে বিভিন্ন শ্রেণী/বিভাগে শ্রেণীবদ্ধ করে, কিন্তু এতে কিছু যায় আসে না - একমাত্র গুরুত্বপূর্ণ বিষয় হল তারা ক্রস-সাইট ট্র্যাফিক এনক্রিপ্ট করতে পারে কিনা এবং তাদের কী বৈশিষ্ট্য রয়েছে।

ঠিক সেই ক্ষেত্রে, আমি আপনাকে মনে করিয়ে দিচ্ছি যে "নেটওয়ার্ক এনক্রিপশন", "ট্রাফিক এনক্রিপশন", "এনক্রিপ্টর" হল অনানুষ্ঠানিক পদ, যদিও সেগুলি প্রায়শই ব্যবহৃত হয়৷ আপনি সম্ভবত সেগুলি রাশিয়ান প্রবিধানে খুঁজে পাবেন না (যেগুলি GOST চালু করে)।

এনক্রিপশন লেভেল এবং ট্রান্সমিশন মোড

মূল্যায়নের জন্য ব্যবহার করা হবে এমন বৈশিষ্ট্যগুলি বর্ণনা করা শুরু করার আগে, আমাদের প্রথমে একটি গুরুত্বপূর্ণ বিষয় বুঝতে হবে, তা হল "এনক্রিপশন স্তর"। আমি লক্ষ্য করেছি যে এটি প্রায়শই অফিসিয়াল বিক্রেতার নথিতে (বর্ণনা, ম্যানুয়াল, ইত্যাদি) এবং অনানুষ্ঠানিক আলোচনায় (আলোচনা, প্রশিক্ষণে) উভয় ক্ষেত্রেই উল্লেখ করা হয়। অর্থাৎ, আমরা কী বিষয়ে কথা বলছি তা সবাই খুব ভালভাবে জানে বলে মনে হচ্ছে, কিন্তু আমি ব্যক্তিগতভাবে কিছু বিভ্রান্তি প্রত্যক্ষ করেছি।

তাহলে একটি "এনক্রিপশন স্তর" কি? এটা স্পষ্ট যে আমরা OSI/ISO রেফারেন্স নেটওয়ার্ক মডেল স্তরের সংখ্যা সম্পর্কে কথা বলছি যেখানে এনক্রিপশন ঘটে। আমরা পড়ি GOST R ISO 7498-2–99 “তথ্য প্রযুক্তি। খোলা সিস্টেমের আন্তঃসংযোগ। মৌলিক রেফারেন্স মডেল। পার্ট 2। তথ্য নিরাপত্তা আর্কিটেকচার। এই নথি থেকে এটি বোঝা যায় যে গোপনীয়তা পরিষেবার স্তর (এনক্রিপশন প্রদানের জন্য একটি প্রক্রিয়া) প্রোটোকলের স্তর, পরিষেবা ডেটা ব্লক ("পেলোড", ব্যবহারকারী ডেটা) যার মধ্যে এনক্রিপ্ট করা হয়েছে। যেমন এটি স্ট্যান্ডার্ডে লেখা আছে, পরিষেবাটি একই স্তরে, "নিজের থেকে" এবং নিম্ন স্তরের সাহায্যে উভয়ই সরবরাহ করা যেতে পারে (উদাহরণস্বরূপ, এটি প্রায়শই MACsec এ প্রয়োগ করা হয়) .

অনুশীলনে, একটি নেটওয়ার্কের মাধ্যমে এনক্রিপ্ট করা তথ্য প্রেরণের দুটি মোড সম্ভব (IPsec অবিলম্বে মনে আসে, তবে একই মোড অন্যান্য প্রোটোকলগুলিতেও পাওয়া যায়)। ভিতরে পরিবহন (কখনও কখনও নেটিভও বলা হয়) মোড শুধুমাত্র এনক্রিপ্ট করা হয় সেবা ডেটা ব্লক, এবং হেডারগুলি "ওপেন", আনএনক্রিপ্টেড থাকে (কখনও কখনও এনক্রিপশন অ্যালগরিদমের পরিষেবা তথ্য সহ অতিরিক্ত ক্ষেত্রগুলি যোগ করা হয়, এবং অন্যান্য ক্ষেত্রগুলি সংশোধন এবং পুনঃগণনা করা হয়)। ভিতরে টানেল একই মোড সব প্রোটোকল ডেটা ব্লক (অর্থাৎ, প্যাকেট নিজেই) এনক্রিপ্ট করা হয় এবং একই বা উচ্চ স্তরের পরিষেবা ডেটা ব্লকে এনক্যাপসুলেট করা হয়, অর্থাৎ এটি নতুন হেডার দ্বারা বেষ্টিত।

কিছু ট্রান্সমিশন মোডের সাথে সংমিশ্রণে এনক্রিপশন স্তরটি নিজেই ভাল বা খারাপ নয়, তাই এটি বলা যায় না, উদাহরণস্বরূপ, পরিবহন মোডে L3 টানেল মোডে L2 থেকে ভাল। এটি ঠিক যে অনেক বৈশিষ্ট্য যার দ্বারা ডিভাইসগুলিকে মূল্যায়ন করা হয় সেগুলির উপর নির্ভর করে৷ উদাহরণস্বরূপ, নমনীয়তা এবং সামঞ্জস্য। ট্রান্সপোর্ট মোডে নেটওয়ার্ক L1 (বিট স্ট্রিম রিলে), L2 (ফ্রেম সুইচিং) এবং L3 (প্যাকেট রাউটিং) এ কাজ করার জন্য, আপনার সমাধান প্রয়োজন যা একই বা উচ্চতর স্তরে এনক্রিপ্ট করে (অন্যথায় ঠিকানা তথ্য এনক্রিপ্ট করা হবে এবং ডেটা এনক্রিপ্ট করা হবে। এর উদ্দিষ্ট গন্তব্যে পৌঁছাতে পারে না), এবং টানেল মোড এই সীমাবদ্ধতা অতিক্রম করে (যদিও অন্যান্য গুরুত্বপূর্ণ বৈশিষ্ট্যগুলিকে বলিদান করে)।

পরিবহন এবং টানেল L2 এনক্রিপশন মোড

এখন বৈশিষ্ট্য বিশ্লেষণে এগিয়ে যাওয়া যাক।

উৎপাদনশীলতা

নেটওয়ার্ক এনক্রিপশনের জন্য, কর্মক্ষমতা একটি জটিল, বহুমাত্রিক ধারণা। এটি ঘটে যে একটি নির্দিষ্ট মডেল, একটি কর্মক্ষমতা বৈশিষ্ট্যে উচ্চতর, অন্যটিতে নিকৃষ্ট। অতএব, এনক্রিপশন কর্মক্ষমতার সমস্ত উপাদান এবং নেটওয়ার্কের কর্মক্ষমতা এবং এটি ব্যবহার করে এমন অ্যাপ্লিকেশনগুলির উপর তাদের প্রভাব বিবেচনা করা সর্বদা দরকারী। এখানে আমরা একটি গাড়ির সাথে একটি সাদৃশ্য আঁকতে পারি, যার জন্য শুধুমাত্র সর্বাধিক গতিই গুরুত্বপূর্ণ নয়, "শত" এর ত্বরণ সময়, জ্বালানী খরচ এবং আরও অনেক কিছু। বিক্রেতা কোম্পানি এবং তাদের সম্ভাব্য গ্রাহকদের কর্মক্ষমতা বৈশিষ্ট্য মহান মনোযোগ দিতে. একটি নিয়ম হিসাবে, এনক্রিপশন ডিভাইসগুলি বিক্রেতা লাইনের পারফরম্যান্সের উপর ভিত্তি করে র‌্যাঙ্ক করা হয়।

এটা স্পষ্ট যে ডিভাইসে সম্পাদিত নেটওয়ার্কিং এবং ক্রিপ্টোগ্রাফিক ক্রিয়াকলাপগুলির জটিলতা (এই কাজগুলি কতটা সমান্তরাল এবং পাইপলাইন করা যায় তা সহ), পাশাপাশি হার্ডওয়্যারের কার্যকারিতা এবং ফার্মওয়্যারের গুণমান উভয়ের উপরই কর্মক্ষমতা নির্ভর করে৷ অতএব, পুরানো মডেলগুলি আরও উত্পাদনশীল হার্ডওয়্যার ব্যবহার করে; কখনও কখনও এটি অতিরিক্ত প্রসেসর এবং মেমরি মডিউল দিয়ে সজ্জিত করা সম্ভব। ক্রিপ্টোগ্রাফিক ফাংশন বাস্তবায়নের জন্য বিভিন্ন পদ্ধতি রয়েছে: একটি সাধারণ-উদ্দেশ্য কেন্দ্রীয় প্রক্রিয়াকরণ ইউনিট (CPU), অ্যাপ্লিকেশন-নির্দিষ্ট ইন্টিগ্রেটেড সার্কিট (ASIC), বা ক্ষেত্র-প্রোগ্রামেবল লজিক ইন্টিগ্রেটেড সার্কিট (FPGA)। প্রতিটি পদ্ধতির তার সুবিধা এবং অসুবিধা আছে। উদাহরণস্বরূপ, CPU একটি এনক্রিপশন বাধা হয়ে উঠতে পারে, বিশেষ করে যদি প্রসেসরের এনক্রিপশন অ্যালগরিদম সমর্থন করার জন্য বিশেষ নির্দেশনা না থাকে (বা যদি সেগুলি ব্যবহার না করা হয়)। বিশেষায়িত চিপগুলিতে নমনীয়তার অভাব রয়েছে; কর্মক্ষমতা উন্নত করতে, নতুন ফাংশন যোগ করতে বা দুর্বলতাগুলি দূর করতে তাদের "রিফ্ল্যাশ" করা সবসময় সম্ভব নয়। উপরন্তু, তাদের ব্যবহার শুধুমাত্র বড় উত্পাদন ভলিউম সঙ্গে লাভজনক হয়ে ওঠে। এই কারণেই "গোল্ডেন মানে" এত জনপ্রিয় হয়ে উঠেছে - FPGA (রাশিয়ান ভাষায় FPGA) ব্যবহার। এটি FPGA-তে তথাকথিত ক্রিপ্টো এক্সিলারেটর তৈরি করা হয় - ক্রিপ্টোগ্রাফিক ক্রিয়াকলাপ সমর্থন করার জন্য বিল্ট-ইন বা প্লাগ-ইন বিশেষ হার্ডওয়্যার মডিউল।

যেহেতু আমরা কথা বলছি অন্তর্জাল এনক্রিপশন, এটা যৌক্তিক যে সমাধানগুলির কার্যকারিতা অন্যান্য নেটওয়ার্ক ডিভাইসগুলির মতো একই পরিমাণে পরিমাপ করা উচিত - থ্রুপুট, ফ্রেমের ক্ষতির শতাংশ এবং লেটেন্সি। এই মানগুলি RFC 1242-এ সংজ্ঞায়িত করা হয়েছে। যাইহোক, এই RFC-তে প্রায়শই উল্লেখিত বিলম্বের বৈচিত্র (জিটার) সম্পর্কে কিছুই লেখা নেই। এই পরিমাণ পরিমাপ কিভাবে? আমি নেটওয়ার্ক এনক্রিপশনের জন্য বিশেষভাবে কোনো মানদণ্ডে (অফিসিয়াল বা অনানুষ্ঠানিক যেমন RFC) অনুমোদিত কোনো পদ্ধতি খুঁজে পাইনি। RFC 2544 স্ট্যান্ডার্ডে অন্তর্ভুক্ত নেটওয়ার্ক ডিভাইসগুলির জন্য পদ্ধতিটি ব্যবহার করা যৌক্তিক হবে৷ অনেক বিক্রেতা এটি অনুসরণ করে - অনেক, কিন্তু সব নয়৷ উদাহরণস্বরূপ, তারা উভয়ের পরিবর্তে শুধুমাত্র একটি দিকে পরীক্ষা ট্রাফিক পাঠায়, যেমন প্রস্তাবিত মান যাই হোক।

নেটওয়ার্ক এনক্রিপশন ডিভাইসের কর্মক্ষমতা পরিমাপ এখনও তার নিজস্ব বৈশিষ্ট্য আছে. প্রথমত, একজোড়া ডিভাইসের জন্য সমস্ত পরিমাপ করা সঠিক: যদিও এনক্রিপশন অ্যালগরিদমগুলি প্রতিসম, এনক্রিপশন এবং ডিক্রিপশনের সময় বিলম্ব এবং প্যাকেটের ক্ষতি অগত্যা সমান হবে না। দ্বিতীয়ত, দুটি কনফিগারেশনের তুলনা করে ডেল্টা পরিমাপ করা, নেটওয়ার্ক এনক্রিপশনের চূড়ান্ত নেটওয়ার্ক পারফরম্যান্সে প্রভাব বোঝায়: এনক্রিপশন ডিভাইস ছাড়া এবং তাদের সাথে। অথবা, হাইব্রিড ডিভাইসগুলির ক্ষেত্রে যেমনটি হয়, যা নেটওয়ার্ক এনক্রিপশন ছাড়াও এনক্রিপশন বন্ধ এবং চালু সহ বিভিন্ন ফাংশন একত্রিত করে। এই প্রভাব ভিন্ন হতে পারে এবং এনক্রিপশন ডিভাইসের সংযোগ স্কিম, অপারেটিং মোড এবং অবশেষে, ট্র্যাফিকের প্রকৃতির উপর নির্ভর করে। বিশেষ করে, অনেক কর্মক্ষমতা প্যারামিটার প্যাকেটের দৈর্ঘ্যের উপর নির্ভর করে, তাই বিভিন্ন সমাধানের কর্মক্ষমতা তুলনা করতে, প্যাকেটের দৈর্ঘ্যের উপর নির্ভর করে এই পরামিতিগুলির গ্রাফ প্রায়শই ব্যবহার করা হয়, বা IMIX ব্যবহার করা হয় - প্যাকেট দ্বারা ট্রাফিকের বিতরণ দৈর্ঘ্য, যা প্রায় বাস্তব প্রতিফলিত করে। যদি আমরা এনক্রিপশন ছাড়াই একই মৌলিক কনফিগারেশনের তুলনা করি, তাহলে আমরা এই পার্থক্যগুলি না নিয়ে ভিন্নভাবে বাস্তবায়িত নেটওয়ার্ক এনক্রিপশন সমাধানগুলির তুলনা করতে পারি: L2 এর সাথে L3, স্টোর-এন্ড-ফরোয়ার্ড ) কাট-থ্রু সহ, কনভারজেন্টের সাথে বিশেষ, AES এর সাথে GOST ইত্যাদি।

কর্মক্ষমতা পরীক্ষার জন্য সংযোগ চিত্র

লোকেরা যে প্রথম বৈশিষ্ট্যটির দিকে মনোযোগ দেয় তা হ'ল এনক্রিপশন ডিভাইসের "গতি", অর্থাৎ ব্যান্ডউইথ (ব্যান্ডউইথ) এর নেটওয়ার্ক ইন্টারফেস, বিট প্রবাহ হার। এটি ইন্টারফেস দ্বারা সমর্থিত নেটওয়ার্ক মান দ্বারা নির্ধারিত হয়। ইথারনেটের জন্য, স্বাভাবিক সংখ্যা হল 1 Gbps এবং 10 Gbps। কিন্তু, আমরা জানি, যে কোনও নেটওয়ার্কে সর্বাধিক তাত্ত্বিক থ্রুপুট (থ্রুপুট) এর প্রতিটি স্তরে সর্বদা কম ব্যান্ডউইথ থাকে: ব্যান্ডউইথের একটি অংশ ইন্টারফ্রেম ব্যবধান, পরিষেবা শিরোনাম ইত্যাদি দ্বারা "খেয়ে যায়"। যদি একটি ডিভাইস প্রাপ্তি, প্রক্রিয়াকরণ (আমাদের ক্ষেত্রে, এনক্রিপ্টিং বা ডিক্রিপ্টিং) এবং নেটওয়ার্ক ইন্টারফেসের সম্পূর্ণ গতিতে ট্র্যাফিক প্রেরণ করতে সক্ষম হয়, অর্থাৎ নেটওয়ার্ক মডেলের এই স্তরের জন্য সর্বাধিক তাত্ত্বিক থ্রুপুট সহ, তাহলে বলা হয় কাজ করা লাইন গতিতে. এটি করার জন্য, এটি প্রয়োজনীয় যে ডিভাইসটি যে কোনও আকারে এবং যে কোনও ফ্রিকোয়েন্সিতে প্যাকেটগুলি হারাতে বা বাতিল না করে। যদি এনক্রিপশন ডিভাইসটি লাইনের গতিতে অপারেশন সমর্থন না করে, তাহলে এর সর্বোচ্চ থ্রুপুট সাধারণত প্রতি সেকেন্ডে একই গিগাবিটে নির্দিষ্ট করা হয় (কখনও কখনও প্যাকেটের দৈর্ঘ্য নির্দেশ করে - প্যাকেট যত ছোট হবে, থ্রুপুট সাধারণত কম হয়)। এটা বোঝা খুবই গুরুত্বপূর্ণ যে সর্বাধিক থ্রুপুট সর্বাধিক কোন ক্ষতি (যদিও ডিভাইসটি উচ্চ গতিতে নিজের মাধ্যমে ট্রাফিককে "পাম্প" করতে পারে, তবে একই সময়ে কিছু প্যাকেট হারাতে পারে)। এছাড়াও, সচেতন থাকুন যে কিছু বিক্রেতা সমস্ত জোড়া পোর্টের মধ্যে মোট থ্রুপুট পরিমাপ করে, তাই যদি সমস্ত এনক্রিপ্ট করা ট্র্যাফিক একটি একক পোর্টের মধ্য দিয়ে যাচ্ছে তবে এই সংখ্যাগুলির অর্থ খুব বেশি নয়৷

লাইনের গতিতে কাজ করা কোথায় বিশেষভাবে গুরুত্বপূর্ণ (বা, অন্য কথায়, প্যাকেটের ক্ষতি ছাড়া)? উচ্চ-ব্যান্ডউইথ, উচ্চ-লেটেন্সি লিঙ্কগুলিতে (যেমন স্যাটেলাইট), যেখানে উচ্চ ট্রান্সমিশন গতি বজায় রাখার জন্য একটি বড় TCP উইন্ডোর আকার সেট করা আবশ্যক এবং যেখানে প্যাকেটের ক্ষতি নাটকীয়ভাবে নেটওয়ার্ক কর্মক্ষমতা হ্রাস করে।

কিন্তু সমস্ত ব্যান্ডউইথ দরকারী ডেটা স্থানান্তর করতে ব্যবহৃত হয় না। আমরা তথাকথিত সঙ্গে হিসাব করতে হবে ওভারহেড খরচ (ওভারহেড) ব্যান্ডউইথ। এটি এনক্রিপশন ডিভাইসের থ্রুপুটের অংশ (প্যাকেট প্রতি শতাংশ বা বাইট হিসাবে) যা আসলে নষ্ট হয় (অ্যাপ্লিকেশন ডেটা স্থানান্তর করতে ব্যবহার করা যাবে না)। ওভারহেড খরচ দেখা দেয়, প্রথমত, এনক্রিপ্ট করা নেটওয়ার্ক প্যাকেটে ডেটা ফিল্ডের আকার (সংযোজন, "স্টাফিং") বৃদ্ধির কারণে (এনক্রিপশন অ্যালগরিদম এবং এর অপারেটিং মোডের উপর নির্ভর করে)। দ্বিতীয়ত, প্যাকেট হেডারের দৈর্ঘ্য বৃদ্ধির কারণে (টানেল মোড, এনক্রিপশন প্রোটোকলের পরিষেবা সন্নিবেশ, সিমুলেশন সন্নিবেশ ইত্যাদি। সাইফার এবং ট্রান্সমিশন মোডের প্রোটোকল এবং অপারেশন মোডের উপর নির্ভর করে) - সাধারণত এই ওভারহেড খরচগুলি সবচেয়ে গুরুত্বপূর্ণ, এবং তারা প্রথমে মনোযোগ দেয়। তৃতীয়ত, প্যাকেটের ফ্র্যাগমেন্টেশনের কারণে যখন সর্বাধিক ডেটা ইউনিটের আকার (MTU) অতিক্রম করা হয় (যদি নেটওয়ার্ক MTU ছাড়িয়ে যাওয়া একটি প্যাকেটকে দুই ভাগে বিভক্ত করতে সক্ষম হয়, তার শিরোনামগুলি নকল করে)। চতুর্থত, এনক্রিপশন ডিভাইসগুলির মধ্যে নেটওয়ার্কে অতিরিক্ত পরিষেবা (নিয়ন্ত্রণ) ট্র্যাফিকের উপস্থিতির কারণে (কী বিনিময়, টানেল ইনস্টলেশন ইত্যাদির জন্য)। চ্যানেলের ক্ষমতা সীমিত যেখানে কম ওভারহেড গুরুত্বপূর্ণ। এটি বিশেষত ছোট প্যাকেট থেকে ট্রাফিকের ক্ষেত্রে স্পষ্ট, উদাহরণস্বরূপ, ভয়েস - যেখানে ওভারহেড খরচ চ্যানেলের গতির অর্ধেকেরও বেশি "খেয়ে" যেতে পারে!

ব্যান্ডউইথ

অবশেষে, আরো আছে বিলম্ব প্রবর্তিত - নেটওয়ার্ক এনক্রিপশন ছাড়া এবং নেটওয়ার্ক এনক্রিপশন ছাড়া ডেটা ট্রান্সমিশনের মধ্যে নেটওয়ার্ক বিলম্বের পার্থক্য (এক সেকেন্ডের ভগ্নাংশে) (নেটওয়ার্কটিতে প্রবেশ করা থেকে এটি ছেড়ে যাওয়ার জন্য ডেটা পাস হতে যে সময় লাগে)। সাধারণভাবে বলতে গেলে, নেটওয়ার্কের লেটেন্সি ("লেটেন্সি") যত কম হবে, এনক্রিপশন ডিভাইসগুলির দ্বারা প্রবর্তিত লেটেন্সি ততই জটিল হবে৷ বিলম্বটি এনক্রিপশন অপারেশন নিজেই (এনক্রিপশন অ্যালগরিদম, ব্লকের দৈর্ঘ্য এবং সাইফারের অপারেশনের মোডের উপর নির্ভর করে, সেইসাথে সফ্টওয়্যারে এটির বাস্তবায়নের মানের উপর নির্ভর করে) এবং ডিভাইসে নেটওয়ার্ক প্যাকেটের প্রক্রিয়াকরণ দ্বারা প্রবর্তিত হয়। . প্রবর্তিত লেটেন্সি প্যাকেট প্রসেসিং মোড (পাস-থ্রু বা স্টোর-এন্ড-ফরোয়ার্ড) এবং প্ল্যাটফর্মের কার্যক্ষমতা উভয়ের উপর নির্ভর করে (একটি FPGA বা ASIC-তে হার্ডওয়্যার বাস্তবায়ন সাধারণত একটি CPU-তে সফ্টওয়্যার বাস্তবায়নের চেয়ে দ্রুত)। L2 এনক্রিপশনের প্রায় সবসময়ই L3 বা L4 এনক্রিপশনের তুলনায় কম বিলম্ব থাকে, কারণ L3/L4 এনক্রিপশন ডিভাইসগুলি প্রায়ই একত্রিত হয়। উদাহরণস্বরূপ, উচ্চ-গতির ইথারনেট এনক্রিপ্টরগুলি FPGA-তে প্রয়োগ করা এবং L2 এনক্রিপ্ট করার সাথে, এনক্রিপশন অপারেশনের কারণে বিলম্বটি অদৃশ্য হয়ে যায় - কখনও কখনও যখন একজোড়া ডিভাইসে এনক্রিপশন সক্ষম করা হয়, তখন তাদের দ্বারা প্রবর্তিত মোট বিলম্ব এমনকি হ্রাস পায়! কম লেটেন্সি গুরুত্বপূর্ণ যেখানে এটি প্রচার বিলম্ব সহ সামগ্রিক চ্যানেল বিলম্বের সাথে তুলনীয়, যা প্রতি কিলোমিটারে প্রায় 5 μs। অর্থাৎ, আমরা বলতে পারি যে শহুরে-স্কেল নেটওয়ার্কগুলির জন্য (দশ কিলোমিটার জুড়ে), মাইক্রোসেকেন্ড অনেক কিছু নির্ধারণ করতে পারে। উদাহরণস্বরূপ, সিঙ্ক্রোনাস ডাটাবেস প্রতিলিপি, উচ্চ-ফ্রিকোয়েন্সি ট্রেডিং, একই ব্লকচেইনের জন্য।

বিলম্ব প্রবর্তিত

মাপযোগ্যতা

বৃহৎ বিতরণ করা নেটওয়ার্কে হাজার হাজার নোড এবং নেটওয়ার্ক ডিভাইস, শত শত স্থানীয় নেটওয়ার্ক সেগমেন্ট অন্তর্ভুক্ত থাকতে পারে। এটি গুরুত্বপূর্ণ যে এনক্রিপশন সমাধানগুলি বিতরণ করা নেটওয়ার্কের আকার এবং টপোলজির উপর অতিরিক্ত বিধিনিষেধ আরোপ করে না। এটি প্রাথমিকভাবে সর্বাধিক হোস্ট এবং নেটওয়ার্ক ঠিকানাগুলির জন্য প্রযোজ্য। এই ধরনের সীমাবদ্ধতার সম্মুখীন হতে পারে, উদাহরণস্বরূপ, একটি মাল্টিপয়েন্ট এনক্রিপ্টেড নেটওয়ার্ক টপোলজি (স্বতন্ত্র সুরক্ষিত সংযোগ, বা টানেল সহ) বা নির্বাচনী এনক্রিপশন (উদাহরণস্বরূপ, প্রোটোকল নম্বর বা VLAN দ্বারা) প্রয়োগ করার সময়। যদি এই ক্ষেত্রে নেটওয়ার্ক ঠিকানাগুলি (MAC, IP, VLAN ID) একটি টেবিলে কী হিসাবে ব্যবহার করা হয় যেখানে সারির সংখ্যা সীমিত, তাহলে এই সীমাবদ্ধতাগুলি এখানে উপস্থিত হবে।

এছাড়াও, বড় নেটওয়ার্কগুলিতে প্রায়শই মূল নেটওয়ার্ক সহ বেশ কয়েকটি কাঠামোগত স্তর থাকে, যার প্রতিটি তার নিজস্ব ঠিকানা পরিকল্পনা এবং নিজস্ব রাউটিং নীতি প্রয়োগ করে। এই পদ্ধতির বাস্তবায়নের জন্য, বিশেষ ফ্রেম ফরম্যাট (যেমন Q-in-Q বা MAC-in-MAC) এবং রুট নির্ধারণ প্রোটোকল প্রায়শই ব্যবহার করা হয়। এই জাতীয় নেটওয়ার্কগুলির নির্মাণে বাধা না দেওয়ার জন্য, এনক্রিপশন ডিভাইসগুলিকে অবশ্যই এই জাতীয় ফ্রেমগুলি সঠিকভাবে পরিচালনা করতে হবে (অর্থাৎ, এই অর্থে, স্কেলেবিলিটি মানে সামঞ্জস্যতা - নীচে আরও বেশি)।

নমনীয়তা

এখানে আমরা বিভিন্ন কনফিগারেশন, সংযোগ স্কিম, টপোলজি এবং অন্যান্য জিনিসগুলিকে সমর্থন করার কথা বলছি। উদাহরণস্বরূপ, ক্যারিয়ার ইথারনেট প্রযুক্তির উপর ভিত্তি করে সুইচ করা নেটওয়ার্কগুলির জন্য, এর অর্থ হল বিভিন্ন ধরনের ভার্চুয়াল সংযোগ (ই-লাইন, ই-ল্যান, ই-ট্রি), বিভিন্ন ধরনের পরিষেবা (বন্দর এবং VLAN উভয় দ্বারা) এবং বিভিন্ন পরিবহন প্রযুক্তির সমর্থন। (তারা ইতিমধ্যে উপরে তালিকাভুক্ত)। অর্থাৎ, ডিভাইসটিকে অবশ্যই রৈখিক ("পয়েন্ট-টু-পয়েন্ট") এবং মাল্টিপয়েন্ট উভয় মোডে কাজ করতে সক্ষম হতে হবে, বিভিন্ন VLAN-এর জন্য পৃথক টানেল স্থাপন করতে হবে এবং একটি নিরাপদ চ্যানেলের মধ্যে প্যাকেটের অর্ডারের বাইরে সরবরাহের অনুমতি দিতে হবে। বিভিন্ন সাইফার মোড (কন্টেন্ট প্রমাণীকরণ সহ বা ছাড়া) এবং বিভিন্ন প্যাকেট ট্রান্সমিশন মোড নির্বাচন করার ক্ষমতা আপনাকে বর্তমান অবস্থার উপর নির্ভর করে শক্তি এবং কর্মক্ষমতার মধ্যে ভারসাম্য বজায় রাখতে দেয়।

উভয় প্রাইভেট নেটওয়ার্ককে সমর্থন করাও গুরুত্বপূর্ণ, যার সরঞ্জামগুলি একটি সংস্থার মালিকানাধীন (বা এটিতে ভাড়া দেওয়া হয়েছে), এবং অপারেটর নেটওয়ার্কগুলি, যার বিভিন্ন বিভাগ বিভিন্ন কোম্পানি দ্বারা পরিচালিত হয়। এটি ভাল যদি সমাধানটি ইন-হাউস এবং তৃতীয় পক্ষ উভয়ই পরিচালনার অনুমতি দেয় (একটি পরিচালিত পরিষেবা মডেল ব্যবহার করে)। অপারেটর নেটওয়ার্কগুলিতে, আরেকটি গুরুত্বপূর্ণ ফাংশন হল মাল্টি-টেন্যান্সির জন্য সমর্থন (বিভিন্ন গ্রাহকদের দ্বারা ভাগ করা) পৃথক গ্রাহকদের (সাবস্ক্রাইবারদের) ক্রিপ্টোগ্রাফিক বিচ্ছিন্নতার আকারে যাদের ট্র্যাফিক এনক্রিপশন ডিভাইসগুলির একই সেটের মধ্য দিয়ে যায়। এটির জন্য সাধারণত প্রতিটি গ্রাহকের জন্য কী এবং শংসাপত্রের পৃথক সেট ব্যবহার করা প্রয়োজন।

যদি একটি ডিভাইস একটি নির্দিষ্ট পরিস্থিতিতে কেনা হয়, তাহলে এই সমস্ত বৈশিষ্ট্যগুলি খুব গুরুত্বপূর্ণ নাও হতে পারে - আপনাকে কেবল নিশ্চিত করতে হবে যে ডিভাইসটি আপনার এখন যা প্রয়োজন তা সমর্থন করে। কিন্তু যদি একটি সমাধান "বৃদ্ধির জন্য" কেনা হয়, ভবিষ্যতের পরিস্থিতিগুলিকেও সমর্থন করার জন্য, এবং একটি "কর্পোরেট মান" হিসাবে বেছে নেওয়া হয়, তাহলে নমনীয়তা অপ্রয়োজনীয় হবে না - বিশেষত বিভিন্ন বিক্রেতাদের কাছ থেকে ডিভাইসগুলির আন্তঃকার্যযোগ্যতার উপর বিধিনিষেধ বিবেচনা করে ( নীচে এই সম্পর্কে আরও)।

সরলতা এবং সুবিধা

সেবার সহজলভ্যতাও একটি বহুমুখী ধারণা। মোটামুটিভাবে, আমরা বলতে পারি যে এটি একটি নির্দিষ্ট যোগ্যতার বিশেষজ্ঞদের দ্বারা ব্যয় করা মোট সময় তার জীবনচক্রের বিভিন্ন পর্যায়ে একটি সমাধান সমর্থন করার জন্য প্রয়োজনীয়। যদি কোন খরচ না থাকে, এবং ইনস্টলেশন, কনফিগারেশন এবং অপারেশন সম্পূর্ণ স্বয়ংক্রিয় হয়, তাহলে খরচ শূন্য এবং সুবিধা পরম। অবশ্যই, বাস্তব জগতে এটি ঘটে না। একটি যুক্তিসঙ্গত আনুমানিক একটি মডেল "একটি তারে গিঁট" (বাম্প-ইন-দ্য-ওয়্যার), বা স্বচ্ছ সংযোগ, যেখানে এনক্রিপশন ডিভাইস যোগ এবং নিষ্ক্রিয় করার জন্য নেটওয়ার্ক কনফিগারেশনে কোনো ম্যানুয়াল বা স্বয়ংক্রিয় পরিবর্তনের প্রয়োজন হয় না। একই সময়ে, সমাধানটি বজায় রাখা সহজ করা হয়েছে: আপনি নিরাপদে এনক্রিপশন ফাংশনটি চালু এবং বন্ধ করতে পারেন এবং যদি প্রয়োজন হয়, কেবল একটি নেটওয়ার্ক কেবল দিয়ে ডিভাইসটিকে "বাইপাস" করতে পারেন (অর্থাৎ, নেটওয়ার্ক সরঞ্জামগুলির সেই পোর্টগুলিকে সরাসরি সংযুক্ত করুন যা এটি সংযুক্ত ছিল)। সত্য, একটি ত্রুটি আছে - একজন আক্রমণকারীও একই কাজ করতে পারে। "একটি তারের উপর নোড" নীতিটি বাস্তবায়নের জন্য, কেবল ট্র্যাফিক নয় একাউন্টে নেওয়া প্রয়োজন ডেটা স্তরকিন্তু নিয়ন্ত্রণ এবং ব্যবস্থাপনা স্তর - ডিভাইসগুলি তাদের কাছে স্বচ্ছ হতে হবে। অতএব, এই ধরনের ট্র্যাফিক শুধুমাত্র তখনই এনক্রিপ্ট করা যেতে পারে যখন এনক্রিপশন ডিভাইসগুলির মধ্যে নেটওয়ার্কে এই ধরনের ট্র্যাফিকের কোন প্রাপক না থাকে, যেহেতু এটি বাতিল বা এনক্রিপ্ট করা হয়, তাহলে আপনি যখন এনক্রিপশন সক্ষম বা অক্ষম করেন, নেটওয়ার্ক কনফিগারেশন পরিবর্তন হতে পারে। এনক্রিপশন ডিভাইসটি শারীরিক স্তর সিগন্যালিং থেকেও স্বচ্ছ হতে পারে। বিশেষ করে, যখন একটি সংকেত হারিয়ে যায়, তখন এটি অবশ্যই এই ক্ষতিটি (অর্থাৎ, এর ট্রান্সমিটারগুলি বন্ধ করে) সংকেতের দিকে পিছনে ("নিজের জন্য") প্রেরণ করে।

তথ্য সুরক্ষা এবং আইটি বিভাগ, বিশেষ করে নেটওয়ার্ক বিভাগের মধ্যে কর্তৃপক্ষের বিভাজনে সহায়তাও গুরুত্বপূর্ণ। এনক্রিপশন সমাধান অবশ্যই প্রতিষ্ঠানের অ্যাক্সেস কন্ট্রোল এবং অডিটিং মডেলকে সমর্থন করবে। রুটিন অপারেশন সঞ্চালনের জন্য বিভিন্ন বিভাগের মধ্যে মিথস্ক্রিয়া করার প্রয়োজনীয়তা হ্রাস করা উচিত। অতএব, বিশেষায়িত ডিভাইসগুলির সুবিধার ক্ষেত্রে একটি সুবিধা রয়েছে যা একচেটিয়াভাবে এনক্রিপশন ফাংশনগুলিকে সমর্থন করে এবং নেটওয়ার্ক ক্রিয়াকলাপগুলিতে যতটা সম্ভব স্বচ্ছ। সহজ কথায়, তথ্য সুরক্ষা কর্মীদের নেটওয়ার্ক সেটিংস পরিবর্তন করতে "নেটওয়ার্ক বিশেষজ্ঞদের" সাথে যোগাযোগ করার কোন কারণ থাকা উচিত নয়। এবং সেগুলি, পরিবর্তে, নেটওয়ার্ক বজায় রাখার সময় এনক্রিপশন সেটিংস পরিবর্তন করার প্রয়োজন নেই।

আরেকটি কারণ হল নিয়ন্ত্রণের ক্ষমতা এবং সুবিধা। সেগুলি চাক্ষুষ, যৌক্তিক হওয়া উচিত, সেটিংসের আমদানি-রপ্তানি প্রদান, অটোমেশন ইত্যাদি। আপনি অবিলম্বে কি ব্যবস্থাপনা বিকল্প উপলব্ধ (সাধারণত তাদের নিজস্ব ব্যবস্থাপনা পরিবেশ, ওয়েব ইন্টারফেস এবং কমান্ড লাইন) মনোযোগ দিতে হবে এবং তাদের প্রতিটি ফাংশন সেট আছে (সীমাবদ্ধতা আছে)। একটি গুরুত্বপূর্ণ ফাংশন হল সমর্থন ব্যান্ড আউট (আউট-অফ-ব্যান্ড) নিয়ন্ত্রণ, অর্থাৎ, একটি নিবেদিত নিয়ন্ত্রণ নেটওয়ার্কের মাধ্যমে, এবং ইন-ব্যান্ড (ইন-ব্যান্ড) নিয়ন্ত্রণ, অর্থাৎ, একটি সাধারণ নেটওয়ার্কের মাধ্যমে যার মাধ্যমে দরকারী ট্র্যাফিক প্রেরণ করা হয়। ম্যানেজমেন্ট টুলসকে অবশ্যই তথ্য নিরাপত্তার ঘটনা সহ সমস্ত অস্বাভাবিক পরিস্থিতির সংকেত দিতে হবে। রুটিন, পুনরাবৃত্তিমূলক অপারেশন স্বয়ংক্রিয়ভাবে সঞ্চালিত করা উচিত। এটি প্রাথমিকভাবে কী ব্যবস্থাপনার সাথে সম্পর্কিত। সেগুলি স্বয়ংক্রিয়ভাবে তৈরি/বন্টন করা উচিত। PKI সমর্থন একটি বড় প্লাস.

সঙ্গতি

অর্থাৎ, নেটওয়ার্ক মানগুলির সাথে ডিভাইসের সামঞ্জস্য। তদুপরি, এর অর্থ শুধুমাত্র আইইইই-এর মতো প্রামাণিক সংস্থাগুলি দ্বারা গৃহীত শিল্প মান নয়, সিসকোর মতো শিল্প নেতাদের মালিকানাধীন প্রোটোকলও। সামঞ্জস্য নিশ্চিত করার দুটি প্রধান উপায় রয়েছে: হয় মাধ্যমে স্বচ্ছতা, বা মাধ্যমে সুস্পষ্ট সমর্থন প্রোটোকল (যখন একটি এনক্রিপশন ডিভাইস একটি নির্দিষ্ট প্রোটোকলের জন্য নেটওয়ার্ক নোডগুলির মধ্যে একটি হয়ে ওঠে এবং এই প্রোটোকলের নিয়ন্ত্রণ ট্র্যাফিক প্রক্রিয়া করে)। নেটওয়ার্কগুলির সাথে সামঞ্জস্য নিয়ন্ত্রণ প্রোটোকল বাস্তবায়নের সম্পূর্ণতা এবং সঠিকতার উপর নির্ভর করে। PHY স্তরের (গতি, ট্রান্সমিশন মাধ্যম, এনকোডিং স্কিম), যেকোনো MTU সহ বিভিন্ন ফরম্যাটের ইথারনেট ফ্রেম, বিভিন্ন L3 পরিষেবা প্রোটোকল (প্রাথমিকভাবে TCP/IP পরিবার) এর জন্য বিভিন্ন বিকল্প সমর্থন করা গুরুত্বপূর্ণ।

স্বচ্ছতা নিশ্চিত করা হয় মিউটেশনের প্রক্রিয়ার মাধ্যমে (এনক্রিপ্টারের মধ্যে ট্র্যাফিকের ওপেন হেডারের বিষয়বস্তু সাময়িকভাবে পরিবর্তন করা), এড়িয়ে যাওয়া (যখন পৃথক প্যাকেট এনক্রিপ্ট করা না থাকে) এবং এনক্রিপশনের শুরুর ইন্ডেন্টেশন (যখন সাধারণত প্যাকেটের এনক্রিপ্ট করা ক্ষেত্রগুলি এনক্রিপ্ট করা হয় না)।

কিভাবে স্বচ্ছতা নিশ্চিত করা হয়

অতএব, একটি নির্দিষ্ট প্রোটোকলের জন্য কীভাবে সমর্থন দেওয়া হয় তা সর্বদা পরীক্ষা করে দেখুন। প্রায়শই স্বচ্ছ মোডে সমর্থন আরও সুবিধাজনক এবং নির্ভরযোগ্য।

ইন্টারঅপারেবিলিটি

এটিও সামঞ্জস্যপূর্ণ, কিন্তু ভিন্ন অর্থে, অর্থাৎ এনক্রিপশন ডিভাইসের অন্যান্য মডেলের সাথে একসাথে কাজ করার ক্ষমতা, যার মধ্যে অন্যান্য নির্মাতাদের থেকেও রয়েছে। এনক্রিপশন প্রোটোকলের প্রমিতকরণের অবস্থার উপর অনেক কিছু নির্ভর করে। L1-এ সাধারণভাবে গৃহীত কোনো এনক্রিপশন মান নেই।

ইথারনেট নেটওয়ার্কে L2 এনক্রিপশনের জন্য একটি 802.1ae (MACsec) মান আছে, কিন্তু এটি ব্যবহার করে না সর্বশেষ সীমা (শেষ থেকে শেষ), এবং ইন্টারপোর্ট, "হপ-বাই-হপ" এনক্রিপশন, এবং এর মূল সংস্করণে বিতরণ করা নেটওয়ার্কগুলিতে ব্যবহারের জন্য অনুপযুক্ত, তাই এর মালিকানাধীন এক্সটেনশনগুলি উপস্থিত হয়েছে যা এই সীমাবদ্ধতাকে অতিক্রম করে (অবশ্যই, অন্যান্য নির্মাতাদের সরঞ্জামগুলির সাথে আন্তঃকার্যযোগ্যতার কারণে)। সত্য, 2018 সালে, বিতরণ করা নেটওয়ার্কগুলির জন্য সমর্থন 802.1ae স্ট্যান্ডার্ডে যুক্ত করা হয়েছিল, কিন্তু এখনও GOST এনক্রিপশন অ্যালগরিদম সেটগুলির জন্য কোনও সমর্থন নেই৷ অতএব, মালিকানাধীন, অ-মানক L2 এনক্রিপশন প্রোটোকল, একটি নিয়ম হিসাবে, বৃহত্তর দক্ষতা (বিশেষত, নিম্ন ব্যান্ডউইথ ওভারহেড) এবং নমনীয়তা (এনক্রিপশন অ্যালগরিদম এবং মোড পরিবর্তন করার ক্ষমতা) দ্বারা আলাদা করা হয়।

উচ্চ স্তরে (L3 এবং L4) স্বীকৃত মান রয়েছে, প্রাথমিকভাবে IPsec এবং TLS, কিন্তু এখানেও এটি এত সহজ নয়। আসল বিষয়টি হ'ল এই স্ট্যান্ডার্ডগুলির প্রতিটি প্রোটোকলের একটি সেট, প্রতিটিতে বিভিন্ন সংস্করণ এবং এক্সটেনশন প্রয়োজন বা বাস্তবায়নের জন্য ঐচ্ছিক। উপরন্তু, কিছু নির্মাতারা তাদের মালিকানাধীন এনক্রিপশন প্রোটোকল L3/L4 এ ব্যবহার করতে পছন্দ করে। অতএব, বেশিরভাগ ক্ষেত্রেই আপনার সম্পূর্ণ আন্তঃব্যবহারের উপর নির্ভর করা উচিত নয়, তবে এটি গুরুত্বপূর্ণ যে কমপক্ষে একই নির্মাতার বিভিন্ন মডেল এবং বিভিন্ন প্রজন্মের মধ্যে মিথস্ক্রিয়া নিশ্চিত করা হয়।

বিশ্বাসযোগ্যতা

বিভিন্ন সমাধান তুলনা করতে, আপনি ব্যর্থতা বা উপলব্ধতা ফ্যাক্টরের মধ্যে গড় সময় ব্যবহার করতে পারেন। যদি এই সংখ্যাগুলি উপলব্ধ না হয় (বা তাদের উপর কোন বিশ্বাস নেই), তাহলে একটি গুণগত তুলনা করা যেতে পারে। সুবিধাজনক ব্যবস্থাপনা সহ ডিভাইসগুলির একটি সুবিধা থাকবে (কনফিগারেশন ত্রুটির কম ঝুঁকি), বিশেষায়িত এনক্রিপ্টর (একই কারণে), সেইসাথে সম্পূর্ণ নোডগুলির "হট" ব্যাকআপের উপায় সহ একটি ব্যর্থতা সনাক্ত এবং নির্মূল করার জন্য ন্যূনতম সময় সহ সমাধানগুলি এবং ডিভাইস

খরচ

যখন খরচের কথা আসে, বেশিরভাগ আইটি সমাধানের মতো, মালিকানার মোট খরচের তুলনা করাটা বোধগম্য হয়। এটি গণনা করার জন্য, আপনাকে চাকাটি পুনরায় উদ্ভাবন করতে হবে না, তবে কোনও উপযুক্ত পদ্ধতি ব্যবহার করুন (উদাহরণস্বরূপ, গার্টনার থেকে) এবং কোনও ক্যালকুলেটর (উদাহরণস্বরূপ, টিসিও গণনা করার জন্য সংস্থায় ইতিমধ্যে ব্যবহৃত একটি)। এটা স্পষ্ট যে একটি নেটওয়ার্ক এনক্রিপশন সমাধানের জন্য, মালিকানার মোট খরচ থাকে সরাসরি সমাধান নিজেই কেনা বা ভাড়া নেওয়ার খরচ, হোস্টিং সরঞ্জামের পরিকাঠামো এবং স্থাপনার খরচ, প্রশাসন এবং রক্ষণাবেক্ষণের খরচ (হোক ইন-হাউস বা তৃতীয় পক্ষের পরিষেবার আকারে), পাশাপাশি পরোক্ষ সমাধান ডাউনটাইম থেকে খরচ (শেষ-ব্যবহারকারীর উত্পাদনশীলতা ক্ষতির কারণে)। সম্ভবত শুধুমাত্র একটি সূক্ষ্মতা আছে. সমাধানের কার্যকারিতা প্রভাবকে বিভিন্ন উপায়ে বিবেচনা করা যেতে পারে: হয় হারানো উত্পাদনশীলতার কারণে পরোক্ষ খরচ হিসাবে বা "ভার্চুয়াল" নেটওয়ার্ক সরঞ্জাম ক্রয়/আপগ্রেড এবং বজায় রাখার প্রত্যক্ষ খরচ হিসাবে যা ব্যবহারের কারণে নেটওয়ার্ক কার্যকারিতা ক্ষতির জন্য ক্ষতিপূরণ দেয়। জোড়া লাগানো. যাই হোক না কেন, পর্যাপ্ত নির্ভুলতার সাথে গণনা করা কঠিন যে খরচগুলি গণনা থেকে বাদ দেওয়া ভাল: এইভাবে চূড়ান্ত মানটিতে আরও আস্থা থাকবে। এবং, যথারীতি, যে কোনও ক্ষেত্রে, TCO-এর দ্বারা তাদের ব্যবহারের একটি নির্দিষ্ট দৃশ্যের জন্য বিভিন্ন ডিভাইসের তুলনা করা বোধগম্য হয় - বাস্তব বা সাধারণ।

স্থায়িত্ব

এবং শেষ বৈশিষ্ট্য হল সমাধানের অধ্যবসায়। বেশিরভাগ ক্ষেত্রে, স্থায়িত্ব শুধুমাত্র বিভিন্ন সমাধান তুলনা করে গুণগতভাবে মূল্যায়ন করা যেতে পারে। আমাদের অবশ্যই মনে রাখতে হবে যে এনক্রিপশন ডিভাইসগুলি কেবল একটি উপায় নয়, সুরক্ষার একটি বস্তুও। তারা বিভিন্ন হুমকির সম্মুখীন হতে পারে। গোপনীয়তা লঙ্ঘন, পুনরুত্পাদন এবং বার্তা পরিবর্তনের হুমকিগুলি সামনের দিকে রয়েছে৷ এই হুমকিগুলি সাইফার বা এর পৃথক মোডগুলির দুর্বলতার মাধ্যমে, এনক্রিপশন প্রোটোকলের দুর্বলতার মাধ্যমে উপলব্ধি করা যেতে পারে (একটি সংযোগ স্থাপন এবং কী তৈরি/বন্টন করার পর্যায়ে সহ)। সুবিধা হবে এমন সমাধানগুলির জন্য যা এনক্রিপশন অ্যালগরিদম পরিবর্তন করতে বা সাইফার মোড পরিবর্তন করতে দেয় (অন্তত একটি ফার্মওয়্যার আপডেটের মাধ্যমে), সমাধানগুলি যা সবচেয়ে সম্পূর্ণ এনক্রিপশন প্রদান করে, আক্রমণকারীর কাছ থেকে শুধুমাত্র ব্যবহারকারীর ডেটা নয়, ঠিকানা এবং অন্যান্য পরিষেবার তথ্যও লুকিয়ে রাখে। , সেইসাথে প্রযুক্তিগত সমাধান যা শুধুমাত্র এনক্রিপ্ট নয়, বার্তাগুলিকে পুনরুৎপাদন এবং পরিবর্তন থেকেও রক্ষা করে। সমস্ত আধুনিক এনক্রিপশন অ্যালগরিদম, ইলেকট্রনিক স্বাক্ষর, কী জেনারেশন, ইত্যাদির জন্য, যা মানদণ্ডে ধারণ করা হয়েছে, শক্তি একই বলে ধরে নেওয়া যেতে পারে (অন্যথায় আপনি ক্রিপ্টোগ্রাফির জঙ্গলে হারিয়ে যেতে পারেন)। এই অগত্যা GOST অ্যালগরিদম হওয়া উচিত? এখানে সবকিছুই সহজ: যদি আবেদনের দৃশ্যের জন্য CIPF-এর জন্য FSB সার্টিফিকেশনের প্রয়োজন হয় (এবং রাশিয়ায় এটি প্রায়শই হয়; বেশিরভাগ নেটওয়ার্ক এনক্রিপশন পরিস্থিতিতে এটি সত্য), তাহলে আমরা শুধুমাত্র প্রত্যয়িতগুলির মধ্যে বেছে নিই। যদি তা না হয়, তাহলে বিবেচনা থেকে শংসাপত্র ছাড়া ডিভাইসগুলি বাদ দেওয়ার কোনও মানে নেই।

আরেকটি হুমকি হল হ্যাকিংয়ের হুমকি, ডিভাইসগুলিতে অননুমোদিত অ্যাক্সেস (কেসের বাইরে এবং ভিতরে শারীরিক অ্যাক্সেস সহ)। হুমকির মাধ্যমে বাহিত হতে পারে
বাস্তবায়নে দুর্বলতা - হার্ডওয়্যার এবং কোডে। অতএব, নেটওয়ার্কের মাধ্যমে একটি ন্যূনতম "আক্রমণ পৃষ্ঠ" সহ সমাধানগুলি, শারীরিক অ্যাক্সেস থেকে সুরক্ষিত ঘের সহ (অনুপ্রবেশ সেন্সর, প্রোবিং সুরক্ষা এবং এনক্লোজার খোলার সময় মূল তথ্যের স্বয়ংক্রিয় রিসেট) এবং সেইসাথে যেগুলি ফার্মওয়্যার আপডেটের অনুমতি দেয় ইভেন্টে একটি সুবিধা যে কোডে একটি দুর্বলতা জানা যায়। আরেকটি উপায় আছে: তুলনা করা সমস্ত ডিভাইসের যদি FSB সার্টিফিকেট থাকে, তাহলে CIPF ক্লাস যার জন্য সার্টিফিকেট জারি করা হয়েছিল তাকে হ্যাকিং প্রতিরোধের সূচক হিসেবে বিবেচনা করা যেতে পারে।

অবশেষে, অন্য ধরনের হুমকি হল সেটআপ এবং অপারেশনের সময় ত্রুটি, এটির বিশুদ্ধতম আকারে মানব ফ্যাক্টর। এটি একত্রিত সমাধানগুলির উপর বিশেষায়িত এনক্রিপ্টরগুলির আরেকটি সুবিধা দেখায়, যা প্রায়শই অভিজ্ঞ "নেটওয়ার্ক বিশেষজ্ঞদের" লক্ষ্য করে এবং "সাধারণ", সাধারণ তথ্য সুরক্ষা বিশেষজ্ঞদের জন্য অসুবিধার কারণ হতে পারে।

রায়

নীতিগতভাবে, এখানে বিভিন্ন ডিভাইসের তুলনা করার জন্য এক ধরণের অবিচ্ছেদ্য সূচক প্রস্তাব করা সম্ভব হবে, যেমন কিছু

$$display$$K_j=∑p_i r_{ij}$$display$$

যেখানে p হল সূচকের ওজন, এবং r হল এই সূচক অনুসারে ডিভাইসের র‍্যাঙ্ক, এবং উপরে তালিকাভুক্ত যে কোনো বৈশিষ্ট্যকে "পারমাণবিক" সূচকে ভাগ করা যেতে পারে। যেমন একটি সূত্র উপযোগী হতে পারে, উদাহরণস্বরূপ, পূর্ব-সম্মত নিয়ম অনুযায়ী দরপত্র প্রস্তাবের তুলনা করার সময়। কিন্তু আপনি একটি সহজ টেবিলের মত দিয়ে পেতে পারেন

Характеристика
ডিভাইস 1
ডিভাইস 2
...
ডিভাইস এন

ব্যান্ডউইথ
+
+

+++

ওভারহেডস
+
++

+++

বিলম্ব
+
+

++

মাপযোগ্যতা
+++
+

+++

নমনীয়তা
+++
++

+

ইন্টারঅপারেবিলিটি
++
+

+

সঙ্গতি
++
++

+++

সরলতা এবং সুবিধা
+
+

++

দোষ সহনশীলতা
+++
+++

++

খরচ
++
+++

+

স্থায়িত্ব
++
++

+++

আমি প্রশ্ন এবং গঠনমূলক সমালোচনা উত্তর দিতে খুশি হবে.

উত্স: www.habr.com