イーサネット暗号化デバイスを評価および比較する方法

私は、異なるベンダーの複数のデバイスを比較するという任務を負ったときに、このレビュー (または、比較ガイド) を書きました。 さらに、これらのデバイスは異なるクラスに属していました。 これらすべてのデバイスのアーキテクチャと特性を理解し、比較するための「座標系」を作成する必要がありました。 私のレビューが誰かの役に立てば嬉しいです:

• 暗号化装置の説明と仕様を理解する
• 「紙」の特徴と実生活で本当に重要な特徴を区別する
• 通常のベンダーの枠を超えて、問題の解決に適した製品をすべて考慮に入れます。
• 交渉中に適切な質問をする
• 入札要項（RFP）の作成
• 特定のデバイスモデルを選択した場合にどの特性を犠牲にする必要があるかを理解する

何が評価できるのか

原則として、このアプローチは、リモート イーサネット セグメント間のネットワーク トラフィックの暗号化 (クロスサイト暗号化) に適したスタンドアロン デバイスに適用できます。 つまり、別のケースにある「ボックス」です (ここでは、シャーシのブレード/モジュールも含めます)。これらは、XNUMX つ以上のイーサネット ポートを介して、暗号化されていないトラフィックでローカル (キャンパス) イーサネット ネットワークに接続されます。すでに暗号化されたトラフィックが他のリモート セグメントに送信されるチャネル/ネットワークへの別のポート。 このような暗号化ソリューションは、さまざまな種類の「トランスポート」 (ダーク ファイバ、周波数分割装置、スイッチド イーサネット、および異なるルーティング アーキテクチャ (ほとんどの場合は MPLS) を使用してネットワークに敷設された「擬似ワイヤ」) を通じて、プライベート ネットワークまたはオペレータ ネットワークに導入できます。 )、VPN テクノロジーの有無にかかわらず。

分散イーサネットネットワークにおけるネットワーク暗号化

デバイス自体は次のいずれかです 専門の (暗号化専用)、または多機能 (ハイブリッド、 収束する)、つまり、他の機能 (ファイアウォールやルーターなど) も実行します。 さまざまなベンダーがデバイスをさまざまなクラス/カテゴリに分類していますが、これは問題ではありません。重要なのは、クロスサイト トラフィックを暗号化できるかどうか、およびデバイスがどのような特性を持っているかだけです。

念のため、「ネットワーク暗号化」、「トラフィック暗号化」、「エンクリプター」はよく使用されますが、非公式な用語であることを思い出してください。 ロシアの規制 (GOST を導入する規制を含む) にはおそらくそれらは見つかりません。

暗号化レベルと送信モード

評価に使用される特性自体の説明を始める前に、まず XNUMX つの重要な点、つまり「暗号化レベル」について理解する必要があります。 これは、ベンダーの公式文書 (説明書、マニュアルなど) と非公式の議論 (交渉、トレーニング) の両方で頻繁に言及されていることに気づきました。 つまり、誰もが私たちが話していることをよく知っているようですが、私は個人的にいくつかの混乱を目撃しました。

では、「暗号化レベル」とは何でしょうか? 暗号化が行われる OSI/ISO 参照ネットワーク モデル層の数について話していることは明らかです。 GOST R ISO 7498-2–99「情報技術。 オープンシステムの相互接続。 基本的なリファレンスモデル。 パート 2. 情報セキュリティ アーキテクチャ」 この文書から、機密性サービス (暗号化を提供するメカニズムの XNUMX つ) のレベルは、サービス データ ブロック (「ペイロード」、ユーザー データ) が暗号化されるプロトコルのレベルであることがわかります。 標準にも記載されているように、サービスは同じレベルで「単独で」提供することも、下位レベルの助けを借りて提供することもできます (これは、たとえば MACsec で最もよく実装される方法です)。 。

実際には、ネットワーク上で暗号化された情報を送信するには XNUMX つのモードが可能です (IPsec がすぐに思い浮かびますが、同じモードは他のプロトコルにもあります)。 で 輸送 (ネイティブとも呼ばれる) モードは暗号化のみです サービス データのブロックであり、ヘッダーは暗号化されていない「オープン」のままです (暗号化アルゴリズムのサービス情報を含む追加フィールドが追加される場合や、他のフィールドが変更され、再計算される場合があります)。 で トンネル 全て同じモード プロトコル データ ブロック (つまり、パケット自体) は暗号化され、同じまたはより高いレベルのサービス データ ブロックにカプセル化されます。つまり、新しいヘッダーで囲まれます。

一部の伝送モードと組み合わせた暗号化レベル自体には可もなく不可もなく、たとえばトランスポート モードの L3 がトンネル モードの L2 よりも優れているとは言えません。 デバイスを評価する際の特性の多くはデバイスに依存しているというだけのことです。 たとえば、柔軟性と互換性です。 ネットワーク L1 (ビット ストリーム リレー)、L2 (フレーム スイッチング)、および L3 (パケット ルーティング) でトランスポート モードで動作するには、同じレベルまたはそれ以上のレベルで暗号化するソリューションが必要です (そうしないと、アドレス情報が暗号化され、データが暗号化されます)意図した宛先には到達しません）、トンネル モードはこの制限を克服します（ただし、他の重要な特性は犠牲になります）。

トランスポートおよびトンネル L2 暗号化モード

それでは、特徴の分析に移りましょう。

Производительность

ネットワーク暗号化の場合、パフォーマンスは複雑で多次元の概念です。 あるモデルが、ある性能特性では優れていても、別の性能特性では劣る場合があります。 したがって、暗号化パフォーマンスのすべてのコンポーネントと、それらがネットワークとそれを使用するアプリケーションのパフォーマンスに与える影響を考慮することが常に役立ちます。 ここでは、最高速度だけでなく、「数百」までの加速時間、燃料消費量などが重要である車に例えることができます。 ベンダー企業とその潜在的な顧客は、パフォーマンス特性に細心の注意を払っています。 原則として、暗号化デバイスはベンダー製品のパフォーマンスに基づいてランク付けされます。

パフォーマンスが、デバイス上で実行されるネットワーク操作と暗号化操作の複雑さ (これらのタスクをどれだけ並列化およびパイプライン化できるかなど) と、ハードウェアのパフォーマンスとファームウェアの品質の両方に依存することは明らかです。 したがって、古いモデルではより生産性の高いハードウェアが使用されており、追加のプロセッサやメモリ モジュールを装備できる場合もあります。 暗号化機能を実装するには、汎用の中央処理装置 (CPU)、特定用途向け集積回路 (ASIC)、またはフィールド プログラマブル ロジック集積回路 (FPGA) など、いくつかのアプローチがあります。 それぞれのアプローチには長所と短所があります。 たとえば、特にプロセッサに暗号化アルゴリズムをサポートする特殊な命令がない場合 (またはそれらの命令が使用されていない場合)、CPU が暗号化のボトルネックになる可能性があります。 特殊なチップには柔軟性が欠けており、パフォーマンスを向上させたり、新しい機能を追加したり、脆弱性を排除したりするためにチップを「再フラッシュ」することが常に可能であるとは限りません。 さらに、それらの使用は、生産量が多い場合にのみ利益をもたらします。 それが、FPGA (ロシア語で FPGA) の使用という「黄金の平均」が非常に人気になっている理由です。 いわゆる暗号アクセラレータ、つまり暗号化操作をサポートするための組み込みまたはプラグイン専用のハードウェア モジュールが作成されるのは FPGA 上です。

について話しているので、 通信網 暗号化を行う場合、ソリューションのパフォーマンスを他のネットワーク デバイスと同じ量、つまりスループット、フレーム損失の割合、待ち時間などで測定するのは論理的です。 これらの値は RFC 1242 で定義されています。 ちなみに、よく言われる遅延変動 (ジッター) については、この RFC には何も書かれていません。 これらの量をどのように測定するのでしょうか? ネットワーク暗号化に特化した標準 (公式または非公式、RFC など) で承認された方法論は見つかりませんでした。 RFC 2544 標準に規定されているネットワーク デバイスの方法論を使用するのは論理的であり、多くのベンダーがこれに従っていますが、すべてではありません。 たとえば、次のようにテスト トラフィックを両方向ではなく一方向にのみ送信します。 が推奨します 標準。 ともかく。

ネットワーク暗号化デバイスのパフォーマンスの測定には、依然として独自の特徴があります。 まず、デバイスのペアに対してすべての測定を実行するのは正しいことです。暗号化アルゴリズムは対称的ですが、暗号化と復号化中の遅延とパケット損失は必ずしも等しいとは限りません。 次に、暗号化デバイスを使用しない場合と使用する場合の 2 つの構成を比較して、最終的なネットワーク パフォーマンスに対するネットワーク暗号化の影響であるデルタを測定することは理にかなっています。 または、ハイブリッド デバイスの場合のように、ネットワーク暗号化に加えて、暗号化をオフまたはオンにしていくつかの機能を組み合わせます。 この影響はさまざまであり、暗号化デバイスの接続方式、動作モード、そして最終的にはトラフィックの性質によって異なります。 特に、多くのパフォーマンス パラメーターはパケットの長さに依存するため、さまざまなソリューションのパフォーマンスを比較するには、パケットの長さに応じたこれらのパラメーターのグラフがよく使用されるか、パケットごとのトラフィックの分布である IMIX が使用されます。長さは実際の長さをほぼ反映しています。 暗号化なしで同じ基本構成を比較する場合、L3 と LXNUMX、ストア アンド フォワード) とカットスルー、特化型とコンバージェント、GOST と AES などの違いを考慮することなく、異なる方法で実装されたネットワーク暗号化ソリューションを比較できます。

性能試験用接続図

人々が最初に注目する特徴は、暗号化デバイスの「速度」です。 帯域幅 ネットワークインターフェースの（帯域幅）、ビットフローレート。 これは、インターフェイスがサポートするネットワーク標準に​​よって決まります。 イーサネットの場合、通常の数値は 1 Gbps と 10 Gbps です。 しかし、ご存知のとおり、どのネットワークでも理論上の最大値は スループット （スループット）各レベルでの帯域幅は常に少なくなります。帯域幅の一部はフレーム間間隔やサービス ヘッダーなどによって「消費」されます。 デバイスが、ネットワーク インターフェイスのフルスピード、つまり、このレベルのネットワーク モデルの理論上の最大スループットでトラフィックの受信、処理 (この場合は暗号化または復号化)、および送信ができる場合、働いていること 回線速度で。 これを行うには、デバイスがいかなるサイズおよび頻度においてもパケットを損失または廃棄しないことが必要です。 暗号化デバイスが回線速度での動作をサポートしていない場合、その最大スループットは通常、同じギガビット/秒で指定されます (パケットの長さを示す場合もあります。パケットが短いほど、通常はスループットは低くなります)。 最大スループットが最大であることを理解することが非常に重要です。 損失は​​ありません (デバイスがそれ自体を介してトラフィックをより高速に「ポンプ」できるが、同時に一部のパケットが失われる場合でも)。 また、一部のベンダーはポートのすべてのペア間の合計スループットを測定しているため、すべての暗号化されたトラフィックが単一のポートを通過する場合、これらの数値はあまり意味がないことに注意してください。

回線速度で動作する (言い換えれば、パケット損失なしで動作する) ことが特に重要なのはどこですか? 高帯域幅で遅延の長いリンク (衛星など) では、高い伝送速度を維持するために大きな TCP ウィンドウ サイズを設定する必要があり、パケット損失によりネットワーク パフォーマンスが大幅に低下します。

ただし、すべての帯域幅が有用なデータの転送に使用されるわけではありません。 いわゆるものを考慮する必要があります 間接費 （オーバーヘッド）帯域幅。 これは、暗号化デバイスのスループット (パーセンテージまたはパケットあたりのバイト数) のうち、実際に無駄になる (アプリケーション データの転送に使用できない) 部分です。 オーバーヘッド コストは、まず、暗号化されたネットワーク パケット内のデータ フィールドのサイズの増加 (追加、「スタッフィング」) によって発生します (暗号化アルゴリズムとその動作モードによって異なります)。 第 XNUMX に、パケット ヘッダーの長さの増加 (トンネル モード、暗号化プロトコルのサービス挿入、シミュレーションの挿入など、プロトコルや暗号の動作モード、送信モードに応じて) が原因で、通常、これらのオーバーヘッド コストは最も重要であり、彼らは最初に注意を払います。 XNUMX 番目に、最大データ ユニット サイズ (MTU) を超えたときのパケットの断片化が原因です (ネットワークが MTU を超えたパケットを XNUMX つに分割し、ヘッダーを複製できる場合)。 第 XNUMX に、暗号化デバイス間のネットワーク上に追加のサービス (制御) トラフィックが発生するためです (キー交換、トンネルの設置など)。 チャネル容量が限られている場合、オーバーヘッドが低いことが重要です。 これは、音声などの小さなパケットからのトラフィックで特に顕著であり、オーバーヘッド コストがチャネル速度の半分以上を「消費」する可能性があります。

スループット

最後に、さらにあります 導入された遅延 – ネットワーク暗号化を使用しない場合と使用する場合のデータ送信のネットワーク遅延 (データがネットワークに入ってから出るまでにかかる時間) の違い (数分の 2 秒)。 一般に、ネットワークの遅延 (「遅延」) が低いほど、暗号化デバイスによってもたらされる遅延の重要性は高くなります。 遅延は、暗号化操作自体 (暗号化アルゴリズム、ブロック長、暗号の操作モード、およびソフトウェアでの実装の品質によって異なります)、およびデバイスでのネットワーク パケットの処理によって発生します。 。 導入される遅延は、パケット処理モード (パススルーまたはストア アンド フォワード) とプラットフォームのパフォーマンスの両方に依存します (一般に、FPGA または ASIC でのハードウェア実装は、CPU でのソフトウェア実装よりも高速です)。 L3/L4 暗号化デバイスは頻繁に統合されるため、L3 暗号化はほとんどの場合、L4 または L2 暗号化よりも遅延が低くなります。 たとえば、高速イーサネット暗号化装置を FPGA に実装し、L5 で暗号化すると、暗号化操作による遅延はほとんどなくなります。場合によっては、ペアのデバイスで暗号化が有効になっていると、それらによって生じる合計遅延がさらに減少することもあります。 遅延が XNUMX キロメートルあたり約 XNUMX μs である伝播遅延を含む全体的なチャネル遅延に匹敵する場合、遅延が低いことが重要です。 つまり、都市規模のネットワーク (直径数十キロメートル) では、マイクロ秒が多くのことを決定できると言えます。 たとえば、同期データベース レプリケーション、高頻度取引、同じブロックチェーンなどです。

導入された遅延

スケーラビリティ

大規模な分散ネットワークには、数千のノードとネットワーク デバイス、数百のローカル ネットワーク セグメントが含まれる場合があります。 暗号化ソリューションによって、分散ネットワークのサイズやトポロジに追加の制限が課されないことが重要です。 これは主に、ホストおよびネットワーク アドレスの最大数に適用されます。 このような制限は、たとえば、マルチポイント暗号化ネットワーク トポロジ (独立した安全な接続またはトンネルを使用) または選択的暗号化 (たとえば、プロトコル番号または VLAN による) を実装するときに発生する可能性があります。 この場合、行数が制限されているテーブルでネットワーク アドレス (MAC、IP、VLAN ID) がキーとして使用されている場合、これらの制限がここに表示されます。

さらに、大規模なネットワークには、コア ネットワークを含む複数の構造層が存在することが多く、それぞれが独自のアドレス指定スキームと独自のルーティング ポリシーを実装しています。 このアプローチを実装するには、特殊なフレーム フォーマット (Q-in-Q や MAC-in-MAC など) とルート決定プロトコルがよく使用されます。 このようなネットワークの構築を妨げないように、暗号化デバイスはそのようなフレームを正しく処理する必要があります (つまり、この意味でのスケーラビリティは互換性を意味します。詳細は後述します)。

柔軟性

ここでは、さまざまな構成、接続スキーム、トポロジなどのサポートについて説明します。 たとえば、キャリア イーサネット テクノロジーに基づくスイッチ ネットワークの場合、これは、さまざまな種類の仮想接続 (E-Line、E-LAN​​、E-Tree)、さまざまな種類のサービス (ポートと VLAN の両方)、およびさまざまなトランスポート テクノロジーのサポートを意味します。 (それらはすでに上にリストされています)。 つまり、デバイスはリニア (「ポイントツーポイント」) モードとマルチポイント モードの両方で動作し、異なる VLAN に個別のトンネルを確立し、安全なチャネル内でのパケットの順序外配信を許可できる必要があります。 さまざまな暗号モード (コンテンツ認証の有無を含む) とさまざまなパケット送信モードを選択できるため、現在の状況に応じて強度とパフォーマンスのバランスをとることができます。

また、機器が XNUMX つの組織によって所有される (またはその組織にレンタルされる) プライベート ネットワークと、異なるセグメントが異なる企業によって管理されるオペレーター ネットワークの両方をサポートすることも重要です。 ソリューションによって社内とサードパーティの両方による管理 (マネージド サービス モデルを使用) が可能であれば、それは良いことです。 事業者ネットワークにおけるもう XNUMX つの重要な機能は、トラフィックが同じ暗号化デバイスのセットを通過する個々の顧客 (加入者) を暗号的に分離する形でのマルチテナント (異なる顧客による共有) のサポートです。 これには通常、顧客ごとに個別のキーと証明書のセットを使用する必要があります。

デバイスが特定のシナリオ用に購入された場合、これらすべての機能はそれほど重要ではない可能性があります。必要なのは、デバイスが現在必要なものをサポートしていることを確認することだけです。 しかし、将来のシナリオもサポートするためにソリューションを「成長のために」購入し、「企業標準」として選択した場合、特に異なるベンダーのデバイスの相互運用性に関する制限を考慮すると、柔軟性は不必要ではなくなります。これについては以下で詳しく説明します）。

シンプルさと便利さ

サービスのしやすさも多要素の概念です。 これは、おおよそ、ライフ サイクルのさまざまな段階でソリューションをサポートするために必要な、特定の資格を持つスペシャリストが費やす合計時間であると言えます。 コストがかからず、インストール、設定、運用が完全に自動化されていれば、コストはゼロであり、利便性は絶対的です。 もちろん、現実の世界ではそんなことは起こりません。 合理的な近似がモデルです 「ワイヤーの結び目」 (バンプ・イン・ザ・ワイヤー)、または透過的接続。暗号化デバイスの追加および無効化に、ネットワーク構成への手動または自動の変更は必要ありません。 同時に、ソリューションの保守が簡素化されます。暗号化機能を安全にオンまたはオフにでき、必要に応じてネットワーク ケーブルでデバイスを「バイパス」するだけです (つまり、ネットワーク機器のポートを直接接続します)。繋がってました）。 確かに、欠点が XNUMX つあります。攻撃者も同じことを行う可能性があります。 「ノード・オン・ワイヤー」の原則を実装するには、トラフィックだけでなく、 データ層しかし 制御層と管理層 – デバイスはデバイスに対して透過的である必要があります。 したがって、このようなトラフィックは、暗号化デバイス間のネットワークにこれらのタイプのトラフィックの受信者が存在しない場合にのみ暗号化できます。これは、トラフィックが破棄または暗号化されると、暗号化を有効または無効にするとネットワーク構成が変更される可能性があるためです。 暗号化デバイスは、物理層のシグナリングに対して透過的であることもできます。 特に、信号が失われた場合、信号の方向に（「自分自身のために」）この損失を前後に送信する（つまり、送信機をオフにする）必要があります。

情報セキュリティ部門とIT部門、特にネットワーク部門の間の権限分割のサポートも重要です。 暗号化ソリューションは、組織のアクセス制御および監査モデルをサポートする必要があります。 日常業務を実行するために異なる部門間でやり取りする必要性は最小限に抑える必要があります。 したがって、暗号化機能のみをサポートし、ネットワーク操作に対して可能な限り透過的な専用デバイスには、利便性の点で利点があります。 簡単に言えば、情報セキュリティ担当者は、ネットワーク設定を変更するために「ネットワークの専門家」に連絡する必要はありません。 また、ネットワークを維持するときに暗号化設定を変更する必要もありません。

もう XNUMX つの要素は、コントロールの機能と利便性です。 これらは視覚的かつ論理的であり、設定のインポート/エクスポート、自動化などを提供する必要があります。 どのような管理オプション (通常は独自の管理環境、Web インターフェイス、コマンド ライン) が利用可能か、およびそれぞれにどのような機能セットがあるか (制限があります) にすぐに注意を払う必要があります。 重要な機能はサポートです 帯域外 (帯域外) 制御、つまり専用の制御ネットワーク経由、および 帯域内 (帯域内) 制御、つまり、有用なトラフィックが送信される共通のネットワークを介した制御。 管理ツールは、情報セキュリティ インシデントを含むすべての異常な状況を通知する必要があります。 日常的な反復操作は自動的に実行される必要があります。 これは主にキー管理に関係します。 これらは自動的に生成/配布される必要があります。 PKI のサポートは大きな利点です。

互換性

つまり、デバイスのネットワーク標準との互換性です。 さらに、これは、IEEE などの権威ある組織によって採用された業界標準だけでなく、Cisco などの業界リーダーの独自プロトコルも意味します。 互換性を確保するには主に XNUMX つの方法があります。 透明度、またはを通じて 明示的なサポート プロトコル (暗号化デバイスが特定のプロトコルのネットワーク ノードの 3 つとなり、このプロトコルの制御トラフィックを処理する場合)。 ネットワークとの互換性は、制御プロトコルの実装の完全性と正確さに依存します。 PHY レベルのさまざまなオプション (速度、伝送媒体、エンコード方式)、あらゆる MTU のさまざまなフォーマットのイーサネット フレーム、さまざまな LXNUMX サービス プロトコル (主に TCP/IP ファミリ) をサポートすることが重要です。

透明性は、ミューテーション (暗号化装置間のトラフィックのオープン ヘッダーの内容を一時的に変更する)、スキップ (個々のパケットが暗号化されないままの場合)、および暗号化の先頭のインデント (通常は暗号化されているパケットのフィールドが暗号化されない場合) のメカニズムを通じて確保されます。

透明性はどのように確保されるのか

したがって、特定のプロトコルのサポートがどのように提供されるかを常に正確に確認してください。 多くの場合、透過モードでのサポートの方が便利で信頼性が高くなります。

相互運用性

これも互換性ですが、別の意味で、つまり、他のメーカーの暗号化デバイスを含む他のモデルの暗号化デバイスと連携できる機能です。 多くは暗号化プロトコルの標準化の状況に依存します。 L1 には一般的に受け入れられている暗号化標準がありません。

イーサネット ネットワーク上の L2 暗号化には 802.1ae (MACsec) 標準がありますが、これは使用しません。 端から端まで (エンドツーエンド)、および インターポート、「ホップバイホップ」暗号化であり、元のバージョンでは分散ネットワークでの使用に適していないため、この制限を克服する独自の拡張機能が登場しました（もちろん、他のメーカーの機器との相互運用性のため）。 確かに、2018 年に分散ネットワークのサポートが 802.1ae 標準に追加されましたが、GOST 暗号化アルゴリズム セットはまだサポートされていません。 したがって、独自の非標準 L2 暗号化プロトコルは、原則として、より優れた効率 (特に、より低い帯域幅オーバーヘッド) と柔軟性 (暗号化アルゴリズムとモードを変更できる機能) によって区別されます。

より高いレベル (L3 と L4) には、主に IPsec と TLS などの標準規格が認められていますが、ここでもそれほど単純ではありません。 実際、これらの標準はそれぞれプロトコルのセットであり、それぞれに実装に必要な、またはオプションの異なるバージョンと拡張機能があります。 さらに、一部のメーカーは、L3/L4 で独自の暗号化プロトコルを使用することを好みます。 したがって、ほとんどの場合、完全な相互運用性を期待する必要はありませんが、少なくとも、同じメーカーの異なるモデルおよび異なる世代間の相互作用が保証されることが重要です。

信頼性

さまざまなソリューションを比較するには、平均故障間隔または可用性係数のいずれかを使用できます。 これらの数値が利用できない (または信頼できない) 場合は、定性的な比較を行うことができます。 管理が容易なデバイスには、利点 (構成エラーのリスクが少ない)、特殊な暗号化機能 (同じ理由)、およびノー​​ド全体の「ホット」バックアップ手段など、障害の検出と排除にかかる時間を最小限に抑えたソリューションが備わっています。デバイス。

のコスト

コストに関しては、ほとんどの IT ソリューションと同様、総所有コストを比較することが合理的です。 これを計算するには、車輪を再発明する必要はありません。適切な方法論 (たとえば、Gartner の) と計算機 (たとえば、TCO を計算するために組織ですでに使用されている計算機) を使用します。 ネットワーク暗号化ソリューションの総所有コストは次のとおりであることは明らかです。 直接 ソリューション自体の購入またはレンタルのコスト、ホスティング機器のインフラストラクチャ、展開、管理、メンテナンスのコスト (社内またはサードパーティのサービスの形式を問わず)、および 間接的 ソリューションのダウンタイムによるコスト (エンドユーザーの生産性の損失が原因)。 おそらく微妙なところが XNUMX つだけあります。 ソリューションのパフォーマンスへの影響は、さまざまな方法で考慮できます。生産性の低下によって生じる間接コスト、またはネットワーク ツールの使用によるネットワーク パフォーマンスの損失を補うネットワーク ツールの購入/アップグレードと保守にかかる「仮想的な」直接コストのいずれかです。暗号化。 いずれの場合でも、十分な精度で計算することが難しい経費は計算から除外するのが最善です。こうすることで、最終的な金額の信頼性が高まります。 そして、いつものように、どのような場合でも、実際の使用または一般的な使用の特定のシナリオについて、TCO 別にさまざまなデバイスを比較することは意味があります。

持続性

そして最後の特徴は、溶液の持続性です。 ほとんどの場合、耐久性は、さまざまなソリューションを比較することによってのみ定性的に評価できます。 暗号化デバイスは手段であるだけでなく、保護の対象でもあることを忘れてはなりません。 彼らはさまざまな脅威にさらされる可能性があります。 最前線にあるのは、機密性の侵害、メッセージの複製、変更の脅威です。 これらの脅威は、暗号またはその個々のモードの脆弱性、暗号化プロトコル (接続の確立およびキーの生成/配布の段階を含む) の脆弱性を通じて実現される可能性があります。 利点は、暗号化アルゴリズムの変更または暗号モードの切り替え (少なくともファームウェアのアップデートによる) を可能にするソリューション、最も完全な暗号化を提供し、ユーザー データだけでなくアドレスやその他のサービス情報も攻撃者から隠すソリューションにあります。 、メッセージを暗号化するだけでなく、複製や変更から保護する技術ソリューションも含まれます。 標準に規定されているすべての最新の暗号化アルゴリズム、電子署名、キー生成などについて、強度は同じであると想定できます (そうでないと、単に暗号化の荒野に迷い込んでしまう可能性があります)。 これらは必ず GOST アルゴリズムである必要がありますか? ここではすべてが単純です。アプリケーション シナリオで CIPF の FSB 認証が必要な場合 (ロシアではこれが最も多く、ほとんどのネットワーク暗号化シナリオに当てはまります)、認証されたものの中からのみ選択します。 そうでない場合は、証明書のないデバイスを検討対象から除外しても意味がありません。

もう XNUMX つの脅威は、ハッキング、デバイスへの不正アクセス (ケースの外部および内部の物理的アクセスを含む) の脅威です。 脅威は次の方法で実行される可能性があります。
実装における脆弱性 - ハードウェアとコードの脆弱性。 したがって、ネットワーク経由の「攻撃面」が最小限で、エンクロージャが物理的アクセスから保護されているソリューション (侵入センサー、プローブ保護、エンクロージャが開かれたときのキー情報の自動リセットなど)、およびファームウェアのアップデートが可能なソリューションには、コードの脆弱性が判明した場合に有利です。 別の方法もあります。比較対象のすべてのデバイスが FSB 証明書を持っている場合、証明書が発行された CIPF クラスがハッキングに対する耐性の指標と見なすことができます。

最後に、別のタイプの脅威は、セットアップ中および操作中のエラーであり、最も純粋な形の人的要因です。 これは、熟練した「ネットワーク スペシャリスト」を対象とすることが多く、「普通の」一般的な情報セキュリティ スペシャリストにとっては困難を引き起こす可能性がある、コンバージド ソリューションに対する特殊な暗号化装置のもう XNUMX つの利点を示しています。

要約

原則として、ここでは、次のような、さまざまなデバイスを比較するためのある種の統合指標を提案することが可能です。

$$display$$K_j=∑p_i r_{ij}$$display$$

ここで、p はインジケーターの重み、r はこのインジケーターによるデバイスのランクであり、上記の特性はいずれも「アトミック」インジケーターに分類できます。 このような公式は、たとえば、事前に合意されたルールに従って入札提案を比較する場合に役立つ可能性があります。 ただし、次のような単純なテーブルを使用することもできます。

特性評価
デバイス1
デバイス2
...
デバイスN

スループット
+
+

+ + + +

間接費
+
++

+ + + +

遅れ
+
+

++

スケーラビリティ
+ + + +
+

+ + + +

柔軟性
+ + + +
++

+

相互運用性
++
+

+

互換性
++
++

+ + + +

シンプルさと便利さ
+
+

++

耐障害性
+ + + +
+ + + +

++

のコスト
++
+ + + +

+

持続性
++
++

+ + + +

質問や建設的な批判に喜んでお答えします。

出所： habr.com