Segurança MAC em AWS Direct Connect

A seguir estão os conceitos-chave para MACsec:

• MAC Security (MACsec) — Um padrão IEEE 802.1 de camada 2 que fornece confidencialidade, integridade e autenticidade da origem dos dados. Para obter mais informações sobre o protocolo, consulte 802.1AE: Segurança MAC () MACsec.

• Chave de associação segura (SAK) — Uma chave de sessão que estabelece a MACsec conectividade entre o roteador local do cliente e a porta de conexão no local do Direct Connect. O SAK não é pré-compartilhado, mas derivado automaticamente do CKN/CAK par por meio de um processo de geração de chave criptográfica. Essa derivação acontece nas duas extremidades da conexão depois que você fornece e provisiona o CKN/CAK par. O SAK é regenerado periodicamente para fins de segurança e sempre que uma MACsec sessão é estabelecida.

• Nome da chave de associação de conectividade (CKN) e chave de associação de conectividade (CAK) — Os valores desse par são usados para gerar a MACsec chave. Você gera os valores do par, os associa a uma AWS Direct Connect conexão e, em seguida, os provisiona em seu dispositivo de borda no final da AWS Direct Connect conexão. O Direct Connect suporta somente o modo CAK estático, mas não o modo CAK dinâmico. Como somente o modo CAK estático é suportado, é recomendável que você siga suas próprias políticas de gerenciamento de chaves para geração, distribuição e rotação de chaves.

• Formato da chave — O formato da chave deve usar caracteres hexadecimais, exatamente 64 caracteres de comprimento. O Direct Connect suporta somente chaves de 256 bits do Advanced Encryption Standard (AES) para conexões dedicadas, o que corresponde a uma sequência hexadecimal de 64 caracteres.

• Modos de criptografia — o Direct Connect suporta dois modos de MACsec criptografia:

  • must_encrypt — Nesse modo, a conexão exige MACsec criptografia para todo o tráfego. Se MACsec a negociação falhar ou a criptografia não puder ser estabelecida, a conexão não transmitirá nenhum tráfego. Esse modo oferece a maior garantia de segurança, mas pode afetar a disponibilidade se houver algum problema MACsec relacionado.

  • should_encrypt — Nesse modo, a conexão tenta estabelecer a MACsec criptografia, mas retornará à comunicação não criptografada se a negociação falhar. MACsec Esse modo oferece mais flexibilidade e maior disponibilidade, mas pode permitir tráfego não criptografado em determinados cenários de falha.

  O modo de criptografia pode ser definido durante a configuração da conexão e pode ser modificado posteriormente. Por padrão, novas conexões MACsec habilitadas são definidas no modo “should_encrypt” para evitar possíveis problemas de conectividade durante a configuração inicial.

• Rotação CNN/CAK (manual)

  O Direct Connect MACsec suporta MACsec chaveiros com capacidade para armazenar até três CKN/CAK pares. Isso permite que você gire manualmente essas chaves de longo prazo sem interromper a conexão. Ao associar um novo CKN/CAK par usando o associate-mac-sec-key comando, você deve configurar o mesmo par no seu dispositivo. O dispositivo Direct Connect tenta usar a chave adicionada mais recentemente. Se essa chave não corresponder à chave do seu dispositivo, ela volta para a tecla de trabalho anterior, garantindo a estabilidade da conexão durante a rotação.

  Para obter informações sobre o usoassociate-mac-sec-key, consulte associate-mac-sec-key.

• Rotação da Chave de Associação Segura (SAK) (automática)

  O SAK, que é derivado do CKN/CAK par ativo, passa por rotação automática com base no seguinte:

  • intervalos de tempo

  • volume de tráfego criptografado

  • MACsec estabelecimento da sessão

  Essa rotação é feita automaticamente pelo protocolo, ocorre de forma transparente sem interromper a conexão e não requer intervenção manual. O SAK nunca é armazenado de forma persistente e é regenerado por meio de um processo seguro de derivação de chaves que segue o padrão IEEE 802.1X.

• MACsec é suportado em conexões Direct Connect dedicadas de 10 Gbps, 100 Gbps e 400 Gbps em pontos de presença selecionados. Para essas conexões, os seguintes conjuntos de MACsec cifras são suportados:

  • Para conexões de 10 Gbps: GCM-AES-256 e GCM-AES-XPN-256.

  • Para conexões de 100 Gbps e 400 Gbps, GCM-AES-XPN -256.

• Somente MACsec chaves de 256 bits são suportadas.

• A numeração de pacotes estendida (XPN, na sigla em inglês) é necessária para conexões de 100 Gbps e de 400 Gbps. Para conexões de 10 Gbps, o Direct Connect suporta GCM-AES-256 e -256. GCM-AES-XPN Conexões de alta velocidade, como conexões dedicadas de 100 Gbps e 400 Gbps, podem esgotar MACsec rapidamente o espaço original de numeração de pacotes de 32 bits, o que exigiria que você girasse suas chaves de criptografia a cada poucos minutos para estabelecer uma nova Associação de Conectividade. Para evitar essa situação, a emenda IEEE Std 802.1 AEbw -2013 introduziu a numeração estendida de pacotes, aumentando o espaço de numeração para 64 bits, facilitando o requisito de pontualidade para rotação de chaves.

• O Identificador de Canal Seguro (SCI, na sigla em inglês) é obrigatório e deve estar ativado. Esta configuração não pode ser ajustada.

• O IEEE 802.1Q (Dot1: q/VLAN) tag offset/dot 1) não q-in-clear é suportado para mover uma tag de VLAN para fora de uma carga criptografada.

• Crie um CKN/CAK par para a MACsec chave.

  Você pode criar o par usando uma ferramenta aberta padrão. O par deve atender aos requisitos especificados em Etapa 4: configurar um roteador on-premises.

• Verifique se você tem um dispositivo na sua extremidade da conexão que ofereça suporteMACsec.

• O Identificador de Canal Seguro (SCI) deve estar ativado.

• Somente MACsec chaves de 256 bits são suportadas, fornecendo a proteção de dados avançada mais recente.

• LAGs deve ser composto por conexões MACsec dedicadas capazes de suportar criptografia MACsec

• Todas as conexões dentro de um LAG devem ter a mesma largura de banda e suporte MACsec

• MACsec a configuração se aplica uniformemente em todas as conexões no LAG

• Habilitando a criação de LAG e MACsec pode ser feito simultaneamente

• Se a conexão estiver em um estado pendente, desassociaremos o CKN da conexão.

• Se a conexão estiver em um estado disponível, notificaremos o proprietário da conexão por e-mail. Se você não adotar nenhuma medida em até 30 dias, desassociaremos o CKN da sua conexão.