При передаче зашифрованных данных по тихоокеанским кабелям и наземным сетям между Лос-Анджелесом и Мельбурном инженерам из компаний Telstra, Ericsson и Ciena удалось довести скорость до 100 Гбит/с. При этом данные шифровались непосредственно в процессе передачи.

Дистанция составила 21940 км. Из США в Японию данные шли по подводному кабелю Unity, а затем из Японии на Гуам и дальше в Австралию по кабелю AJC. В январе этого года был проведен аналогичный эксперимент, в котором данные шли по другому маршруту длиной 14897 км — по кабельной системе AAG на Гавайи, а оттуда в Австралию по кабелю Endeavour компании Telstra. В этом эксперименте скорость передачи составляла 10 Гбит/с.

Результаты эксперимента показывают, что шифрование в процессе передачи такого объема данных можно обеспечить даже при передаче на дальние расстояние через несколько сетей разных операторов, и что данные можно шифровать не только на уровне приложений, но и на уровне сети без всякого ущерба для производительности, подчеркивается в совместном заявлении компаний. Эксперименты такого рода необходимы для дальнейшего коммерческого применения технологий.

13 сентября корпорация IBM представила партнерам и заказчикам в Москве мейнфреймы z14. Презентацию, дата которой совпала с отгрузкой первого z14, изготовленного на заводе в штате Нью-Йорк, провели представители международных структур подразделения IBM Z и руководители московского офиса IBM.

В IBM позиционируют современные мейнфреймы как важнейшие компоненты цифровой трансформации предприятий, обладающие необходимыми свойствами для формирования ядра облачной инфраструктуры и способные эффективно поддерживать набирающие популярность бизнес-платформы на основе технологий блокчейна.

Системы z14 содержат до 170 конфигурируемых процессорных ядер; при работе с операционными системами z/OS и Linux они более чем на треть производительнее предыдущих моделей, z13. Объем оперативной памяти достигает 32 Тбайт, что втрое больше, чем в z13, а новый быстродействующий интерфейс zHyperLink Express для работы с системами хранения способен в полтора раза сократить время отклика чувствительных к операциям ввода-вывода приложений.

Процессоры z14, норма проектирования которых составляет 14 нм, а тактовая частота — 5,2 ГГц, в IBM считают самыми быстрыми на сегодняшний день чипами.

По словам Эдуардо Сильендо, руководителя по глобальным программам и предложениям IBM Z подразделения IBM Systems, разработчики z14 стремились создать вычислительную систему, способную обеспечить надежность и защищенность каждой транзакции. Для этого, пояснил он, используется повсеместное шифрование (pervasive encryption). Мейнфреймы z14 дают возможность осуществлять постоянное шифрование данных приложений, СУБД и облачных сервисов, которое, как подчеркнул Сильендо, не требует модификации приложений.

Эдуардо Сильендо утверждает, что технологии шифрования z14 способны эффективно противодействовать растущей эпидемии краж данных Источник: IBM

Благодаря семикратному по сравнению с z13 увеличению производительности криптографических алгоритмов, стало возможным, по данным IBM, шифрование в масштабе всего облака. Ежедневно, утверждают они, система z14 способна обрабатывать и шифровать до 12 млрд транзакций.

Предусмотрено шифрование интерфейсов программирования приложений, обеспечивающих взаимодействие с компонентами облачных сервисов. В случае попыток взлома ключи шифрования разрушаются, но затем могут быть восстановлены в безопасном режиме, подчеркивают в IBM. (cм. также «IBM: шифруется все», Computerworld Россия, 22 августа 2017).

Системы z14 работают под управлением традиционных для мейнфреймов IBM операционных систем z/OS, z/VM, z/TPF и z/VSE, поддерживают Linux, включая такие его дистрибутивы, как Canonical, Red Hat и SUSE, а также гипервизор KVM.

Программный инструментарий IBM Dynamic Partition Manager призван облегчить жизнь ИТ-администраторам, незнакомым со всеми премудростями IBM Z. Он упрощает создание логических разделов при работе с z/VM, поддерживающей огромное количество виртуальных машин Linux, или когда используются KVM и Linux.

Эксперты отмечают неослабевающие усилия IBM, направленные на внедрение мейнфреймов в современные информационные системы предприятий и использование их в корпоративных облачных средах, а также в системах аналитики. Важнейшей составляющей этой стратегии является опора на операционную систему Linux.

В сентябре на форуме Open Source Summit North America корпорация представила работающие только под управлением Linux серверы IBM LinuxONE Emperor II, которые созданы на платформе мейнфреймов z14. Новое поколение «императоров» пополнило линейку таких высокопроизводительных вычислительных систем для предприятий, как LinuxONE Emperor I на основе IBM z13 и Rockhopper с процессорами z12 (см. «На Linux-волне», Computerworld Россия, 26 августа 2015).

В IBM рассчитывают, что поставки мейнфреймов z14 позитивно скажутся на финансовых результатах корпорации уже во второй половине текущего года. Такие ожидания связаны с повсеместным шифрованием, которое должно повысить защищенность информационных активов предприятий в условиях нарастающих угроз кибератак.

В российском офисе IBM заявили, что готовы оказать помощь компаниям, заинтересованным в максимальном использовании возможностей шифрования новых мейнфреймов, поясняя, что в этой работе должны принимать участие также представители заказчика и провайдера криптографических средств.

Корпорация IBM предлагает использовать ее новый мэйнфрейм z14 для шифрования практически всего, – такой подход к обеспечению безопасности называется всепроникающим шифрованием.

Шифрование полного спектра данных с ограничением доступа к ключам – один из способов уменьшения риска их взлома. Согласно недавнему исследованию, проведенному по заказу IBM, уровень угроз при этом снижается на 92%.

Чтобы сделать такое всепроникающее шифрование жизнеспособным, в z14 интегрировано в четыре раза больше криптографических ускорителей по сравнению с его предшественником, z13. В результате производительность шифрования выросла в семь раз, позволяя ежедневно зашифровывать до 12 млрд транзакций.

Что касается другой рабочей нагрузки, то мэйнфрейм z14, функционирующий под управлением операционных систем z/OS или Linux, опережает z13 по быстродействию на 35%. Это стало возможным, поскольку z14 поддерживает в три раза больше памяти (до 32 Тбайт), выполняет операции ввода-вывода в три раза быстрее своего предшественника, а задержки SAN при использовании zHyperLink значительно уменьшились.

Наряду с аппаратными изменениями мэйнфрейм сменил и название. Теперь вместо признанного слишком громоздким названия z Systems он носит имя IBM Z.

Системы x86-архитектуры в отличие от IBM Z не обладают достаточной вычислительной мощностью для постоянного шифрования данных в полном объеме. Здесь применяется компонентный подход: пароли шифруются в одном месте, номера кредитных карт в другом и т. д. В результате значительная часть информации хранится в компьютере в незашифрованном виде и становится доступна хакерам, если те проникают в систему.

«z14 способен шифровать каждый файл – или набор данных в терминологии IBM Z – и ограничивать доступ к ключам, – указал заслуженный инженер подразделения IBM z Systems Security Майк Джордан. – Привилегированные пользователи (например, администраторы систем хранения) могут перемещать или копировать файлы, но не в состоянии их дешифровать. А значит, устраняются риски, возникающие в случае взлома или атаки на учетные записи таких пользователей».

Приложения, требующие расшифровки данных, работают под специальной учетной записью, имеющей доступ к декодирующему ключу. Однако такие учетные записи обычно не используются для входа в систему, что затрудняет хакерам как получение файла, так и его расшифровку.

Даже если среды разработки и тестирования соседствуют с производственной средой на одной и той же машине, криптографически они все равно отделены друг от друга. И если хакерам удалось, скажем, проникнуть в тестовую среду и получить ключи шифрования, они декодировать производственные данные не сумеют.

Предложенная корпорацией система отвечает требованиям стандартов Federal Information Processing Standards (FIPS) Level 4, тогда как нормой для ИТ-отрасли, как утверждают в IBM, является лишь Level 2.

Все это затрудняет хакерам проникновение. По заказу IBM исследовательская фирма Solitaire Interglobal изучила воздействие всепроникающего шифрования на бизнес. «Проанализировав сведения об инцидентах в системе безопасности за 21 год, исследователи пришли к выводу, что всепроникающие шифрование IBM Z снижает уровень угроз на 92%», – сообщил директор программ IBM z Systems Growth Initiatives Ник Сардино.

Но сколько будет стоить такая дополнительная безопасность? В Solitaire попробовали смоделировать ведение бизнеса на IBM z14 и сравнили полученные результаты с данными тысяч предприятий, в которых системы x86-архитектуры различной мощности используются для избирательного шифрования данных. Автор отчета Кэт Линд пришла к выводу, что при сравнении решений на базе IBM Z и x86, поддерживающих одинаковый уровень эффективности бизнеса, система шифрования IBM Z обеспечивает в 18 раз более высокую производительность и обходится при этом в 20 раз дешевле. В ходе стоимостной оценки принимались во внимание затраты на персонал, требуемая процессорная мощность, уровни памяти и другие факторы.

Таким образом, за те же деньги вы получаете в 360 раз больше, хотя по отношению к общему размеру ИТ-бюджета суммы могут показаться относительно небольшими. Но, как бы то ни было, организациям, ранее не использовавшим IBM Z, для перехода на эту систему требуются гораздо более веские основания, чем просто шифрование. Аккумуляторы автомобиля Tesla, к примеру, заряжаются гораздо быстрее, чем аккумуляторы всех смартфонов в вашей компании, а электроэнергия, потребляемая при запуске приложений на его приборной панели, обходится значительно дешевле, чем энергия, потребляемая смартфонами. Все это абсолютная правда, но стоит серьезно подумать, имеет ли смысл менять свой подход к ведению мобильного бизнеса ради такого выигрыша?

И хотя сегодня IBM Z значительно превосходит компьютеры на платформе x86 с точки зрения шифрования, в дальнейшем ситуация будет меняться, поскольку методы шифрования продолжают совершенствоваться. «Тем не менее, если исходить из средних сроков разработки и производства чипов, конкурентоспособное оборудование появится не раньше, чем через два-три года», – указала Линд в отчете «Всепроникающее шифрование: новая парадигма защиты».

В мире уже есть ряд приложений, получающих преимущества от таинственного «большого железа» IBM. Одним из них является собственное решение IBM Cloud Blockchain, которое, по словам представителей корпорации, использует новое поколение IBM Z для шифрования и обеспечения безопасности сервисов в шести дата-центрах, размещенных в различных странах мира.

Американское Агентство передовых исследований в области разведки (IARPA) присудило компании Galois контракт на поиск способов обеспечения доступности для программистов методов полностью гомоморфного шифрования — возможности выполнения расчетов над зашифрованными данными без их раскрытия.

По словам руководителей проекта, начатого совместно с исследователями Технологического института Нью-Джерси, вполне возможно, что он будет осуществляться на основе принципов открытого кода.

Исследователи напоминают, что полностью гомоморфное шифрование позволят получить зашифрованные результаты, расшифровать которые можно при наличии ключа. Методы частично гомоморфного шифрования существуют еще с 1970-х, а первую демонстрацию полностью гомоморфного шифрования специалисты корпорации IBM провели в 2009 году.

В числе возможных применений называют облачные сервисы анализа зашифрованных данных клиента, хранимых в том же облаке, и статистическую обработку персональных сведений без их раскрытия. В Galois приводят еще один пример — получение корпоративными клиентами зашифрованных журналов операций от интернет-провайдеров для анализа на возможные хакерские атаки.

В компании также указывают на трудности, в частности, вычисления над зашифрованными данными выполняются на 5-6 порядков медленнее, чем обычные.

В проекте документа, который предполагается представить на утверждение в парламент Великобритании, содержится положение, обязывающее провайдеров услуг связи помогать правоохранительным органам подслушивать разговоры клиентов и перехватывать их переписку. При этом провайдер должен будет расшифровывать данные, если они были зашифрованы с использованием предоставляемых им средств.

Организация Open Rights Group, опубликовавшая проект документа, считает, что такие правила могут вынудить операторов сервисов обмена сообщениями с поддержкой сквозного шифрования — например, WhatsApp — ограничивать возможности шифрования. Оператор должен будет встраивать в технологии сквозного шифрования «черные ходы» или ослаблять защиту данных другими методами, не давая об этом отчета клиентам. Правила будут распространяться как на операторов телефонной связи, так и на облачные сервисы и социальные сети, в том случае, если количество пользователей у них превышает 10 тыс., говорится в документе.

До сих пор законы Великобритании обязывали провайдеров предоставлять лишь метаданные о переговорах клиентов — о том, кто, с кем и когда вступал в контакт.

Компания Bundesdruckerei представила на прошедшей в Ганновере выставке CeBIT облачные сервисы аутентификации и хранения данных, предлагающие защитные механизмы повышенной надежности.

Bundesdruckerei — полиграфическая компания с 250-летней историей. Первоначально она занималась печатью банкнот и паспортов, а сегодня предлагает различные виды сервисов цифровой аутентификации. В частности, на CeBIT прошла презентация сервиса Bdrive для корпоративных заказчиков, позволяющего защищенно хранить важные файлы в облаке.

В отличие от сервисов вроде Dropbox, Bdrive хранит не сами файлы, а только их метаданные. При этом задача хранения возлагается на другие публичные облачные сервисы, у которых тоже нет доступа к содержанию файлов: клиентское программное обеспечение Bdrive шифрует файлы и делит их на фрагменты, распределяя между несколькими сервисами таким образом, что ни один из них не содержит какой-либо файл целиком. Как объяснил представитель Bundesdruckerei Максим Шнякин, сборка файла при его загрузке происходит с использованием избыточного кода (erasure coding), что позволяет восстановить данные даже в случае отсутствия отдельных фрагментов. Необходимый уровень избыточности выбирается пользователем.

Bdrive запоминает, в каких облачных сервисах хранятся различные фрагменты файла, кому из пользователей он принадлежит, а также кому и с какими привилегиями предоставлен доступ. Клиент вносит абонентскую плату Bundesdruckerei, а об оплате сторонних облачных сервисов компания заботится сама.

С какими именно сервис-провайдерами она сотрудничает, не уточняется, но возможно, что один из них — Simple Storage Service (S3) в облаке Amazon.

Доступ к файлам контролируется с помощью клиентского ПО, которое встраивается в Windows 10. Bdrive отображается в «Проводнике» наряду с «Рабочим столом», «Загрузками» и «Документами», и для него в контекстном меню, вызываемом по щелчку правой кнопки мыши, доступны операции отправки ссылок на скачивание файла и назначения прав доступа.

Пользователь, которому дают доступ к файлу, получает сообщение электронной почты со ссылкой. Если нужен пароль, он передается по другому, защищенному каналу. При переходе по ссылке для скачивания Bdrive запускает код JavaScript, который загружает необходимые фрагменты из различных хранилищ, собирает файл и декодирует его.

Для дополнительной безопасности доступ к управлению файлами Bdrive предоставляется только после проверки ряда параметров авторизованного устройства и удостоверения личности владельца данных.

Чтобы обеспечить более сильную защиту по сравнению с обычными паролями, Bundesdruckerei также предлагает систему дактилоскопической аутентификации на основе смарт-карт — GoID.

Один из недостатков систем биометрической аутентификации состоит в том, что они пользуются централизованными хранилищами и системами сопоставления биометрических характеристик, что повышает риск утечки данных. GoID лишена этого недостатка: операции по считыванию, сохранению и сопоставлению отпечатков пальцев выполняются на смарт-карте. Единственная информация, которую карта передает во внешний мир, — это заверенное с помощью электронной подписи сообщение о том, прошла ли аутентификация успешно.

Карты GoID несколько толще, чем кредитки, но в бумажнике умещаются. Они оснащены встроенным сканером отпечатков пальцев — таким, как на смартфонах старшего класса, а не протяжным, как на некоторых ноутбуках. Сканер получает электропитание и обменивается данными через RFID-интерфейс: для активации карты требуется внешний ридер, подключенный, например, к порту USB компьютера.

Чтобы пройти аутентификацию, пользователь помещает карту на ридер и прикладывает к ней палец. На случай, если дактилоскопическая аутентификация не сработает, на карте предусмотрена цифровая клавиатура.

Регистрация выполняется с помощью тех же карты и ридера. Эта процедура проходит под контролем программного обеспечения, работающего на ПК, но сами данные отпечатка пальца никогда не покидают карты, подчеркивают в Bundesdruckerei.

В компании уже пользуются картами для собственных нужд и предлагают их заказчикам в составе пакета услуг по управлению учетными данными и аутентификации. Как сообщают в Bundesdrukerei, стоимость карт варьируется в зависимости от того, с какими сервисами они предлагаются.

Помимо работы с Bdrive и аутентификации в Windows, карты можно использовать для ограничения доступа к зданиям. В компании выражают уверенность в том, что, поскольку биометрические данные никогда не покидают карту, система будет пользоваться более высоким спросом среди коммерческих заказчиков в тех странах, где конфиденциальность ценят особенно высоко.