什么是安全应用交付？
过去几年，IT系统以及由此延伸的IT安全系统一如既往地经历了巨变。摩尔定律不仅描述了计算能力的进步，也推动了加密算法日益复杂。例如，处理能力的提升使SSL加密密钥长度在不到10年内从256位增至4 Kb。如今，只要能为应用保护投入所需的计算能力，应用就能获得比以往更好的保护。
简介
过去几年，IT系统乃至IT安全系统一如既往地经历了巨大变革。摩尔定律不仅描述了计算能力的进步，也推动了更复杂的加密算法发展。例如，处理能力的提升使SSL加密密钥长度在不到十年内从256位增至4 Kb。如今，只要能将所需的计算能力用于应用保护，应用就能获得比以往更好的保护。
遗憾的是，攻击和攻击途径的数量也在同时增加。随着新的漏洞利用手段不断出现，保护应用比以往任何时候都更需要可靠的SSL加密环境。任何通过互联网交换敏感数据的组织都需要采用这些计算能力和安全技术方面的进步；任何在互联网上开展业务的组织也应如此，因为未受保护的网页可能成为访问受保护数据的入口。
如今，组织面临分布式拒绝服务（DDoS）、会话劫持、SSL中间人和重新协商攻击。IT安全团队需要部署覆盖组织整个Web业务的防护措施，并具备足够的适应能力，以抵御极其隐蔽的攻击。由于需要全面保护，即使采用新的加密算法，尤其是椭圆曲线密码学（ECC），业界也不能忽视由此带来的性能影响。
而所有这些安全措施仍面临SSL在网络领域普及的主要障碍，即可见性。组织出于许多合理原因需要检查传输中的数据，包括防止数据泄露，以及实现高级第4层至第7层路由。因此，现有安全解决方案必须能够提供对进出网络数据的可见性，最好能达到100%。
F5能够应对这些复杂问题，包括适应安全算法的变化，以及满足可见性、密钥管理和集成方面的需求。随着攻击不断演变，政府和各行业对安全提出更高要求，而员工即使面临日益增加的风险，仍需要扩大网络和数据访问权限。在这种情况下，充当网络网关的战略控制点可以通过安全服务帮助解决这些问题。F5® BIG-IP®平台提供一系列解决方案，可在不增加网络延迟的情况下强化安全，而且与使用多个独立产品相比，管理所需时间显著减少。
F5应对安全风险
在受访企业中，45%通过部署F5解决方案来应对安全风险。
Always-On SSL
对SSL加密的需求持续增长。必须保护对个人身份信息（PII）和受限信息的访问。网站和远程上传位置也日益需要保护。事实上，许多组织已对连接实施接近100%的加密，或正在考虑这样做。为防范各种攻击，组织正着手保护所有环境，包括测试、QA和生产环境。组织也开始意识到，如果目标是构建真正安全的环境，就需要保护所有数据、应用和会话信息。
过去，只有应用程序受到SSL保护。更准确地说，只有信用卡号和其他个人身份信息（PII）等敏感数据受到保护。网站的其余部分，包括其他信息、会话Cookie或静态页面，则不受保护。但这些未受保护的页面会带来安全隐患，为攻击者侵入托管受保护页面的系统提供途径。
组织必须谨慎保护客户数据及其他敏感数据，并依法履行“合理注意”义务，采取充分的保护措施，确保攻击不会轻易得逞。因此，如今许多组织正转向始终启用SSL的安全策略，还有一些组织则开始对所有内部和外部连接使用SSL。
但加密也会带来成本。RSA类加密会消耗大量CPU周期，密钥维护成本也很高，而且几乎无法处理加密流中的内容。虽然这正是加密存在的主要原因，但实施加密的组织也确实需要出于多种原因修改数据，例如内容过滤和负载均衡。
因此，需要满足以下要求：
- 仍允许加密组织处理流和/或数据的加密方式。
- 不会消耗大量资源，尤其是服务器CPU时间的加密方式。
- 可使用网络密钥存储的加密。
- 可区分内部流量和外部流量的加密。
- 密码套件多样性，即支持多种加密算法的能力。
需要部署一个安全网关，以提供支持算法选择、可见性、集成和管理的SSL服务。处理入站和出站流量加密的工具可以利用硬件安全模块（HSM）保护密钥，将计算资源负载及相关运营成本从服务器卸载，并终止或确认入站和出站SSL连接。
这种理想的安全网关可为客户端提供加密，而不会因加密处理增加服务器CPU的负担；如有需要，还可为服务器提供加密。它无需单独管理大量不同的密钥，并且在充当网关时，可利用其他可能需要未加密数据的服务。这些服务位于卸载入站连接与创建到后端的SSL连接之间。在这种情况下，由于处理相同数量的连接不再需要那么多服务器，后端软件成本可迅速降低。
可根据具体组织的需求，从多种方案中选择，以实施此类架构。
三种方式
此类解决方案的优势在于部署在战略控制点。理想的设备位于网络与互联网的交界处，能够终止入站SSL连接、处理流量中的有效载荷，并在必要时使用内部网络的密钥重新加密。反向流量也可以采用相同方式处理，但出站流量与入站流量所需的安全措施有所不同。（例如，在入站场景中，需要对用户进行身份验证，并检查有效载荷是否包含恶意内容；而对于出站流量，则需要检查是否有敏感数据流出数据中心。）这样的战略控制点支持三种不同的加密处理方式，组织可根据自身需求选择合适的方式。
方式1：连接卸载
终止外部连接后，网关设备将成为SSL端点。设备与客户端之间保持SSL连接，而与应用服务器之间的连接则为开放且未加密的连接。通过终止来自网络外部的SSL连接，此架构既能保障外部安全，又能提升内部性能。服务器端不加密可缩短响应时间，但攻击者一旦成功进入内部，环境将不再安全。
方式2：SSL可见性
内外部流量均加密后，位于关键控制点的设备可以管理流量，并调整和优化内容，同时保护整个网络。
方式3：SSL透明检查
越来越多的IT团队正致力于采用这样一种解决方案：从客户端到服务器的整个连接仅进行一次加密，同时仍允许在中间环节处理数据，以便使用数据泄露防护（DLP）、访问前身份验证和负载均衡等多种工具。
这就需要SSL可见性。在此场景中，服务器与位于战略控制点的设备共享SSL证书，使网关设备能够访问流经其中的数据流，而无需完全终止并重新建立SSL连接。
SSL转换
问题在于，在第三种场景中，加密处理的负担又落到了服务器上。过去，这会是一个很大的弊端；但随着ECC加密技术的出现，执行此类加密所需的CPU周期显著减少，存储密钥所需的空间也随之缩小。这得益于ECC算法：它可以使用小得多的密钥提供同等安全级别，从而显著降低客户端的处理开销。（过去，很多人都说“客户端不是问题”，但如今移动客户端的数量空前庞大，而CPU使用率正是影响电池续航的因素之一。因此，现在所有人都必须重视客户端。）
虽然这三种公钥密码系统都具备安全性和效率，并可用于商业环境，但它们所依据的数学问题类型各不相同。这不仅会影响它们抵御攻击者常用暴力破解攻击的能力，还可能导致算法为达到特定安全级别而生成的密钥大小有所不同。美国国家标准与技术研究院（NIST）根据所需的安全级别，为每种系统提供了最小密钥长度指南。当然，如果组织采用多样化的密码体系，就可以从多种不同的加密算法中进行选择。这意味着，即使明天出现了针对长度不超过2 Kb的RSA密钥的可行破解方法，也只需更换服务器使用的算法，便可高枕无忧。
但在密钥长度相同的情况下，ECC的安全性更高。事实上，在大多数情况下，ECC使用很短的密钥，就能达到当代算法使用很长密钥才能提供的安全水平。这种高效性源于ECC算法（有多种）所采用的数学原理。ECC使用更小的密钥，既能降低加密的CPU开销，又能维持或提升安全性，因此成为支持客户端与服务器之间安全通信的强大新工具。
F5平台充分利用了这一重要的新工具。目前，BIG-IP设备提供用于签名的DSA和用于加密的ECC，此外还支持F5一直以来提供的RSA、AES和3DES算法。
ECC有助于降低加密带来的CPU开销，但加密技术长期以来面临的另一个重大问题仍未解决：可见性。如果所有内容都经过加密，数据丢失防护（DLP）和外部身份验证设备如何访问未加密的内容？
SSL可见性
这时，联网HSM工具便可发挥作用。尽管HSM解决方案日益普及，但其用途通常仅限于存储凭据。不过，只要连接和使用方式得当，HSM也可以成为一项赋能技术。在网络边缘的高度灵活设备与网络核心的服务器之间共享证书，可让边缘设备在不中止数据流的情况下查看未加密流量。网关设备通过存储对称密钥、非对称私钥（包括数字签名）等信息，既能保护关键信息，又能让这些信息在整个网络中可用。例如，这样便可将登录信息发送到LDAP设备，让传入数据流经过病毒扫描程序，并让传出数据经过DLP设备。
F5支持的硬件安全模块是经过加固的设备，具备篡改留痕功能，并支持NIST 140-2第3级标准。将其作为安全网关部署在网络的战略控制点，组织不仅可以获得高效的SSL服务，还能查看加密数据。由此构建的完整系统可增强安全性，同时保留终止型双向代理的全部功能。
这一战略控制点可带来广泛的应用可能。借助F5® iRules®脚本语言，组织可以将敏感信息保留在数据中心内。例如，F5® DevCentral™上共享且由社区维护的iRule可以捕获大多数信用卡信息，并在这些信息离开数据中心前将其清除。
<p>再举一例，可以在F5设备上部署IPv6网关功能，甚至SPDY转换功能。</p>
在常规SSL环境中，许多此类选项无法实现。不过，通过访问传入连接，BIG-IP设备还可以访问数据流的有效载荷，从而不仅能对数据流进行智能处理，还能对其中的数据进行智能处理。此外，由于设备无需终止连接，因此与必须维持两个独立SSL连接的情况相比，性能下降幅度较小。
BIG-IP设备还可以将安全页面请求转至身份验证流程。只有在用户成功登录，且授权服务器确认该用户有权访问相关页面后，才会返回该页面。关键在于，此过程会执行身份验证、授权和记账（AAA）；如果验证失败，可将用户重定向到与核心网络隔离的页面。这意味着，未经授权的用户无法越过BIG-IP设备进入内部网络，冒充合法用户的攻击者也无法到达关键系统并尝试利用漏洞。此类连接在进入内部网络前就会被拦截并接受身份验证，因此无法继续深入。在DDoS场景中，能够将攻击连接重定向到隔离网络的高性能设备有助于确保面向公众的网络可供实际用户使用，从而挫败DDoS攻击的企图。
支持FIPS 140-2
通常，大规模加密方案带来的最大问题是密钥保护。证书需要保持最新状态，还要管理各设备所持有的证书，并确定何时可以在计算机之间迁移证书，尤其是在虚拟化环境中。这些要求可能会限制证书的部署数量，甚至影响架构决策。
对于需要FIPS 140-2 2级支持的组织，许多BIG-IP设备型号都可添加此项支持。对于希望保护密钥和证书口令等信息、但不需要FIPS 140-2支持的组织，可以使用内置的Secure Vault技术。
BIG-IP设备还可充当硬件安全模块（HSM），或使用网络中已有的HSM。HSM可安全存储证书，因此使用HSM可提供统一的参考点，用于管理密钥使用情况和到期时间，从而简化证书管理，并让IT人员能够处理其他重要业务工作。
一台设备，更多功能
每个BIG-IP平台均已获得最大加密吞吐量许可，相关费用已包含在成本中。这款F5安全解决方案的另一项重要优势是可以添加或启用更多功能。内置DDoS防护有助于网站在遭受攻击时保持在线并提升安全性；通过添加各种安全和性能模块，IT只需管理一台设备，而非多台设备，即可满足组织的应用交付需求。单一处理点（即战略控制点）有助于简化管理并缩短响应时间。
结论
IT的未来趋势之一是全面加密，以避免部分网页加密、部分网页未加密所带来的安全隐患。这会给基础设施带来沉重负担，因此既需要全面实施加密，又要能够与流量进行智能交互，以支持负载均衡、数据泄露防护等众多功能。
F5提供的解决方案有助于简化高度安全的基础设施并提升其运行效率。BIG-IP设备具备多种功能，可在不中止SSL连接的情况下检查传输中的流量，还可调用支持ICAP的设备，根据所用行业技术进行专门处理。F5解决方案还支持HSM，可灵活适应组织的需求。F5 BIG-IP平台也能按所需级别抵御DDoS攻击，在阻止攻击的同时，继续将合法用户的流量路由至应用。
总体而言，BIG-IP产品系列可提供其他流量管理或安全技术所不具备的精细控制能力、可扩展性和灵活性。