כיצד להעריך ולהשוות התקני הצפנת Ethernet

כתבתי את הסקירה הזו (או, אם תעדיפו, מדריך השוואה) כאשר הוטל עליי להשוות בין מספר מכשירים של ספקים שונים. בנוסף, מכשירים אלה השתייכו למעמדות שונים. הייתי צריך להבין את הארכיטקטורה והמאפיינים של כל המכשירים האלה וליצור "מערכת קואורדינטות" להשוואה. אני אשמח אם הביקורת שלי תעזור למישהו:

• הבן את התיאורים והמפרטים של מכשירי הצפנה
• הבדיל בין מאפייני "נייר" לאלו החשובים באמת בחיים האמיתיים
• צא מעבר למערך הספקים הרגיל וכלול בחשבון את כל המוצרים המתאימים לפתרון הבעיה
• שאל את השאלות הנכונות במהלך המשא ומתן
• עריכת דרישות מכרז (RFP)
• הבן אילו מאפיינים יש להקריב אם נבחר דגם מכשיר מסוים

מה ניתן להעריך

באופן עקרוני, הגישה חלה על כל מכשיר עצמאי המתאים להצפנת תעבורת רשת בין מקטעי Ethernet מרוחקים (הצפנה חוצה אתרים). כלומר, "קופסאות" במארז נפרד (בסדר, נכלול כאן גם להבים/מודולים לשלדה), שמחוברים באמצעות יציאת Ethernet אחת או יותר לרשת Ethernet מקומית (קמפוס) עם תעבורה לא מוצפנת, ודרך יציאה נוספת לערוץ/רשת שדרכה מועברת תעבורה מוצפנת למקטעים אחרים, מרוחקים. ניתן לפרוס פתרון הצפנה כזה ברשת פרטית או מפעילה באמצעות סוגים שונים של "תחבורה" (סיבים כהים, ציוד חלוקת תדרים, Ethernet מיתוג, כמו גם "חוטי פסאודו" המונחים דרך רשת בעלת ארכיטקטורת ניתוב שונה, לרוב MPLS ), עם או בלי טכנולוגיית VPN.

הצפנת רשת ברשת Ethernet מבוזרת

המכשירים עצמם יכולים להיות גם מתמחה (מיועד אך ורק להצפנה), או רב תכליתי (היברידית, מִתכַּנֵס), כלומר, גם ביצוע פונקציות אחרות (לדוגמה, חומת אש או נתב). ספקים שונים מסווגים את המכשירים שלהם למחלקות/קטגוריות שונות, אבל זה לא משנה - הדבר החשוב היחיד הוא האם הם יכולים להצפין תעבורה חוצה אתרים, ואילו מאפיינים יש להם.

ליתר בטחון, אני מזכיר לך ש"הצפנת רשת", "הצפנת תנועה", "מצפן" הם מונחים לא פורמליים, למרות שהם משמשים לעתים קרובות. סביר להניח שלא תמצא אותם בתקנות הרוסיות (כולל אלה שמציגות GOSTs).

רמות הצפנה ומצבי שידור

לפני שנתחיל לתאר את המאפיינים עצמם שישמשו להערכה, תחילה נצטרך להבין דבר חשוב אחד, כלומר "רמת ההצפנה". שמתי לב שזה מוזכר לעתים קרובות הן במסמכי ספק רשמיים (בתיאורים, מדריכים וכו') והן בדיונים לא פורמליים (במשא ומתן, הדרכות). כלומר, נראה שכולם יודעים היטב על מה אנחנו מדברים, אבל אני אישית הייתי עד לבלבול מסוים.

אז מהי "רמת הצפנה"? ברור שאנחנו מדברים על מספר שכבת מודל רשת הייחוס OSI/ISO שבה מתרחשת ההצפנה. קראנו את GOST R ISO 7498-2–99 "טכנולוגיית מידע. חיבור בין מערכות פתוחות. מודל התייחסות בסיסי. חלק 2. ארכיטקטורת אבטחת מידע." ממסמך זה ניתן להבין כי רמת שירות הסודיות (אחד ממנגנוני האספקה ​​שהוא הצפנה) היא רמת הפרוטוקול, שבלוק נתוני השירות ("עומס", נתוני משתמש) שלו מוצפן. כפי שכתוב גם בתקן, השירות יכול להינתן הן באותה רמה, "בכוחות עצמו", והן בעזרת רמה נמוכה יותר (כך, למשל, הוא מיושם לרוב ב-MACSec) .

בפועל, שני מצבים של העברת מידע מוצפן דרך רשת אפשריים (IPsec עולה מיד בראש, אבל אותם מצבים נמצאים גם בפרוטוקולים אחרים). IN הובלה (לפעמים נקרא גם native) מצב מוצפן בלבד שֵׁרוּת בלוק נתונים, והכותרות נשארות "פתוחות", לא מוצפנות (לפעמים מתווספים שדות נוספים עם מידע שירות של אלגוריתם ההצפנה, ושדות אחרים משתנים ומחושבים מחדש). IN מִנהָרָה אותו מצב כולם נוהל בלוק הנתונים (כלומר, החבילה עצמה) מוצפן ומובלע בבלוק נתוני שירות באותה רמה או גבוהה יותר, כלומר, הוא מוקף בכותרות חדשות.

רמת ההצפנה עצמה בשילוב עם מצב שידור כלשהו אינה טובה ואינה רעה, כך שאי אפשר לומר, למשל, ש-L3 במצב תחבורה עדיף על L2 במצב מנהרה. רק שרבים מהמאפיינים שלפיהם מכשירים מוערכים תלויים בהם. למשל, גמישות ותאימות. כדי לעבוד ברשת L1 (ממסר זרם סיביות), L2 (מיתוג מסגרת) ו-L3 (ניתוב מנות) במצב תעבורה, אתה צריך פתרונות שמצפנים ברמה זהה או גבוהה יותר (אחרת פרטי הכתובת יוצפנו והנתונים יוצפנו לא להגיע ליעד המיועד שלו), ומצב המנהרה מתגבר על מגבלה זו (אם כי מוותר על מאפיינים חשובים אחרים).

מצבי הצפנה של תחבורה ומנהרה L2

כעת נעבור לניתוח המאפיינים.

פרודוקטיביות

עבור הצפנת רשת, ביצועים הם מושג מורכב ורב מימדי. קורה שדגם מסוים, למרות שהוא עדיף במאפיין ביצוע אחד, נחות באחר. לכן, תמיד כדאי לשקול את כל מרכיבי ביצועי ההצפנה והשפעתם על ביצועי הרשת והיישומים המשתמשים בה. כאן אנו יכולים לצייר אנלוגיה למכונית, שעבורה חשובה לא רק מהירות מקסימלית, אלא גם זמן האצה ל"מאות", צריכת דלק וכן הלאה. חברות ספקים ולקוחותיהם הפוטנציאליים מקדישים תשומת לב רבה למאפייני הביצועים. ככלל, מכשירי ההצפנה מדורגים על סמך ביצועים בקווי הספק.

ברור שהביצועים תלויים הן במורכבות של פעולות הרשת וההצפנה המבוצעות במכשיר (כולל עד כמה ניתן לבצע מקבילות ומשימות אלו בצנרת), כמו גם בביצועי החומרה ובאיכות הקושחה. לכן, דגמים ישנים יותר משתמשים בחומרה פרודוקטיבית יותר; לפעמים אפשר לצייד אותה במעבדים נוספים ובמודולי זיכרון. קיימות מספר גישות ליישום פונקציות קריפטוגרפיות: ביחידת עיבוד מרכזית (CPU), מעגל משולב ספציפי ליישום (ASIC), או מעגל לוגיקה משולב לתכנות שדה (FPGA). לכל גישה יש את היתרונות והחסרונות שלה. לדוגמה, המעבד יכול להפוך לצוואר בקבוק הצפנה, במיוחד אם למעבד אין הוראות מיוחדות לתמיכה באלגוריתם ההצפנה (או אם לא נעשה בהן שימוש). לשבבים מיוחדים אין גמישות; לא תמיד ניתן "לחדש" אותם כדי לשפר ביצועים, להוסיף פונקציות חדשות או להעלים נקודות תורפה. בנוסף, השימוש בהם הופך לרווחי רק עם כמויות ייצור גדולות. זו הסיבה ש"אמצע הזהב" הפך להיות כל כך פופולרי - השימוש ב-FPGA (FPGA ברוסית). ב-FPGA נוצרים מה שנקרא מאיצי קריפטו - מודולי חומרה מיוחדים מובנים או תוספים לתמיכה בפעולות קריפטוגרפיות.

מאז אנחנו מדברים על רֶשֶׁת בהצפנה, זה הגיוני שביצועי הפתרונות יימדדו באותן כמויות כמו של התקני רשת אחרים - תפוקה, אחוז אובדן פריימים והשהייה. ערכים אלו מוגדרים ב-RFC 1242. אגב, שום דבר לא נכתב על וריאציית ההשהיה (ריצוד) המוזכרת לעתים קרובות ב-RFC הזה. איך מודדים כמויות אלו? לא מצאתי מתודולוגיה מאושרת באף תקן (רשמי או לא רשמי כגון RFC) במיוחד להצפנת רשת. זה יהיה הגיוני להשתמש במתודולוגיה עבור התקני רשת המעוגנים בתקן RFC 2544. ספקים רבים עוקבים אחריה - רבים, אך לא כולם. לדוגמה, הם שולחים תעבורת בדיקה לכיוון אחד בלבד במקום שניהם, כמו מומלץ תֶקֶן. בכל מקרה.

למדידת הביצועים של התקני הצפנת רשת עדיין יש מאפיינים משלה. ראשית, נכון לבצע את כל המדידות עבור זוג מכשירים: למרות שאלגוריתמי ההצפנה הם סימטריים, עיכובים והפסדי מנות במהלך ההצפנה והפענוח לא בהכרח יהיו שווים. שנית, הגיוני למדוד את הדלתא, את ההשפעה של הצפנת רשת על ביצועי הרשת הסופיים, תוך השוואה בין שתי תצורות: ללא התקני הצפנה ואיתם. או, כפי שקורה במכשירים היברידיים, המשלבים מספר פונקציות בנוסף להצפנת הרשת, כשההצפנה כבויה ומופעלת. השפעה זו יכולה להיות שונה ותלויה בסכימת החיבור של מכשירי ההצפנה, במצבי ההפעלה ולבסוף, באופי התעבורה. בפרט, פרמטרים רבים של ביצועים תלויים באורך החבילות, וזו הסיבה שכדי להשוות את הביצועים של פתרונות שונים, משתמשים לעתים קרובות בגרפים של פרמטרים אלה בהתאם לאורך החבילות, או ב-IMIX - התפלגות התעבורה לפי מנות. אורכים, המשקפים בערך את האמיתי. אם נשווה את אותה תצורה בסיסית ללא הצפנה, נוכל להשוות פתרונות הצפנת רשת המיושמים בצורה שונה מבלי להיכנס להבדלים הללו: L2 עם L3, store-and-forward ) עם חיתוך, מתמחה עם מתכנס, GOST עם AES וכן הלאה.

דיאגרמת חיבור לבדיקת ביצועים

המאפיין הראשון שאנשים שמים לב אליו הוא ה"מהירות" של מכשיר ההצפנה, כלומר רוחב פס (רוחב פס) של ממשקי הרשת שלו, קצב זרימת סיביות. זה נקבע על ידי תקני הרשת הנתמכים על ידי הממשקים. עבור Ethernet, המספרים הרגילים הם 1 Gbps ו- 10 Gbps. אבל, כידוע, בכל רשת המקסימום התיאורטי רוחב פס (תפוקה) בכל אחת מהרמות שלו תמיד יש פחות רוחב פס: חלק מרוחב הפס "נאכל" על ידי מרווחי אינטרפריים, כותרות שירות וכו'. אם מכשיר מסוגל לקלוט, לעבד (במקרה שלנו, להצפין או לפענח) ולשדר תעבורה במלוא המהירות של ממשק הרשת, כלומר, עם התפוקה התיאורטית המקסימלית לרמה זו של מודל הרשת, אזי נאמר להיות עובד במהירות קו. לשם כך, יש צורך שהמכשיר לא יאבד או יזרוק מנות בכל גודל ובכל תדירות. אם התקן ההצפנה אינו תומך בפעולה במהירות קו, אזי התפוקה המקסימלית שלו מצוינת בדרך כלל באותם גיגה-ביט לשנייה (לפעמים מציינת את אורך החבילות - ככל שהמנות קצרות יותר, התפוקה בדרך כלל נמוכה יותר). חשוב מאוד להבין שהתפוקה המקסימלית היא המקסימלית ללא הפסד (גם אם המכשיר יכול "לשאוב" תעבורה דרך עצמו במהירות גבוהה יותר, אך באותו זמן לאבד כמה מנות). כמו כן, שים לב לכך שחלק מהספקים מודדים את התפוקה הכוללת בין כל זוגות היציאות, כך שלמספרים אלו אין משמעות רבה אם כל התעבורה המוצפנת עוברת דרך יציאה אחת.

היכן חשוב במיוחד לפעול במהירות קו (או, במילים אחרות, ללא אובדן מנות)? בקישורים בעלי רוחב פס גבוה וזמן אחזור גבוה (כגון לוויין), שבהם יש להגדיר גודל חלון TCP גדול כדי לשמור על מהירויות שידור גבוהות, ושם אובדן מנות מפחית באופן דרמטי את ביצועי הרשת.

אבל לא כל רוחב הפס משמש להעברת נתונים שימושיים. אנחנו צריכים להתחשב עם מה שנקרא עלות יקרה מדי רוחב פס (תקורה). זהו החלק מהתפוקה של מכשיר ההצפנה (כאחוז או בתים לכל מנה) שמתבזבז בפועל (לא ניתן להשתמש בו להעברת נתוני אפליקציה). עלויות תקורה נובעות, ראשית, עקב גידול בגודל (תוספת, "מילוי") של שדה הנתונים בחבילות רשת מוצפנות (בהתאם לאלגוריתם ההצפנה ומצב הפעולה שלו). שנית, עקב הגידול באורך כותרות החבילות (מצב מנהרה, הכנסת שירות של פרוטוקול ההצפנה, הכנסת סימולציה וכו' בהתאם לפרוטוקול ואופן הפעולה של מצב הצופן והשידור) - בדרך כלל עלויות תקורה אלו הן הכי משמעותי, והם שמים לב קודם. שלישית, עקב פיצול מנות כאשר חריגה מגודל יחידת הנתונים המקסימלי (MTU) (אם הרשת מסוגלת לפצל מנה החורגת מ-MTU לשניים, תוך שכפול הכותרות שלה). רביעית, עקב הופעת תעבורת שירות (בקרה) נוספת ברשת בין התקני הצפנה (להחלפת מפתחות, התקנת מנהרה וכו'). תקורה נמוכה חשובה כאשר קיבולת הערוץ מוגבלת. זה בולט במיוחד בתעבורה מחבילות קטנות, למשל, קול - שם עלויות תקורה יכולות "לאכול" יותר ממחצית ממהירות הערוץ!

תפוקה

לבסוף, יש עוד הציג עיכוב – ההבדל (בשברירי שנייה) בהשהיית הרשת (הזמן שלוקח לנתונים לעבור מכניסה לרשת ועד ליציאה ממנה) בין העברת נתונים ללא ועם הצפנת רשת. באופן כללי, ככל שהשהייה ("השהיה") נמוכה יותר של הרשת, כך ההשהיה המוכנסת על ידי מכשירי הצפנה הופכת קריטית יותר. העיכוב מתרחש על ידי פעולת ההצפנה עצמה (בהתאם לאלגוריתם ההצפנה, אורך הבלוק ואופן הפעולה של הצופן, וכן באיכות הטמעתו בתוכנה), ועיבוד חבילת הרשת במכשיר. . ההשהיה שהוכנסה תלויה הן במצב עיבוד המנות (מעבר או אחסן והעברה) והן בביצועי הפלטפורמה (יישום חומרה ב-FPGA או ASIC הוא בדרך כלל מהיר יותר מהטמעת תוכנה ב-CPU). להצפנת L2 יש כמעט תמיד זמן אחזור נמוך יותר מהצפנת L3 או L4, בשל העובדה שהתקני הצפנה L3/L4 מתכנסים לעתים קרובות. לדוגמה, עם מצפינים Ethernet מהירים המיושמים על רכיבי FPGA ומצפנים ב-L2, ההשהיה עקב פעולת ההצפנה קטנה באופן נעלם - לפעמים כאשר הצפנה מופעלת בזוג מכשירים, ההשהיה הכוללת המוכנסת על ידם אף פוחתת! זמן השהייה נמוך חשוב במקום בו ניתן להשוות לעיכובים הכוללים של הערוץ, כולל עיכוב התפשטות, שהוא כ-5 μs לקילומטר. כלומר, אנחנו יכולים לומר שעבור רשתות בקנה מידה עירוני (ברוחב עשרות קילומטרים), מיקרו-שניות יכולות להכריע הרבה. לדוגמה, עבור שכפול מסד נתונים סינכרוני, מסחר בתדר גבוה, אותו בלוקצ'יין.

הוצג עיכוב

מדרגיות

רשתות מבוזרות גדולות יכולות לכלול אלפים רבים של צמתים והתקני רשת, מאות מקטעי רשת מקומית. חשוב שפתרונות ההצפנה לא יכפו מגבלות נוספות על הגודל והטופולוגיה של הרשת המבוזרת. זה חל בעיקר על המספר המרבי של כתובות מארח ורשת. ניתן להיתקל במגבלות כאלה, למשל, בעת יישום טופולוגיית רשת מוצפנת מרובת נקודות (עם חיבורים מאובטחים עצמאיים, או מנהרות) או הצפנה סלקטיבית (לדוגמה, לפי מספר פרוטוקול או VLAN). אם במקרה זה כתובות רשת (MAC, IP, VLAN ID) משמשות כמפתחות בטבלה שבה מספר השורות מוגבל, אזי ההגבלות הללו מופיעות כאן.

בנוסף, לרשתות גדולות יש לרוב כמה שכבות מבניות, כולל רשת הליבה, שכל אחת מהן מיישמת את סכימת הכתובות שלה ומדיניות הניתוב שלה. כדי ליישם גישה זו, לעתים קרובות נעשה שימוש בפורמטים מיוחדים של מסגרת (כגון Q-in-Q או MAC-in-MAC) ופרוטוקולי קביעת מסלול. כדי לא להפריע לבניית רשתות כאלה, מכשירי הצפנה חייבים לטפל בצורה נכונה במסגרות כאלה (כלומר, במובן זה, מדרגיות פירושה תאימות - עוד על כך בהמשך).

גמישות

כאן אנחנו מדברים על תמיכה בתצורות שונות, סכימות חיבור, טופולוגיות ודברים אחרים. לדוגמה, עבור רשתות מיתוג המבוססות על טכנולוגיות Carrier Ethernet, המשמעות היא תמיכה בסוגים שונים של חיבורים וירטואליים (E-Line, E-LAN, E-Tree), סוגים שונים של שירות (הן על ידי יציאה והן על ידי VLAN) וטכנולוגיות הובלה שונות. (הם כבר רשמו למעלה). כלומר, המכשיר חייב להיות מסוגל לפעול הן במצב ליניארי ("נקודה לנקודה") והן במצב מרובה נקודות, להקים מנהרות נפרדות עבור רשתות VLAN שונות, ולאפשר מסירה מחוץ לסדר של מנות בתוך ערוץ מאובטח. היכולת לבחור מצבי צופן שונים (כולל עם או בלי אימות תוכן) ומצבי שידור מנות שונים מאפשרים לך ליצור איזון בין חוזק וביצועים בהתאם לתנאים הנוכחיים.

כמו כן, חשוב לתמוך הן ברשתות פרטיות, שהציוד שלהן נמצא בבעלות ארגון אחד (או מושכר לו), והן ברשתות מפעילים שפלחים שונים שלהן מנוהלים על ידי חברות שונות. זה טוב אם הפתרון מאפשר ניהול הן בתוך הבית והן על ידי צד שלישי (באמצעות מודל שירות מנוהל). ברשתות מפעילים, פונקציה חשובה נוספת היא תמיכה בריבוי דירות (שיתוף על ידי לקוחות שונים) בצורה של בידוד קריפטוגרפי של לקוחות בודדים (מנויים) שהתעבורה שלהם עוברת דרך אותה סט של מכשירי הצפנה. זה מצריך בדרך כלל שימוש בקבוצות נפרדות של מפתחות ואישורים עבור כל לקוח.

אם מכשיר נרכש עבור תרחיש מסוים, אז כל התכונות הללו לא יהיו חשובות במיוחד - אתה רק צריך לוודא שהמכשיר תומך במה שאתה צריך עכשיו. אבל אם פתרון נרכש "לצמיחה", כדי לתמוך גם בתרחישים עתידיים, וייבחר כ"תקן תאגידי", אז הגמישות לא תהיה מיותרת - במיוחד בהתחשב בהגבלות על יכולת פעולה הדדית של מכשירים מיצרנים שונים ( עוד על כך בהמשך).

פשטות ונוחות

קלות השירות היא גם מושג רב גורמים. בערך, אנו יכולים לומר שזהו הזמן הכולל של מומחים בעלי הסמכה מסוימת הנדרשים כדי לתמוך בפתרון בשלבים שונים של מחזור החיים שלו. אם אין עלויות, וההתקנה, התצורה והתפעול הם אוטומטיים לחלוטין, אז העלויות אפסיות והנוחות היא מוחלטת. כמובן, זה לא קורה בעולם האמיתי. קירוב סביר הוא מודל "קשר על חוט" (bump-in-the-wire), או חיבור שקוף, שבו הוספה והשבתה של התקני הצפנה אינה מצריכה שינויים ידניים או אוטומטיים בתצורת הרשת. במקביל, תחזוקת הפתרון פשוטה: ניתן להפעיל ולכבות את פונקציית ההצפנה בבטחה, ובמידת הצורך פשוט "לעקוף" את המכשיר באמצעות כבל רשת (כלומר לחבר ישירות את היציאות של ציוד הרשת שאליהן זה היה מחובר). נכון, יש חיסרון אחד - תוקף יכול לעשות את אותו הדבר. כדי ליישם את עיקרון "צומת על חוט", יש צורך לקחת בחשבון לא רק תנועה שכבת נתוניםאבל שכבות בקרה וניהול - המכשירים חייבים להיות שקופים עבורם. לכן, תעבורה כזו יכולה להיות מוצפנת רק כאשר אין נמענים של תעבורה מסוג זה ברשת בין מכשירי ההצפנה, שכן אם היא מושלכת או מוצפנת, אז כאשר אתה מפעיל או משבית הצפנה, תצורת הרשת עשויה להשתנות. התקן ההצפנה יכול להיות גם שקוף לאיתות השכבה הפיזית. בפרט, כאשר אות אובד, עליו לשדר הפסד זה (כלומר לכבות את המשדרים שלו) הלוך ושוב ("לעצמו") לכיוון האות.

ישנה חשיבות גם לתמיכה בחלוקת הסמכויות בין מחלקות אבטחת מידע ו-IT, בפרט מחלקת הרשתות. פתרון ההצפנה חייב לתמוך במודל בקרת הגישה והביקורת של הארגון. יש למזער את הצורך באינטראקציה בין מחלקות שונות לביצוע פעולות שגרתיות. לכן, יש יתרון מבחינת נוחות למכשירים מיוחדים התומכים בלעדית בפונקציות הצפנה ושקופים ככל האפשר לפעולות הרשת. במילים פשוטות, לעובדי אבטחת מידע לא צריכה להיות סיבה לפנות ל"מומחי רשת" כדי לשנות את הגדרות הרשת. ולאלו, בתורם, לא צריך לשנות את הגדרות ההצפנה בעת תחזוקת הרשת.

גורם נוסף הוא היכולות והנוחות של הפקדים. הם צריכים להיות חזותיים, הגיוניים, לספק יבוא-יצוא של הגדרות, אוטומציה וכו'. כדאי לשים לב מיד לאילו אפשרויות ניהול זמינות (בדרך כלל סביבת ניהול משלהם, ממשק אינטרנט ושורת פקודה) ואיזה סט פונקציות יש לכל אחת מהן (יש מגבלות). פונקציה חשובה היא תמיכה מחוץ ללהקה שליטה (מחוץ לפס), כלומר באמצעות רשת בקרה ייעודית, ו בתוך הלהקה שליטה (in-band), כלומר דרך רשת משותפת שדרכה מועברת תעבורה שימושית. כלי הניהול חייבים לאותת על כל המצבים החריגים, לרבות אירועי אבטחת מידע. פעולות שגרתיות שחוזרות על עצמן צריכות להתבצע באופן אוטומטי. זה נוגע בעיקר לניהול מפתח. הם צריכים להיווצר/להפיץ באופן אוטומטי. תמיכת PKI היא יתרון גדול.

תאימות

כלומר, תאימות המכשיר לתקני רשת. יתרה מכך, המשמעות היא לא רק תקנים תעשייתיים שאומצו על ידי ארגונים סמכותיים כמו IEEE, אלא גם פרוטוקולים קנייניים של מנהיגים בתעשייה, כמו סיסקו. ישנן שתי דרכים עיקריות להבטיח תאימות: או דרך прозрачность, או דרך תמיכה מפורשת פרוטוקולים (כאשר התקן הצפנה הופך לאחד מצמתי הרשת עבור פרוטוקול מסוים ומעבד את תעבורת הבקרה של פרוטוקול זה). תאימות לרשתות תלויה בשלמות ובנכונות היישום של פרוטוקולי בקרה. חשוב לתמוך באפשרויות שונות לרמת PHY (מהירות, אמצעי שידור, ערכת קידוד), מסגרות Ethernet בפורמטים שונים עם כל MTU, פרוטוקולי שירות שונים של L3 (בעיקר משפחת TCP/IP).

השקיפות מובטחת באמצעות מנגנוני המוטציה (שינוי זמני של התוכן של כותרות פתוחות בתעבורה בין מוצפנים), דילוג (כאשר מנות בודדות נשארות לא מוצפנות) והזחה של תחילת ההצפנה (כאשר שדות מנות מוצפנים בדרך כלל אינם מוצפנים).

כיצד מובטחת שקיפות

לכן, בדוק תמיד כיצד ניתנת תמיכה עבור פרוטוקול מסוים. לעתים קרובות תמיכה במצב שקוף נוחה ואמינה יותר.

יכולת פעולה הדדית

זו גם תאימות, אבל במובן אחר, כלומר היכולת לעבוד יחד עם דגמים אחרים של מכשירי הצפנה, כולל אלה של יצרנים אחרים. הרבה תלוי במצב הסטנדרטיזציה של פרוטוקולי הצפנה. פשוט אין תקני הצפנה מקובלים ב-L1.

קיים תקן 2ae (MACsec) להצפנת L802.1 ברשתות Ethernet, אך הוא אינו משתמש מקצה לקצה (מקצה לקצה), ו אינטרפורט, הצפנת "הופ-by-hop", ובגרסתה המקורית אינה מתאימה לשימוש ברשתות מבוזרות, ולכן הופיעו הרחבות קנייניות שלה שמתגברות על מגבלה זו (כמובן, עקב יכולת פעולה הדדית עם ציוד של יצרנים אחרים). נכון, ב-2018 נוספה תמיכה ברשתות מבוזרות לתקן 802.1ae, אבל עדיין אין תמיכה בערכות אלגוריתמי הצפנה של GOST. לכן, פרוטוקולי הצפנת L2 קנייניים שאינם סטנדרטיים, ככלל, נבדלים ביעילות רבה יותר (במיוחד, תקורה ברוחב פס נמוך יותר) וגמישות (היכולת לשנות אלגוריתמי הצפנה ואופנים).

ברמות גבוהות יותר (L3 ו-L4) יש תקנים מוכרים, בעיקר IPsec ו-TLS, אבל גם כאן זה לא כל כך פשוט. העובדה היא שכל אחד מהסטנדרטים הללו הוא סט של פרוטוקולים, שלכל אחד מהם גרסאות והרחבות שונות הנדרשות או אופציונליות ליישום. בנוסף, חלק מהיצרנים מעדיפים להשתמש בפרוטוקולי ההצפנה הקנייניים שלהם ב-L3/L4. לכן, ברוב המקרים אין לסמוך על יכולת פעולה הדדית מלאה, אך חשוב שתובטח לפחות אינטראקציה בין דגמים שונים ודורות שונים של אותו יצרן.

אמינות

כדי להשוות פתרונות שונים, אתה יכול להשתמש בזמן ממוצע בין תקלות או בגורם זמינות. אם המספרים הללו אינם זמינים (או שאין בהם אמון), אז ניתן לערוך השוואה איכותית. למכשירים עם ניהול נוח יהיה יתרון (פחות סיכון לשגיאות תצורה), מוצפנים מיוחדים (מאותה סיבה), כמו גם פתרונות עם זמן מינימלי לאיתור וביטול כשל, כולל אמצעי גיבוי "חם" של צמתים שלמים. מכשירים.

עלות

כשזה מגיע לעלות, כמו ברוב פתרונות ה-IT, הגיוני להשוות את העלות הכוללת של הבעלות. כדי לחשב אותו, לא צריך להמציא את הגלגל מחדש, אלא להשתמש בכל מתודולוגיה מתאימה (למשל מבית גרטנר) ובכל מחשבון (למשל, זה שכבר משמש בארגון לחישוב TCO). ברור כי עבור פתרון הצפנת רשת, העלות הכוללת של הבעלות מורכבת ישיר עלויות רכישה או השכרה של הפתרון עצמו, תשתית לאירוח ציוד ועלויות פריסה, ניהול ותחזוקה (בין אם בבית ובין אם בצורת שירותי צד שלישי), וכן עקיף עלויות מזמן השבתה של הפתרון (הנגרמת מאובדן פרודוקטיביות של משתמש קצה). כנראה שיש רק עדינות אחת. ניתן להתייחס להשפעת הביצועים של הפתרון בדרכים שונות: או כעלויות עקיפות הנגרמות מאובדן פרודוקטיביות, או כעלויות ישירות "וירטואליות" של רכישה/שדרוג ותחזוקה של כלי רשת המפצים על אובדן ביצועי הרשת עקב השימוש ב- הצפנה. בכל מקרה, הוצאות שקשה לחישוב בדיוק מספיק עדיף להשאיר מחוץ לחישוב: כך יהיה יותר אמון בערך הסופי. וכרגיל, בכל מקרה, הגיוני להשוות מכשירים שונים לפי TCO עבור תרחיש ספציפי של השימוש בהם - אמיתי או טיפוסי.

התמדה

והמאפיין האחרון הוא התמדה של הפתרון. ברוב המקרים, ניתן להעריך את העמידות באופן איכותי רק על ידי השוואה בין פתרונות שונים. עלינו לזכור שמכשירי הצפנה הם לא רק אמצעי, אלא גם מושא להגנה. הם עלולים להיות חשופים לאיומים שונים. בחזית עומדים האיומים בהפרת סודיות, שכפול ושינוי הודעות. איומים אלו יכולים להתממש באמצעות נקודות תורפה של הצופן או מצביו האישיים, באמצעות פגיעויות בפרוטוקולי הצפנה (כולל בשלבי יצירת חיבור והפקה/הפצה של מפתחות). היתרון יהיה בפתרונות המאפשרים שינוי אלגוריתם ההצפנה או החלפת מצב הצופן (לפחות באמצעות עדכון קושחה), פתרונות המספקים את ההצפנה המלאה ביותר, מסתירים מהתוקף לא רק את נתוני המשתמש, אלא גם את הכתובות ומידע נוסף על השירות. , כמו גם פתרונות טכניים שלא רק מצפינים, אלא גם מגינים על הודעות מפני שכפול ושינוי. לגבי כל אלגוריתמי ההצפנה המודרניים, החתימות האלקטרוניות, יצירת מפתחות וכו' המעוגנים בתקנים, ניתן להניח שהחוזק זהה (אחרת אפשר פשוט ללכת לאיבוד בטבע הפראי של ההצפנה). האם אלה בהכרח צריכים להיות אלגוריתמים של GOST? הכל פשוט כאן: אם תרחיש היישום דורש אישור FSB עבור CIPF (וברוסיה זה לרוב המקרה; עבור רוב תרחישי הצפנת הרשת זה נכון), אז אנחנו בוחרים רק בין מוסמכים. אם לא, אז אין טעם להחריג מכשירים ללא אישורים בתמורה.

איום נוסף הוא איום של פריצה, גישה לא מורשית למכשירים (כולל באמצעות גישה פיזית מחוץ ובתוך המארז). האיום יכול להתבצע באמצעות
נקודות תורפה ביישום - בחומרה ובקוד. לכן, פתרונות עם "משטח התקפה" מינימלי דרך הרשת, עם מארזים מוגנים מגישה פיזית (עם חיישני חדירה, הגנת גישושים ואיפוס אוטומטי של מידע מפתח בעת פתיחת המתחם), כמו גם כאלו המאפשרים עדכוני קושחה יתרון במקרה שנודע על פגיעות בקוד. ישנה דרך נוספת: אם לכל המכשירים שמשווים יש תעודות FSB, אזי מחלקת CIPF שעבורה הונפקה האישור יכולה להיחשב כאינדיקטור להתנגדות לפריצה.

לבסוף, סוג נוסף של איום הוא שגיאות במהלך ההתקנה והתפעול, הגורם האנושי בצורתו הטהורה ביותר. זה מראה יתרון נוסף של מוצפנים מיוחדים על פני פתרונות מתכנסים, שלעתים קרובות מכוונים ל"מומחי רשת" ותיקים ועלולים לגרום לקשיים למומחי אבטחת מידע "רגילים", כלליים.

לסיכום

באופן עקרוני, כאן אפשר יהיה להציע איזשהו אינדיקטור אינטגרלי להשוואת מכשירים שונים, משהו כמו

$$display$$K_j=∑p_i r_{ij}$$display$$

כאשר p הוא משקל המחוון, ו-r הוא דרגת המכשיר לפי מחוון זה, וניתן לחלק כל אחד מהמאפיינים המפורטים לעיל לאינדיקטורים "אטומיים". נוסחה כזו יכולה להיות שימושית, למשל, בהשוואת הצעות מכרזים לפי כללים מוסכמים מראש. אבל אתה יכול להסתדר עם שולחן פשוט כמו

אפיון
מכשיר 1
מכשיר 2
...
מכשיר N

תפוקה
+
+

+ + +

תְקוּרָה
+
++

+ + +

העיכוב
+
+

++

מדרגיות
+ + +
+

+ + +

גמישות
+ + +
++

+

יכולת פעולה הדדית
++
+

+

תאימות
++
++

+ + +

פשטות ונוחות
+
+

++

סובלנות לתקלות
+ + +
+ + +

++

עלות
++
+ + +

+

התמדה
++
++

+ + +

אשמח לענות על שאלות וביקורת בונה.

מקור: www.habr.com