保护与MACsec高速网络流量

达纳·诺和杰瑞·洛托

有一个不断增长的带宽需求,由一个指数级增长数量的设备连接到云,拓宽各种传感器、应用程序和服务,导致爆炸的数据流量。这反过来,驱动高带宽的扩散接口,如以太网作为PCIe / CXL和DDR维持更快的数据移动和增加处理和存储能力。连接的端到端数据安全生态系统比以往任何时候都更为重要,包括当数据是在休息和运动时,都是设备和云计算之间的沟通,处理或存储在一个设备。

Ethernet-connected设备,如电脑、服务器、集线器、路由器、,在各个方向扩展,包括高性能计算,5克,移动和汽车市场,所有需要安全。安全在互联网上或其他任何以太网网络取决于加密。使用加密越多,越难对于攻击者窃取数据,窃听通信、系统和/或妥协。

为什么对以太网通信进行加密

有很多原因对以太网通信进行加密。合规是最常见的一种,可能包括一个或多个标准治疗敏感或个人身份数据。这些标准中定义的例子,1996年的健康保险携带和责任法案(HIPAA)在美国或欧洲类似的通用数据保护监管(GDPR)。机构获得和使用数据对儿童家庭教育权利和隐私法案》中定义的规则(FERPA)也适用。未能符合适用的标准可能会导致重大的处罚,即使不发生数据泄露。

数据盗窃不仅是监管内容的领域——任何研究,知识产权、专有数据或代码是一个潜在的目标,盗窃或恶意修改。入侵检测和预防首先确保隐私交换帐户凭据和敏感或有价值的数据。源验证和认证服务是一个关键要素的基础设施,并不是所有违反发生以外的组织,和维权数据管理主要取决于安全(私人和可靠的)身份验证。

MACsec是什么?

交通安全的主要安全标准以太网介质访问控制安全(MACsec)。MACsec Ethernet-connected设备之间提供数据安全运动和保护网络通信对DoS攻击,窃听,中间人攻击。

MACsec是一个既定的协议基于AES-GCM加密保护数据链路层(通信开始)通过提供机密性、数据完整性、数据来源的真实性和重放保护。

OSI堆栈安全协议和MACsec适合的地方

安全在互联网上或其他任何以太网网络取决于加密通信的隐私和完整性和认证使用共享认证密钥。有几种不同的方法来加密以太网流量,他们出现在不同的层是基于OSI堆栈:

• TLS1999年作为SSL的增强开发,实现TCP / IP的传输层(OSI层4)。迪泰,最初提出2006年4月通过RFC 4347,适用于如UDP / IP数据报协议(第4层),它并不局限于以太网但只能获得一个流或一个通信通道。TLS保护web浏览器、客户端应用程序,所有云服务的应用程序的通信。HTTPS和SSH协议可以利用TLS的例子,实现完全的控制软件。
• IPsec:如果需要加密来保护网络(以及其他穿越IP协议),IPsec是一个选项,在OSI的网络层实现堆栈(第三层),通常作为一个VPN连接。IPsec通常被实现为一个软件堆栈和自愿使用用户。
• MACsec:当一个以太网网络的加密所需的所有流量,无论上层协议,有必要在硬件级别执行(链接或介质访问层2)。幸运的是,这正是MACsec(又名IEEE 802.1 ae)提供。MACsec用于保护network-to-network或device-to-network连接。每个连接的以太网网络(主机到主机,主机开关,或开关切换)将导线加密和未加密流量如果控制加密强加在更高的层为一个链接,但是一旦启用MACsec所有流量从窥视连接将是安全的。与上层的堂兄弟,MACsec提供加密和身份验证服务对以太网帧通过添加两个额外的字段:
  • 安全标签,这是一个扩展EtherType领域也使用的VLAN标记
  • 消息身份验证代码(ICV)定义完整性检查值的算法

建立一个MACsec加密连接包括五个步骤:

• 步骤1:建立相互对等身份验证使用Pre-shared密钥(相移键控)。
• 步骤2:成功的身份验证之后,一个安全的连接关联键名(CKN)交换连接联系同行。的MKA ICV连接关联验证关键(CAK),这实际上是一个密钥。
• 步骤3:两个端点的优先级值用于选举成为关键的服务器,另一设备功能作为一个关键客户。
• 第四步:然后关键服务器生成和分发安全协会密钥(SAK)的关键客户(同行)形成一个安全协会。
• 第五步:加密的数据现在可以同行之间交换。

MACsec硬件加密还提供了最低的延迟安全性选项相比在更高层次实现OSI的堆栈。

以太网与MACsec安全解决方案

Synopsys对此MACsec安全模块安全以太网流量对拒绝服务(DoS)攻击,窃听,和中间人攻击通过支持机密性、完整性、原产地认证,和重放保护开关,路由器,为云计算和桥梁soc, 5克、手机和汽车应用。

他们符合标准的全双工的解决方案与Synopsys对此无缝集成以太网MAC和pc IP,支持可扩展的数据速率与最优延迟、网络优先级和多样性的一系列安全以太网连接。图1描绘了Synopsys对此以太网解决方案与Synopsys对此MACsec模块提供,使芯片系统(SoC)设计人员快速集成安全系统快速上市时间和降低风险。

图1:Synopsys对此以太网安全解决方案框图。

Synopsys对此MACsec安全模块,设计师可以利用:

• 符合IEEE 802.1 ae标准
• 每帧的安全处理,包括封装/解封装框验证
• 可伸缩的吞吐量100 + Gbps基于管线式AES-GCM密码学与优化延迟
• 模式
  • 加密/解密和认证
  • 身份验证只
• 128位和256位的密钥大小
• 固定的入口/出口延迟
• 根据IEEE 802.1 aebn标准扩展包编号
• 巨型帧支持
• SecTag插入和删除
• 可配置的安全通道和关联
• 可配置的重放保护窗口大小
• 可配置的抵消
• 可编程保密抵消
• 在明确支持VLAN标记
• 可选择的旁路模式

结论

数据保留政策改变世界;甚至一些政府演员将努力实施访问监视数据或者保留权利,所有权、监管政策或立法。它不是足够的保护加密数据只有在休息的时候。多层网络加密的使用可能是必要的,以确保隐私和完整性,穿越未知的和不受控制的互联网基础设施的元素。零日漏洞,恶意软件和病毒可以很容易的威胁没有验证和加密技术提供的保护。

交通安全的主要安全标准以太网MACsec, Ethernet-connected设备之间提供数据安全运动。pre-shared键用于MACsec谈判的第一步可以阻止非可信设备成功地连接到以太网织物。计算共享基础设施进一步复杂化这个挑战——除非你可以验证一个连接是安全的,不要相信它!

通过添加Synopsys对此MACsec安全模块来Synopsys对此以太网IP解决方案网络soc,设计师可以保护高速网络流量,实现数据的端到端安全性Ethernet-connected设备之间运动。

了解更多关于启用SoC水平最高的安全性Synopsys对此安全接口。

杰瑞·洛托是一个高级技术营销经理HPC Synopsys对此。