Japanese
最初のパスでは、文章のみをトリミングしました。表形式のコンテンツをテーブルにし、残りのテキストをより簡潔にすることで再構成します。これにより、単語数は15%の目標値を大幅に下回ります。
FC-SP-3: 量子後時代に向けたファイバーチャネルのセキュリティ
エンタープライズITでは、ほとんどのセキュリティアップグレードは侵害後に実施されます。INCITS FC-SP-3標準は異なります。これは、インフラストラクチャ計画をすでに形成している規制および暗号化の期限に積極的に対応します。NSAのCNSA 2.0は、国家安全保障システムに要求の厳しい移行パスを提供し、EUのNIS2およびDORAは暗号化ポリシーをアクティブなコンプライアンスプログラムに組み込んでいます。量子コンピューティングは緊急性を加えています。これは、暗号解読的に関連性のある量子コンピュータが差し迫っているからではなく、「今すぐ収穫、後で復号」攻撃が今日の長期的なデータを公開するためです。
タイミングが重要である理由は、ファイバーチャネルが企業が最も失いたくないデータを運ぶからです。金融、ヘルスケア、政府、公益事業、その他の規制対象分野で、ミッションクリティカルなストレージの主要インフラストラクチャであり続けています。イーサネットから物理的および論理的に分離されており、イーサネットネットワークからルーティングできず、ファブリックゾーニングとデバイスマスキングからさらに保護されます。1億6000万ポート以上が出荷され、3500万ポート以上が稼働しているこの既存の基盤こそが、FC-SP-3が重要である理由です。SANの交換を必要とせず、既存のファブリックを保護するための標準ベースの方法を提供します。
主なポイント
| ポイント | 意味すること |
|---|---|
| 標準が期限を上回る | INCITS T11によって2026年に完了したFC-SP-3は、2030/2031年の日付より数年早くCNSA 2.0、NIS2、およびDORAの要件を満たします |
| まず量子耐性を減算し、次に加算する | レガシー暗号（3DES、MD5、SHA-1、2048ビット未満のDH）を削除。ML-KEM-1024およびML-DSA-87を追加。仕様を288ページから152ページに削減 |
| インフラストラクチャの負担なしの暗号化 | 自律的なインフライト暗号化はHBA内でキーを生成し、ラインレートで実行されます。キーサーバー、スイッチの変更、ホストCPUの負荷はありません |
| アレイはスーパーパワーを維持 | トランスポート層暗号化は、アプリケーション層暗号化が破壊する圧縮、重複排除、およびランサムウェア検出を維持します |
| コンプライアンスはリフレッシュサイクルに乗る | 通常の3〜5年のリフレッシュでの段階的な展開により、調達の副産物として2030年までに完全に暗号化された量子耐性のあるSANが実現します |
暗号化は期限付き
従来のストレージアーキテクチャは暗黙の信頼に依存していますが、このレイヤーでの高度な攻撃は大量のデータを侵害する可能性があります。サプライチェーン攻撃は、CISAの2019年から2021年の勧告に例示されるように、侵害されたコンポーネントを悪用する内部脅威がますます一般的になっていることを示しています。これに対応して、バイデン米国大統領は2021年5月12日の大統領令14028を発令し、連邦データの保存中および転送中の暗号化を義務付けました。これにより、エージェンシーは元のCNSAスイート（CNSA 1.0）を採用せざるを得なくなりました。これは承認されたアルゴリズムを定義しましたが、量子脅威を予期していませんでした。CNSA 2.0は現在、これらの標準を量子コンピューティングに対応させるために、脆弱なアルゴリズムを廃止し、段階的なスケジュールで量子耐性のあるアルゴリズムを導入しています。
CNSA 2.0実施タイムライン
| 期限 | 要件 |
|---|---|
| 2025年12月31日以降 | 最初の実施フェーズ開始 |
| 2027年1月1日 | 新しい国家安全保障システムの設置は、完全にCNSA 2.0に準拠する必要があります |
| 2030年12月31日 | 非準拠システムの廃止完了 |
| 2031年12月31日 | すべての国家安全保障システムがCNSA 2.0を排他的に使用 |
米国だけではありません。EUのDORAは金融機関に適用され、厳格な報告、リスク管理、セキュリティテストを義務付けています。NIS2は加盟国に脅威インテリジェンスを共有し、サプライチェーン攻撃に対抗することを要求しています。どちらも強力なインフライトおよびアットレスト暗号化を要求しており、FC-SP-3はこれを推進します。
Qデーと「今すぐ収穫、後で復号」
「HNDL」攻撃は、強力な量子コンピュータが存在する際に復号するために、今日の暗号化されたトラフィックをキャプチャします。現在のアルゴリズムは従来のハードウェアでの総当たり攻撃に耐えますが、暗号解読的に関連性のある量子コンピュータ（CRQC）はRSAとECCを破る可能性があります。潜在的なQデー攻撃を鈍らせるために、NSAは2031年12月31日までにCNSA 2.0への準拠を義務付けています。これは、量子マシンでさえ解読不能な問題に基づいた、量子後アルゴリズムを使用して、予想されるCRQCの可用性よりも前に実施されます。
20年間のファイバーチャネルセキュリティ
FC-SP-3は、INCITSのT11委員会による20年以上にわたる作業の第3世代です。以前の標準（2002年承認、2007年発行）はゾーニングとセグメンテーション制御を確立しました。FC-SP-2（2012年）は認証と暗号化を追加し、2015年と2023年の改訂を経て進化しました。FC-SP-3は2022年にプロジェクトとして承認され、最近完了しました。これは、成熟したフレームワークのスケジュール化された近代化であり、後付けの対応ではありません。ベンダーが機器を製造し、ロジャー・ハソーン（IBM）が議長を務め、デビッド・ピーターソンとジェームズ・スマート（Broadcom）が編集し、Broadcom、Cisco、Dell、HPE、IBM、Marvell、NetApp、Viaviの貢献者によってオープンに開発されました。すべてのSANソケットを競合する企業が、これらのソケット全体での暗号化がどのように機能すべきかについて合意しました。
FC-SP-3の変更点
主な変更点は減算です。FC-SP-2がまだ保持していたレガシー暗号化を削除します。
削除された暗号化と追加された暗号化
| 削除（レガシー） | 追加（CNSA 2.0準拠） |
|---|---|
| 3DES、AES-CTR | ML-KEM-1024（キー確立、NIST FIPS 203） |
| MD5、SHA-1、RSA-SHA-1 | ML-DSA-87（デジタル署名、NIST FIPS 204） |
| 2048ビット未満のDH-CHAPグループ | ECDSA（384ビットおよび512ビット） |
| 256ビット未満のAESキー長（GCM/CBC） | SHA-2ベースのPRF |
| RADIUSの使用 | セキュリティアソシエーション管理にはAES-GCMが必要 |
| CT認証; FC-PAPおよびFC-EAPプロトコル | — |
ペイロード暗号化方法を隠すことで、攻撃者は広範囲のアルゴリズムを高いコストでテストする必要があり、ML-KEMは傍受を効果的に防ぎます。構造的な変更も同様に重要です。FC-SP-2の階層化されたコンプライアンスモデル（最低ティア（Auth-A）では、ベンダーは準拠を維持するためだけに古いMD5と2048ビットDHをサポートする必要がありました）は、相互運用性プロファイル（付録A）に置き換えられます。準拠した実装は、ターゲット環境に一致するプロファイルをサポートします。要件に関する決定は、トランスポート標準ではなく、NISTやNSAなどの機関に委ねられます。付録DはFC-SP-2との後方互換性をカバーしているため、混合ファブリックは崖ではなく、文書化されたパスを持っています。監査モードは、最初にアクセスを維持し、両方のエンドポイントが対応可能な場合にのみ最も厳格な対策を適用することで、移行を容易にします。
FC-SP-3をライブSANに配置する
FC-SP-3はツールとネゴシエーションの動作を定義します。実行中のファブリックでの適用方法は、2つのベンダーニュートラルで準拠したモデルにかかっています。
デプロイメントモデルの比較
| 側面 | キーサーバーモデル | 自律インフライト暗号化 |
|---|---|---|
| キーソース | 外部キーマネージャー（KMIP） | HBA内で生成 |
| インフラストラクチャ | キーサーバー+ネットワークパス+運用規律 | 不要 |
| 最適な適合 | メインフレーム/高コンプライアンスショップ（KMIP実行中） | 既存の機器でのファブリック全体展開 |
| スイッチの変更 | なし | なし |
| フォールバック | — | 自動ネゴシエーション、ピアがサポートしていない場合はフォールバック |
インフライト暗号化は専用シリコンでフルラインレートで実行されます。スループットの低下やホストCPUの負荷はありません。暗号化はトランスポートレイヤーで行われるため、データはアレイに利用可能な形式で到着し、アプリケーションレイヤー暗号化が破壊する圧縮、重複排除、および圧縮率異常検出（ランサムウェアの重要な信号）を維持します。これは、ディフェンス・イン・デプスに適合します。リンク暗号化と保存時のフルディスクまたはアレイレベル暗号化、ゼロトラストエンドポイント（シリコンルートオブトラスト、CPUとHBA間のSPDM相互認証、および暗号化署名付きドライバー）によって固定されます。監査モードにより、管理者は実施前にどのリンクが暗号化されるかをプレビューでき、破壊的なカットオーバーを段階的で検証可能なプロセスに変えることができます。自律インフライト暗号化は、FC-SP-3対応HBAにすでに搭載されています。準拠したエンドポイントであれば参加でき、ほとんどのストレージOEMは2026年までに追加します。
インフライト暗号化が保護するもの
FCリンクは、コンジット、ライザー、キャンパスランを横断して、発生源の部屋を出ます。ファイバーに物理的にアクセスできる攻撃者は、それを切断する必要はありません。パッシブ監視は、アラートなしでトラフィックを読み取ることができます。建物内では、パッチパネルにアクセスできる内部関係者がトラフィックを記録でき、診断ツールはサービスログにフレームをキャプチャできます。インフライト暗号化は、これらのすべてのパスを一度に閉じます。2つのFC-SP-3エンドポイント間でキャプチャされたもの（曲がったファイバー、パッチパネル、またはログファイルから）は、キャプチャポイントでキーが利用できない暗号文です。トランスポートレイヤーで暗号化することで、転送中のデータを保護し、アレイでの利用可能性を維持します。これが、アプリケーションレイヤー暗号化よりも好まれる理由です。
完全に暗号化されたSANへの道
FCIAのロードマップはリフレッシュサイクル数学に基づいています。サーバーとストレージは3年から5年ごとに更新されるため、2030/2031年の期限までに、ほぼすべてのファブリックが少なくとも一度はエンドポイントを交換します。主要なサーバーベンダーはすでにFC-SP-3対応アダプターを出荷しており、ほとんどのストレージOEMは2026年まで準拠した接続を追加します。暗号化対応エンドポイントは自動的にネゴシエーションし、レガシー機器と共存します。監査モードは、実施前に準備状況を確認します。フォークリフトイベントは必要ありません。通常のペースで更新し、その過程でFC-SP-3を指定する組織は、通常の調達の副産物として、2030年までに完全に暗号化された量子耐性のあるSANに到達します。
結論
FC-SP-3は派手な標準ではありません。それがその利点です。数年前に廃止されるべきだった暗号化を削除し、規制当局が必要とするNISTの量子後アルゴリズムを追加し、欠陥のあるコンプライアンスモデルを相互運用性プロファイルに置き換えます。満たす義務よりも数年早く、企業がすでに計画していたリフレッシュサイクル内に着陸します。難しい部分はエンジニアリングで取り除かれました。スイッチの変更、追加のセキュリティインフラストラクチャ、ホストCPUのペナルティはなく、実施前に展開を観察可能にする監査モードがあります。
ただし、標準はツールセットであり、展開ではありません。何も自己暗号化しません。組織はHBAとストレージを棚卸し、今後の購入でFC-SP-3を指定し、対応エンドポイントがファブリックに配置されるにつれてセキュリティを有効にする必要があります。金融、ヘルスケア、公益事業、政府にとって、誰かがスケジュールしていなくても、その作業には期限があります。HNDLは、今日盗まれたデータが次の10年間の量子コンピュータにすでに公開されていることを意味します。FC-SP-3は、セキュリティをプロジェクトではなく調達の詳細にすることでギャップを埋め、ファイバーチャネルを20年間続けてきたもの、つまり規制産業が最も失いたくないデータを託すファブリックであり続けます。
用語集
| 用語 | 定義 |
|---|---|
| 3DES | トリプルDES; FC-SP-3で削除されたレガシーブロック暗号 |
| AES-GCM/CBC/CTR | AESモード; セキュリティアソシエーション管理にはGCMが必要、CTRは削除、256ビット未満のキーはドロップ |
| CNSA 2.0 | NSAの量子耐性アルゴリズムスイートと米国国家安全保障システムの期限 |
| CRQC | 現在の公開鍵暗号を破るのに十分な強力な暗号解読的に関連性のある量子コンピュータ |
| CT認証 | FC共通トランスポートトラフィックからファブリックサービスへの認証; FC-SP-3で削除 |
| DH-CHAP | ファイバーチャネル認証プロトコルとCHAPおよびDiffie-Hellmanのペアリング; 2048ビット未満のグループはドロップ |
| DORA | デジタルオペレーショナルレジリエンス法、EUの金融セクターICTリスク規制 |
| ECC/ECDSA | 楕円曲線暗号/署名; ML-DSAと並んで384ビットおよび512ビットで維持 |
| FC-PAP/FC-EAP | レガシーFC-SP-2認証プロトコルはFC-SP-3で削除 |
| FCIA | ファイバーチャネル業界団体 |
| HBA | ホストバスアダプター、サーバー/ストレージのFCインターフェイスカード |
| HNDL | 今すぐ収穫、後で復号 |
| INCITS/T11 | FC-SP-3を開発する標準化団体とそのFC技術委員会 |
| KMIP | キー管理相互運用性プロトコル |
| MD5/SHA-1/SHA-2 | ハッシュ関数; MD5とSHA-1は削除、SHA-2がそれらを置き換える |
| ML-DSA-87 | 量子後署名アルゴリズム（FIPS 204）、FC-SP-3に追加 |
| ML-KEM-1024 | 量子後キー確立（FIPS 203）、FC-SP-3に追加 |
| NIS2 | EUネットワークおよび情報セキュリティ指令2 |
| PQC | 量子後暗号 |
| PRF | 擬似乱数関数; SHA-2ベースのPRFが必要 |
| Qデー | CRQCが現在の公開鍵暗号を破る時点 |
| RADIUS | ネットワーク認証プロトコル; FC-SP-3での使用は削除 |
| RSA | CRQCが破る可能性のある公開鍵アルゴリズム; RSA-SHA-1は削除 |
| SPDM | CPU/HBA認証用のセキュリティプロトコルおよびデータモデル |
北京千行捷通科技有限公司
サンディ・ヤン/グローバル戦略ディレクター
WhatsApp / WeChat: +86 13426366826
メール: yangyd@qianxingdata.com
ウェブサイト: www.qianxingdata.com/www.storagesserver.com
ビジネスフォーカス:
ICT製品流通/システムインテグレーション＆サービス/インフラストラクチャソリューション
20年以上のIT流通経験を持ち、主要なグローバルブランドと提携して信頼性の高い製品と専門的なサービスを提供しています。
「テクノロジーでインテリジェントな世界を構築する」あなたの信頼できるICT製品サービスプロバイダー！