數(shù)據(jù)中心與配套提供源碼 - MACsec綜合FPGA的IP內(nèi)核提升數(shù)據(jù)中心安全性

ICV 協(xié)同加密密鑰，可認證包括報頭和MACsec 標(biāo)簽的幀，進而確保幀的源地址和目的地地址都不會被篡改。我們在FPGA 架構(gòu)中實現(xiàn)該邏輯，確保其能夠具備快速的可預(yù)測的時序，從而最大程度地降低時延。

MACsec 內(nèi)核包括連接到每個源地址的查找表。該表包含的密鑰必須能夠用來成功解密消息，我們精心設(shè)計該功能，使其能夠高效實現(xiàn)在LUT和器件的Block RAM 中。我們充分利用FPGA 解決方案的靈活性，采用實現(xiàn)方案選項（如可采用128 位或256位密鑰，也可修改內(nèi)核支持的虛擬SecY 數(shù)量）來設(shè)計內(nèi)核。

新標(biāo)準(zhǔn)的另一個重要特性就是，MACsec 可收集數(shù)據(jù)包級的統(tǒng)計數(shù)據(jù)。系統(tǒng)管理員能夠了解有關(guān)信息（如多少數(shù)據(jù)包因為延遲而被拒收，或者因為無效解密密鑰或使用錯誤密鑰而未通過完整性檢查），并將這些統(tǒng)計數(shù)據(jù)與正確傳輸?shù)臄?shù)據(jù)包數(shù)量進行比較。

MACsec 標(biāo)準(zhǔn)可面向點對點應(yīng)用提供精簡選項。這樣就無需采用CAM 從數(shù)據(jù)包中的顯式安全通道標(biāo)識符和單點到多點操作的選擇方案中確定密鑰。我們的內(nèi)核還可支持關(guān)聯(lián)于單個以太網(wǎng)的多個虛擬SecY，這樣，不同的密鑰就能用來加密從MAC 傳輸?shù)讲煌康牡氐臄?shù)據(jù)。MACsec 標(biāo)準(zhǔn)將這種配置定義為多用戶局域網(wǎng)，因為這就像這些目的地位于不同以太網(wǎng)LAN 上一樣。該特性使得系統(tǒng)能夠通過使用不同密鑰加密輸出來對接收設(shè)備進行分區(qū)。

數(shù)據(jù)中心可能會采用多個SecY來創(chuàng)建虛擬分區(qū)，這樣客戶A 的數(shù)據(jù)就可通過唯一的加密密鑰與客戶B 的數(shù)據(jù)劃分開。

數(shù)據(jù)中心內(nèi)部通信可根據(jù)需要進行組織來分隔選定的機架，進而提供虛擬隔離區(qū)。這種功能可保護數(shù)據(jù)完整性，并應(yīng)對數(shù)據(jù)中心和云應(yīng)用中的隔離問題。無論是意外錯誤連接還是惡意行為（見圖4），MACsec 系統(tǒng)都能檢測到未經(jīng)認證的數(shù)據(jù)包，系統(tǒng)管理員可通過設(shè)置策略將其隔離或刪除。

?

圖4 – MACsec將拒絕通過錯誤連接抵達的數(shù)據(jù)包，無論是因為意外情況造成還是惡意行為導(dǎo)致。

所有數(shù)據(jù)加密和解密都在端口級進行。除了附加的MACsec 報頭和較少的額外時延，打開端口級加密不會增加開支，也不會對性能造成其它影響。

通過采用符合IEEE 802.1AE 要求的加密Ethernet Lecel 2 方案，設(shè)備廠商現(xiàn)在能用這些內(nèi)核推動其系統(tǒng)特色化。基于云的用戶可能與其他用戶相互之間不信任，但他們現(xiàn)在能夠從MACsec 提供的數(shù)據(jù)機密大獲裨益，并且數(shù)據(jù)源認證功能可進一步保護他們的數(shù)據(jù)。

設(shè)備制造商則能選擇可用的IP 核來滿足1Gb 和10 Gb 以太網(wǎng)吞吐量的需求。

這種架構(gòu)設(shè)計能通過Kintex 或Virtex FPGA 器件輕松實現(xiàn)10Gbps 的速度。在最壞情況下，該設(shè)計只需更改每個數(shù)據(jù)包的密鑰便可支持巨型幀和最小型數(shù)據(jù)包。內(nèi)核符合全面規(guī)范要求，每個MACsec 內(nèi)核都能支持各種常用的FPGA 產(chǎn)品系列。

配套提供源碼

Algotronix 采取了不同尋常的措施，即為所有許可的內(nèi)核提供HDL源碼。這樣做的主要動機是支持客戶檢查，以便確保代碼不含病毒或特洛伊木馬代碼，而且不會強制進入非授權(quán)狀態(tài)或操作。有了源碼，就能降低客戶安全審核的成本和復(fù)雜性。此外，源碼可加速設(shè)計進程，因為工程師能夠方便地嘗試使用諸如加密、解密或加密/ 解密等不同配置參數(shù)和密鑰長度，并了解其各自仿真內(nèi)核中的信號狀態(tài)。

您可對內(nèi)核進行配置，通過實現(xiàn)較寬的數(shù)據(jù)路徑來提高吞吐量，或通過選擇較窄的數(shù)據(jù)寬度來最大程度地減小FPGA 封裝尺寸。擁有源碼還有其它更多優(yōu)勢，包括更便于了解內(nèi)核工作情況；也讓文檔記錄和歸檔變得更快捷方便。

此外，還配套提供了廣泛的驗證測試平臺，可幫助客戶在ModelSim等工具中確認操作是否正確。測試平臺包括MACsec 的行為模型和MACsec IP 核的自檢版本，能針對行為模型檢查可綜合硬件的輸出。這種自檢設(shè)計可在用戶仿真中實現(xiàn)實例化，便于測試實際用戶設(shè)計環(huán)境下的內(nèi)核表現(xiàn)，并在錯誤驅(qū)動的情況下提供有用的診斷信息。

內(nèi)核可提供許多選項，因此精確的資源數(shù)量將取決于您如何選擇參數(shù)，如數(shù)據(jù)速率、密鑰長度和所選SecY 數(shù)量以及其它。然而，賽靈思網(wǎng)站IP 部分列出的10G MACsec 內(nèi)核采用6,638 個slice、20,916 個LUT 和53 個BRAM 塊。如需獲取許可證選項，敬請聯(lián)系A(chǔ)lgotronix。

賽靈思低功耗 FPGA 與Algotronix MACsec 內(nèi)核的完美結(jié)合為設(shè)備制造商實現(xiàn)產(chǎn)品差異化提供了高性能、低時延的解決方案。安全特性使得數(shù)據(jù)中心能夠確保其客戶機密，同時還可幫助安全管理員檢測并打擊惡意行為。