Google avas ülesannete, mis on seotud turvalise võrgu protokolliga PSP

Ettevõte Google teatas PSP (PSP Security Protocol) protokolli spetsifikatsioonide ja viidatud rakenduse avamisest, mida kasutatakse andme keskuste vahelise liikluse krüpteerimiseks. Protokoll kasutab IP-sarnast ESP (Encapsulating Security Payloads) liikluse kapseldamise arhitektuuri, tagades krüpteerimise, krüptograafilise terviklikkuse kontrolli ja allika autentimise. PSP teostuse kood on kirjutatud C keeles ja jagatakse Apache 2.0 litsentsi alusel.

PSP eripära on protokolli optimeerimine arvutuste kiirendamiseks ja koormuse vähendamiseks keskprotsessoril, viies krüpteerimise ja dekrüpteerimise operatsioonid võrkaartide poole (offload). Riistvaralise kiirenduse kasutamiseks on vajalikud spetsiaalsed võrkaartid, mis on PSP-ga ühilduvad. Süsteemidele, mille võrkaartid ei toeta PSP-d, pakutakse SoftPSP tarkvaralist teostust.

Andmete edastamiseks kasutatakse UDP protokolli. PSP-pakett algab IP-päisega, millele järgneb UDP-päis ja seejärel PSP enda päis, kus on teave krüpteerimise ja autentimise kohta. Järgmiseks lisatakse originaalse TCP/UDP-paketi sisu, mis lõpeb PSP lõppplokiga koos kontrollsummaga terviklikkuse kinnitamiseks. PSP päis, samuti kapseldatud paketi päis ja andmed on alati autentitud, et kinnitada paketi ehtsust. Kapseldatud paketi andmed võivad olla krüpteeritud, samas on lubatud ka valikuline krüpteerimise rakendamine, jättes osa TCP-päisest avatud (autentsuse kontrolli säilitamisega), näiteks pakettide vaatamise võimaldamiseks ülemise võrgu varustuses.

PSP ei ole seotud teatud võtmevahetusprotokolliga, pakub mitmeid pakettiformaate ja toetab erinevate krüptoalgoritmide kasutamist. Näiteks toetatakse AES-GCM algoritmi krüpteerimiseks ja autentimiseks ning AES-GMAC-i autentimiseks ilma otseteavet krüpteerimata, näiteks kui andmed ei ole väärtuslikud, kuid on oluline tagada, et need ei oleks edastamise käigus muudetud ja et need on need, mis algselt saadeti.

Erinevalt tüüpilistest VPN-protokollidest rakendab PSP krüpteerimist individuaalsete võrguühenduste tasemel, mitte kogu sidekanali tasemel, st PSP kasutab erinevate tunneliseeritud UDP- ja TCP-ühenduste jaoks eraldi krüpteerimisvõtmeid. Selline lähenemine võimaldab saavutada rangemat liikluse isolatsiooni erinevate rakenduste ja töötlejate vahel, mis on oluline, kui ühel serveris rakendamisel ja teenustel on erinevad kasutajad.

Google'is kasutatakse PSP protokolli nii ettevõtte sisekommunikatsioonide kaitsmiseks kui ka Google Cloudi klientide liikluse kaitsmiseks. Protokoll on algselt kavandatud tõhusaks tööks Google'i tasemel infrastruktuurides ja peab tagama riistvaralise krüpteerimise kiirendamise olukordades, kus on miljoneid aktiivseid võrguühendusi ja sadu tuhandeid uusi ühendusi sekundis.

Toetatakse kahte töörežiimi — „stateful” ja „stateless”. „Stateless” režiimis edastatakse krüpteerimisvõtmed võrkaartmele paketi descriptoris ja dekrüpteerimiseks eraldatakse need paketi SPI (Security Parameter Index) väljadest, kasutades master-võtit (256-bitine AES, hoitakse võrkaartme mälus ja vahetatakse iga 24 tunni järel), mis aitab säästa võrkaartme mälu ja minimeerida šifreeritud ühenduste olekuinformatsiooni, mida hoitakse riistvara poolel. „Stateful” režiimis hoitakse iga ühenduse võtmed võrkaartme eraldi tabelis, sarnaselt sellele, kuidas on teostatud riistvaraline kiirendamine IPsec-is.

PSP pakub ainulaadset kombinatsiooni TLS ja IPsec/VPN protokollide võimalustest. TLS sobis Google'ile individuaalsete ühenduste tasandi kaitse osas, kuid polnud piisavalt paindlik riistvara kiirendamiseks ja ei toetanud UDP-d. IPsec tagas protokollidest sõltumatuse ja toetas hästi riistvara kiirendust, kuid ei toetanud võtmete sidumist üksikute ühendustega, oli kavandatud vaid väikese arvu tunnelite loomiseks ja oli skalatsiooni probleemidega, kuna kogu krüpteerimise oleku hoidmine toimus tabelites, mis asusid võrkaartide mälus (näiteks 10 miljoni ühenduse töötlemiseks on vaja 5 GB mälu).

PSP puhul võib krüpteerimise oleku teave (võtmed, initsialiseerimise vektorid, järjestusnumbrid jne) edastada paketi TX-deskriptoris või mälunäidiku kujul, mitte võtma võrkaartide mälu. Google'i andmetel kulus varem RPC-liiklus krüpteerimisele ettevõtte infrastruktuuris umbes 0.7% arvutusvõimsusest ja suures koguses mälu. PSP rakendamine riistvara kiirenduse kaasamise kaudu võimaldas selle näitaja vähendada 0.2% -ni.

Allikas: opennet.ru