이더넷 암호화 장치를 평가하고 비교하는 방법

나는 여러 공급업체의 여러 장치를 비교하는 임무를 맡았을 때 이 리뷰(또는 원하는 경우 비교 가이드)를 작성했습니다. 또한 이러한 장치는 다른 클래스에 속했습니다. 이 모든 장치의 아키텍처와 특성을 이해하고 비교를 위한 "좌표계"를 만들어야 했습니다. 내 리뷰가 누군가에게 도움이 된다면 기쁘겠습니다.

• 암호화 장치의 설명 및 사양을 이해합니다.
• 실제 생활에서 정말 중요한 것과 "종이"의 특성을 구별합니다.
• 일반적인 공급업체 세트를 뛰어넘어 문제 해결에 적합한 모든 제품을 고려하십시오.
• 협상 중에 올바른 질문을 하세요
• 입찰 요구 사항(RFP) 작성
• 특정 장치 모델을 선택한 경우 어떤 특성을 희생해야 하는지 이해합니다.

평가할 수 있는 것

원칙적으로 이 접근 방식은 원격 이더넷 세그먼트 간의 네트워크 트래픽을 암호화하는 데 적합한 모든 독립형 장치에 적용 가능합니다(교차 사이트 암호화). 즉, 하나 이상의 이더넷 포트를 통해 암호화되지 않은 트래픽이 있는 로컬(캠퍼스) 이더넷 네트워크에 연결되는 별도의 케이스에 있는 "상자"입니다(여기에는 섀시용 블레이드/모듈도 포함됩니다). 이미 암호화된 트래픽이 다른 원격 세그먼트로 전송되는 채널/네트워크에 대한 다른 포트입니다. 이러한 암호화 솔루션은 다양한 유형의 "전송"(다크 파이버, 주파수 분할 장비, 스위치 이더넷 및 다양한 라우팅 아키텍처(대부분 MPLS)을 사용하는 네트워크를 통해 배치된 "유사 회선")을 통해 개인 또는 운영자 네트워크에 배포할 수 있습니다. ), VPN 기술 유무에 관계없이.

분산 이더넷 네트워크의 네트워크 암호화

장치 자체는 다음 중 하나일 수 있습니다. 전문 (암호화 전용) 또는 다기능(하이브리드, 수렴하는) 즉, 다른 기능(예: 방화벽 또는 라우터)도 수행합니다. 공급업체마다 장치를 서로 다른 클래스/범주로 분류하지만 이는 중요하지 않습니다. 유일한 중요한 것은 사이트 간 트래픽을 암호화할 수 있는지 여부와 해당 장치의 특성입니다.

혹시라도 "네트워크 암호화", "트래픽 암호화", "암호화기"는 자주 사용되지만 비공식적인 용어라는 점을 상기시켜 드립니다. 러시아 규정(GOST 도입 규정 포함)에서는 찾을 수 없을 가능성이 높습니다.

암호화 수준 및 전송 모드

평가에 사용될 특성 자체를 설명하기 전에 먼저 "암호화 수준"이라는 중요한 사항을 이해해야 합니다. 나는 이것이 공식 벤더 문서(설명, 매뉴얼 등)와 비공식 토론(협상, 교육) 모두에서 자주 언급되는 것을 발견했습니다. 즉, 우리가 말하는 내용을 모두가 잘 알고있는 것 같지만 개인적으로 약간의 혼란을 목격했습니다.

그렇다면 "암호화 수준"이란 무엇입니까? 암호화가 발생하는 OSI/ISO 참조 네트워크 모델 계층의 수에 대해 이야기하고 있는 것은 분명합니다. 우리는 GOST R ISO 7498-2–99 “정보 기술. 개방형 시스템의 상호 연결. 기본 참조 모델. 2부. 정보 보안 아키텍처.” 이 문서에서 기밀 서비스 수준(제공 메커니즘 중 하나인 암호화)은 서비스 데이터 블록(“페이로드”, 사용자 데이터)이 암호화되는 프로토콜 수준임을 이해할 수 있습니다. 표준에도 기록되어 있으므로 서비스는 "자체적으로" 동일한 수준에서 제공될 수도 있고 하위 수준의 도움을 받아 제공될 수도 있습니다(예를 들어 MACsec에서 가장 자주 구현되는 방식입니다). .

실제로 네트워크를 통해 암호화된 정보를 전송하는 두 가지 모드가 가능합니다(IPsec이 즉시 떠오르지만 동일한 모드가 다른 프로토콜에서도 발견됩니다). 안에 수송 (때때로 네이티브라고도 함) 모드는 암호화만 수행됩니다. 서비스 데이터 블록, 헤더는 암호화되지 않은 상태로 "개방" 상태로 유지됩니다(때때로 암호화 알고리즘의 서비스 정보가 포함된 추가 필드가 추가되고 다른 필드가 수정되어 다시 계산됨). 안에 터널 모두 같은 모드 규약 데이터 블록(즉, 패킷 자체)은 암호화되어 동일하거나 더 높은 수준의 서비스 데이터 블록에 캡슐화됩니다. 즉, 새로운 헤더로 둘러싸여 있습니다.

일부 전송 모드와 결합된 암호화 수준 자체는 좋지도 나쁘지도 않기 때문에 예를 들어 전송 모드의 L3가 터널 모드의 L2보다 좋다고 말할 수는 없습니다. 장치를 평가하는 많은 특성이 장치에 따라 달라집니다. 예를 들어 유연성과 호환성이 있습니다. 전송 모드에서 네트워크 L1(비트 스트림 릴레이), L2(프레임 스위칭) 및 L3(패킷 라우팅)에서 작업하려면 동일하거나 더 높은 수준에서 암호화하는 솔루션이 필요합니다. 그렇지 않으면 주소 정보가 암호화되고 데이터가 의도한 목적지에 도달하지 못함), 터널 모드는 이러한 제한을 극복합니다(다른 중요한 특성은 희생하지만).

전송 및 터널 L2 암호화 모드

이제 특성 분석으로 넘어 갑시다.

Производительность

네트워크 암호화의 경우 성능은 복잡하고 다차원적인 개념입니다. 특정 모델이 한 성능 특성에서는 우수하지만 다른 성능 특성에서는 열등한 경우가 있습니다. 따라서 암호화 성능의 모든 구성 요소와 해당 구성 요소가 네트워크 및 이를 사용하는 애플리케이션 성능에 미치는 영향을 고려하는 것이 항상 유용합니다. 여기서 우리는 최대 속도뿐만 아니라 "수백"까지의 가속 시간, 연료 소비 등이 중요한 자동차와 비유를 그릴 수 있습니다. 공급업체와 잠재 고객은 성능 특성에 큰 관심을 기울입니다. 일반적으로 암호화 장치는 공급업체 라인의 성능을 기준으로 순위가 지정됩니다.

성능은 장치에서 수행되는 네트워킹 및 암호화 작업의 복잡성(이러한 작업을 얼마나 잘 병렬화하고 파이프라인으로 연결할 수 있는지 포함)뿐 아니라 하드웨어 성능과 펌웨어 품질에 따라 달라집니다. 따라서 구형 모델은 보다 생산적인 하드웨어를 사용하며 때로는 추가 프로세서와 메모리 모듈을 장착할 수도 있습니다. 암호화 기능을 구현하는 방법에는 범용 중앙 처리 장치(CPU), 주문형 집적 회로(ASIC) 또는 현장 프로그래밍 가능 논리 집적 회로(FPGA) 등 여러 가지 접근 방식이 있습니다. 각 접근 방식에는 장단점이 있습니다. 예를 들어, 특히 프로세서에 암호화 알고리즘을 지원하는 특수 지침이 없거나 사용되지 않는 경우 CPU가 암호화 병목 현상을 일으킬 수 있습니다. 특수 칩에는 유연성이 부족합니다. 성능을 개선하거나 새로운 기능을 추가하거나 취약점을 제거하기 위해 칩을 "리플래시"하는 것이 항상 가능한 것은 아닙니다. 또한 생산량이 많은 경우에만 사용이 수익성이 있습니다. 그렇기 때문에 FPGA(러시아어로는 FPGA)를 사용하는 "황금의 의미"가 널리 보급되었습니다. 소위 암호화 가속기(암호화 작업을 지원하기 위한 내장 또는 플러그인 특수 하드웨어 모듈)가 FPGA에서 만들어집니다.

우리가 이야기하고 있기 때문에 회로망 암호화의 경우 솔루션의 성능을 다른 네트워크 장치와 동일한 양(처리량, 프레임 손실 비율 및 대기 시간)으로 측정해야 하는 것이 논리적입니다. 이 값은 RFC 1242에 정의되어 있습니다. 그런데 이 RFC에는 자주 언급되는 지연 변동(지터)에 대한 내용이 없습니다. 이 수량을 측정하는 방법은 무엇입니까? 네트워크 암호화에 대해 특별히 어떤 표준(공식 또는 RFC와 같은 비공식)에서 승인된 방법론을 찾지 못했습니다. RFC 2544 표준에 명시된 네트워크 장치에 대한 방법론을 사용하는 것이 논리적입니다. 많은 공급업체가 이 방법을 따르지만 전부는 아닙니다. 예를 들어 테스트 트래픽을 두 방향이 아닌 한 방향으로만 보냅니다. 추천 된 기준. 그래도.

네트워크 암호화 장치의 성능을 측정하는 데에는 여전히 고유한 특성이 있습니다. 첫째, 한 쌍의 장치에 대해 모든 측정을 수행하는 것이 옳습니다. 암호화 알고리즘은 대칭이지만 암호화 및 암호 해독 중 지연 및 패킷 손실은 반드시 동일하지는 않습니다. 둘째, 암호화 장치가 없는 구성과 암호화 장치가 있는 구성의 두 가지 구성을 비교하여 네트워크 암호화가 최종 네트워크 성능에 미치는 영향인 델타를 측정하는 것이 합리적입니다. 또는 암호화를 껐다가 켜서 네트워크 암호화 외에 여러 기능을 결합한 하이브리드 장치의 경우도 마찬가지입니다. 이러한 영향은 암호화 장치의 연결 방식, 작동 모드, 마지막으로 트래픽 특성에 따라 다를 수 있습니다. 특히 많은 성능 매개변수는 패킷 길이에 따라 달라지므로 다양한 솔루션의 성능을 비교하기 위해 패킷 길이에 따른 이러한 매개변수의 그래프가 자주 사용되거나 IMIX(패킷별 트래픽 분포)가 사용됩니다. 길이는 대략 실제 길이를 반영합니다. 암호화가 적용되지 않은 동일한 기본 구성을 비교하면 L2와 L3, 저장 및 전달)과 컷스루, 전문화와 융합, GOST와 AES 등과 같은 차이점에 얽매이지 않고 다르게 구현된 네트워크 암호화 솔루션을 비교할 수 있습니다.

성능 테스트를 위한 연결 다이어그램

사람들이 가장 먼저 주목하는 특징은 암호화 장치의 '속도'다. 대역폭 (대역폭) 네트워크 인터페이스, 비트 흐름 속도. 인터페이스에서 지원하는 네트워크 표준에 따라 결정됩니다. 이더넷의 경우 일반적인 숫자는 1Gbps와 10Gbps입니다. 그러나 우리가 알고 있듯이 모든 네트워크에서 이론적 최대값은 처리량 (처리량) 각 수준에는 항상 대역폭이 더 적습니다. 대역폭의 일부는 프레임 간 간격, 서비스 헤더 등에 의해 "소모"됩니다. 장치가 네트워크 인터페이스의 최대 속도, 즉 이 수준의 네트워크 모델에 대한 최대 이론적 처리량으로 트래픽을 수신, 처리(이 경우 암호화 또는 암호 해독) 및 전송할 수 있는 경우 다음과 같이 말합니다. 일하다 회선 속도로. 이를 위해서는 장치가 크기와 빈도에 관계없이 패킷을 잃거나 삭제하지 않아야 합니다. 암호화 장치가 회선 속도 작업을 지원하지 않는 경우 최대 처리량은 일반적으로 초당 동일한 기가비트로 지정됩니다(때로는 패킷 길이를 나타냅니다. 일반적으로 패킷이 짧을수록 처리량은 낮아집니다). 최대 처리량이 최대라는 것을 이해하는 것이 매우 중요합니다. 무손실 (장치가 더 빠른 속도로 자체적으로 트래픽을 "펌프"할 수 있지만 동시에 일부 패킷이 손실되는 경우에도 마찬가지입니다). 또한 일부 공급업체에서는 모든 포트 쌍 간의 총 처리량을 측정하므로 모든 암호화된 트래픽이 단일 포트를 통과하는 경우 이러한 수치는 큰 의미가 없습니다.

회선 속도(즉, 패킷 손실 없이)로 작동하는 것이 특히 중요한 곳은 어디입니까? 높은 대역폭, 높은 대기 시간 링크(예: 위성)에서는 높은 전송 속도를 유지하기 위해 큰 TCP 창 크기를 설정해야 하며 패킷 손실이 네트워크 성능을 크게 저하시키는 경우입니다.

그러나 유용한 데이터를 전송하는 데 모든 대역폭이 사용되는 것은 아닙니다. 우리는 소위를 생각해야합니다 간접비 (오버헤드) 대역폭. 이는 실제로 낭비되는 암호화 장치의 처리량(백분율 또는 패킷당 바이트)의 일부입니다(애플리케이션 데이터를 전송하는 데 사용할 수 없음). 첫째, 암호화된 네트워크 패킷의 데이터 필드 크기 증가(추가, "채우기")로 인해 간접 비용이 발생합니다(암호화 알고리즘 및 작동 모드에 따라 다름). 둘째, 패킷 헤더 길이의 증가(암호화 및 전송 모드의 프로토콜 및 작동 모드에 따른 터널 모드, 암호화 프로토콜의 서비스 삽입, 시뮬레이션 삽입 등)로 인해 일반적으로 이러한 오버헤드 비용은 다음과 같습니다. 가장 중요하며 먼저 주의를 기울입니다. 셋째, 최대 데이터 단위 크기(MTU)를 초과할 때 패킷 조각화로 인해 발생합니다(네트워크가 MTU를 초과하는 패킷을 두 개로 분할하여 헤더를 복제할 수 있는 경우). 넷째, 암호화 장치 간 네트워크(키 교환, 터널 설치 등)에 추가 서비스(제어) 트래픽이 발생하기 때문입니다. 채널 용량이 제한된 경우 낮은 오버헤드가 중요합니다. 이는 오버헤드 비용이 채널 속도의 절반 이상을 "먹을" 수 있는 음성과 같은 작은 패킷의 트래픽에서 특히 두드러집니다.

처리량

마지막으로, 더 있습니다 도입된 지연 – 네트워크 암호화를 사용하지 않은 경우와 사용하지 않은 경우의 데이터 전송 간의 네트워크 지연(데이터가 네트워크에 들어오고 나가는 데 걸리는 시간)의 차이(초 단위). 일반적으로 네트워크의 대기 시간(“대기 시간”)이 낮을수록 암호화 장치로 인해 발생하는 대기 시간은 더욱 중요해집니다. 지연은 암호화 작업 자체(암호화 알고리즘, 블록 길이 및 암호 작동 모드, 소프트웨어 구현 품질에 따라 다름)와 장치의 네트워크 패킷 처리로 인해 발생합니다. . 발생하는 대기 시간은 패킷 처리 모드(통과 또는 저장 및 전달)와 플랫폼 성능(FPGA 또는 ASIC의 하드웨어 구현은 일반적으로 CPU의 소프트웨어 구현보다 빠릅니다)에 따라 달라집니다. L2/L3 암호화 장치는 종종 통합되기 때문에 L4 암호화는 거의 항상 L3 또는 L4 암호화보다 대기 시간이 낮습니다. 예를 들어, FPGA에 구현된 고속 이더넷 암호화기를 사용하고 L2에서 암호화하면 암호화 작업으로 인한 지연이 엄청나게 작아집니다. 때로는 한 쌍의 장치에서 암호화가 활성화되면 장치로 인해 발생하는 총 지연이 훨씬 줄어듭니다! 킬로미터당 약 5μs인 전파 지연을 포함하여 전체 채널 지연과 비교할 수 있는 경우 낮은 대기 시간이 중요합니다. 즉, 도시 규모 네트워크(폭이 수십 킬로미터)의 경우 마이크로초가 많은 것을 결정할 수 있다고 말할 수 있습니다. 예를 들어 동기식 데이터베이스 복제, 고주파 거래, 동일한 블록체인의 경우입니다.

지연 도입

확장성

대규모 분산 네트워크에는 수천 개의 노드와 네트워크 장치, 수백 개의 로컬 네트워크 세그먼트가 포함될 수 있습니다. 암호화 솔루션이 분산 네트워크의 크기와 토폴로지에 추가 제한을 가하지 않는 것이 중요합니다. 이는 주로 최대 호스트 및 네트워크 주소 수에 적용됩니다. 예를 들어, 다중 지점 암호화 네트워크 토폴로지(독립적인 보안 연결 또는 터널 포함) 또는 선택적 암호화(예: 프로토콜 번호 또는 VLAN 기준)를 구현할 때 이러한 제한이 발생할 수 있습니다. 이 경우 행 수가 제한된 테이블에서 네트워크 주소(MAC, IP, VLAN ID)가 키로 사용되는 경우 이러한 제한 사항이 여기에 표시됩니다.

또한 대규모 네트워크에는 코어 네트워크를 비롯한 여러 구조 계층이 있는 경우가 많습니다. 각 계층은 자체 주소 지정 체계와 라우팅 정책을 구현합니다. 이 접근 방식을 구현하기 위해 특수 프레임 형식(예: Q-in-Q 또는 MAC-in-MAC)과 경로 결정 프로토콜이 사용되는 경우가 많습니다. 그러한 네트워크의 구축을 방해하지 않기 위해 암호화 장치는 그러한 프레임을 올바르게 처리해야 합니다. 즉, 확장성은 호환성을 의미합니다. 자세한 내용은 아래에서 설명합니다.

유연성

여기서는 다양한 구성, 연결 체계, 토폴로지 및 기타 사항을 지원하는 방법에 대해 설명합니다. 예를 들어, 캐리어 이더넷 기술을 기반으로 하는 교환 네트워크의 경우 이는 다양한 유형의 가상 연결(E-Line, E-LAN, E-Tree), 다양한 서비스 유형(포트 및 VLAN 기준) 및 다양한 전송 기술을 지원함을 의미합니다. (이미 위에 나열되어 있습니다). 즉, 장치는 선형("지점 간") 모드와 다중 지점 모드 모두에서 작동할 수 있어야 하고, 서로 다른 VLAN에 대해 별도의 터널을 설정하고, 보안 채널 내에서 패킷의 비순차적 전달을 허용해야 합니다. 다양한 암호화 모드(콘텐츠 인증 유무 포함)와 다양한 패킷 전송 모드를 선택하는 기능을 통해 현재 조건에 따라 강도와 성능 사이의 균형을 맞출 수 있습니다.

또한 한 조직이 장비를 소유하거나 임대한 개인 네트워크와 다른 회사가 여러 세그먼트를 관리하는 운영자 네트워크를 모두 지원하는 것도 중요합니다. 솔루션이 내부 관리와 제XNUMX자 관리(관리형 서비스 모델 사용) 모두를 허용한다면 좋습니다. 운영자 네트워크에서 또 다른 중요한 기능은 트래픽이 동일한 암호화 장치 세트를 통과하는 개별 고객(가입자)의 암호화 격리 형태로 다중 테넌시(다른 고객이 공유)를 지원하는 것입니다. 이를 위해서는 일반적으로 각 고객에 대해 별도의 키 및 인증서 세트를 사용해야 합니다.

특정 시나리오를 위해 장치를 구입한 경우 이러한 모든 기능은 그다지 중요하지 않을 수 있습니다. 장치가 현재 필요한 기능을 지원하는지 확인하면 됩니다. 그러나 미래 시나리오도 지원하기 위해 "성장을 위해" 솔루션을 구입하고 "기업 표준"으로 선택된다면 유연성은 불필요한 것이 아닙니다. 특히 다양한 공급업체의 장치 상호 운용성에 대한 제한을 고려하면( 이에 대한 자세한 내용은 아래에서 확인하세요).

단순성과 편리함

서비스 용이성 역시 다원적인 개념입니다. 대략적으로 이는 수명 주기의 다양한 단계에서 솔루션을 지원하는 데 필요한 특정 자격을 갖춘 전문가가 소비한 총 시간이라고 말할 수 있습니다. 비용이 없고 설치, 구성, 운영이 완전히 자동으로 이루어지면 비용이 XNUMX이고 편의성이 절대적입니다. 물론 현실 세계에서는 이런 일이 일어나지 않습니다. 합리적인 근사치는 모델입니다. "와이어 매듭" (bump-in-the-wire) 또는 투명 연결을 통해 암호화 장치를 추가 및 비활성화할 때 네트워크 구성을 수동 또는 자동으로 변경할 필요가 없습니다. 동시에 솔루션 유지 관리가 단순화됩니다. 암호화 기능을 안전하게 켜고 끌 수 있으며 필요한 경우 네트워크 케이블을 사용하여 장치를 간단히 "우회"할 수 있습니다(즉, 네트워크 장비의 해당 포트를 직접 연결) 연결되었습니다). 사실, 한 가지 단점이 있습니다. 공격자도 같은 일을 할 수 있다는 것입니다. "와이어 위의 노드" 원칙을 구현하려면 트래픽뿐만 아니라 고려해야 할 사항도 있습니다. 데이터 레이어하지만 제어 및 관리 계층 – 장치는 투명해야 합니다. 따라서 이러한 트래픽은 암호화 장치 사이의 네트워크에 이러한 유형의 트래픽 수신자가 없는 경우에만 암호화할 수 있습니다. 트래픽이 삭제되거나 암호화된 경우 암호화를 활성화하거나 비활성화하면 네트워크 구성이 변경될 수 있기 때문입니다. 암호화 장치는 물리 계층 신호에 투명할 수도 있습니다. 특히, 신호가 손실되면 이 손실을 신호 방향으로 앞뒤로("자체적으로") 전송해야 합니다(즉, 송신기를 꺼야 함).

정보보안부서와 IT부서, 특히 네트워크부서의 권한분할 지원도 중요하다. 암호화 솔루션은 조직의 액세스 제어 및 감사 모델을 지원해야 합니다. 일상적인 작업을 수행하기 위해 여러 부서 간 상호 작용의 필요성을 최소화해야 합니다. 따라서 암호화 기능을 독점적으로 지원하고 네트워크 운영에 최대한 투명한 특수 장치에 대한 편의성 측면에서 장점이 있습니다. 간단히 말해서, 정보 보안 직원은 네트워크 설정을 변경하기 위해 "네트워크 전문가"에게 연락할 이유가 없어야 합니다. 그리고 네트워크를 유지 관리할 때 암호화 설정을 변경할 필요가 없어야 합니다.

또 다른 요소는 컨트롤의 기능과 편의성입니다. 시각적이고 논리적이어야 하며 설정 가져오기-내보내기, 자동화 등을 제공해야 합니다. 사용 가능한 관리 옵션(일반적으로 자체 관리 환경, 웹 인터페이스 및 명령줄)과 각 옵션에 포함된 기능 세트(제한 사항 있음)에 즉시 주의를 기울여야 합니다. 중요한 기능은 지원입니다 대역 외 (대역외) 제어, 즉 전용 제어 네트워크를 통한 제어 대역 내 (대역 내) 제어, 즉 유용한 트래픽이 전송되는 공통 네트워크를 통해 제어됩니다. 관리 도구는 정보 보안 사고를 포함한 모든 비정상적인 상황에 대한 신호를 보내야 합니다. 일상적이고 반복적인 작업은 자동으로 수행되어야 합니다. 이는 주로 키 관리와 관련이 있습니다. 자동으로 생성/배포되어야 합니다. PKI 지원은 큰 장점입니다.

적합성

즉, 장치의 네트워크 표준 호환성입니다. 또한 이는 IEEE와 같은 권위 있는 조직에서 채택한 산업 표준뿐만 아니라 Cisco와 같은 업계 리더의 독점 프로토콜도 의미합니다. 호환성을 보장하는 두 가지 주요 방법이 있습니다. 투명성또는 이를 통해 명시적인 지원 프로토콜(암호화 장치가 특정 프로토콜에 대한 네트워크 노드 중 하나가 되어 이 프로토콜의 제어 트래픽을 처리하는 경우) 네트워크와의 호환성은 제어 프로토콜 구현의 완전성과 정확성에 따라 달라집니다. PHY 수준(속도, 전송 매체, 인코딩 체계), MTU를 포함한 다양한 형식의 이더넷 프레임, 다양한 L3 서비스 프로토콜(주로 TCP/IP 제품군)에 대한 다양한 옵션을 지원하는 것이 중요합니다.

투명성은 변형(암호화기 간 트래픽에서 열린 헤더의 내용을 일시적으로 변경), 건너뛰기(개별 패킷이 암호화되지 않은 상태로 유지되는 경우) 및 암호화 시작 들여쓰기(일반적으로 암호화된 패킷 필드가 암호화되지 않은 경우) 메커니즘을 통해 보장됩니다.

투명성이 보장되는 방법

따라서 항상 특정 프로토콜에 대한 지원이 어떻게 제공되는지 정확하게 확인하십시오. 투명 모드의 지원이 더 편리하고 안정적일 때가 많습니다.

상호 운용성

이는 호환성이기도 하지만 다른 의미에서는 다른 제조업체의 제품을 포함하여 다른 암호화 장치 모델과 함께 작동할 수 있는 기능입니다. 암호화 프로토콜의 표준화 상태에 따라 많은 것이 달라집니다. L1에는 일반적으로 허용되는 암호화 표준이 없습니다.

이더넷 네트워크에는 L2 암호화를 위한 802.1ae(MACsec) 표준이 있지만 이를 사용하지 않습니다. 끝으로 종료 (엔드 투 엔드) 및 인터포트, "hop-by-hop" 암호화 및 원래 버전에서는 분산 네트워크에서 사용하기에 부적합하므로 이러한 제한을 극복하는 독점 확장이 나타났습니다(물론 다른 제조업체의 장비와의 상호 운용성으로 인해). 사실, 2018년에 분산 네트워크에 대한 지원이 802.1ae 표준에 추가되었지만 GOST 암호화 알고리즘 세트에 대한 지원은 아직 없습니다. 따라서 독점적인 비표준 L2 암호화 프로토콜은 일반적으로 더 높은 효율성(특히 더 낮은 대역폭 오버헤드)과 유연성(암호화 알고리즘 및 모드를 변경하는 기능)으로 구별됩니다.

더 높은 수준(L3 및 L4)에는 주로 IPsec 및 TLS와 같은 인정된 표준이 있지만 여기서도 그렇게 간단하지 않습니다. 사실 이러한 각 표준은 구현에 필요하거나 선택 사항인 서로 다른 버전과 확장이 있는 프로토콜 집합입니다. 또한 일부 제조업체는 L3/L4에서 자체 암호화 프로토콜을 사용하는 것을 선호합니다. 따라서 대부분의 경우 완전한 상호 운용성을 기 대해서는 안되지만, 동일한 제조업체의 서로 다른 모델과 서로 다른 세대 간의 상호 작용이 최소한 보장되는 것이 중요합니다.

신뢰성

다양한 솔루션을 비교하려면 평균 실패 간격이나 가용성 요소를 사용할 수 있습니다. 이러한 수치를 사용할 수 없는 경우(또는 신뢰도가 없는 경우) 정성적 비교를 수행할 수 있습니다. 관리가 편리한 장치는 구성 오류 위험이 적다는 장점, 같은 이유로 특수 암호화기, 그리고 전체 노드의 "핫" 백업 수단을 포함하여 오류를 감지하고 제거하는 데 최소한의 시간이 걸리는 솔루션을 제공합니다. 장치.

비용

대부분의 IT 솔루션과 마찬가지로 비용 측면에서는 총 소유 비용을 비교하는 것이 합리적입니다. 이를 계산하기 위해 바퀴를 다시 만들 필요는 없지만 적절한 방법론(예: Gartner)과 계산기(예: 조직에서 TCO를 계산하기 위해 이미 사용하고 있는 계산기)를 사용하세요. 네트워크 암호화 솔루션의 총 소유 비용은 다음과 같습니다. 곧장 솔루션 자체 구매 또는 임대 비용, 호스팅 장비를 위한 인프라, 배포, 관리 및 유지 관리 비용(사내 또는 타사 서비스 형태) 간접 솔루션 가동 중지 시간으로 인한 비용(최종 사용자 생산성 손실로 인해 발생) 아마도 하나의 미묘함이있을 것입니다. 솔루션이 성능에 미치는 영향은 생산성 손실로 인한 간접 비용, 또는 네트워크 도구 사용으로 인한 네트워크 성능 손실을 보상하는 네트워크 도구를 구매/업그레이드 및 유지 관리하는 "가상" 직접 비용 등 다양한 방식으로 고려될 수 있습니다. 암호화. 어떤 경우든 충분히 정확하게 계산하기 어려운 비용은 계산에서 제외하는 것이 가장 좋습니다. 이렇게 하면 최종 가치에 대한 신뢰도가 높아집니다. 그리고 평소와 마찬가지로 실제 또는 일반 사용의 특정 시나리오에 대해 다양한 장치를 TCO별로 비교하는 것이 합리적입니다.

내구성

그리고 마지막 특징은 해결의 지속성이다. 대부분의 경우 내구성은 다양한 솔루션을 비교함으로써만 정성적으로 평가될 수 있습니다. 암호화 장치는 수단일 뿐만 아니라 보호의 대상이기도 함을 기억해야 합니다. 다양한 위협에 노출될 수 있습니다. 최전선에는 메시지의 기밀성 위반, 복제 및 수정 위협이 있습니다. 이러한 위협은 암호 또는 개별 모드의 취약점, 암호화 프로토콜의 취약점(연결 설정 및 키 생성/배포 단계 포함)을 통해 실현될 수 있습니다. 암호화 알고리즘을 변경하거나 암호화 모드를 전환할 수 있는 솔루션(적어도 펌웨어 업데이트를 통해), 가장 완벽한 암호화를 제공하고 사용자 데이터뿐만 아니라 주소 및 기타 서비스 정보도 공격자로부터 숨길 수 있는 솔루션이 장점이 될 것입니다. , 메시지를 암호화할 뿐만 아니라 복제 및 수정으로부터 메시지를 보호하는 기술 솔루션도 있습니다. 표준에 명시된 모든 최신 암호화 알고리즘, 전자 서명, 키 생성 등에 대해 강도는 동일하다고 가정할 수 있습니다(그렇지 않으면 단순히 암호화의 세계에서 길을 잃을 수 있습니다). 반드시 GOST 알고리즘이어야 합니까? 여기에서는 모든 것이 간단합니다. 애플리케이션 시나리오에 CIPF에 대한 FSB 인증이 필요한 경우(러시아에서는 이것이 가장 흔한 경우이며 대부분의 네트워크 암호화 시나리오에서는 이것이 사실임) 인증된 인증 중에서만 선택합니다. 그렇지 않은 경우 인증서가 없는 장치를 고려 대상에서 제외하는 것은 의미가 없습니다.

또 다른 위협은 해킹, 장치에 대한 무단 액세스(케이스 외부 및 내부의 물리적 액세스 포함) 위협입니다. 위협은 다음을 통해 수행될 수 있습니다.
구현 취약점 - 하드웨어 및 코드. 따라서 네트워크를 통한 "공격 표면"이 최소화되고 인클로저가 물리적 접근으로부터 보호되는 솔루션(침입 센서, 탐지 보호 및 인클로저가 열릴 때 주요 정보의 자동 재설정 포함)과 펌웨어 업데이트를 허용하는 솔루션은 다음과 같은 이점을 갖습니다. 코드의 취약점이 알려지면 이점이 있습니다. 또 다른 방법이 있습니다. 비교되는 모든 장치에 FSB 인증서가 있는 경우 인증서가 발급된 CIPF 클래스는 해킹에 대한 저항의 지표로 간주될 수 있습니다.

마지막으로 또 다른 유형의 위협은 가장 순수한 형태의 인적 요소인 설정 및 작동 중 오류입니다. 이는 종종 노련한 "네트워크 전문가"를 대상으로 하고 "일반" 일반 정보 보안 전문가에게는 어려움을 초래할 수 있는 통합 솔루션에 비해 전문 암호화기가 갖는 또 다른 장점을 보여줍니다.

요약

원칙적으로 여기에서는 서로 다른 장치를 비교하기 위한 일종의 통합 지표를 제안하는 것이 가능합니다.

$$display$$K_j=∑p_i r_{ij}$$display$$

여기서 p는 지표의 가중치이고 r은 이 지표에 따른 장치의 순위이며 위에 나열된 특성 중 하나는 "원자" 지표로 나눌 수 있습니다. 예를 들어, 이러한 공식은 사전 합의된 규칙에 따라 입찰 제안을 비교할 때 유용할 수 있습니다. 하지만 다음과 같은 간단한 테이블을 사용하면 됩니다.

특성
장치 1
장치 2
...
장치 N

처리량
+
+

+ + +

간접비
+
++

+ + +

지연
+
+

++

확장성
+ + +
+

+ + +

유연성
+ + +
++

+

상호 운용성
++
+

+

적합성
++
++

+ + +

단순성과 편리함
+
+

++

결함 허용
+ + +
+ + +

++

비용
++
+ + +

+

내구성
++
++

+ + +

질문과 건설적인 비판에 기꺼이 답변해 드리겠습니다.

출처 : habr.com