Како да се проценат и споредат уредите за шифрирање на етернет

Го напишав овој преглед (или, ако сакате, водич за споредба) кога имав задача да споредам неколку уреди од различни продавачи. Покрај тоа, овие уреди припаѓале на различни класи. Морав да ја разберам архитектурата и карактеристиките на сите овие уреди и да создадам „координатен систем“ за споредба. Ќе ми биде драго ако мојата рецензија помогне некому:

• Разберете ги описите и спецификациите на уредите за шифрирање
• Разликувајте ги карактеристиките на „хартијата“ од оние што се навистина важни во реалниот живот
• Одете подалеку од вообичаениот сет на продавачи и вклучете ги во предвид сите производи што се соодветни за решавање на проблемот
• Поставувајте ги вистинските прашања за време на преговорите
• Подгответе тендерски барања (RFP)
• Разберете кои карактеристики ќе треба да се жртвуваат ако се избере одреден модел на уред

Што може да се процени

Во принцип, пристапот е применлив за сите самостојни уреди погодни за шифрирање на мрежниот сообраќај помеѓу оддалечените сегменти на етернет (шифрирање меѓу локации). Односно, „кутии“ во посебен случај (во ред, овде ќе вклучиме и ножеви/модули за шасијата), кои се поврзани преку една или повеќе етернет порти со локална (кампус) етернет мрежа со нешифриран сообраќај, и преку друга порта(и) на канал/мрежа преку која веќе шифриран сообраќај се пренесува до други, оддалечени сегменти. Таквото решение за шифрирање може да се распореди во приватна или операторска мрежа преку различни типови „транспорт“ (темно влакно, опрема за поделба на фреквенцијата, прекинат етернет, како и „псевдовири“ поставени преку мрежа со различна архитектура на насочување, најчесто MPLS ), со или без VPN технологија.

Мрежно шифрирање во дистрибуирана етернет мрежа

Самите уреди можат да бидат или специјализирани (наменет исклучиво за шифрирање) или мултифункционален (хибриден, конвергентен), односно извршување и други функции (на пример, заштитен ѕид или рутер). Различни продавачи ги класифицираат своите уреди во различни класи/категории, но тоа не е важно - единствената важна работа е дали можат да го шифрираат сообраќајот меѓу страниците и кои карактеристики ги имаат.

За секој случај, ве потсетувам дека „мрежно шифрирање“, „шифрирање на сообраќај“, „енкриптор“ се неформални термини, иако често се користат. Најверојатно нема да ги најдете во руските прописи (вклучувајќи ги и оние што воведуваат ГОСТ).

Нивоа на шифрирање и начини на пренос

Пред да започнеме да ги опишуваме самите карактеристики што ќе се користат за евалуација, прво ќе треба да разбереме една важна работа, имено „нивото на шифрирање“. Забележав дека често се споменува и во официјалните документи на продавачите (во описи, прирачници итн.) и во неформални дискусии (на преговори, обуки). Односно, се чини дека сите многу добро знаат за што зборуваме, но јас лично бев сведок на одредена конфузија.

Значи, што е „ниво на шифрирање“? Јасно е дека зборуваме за бројот на слојот на моделот на референтната мрежа OSI/ISO во кој се случува шифрирањето. Читаме ГОСТ Р ИСО 7498-2–99 „Информатичка технологија. Интерконекција на отворени системи. Основен референтен модел. Дел 2. Архитектура за безбедност на информациите“. Од овој документ може да се разбере дека нивото на услугата за доверливост (еден од механизмите за обезбедување што е шифрирање) е нивото на протоколот, чијшто блок на податоци за услугата („оптоварување“, кориснички податоци) е шифриран. Како што пишува и во стандардот, услугата може да се обезбеди и на исто ниво, „само“ и со помош на пониско ниво (вака, на пример, најчесто се имплементира во MACsec) .

Во пракса, можни се два начини на пренос на шифрирана информација преку мрежа (IPsec веднаш ми доаѓа на ум, но истите режими се наоѓаат и во други протоколи). ВО транспорт (понекогаш се нарекува и мајчин) режимот е само шифриран Сервис блок на податоци, а заглавијата остануваат „отворени“, нешифрирани (понекогаш се додаваат дополнителни полиња со сервисни информации од алгоритмот за шифрирање, а другите полиња се менуваат и повторно се пресметуваат). ВО тунел ист режим сите протокол податочниот блок (односно самиот пакет) е шифриран и инкапсулиран во сервисен блок на податоци од исто или повисоко ниво, односно е опкружен со нови заглавија.

Самото ниво на шифрирање во комбинација со некој режим на пренос не е ниту добро ниту лошо, така што не може да се каже, на пример, дека L3 во транспортниот режим е подобар од L2 во режим на тунел. Само што многу од карактеристиките според кои се оценуваат уредите зависат од нив. На пример, флексибилност и компатибилност. За да работите во мрежа L1 (бит стрим реле), L2 (префрлување рамка) и L3 (рутирање пакети) во режим на транспорт, потребни ви се решенија што шифрираат на исто или повисоко ниво (во спротивно, информациите за адресата ќе бидат шифрирани и податоците ќе не ја достигне својата наменета дестинација), а режимот на тунел го надминува ова ограничување (иако жртвува други важни карактеристики).

Режими на шифрирање на транспорт и тунел L2

Сега да продолжиме да ги анализираме карактеристиките.

Перформанси

За мрежно шифрирање, перформансите се сложен, повеќедимензионален концепт. Се случува одреден модел, иако супериорен во една изведбена карактеристика, да е инфериорен во друга. Затоа, секогаш е корисно да се земат предвид сите компоненти на перформансите на шифрирањето и нивното влијание врз перформансите на мрежата и апликациите што ја користат. Овде можеме да направиме аналогија со автомобил, за кој не е важна само максималната брзина, туку и времето на забрзување до „стотки“, потрошувачката на гориво итн. Компаниите продавачи и нивните потенцијални клиенти посветуваат големо внимание на карактеристиките на изведбата. Како по правило, уредите за шифрирање се рангираат врз основа на перформансите во линиите на продавачите.

Јасно е дека перформансите зависат и од сложеноста на мрежните и криптографските операции извршени на уредот (вклучувајќи колку добро овие задачи можат да се паралелизираат и да се постават со цевки), како и од перформансите на хардверот и квалитетот на фирмверот. Затоа, постарите модели користат попродуктивен хардвер; понекогаш е можно да се опреми со дополнителни процесори и мемориски модули. Постојат неколку пристапи за имплементација на криптографски функции: на централна процесорска единица за општа намена (CPU), интегрално коло специфично за апликација (ASIC) или логичко интегрирано коло што може да се програмира теренски (FPGA). Секој пристап има свои добрите и лошите страни. На пример, процесорот може да стане тесно грло за шифрирање, особено ако процесорот нема специјализирани инструкции за поддршка на алгоритмот за шифрирање (или ако тие не се користат). Специјализираните чипови немаат флексибилност; не е секогаш можно да се „рефлешираат“ за да се подобрат перформансите, да се додадат нови функции или да се елиминираат пропустите. Покрај тоа, нивната употреба станува профитабилна само со големи количини на производство. Затоа „златната средина“ стана толку популарна - употребата на FPGA (FPGA на руски). На FPGA се прават таканаречените крипто акцелератори - вградени или приклучени специјализирани хардверски модули за поддршка на криптографски операции.

Бидејќи зборуваме за мрежа енкрипција, логично е дека перформансите на решенијата треба да се мерат во исти количини како и за другите мрежни уреди - пропусната моќ, процентот на загуба на рамката и латентноста. Овие вредности се дефинирани во RFC 1242. Патем, ништо не е напишано за често споменатата варијација на доцнење (житер) во овој RFC. Како да се измерат овие количини? Не најдов методологија одобрена во ниеден стандард (официјален или неофицијален како што е RFC) специјално за мрежно шифрирање. Би било логично да се користи методологијата за мрежните уреди содржана во стандардот RFC 2544. Многу продавачи ја следат - многу, но не сите. На пример, тие испраќаат тест сообраќај само во една насока наместо во двете, како препорачано стандарден. Како и да е.

Мерењето на перформансите на уредите за шифрирање на мрежата сè уште има свои карактеристики. Прво, правилно е да се извршат сите мерења за пар уреди: иако алгоритмите за шифрирање се симетрични, одложувањата и загубите на пакети за време на шифрирањето и дешифрирањето нема да мора да бидат еднакви. Второ, има смисла да се измери делта, влијанието на мрежното шифрирање врз конечните перформанси на мрежата, споредувајќи две конфигурации: без уреди за шифрирање и со нив. Или, како што е случајот со хибридните уреди, кои комбинираат неколку функции покрај мрежното шифрирање, со исклучено и вклучено шифрирање. Ова влијание може да биде различно и да зависи од шемата за поврзување на уредите за шифрирање, од режимите на работа и, конечно, од природата на сообраќајот. Конкретно, многу параметри на перформансите зависат од должината на пакетите, поради што, за да се споредат перформансите на различни решенија, често се користат графикони на овие параметри во зависност од должината на пакетите, или се користи IMIX - дистрибуција на сообраќај по пакети должини, што приближно ја отсликува вистинската. Ако ја споредиме истата основна конфигурација без шифрирање, можеме да ги споредиме решенијата за мрежна шифрирање имплементирани поинаку без да навлегуваме во овие разлики: L2 со L3, складирање и проследување ) со пресек, специјализиран со конвергентен, GOST со AES и така натаму.

Дијаграм за поврзување за тестирање на перформансите

Првата карактеристика на која луѓето обрнуваат внимание е „брзината“ на уредот за шифрирање, т.е пропусниот опсег (пропусен опсег) на неговите мрежни интерфејси, брзина на бит проток. Се одредува според мрежните стандарди кои се поддржани од интерфејсите. За етернет, вообичаените броеви се 1 Gbps и 10 Gbps. Но, како што знаеме, во која било мрежа максималната теоретска автопат (пропусен опсег) на секое негово ниво секогаш има помал опсег: дел од пропусниот опсег е „изеден“ од интервали на интерфрејм, заглавија на услуги итн. Ако уредот е способен да прима, обработува (во нашиот случај, шифрира или дешифрира) и пренесува сообраќај со целосна брзина на мрежниот интерфејс, односно со максимална теоретска пропусност за ова ниво на мрежниот модел, тогаш се вели да се работи со брзина на линијата. За да го направите ова, неопходно е уредот да не губи или отфрли пакети со која било големина и со која било фреквенција. Ако уредот за шифрирање не поддржува работа со брзина на линијата, тогаш неговата максимална пропусност обично се одредува во истите гигабити во секунда (понекогаш укажува на должината на пакетите - колку се пократки пакетите, толку е помала пропусната моќ обично). Многу е важно да се разбере дека максималната пропусност е максимална нема загуби (дури и ако уредот може да „пумпа“ сообраќај низ себе со поголема брзина, но во исто време да изгуби некои пакети). Исто така, имајте предвид дека некои продавачи ја мерат вкупната пропусната моќ помеѓу сите парови на порти, така што овие бројки не значат многу ако целиот шифриран сообраќај поминува низ една порта.

Каде е особено важно да се работи со брзина на линијата (или, со други зборови, без загуба на пакети)? Кај врските со висок пропусен опсег, со висока латентност (како сателитот), каде што мора да се постави голема големина на TCP прозорец за да се одржуваат високи брзини на пренос и каде што загубата на пакети драматично ги намалува перформансите на мрежата.

Но, не се користи целиот пропусен опсег за пренос на корисни податоци. Мораме да се пресметаме со т.н режиски трошоци (надземни) пропусен опсег. Ова е дел од пропусната моќ на уредот за шифрирање (како процент или бајти по пакет) што всушност се троши (не може да се користи за пренос на податоци од апликацијата). Режиските трошоци се јавуваат, прво, поради зголемувањето на големината (додавање, „полнење“) на полето за податоци во шифрирани мрежни пакети (во зависност од алгоритмот за шифрирање и неговиот режим на работа). Второ, поради зголемувањето на должината на заглавијата на пакетите (тунелен режим, сервисно вметнување на протоколот за шифрирање, вметнување симулација итн. во зависност од протоколот и начинот на работа на шифрата и режимот на пренос) - обично овие општи трошоци се најзначајно, и тие прво обрнуваат внимание. Трето, поради фрагментација на пакетите кога е надмината максималната големина на податочната единица (MTU) (ако мрежата може да подели пакет што го надминува MTU на два, дуплирајќи ги неговите заглавија). Четврто, поради појавата на дополнителен сервисен (контролен) сообраќај на мрежата помеѓу уредите за шифрирање (за размена на клучеви, инсталација на тунел и сл.). Ниските трошоци се важни кога капацитетот на каналот е ограничен. Ова е особено очигледно во сообраќајот од мали пакети, на пример, глас - каде што режиските трошоци можат да „изедат“ повеќе од половина од брзината на каналот!

Производство

Конечно, има уште воведе задоцнување – разликата (во делови од секундата) во доцнењето на мрежата (времето што е потребно за податоците да поминат од влегување во мрежа до излегување од неа) помеѓу преносот на податоци без и со мрежно шифрирање. Општо земено, колку е помала латентноста („латентноста“) на мрежата, толку покритична станува латентноста воведена од уредите за шифрирање. Доцнењето го воведува самата операција за шифрирање (во зависност од алгоритмот за шифрирање, должината на блокот и начинот на работа на шифрата, како и од квалитетот на неговата имплементација во софтверот) и обработката на мрежниот пакет во уредот . Воведената латентност зависи и од режимот на обработка на пакети (преминување или складирање и проследување) и од перформансите на платформата (имплементацијата на хардверот на FPGA или ASIC е генерално побрза од имплементацијата на софтверот на процесорот). Шифрирањето L2 речиси секогаш има помала латентност од шифрирањето L3 или L4, поради фактот што уредите за шифрирање L3/L4 често се конвергирани. На пример, со брзи Ethernet енкриптори имплементирани на FPGA и шифрирање на L2, доцнењето поради операцијата за шифрирање е многу мало - понекогаш кога е овозможено шифрирање на пар уреди, вкупното доцнење воведено од нив дури се намалува! Ниската латентност е важна кога е споредлива со вкупните доцнења на каналот, вклучувајќи го и доцнењето на ширење, кое е приближно 5 μs на километар. Односно, можеме да кажеме дека за мрежи во урбани размери (десетици километри во ширина), микросекундите можат многу да одлучат. На пример, за синхрона репликација на базата на податоци, тргување со висока фреквенција, истиот блокчејн.

Воведено задоцнување

Приспособливост

Големите дистрибуирани мрежи може да вклучуваат многу илјадници јазли и мрежни уреди, стотици локални мрежни сегменти. Важно е решенијата за шифрирање да не наметнуваат дополнителни ограничувања за големината и топологијата на дистрибуираната мрежа. Ова првенствено се однесува на максималниот број на адреси на домаќинот и мрежата. Ваквите ограничувања може да се сретнат, на пример, кога се имплементира повеќеточка шифрирана мрежна топологија (со независни безбедни врски или тунели) или селективно шифрирање (на пример, со број на протокол или VLAN). Ако во овој случај мрежните адреси (MAC, IP, VLAN ID) се користат како клучеви во табела во која бројот на редови е ограничен, тогаш овие ограничувања се појавуваат овде.

Покрај тоа, големите мрежи често имаат неколку структурни слоеви, вклучувајќи ја и основната мрежа, од кои секоја имплементира своја шема за адреси и своја политика за рутирање. За да се имплементира овој пристап, често се користат специјални формати на рамки (како што се Q-in-Q или MAC-in-MAC) и протоколи за одредување маршрути. За да не се попречува изградбата на такви мрежи, уредите за шифрирање мора правилно да ракуваат со такви рамки (односно, во оваа смисла, приспособливоста ќе значи компатибилност - повеќе за тоа подолу).

Флексибилност

Овде зборуваме за поддршка на различни конфигурации, шеми за поврзување, топологии и други работи. На пример, за комутирани мрежи базирани на технологии на Carrier Ethernet, тоа значи поддршка за различни типови виртуелни врски (E-Line, E-LAN, E-Tree), различни типови на услуги (и по порта и VLAN) и различни транспортни технологии (тие веќе се наведени погоре). Односно, уредот мора да биде способен да работи и во линеарни („точка-до-точка“) и во режими на повеќе точки, да воспоставува посебни тунели за различни VLAN-и и да дозволува испорака на пакети без редослед во безбеден канал. Способноста за избор на различни режими на шифрирање (вклучувајќи со или без автентикација на содржината) и различни режими на пренос на пакети ви овозможува да постигнете рамнотежа помеѓу силата и перформансите во зависност од моменталните услови.

Исто така, важно е да се поддржат и приватните мрежи, чија опрема е во сопственост на една организација (или и е изнајмена), и мрежи на оператори, чии различни сегменти се управувани од различни компании. Добро е ако решението дозволува управување и внатрешно и од трето лице (со користење на модел на управувана услуга). Во мрежите на операторите, друга важна функција е поддршката за мулти-закуп (споделување од различни клиенти) во форма на криптографска изолација на поединечни клиенти (претплатници) чиј сообраќај поминува низ истиот сет на уреди за шифрирање. Ова обично бара употреба на посебни групи клучеви и сертификати за секој клиент.

Ако уредот е купен за одредено сценарио, тогаш сите овие функции можеби не се многу важни - само треба да бидете сигурни дека уредот го поддржува она што ви треба сега. Но, ако решението се купи „за раст“, ​​за да се поддржат и идните сценарија и се избере како „корпоративен стандард“, тогаш флексибилноста нема да биде излишна - особено земајќи ги предвид ограничувањата за интероперабилноста на уредите од различни продавачи ( повеќе за ова подолу).

Едноставност и практичност

Леснотијата на услугата е исто така мултифакторски концепт. Приближно, можеме да кажеме дека ова е вкупното време поминато од специјалисти со одредена квалификација потребно за поддршка на решение во различни фази од неговиот животен циклус. Ако нема трошоци, а инсталацијата, конфигурацијата и работата се целосно автоматски, тогаш трошоците се нула, а практичноста е апсолутна. Се разбира, ова не се случува во реалниот свет. Разумна апроксимација е модел „јазол на жица“ (bump-in-the-wire) или транспарентна врска, во која додавањето и оневозможувањето на уреди за шифрирање не бара никакви рачни или автоматски промени во мрежната конфигурација. Во исто време, одржувањето на решението е поедноставено: можете безбедно да ја вклучите и исклучите функцијата за шифрирање и доколку е потребно, едноставно да го „заобиколите“ уредот со мрежен кабел (т.е. директно да ги поврзете оние порти на мрежната опрема на кои беше поврзан). Точно, има еден недостаток - напаѓачот може да го стори истото. За да се имплементира принципот „јазол на жица“, неопходно е да се земе предвид не само сообраќајот слој на податоциНо контролни и управувачки слоеви – уредите мора да бидат транспарентни за нив. Затоа, таквиот сообраќај може да се шифрира само кога нема примачи на овие типови сообраќај во мрежата помеѓу уредите за шифрирање, бидејќи ако се отфрли или шифрира, тогаш кога ќе го овозможите или оневозможите шифрирањето, конфигурацијата на мрежата може да се промени. Уредот за шифрирање може да биде и транспарентен за сигнализацијата на физичкиот слој. Особено, кога сигналот е изгубен, тој мора да ја пренесе оваа загуба (т.е. да ги исклучи неговите предаватели) напред и назад („за себе“) во насока на сигналот.

Поддршката во поделбата на овластувањата помеѓу одделите за безбедност на информации и ИТ, особено мрежниот оддел, е исто така важна. Решението за шифрирање мора да го поддржува моделот за контрола на пристап и ревизија на организацијата. Треба да се минимизира потребата за интеракција помеѓу различни одделенија за извршување на рутински операции. Затоа, постои предност во однос на практичноста за специјализирани уреди кои исклучиво поддржуваат функции за шифрирање и се колку што е можно транспарентни за мрежните операции. Едноставно кажано, вработените во безбедноста на информациите не треба да имаат причина да контактираат со „мрежни специјалисти“ за да ги променат мрежните поставки. А тие, пак, не треба да имаат потреба да ги менуваат поставките за шифрирање при одржување на мрежата.

Друг фактор се можностите и практичноста на контролите. Тие треба да бидат визуелни, логични, да обезбедуваат увоз-извоз на поставки, автоматизација итн. Веднаш треба да обрнете внимание на достапните опции за управување (обично нивната сопствена средина за управување, веб-интерфејс и командна линија) и каков сет на функции има секоја од нив (има ограничувања). Важна функција е поддршката надвор од опсегот (надвор од опсегот) контрола, односно преку наменска контролна мрежа и во бендот (in-band) контрола, односно преку заедничка мрежа преку која се пренесува корисен сообраќај. Алатките за управување мора да ги сигнализираат сите ненормални ситуации, вклучително и инциденти со безбедноста на информациите. Рутинските, повторливи операции треба да се вршат автоматски. Ова првенствено се однесува на клучниот менаџмент. Тие треба да се генерираат/дистрибуираат автоматски. Поддршката за PKI е голем плус.

Компатибилност

Тоа е, компатибилноста на уредот со мрежните стандарди. Покрај тоа, ова значи не само индустриски стандарди усвоени од авторитетни организации како што е IEEE, туку и сопственички протоколи на индустриски лидери, како што е Cisco. Постојат два главни начини да се обезбеди компатибилност: или преку транспарентност, или преку експлицитна поддршка протоколи (кога уред за шифрирање станува еден од мрежните јазли за одреден протокол и го обработува контролниот сообраќај на овој протокол). Компатибилноста со мрежите зависи од комплетноста и исправноста на имплементацијата на контролните протоколи. Важно е да се поддржат различни опции за нивото PHY (брзина, медиум за пренос, шема за кодирање), етернет рамки со различни формати со било кој MTU, различни протоколи за услуги L3 (првенствено семејството TCP/IP).

Транспарентноста се обезбедува преку механизмите на мутација (привремено менување на содржината на отворените заглавија во сообраќајот помеѓу шифраторите), прескокнување (кога поединечните пакети остануваат нешифрирани) и вовлекување на почетокот на шифрирањето (кога вообичаено шифрираните полиња на пакети не се шифрирани).

Како се обезбедува транспарентност

Затоа, секогаш проверувајте како точно се обезбедува поддршка за одреден протокол. Честопати, поддршката во транспарентен режим е поудобна и посигурна.

Интероперабилност

Ова е, исто така, компатибилност, но во поинаква смисла, имено способноста да се работи заедно со други модели на уреди за шифрирање, вклучувајќи ги и оние од други производители. Многу зависи од состојбата на стандардизација на протоколите за шифрирање. Едноставно нема општо прифатени стандарди за шифрирање на L1.

Постои стандард 2ae (MACsec) за шифрирање L802.1 на етернет мрежите, но тој не користи од крај до крај (од крај до крај), и интерпорт, шифрирање „хоп-по-хоп“ и во неговата оригинална верзија е несоодветна за употреба во дистрибуирани мрежи, па се појавија нејзини сопственички екстензии кои го надминуваат ова ограничување (се разбира, поради интероперабилноста со опрема од други производители). Точно, во 2018 година, поддршката за дистрибуирани мрежи беше додадена на стандардот 802.1ae, но сè уште нема поддршка за множества на алгоритми за шифрирање ГОСТ. Затоа, комерцијалните, нестандардни протоколи за шифрирање L2, по правило, се одликуваат со поголема ефикасност (особено, понизок пропусен опсег над глава) и флексибилност (можност за промена на алгоритми и режими за шифрирање).

На повисоките нивоа (L3 и L4) постојат признати стандарди, првенствено IPsec и TLS, но и овде не е толку едноставно. Факт е дека секој од овие стандарди е збир на протоколи, секој со различни верзии и екстензии потребни или опционални за имплементација. Покрај тоа, некои производители претпочитаат да ги користат нивните сопственички протоколи за шифрирање на L3/L4. Затоа, во повеќето случаи не треба да сметате на целосна интероперабилност, но важно е барем да се обезбеди интеракција помеѓу различни модели и различни генерации на истиот производител.

Сигурност

За да споредите различни решенија, можете да користите или средно време помеѓу неуспесите или фактор на достапност. Доколку овие бројки не се достапни (или нема доверба во нив), тогаш може да се направи квалитативна споредба. Уредите со практично управување ќе имаат предност (помал ризик од конфигурациски грешки), специјализирани енкриптори (од истата причина), како и решенија со минимално време за откривање и елиминирање на дефект, вклучувајќи средства за „жешка“ резервна копија на цели јазли и уреди.

Цена

Кога станува збор за трошоците, како и за повеќето ИТ решенија, има смисла да се споредат вкупните трошоци за сопственост. За да го пресметате, не треба повторно да го измислите тркалото, туку користете која било соодветна методологија (на пример, од Гартнер) и кој било калкулатор (на пример, оној што веќе се користи во организацијата за пресметување на TCO). Јасно е дека за решение за шифрирање на мрежа, вкупниот трошок за сопственост се состои од директно трошоци за купување или изнајмување на самото решение, инфраструктура за опрема за хостирање и трошоци за распоредување, администрација и одржување (без разлика дали во куќата или во форма на услуги од трета страна), како и индиректно трошоци од прекин на решението (предизвикани од губење на продуктивноста на крајниот корисник). Веројатно постои само една суптилност. Влијанието на решението на перформансите може да се смета на различни начини: или како индиректни трошоци предизвикани од изгубената продуктивност, или како „виртуелни“ директни трошоци за купување/надградба и одржување на мрежните алатки кои ја компензираат загубата на мрежните перформанси поради употребата на шифрирање. Во секој случај, трошоците што е тешко да се пресметаат со доволна точност најдобро е да се изостават од пресметката: на овој начин ќе има поголема доверба во конечната вредност. И, како и обично, во секој случај, има смисла да се споредуваат различни уреди по TCO за специфично сценарио на нивна употреба - реално или типично.

Упорност

И последната карактеристика е упорноста на решението. Во повеќето случаи, издржливоста може да се процени само квалитативно со споредување на различни решенија. Мораме да запомниме дека уредите за шифрирање не се само средство, туку и предмет на заштита. Тие можат да бидат изложени на различни закани. Во првите редови се заканите за нарушување на доверливоста, репродукција и модификација на пораките. Овие закани може да се реализираат преку ранливости на шифрата или неговите индивидуални режими, преку ранливости во протоколите за шифрирање (вклучително и во фазите на воспоставување врска и генерирање/дистрибуирање клучеви). Предноста ќе биде за решенија кои овозможуваат промена на алгоритмот за шифрирање или префрлување на режимот на шифрирање (барем преку ажурирање на фирмверот), решенија кои обезбедуваат најцелосна шифрирање, криејќи од напаѓачот не само кориснички податоци, туку и информации за адресата и другите услуги. , како и технички решенија кои не само што шифрираат, туку и ги штитат пораките од репродукција и модификација. За сите модерни алгоритми за шифрирање, електронски потписи, генерирање клучеви итн., кои се вградени во стандардите, може да се претпостави дека јачината е иста (во спротивно можете едноставно да се изгубите во дивината на криптографијата). Дали овие нужно треба да бидат ГОСТ алгоритми? Сè е едноставно овде: ако сценариото за апликација бара FSB сертификација за CIPF (а во Русија тоа е најчесто случај; за повеќето сценарија за шифрирање на мрежа ова е точно), тогаш избираме само помеѓу сертифицираните. Ако не, тогаш нема смисла да се исклучат уредите без сертификати од разгледување.

Друга закана е заканата од хакирање, неовластен пристап до уредите (вклучително и преку физички пристап надвор и внатре во куќиштето). Заканата може да се изврши преку
пропусти во имплементацијата - во хардвер и код. Затоа, решенијата со минимална „површина за напад“ преку мрежата, со куќишта заштитени од физички пристап (со сензори за упад, заштита од сондирање и автоматско ресетирање на клучните информации кога ќе се отвори куќиштето), како и оние што овозможуваат ажурирање на фирмверот ќе имаат предност во случај да стане позната ранливоста во кодот. Постои и друг начин: ако сите уреди што се споредуваат имаат FSB сертификати, тогаш класата CIPF за која е издаден сертификатот може да се смета за индикатор за отпорност на хакирање.

Конечно, друг вид закана се грешките за време на поставувањето и работењето, човечкиот фактор во својата најчиста форма. Ова покажува уште една предност на специјализираните енкриптори во однос на конвергираните решенија, кои често се насочени кон искусни „мрежни специјалисти“ и може да предизвикаат потешкотии за „обичните“, специјалисти за општа безбедност на информациите.

Сумирајќи

Во принцип, тука би било можно да се предложи некој вид интегрален индикатор за споредување на различни уреди, нешто како

$$display$$K_j=∑p_i r_{ij}$$display$$

каде што p е тежината на индикаторот, а r е ранг на уредот според овој индикатор и која било од карактеристиките наведени погоре може да се подели на „атомски“ индикатори. Таквата формула може да биде корисна, на пример, кога се споредуваат тендерските предлози според однапред договорени правила. Но, можете да поминете со едноставна маса како

Карактеризација
Уред 1
Уред 2
...
Уредот Н

Производство
+
+

+++

Режиски трошоци
+
++

+++

Доцнењето
+
+

++

Приспособливост
+++
+

+++

Флексибилност
+++
++

+

Интероперабилност
++
+

+

Компатибилност
++
++

+++

Едноставност и практичност
+
+

++

толеранција на грешки
+++
+++

++

Цена
++
+++

+

Упорност
++
++

+++

Со задоволство ќе одговорам на прашања и на конструктивна критика.

Извор: www.habr.com