Шлюз криптографический sCNA (440 Мбит/сек.)
Шлюз криптографический sCNA (440 Мбит/сек.)
(s)CNA – это линейка аппаратных средств криптографической защиты
(шифрования) сетевого траффика.
Устройства обеспечивают конфиденциальность и контроль целостности
данных, передаваемых по открытым каналам связи сетей общего
пользования (в т.ч. при работе в публичных Internet сетях).
Используются алгоритмы шифрования и контроля целостности в
соответствии с межгосударственным стандартом ГОСТ 28147-89 и
стандартами Республики Беларусь (СТБ 34.101.31-2011).
Линейка продуктов (s)CNA включает в себя:
• персональные средства шифрования сетевого трафика (CNA);
• магистральные средства шифрования сетевого трафика (sCNA).
При необходимости устройства можно настроить для работы в режиме
сетевого экрана, при котором устройство будет передавать или
пропускать только те пакеты, формат которых будет задан специальными
масками и\или адресами.
sCNA: Основные функциональные возможности
• Устройство стоечного исполнения (1U, 19”).
• Подключение в разрыв сетевого соединения.
• Аппаратная реализация шифрования / расшифрования сетевого
траффика (с использованием FPGA).
• Независимость процессов шифрования / расшифрования сетевого
траффика от вычислительных мощностей и особенностей работы
операционных систем, а так же невозможность внешнего воздействия
или вмешательства.
• Защищенное аппаратное хранение секретных ключей.
• Аутентификация сторон на основании предварительно
распределенных ключей.
• Использование временных (сеансовых) ключей шифрования.
• Контроль защищенного канала и смена сеансовых ключей шифрования без
остановки процесса передачи данных.
• Ведение внутреннего списка разрешенных устройств.
• Работа устройства в режиме моста и режиме сетевого экрана.
• В зависимости от локальных настроек, устройство шифрует /
расшифровывает часть пакетов, а остальные может либо пропускать
прозрачно, либо блокировать.
• Взаимодействие с любыми устройствами линейки (s)CNA (в т.ч.
персональными средствами защиты сетевого траффика).
• Выработка псевдослучайных данных с использованием внутреннего
источника физической случайности.
• Возможность удаленного управления.
Технические характеристики
Габаритные размеры ширина: 482,6мм
высота: 44,74мм
глубина: 328,6мм
Электропитание / энергопотребление 220В / до 25Вт
Количество одновременно
поддерживаемых
защищенных соединений
от 200 до 400 (в зависимости от типа
устройства)
Общая производительность при процессе
шифрования трафика
СТБ 34.101.31-2011 – до 870 Мбит/с
ГОСТ 28147-89– до 920 Мбит/с
Количество сетевых интерфейсов не менее 2 (RJ45)
Носитель ключевой информации Внутренняя память устройства
Алгоритмы шифрования трафика · СТБ 34.101.31-2011
· ГОСТ 28147-89
Режим шифрования трафика Гаммирования с обратной связью
Алгоритмы имитозащиты трафика · СТБ 34.101.31-2011
· ГОСТ 28147-89
Контроль целостности системных объектов Реализован с применением
криптографических алгоритмов (имитозащита
по ГОСТ 28147-89, хэширование по СТБ
34.101.31-2011)
Алгоритм выработки псевдослучайных
данных
СТБ 34.101.47-2012 (в режиме счетчика с
функцией хэширования, определенной в СТБ
34.101.31 и с использованием данных от
источника физической случайности)
Выработка сторонами общих сеансовых
ключей шифрования и имитозащиты
По схеме DHE_PSK_BIGN, определенной в СТБ
34.101.65-2014, с использованием протокола
Диффи-Хеллмана и предварительно
распределенных ключей
Обновление сеансовых ключей
шифрования и имитозащиты
Алгоритм преобразования ключа СТБ
34.101.31-2011 по прошествии определенного
времени
Защита трафика Сетевой уровень:
· Зашифрование IP данных
· IPsec Encapsulating Security Payload (ESP)
(поля SPI и Sequence number используются
для данных)
Транспортный уровень
· Зашифрование TCP данных
Работа через NAT протокол NAT Traversal
Управление · локально или удаленно по протоколу SSH
· с помощью программного продукта
ControlCNA
Событийное протоколирование *txt, Syslog
Способы получения ключей Генерация одним из устройств с выдачей в
защищенном виде
Защита ключей при распределении С использованием алгоритмов
СТБ 34.101.60 и СТБ 34.101.45 (приложение Е)
Фильтрация · по IP-адресу (диапазон IP, хост)
источника и назначения
