Google-მა აღმოაჩინა განვითარებები, რომლებიც დაკავშირებულია PSP უსაფრთხო ქსელის პროტოკოლთან

Google-მა გამოაცხადა სპეციფიკაციების გახსნა და PSP (PSP Security Protocol), რომელიც გამოიყენება მონაცემთა ცენტრებს შორის ტრაფიკის დაშიფვრისთვის. პროტოკოლი იყენებს ტრაფიკის ინკაფსულაციის არქიტექტურას IPsec ESP-ის (Encapsulating Security Payloads) მსგავსი IP-ზე, რომელიც უზრუნველყოფს დაშიფვრას, კრიპტოგრაფიული მთლიანობის კონტროლს და წყაროს ავთენტიფიკაციას. PSP განხორციელების კოდი დაწერილია C-ში და ნაწილდება Apache 2.0 ლიცენზიით.

PSP-ის მახასიათებელია პროტოკოლის ოპტიმიზაცია, რათა დააჩქაროს გამოთვლები და შეამციროს დატვირთვა ცენტრალურ პროცესორზე დაშიფვრისა და გაშიფვრის ოპერაციების გადაადგილებით ქსელის ბარათების მხარეს (ჩამოტვირთვა). აპარატურის აჩქარება მოითხოვს სპეციალურ PSP-თან თავსებადი ქსელის ბარათებს. ქსელური ბარათების მქონე სისტემებისთვის, რომლებიც არ უჭერენ მხარს PSP-ს, შემოთავაზებულია SoftPSP-ის პროგრამული დანერგვა.

UDP პროტოკოლი გამოიყენება როგორც ტრანსპორტი მონაცემთა გადაცემისთვის. PSP პაკეტი იწყება IP სათაურით, რასაც მოჰყვება UDP სათაური და შემდეგ საკუთარი PSP სათაური დაშიფვრისა და ავთენტიფიკაციის ინფორმაციით. შემდეგ, თავდაპირველი TCP/UDP პაკეტის შიგთავსი დართულია და მთავრდება საბოლოო PSP ბლოკით, მთლიანობის დასადასტურებლად გამშვები ჯამით. PSP სათაური, ისევე როგორც დახურული პაკეტის სათაური და მონაცემები, ყოველთვის ავთენტიფიცირებულია პაკეტის იდენტურობის დასადასტურებლად. ენკაფსულირებული პაკეტის მონაცემები შეიძლება დაშიფრული იყოს, მაშინ როდესაც შესაძლებელია დაშიფვრის შერჩევით გამოყენება, ხოლო TCP სათაურის ნაწილი გაურკვეველი რჩება (ავთენტურობის კონტროლის შენარჩუნებისას), მაგალითად, უზრუნველყოს პაკეტების შემოწმების შესაძლებლობა სატრანზიტო ქსელის მოწყობილობებზე.

PSP არ არის მიბმული გასაღების გაცვლის რაიმე კონკრეტულ პროტოკოლთან, გთავაზობთ რამდენიმე პაკეტის ფორმატის ვარიანტს და მხარს უჭერს სხვადასხვა კრიპტოგრაფიული ალგორითმის გამოყენებას. მაგალითად, მხარდაჭერა უზრუნველყოფილია AES-GCM ალგორითმისთვის დაშიფვრისა და ავტორიზაციისთვის (ავთენტიფიკაციისთვის) და AES-GMAC ავთენტიფიკაციისთვის, ფაქტობრივი მონაცემების დაშიფვრის გარეშე, მაგალითად, როდესაც მონაცემები არ არის ღირებული, მაგრამ თქვენ უნდა დარწმუნდეთ, რომ ის არ არის დაზიანებულია გადაცემის დროს და რომ ის სწორია, რომლებიც თავდაპირველად იყო გაგზავნილი.

ტიპიური VPN პროტოკოლებისგან განსხვავებით, PSP იყენებს დაშიფვრას ცალკეული ქსელის კავშირების დონეზე და არა მთელი საკომუნიკაციო არხის, ე.ი. PSP იყენებს ცალკეულ დაშიფვრის გასაღებებს სხვადასხვა გვირაბის UDP და TCP კავშირებისთვის. ეს მიდგომა შესაძლებელს ხდის ტრაფიკის უფრო მკაცრი იზოლაციის მიღწევას სხვადასხვა აპლიკაციებისა და პროცესორებისგან, რაც მნიშვნელოვანია, როდესაც სხვადასხვა მომხმარებლის აპლიკაციები და სერვისები მუშაობს იმავე სერვერზე.

Google იყენებს PSP პროტოკოლს როგორც საკუთარი შიდა კომუნიკაციების დასაცავად, ასევე Google Cloud კლიენტების ტრაფიკის დასაცავად. პროტოკოლი თავდაპირველად შექმნილია Google-ის დონის ინფრასტრუქტურებში ეფექტურად მუშაობისთვის და უნდა უზრუნველყოს დაშიფვრის ტექნიკის დაჩქარება მილიონობით აქტიური ქსელური კავშირის თანდასწრებით და ასობით ათასი ახალი კავშირის დამყარება წამში.

მხარდაჭერილია ორი ოპერაციული რეჟიმი: „სახელმწიფოებრივი“ და „უსახელმწიფო“. „უსახელმწიფო“ რეჟიმში, დაშიფვრის გასაღებები გადაეცემა ქსელის ბარათს პაკეტის აღმწერში, ხოლო გაშიფვრისთვის ისინი ამოღებულია პაკეტში არსებული SPI (უსაფრთხოების პარამეტრის ინდექსი) ველიდან, ძირითადი გასაღების გამოყენებით (256 ბიტიანი AES, შენახული ქსელის ბარათის მეხსიერება და იცვლება ყოველ 24 საათში), რაც საშუალებას გაძლევთ შეინახოთ ქსელის ბარათის მეხსიერება და მინიმუმამდე დაიყვანოთ ინფორმაცია აღჭურვილობის მხარეს შენახული დაშიფრული კავშირების მდგომარეობის შესახებ. „სახელმწიფო“ რეჟიმში, თითოეული კავშირის გასაღებები ინახება ქსელის ბარათზე სპეციალურ ცხრილში, ანალოგიურად, თუ როგორ ხორციელდება ტექნიკის აჩქარება IPsec-ში.

PSP უზრუნველყოფს TLS და IPsec/VPN პროტოკოლის შესაძლებლობების უნიკალურ კომბინაციას. TLS შეეფერებოდა Google-ს თითო კავშირის უსაფრთხოების თვალსაზრისით, მაგრამ არ იყო შესაფერისი ტექნიკის აჩქარების მოქნილობისა და UDP მხარდაჭერის არარსებობის გამო. IPsec უზრუნველყოფდა პროტოკოლის დამოუკიდებლობას და კარგად უჭერდა მხარს ტექნიკის აჩქარებას, მაგრამ არ უჭერდა მხარს კლავიშების დაკავშირებას ცალკეულ კავშირებზე, განკუთვნილი იყო მხოლოდ მცირე რაოდენობის შექმნილი გვირაბებისთვის და ჰქონდა პრობლემები ტექნიკის აჩქარების სკალირებისას, დაშიფვრის სრული მდგომარეობის შესანახად მეხსიერებაში მდებარე ცხრილებში. ქსელის ბარათის (მაგალითად, 10 GB მეხსიერებაა საჭირო 5 მილიონი კავშირის დასამუშავებლად).

PSP-ის შემთხვევაში, ინფორმაცია დაშიფვრის მდგომარეობის შესახებ (გასაღებები, ინიციალიზაციის ვექტორები, მიმდევრობის ნომრები და ა.შ.) შეიძლება გადაიცეს TX პაკეტის აღმწერში ან მაჩვენებლის სახით ჰოსტის სისტემის მეხსიერებაში, ქსელის ბარათის მეხსიერების დაკავების გარეშე. Google-ის თანახმად, გამოთვლითი სიმძლავრის დაახლოებით 0.7% და მეხსიერების დიდი რაოდენობა ადრე იხარჯებოდა კომპანიის ინფრასტრუქტურაში RPC ტრაფიკის დაშიფვრაზე. PSP-ის დანერგვამ ტექნიკის აჩქარების გამოყენებით შესაძლებელი გახადა ამ მაჩვენებლის 0.2%-მდე შემცირება.

წყარო: opennet.ru