Rechenzentrums-Infrastruktur aber sicher!

Transkript

1 Rechenzentrums-Infrastruktur aber sicher! Nürnberg, den Arno Wrobel

2 Rechenzentrums-Infrastruktur aber sicher! A G E N D A : Verschlüsselungslösungen auf Glasfaser-Ebene BSI-zertifizierte 8Gb SAN-Verschlüsselung 2

3 Analyse einer Bedrohung Daten sind abhörbar Datenleitungen werden häufig ungeschützt betrieben gilt für alle Verbindung nicht nur für das Internet gilt erstaunlicherweise auch für die oftmals redundant ausgeführten optischen Verbindungen zwischen Data Centern Daten in einem MAN oder WAN können mitgelesen werden physikalische Zugriff, z. B. auf Gehwegen mitten in der Stadt, ist erschreckend einfach möglich gilt auch für Glasfaserleitungen: sie sind nicht abhörsicher : insgesamt mit geringem technischen Aufwand möglich 1. Glasfaser von der Ummantelung befreien 2. leicht gebogen, tritt ein kleiner Teil des Lichts aus 3. Daten mit Biegekopplers auslesen 4. bei WDM (Wave Division Multiplexer): mit Decoder einzelne Datenströme herausfiltern und aufzeichnen 3

4 Analyse einer Bedrohung Wie man Datennetze schützen kann Ziel: sensible Daten dürfen nicht in falsche Hände geraten in den Daten steckt oftmals ein großer Teil des Unternehmenswertes datenschutzrechtliche Vorgaben müssen erfüllt werden: Teledienste-Datenschutzgesetz Bundesdatenschutzgesetz (BDSG): z. B. 7: ein Unternehmen haftet bei unrichtiger Datenverarbeitung verschuldensunabhängig und ist schadenersatzpflichtig Lösungen: Verschlüsselung der Daten komplette Leitungsverschlüsselung mit anerkanntem und zuverlässigem Verfahren möglichst geringe Verzögerung (Latenz) für alle Arten von Verbindungen (MAN, WAN, synchron, asynchron) 4

5 Kriterien einer Verschlüsselungslösung Auswahl von Sicherheitsprodukten Markt bietet Vielzahl von Sicherheitsprodukten an: Verschlüsselungsverfahren: für RZ-Verbindungen: Symmetrisches Verfahren, da deutlich schneller als asymmetrisches Verfahren Sender & Empfänger nutzen identischen geheimen Schlüssel BSI (Bundesamt für Sicherheit in der Informationstechnik) empfiehlt in der technischen Richtlinie TR vom Januar 2013: Verschlüsselungs-Algorithmus AES (Advanced Encryption Standard) in Belgien von Joan Daemen und Vincent Rijmen entwickeltes symmetrisches Kryptosystem standardisiert im Oktober 2000 vom National Institute of Standards and Technology (NIST) Schlüssellänge 256 bit: Schlüssellängen > 96 bit gelten heutzutage als sicher wenn zukünftig Quanten-Computer möglich sind, sollte Schlüssellänge > 192 bit sein 5

6 Verschlüsselung auf Glasfaserverbindungen ADVA Multiprotokoll Encryption-Lösung Layer 1 basierte Verschlüsselungslösung: 5TCE-Karte für FSP3000-System von ADVA: Verschlüsselung der kompletten Verbindung mit AES-256 Algorithmus Schlüssel wird alle 10 Min. gewechselt Encryption-Lösung unterstützt Vielzahl an unterschiedlichen Protokollen (auch für Mainframe) viele Eingangsports auf einen Ausgangsport: durch Kombination aus Verschlüsselung und Zeitmultiplexer geringe Latenz 5TCE-Karte 6

7 Verschlüsselung auf Glasfaserverbindungen ADVA Multiprotokoll Encryption-Lösung ADVA 5TCE-Karte mit Encryption fünf Eingangs-Ports für: 1/10 GE, 1 10 Gb FC, Coupling Link (ISC-3) bzw. Parallel Sysplex (PSIFB), 5 Gb InfiniBand, SDH (STM-16/64) ein Ausgangsport (10 Gb) für: SDH (STM-64), DWDM oder dark fiber mehrere 5TCE-Karten im 7HU-Chassis ein oder zwei 5TCE-Karten im 1HU-Chassis FSP3000 (7 HE) 5TCE-Karte in FSP3000 (1 HE) dacoso ist Elite Partner von ADVA 7

8 Verschlüsselung auf Glasfaserverbindungen ADVA Multiprotokoll Encryption-Lösung ADVA-Lösung mit DWDM- oder SDH-Systemen beliebiger Hersteller kombinierbar Verschlüsselung bestehender Herstellersysteme, die (noch) keine Encryption-Lösung anbieten Primär-Anschluss DWDM- bzw. SDH-Systeme auch für Carrier interessant, die SDH-Netz betreiben: bestehende STM-16 / STM-64 Verbindungen lassen sich verschlüsseln neue Kunden für Data-Center Verschlüsselung können gewonnen werden redundanter Ring (SDH oder dark fiber) Optional: redundanter Anschluss DWDM- bzw. SDH-Systeme 8

9 Verschlüsselung auf Glasfaserverbindungen ADVA Multiprotokoll Encryption-Lösung High End Verschlüsselung bis 100G 9

10 Erste integrierte DWDM Layer 1 verschlüsselte Lösung für eine Übertragung bis 100G High End Verschlüsselung bis 100G 10

11 Verschlüsselung auf Layer 1 Vorteile der ADVA-Encryption-Lösung ADVA-Encryption Schnelligkeit und Sicherheit auf ganzer Linie: Implementierung nutzt das Verschlüsselungsverfahren AES-256 Schlüsseltausch alle 10 Minuten (auf Basis des Diffie-Hellman-Algorithmus) bietet ein Höchstmaß an Sicherheit Key Management liegt ausschließlich in Kundenhand gewährleistet, dass auch Carrier und Integratoren keinen Zugriff haben Daten werden in Leitungsgeschwindigkeit verschlüsselt Datenverkehr wird nur minimal verzögert Echtzeitüberwachung und analyse durch kontinuierliche Messung der Signalstärke erkennt: Brüche oder Biegungen im Lichtwellenleiter illegale Abhöreinrichtungen, die Integrität von geschäftskritischen Daten gefährden 11

12 Anwendungsszenarien BSI-zertifizierte 8Gb SAN-Verschlüsselung Kombination WAN 10G Encryptor TDM-Karte FSP 3000 Aggregation von Speicher und/oder Daten Diensten (1G-8G) Kombination aus: TDM Karte ohne Verschlüsselung: ADVA FSP3000 (5:1 & 10:1) Verschlüsselung des TDM Links mit dem atmedia 10G Verschlüsselungs-System WAN Transport über Dark-Fiber, WDM oder SDH (STM-64c) BSI-zertifizierte SAN-Verschlüsselung bis 8 Gbit/s 12

13 Anwendungsszenarien Data Center Kopplung über MAN und WAN Business Continuity und Disaster Recovery incl. Verschlüsselung Data Center Berlin WAN WAN Data Center Hamburg Redundate dark fiber mit WDM Data Center Potsdam 13

14 dacoso das inhabergeführte Systemhaus für data communication solutions Immer nah am Kunden. Standorte und Mitarbeiter. 12 Standorte in DACH und Servicepartner in weiteren Ländern flächendeckende Präsenz in DACH 12 Standorte mehr als 50 hochqualifizierte, zertifizierte und sicherheitsüberprüfte Mitarbeiter im Service 24/7 Erreichbarkeit Deutsches Network Operation Center Weltweiter Service durch die Global Connectivity Alliance 14

15 IT und Connectivity wachsen zusammen dacoso liefert die Lösungen Ein schlüssiges Portfolio: Data Center Services / Leistungen Synchrone Data-Center-Kopplung Asynchrone Data-Center-Kopplung SAN-Design Netzdesign Carrier-Leistungen 24/7-Service NOC-Service Migration POC Messdienstleistungen 15

16 16

17 Danke!