Google은 PSP 보안 네트워크 프로토콜과 관련된 개발을 발견했습니다.

Google은 데이터 센터 간 트래픽을 암호화하는 데 사용되는 PSP(PSP 보안 프로토콜)의 사양 공개 및 참조 구현을 발표했습니다. 이 프로토콜은 IP를 통한 IPsec ESP(보안 페이로드 캡슐화)와 유사한 트래픽 캡슐화 아키텍처를 사용하여 암호화, 암호화 무결성 제어 및 소스 인증을 제공합니다. PSP 구현 코드는 C로 작성되었으며 Apache 2.0 라이센스에 따라 배포됩니다.

PSP의 특징은 암호화 및 암호 해독 작업을 네트워크 카드 측면으로 이동(오프로드)하여 계산 속도를 높이고 중앙 프로세서의 부하를 줄이는 프로토콜을 최적화하는 것입니다. 하드웨어 가속에는 특별한 PSP 호환 네트워크 카드가 필요합니다. PSP를 지원하지 않는 네트워크 카드가 있는 시스템의 경우 SoftPSP의 소프트웨어 구현이 제안됩니다.

UDP 프로토콜은 데이터 전송을 위한 전송으로 사용됩니다. PSP 패킷은 IP 헤더로 시작하여 UDP 헤더, 암호화 및 인증 정보가 포함된 자체 PSP 헤더로 구성됩니다. 다음으로 원래 TCP/UDP 패킷의 내용이 추가되고 무결성을 확인하기 위한 체크섬이 있는 최종 PSP 블록으로 끝납니다. PSP 헤더는 물론 캡슐화된 패킷의 헤더와 데이터도 항상 인증되어 패킷의 신원을 확인합니다. 캡슐화된 패킷의 데이터는 암호화될 수 있으며, 예를 들어 전송 네트워크 장비에서 패킷을 검사하는 기능을 제공하기 위해 TCP 헤더의 일부를 투명하게 유지하면서(진위성 제어를 유지하면서) 선택적으로 암호화를 적용할 수 있습니다.

PSP는 특정 키 교환 프로토콜에 묶여 있지 않으며 여러 패킷 형식 옵션을 제공하고 다양한 암호화 알고리즘의 사용을 지원합니다. 예를 들어, 암호화 및 인증(인증)을 위한 AES-GCM 알고리즘과 실제 데이터의 암호화 없이 인증을 위한 AES-GMAC에 대한 지원이 제공됩니다(예: 데이터가 가치가 없지만 가치가 없는지 확인해야 하는 경우). 전송 중에 변조되었으며 원래 전송된 것이 올바른 것인지 확인합니다.

일반적인 VPN 프로토콜과 달리 PSP는 전체 통신 채널이 아닌 개별 네트워크 연결 수준에서 암호화를 사용합니다. PSP는 서로 다른 터널링된 UDP 및 TCP 연결에 대해 별도의 암호화 키를 사용합니다. 이 접근 방식을 사용하면 다양한 애플리케이션과 프로세서의 트래픽을 더욱 엄격하게 격리할 수 있습니다. 이는 다양한 사용자의 애플리케이션과 서비스가 동일한 서버에서 실행될 때 중요합니다.

Google은 자체 내부 통신을 보호하고 Google Cloud 클라이언트의 트래픽을 보호하기 위해 PSP 프로토콜을 사용합니다. 이 프로토콜은 처음에 Google 수준 인프라에서 효과적으로 작동하도록 설계되었으며 수백만 개의 활성 네트워크 연결이 있고 초당 수십만 개의 새로운 연결이 설정되는 경우 암호화의 하드웨어 가속을 제공해야 합니다.

"상태 저장"과 "상태 비저장"이라는 두 가지 작동 모드가 지원됩니다. "상태 비저장" 모드에서는 암호화 키가 패킷 설명자의 네트워크 카드로 전송되고, 암호 해독을 위해 마스터 키(256비트 AES, 다음 위치에 저장됨)를 사용하여 패킷에 있는 SPI(Security Parameter Index) 필드에서 추출됩니다. 네트워크 카드의 메모리를 제거하고 24시간마다 교체함)을 통해 네트워크 카드 메모리를 절약하고 장비 측에 저장된 암호화된 연결 상태에 대한 정보를 최소화할 수 있습니다. "상태 저장" 모드에서는 각 연결에 대한 키가 IPsec에서 하드웨어 가속이 구현되는 방식과 유사하게 네트워크 카드의 특수 테이블에 저장됩니다.

PSP는 TLS와 IPsec/VPN 프로토콜 기능의 고유한 조합을 제공합니다. TLS는 연결별 보안 측면에서 Google에 적합했지만 하드웨어 가속에 대한 유연성이 부족하고 UDP 지원이 부족하여 적합하지 않았습니다. IPsec은 프로토콜 독립성을 제공하고 하드웨어 가속을 잘 지원했지만 개별 연결에 대한 키 바인딩을 지원하지 않았고 생성된 소수의 터널용으로만 설계되었으며 전체 암호화 상태를 메모리에 있는 테이블에 저장하기 때문에 하드웨어 가속을 확장하는 데 문제가 있었습니다. 네트워크 카드의 용량(예: 10만 개의 연결을 처리하려면 5GB의 메모리가 필요함)

PSP의 경우 네트워크 카드 메모리를 점유하지 않고 암호화 상태 정보(키, 초기화 벡터, 시퀀스 번호 등)를 TX 패킷 디스크립터 또는 호스트 시스템 메모리에 대한 포인터 형태로 전송할 수 있습니다. Google에 따르면 이전에는 회사 인프라에서 RPC 트래픽을 암호화하는 데 컴퓨팅 성능의 약 0.7%와 많은 양의 메모리가 사용되었습니다. 하드웨어 가속을 활용한 PSP의 도입으로 이 수치를 0.2%로 줄이는 것이 가능해졌다.

출처 : opennet.ru