MAC-Sicherheit in Direct Connect

Die wichtigsten Komponenten für MACsec sind folgende:

• MAC Security (MACsec) – Ein IEEE-802.1-Standard der Layer 2, der Datenvertraulichkeit, Datenintegrität und Authentizität der Datenherkunft gewährleistet. Weitere Informationen zum Protokoll finden Sie unter 802.1AE: MAC Security (MACsec).

• Secure Association Key (SAK) — Ein Sitzungsschlüssel, der die MACSec-Konnektivität zwischen dem lokalen Kundenrouter und dem Verbindungsport am Direct Connect-Standort herstellt. Der SAK wird nicht vorab gemeinsam genutzt, sondern wird mithilfe eines kryptografischen Schlüsselgenerierungsprozesses automatisch aus dem CKN/CAK Paar abgeleitet. Diese Ableitung erfolgt an beiden Enden der Verbindung, nachdem Sie das Paar bereitgestellt und bereitgestellt haben. CKN/CAK Der SAK wird aus Sicherheitsgründen und immer dann, wenn eine MACSec-Sitzung eingerichtet wird, regelmäßig neu generiert.

• Connectivity Association Key Name (CKN) und Connectivity Association Key (CAK) — Die Werte in diesem Paar werden zur Generierung des MACSec-Schlüssels verwendet. Sie generieren die Paarwerte, ordnen sie einer Direct Connect Verbindung zu und stellen sie dann am Ende der Verbindung auf Ihrem Edge-Gerät bereit. Direct Connect Direct Connect unterstützt nur den statischen CAK-Modus, nicht aber den dynamischen CAK-Modus. Da nur der statische CAK-Modus unterstützt wird, wird empfohlen, dass Sie Ihre eigenen Schlüsselverwaltungsrichtlinien für die Schlüsselgenerierung, -verteilung und -rotation befolgen.

• Schlüsselformat — Das Schlüsselformat sollte Hexadezimalzeichen mit einer Länge von genau 64 Zeichen verwenden. Direct Connect unterstützt nur 256-Bit-Schlüssel des Advanced Encryption Standard (AES) für dedizierte Verbindungen, was einer 64-stelligen Hexadezimalzeichenfolge entspricht.

• Wichtiger Vertriebskanal — Verwenden Sie die AWS Konsole oder die Direct Connect-CLI oder das SDK AWS, um ein neues CKN-CAK Paar bereitzustellenassociate-mac-sec-key. Wir empfehlen Ihnen, nur TLS 1.3 zu verwenden und einen Algorithmus für den Schlüsselaustausch nach dem Quantenaustausch wie ML-KEM (Module-Lattice-BasedKey Encapsulation Mechanism) zu erzwingen, wenn Sie Ihrer dedizierten Verbindung ein neues CKN-CAK Paar zuordnen. Weitere Informationen finden Sie in den AWS SDK- und CLI-Handbüchern. Verwenden Sie bei der Verwendung der AWS Konsole einen Webbrowser, der die Verbindungssicherheit unterstützt ML-KEM und überprüft.

• Verschlüsselungsmodi — Direct Connect unterstützt zwei MACsec-Verschlüsselungsmodi:

  • must_encrypt — In diesem Modus erfordert die Verbindung eine MACSec-Verschlüsselung für den gesamten Datenverkehr. Wenn die MACSec-Aushandlung fehlschlägt oder die Verschlüsselung nicht hergestellt werden kann, überträgt die Verbindung keinen Verkehr. Dieser Modus bietet die höchste Sicherheitsgarantie, kann sich jedoch bei MACsec-related Problemen auf die Verfügbarkeit auswirken.

  • should_encrypt — In diesem Modus versucht die Verbindung, eine MACSec-Verschlüsselung herzustellen, greift aber auf unverschlüsselte Kommunikation zurück, falls die MACSec-Aushandlung fehlschlägt. Dieser Modus bietet mehr Flexibilität und höhere Verfügbarkeit, kann jedoch in bestimmten Ausfallszenarien unverschlüsselten Datenverkehr zulassen.

  Der Verschlüsselungsmodus kann während der Verbindungskonfiguration festgelegt und später geändert werden. Standardmäßig sind neue MACsec-enabled Verbindungen auf den Modus „should_encrypt“ eingestellt, um mögliche Verbindungsprobleme bei der Ersteinrichtung zu vermeiden.

• CNN/CAK Drehung (manuell)

  Direct Connect MACSec unterstützt MACsec-Schlüsselanhänger mit einer Kapazität für die Speicherung von bis zu drei Paaren. CKN/CAK Auf diese Weise können Sie diese langfristigen Schlüssel manuell rotieren, ohne dass die Verbindung unterbrochen wird. Wenn Sie mithilfe des associate-mac-sec-key Befehls ein neues CKN/CAK Paar zuordnen, müssen Sie dasselbe Paar auf Ihrem Gerät konfigurieren. Das Direct Connect-Gerät versucht, den zuletzt hinzugefügten Schlüssel zu verwenden. Wenn diese Taste nicht mit der Taste Ihres Geräts übereinstimmt, wird sie auf die vorherige funktionierende Taste zurückgesetzt, sodass die Verbindungsstabilität während der Rotation gewährleistet ist.

  Informationen zur Verwendung finden Sie unter associate-mac-sec-key associate-mac-sec-key.

• Rotation des Secure Association Key (SAK) (automatisch)

  Das vom aktiven CKN/CAK Paar abgeleitete SAK wird auf der Grundlage der folgenden Kriterien automatisch rotiert:

  • Zeitintervalle

  • Volumen des verschlüsselten Datenverkehrs

  • Einrichtung einer MACSec-Sitzung

  Diese Rotation wird automatisch vom Protokoll durchgeführt, erfolgt transparent, ohne dass die Verbindung unterbrochen wird, und erfordert kein manuelles Eingreifen. Das SAK wird niemals dauerhaft gespeichert und wird durch einen sicheren Schlüsselableitungsprozess regeneriert, der dem IEEE 802.1X-Standard entspricht.

• MACSec wird auf dedizierten Direct Connect-Verbindungen mit 10 Gbit/s, 100 Gbit/s und 400 Gbit/s an ausgewählten Präsenzpunkten unterstützt. Für diese Verbindungen werden die folgenden MACSec-Verschlüsselungssammlungen unterstützt:

  • Für 10-Gbit/s-Verbindungen und. GCM-AES-256 GCM-AES-XPN-256

  • Für 100-Gbit/s- und 400-Gbit/s-Verbindungen,. GCM-AES-XPN-256

• Es werden nur 256-Bit-MACSec-Schlüssel unterstützt.

• Extended Packet Numbering (XPN) ist für Verbindungen mit 100 Gbit/s und 400 Gbit/s erforderlich. Für 10-Gbit/s-Verbindungen unterstützt Direct Connect sowohl als auchGCM-AES-256 . GCM-AES-XPN-256 High-speed Verbindungen, wie z. B. dedizierte Verbindungen mit 100 Gbit/s und 400 Gbit/s, können den ursprünglichen 32-Bit-Paketnummerierungsraum von MACSec schnell erschöpfen, sodass Sie Ihre Verschlüsselungsschlüssel alle paar Minuten wechseln müssten, um eine neue Connectivity Association einzurichten. Um diese Situation zu vermeiden, wurde mit der AEbw-2013 Änderung IEEE Std 802.1 eine erweiterte Paketnummerierung eingeführt, wodurch der Nummerierungsraum auf 64 Bit erhöht wurde, wodurch die Anforderungen an die Rechtzeitigkeit für die Schlüsselrotation verringert wurden.

• Secure Channel Identifier (SCI) ist erforderlich und muss aktiviert sein. Diese Einstellung kann nicht angepasst werden.

• Das IEEE 802.1Q (Dot1q/VLAN) -Tag offset/dot1q -in-clear wird nicht unterstützt, um ein VLAN-Tag außerhalb einer verschlüsselten Nutzlast zu verschieben.

• Erstellen Sie ein CKN/CAK Paar für den MACSec-Schlüssel.

  Sie können das Paar mit einem offenen Standardtool erstellen. Das Paar muss die Anforderungen unter Schritt 4: On-Premises-Router konfigurieren erfüllen.

• Es muss ein Gerät an Ihrem Ende der Verbindung vorhanden sein, das MACsec unterstützt.

• Secure Channel Identifier (SCI) muss aktiviert sein.

• Es werden nur 256-Bit-MACSec-Schlüssel unterstützt, wodurch der neueste erweiterte Datenschutz gewährleistet ist.

• LAGs müssen aus MACsec-capable dedizierten Verbindungen bestehen und die MACSec-Verschlüsselung unterstützen

• Alle Verbindungen innerhalb einer LAG müssen dieselbe Bandbreite haben und MACSec unterstützen

• Die MACsec-Konfiguration gilt einheitlich für alle Verbindungen in der LAG

• Die Aktivierung der LAG-Erstellung und MACsec können gleichzeitig erfolgen

• Es kann immer nur ein einziger MACsec-Schlüssel für alle LAG-Verbindungen verwendet werden. Die Möglichkeit, mehrere MACSec-Schlüssel zu unterstützen, dient nur zur Schlüsselrotation.

• Wenn sich die Verbindung im Status „Pending“ (Ausstehend) befindet, trennen wir den CKN von der Verbindung.

• Wenn sich die Verbindung im Status „Available“ (Verfügbar) befindet, benachrichtigen wir den Eigentümer der Verbindung per E-Mail. Wenn Sie innerhalb von 30 Tagen keine Maßnahmen ergreifen, trennen wir den CKN von Ihrer Verbindung.