Arabic
التمريرة الأولى قلصت النثر فقط. سأعيد هيكلته بحيث يصبح المحتوى الجدولي جداول ويصبح النص المتبقي أكثر إحكامًا - وهذا يقلل عدد الكلمات بشكل كبير من الهدف البالغ 15%.
FC-SP-3: تأمين القنوات الليفية لعصر ما بعد الكم
في تكنولوجيا المعلومات الخاصة بالمؤسسات، تتم معظم الترقيات الأمنية بعد حدوث اختراق. يختلف معيار INCITS FC-SP-3: فهو يستجيب بشكل استباقي للمواعيد النهائية التنظيمية والتشفيرية التي تشكل بالفعل تخطيط البنية التحتية. يمنح نظام CNSA 2.0 الخاص بوكالة الأمن القومي أنظمة الأمن القومي مسارًا صعبًا للهجرة، في حين قام نظام NIS2 وDORA التابعان للاتحاد الأوروبي بدمج سياسات التشفير في برامج امتثال نشطة. تضيف الحوسبة الكمومية إلحاحًا - ليس لأن الكمبيوتر الكمي ذي الصلة بتحليل التشفير أصبح وشيكًا، ولكن لأن هجمات "الحصاد الآن، وفك التشفير لاحقًا" تكشف بيانات طويلة الأمد اليوم.
التوقيت مهم لأن القنوات الليفية تحمل البيانات التي لا تستطيع المؤسسات تحمل خسارتها. وتظل البنية التحتية الأساسية للتخزين المهم للغاية في مجالات التمويل والرعاية الصحية والحكومة والمرافق والقطاعات المنظمة الأخرى. وهو معزول ماديًا ومنطقيًا عن شبكة Ethernet، ولا يمكن توجيهه من شبكات Ethernet، ويتمتع بمزيد من الحماية من تقسيم المناطق النسيجية وإخفاء الأجهزة. مع شحن أكثر من 160 مليون منفذ وما زال أكثر من 35 مليون منفذ قيد التشغيل، فإن هذه القاعدة المثبتة هي بالضبط سبب أهمية FC-SP-3: فهي لا تتطلب استبدال شبكات SAN، ولكنها توفر طريقة قائمة على المعايير لتأمين البنى الموجودة.
الوجبات السريعة الرئيسية
| الوجبات الجاهزة | ماذا يعني |
|---|---|
| المعيار يتفوق على المواعيد النهائية | تم استكمال FC-SP-3 بواسطة INCITS T11 في عام 2026، وهو يفي بمتطلبات CNSA 2.0 وNIS2 وDORA قبل سنوات من تواريخ 2030/2031 |
| اطرح أولاً، ثم أضف المقاومة الكمومية | تمت إزالة التشفير القديم (3DES، MD5، SHA-1، sub-2048-bit DH)؛ تمت إضافة ML-KEM-1024 وML-DSA-87؛ المواصفات مقطوعة من 288 إلى 152 صفحة |
| التشفير بدون ضريبة البنية التحتية | يقوم التشفير المستقل أثناء الرحلة بإنشاء مفاتيح في HBA وتشغيلها بمعدل الخط - بدون خادم مفاتيح، ولا تغييرات في المحول، ولا يوجد تحميل لوحدة المعالجة المركزية المضيفة |
| تحافظ المصفوفة على قواها الخارقة | يحافظ تشفير طبقة النقل على اكتشاف الضغط وإلغاء البيانات المكررة وبرامج الفدية التي يهزمها التشفير على مستوى التطبيق |
| الامتثال يركب دورة التحديث | يؤدي الطرح المستمر للتحديث العادي لمدة 3 إلى 5 سنوات إلى توفير شبكة منطقة منطقة (SAN) مشفرة بالكامل ومقاومة للكم بحلول عام 2030 كمنتج ثانوي للشراء |
التشفير في الموعد النهائي
تعتمد بنيات التخزين التقليدية على الثقة الضمنية، إلا أن الهجمات المعقدة على هذه الطبقة يمكن أن تؤدي إلى تعرض كميات كبيرة من البيانات للخطر. أظهرت هجمات سلسلة التوريد - التي تجسدت في تقرير CISA للفترة 2019-2021 - أن التهديدات الداخلية التي تستغل المكونات المخترقة أصبحت أكثر شيوعًا. ردًا على ذلك، أصدر الرئيس الأمريكي بايدن الأمر التنفيذي رقم 14028 (12 مايو 2021)، الذي يتطلب تشفير البيانات الفيدرالية أثناء الراحة وأثناء النقل. وقد أجبر هذا الوكالات على اعتماد مجموعة CNSA الأصلية (CNSA 1.0)، والتي حددت الخوارزميات المعتمدة ولكنها لم تتوقع التهديدات الكمومية. تقوم CNSA 2.0 الآن بإعداد تلك المعايير للحوسبة الكمومية، وإيقاف الخوارزميات الضعيفة وإدخال خوارزميات مقاومة للكم على جدول زمني مرحلي.
الجدول الزمني لإنفاذ CNSA 2.0
| موعد التسليم | متطلبات |
|---|---|
| بعد 31 ديسمبر 2025 | تبدأ مرحلة التنفيذ الأولى |
| 1 يناير 2027 | يجب أن تكون عمليات تثبيت نظام الأمن القومي الجديد متوافقة تمامًا مع CNSA 2.0 |
| 31 ديسمبر 2030 | اكتمل إيقاف تشغيل الأنظمة غير المتوافقة |
| 31 ديسمبر 2031 | تستخدم جميع أنظمة الأمن القومي CNSA 2.0 حصريًا |
والولايات المتحدة ليست وحدها. ينطبق قانون DORA الخاص بالاتحاد الأوروبي على المؤسسات المالية، ويفرض إعداد تقارير صارمة وإدارة المخاطر واختبار الأمان؛ يتطلب NIS2 من الدول الأعضاء تبادل المعلومات المتعلقة بالتهديدات ومواجهة هجمات سلسلة التوريد. كلاهما يتطلب تشفيرًا قويًا أثناء الرحلة وأثناء الراحة، وهو ما تقدمه FC-SP-3.
Q-Day والحصاد الآن، وفك التشفير لاحقًا
تلتقط هجمات "HNDL" حركة المرور المشفرة اليوم لفك تشفيرها بمجرد وجود كمبيوتر كمي قوي. تقاوم الخوارزميات الحالية القوة الغاشمة على الأجهزة التقليدية، لكن الكمبيوتر الكمي ذي الصلة بتحليل التشفير (CRQC) يمكنه كسر RSA وECC. للتصدي لهجوم Q-Day محتمل، تفرض وكالة الأمن القومي الامتثال لـ CNSA 2.0 بحلول 31 ديسمبر 2031 - قبل توفر CRQC المتوقع - باستخدام خوارزميات ما بعد الكم المبنية على مشاكل مستعصية حتى بالنسبة للآلات الكمومية.
عقدين من أمن القنوات الليفية
FC-SP-3 هو الجيل الثالث لأكثر من عشرين عامًا من العمل من قبل لجنة T11 التابعة لـ INCITS. معيار سابق (تمت الموافقة عليه عام 2002، تم نشره عام 2007) أنشأ ضوابط تقسيم المناطق والتجزئة؛ أضاف FC-SP-2 (2012) المصادقة والتشفير، وتطور من خلال التعديلات في عامي 2015 و2023؛ تمت الموافقة على FC-SP-3 كمشروع في عام 2022 وتم الانتهاء منه مؤخرًا. وهذا تحديث مجدول لإطار عمل ناضج، وليس استجابة مثبتة - تم تطويره بشكل علني من قبل البائعين الذين يقومون ببناء المعدات، برئاسة روجر هاثورن (IBM)، وتحريره بواسطة ديفيد بيترسون وجيمس سمارت (Broadcom)، مع مساهمين من Broadcom، وCisco، وDell، وHPE، وIBM، وMarvell، وNetApp، وViavi. اتفقت الشركات التي تتنافس على كل مقبس SAN على كيفية عمل التشفير عبر تلك المقابس.
ما هي التغييرات FC-SP-3
التغيير الرئيسي هو الطرح — إزالة التشفير القديم FC-SP-2 الذي لا يزال قائمًا.
تمت الإزالة مقابل التشفير المضاف
| تمت الإزالة (قديمة) | تمت الإضافة (محاذاة CNSA 2.0) |
|---|---|
| 3DES، AES-CTR | ML-KEM-1024 (مؤسسة المفتاح، NIST FIPS 203) |
| MD5، SHA-1، RSA-SHA-1 | ML-DSA-87 (التوقيعات الرقمية، NIST FIPS 204) |
| مجموعات DH-CHAP أقل من 2048 بت | ECDSA في 384 و 512 بت |
| أطوال مفاتيح AES أقل من 256 بت (GCM/CBC) | PRFs المستندة إلى SHA-2 |
| استخدام نصف القطر | مطلوب AES-GCM لإدارة اقتران الأمان |
| المصادقة المقطعية؛ بروتوكولات FC-PAP وFC-EAP | — |
يؤدي إخفاء طريقة تشفير الحمولة إلى إجبار المهاجمين على اختبار مجموعة واسعة من الخوارزميات بتكلفة عالية، بينما يتصدى ML-KEM للاعتراض بشكل فعال. إن التغيير الهيكلي له نفس القدر من الأهمية: نموذج الامتثال المتدرج الخاص بـ FC-SP-2 - والذي أجبر المستوى الأدنى (Auth-A) البائعين على دعم MD5 المتقادم و2048 بت DH لمجرد البقاء متوافقين - تم استبداله بملفات تعريف قابلية التشغيل البيني (الملحق أ). يدعم التنفيذ المتوافق ملفات التعريف المطابقة لبيئته المستهدفة؛ القرارات المتعلقة بالمتطلبات تقع على عاتق هيئات مثل NIST ووكالة الأمن القومي، وليس معيار النقل. يغطي الملحق د التوافق مع الإصدارات السابقة مع FC-SP-2، لذا فإن الأقمشة المختلطة لها مسار موثق بدلاً من الهاوية. يعمل وضع التدقيق على تسهيل عملية النقل من خلال الحفاظ على الوصول أولاً، وتطبيق الإجراءات الأكثر صرامة فقط عندما تكون نقطتا النهاية قادرين على ذلك.
وضع FC-SP-3 على شبكة SAN المباشرة
يحدد FC-SP-3 الأدوات وسلوك التفاوض؛ إن كيفية تطبيقها على القماش الجاري تتلخص في نموذجين محايدين ومتوافقين مع البائع.
نماذج النشر مقارنة
| وجه | نموذج الخادم الرئيسي | التشفير الذاتي على متن الطائرة |
|---|---|---|
| المصدر الرئيسي | مدير المفاتيح الخارجي (KMIP) | تم إنشاؤها داخل HBA |
| بنية تحتية | الخوادم الرئيسية + مسارات الشبكة + الانضباط التشغيلي | لا شيء مطلوب |
| أفضل ملاءمة | متاجر الحواسيب المركزية/عالية الامتثال تعمل بالفعل على تشغيل KMIP | طرح على مستوى النسيج على المعدات الموجودة |
| تبديل التغييرات | لا أحد | لا أحد |
| احتياطي | — | يتفاوض تلقائيًا، ويتراجع عندما يفتقر أحد الأقران إلى الدعم |
يتم تشغيل التشفير أثناء الطيران في شريحة سيليكون مخصصة بمعدل خط كامل - دون فرض عقوبات على الإنتاجية، أو تحميل وحدة المعالجة المركزية المضيفة. نظرًا لأن التشفير يحدث في طبقة النقل، فإن البيانات لا تزال تصل إلى المصفوفة في شكل قابل للاستخدام، مما يحافظ على الضغط وإلغاء البيانات المكررة والكشف عن الشذوذ في نسبة الضغط (إشارة برنامج الفدية الرئيسية) التي يدمرها التشفير على مستوى التطبيق. إنه يناسب الدفاع المتعمق: تشفير الارتباط بالإضافة إلى التشفير على القرص الكامل أو على مستوى الصفيف أثناء عدم التشغيل، والمثبت بنقاط نهاية ذات ثقة معدومة - جذر السيليكون للثقة، وشهادة SPDM المتبادلة بين وحدة المعالجة المركزية وHBA، وبرامج التشغيل الموقعة بالتشفير. يتيح وضع التدقيق للمسؤولين معاينة الروابط التي سيتم تشفيرها قبل التنفيذ، مما يحول عملية التقسيم التخريبية إلى عملية تدريجية يمكن التحقق منها. يتم شحن التشفير المستقل على متن الطائرة بالفعل في HBAs التي تدعم FC-SP-3؛ يمكن لأي نقطة نهاية متوافقة المشاركة، وتقوم معظم الشركات المصنعة الأصلية للتخزين بإضافتها حتى عام 2026.
ما الذي يحمي منه التشفير أثناء الطيران؟
تغادر وصلات FC الغرفة التي تنشأ منها، وتعبر القنوات والرافعات ومسارات الحرم الجامعي. لا يحتاج المهاجم الذي يتمتع بإمكانية الوصول الفعلي إلى الألياف إلى قطعها؛ يمكن للمراقبة السلبية قراءة حركة المرور دون أي تنبيه. داخل المبنى، يمكن لأي شخص من الداخل لديه إمكانية الوصول إلى لوحة التصحيح تسجيل حركة المرور، ويمكن لأدوات التشخيص التقاط الإطارات في سجلات الخدمة. يقوم التشفير أثناء الطيران بإغلاق كل هذه المسارات مرة واحدة: أي شيء يتم التقاطه بين نقطتي نهاية FC-SP-3 - من الألياف المنحنية أو لوحة التصحيح أو ملف السجل - هو نص مشفر بدون مفتاح متاح عند نقطة الالتقاط. يؤدي التشفير في طبقة النقل إلى حماية البيانات أثناء النقل مع إبقائها قابلة للاستخدام في المصفوفة، وهذا هو سبب تفضيلها على التشفير على مستوى التطبيق.
الطريق إلى شبكة SAN مشفرة بالكامل
تعمل خارطة طريق FCIA على رياضيات دورة التحديث: يتم تجديد الخوادم ووحدات التخزين كل ثلاث إلى خمس سنوات، لذا فإن كل نسيج تقريبًا يستبدل نقاط النهاية الخاصة به مرة واحدة على الأقل قبل المواعيد النهائية 2030/2031. يقوم كل مورد رئيسي للخوادم بشحن محولات تدعم FC-SP-3، وتضيف معظم الشركات المصنعة الأصلية للتخزين اتصالاً متوافقًا حتى عام 2026. تتفاوض نقاط النهاية القادرة على التشفير تلقائيًا وتتعايش مع المعدات القديمة؛ يتحقق وضع التدقيق من الاستعداد قبل التنفيذ. ليس هناك حاجة إلى حدث رافعة شوكية. إن المنظمة التي تتجدد في إيقاعها الطبيعي وتحدد FC-SP-3 عند وصولها تصل إلى عام 2030 مع شبكة SAN مشفرة بالكامل ومقاومة للكم كمنتج ثانوي للمشتريات الروتينية.
خاتمة
إن FC-SP-3 ليس معيارًا مبهرجًا، وهذه هي فضيلته. فهو يزيل التشفير الذي كان ينبغي إيقافه منذ سنوات مضت، ويضيف خوارزميات ما بعد الكم التي يطلبها المنظمون من NIST، ويستبدل نموذج الامتثال المعيب بملفات تعريف قابلية التشغيل البيني. إنها تصل إلى سنوات قبل التفويضات التي تفي بها، ضمن دورات التحديث التي كانت الشركات تخطط لها بالفعل. تمت هندسة الأجزاء الصلبة بعيدًا: لا توجد تغييرات في المفاتيح، ولا توجد بنية تحتية أمنية إضافية، ولا توجد عقوبات على وحدة المعالجة المركزية المضيفة، ووضع التدقيق الذي يجعل عملية الطرح قابلة للملاحظة قبل التنفيذ.
التحذير هو أن المعيار عبارة عن مجموعة أدوات، وليس نشرًا. لا شيء يشفر نفسه: يجب على المؤسسات جرد HBAs ووحدات التخزين الخاصة بها، وتحديد FC-SP-3 في عمليات الشراء القادمة، وتمكين الأمان حيث تعمل نقاط النهاية القادرة على ملء النسيج. بالنسبة للتمويل والرعاية الصحية والمرافق والحكومة، فإن هذا العمل له موعد نهائي سواء قام أي شخص بجدولة ذلك أم لا - HNDL يعني أن البيانات المسروقة اليوم أصبحت مكشوفة بالفعل لأجهزة الكمبيوتر الكمومية في العقد المقبل. يعمل FC-SP-3 على سد الفجوة من خلال جعل الأمن أحد تفاصيل المشتريات بدلاً من المشروع، مع الحفاظ على القناة الليفية كما كانت منذ عقدين من الزمن: تثق الصناعات الخاضعة للتنظيم النسيجي بالبيانات التي لا يمكنها تحمل خسارتها.
مسرد
| شرط | تعريف |
|---|---|
| 3DES | ثلاثية ديس؛ تمت إزالة تشفير الكتلة القديم في FC-SP-3 |
| AES-GCM/CBC/نسبة النقر إلى الظهور | أوضاع AES؛ GCM مطلوب لإدارة اقتران الأمان، وتمت إزالة نسبة النقر إلى الظهور، وتم إسقاط المفاتيح التي يقل حجمها عن 256 بت |
| سي إن إس إيه 2.0 | مجموعة الخوارزميات المقاومة للكم التابعة لوكالة الأمن القومي والمواعيد النهائية لأنظمة الأمن القومي الأمريكية |
| CRQC | الكمبيوتر الكمي ذو الصلة بالتحليل المشفر، قوي بما يكفي لكسر تشفير المفتاح العام الحالي |
| المصادقة المقطعية | مصادقة FC Common Transport على خدمات النسيج؛ تمت إزالته في FC-SP-3 |
| DH-CHAP | بروتوكول مصادقة القناة الليفية يقترن CHAP مع Diffie-Hellman؛ انخفضت المجموعات أقل من 2048 بت |
| دورا | قانون المرونة التشغيلية الرقمية، لائحة الاتحاد الأوروبي بشأن مخاطر تكنولوجيا المعلومات والاتصالات في القطاع المالي |
| ECC/ECDSA | التشفير/التوقيعات ذات المنحنى الإهليلجي؛ تم الاحتفاظ بها عند 384 و 512 بت جنبًا إلى جنب مع ML-DSA |
| FC-PAP/FC-EAP | تمت إزالة بروتوكولات المصادقة القديمة FC-SP-2 في FC-SP-3 |
| FCIA | رابطة صناعة القنوات الليفية |
| HBA | محول الناقل المضيف، بطاقة واجهة FC في الخوادم/التخزين |
| HNDL | احصد الآن، وفك التشفير لاحقًا |
| إنسيتس/T11 | هيئة المعايير ولجنتها الفنية FC التي تطور FC-SP-3 |
| KMIP | بروتوكول التشغيل البيني لإدارة المفاتيح |
| MD5/SHA-1/SHA-2 | وظائف التجزئة. تمت إزالة MD5 وSHA-1، ويحل محلهما SHA-2 |
| مل-دسا-87 | خوارزمية التوقيع ما بعد الكم (FIPS 204)، تمت إضافتها في FC-SP-3 |
| مل-كيم-1024 | إنشاء مفتاح ما بعد الكم (FIPS 203)، تمت إضافته في FC-SP-3 |
| شيكل 2 | توجيه الاتحاد الأوروبي لأمن الشبكات والمعلومات 2 |
| PQC | التشفير ما بعد الكم |
| بي آر إف | وظيفة عشوائية زائفة. مطلوب PRFs المستندة إلى SHA-2 |
| يوم Q | النقطة التي يقوم فيها CRQC بكسر تشفير المفتاح العام الحالي |
| نصف القطر | بروتوكول مصادقة الشبكة؛ تمت إزالة الاستخدام من FC-SP-3 |
| آر إس إيه | خوارزمية المفتاح العام التي يمكن لـ CRQC كسرها؛ تمت إزالة RSA-SHA-1 |
| SPDM | بروتوكول الأمان ونموذج البيانات، لشهادة وحدة المعالجة المركزية/HBA |
شركة بكين تشيانشينغ جيتونغ للتكنولوجيا المحدودة
ساندي يانغ / مدير الإستراتيجية العالمية
واتساب/وي تشات: +86 13426366826
البريد الإلكتروني: yangyd@qianxingdata.com
الموقع الإلكتروني: www.qianxingdata.com/www.storagesserver.com
التركيز على الأعمال:
توزيع منتجات تكنولوجيا المعلومات والاتصالات / تكامل النظام والخدمات / حلول البنية التحتية
مع أكثر من 20 عامًا من الخبرة في توزيع تكنولوجيا المعلومات، نتعاون مع العلامات التجارية العالمية الرائدة لتقديم منتجات موثوقة وخدمات احترافية.
"استخدام التكنولوجيا لبناء عالم ذكي" مزود خدمة منتجات تكنولوجيا المعلومات والاتصالات الموثوق به!