Persian
پاس اول فقط نثر بریده شده. من آن را بازسازی می‌کنم تا محتوای جدولی تبدیل به جدول شود و متن باقی‌مانده تنگ‌تر شود - این تعداد کلمات را بسیار کمتر از هدف 15 درصد کاهش می‌دهد.
FC-SP-3: کانال فیبر ایمن برای دوران پسا کوانتومی
در فناوری اطلاعات سازمانی، بیشتر ارتقاهای امنیتی پس از یک رخنه رخ می دهد. استاندارد INCITS FC-SP-3 متفاوت است: به مهلت‌های قانونی و رمزنگاری که قبلاً برنامه‌ریزی زیرساخت را شکل می‌دهند، فعالانه پاسخ می‌دهد. CNSA 2.0 NSA به سیستم‌های امنیت ملی یک مسیر مهاجرتی سخت می‌دهد، در حالی که NIS2 و DORA اتحادیه اروپا سیاست‌های رمزگذاری را در برنامه‌های انطباق فعال قرار داده‌اند. محاسبات کوانتومی فوریت را می‌افزاید – نه به این دلیل که یک رایانه کوانتومی مرتبط از نظر رمزنگاری قریب‌الوقوع است، بلکه به این دلیل که حملات «اکنون برداشت، بعدا رمزگشایی» داده‌های با عمر طولانی را امروز در معرض دید قرار می‌دهند.
زمان بندی اهمیت دارد زیرا کانال فیبر داده هایی را حمل می کند که شرکت ها حداقل می توانند از دست بدهند. این زیرساخت اصلی برای ذخیره سازی ماموریت حیاتی در امور مالی، مراقبت های بهداشتی، دولتی، آب و برق و سایر بخش های تنظیم شده باقی می ماند. از نظر فیزیکی و منطقی از اترنت جدا شده است، نمی تواند از شبکه های اترنت هدایت شود و از ناحیه بندی پارچه و پوشاندن دستگاه محافظت بیشتری می کند. با بیش از 160 میلیون پورت حمل و نقل و بیش از 35 میلیون هنوز عملیاتی، این پایه نصب شده دقیقاً دلیل اهمیت FC-SP-3 است: نیازی به جایگزینی SAN ندارد، اما روشی مبتنی بر استاندارد برای ایمن سازی پارچه های موجود ارائه می دهد.
خوراکی های کلیدی
| غذای آماده | معنی آن چیست |
|---|---|
| استاندارد ضرب الاجل ها | FC-SP-3 که توسط INCITS T11 در سال 2026 تکمیل شد، سال ها قبل از تاریخ 2030/2031 الزامات CNSA 2.0، NIS2 و DORA را برآورده می کند. |
| ابتدا کم کنید سپس مقاومت کوانتومی را اضافه کنید | رمزنگاری قدیمی (3DES، MD5، SHA-1، زیر 2048 بیتی DH) حذف شد. ML-KEM-1024 و ML-DSA-87 اضافه شد. برش مشخصات از 288 به 152 صفحه |
| رمزگذاری بدون مالیات زیرساخت | رمزگذاری خودکار در حین پرواز، کلیدها را در HBA تولید می کند و با نرخ خط اجرا می شود - بدون سرور کلید، بدون تغییر سوئیچ، بدون بارگیری CPU میزبان |
| آرایه ابرقدرت های خود را حفظ می کند | رمزگذاری لایه حمل و نقل فشرده سازی، حذف مجدد و تشخیص باج افزار را حفظ می کند که رمزگذاری در سطح برنامه شکست می خورد. |
| انطباق چرخه تازه سازی را هدایت می کند | عرضه به‌روزرسانی معمولی 3 تا 5 ساله، یک SAN کاملاً رمزگذاری‌شده و مقاوم در برابر کوانتومی را تا سال 2030 به عنوان محصول جانبی خرید ارائه می‌کند. |
رمزگذاری در یک مهلت است
معماری‌های ذخیره‌سازی سنتی بر اعتماد ضمنی متکی هستند، اما حملات پیچیده در این لایه می‌تواند حجم داده‌های بزرگی را به خطر بیندازد. حملات زنجیره تامین - که نمونه آن توصیه 2019-2021 CISA است - نشان داده است که تهدیدات داخلی که از اجزای آسیب‌دیده استفاده می‌کنند رایج‌تر می‌شوند. در پاسخ، بایدن، رئیس جمهور ایالات متحده، فرمان اجرایی 14028 (12 مه 2021) را صادر کرد که به رمزگذاری برای داده های فدرال در حالت استراحت و انتقال نیاز دارد. این امر آژانس‌ها را مجبور کرد که مجموعه اصلی CNSA (CNSA 1.0) را که الگوریتم‌های تایید شده را تعریف می‌کرد اما تهدیدات کوانتومی را پیش‌بینی نمی‌کرد، اتخاذ کنند. اکنون CNSA 2.0 این استانداردها را برای محاسبات کوانتومی، بازنشستگی الگوریتم‌های آسیب‌پذیر و معرفی الگوریتم‌های مقاوم در برابر کوانتومی در یک برنامه مرحله‌ای آماده می‌کند.
جدول زمانی اجرای CNSA 2.0
| مهلت | مورد نیاز |
|---|---|
| پس از 31 دسامبر 2025 | مرحله اول اجرایی آغاز می شود |
| 1 ژانویه 2027 | تأسیسات جدید سیستم امنیت ملی باید کاملاً مطابق با CNSA 2.0 باشد |
| 31 دسامبر 2030 | از کار انداختن سیستم های ناسازگار کامل شد |
| 31 دسامبر 2031 | تمام سیستم های امنیت ملی منحصراً از CNSA 2.0 استفاده می کنند |
آمریکا تنها نیست. DORA اتحادیه اروپا برای مؤسسات مالی اعمال می شود و گزارش های دقیق، مدیریت ریسک و تست های امنیتی را الزامی می کند. NIS2 از کشورهای عضو می‌خواهد اطلاعات تهدید را به اشتراک بگذارند و با حملات زنجیره تامین مقابله کنند. هر دو نیاز به رمزگذاری قوی در حین پرواز و در حالت استراحت دارند که FC-SP-3 پیشرفت می کند.
Q-Day و Harvest Now، بعداً رمزگشایی کنید
حملات "HNDL" امروز ترافیک رمزگذاری شده را برای رمزگشایی از زمانی که یک کامپیوتر کوانتومی قدرتمند وجود دارد، ضبط می کند. الگوریتم‌های کنونی در برابر سخت‌افزارهای معمولی در مقابل نیروی بی‌رحمانه مقاومت می‌کنند، اما یک کامپیوتر کوانتومی مرتبط با رمزنگاری (CRQC) می‌تواند RSA و ECC را بشکند. برای خنثی کردن یک حمله احتمالی Q-Day، NSA با استفاده از الگوریتم‌های پس کوانتومی که بر روی مشکلات غیرقابل حل حتی برای ماشین‌های کوانتومی ساخته شده‌اند، انطباق با CNSA 2.0 را تا 31 دسامبر 2031 - قبل از در دسترس بودن CRQC مورد انتظار - الزامی می‌کند.
دو دهه امنیت کانال فیبر
FC-SP-3 سومین نسل از بیش از بیست سال کار کمیته T11 INCITS است. یک استاندارد قبلی (تأیید شده در سال 2002، منتشر شده در سال 2007) کنترل های منطقه بندی و تقسیم بندی را ایجاد کرد. FC-SP-2 (2012) احراز هویت و رمزگذاری را اضافه کرد که از طریق اصلاحات در 2015 و 2023 تکامل یافت. FC-SP-3 به عنوان یک پروژه در سال 2022 تصویب شد و اخیرا تکمیل شد. این یک نوسازی برنامه‌ریزی‌شده از یک چارچوب بالغ است، نه یک پاسخ پیچ و مهره - آشکارا توسط فروشندگان سازنده تجهیزات، به ریاست راجر هاثورن (IBM)، ویرایش‌شده توسط دیوید پیترسون و جیمز اسمارت (برادکام)، با مشارکت‌کنندگانی از Broadcom، Cisco، Dell، HPE، IBM، Marvell، NetApp و Vi. شرکت هایی که برای هر سوکت SAN رقابت می کنند، در مورد نحوه کارکرد رمزگذاری در آن سوکت ها توافق کردند.
آنچه FC-SP-3 تغییر می کند
تغییر عنوان، تفریق است - حذف رمزنگاری قدیمی FC-SP-2 که هنوز وجود دارد.
حذف شده در مقابل رمزنگاری اضافه شده
| حذف شده (میراث) | اضافه شد (تراز CNSA 2.0) |
|---|---|
| 3DES، AES-CTR | ML-KEM-1024 (تاسیس کلید، NIST FIPS 203) |
| MD5، SHA-1، RSA-SHA-1 | ML-DSA-87 (امضای دیجیتال، NIST FIPS 204) |
| گروه های DH-CHAP زیر 2048 بیت | ECDSA در 384 و 512 بیت |
| طول کلید AES کمتر از 256 بیت (GCM/CBC) | PRF های مبتنی بر SHA-2 |
| استفاده از RADIUS | AES-GCM برای مدیریت انجمن امنیتی مورد نیاز است |
| احراز هویت CT; پروتکل های FC-PAP و FC-EAP | - |
پنهان کردن روش رمزگذاری محموله، مهاجمان را مجبور می کند تا طیف گسترده ای از الگوریتم ها را با هزینه بالا آزمایش کنند، در حالی که ML-KEM به طور موثر با رهگیری مقابله می کند. تغییر ساختاری به همان اندازه پیامد است: مدل انطباق لایه‌ای FC-SP-2 - که پایین‌ترین سطح آن (Auth-A) فروشندگان را مجبور به پشتیبانی از MD5 منسوخ و 2048 بیتی DH صرفاً برای حفظ سازگاری می‌کند - با پروفایل‌های قابلیت همکاری جایگزین می‌شود (پیوست A). یک پیاده سازی سازگار از پروفایل های مطابق با محیط هدف پشتیبانی می کند. تصمیم گیری در مورد الزامات مربوط به نهادهایی مانند NIST و NSA است، نه استاندارد حمل و نقل. ضمیمه D سازگاری رو به عقب با FC-SP-2 را پوشش می دهد، بنابراین پارچه های مخلوط به جای یک صخره، یک مسیر مستند دارند. حالت حسابرسی با حفظ دسترسی ابتدا انتقال را آسان می‌کند و سخت‌ترین اقدامات را تنها زمانی اعمال می‌کند که هر دو نقطه پایانی قادر باشند.
قرار دادن FC-SP-3 در Live SAN
FC-SP-3 ابزارها و رفتار مذاکره را تعریف می کند. نحوه اعمال آنها بر روی یک پارچه در حال اجرا به دو مدل سازگار با فروشنده خنثی می شود.
مقایسه مدل های استقرار
| جنبه | مدل سرور کلید | رمزگذاری خودکار در حین پرواز |
|---|---|---|
| منبع کلیدی | مدیر کلید خارجی (KMIP) | تولید شده در داخل HBA |
| زیرساخت | سرورهای کلیدی + مسیرهای شبکه + نظم عملیاتی | هیچ مورد نیاز نیست |
| بهترین تناسب | Mainframe / فروشگاه‌هایی با رعایت استانداردهای بالا که قبلاً KMIP را اجرا می‌کنند | رول پارچه ای در چرخ دنده های موجود |
| تغییرات سوئیچ | هیچ کدام | هیچ کدام |
| بازگشت به عقب | - | به طور خودکار مذاکره می کند، زمانی که همتای خود حمایتی نداشته باشد، عقب می نشیند |
رمزگذاری در حین پرواز در سیلیکون اختصاصی با نرخ خط کامل اجرا می شود - بدون جریمه توان عملیاتی، بدون بار CPU میزبان. از آنجایی که رمزگذاری در لایه انتقال اتفاق می‌افتد، داده‌ها همچنان به شکل قابل استفاده به آرایه می‌رسند، و فشرده‌سازی، تکرار و تشخیص ناهنجاری نسبت فشرده‌سازی (یک سیگنال باج‌افزار کلیدی) را حفظ می‌کند که رمزگذاری در سطح برنامه آن را از بین می‌برد. این با دفاع در عمق سازگار است: رمزگذاری پیوند به اضافه رمزگذاری تمام دیسک یا رمزگذاری در سطح آرایه در حالت استراحت، با نقاط پایانی اعتماد صفر - یک ریشه سیلیکونی اعتماد، تأیید متقابل SPDM بین CPU و HBA، و درایورهای امضا شده رمزنگاری شده است. حالت حسابرسی به مدیران این امکان را می‌دهد تا پیش‌بینی کنند که کدام پیوندها قبل از اجرا رمزگذاری می‌شوند و یک برش مخرب را به یک فرآیند افزایشی و قابل تأیید تبدیل می‌کند. رمزگذاری خودکار در حین پرواز در حال حاضر در HBA های دارای قابلیت FC-SP-3 ارسال می شود. هر نقطه پایانی سازگار می تواند شرکت کند، و اکثر OEM های ذخیره سازی آن را تا سال 2026 اضافه می کنند.
رمزگذاری در پرواز از چه چیزی محافظت می کند
پیوندهای FC اتاقی را که از آنجا سرچشمه می‌گیرند، ترک می‌کنند و از کانال‌ها، رایزرها و مسیرهای محوطه دانشگاه عبور می‌کنند. مهاجمی که به فیبر دسترسی فیزیکی دارد نیازی به قطع کردن آن ندارد. نظارت غیرفعال می تواند ترافیک را بدون هیچ هشداری بخواند. در داخل ساختمان، یک خودی با دسترسی پچ پنل می‌تواند ترافیک را ثبت کند، و ابزارهای تشخیصی می‌توانند فریم‌ها را در گزارش‌های خدمات ثبت کنند. رمزگذاری در حین پرواز همه این مسیرها را به یکباره می‌بندد: هر چیزی که بین دو نقطه پایانی FC-SP-3 گرفته می‌شود - از فیبر خمیده، یک وصله پانل یا یک فایل گزارش - متن رمزی است بدون کلید در نقطه ضبط. رمزگذاری در لایه انتقال، از داده‌های در حال انتقال محافظت می‌کند و در عین حال آنها را در آرایه قابل استفاده نگه می‌دارد، به همین دلیل است که بر رمزگذاری در سطح برنامه ترجیح داده می‌شود.
جاده ای به یک SAN کاملاً رمزگذاری شده
نقشه راه FCIA بر اساس ریاضیات چرخه تجدید اجرا می شود: سرورها و فضای ذخیره سازی هر سه تا پنج سال یکبار تغییر می کنند، بنابراین تقریباً هر پارچه حداقل یک بار قبل از ضرب الاجل 2030/2031 نقاط پایانی خود را جایگزین می کند. هر فروشنده بزرگ سرور قبلاً آداپتورهایی با قابلیت FC-SP-3 ارسال می‌کند و اکثر OEMهای ذخیره‌سازی اتصال سازگار را تا سال 2026 اضافه می‌کنند. حالت حسابرسی آمادگی قبل از اجرا را تأیید می کند. هیچ رویداد لیفتراک مورد نیاز نیست. سازمانی که آهنگ عادی خود را تازه می کند و FC-SP-3 را در حین رسیدن به سال 2030 با یک SAN کاملاً رمزگذاری شده و مقاوم در برابر کوانتومی به عنوان محصول جانبی تدارکات معمول مشخص می کند.
نتیجه گیری
FC-SP-3 یک استاندارد پر زرق و برق نیست - و این مزیت آن است. این رمزنگاری را که باید سال‌ها پیش بازنشسته می‌شد، حذف می‌کند، الگوریتم‌های پس کوانتومی NIST را که تنظیم‌کننده‌ها نیاز دارند، اضافه می‌کند و یک مدل سازگاری معیوب را با پروفایل‌های قابلیت همکاری جایگزین می‌کند. سال‌ها جلوتر از وظایفی که برآورده می‌کند، در داخل چرخه‌های تازه‌سازی که شرکت‌ها قبلاً برنامه‌ریزی کرده بودند، فرود می‌آید. قطعات سخت مهندسی شده اند: بدون تغییر سوئیچ، بدون زیرساخت امنیتی اضافی، بدون جریمه CPU میزبان، و حالت حسابرسی که عرضه را قبل از اجرا قابل مشاهده است.
هشدار این است که یک استاندارد یک مجموعه ابزار است، نه یک استقرار. هیچ چیز خودش را رمزگذاری نمی‌کند: سازمان‌ها باید HBA و فضای ذخیره‌سازی خود را موجودی کنند، FC-SP-3 را در خریدهای آتی مشخص کنند، و امنیت را فعال کنند زیرا نقاط پایانی توانمند بافت را پر می‌کنند. برای امور مالی، مراقبت های بهداشتی، آب و برق و دولت، آن کار مهلت دارد چه کسی آن را برنامه ریزی کند یا نه - HNDL به این معنی است که داده های دزدیده شده امروز در معرض کامپیوترهای کوانتومی دهه آینده قرار دارند. FC-SP-3 شکاف را با تبدیل کردن امنیت به جزییات تدارکات به جای یک پروژه، کاهش می‌دهد و کانال فیبر را همان چیزی که برای دو دهه بوده است حفظ می‌کند: صنایع تحت نظارت پارچه به داده‌هایی اعتماد می‌کنند که حداقل توانایی از دست دادن آنها را دارند.
واژه نامه
| مدت | تعریف |
|---|---|
| 3DES | DES سه گانه; رمز بلوک قدیمی در FC-SP-3 حذف شد |
| AES-GCM/CBC/CTR | حالت های AES؛ GCM برای مدیریت ارتباط امنیتی مورد نیاز است، CTR حذف شد، کلیدهای زیر 256 بیت حذف شدند |
| CNSA 2.0 | مجموعه الگوریتم های مقاوم در برابر کوانتومی NSA و ضرب الاجل های سیستم های امنیت ملی ایالات متحده |
| CRQC | رایانه کوانتومی مرتبط با رمزنگاری، به اندازه کافی قدرتمند برای شکستن رمزارزهای کلید عمومی فعلی |
| احراز هویت CT | Auth of FC Common Transport ترافیک به خدمات پارچه؛ در FC-SP-3 حذف شده است |
| DH-CHAP | پروتکل تأیید اعتبار کانال فیبر CHAP با Diffie-Hellman جفت می شود. گروه های زیر 2048 بیت سقوط کردند |
| دورا | قانون مقاومت عملیاتی دیجیتال، مقررات اتحادیه اروپا برای ریسک ICT در بخش مالی |
| ECC/ECDSA | کریپتو/امضای منحنی بیضی؛ در 384 و 512 بیت در کنار ML-DSA نگهداری می شود |
| FC-PAP/FC-EAP | پروتکل‌های احراز هویت قدیمی FC-SP-2 در FC-SP-3 حذف شدند |
| FCIA | انجمن صنعت کانال فیبر |
| HBA | آداپتور باس میزبان، کارت رابط FC در سرورها/ذخیره‌سازی |
| HNDL | اکنون برداشت کنید، بعدا رمزگشایی کنید |
| INCITS/T11 | بدن استاندارد و کمیته فنی FC آن که FC-SP-3 را توسعه می دهد |
| KMIP | پروتکل قابلیت همکاری مدیریت کلید |
| MD5/SHA-1/SHA-2 | توابع هش؛ MD5 و SHA-1 حذف شدند، SHA-2 جایگزین آنها شد |
| ML-DSA-87 | الگوریتم امضای پس کوانتومی (FIPS 204)، اضافه شده در FC-SP-3 |
| ML-KEM-1024 | ایجاد کلید پس کوانتومی (FIPS 203)، اضافه شده در FC-SP-3 |
| NIS2 | دستورالعمل امنیت شبکه و اطلاعات اتحادیه اروپا 2 |
| PQC | رمزنگاری پس کوانتومی |
| PRF | تابع شبه تصادفی؛ PRF های مبتنی بر SHA-2 مورد نیاز است |
| Q-Day | نقطه ای که در آن یک CRQC رمزنگاری کلید عمومی فعلی را می شکند |
| شعاع | پروتکل احراز هویت شبکه؛ استفاده از FC-SP-3 حذف شده است |
| RSA | الگوریتم کلید عمومی یک CRQC می تواند شکسته شود. RSA-SHA-1 حذف شد |
| SPDM | پروتکل امنیتی و مدل داده، برای گواهی CPU/HBA |
پکن Qianxing Jietong Technology Co., Ltd.
سندی یانگ / مدیر استراتژی جهانی
WhatsApp / WeChat: +86 13426366826
ایمیل: yangyd@qianxingdata.com
وب سایت: www.qianxingdata.com/www.storagesserver.com
تمرکز تجاری:
توزیع محصول ICT/یکپارچه سازی سیستم و خدمات/راه حل های زیرساخت
با بیش از 20 سال تجربه توزیع فناوری اطلاعات، ما با برندهای پیشرو جهانی برای ارائه محصولات قابل اعتماد و خدمات حرفه ای همکاری می کنیم.
«استفاده از فناوری برای ساختن جهانی هوشمند» ارائه‌دهنده خدمات مورد اعتماد شما در زمینه فناوری اطلاعات و ارتباطات!