Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03480.jsonl.gz/2303

Ethernet-Verschlüssler: Virtuell und in der Cloud
Theoretisch kann jeder Verschlüssler, der auf einer x86-CPU basiert, auch auf einer virtuellen x86-CPU laufen. Der Verschlüssler läuft dann als Applikation auf einer virtuellen Maschine (VM). Zwischen einer echten und einer virtuellen Appliance gibt es aber einige wichtige Unterschiede, die berücksichtigt werden müssen. So fehlt neben dem physischen Geräteschutz auch die benötigte "Entropiequelle", die man für die hardware-basierte echte Zufallszahlenerzeugung braucht, und der manipulationssichere Schlüsselspeicher. Der physische Geräteschutz muss durch einen äquivalenten physischen Schutz des Servers kompensiert werden, während die für Schlüsselerzeugung und -Lagerung notwendige Hardware entweder über eine lokale Smart Card oder über ein netzwerk-basiertes Hardware Security Module (HSM) zur Verfügung gestellt wird. Die lokale Smart Card wird am Host über USB angeschlossen und kann von der virtuellen Appliance, die auf dem Host läuft, angesprochen werden. Die benötigte Sicherheit und der geforderte Schutz sind so auch bei einer virtuellen Appliance vorhanden, aber eben nur, falls die entsprechende Hardware nicht nur virtuell, sondern auch reell vorhanden ist.
Die Performance der virtuellen Appliance ist von mehreren Faktoren abhängig. Dazu gehören die Hardware-Ausstattung des physischen Hosts, die Leistungsfähigkeit des Hypervisors, die Anzahl der nebst der virtuellen Appliance auf dem Host laufenden virtuellen Maschinen (VMs) und die CPU-, Speicher- und I/O-Belastung durch die anderen virtuellen Maschinen. Die Virtualisierung bringt es mit sich, dass die bestehenden Hardware-Ressourcen geteilt werden und zu einem bestimmten Zeitpunkt jeweils nur einer virtuellen Maschine zur Verfügung stehen. Werden mehrere Echtzeitdienste auf dem gleichen Host in unterschiedlichen virtuellen Maschinen betrieben, so hat das zwangsläufig Auswirkungen auf Latenz und Jitter. Man muss also grundsätzlich davon ausgehen, dass virtualisierte Verschlüssler Performance-Probleme verursachen können und dies bei hohen Bandbreiten auch machen werden.
Die Sicherheit der virtuellen Appliance hängt von mehreren externen Faktoren ab: Einerseits muss der Server, auf dem die virtuelle Appliance läuft, vor unerlaubtem Zugriff geschützt sein. Andererseits bilden auch das Gastbetriebssystem, der Hypervisor und die anderen auf dem Host laufenden virtuellen Maschinen Sicherheitsrisiken.
Verschlüsselungslösungen für Ethernet-Verbindungen zwischen mehreren Standorten (Multipunkt) brauchen ausgefeilte Gruppenschlüsselsysteme. Diese bestehen aus zwei Komponenten: Der Schlüsselverwaltung und der eigentlichen Verschlüsselungsfunktion. Diese Komponenten können sowohl zusammen wie auch getrennt betrieben werden. Oft wird auch eine Kombination von zentraler und verteilter Schlüsselverwaltung verwendet, um beim Ausfall einer Verbindung oder der zentralen Schlüsselverwaltung den sicheren Weiterbetrieb des WANs gewährleisten zu können. Der Betrieb der Schlüsselverwaltung als virtuelle Appliance hat im Gegensatz zur Echtzeitverschlüsselung keine Auswirkungen auf Latenz und Jitter. Die Virtualisierung ermöglicht die redundante Auslegung der zentralisierten Schlüsselverwaltung sowohl lokal wie auch gebietsübergreifend. Sicherheitsmässig gelten aber auch für virtualisierte Schlüsselverwaltungen, die als virtuelle Appliances implementiert sind, die gleichen Einschränkungen wie für die virtualisierten Verschlüssler. Es braucht entweder lokale oder netzwerk-basierte Zusatzhardware (Smart Card oder Hardware Security Module), damit echte Zufallszahlen generiert und die Schlüssel sicher gelagert werden können.
Nicht jede virtuelle Umgebung ist virtualisiert, sondern besteht oft aus einer Kombination von virtualisierten, paravirtualisierten und emulierten Elementen. Bei einer Virtualisierung wird bestehende Hardware vervielfältigt, indem die physikalische Hardware in mehreren nur logisch vorhandenen Instanzen der Hardware aufgeteilt wird. Jede logische Instanz verfügt über die gleichen Eigenschaften wie die virtualisierte Hardware. Aus einem Rechner werden so mehrere logische Rechner, die sich wie eigenständige Rechner verhalten. Entsprechend bleibt es dem Gastsystem verborgen, dass es nicht auf einem echten, sondern nur auf einem virtuellen Rechner läuft. Während bei der Virtualisierung unmodifizierte Gastsysteme direkt auf die virtuelle Hardware zugreifen können, erfolgt bei der Paravirtualisierung der Zugriff über eine Programmierschnittstelle (API) des Hypervisors. Dies bedingt eine Modifizierung der Gastsysteme, denn nur so können sie über die vom Hypervisor bereit gestellten APIs auf die Hardware zugreifen. Bei einer Emulation handelt es sich nicht um eine Virtualisierung, sondern um eine Nachbildung eines Systems. In einer virtuellen Umgebung erfolgt die Emulation in Software. Diese kann ein komplettes System oder auch nur Teilaspekte eines Systems umfassen. Über eine Emulation kann man so zum Beispiel sowohl einen virtuellen Switch mit den Eigenschaften eines bestimmten Netzwerkadapters erstellen wie auch einem Programm vorgaukeln, dass ein bestimmter Drucker vorhanden sei. Es wäre auch möglich, einen Ethernet-Verschlüssler zu emulieren, doch ist das, wie bei einem virtuellen Switch auch, aufgrund der Performance eines emulierten Systems nicht unbedingt zweckdienlich.
MAN- und WAN-Verbindungen werden von den Carriern – ausser im Ausnahmefall von direkten physischen Verbindungen – auf der Carrier-Seite des Netzwerks virtualisiert. Mehrere Verbindungen unterschiedlicher Kunden laufen über die gleiche physikalische Infrastruktur. So kann mehr Bandbreite verkauft werden als effektiv zur Verfügung steht. Dies führt sowohl für den Carrier als für den Kunden zu geringeren Kosten pro Megabit als bei direkten physikalischen Verbindungen. Für die Verschlüssler spielt die Virtualisierung auf Carrier-Seite keine Rolle, solange die Verschlüsselung vor der Virtualisierung erfolgt.
Metro und Carrier Ethernet verbindet Standorte. Dies beinhaltet Rechenzentren, auch solche in denen Cloud-Infrastrukturen zur Verfügung gestellt werden. Ethernet-Verschlüssler sorgen für die Absicherung der Netzwerkinfrastruktur zwischen den Standorten. Es spielt dabei keine Rolle, ob es sich um eigene, gemietete oder gehostete Rechenzentren handelt. Der Verschlüsser kann so positioniert werden, dass er den Verkehr an den jeweiligen Übergabepunkten zwischen eigenem und gemeinsam respektive öffentlich genutztem Netzwerk verschlüsselt.
Free Downloads:
PDF)
english version (click starts PDF)