小投入大回報(bào) 廣域網(wǎng)加密不可或缺
2010/10/14
我的一位同事曾問我，“你的車停在了哪里?”我告訴他我的車停放的位置。然后，他又問我，你怎么知道車仍在停留在原來(lái)的位置，難道有些愛開玩笑的家伙不會(huì)將你的車弄到別處嗎?此類事情曾經(jīng)發(fā)生在我身上，所以我知道這是可能的。然后，他又問道，“如果一些家伙把你的車移到了一個(gè)位置，而另外一些家伙又將你的車移到了原來(lái)的位置，你又怎么會(huì)知道?”其實(shí)，這個(gè)問題可以在網(wǎng)絡(luò)安全領(lǐng)域中出現(xiàn)。你怎么保證期望發(fā)生的事情真得會(huì)發(fā)生呢?廣域網(wǎng)的一個(gè)問題是：怎樣才足夠安全呢?一旦數(shù)據(jù)離開你的網(wǎng)絡(luò)，你又怎會(huì)知道它會(huì)發(fā)生什么事情?如果不加密的數(shù)據(jù)離開網(wǎng)絡(luò)后被人竊取了，這該如何是好?
如果你與電信公司的廣域網(wǎng)服務(wù)工作人員交談，其VPN的定義將是覆蓋網(wǎng)絡(luò)，由共享架構(gòu)上的另外一個(gè)網(wǎng)絡(luò)所承載。電信公司對(duì)于VPN的定義不同于VPN作為兩節(jié)點(diǎn)間的認(rèn)證和加密的第三層隧道這個(gè)定義，一個(gè)節(jié)點(diǎn)即一個(gè)網(wǎng)絡(luò)。電信公司的定義假定電信公司的雇員是值得信任的。后一個(gè)定義并不在乎電信公司的雇員是否值得信任。
上面關(guān)于電話的例子可能有點(diǎn)兒離題，但卻能說明問題。但是，電信公司的工作人員總在談?wù)搸欣^或MPLS VPN，如果你認(rèn)為這些技術(shù)是安全的，你就錯(cuò)了。這些技術(shù)所涉及的安全，其意義是雇員并不會(huì)嗅探通信，并且運(yùn)用了第二層和第三層的技術(shù)對(duì)不同的通信進(jìn)行了分離，還有，電信公司要部署一套過程，以保證不會(huì)發(fā)生未授權(quán)的數(shù)據(jù)或服務(wù)操作。筆者并不是說電信公司不可信，也不是說你未加密的幀中繼或MPLS VPN不會(huì)被嗅探。這里的意思是你并不能保證你的數(shù)據(jù)不會(huì)被任何人嗅探，因而，在將數(shù)據(jù)交付WAN之前需要對(duì)通信進(jìn)行加密。
這應(yīng)當(dāng)成為標(biāo)準(zhǔn)的操作進(jìn)程，但是我們常聽說不同公司的IT管理員將敏感數(shù)據(jù)通過電信公司所定義的VPN進(jìn)行傳輸。PCI(付款卡行業(yè))的數(shù)據(jù)安全標(biāo)準(zhǔn)等規(guī)范使大眾理解了網(wǎng)絡(luò)加密的必要性，但是從IT管理員的觀念來(lái)看，他們相信電信公司會(huì)保護(hù)自己的數(shù)據(jù)流。當(dāng)然，我們不能想當(dāng)然地認(rèn)為電信公司的工作人員不可信任，也不能認(rèn)為他們會(huì)嗅探客戶的數(shù)據(jù)。
與購(gòu)買其它的服務(wù)或設(shè)備相比，無(wú)論是在第三層的VPN還是在第二層進(jìn)行數(shù)據(jù)加密，其成本都不太高。加密的性能如今已經(jīng)到達(dá)了較高的水平，網(wǎng)絡(luò)加密不再成為網(wǎng)絡(luò)操作的瓶頸或阻礙，當(dāng)然，提前條件是加密是數(shù)據(jù)包進(jìn)入廣域網(wǎng)之前的最后過程，是數(shù)據(jù)包從廣域網(wǎng)傳輸過來(lái)的第一步。事實(shí)上，即使是IP報(bào)頭信息(如QoS標(biāo)記)也可以從加密的數(shù)據(jù)包被傳輸?shù)酵獠康臄?shù)據(jù)包，所以基于電信公司的處理仍可強(qiáng)化。不管你是否管理自己的VPN加密，或是將其外包給某家服務(wù)供應(yīng)商，你都沒有理由不對(duì)數(shù)據(jù)加密，無(wú)論這些數(shù)據(jù)是否經(jīng)過互聯(lián)網(wǎng)，或是經(jīng)過電信公司的VPN服務(wù)。
選擇數(shù)據(jù)加密和保護(hù)方案的理想標(biāo)準(zhǔn)應(yīng)是高可靠性、高吞吐量、低延遲性，只有這樣才能有效地保護(hù)語(yǔ)音和視頻等動(dòng)態(tài)數(shù)據(jù)。
