Како проценити и упоредити уређаје за етернет шифровање

Написао сам ову рецензију (или, ако желите, водич за поређење) када сам имао задатак да упоредим неколико уређаја различитих произвођача. Поред тога, ови уређаји су припадали различитим класама. Морао сам да разумем архитектуру и карактеристике свих ових уређаја и да направим „координатни систем“ за поређење. Биће ми драго ако моја рецензија некоме помогне:

• Разумети описе и спецификације уређаја за шифровање
• Разликујте „папирне“ карактеристике од оних које су заиста важне у стварном животу
• Идите даље од уобичајеног скупа добављача и укључите у разматрање све производе који су погодни за решавање проблема
• Постављајте права питања током преговора
• Саставите услове тендера (РФП)
• Схватите које карактеристике ће морати да се жртвују ако се изабере одређени модел уређаја

Шта се може проценити

У принципу, приступ је применљив на све самосталне уређаје погодне за шифровање мрежног саобраћаја између удаљених Етхернет сегмената (цросс-сите енкрипција). Односно, „кутије“ у посебном случају (у реду, овде ћемо такође укључити блејдове/модуле за шасију), који су повезани преко једног или више Етхернет портова на локалну (кампус) Етернет мрежу са нешифрованим саобраћајем, и преко други порт(ови) до канала/мреже преко којих се већ шифровани саобраћај преноси на друге, удаљене сегменте. Овакво решење за шифровање се може применити у приватној или оператерској мрежи кроз различите врсте „транспорта“ (тамно влакно, опрема за поделу фреквенција, комутирани етернет, као и „псеудожице“ постављене кроз мрежу са различитом архитектуром рутирања, најчешће МПЛС ), са или без ВПН технологије.

Мрежно шифровање у дистрибуираној Етхернет мрежи

Сами уређаји могу бити или specijalizovana (намењен искључиво за шифровање) или мултифункционални (хибрид, конвергентан), односно обављање других функција (на пример, заштитни зид или рутер). Различити произвођачи класификују своје уређаје у различите класе/категорије, али то није битно – важно је само да ли могу да шифрују саобраћај на различитим локацијама и које карактеристике имају.

За сваки случај, подсећам да су „мрежна енкрипција“, „шифровање саобраћаја“, „шифровање“ неформални термини, иако се често користе. Највероватније их нећете наћи у руским прописима (укључујући оне који уводе ГОСТ).

Нивои шифровања и начини преноса

Пре него што почнемо да описујемо саме карактеристике које ће се користити за евалуацију, прво ћемо морати да разумемо једну важну ствар, наиме „ниво шифровања“. Приметио сам да се често помиње иу званичним документима добављача (у описима, приручницима, итд.) и у неформалним дискусијама (на преговорима, обукама). Односно, изгледа да сви добро знају о чему говоримо, али сам лично био сведок неке забуне.

Дакле, шта је „ниво шифровања“? Јасно је да је реч о броју слоја референтног мрежног модела ОСИ/ИСО на коме се дешава шифровање. Читамо ГОСТ Р ИСО 7498-2–99 „Информациона технологија. Међусобно повезивање отворених система. Основни референтни модел. Део 2. Архитектура информационе безбедности.” Из овог документа се може разумети да је ниво услуге поверљивости (један од механизама за обезбеђивање које је шифровање) ниво протокола, чији је блок података услуге („корисно оптерећење“, кориснички подаци) шифрован. Како пише и у стандарду, услуга се може пружати и на истом нивоу, „самостално“, и уз помоћ нижег нивоа (овако се, на пример, најчешће имплементира у МАЦсец-у) .

У пракси су могућа два начина преноса шифрованих информација преко мреже (ИПсец одмах пада на памет, али исти начини се налазе и у другим протоколима). ИН транспорт (понекад се назива и изворни) режим је само шифрован услуга блок података, а заглавља остају „отворена“, нешифрована (понекад се додају додатна поља са сервисним информацијама алгоритма за шифровање, а друга поља се модификују и поново израчунавају). ИН тунел исти режим сви протокола блок података (односно сам пакет) је шифрован и инкапсулиран у сервисни блок података истог или вишег нивоа, односно окружен је новим заглављима.

Сам ниво енкрипције у комбинацији са неким начином преноса није ни добар ни лош, па се не може рећи, на пример, да је Л3 у транспортном режиму бољи од Л2 у тунелском режиму. Једноставно, многе карактеристике по којима се уређаји процењују зависе од њих. На пример, флексибилност и компатибилност. Да бисте радили у мрежи Л1 (пренос битова), Л2 (промена оквира) и Л3 (рутирање пакета) у транспортном режиму, потребна су вам решења која шифрују на истом или вишем нивоу (у супротном ће информације о адреси бити шифроване и подаци ће не стигне на своје одредиште), а тунелски режим превазилази ово ограничење (иако жртвује друге важне карактеристике).

Транспортни и тунелски Л2 режими шифровања

Сада пређимо на анализу карактеристика.

Перформансе

За мрежно шифровање, перформансе су сложен, вишедимензионални концепт. Дешава се да је одређени модел, иако је супериоран у једној особини перформанси, инфериоран у другој. Због тога је увек корисно размотрити све компоненте перформанси шифровања и њихов утицај на перформансе мреже и апликација које је користе. Овде можемо повући аналогију са аутомобилом, за који није важна само максимална брзина, већ и време убрзања до „стотине“, потрошња горива и тако даље. Компаније добављача и њихови потенцијални купци посвећују велику пажњу карактеристикама перформанси. По правилу, уређаји за шифровање се рангирају на основу перформанси у линијама добављача.

Јасно је да перформансе зависе како од сложености умрежавања и криптографских операција које се обављају на уређају (укључујући колико добро ови задаци могу бити паралелизовани и цевоводовани), тако и од перформанси хардвера и квалитета фирмвера. Због тога старији модели користе продуктивнији хардвер, понекад га је могуће опремити додатним процесорима и меморијским модулима. Постоји неколико приступа имплементацији криптографских функција: на централној процесорској јединици опште намене (ЦПУ), специфичном интегрисаном колу (АСИЦ) или логичком интегрисаном колу које се може програмирати на терену (ФПГА). Сваки приступ има своје предности и недостатке. На пример, ЦПУ може постати уско грло код шифровања, посебно ако процесор нема специјализована упутства која подржавају алгоритам шифровања (или ако се не користе). Специјализованим чиповима недостаје флексибилност; није увек могуће да их „префлашујете” да бисте побољшали перформансе, додали нове функције или елиминисали рањивости. Поред тога, њихова употреба постаје профитабилна само са великим обима производње. Због тога је „златна средина“ постала толико популарна - употреба ФПГА (ФПГА на руском). Управо на ФПГА се праве такозвани крипто акцелератори – уграђени или плуг-ин специјализовани хардверски модули за подршку криптографским операцијама.

Пошто говоримо о мреже енкрипције, логично је да се перформансе решења мере у истим количинама као и код осталих мрежних уређаја – пропусност, проценат губитка оквира и латенција. Ове вредности су дефинисане у РФЦ 1242. Узгред, ништа не пише о често помињаној варијацији кашњења (јиттеру) у овом РФЦ-у. Како измерити ове количине? Нисам пронашао методологију одобрену ни у једном стандарду (званичном или незваничном као што је РФЦ) посебно за мрежно шифровање. Било би логично користити методологију за мрежне уређаје садржану у стандарду РФЦ 2544. Многи произвођачи је прате – многи, али не сви. На пример, они шаљу пробни саобраћај само у једном правцу уместо у оба, нпр preporučeno стандардне. У сваком случају.

Мерење перформанси уређаја за шифровање мреже и даље има своје карактеристике. Прво, исправно је извршити сва мерења за пар уређаја: иако су алгоритми шифровања симетрични, кашњења и губици пакета током шифровања и дешифровања неће нужно бити једнаки. Друго, има смисла мерити делта, утицај мрежног шифровања на коначне перформансе мреже, упоређујући две конфигурације: без уређаја за шифровање и са њима. Или, као што је случај са хибридним уређајима, који поред мрежног шифровања комбинују неколико функција, са искљученим и укљученим шифровањем. Овај утицај може бити различит и зависи од шеме повезивања уређаја за шифровање, од режима рада и коначно, од природе саобраћаја. Конкретно, многи параметри перформанси зависе од дужине пакета, због чега се, за упоређивање перформанси различитих решења, често користе графикони ових параметара у зависности од дужине пакета, или се користи ИМИКС – дистрибуција саобраћаја по пакету. дужине, што приближно одражава стварну. Ако упоредимо исту основну конфигурацију без шифровања, можемо да упоредимо решења за мрежно шифровање која су имплементирана другачије, а да не улазимо у ове разлике: Л2 са Л3, складиштење и прослеђивање) са пресеком, специјализовано са конвергентним, ГОСТ са АЕС-ом и тако даље.

Дијаграм повезивања за тестирање перформанси

Прва карактеристика на коју људи обраћају пажњу је „брзина“ уређаја за шифровање, тј проток (пропусни опсег) његових мрежних интерфејса, брзина протока битова. Одређује се мрежним стандардима које подржавају интерфејси. За Етхернет, уобичајени бројеви су 1 Гбпс и 10 Гбпс. Али, као што знамо, у било којој мрежи максимум теоретске пропусност (пропусност) на сваком од његових нивоа увек постоји мањи пропусни опсег: део пропусног опсега „поједу“ интерфраме интервали, заглавља услуга и тако даље. Ако је уређај способан да прима, обрађује (у нашем случају, шифрује или дешифрује) и преноси саобраћај пуном брзином мрежног интерфејса, односно са максималном теоријском пропусношћу за овај ниво мрежног модела, онда се каже да се ради линијском брзином. Да бисте то урадили, неопходно је да уређај не губи или не одбацује пакете било које величине и на било којој фреквенцији. Ако уређај за шифровање не подржава рад при брзини линије, онда је његова максимална пропусност обично наведена у истим гигабитима у секунди (понекад означавајући дужину пакета – што су пакети краћи, то је обично нижа пропусност). Веома је важно схватити да је максимална пропусност максимална нема губитка (чак и ако уређај може да „пумпа” саобраћај кроз себе већом брзином, али истовремено губи неке пакете). Такође, имајте на уму да неки добављачи мере укупну пропусност између свих парова портова, тако да ови бројеви не значе много ако сав шифровани саобраћај иде кроз један порт.

Где је посебно важно радити брзином линије (или, другим речима, без губитка пакета)? У везама са великим пропусним опсегом и великим кашњењем (као што је сателит), где се мора подесити велика величина ТЦП прозора да би се одржале велике брзине преноса и где губитак пакета драматично смањује перформансе мреже.

Али не користи се сав пропусни опсег за пренос корисних података. Морамо рачунати са тзв режијски трошкови (оверхеад) пропусни опсег. Ово је део протока уређаја за шифровање (као проценат или бајтова по пакету) који се заправо троши (не може се користити за пренос података апликације). Режијски трошкови настају, пре свега, услед повећања величине (додавања, „пуњења“) поља података у шифрованим мрежним пакетима (у зависности од алгоритма шифровања и његовог начина рада). Друго, због повећања дужине заглавља пакета (режим тунела, уметање услуге протокола за шифровање, уметање симулације, итд. у зависности од протокола и начина рада шифре и режима преноса) – обично су ови општи трошкови најзначајнији, а они прво обраћају пажњу. Треће, због фрагментације пакета када је максимална величина јединице података (МТУ) премашена (ако је мрежа у стању да подели пакет који премашује МТУ на два, дуплирајући његова заглавља). Четврто, због појаве додатног сервисног (контролног) саобраћаја на мрежи између уређаја за шифровање (за размену кључева, инсталацију тунела и сл.). Ниски трошкови су важни тамо где је капацитет канала ограничен. Ово је посебно евидентно у саобраћају из малих пакета, на пример, говорног – где режијски трошкови могу „појести“ више од половине брзине канала!

Пропусност

Konačno, ima još уведено одлагање – разлика (у делићима секунде) у мрежном кашњењу (време које је потребно да подаци прођу од уласка у мрежу до изласка из ње) између преноса података без и са мрежним шифровањем. Уопштено говорећи, што је мања латенција („латенција“) мреже, то је критичније кашњење које уводе уређаји за шифровање. Кашњење се уноси самом операцијом шифровања (у зависности од алгоритма шифровања, дужине блока и начина рада шифре, као и од квалитета његове имплементације у софтверу), и обрадом мрежног пакета у уређају. . Уведено кашњење зависи и од режима обраде пакета (пролаз или складиштење и прослеђивање) и од перформанси платформе (хардверска имплементација на ФПГА или АСИЦ-у је генерално бржа од софтверске имплементације на ЦПУ). Л2 енкрипција скоро увек има мање кашњење од Л3 или Л4 енкрипције, због чињенице да су Л3/Л4 уређаји за шифровање често конвергирани. На пример, са брзим Етернет енкрипторима имплементираним на ФПГА и шифровањем на Л2, кашњење због операције шифровања је потпуно мало - понекад када је шифровање омогућено на пар уређаја, укупно кашњење које они уводе чак се смањује! Мала латенција је важна тамо где је упоредива са укупним кашњењима канала, укључујући кашњење пропагације, које је приближно 5 μс по километру. Односно, можемо рећи да за мреже урбаних размера (пречника десетина километара) микросекунде могу много одлучити. На пример, за синхрону репликацију базе података, високофреквентно трговање, исти блок ланац.

Уведено кашњење

Прилагодљивост

Велике дистрибуиране мреже могу укључивати много хиљада чворова и мрежних уређаја, стотине сегмената локалне мреже. Важно је да решења за шифровање не намећу додатна ограничења на величину и топологију дистрибуиране мреже. Ово се првенствено односи на максималан број хост и мрежних адреса. Таква ограничења се могу наићи, на пример, када се имплементира мултитачка шифрована мрежна топологија (са независним безбедним везама или тунелима) или селективно шифровање (на пример, према броју протокола или ВЛАН). Ако се у овом случају мрежне адресе (МАЦ, ИП, ВЛАН ИД) користе као кључеви у табели у којој је број редова ограничен, онда се ова ограничења појављују овде.

Поред тога, велике мреже често имају неколико структурних слојева, укључујући основну мрежу, од којих сваки имплементира сопствену шему адресирања и сопствену политику рутирања. За имплементацију овог приступа често се користе специјални формати оквира (као што су К-ин-К или МАЦ-ин-МАЦ) и протоколи за одређивање руте. Да не би ометали изградњу таквих мрежа, уређаји за шифровање морају правилно да рукују таквим оквирима (то јест, у том смислу, скалабилност ће значити компатибилност – више о томе у наставку).

Флексибилност

Овде говоримо о подршци разним конфигурацијама, шемама повезивања, топологијама и другим стварима. На пример, за комутиране мреже засноване на Царриер Етхернет технологијама, то значи подршку за различите типове виртуелних веза (Е-Лине, Е-ЛАН, Е-Трее), различите врсте услуга (и по порту и ВЛАН) и различите технологије транспорта (већ су горе наведени). Односно, уређај мора бити у стању да ради и у линеарном („од тачке до тачке“) иу вишеструком режиму, успостави одвојене тунеле за различите ВЛАН-ове и дозволи испоруку пакета ван реда у оквиру безбедног канала. Могућност избора различитих режима шифрирања (укључујући са или без аутентификације садржаја) и различитих режима преноса пакета омогућава вам да успоставите равнотежу између снаге и перформанси у зависности од тренутних услова.

Такође је важно подржати како приватне мреже, чија је опрема у власништву једне организације (или јој је изнајмљена), тако и мреже оператера, чијим различитим сегментима управљају различите компаније. Добро је ако решење омогућава управљање и интерно и од стране треће стране (користећи модел управљаних услуга). У мрежама оператера, друга важна функција је подршка за више закупа (дељење од стране различитих корисника) у виду криптографске изолације појединачних корисника (претплатника) чији саобраћај пролази кроз исти скуп уређаја за шифровање. Ово обично захтева употребу засебних сетова кључева и сертификата за сваког купца.

Ако је уређај купљен за одређени сценарио, онда све ове функције можда нису од велике важности - само треба да се уверите да уређај подржава оно што вам је сада потребно. Али ако се решење купи „за раст“, ​​да подржи и будуће сценарије, и буде изабрано као „корпоративни стандард“, онда флексибилност неће бити сувишна – посебно узимајући у обзир ограничења интероперабилности уређаја различитих произвођача ( више о томе у наставку).

Једноставност и погодност

Лакоћа услуге је такође мултифакторски концепт. Отприлике, можемо рећи да је ово укупно време које потроше стручњаци одређене квалификације потребно да подрже решење у различитим фазама његовог животног циклуса. Ако нема трошкова, а инсталација, конфигурација и рад су потпуно аутоматски, онда су трошкови нула, а погодност је апсолутна. Наравно, то се не дешава у стварном свету. Разумна апроксимација је модел "чвор на жици" (бумп-ин-тхе-вире), или транспарентна веза, у којој додавање и онемогућавање уређаја за шифровање не захтева никакве ручне или аутоматске промене у конфигурацији мреже. Истовремено, одржавање решења је поједностављено: можете безбедно укључити и искључити функцију шифровања, а ако је потребно, једноставно „заобићи“ уређај помоћу мрежног кабла (односно, директно повезати оне портове мрежне опреме на које било је повезано). Истина, постоји један недостатак - нападач може учинити исто. За имплементацију принципа „чвор на жици“, потребно је узети у обзир не само саобраћај слој податакаАли контролни и управљачки слојеви – уређаји морају бити транспарентни за њих. Дакле, такав саобраћај се може шифровати само када нема прималаца ових врста саобраћаја у мрежи између уређаја за шифровање, јер ако се одбаци или шифрује, онда када омогућите или онемогућите шифровање, конфигурација мреже може да се промени. Уређај за шифровање такође може бити транспарентан за сигнализацију физичког слоја. Конкретно, када се сигнал изгуби, он мора пренети овај губитак (то јест, искључити своје предајнике) напред и назад („за себе“) у правцу сигнала.

Подршка у подели надлежности између одељења за безбедност информација и ИТ, посебно одељења за мреже, такође је важна. Решење за шифровање мора да подржава модел контроле приступа и ревизије организације. Потреба за интеракцијом између различитих одељења за обављање рутинских операција треба да буде минимизирана. Због тога постоји предност у смислу погодности за специјализоване уређаје који подржавају искључиво функције шифровања и који су што је могуће транспарентнији за мрежне операције. Једноставно речено, запослени у области безбедности информација не би требало да имају разлога да контактирају „стручњаке за мрежу“ да би променили мрежна подешавања. А они, заузврат, не би требало да имају потребу да мењају подешавања шифровања приликом одржавања мреже.

Други фактор су могућности и погодност контрола. Они треба да буду визуелни, логични, да обезбеде увоз-извоз подешавања, аутоматизацију и тако даље. Одмах треба да обратите пажњу на то које опције управљања су доступне (обично њихово сопствено окружење за управљање, веб интерфејс и командна линија) и који скуп функција свака од њих има (постоје ограничења). Важна функција је подршка из бенда (ванпојасни) управљање, односно преко наменске контролне мреже, и ин-банд (ин-банд) контрола, односно преко заједничке мреже преко које се преноси користан саобраћај. Алати за управљање морају сигнализирати све абнормалне ситуације, укључујући инциденте у вези са безбедношћу информација. Рутинске операције које се понављају треба да се изводе аутоматски. Ово се првенствено односи на управљање кључевима. Требало би да се генеришу/дистрибуишу аутоматски. Подршка за ПКИ је велики плус.

Компатибилност

То јест, компатибилност уређаја са мрежним стандардима. Штавише, то не значи само индустријске стандарде које су усвојиле ауторитативне организације као што је ИЕЕЕ, већ и власничке протоколе лидера у индустрији, као што је Цисцо. Постоје два главна начина да се обезбеди компатибилност: било кроз транспарентност, или кроз експлицитна подршка протоколи (када уређај за шифровање постаје један од мрежних чворова за одређени протокол и обрађује контролни саобраћај овог протокола). Компатибилност са мрежама зависи од комплетности и исправности имплементације контролних протокола. Важно је подржати различите опције за ПХИ ниво (брзина, преносни медијум, шема кодирања), Етхернет оквире различитих формата са било којим МТУ, различите Л3 сервисне протоколе (првенствено ТЦП/ИП фамилија).

Транспарентност се обезбеђује кроз механизме мутације (привремено мењање садржаја отворених заглавља у саобраћају између енкриптора), прескакања (када појединачни пакети остају нешифровани) и увлачења почетка енкрипције (када нормално шифрована поља пакета нису шифрована).

Како се обезбеђује транспарентност

Зато увек проверите тачно како је обезбеђена подршка за одређени протокол. Често је подршка у транспарентном режиму практичнија и поузданија.

Компатибилност

Ово је такође компатибилност, али у другачијем смислу, односно могућност заједничког рада са другим моделима уређаја за шифровање, укључујући и оне других произвођача. Много зависи од стања стандардизације протокола за шифровање. Једноставно не постоје општеприхваћени стандарди шифровања на Л1.

Постоји 2ае (МАЦсец) стандард за Л802.1 енкрипцију на Етхернет мрежама, али он не користи пресецање (од краја до краја), и интерпорт, “хоп-би-хоп” енкрипција, иу својој оригиналној верзији није погодна за употребу у дистрибуираним мрежама, па су се појавила њена власничка проширења која превазилазе ово ограничење (наравно, због интероперабилности са опремом других произвођача). Истина, 2018. је додата подршка за дистрибуиране мреже стандарду 802.1ае, али још увек нема подршке за скупове алгоритама за шифровање ГОСТ. Због тога се власнички, нестандардни Л2 протоколи за шифровање, по правилу, одликују већом ефикасношћу (нарочито мањим оптерећењем пропусног опсега) и флексибилношћу (могућношћу промене алгоритама и режима шифровања).

На вишим нивоима (Л3 и Л4) постоје признати стандарди, пре свега ИПсец и ТЛС, али ни овде то није тако једноставно. Чињеница је да је сваки од ових стандарда скуп протокола, сваки са различитим верзијама и проширењима потребним или опционим за имплементацију. Поред тога, неки произвођачи више воле да користе своје власничке протоколе за шифровање на Л3/Л4. Стога, у већини случајева не треба рачунати на потпуну интероперабилност, али је важно да се обезбеди бар интеракција између различитих модела и различитих генерација истог произвођача.

Поузданост

Да бисте упоредили различита решења, можете користити или средње време између кварова или фактор доступности. Ако ови бројеви нису доступни (или нема поверења у њих), онда се може направити квалитативно поређење. Предности ће имати уређаји са практичним управљањем (мањи ризик од грешака у конфигурацији), специјализовани енкриптори (из истог разлога), као и решења са минималним временом за откривање и отклањање квара, укључујући средства за „вруће“ резервне копије читавих чворова и уређаја.

Коштати

Када је реч о трошковима, као и код већине ИТ решења, има смисла упоредити укупне трошкове власништва. Да бисте га израчунали, не морате поново да измишљате точак, већ користите било коју одговарајућу методологију (на пример, од Гартнера) и било који калкулатор (на пример, онај који се већ користи у организацији за израчунавање ТЦО). Јасно је да се за решење за шифровање мреже укупан трошак власништва састоји од директан трошкове куповине или изнајмљивања самог решења, инфраструктуру за опрему за хостовање и трошкове постављања, администрације и одржавања (било да је у компанији или у облику услуга треће стране), као и од индиректан трошкови због застоја решења (узрокованих губитком продуктивности крајњег корисника). Вероватно постоји само једна суптилност. Утицај решења на перформансе може се посматрати на различите начине: или као индиректни трошкови узроковани губитком продуктивности, или као „виртуелни“ директни трошкови куповине/надоградње и одржавања мрежних алата који компензују губитак мрежних перформанси услед коришћења енкрипција. У сваком случају, трошкове које је тешко израчунати са довољном тачношћу најбоље је изоставити из обрачуна: на тај начин ће бити више поверења у коначну вредност. И, као и обично, у сваком случају, има смисла упоређивати различите уређаје по ТЦО-у за одређени сценарио њихове употребе - стварне или типичне.

Трајност

И последња карактеристика је постојаност решења. У већини случајева, трајност се може проценити само квалитативно упоређивањем различитих решења. Морамо запамтити да уређаји за шифровање нису само средство, већ и објект заштите. Могу бити изложени разним претњама. У првом плану су претње кршењем поверљивости, репродукције и модификације порука. Ове претње се могу реализовати кроз рањивости шифре или њених појединачних начина, кроз рањивости у протоколима шифровања (укључујући и у фазама успостављања везе и генерисања/дистрибуције кључева). Предност ће бити за решења која омогућавају промену алгоритма шифровања или пребацивање режима шифровања (барем путем ажурирања фирмвера), решења која обезбеђују најпотпунију енкрипцију, скривајући од нападача не само корисничке податке, већ и адресу и друге сервисне информације , као и техничка решења која не само да шифрују, већ и штите поруке од репродукције и модификације. За све модерне алгоритме за шифровање, електронске потписе, генерисање кључева итд., који су садржани у стандардима, може се претпоставити да је снага иста (у супротном можете једноставно да се изгубите у дивљини криптографије). Да ли ово морају бити ГОСТ алгоритми? Овде је све једноставно: ако сценарио апликације захтева ФСБ сертификацију за ЦИПФ (а у Русији је то најчешће случај; за већину сценарија мрежног шифровања то је тачно), онда бирамо само између сертификованих. Ако не, онда нема смисла искључити уређаје без сертификата из разматрања.

Још једна претња је претња хаковања, неовлашћеног приступа уређајима (укључујући физички приступ ван и унутар кућишта). Претња се може спровести кроз
рањивости у имплементацији - у хардверу и коду. Дакле, решења са минималном „нападном површином“ преко мреже, са кућиштима заштићеним од физичког приступа (са сензорима од упада, заштитом од сонде и аутоматским ресетовањем кључних информација када се кућиште отвори), као и она која омогућавају ажурирање фирмвера имаће предност у случају да рањивост у коду постане позната. Постоји још један начин: ако сви уређаји који се пореде имају ФСБ сертификате, онда се класа ЦИПФ за коју је сертификат издат може сматрати показатељем отпорности на хаковање.

Коначно, друга врста претње су грешке током подешавања и рада, људски фактор у свом најчистијем облику. Ово показује још једну предност специјализованих енкриптора у односу на конвергентна решења, која су често усмерена на искусне „стручњаке за мрежу“ и могу изазвати потешкоће „обичним“, општим стручњацима за безбедност информација.

Сумирање

У принципу, овде би било могуће предложити неку врсту интегралног индикатора за поређење различитих уређаја, нешто слично

$$дисплаи$$К_ј=∑п_и р_{иј}$$дисплаи$$

где је п тежина индикатора, а р ранг уређаја према овом индикатору, а било која од горе наведених карактеристика може се поделити на „атомске“ индикаторе. Таква формула би могла бити корисна, на пример, када се упореде тендерски предлози према унапред договореним правилима. Али можете проћи са једноставним столом као што је

Карактеризација
Уређај 1
Уређај 2
...
Уређај Н

Пропусност
+
+

+ + +

Режије
+
++

+ + +

Кашњење
+
+

++

Прилагодљивост
+ + +
+

+ + +

Флексибилност
+ + +
++

+

Компатибилност
++
+

+

Компатибилност
++
++

+ + +

Једноставност и погодност
+
+

++

толеранција грешака
+ + +
+ + +

++

Коштати
++
+ + +

+

Трајност
++
++

+ + +

Радо ћу одговорити на питања и конструктивне критике.

Извор: ввв.хабр.цом