R&S®SITLine

Die Datenverschlüsselung erfolgt mit dem Advanced Encryption Standard (AES) mit 256 Bit Schlüssellänge im Galois / Counter Mode (GCM). Dies stellt nicht nur absolute Vertraulichkeit her, sondern gewährleistet auch einen kryptografisch starken Integritäts­schutz, der Manipula­tionen an Paketen (konfigurierbar bis zu 16 Byte Overhead) sofort detektiert und verwirft.

Die Geräteauthentisierung stützt sich auf Elliptic Curve Cryptography (ECC). Für Verbindungen zu Partnergeräten kommen 384 Bit starke ECC-Schlüssel (ECGDSA) zum Einsatz, für Management-Verbindungen (TLS 1.2) hochsichere 512 Bit Brainpool-Kurven. Diese Verfahren bieten ein sehr hohes Sicherheitsniveau bei gleichzeitig geringem Rechenaufwand.

Die vollautonome Schlüssel­aushand­lung über den authentisierten Diffie-Hellman ECKAS-DH (Elliptic Curve Key Agreement Scheme) sorgt für perfekte Vorwärtsgeheimhaltung (Perfect Forward Secrecy). Der Hardware-interne True Random Number Generator (PTG.3) generiert entropiestarkes Schlüssel­­material. Der Master Key rotiert standardmäßig alle 10 Stunden (36.000 s), der Session Key alle 3 Minuten (180 s) – völlig transparent und ohne jegliche Verbindungs­­unter­brechung (Hitless Rekeying).

Standard-Router oder -Software-VPNs nutzen das Store-and-Forward-Prinzip, bei dem jedes Paket zunächst vollständig empfangen und zwischen­gespei­chert wird. Die SITLine ETH NG verarbeitet Datenströme mittels dedizierter Field Programmable Gate Arrays (FPGAs) im Cut-Through-Verfahren. Die Verschlüs­selung beginnt bereits, während der Frame noch empfangen wird. Das drückt die Latenz beim ETH-XL auf beein­druckende <3 Mikrosekunden bei 100 GBit/s – konstant, unabhängig von der Netzaus­lastung.

Beim Datenaustausch zwischen räumlich getrennten Standorten verlassen sensible Informa­tionen die jeweils geschützte lokale Infra­struktur und müssen über externe oder gemeinsam genutzte Netze übertragen werden. Typische Beispiele sind die sichere Punkt-zu-Punkt-Verbindung zwischen zwei Behörden­standorten, einem Unter­nehmens­standort und seinem Rechen­zentrum oder zwei Produk­tions­stätten. So können beispiels­weise zwei Entwicklungs­standorte eines Auto­mobil­zulie­ferers in unter­schied­lichen Städten Konstruk­tions­daten, CAD-Dateien und andere vertrauliche Entwick­lungs­informa­tionen täglich sicher miteinander austauschen. R&S®SITLine ETH verschlüsselt die Ethernet-Verbin­dung zwischen den Stand­orten, sodass die Daten auf dem gesamten Übertra­gungsweg geschützt bleiben.

Organisationen mit vielen Stand­orten benötigen häufig mehr als einzelne Punkt-zu-Punkt-Verbin­dungen. R&S®SITLine ETH ermöglicht die verschlüsselte Kommuni­kation in Multipunkt- und vermaschten Netzwerk­struk­turen und eignet sich damit für skalierbare Infra­strukturen mit zahlreichen Kommuni­kations­bezie­hungen. So ist das beispiels­weise in föderal organisierten Behörden mit zentralen und regionalen Dienst­stellen der Fall, bei denen verschiedene Standorte sensible Infor­mationen direkt und sicher mit­einander austauschen müssen. Statt jede Kommunika­tionsbe­ziehung isoliert zu betrachten, wird eine skalierbare verschlüsselte Netz­struktur aufgebaut, über die sensi­ble Verwaltungs­­daten zwischen den berechtigten Stand­orten geschützt übertragen werden.

Sicherheitskritische Kommunikation entsteht nicht nur in zentralen Rechen­zentren, sondern zuneh­mend an geogra­fisch verteil­ten und dezen­tralen Stand­orten. Gerade dort können kompakte Bauform, geringer Energie­bedarf und der Schutz der Inte­grität der über­tragenen Infor­mationen entschei­dend sein. R&S®SITLine ETH ermöglicht es, auch solche dezen­tralen Ethernet-Verbin­dungen krypto­grafisch abzusichern. Mögli­che Szenarien sind hier kleine Behörden-Außen­stellen oder dezentrale technische Kompo­nenten einer kritischen Infra­struktur (z.B. eines Energie­versorgers), deren Steuerungs-, Status- oder Betriebsdaten sicher an eine zentrale Stelle übertragen werden müssen. Unbefugte dürfen diese Kommuni­kation weder unbe­merkt mitlesen noch über­tragene Informationen manipu­lieren können. Die Netz­werk­verschlüs­selung schützt deshalb die Verbin­dung bereits am dezen­tralen Standort und sichert die Kommuni­kation bis zur zentralen Infra­struktur ab.

Organisationen können nicht immer die gesamte Infrastruktur kontrollieren, über die ihre sensi­blen Daten transpor­tiert werden. Carrier-, Provider- oder andere gemein­sam genutzte Netze bilden daher eine poten­zielle Vertrauens­grenze. R&S®SITLine ETH verschlüs­selt die Daten bereits an den Über­gängen der eigenen Infra­struktur, sodass Vertrau­lichkeit und Inte­grität der übertra­genen Infor­mationen unabhängig vom dazwi­schen­liegenden Transpor­tnetz geschützt werden können. Ein konkretes Fall­beispiel: Eine Bundes­behörde verbindet ihre Zen­trale in Berlin mit einem Rechen­zentrum in einer anderen Stadt über eine ange­mietete Carrier-Infra­struktur. Die Behörde kontrol­liert ihre eigenen Netze, nicht jedoch jeden Bestand­teil des Trans­portweges dazwischen. Die SITLine-Geräte verschlüsseln die Daten vor dem Übergang in das fremde Transportnetz und entschlüsseln sie erst wieder am kontrollierten Zielstandort.