German
Der erste Durchgang hat nur die Prosa gekürzt. Ich werde es so umstrukturieren, dass tabellarische Inhalte zu Tabellen werden und der verbleibende Text kompakter wird – dadurch wird die Wortzahl deutlich unter das Ziel von 15 % gesenkt.
FC-SP-3: Sicherung des Fibre Channel für die Post-Quantum-Ära
In der Unternehmens-IT erfolgen die meisten Sicherheitsaktualisierungen nach einem Verstoß. Der INCITS FC-SP-3-Standard ist anders: Er reagiert proaktiv auf regulatorische und kryptografische Fristen, die bereits die Infrastrukturplanung prägen. CNSA 2.0 der NSA bietet nationalen Sicherheitssystemen einen anspruchsvollen Migrationspfad, während NIS2 und DORA der EU Verschlüsselungsrichtlinien in aktive Compliance-Programme integriert haben. Quantencomputing erhöht die Dringlichkeit – nicht weil ein kryptoanalytisch relevanter Quantencomputer unmittelbar bevorsteht, sondern weil „Jetzt ernten, später entschlüsseln“-Angriffe heute langlebige Daten offenlegen.
Das Timing ist wichtig, denn Fibre Channel überträgt die Daten, deren Verlust sich Unternehmen am wenigsten leisten können. Es bleibt die primäre Infrastruktur für geschäftskritische Speicherung in den Bereichen Finanzen, Gesundheitswesen, Regierung, Versorgungsunternehmen und anderen regulierten Sektoren. Es ist physisch und logisch vom Ethernet isoliert, kann nicht von Ethernet-Netzwerken geroutet werden und bietet zusätzlichen Schutz durch Fabric Zoning und Gerätemaskierung. Mit über 160 Millionen ausgelieferten Ports und mehr als 35 Millionen noch in Betrieb befindlichen Ports ist genau diese installierte Basis der Grund, warum FC-SP-3 wichtig ist: Es erfordert keinen Austausch von SANs, sondern bietet eine auf Standards basierende Möglichkeit, vorhandene Fabrics zu sichern.
Wichtige Erkenntnisse
| Wegbringen | Was es bedeutet |
|---|---|
| Der Standard übertrifft die Fristen | FC-SP-3 wurde 2026 von INCITS T11 fertiggestellt und erfüllt die CNSA 2.0-, NIS2- und DORA-Anforderungen Jahre vor den Terminen 2030/2031 |
| Zuerst subtrahieren und dann den Quantenwiderstand addieren | Legacy-Krypto (3DES, MD5, SHA-1, Sub-2048-Bit-DH) entfernt; ML-KEM-1024 und ML-DSA-87 hinzugefügt; Spezifikation von 288 auf 152 Seiten gekürzt |
| Verschlüsselung ohne Infrastruktursteuer | Die autonome In-Flight-Verschlüsselung generiert Schlüssel im HBA und läuft mit Leitungsgeschwindigkeit – kein Schlüsselserver, keine Switch-Änderungen, keine Host-CPU-Last |
| Das Array behält seine Superkräfte | Die Transportschichtverschlüsselung bewahrt die Komprimierung, Deduplizierung und Ransomware-Erkennung, die durch die Verschlüsselung auf App-Ebene zunichte gemacht werden |
| Compliance bestimmt den Aktualisierungszyklus | Die schrittweise Einführung der normalen 3–5-Jahres-Aktualisierung liefert als Nebenprodukt der Beschaffung bis 2030 ein vollständig verschlüsseltes, quantenresistentes SAN |
Die Verschlüsselung hat eine Frist
Herkömmliche Speicherarchitekturen basieren auf implizitem Vertrauen, doch raffinierte Angriffe auf dieser Ebene können große Datenmengen gefährden. Angriffe auf die Lieferkette – am Beispiel des CISA-Gutachtens 2019–2021 – haben gezeigt, dass Insider-Bedrohungen, die kompromittierte Komponenten ausnutzen, immer häufiger auftreten. Als Reaktion darauf erließ US-Präsident Biden die Executive Order 14028 (12. Mai 2021), die die Verschlüsselung ruhender und übertragener Bundesdaten vorschreibt. Dies zwang die Behörden dazu, die ursprüngliche CNSA Suite (CNSA 1.0) zu übernehmen, die genehmigte Algorithmen definierte, aber keine Quantenbedrohungen vorhersah. CNSA 2.0 bereitet nun diese Standards für das Quantencomputing vor, indem es anfällige Algorithmen außer Dienst stellt und quantenresistente Algorithmen schrittweise einführt.
Zeitplan für die Durchsetzung von CNSA 2.0
| Frist | Erfordernis |
|---|---|
| Nach dem 31. Dezember 2025 | Die erste Durchsetzungsphase beginnt |
| 1. Januar 2027 | Neue Installationen des Nationalen Sicherheitssystems müssen vollständig CNSA 2.0-konform sein |
| 31. Dezember 2030 | Stilllegung nicht konformer Systeme abgeschlossen |
| 31. Dezember 2031 | Alle nationalen Sicherheitssysteme verwenden ausschließlich CNSA 2.0 |
Die USA sind nicht allein. Das DORA der EU gilt für Finanzinstitute und schreibt strenge Berichterstattung, Risikomanagement und Sicherheitsprüfungen vor. NIS2 verlangt von den Mitgliedstaaten, Bedrohungsinformationen auszutauschen und Angriffe in der Lieferkette abzuwehren. Beide erfordern eine starke In-Flight- und At-Rest-Verschlüsselung, die FC-SP-3 vorantreibt.
Q-Day und Ernte jetzt, später entschlüsseln
„HNDL“-Angriffe erfassen heute verschlüsselten Datenverkehr, um ihn zu entschlüsseln, sobald ein leistungsstarker Quantencomputer existiert. Aktuelle Algorithmen widerstehen Brute-Force auf herkömmlicher Hardware, aber ein kryptanalytisch relevanter Quantencomputer (CRQC) könnte RSA und ECC zerstören. Um einen potenziellen Q-Day-Angriff abzuwehren, schreibt die NSA die Einhaltung von CNSA 2.0 bis zum 31. Dezember 2031 vor – vor der erwarteten CRQC-Verfügbarkeit – und verwendet Post-Quanten-Algorithmen, die auf Problemen basieren, die selbst für Quantenmaschinen unlösbar sind.
Zwei Jahrzehnte Fibre-Channel-Sicherheit
FC-SP-3 ist die dritte Generation der über zwanzigjährigen Arbeit des T11-Komitees von INCITS. Ein früherer Standard (genehmigt 2002, veröffentlicht 2007) führte Zonen- und Segmentierungskontrollen ein; FC-SP-2 (2012) fügte Authentifizierung und Verschlüsselung hinzu und entwickelte sich durch Änderungen in den Jahren 2015 und 2023 weiter; FC-SP-3 wurde 2022 als Projekt genehmigt und kürzlich fertiggestellt. Hierbei handelt es sich um eine geplante Modernisierung eines ausgereiften Frameworks, nicht um eine ergänzende Reaktion – offen entwickelt von den Anbietern, die die Geräte bauen, unter dem Vorsitz von Roger Hathorn (IBM), herausgegeben von David Peterson und James Smart (Broadcom), mit Mitwirkenden von Broadcom, Cisco, Dell, HPE, IBM, Marvell, NetApp und Viavi. Unternehmen, die um jeden SAN-Sockel konkurrieren, einigten sich darauf, wie die Verschlüsselung über diese Sockel hinweg funktionieren sollte.
Was FC-SP-3 ändert
Die Hauptänderung ist die Subtraktion – die Entfernung der alten Kryptografie FC-SP-2, die noch immer vorhanden ist.
Entfernte vs. hinzugefügte Kryptografie
| Entfernt (Legacy) | Hinzugefügt (CNSA 2.0-ausgerichtet) |
|---|---|
| 3DES, AES-CTR | ML-KEM-1024 (Schlüsseleinrichtung, NIST FIPS 203) |
| MD5, SHA-1, RSA-SHA-1 | ML-DSA-87 (digitale Signaturen, NIST FIPS 204) |
| DH-CHAP-Gruppen unter 2048 Bit | ECDSA bei 384 und 512 Bit |
| AES-Schlüssellängen unter 256 Bit (GCM/CBC) | SHA-2-basierte PRFs |
| RADIUS-Nutzung | AES-GCM ist für die Sicherheitszuordnungsverwaltung erforderlich |
| CT-Authentifizierung; FC-PAP- und FC-EAP-Protokolle | — |
Das Verstecken der Payload-Verschlüsselungsmethode zwingt Angreifer dazu, eine breite Palette von Algorithmen kostenintensiv zu testen, während ML-KEM dem Abfangen wirksam entgegenwirkt. Die strukturelle Änderung ist ebenso folgenreich: Das mehrstufige Compliance-Modell von FC-SP-2 – dessen niedrigste Stufe (Auth-A) Anbieter dazu zwang, veraltetes MD5 und 2048-Bit-DH zu unterstützen, nur um konform zu bleiben – wird durch Interoperabilitätsprofile ersetzt (Anhang A). Eine konforme Implementierung unterstützt die Profile, die zu ihrer Zielumgebung passen. Entscheidungen über Anforderungen liegen bei Gremien wie NIST und NSA, nicht beim Transportstandard. Anhang D behandelt die Abwärtskompatibilität mit FC-SP-2, sodass gemischte Stoffe einen dokumentierten Pfad und keine Klippe haben. Der Audit-Modus erleichtert den Übergang, indem er zunächst den Zugriff aufrechterhält und die strengsten Maßnahmen nur dann anwendet, wenn beide Endpunkte dazu in der Lage sind.
FC-SP-3 in ein Live-SAN einbinden
FC-SP-3 definiert die Tools und das Verhandlungsverhalten; Wie sie auf ein Laufgewebe aufgetragen werden, hängt von zwei herstellerneutralen, konformen Modellen ab.
Bereitstellungsmodelle im Vergleich
| Aspekt | Schlüsselservermodell | Autonome Verschlüsselung während des Flugs |
|---|---|---|
| Schlüsselquelle | Externer Schlüsselmanager (KMIP) | Wird im HBA generiert |
| Infrastruktur | Schlüsselserver + Netzwerkpfade + Betriebsdisziplin | Keine erforderlich |
| Beste Passform | Mainframe-/High-Compliance-Shops nutzen bereits KMIP | Fabric-weite Einführung auf vorhandener Ausrüstung |
| Wechseln Sie Änderungen | Keiner | Keiner |
| Zurückgreifen | — | Verhandelt automatisch und fällt zurück, wenn einem Kollegen die Unterstützung fehlt |
Die In-Flight-Verschlüsselung läuft in dediziertem Silizium mit voller Leitungsgeschwindigkeit – keine Durchsatzeinbußen, keine Host-CPU-Belastung. Da die Verschlüsselung auf der Transportebene erfolgt, kommen die Daten weiterhin in nutzbarer Form beim Array an, wodurch die Erkennung von Komprimierungs-, Deduplizierungs- und Komprimierungsverhältnisanomalien (ein wichtiges Ransomware-Signal) erhalten bleibt, die durch die Verschlüsselung auf Anwendungsebene zerstört werden. Es eignet sich für die Tiefenverteidigung: Verbindungsverschlüsselung plus Verschlüsselung auf vollständiger Festplatten- oder Array-Ebene im Ruhezustand, verankert durch Zero-Trust-Endpunkte – eine Silizium-Vertrauenswurzel, gegenseitige SPDM-Bescheinigung zwischen CPU und HBA und kryptografisch signierte Treiber. Im Audit-Modus können Administratoren eine Vorschau der zu verschlüsselnden Links vor der Durchsetzung anzeigen und so aus einer störenden Umstellung einen inkrementellen, überprüfbaren Prozess machen. Autonome In-Flight-Verschlüsselung ist bereits in FC-SP-3-fähigen HBAs enthalten; Jeder konforme Endpunkt kann teilnehmen, und die meisten Speicher-OEMs fügen ihn bis 2026 hinzu.
Wovor die Verschlüsselung während des Flugs schützt
FC-Verbindungen verlassen den Raum, in dem sie entstehen, und kreuzen Leitungen, Steigleitungen und Campusverläufe. Ein Angreifer mit physischem Zugang zur Glasfaser muss diese nicht unterbrechen; Durch die passive Überwachung kann der Datenverkehr ohne Warnung gelesen werden. Im Inneren des Gebäudes kann ein Insider mit Patchpanel-Zugriff den Datenverkehr aufzeichnen und Diagnosetools können Frames in Serviceprotokollen erfassen. Die In-Flight-Verschlüsselung schließt alle diese Pfade auf einmal: Alles, was zwischen zwei FC-SP-3-Endpunkten erfasst wird – von gebogenen Glasfasern, einem Patchpanel oder einer Protokolldatei – ist Chiffretext, für den zum Zeitpunkt der Erfassung kein Schlüssel verfügbar ist. Die Verschlüsselung auf der Transportebene schützt die Daten während der Übertragung und sorgt gleichzeitig dafür, dass sie auf dem Array nutzbar bleiben. Aus diesem Grund wird sie der Verschlüsselung auf Anwendungsebene vorgezogen.
Der Weg zu einem vollständig verschlüsselten SAN
Die FCIA-Roadmap basiert auf der Berechnung des Aktualisierungszyklus: Server und Speicher wechseln alle drei bis fünf Jahre, sodass fast jede Fabric ihre Endpunkte vor den Fristen 2030/2031 mindestens einmal ersetzt. Jeder große Serveranbieter liefert bereits FC-SP-3-fähige Adapter aus, und die meisten Speicher-OEMs fügen bis 2026 konforme Konnektivität hinzu. Verschlüsselungsfähige Endpunkte verhandeln automatisch und koexistieren mit älteren Geräten; Der Audit-Modus überprüft die Bereitschaft vor der Durchsetzung. Es ist kein Gabelstapler-Event erforderlich. Eine Organisation, die ihren normalen Rhythmus auffrischt und FC-SP-3 spezifiziert, erreicht das Jahr 2030 mit einem vollständig verschlüsselten, quantenresistenten SAN als Nebenprodukt der Routinebeschaffung.
Abschluss
FC-SP-3 ist kein auffälliger Standard – und das ist sein Vorteil. Es entfernt Kryptografie, die schon vor Jahren hätte eingestellt werden sollen, fügt die von den Regulierungsbehörden geforderten NIST-Post-Quanten-Algorithmen hinzu und ersetzt ein fehlerhaftes Compliance-Modell durch Interoperabilitätsprofile. Es ist den Anforderungen, die es erfüllt, um Jahre voraus, und zwar innerhalb der von Unternehmen bereits geplanten Aktualisierungszyklen. Die schwierigen Teile wurden wegkonstruiert: keine Switch-Änderungen, keine zusätzliche Sicherheitsinfrastruktur, keine Host-CPU-Einbußen und ein Audit-Modus, der die Einführung vor der Durchsetzung beobachtbar macht.
Der Vorbehalt besteht darin, dass es sich bei einem Standard um ein Toolset und nicht um eine Bereitstellung handelt. Nichts verschlüsselt sich selbst: Unternehmen müssen eine Bestandsaufnahme ihrer HBAs und Speicher durchführen, bei bevorstehenden Käufen FC-SP-3 angeben und Sicherheit aktivieren, wenn leistungsfähige Endpunkte die Fabric bevölkern. Für das Finanzwesen, das Gesundheitswesen, die Versorgungsunternehmen und die Regierung hat diese Arbeit eine Frist, unabhängig davon, ob jemand sie festlegt oder nicht – HNDL bedeutet, dass die heute gestohlenen Daten bereits den Quantencomputern des nächsten Jahrzehnts ausgesetzt sind. FC-SP-3 schließt die Lücke, indem es Sicherheit zu einem Beschaffungsdetail und nicht zu einem Projekt macht und Fibre Channel so bleibt, wie es seit zwei Jahrzehnten ist: Die durch Fabric regulierten Industrien vertrauen den Daten an, deren Verlust sie sich am wenigsten leisten können.
Glossar
| Begriff | Definition |
|---|---|
| 3DES | Dreifaches DES; Legacy-Blockverschlüsselung in FC-SP-3 entfernt |
| AES-GCM/CBC/CTR | AES-Modi; GCM für Sicherheitszuordnungsverwaltung erforderlich, CTR entfernt, Schlüssel unter 256 Bit gelöscht |
| CNSA 2.0 | Die quantenresistente Algorithmensuite der NSA und Fristen für die nationalen Sicherheitssysteme der USA |
| CRQC | Kryptoanalytisch relevanter Quantencomputer, leistungsstark genug, um aktuelle Public-Key-Kryptowährungen zu knacken |
| CT-Authentifizierung | Authentifizierung des FC Common Transport-Verkehrs zu Fabric-Diensten; in FC-SP-3 entfernt |
| DH-CHAP | Kopplung des Fibre-Channel-Authentifizierungsprotokolls CHAP mit Diffie-Hellman; Gruppen unter 2048 Bit wurden gelöscht |
| DORA | Digital Operational Resilience Act, EU-Verordnung für IKT-Risiken im Finanzsektor |
| ECC/ECDSA | Krypto/Signaturen mit elliptischer Kurve; neben ML-DSA bei 384 und 512 Bit gehalten |
| FC-PAP/FC-EAP | Ältere FC-SP-2-Authentifizierungsprotokolle wurden in FC-SP-3 entfernt |
| FCIA | Verband der Fibre-Channel-Industrie |
| HBA | Host-Bus-Adapter, die FC-Schnittstellenkarte in Servern/Speicher |
| HNDL | Jetzt ernten, später entschlüsseln |
| INCITS/T11 | Normungsgremium und sein technisches FC-Komitee, das FC-SP-3 entwickelt |
| KMIP | Schlüsselverwaltungs-Interoperabilitätsprotokoll |
| MD5/SHA-1/SHA-2 | Hash-Funktionen; MD5 und SHA-1 entfernt, SHA-2 ersetzt sie |
| ML-DSA-87 | Post-Quantum-Signatur-Algorithmus (FIPS 204), hinzugefügt in FC-SP-3 |
| ML-KEM-1024 | Post-Quantum Key Establishment (FIPS 203), hinzugefügt in FC-SP-3 |
| NIS2 | EU-Richtlinie zur Netzwerk- und Informationssicherheit 2 |
| PQC | Postquantenkryptographie |
| PRF | Pseudozufallsfunktion; SHA-2-basierte PRFs erforderlich |
| Q-Day | Punkt, an dem ein CRQC die aktuelle Public-Key-Kryptowährung unterbricht |
| RADIUS | Netzwerkauthentifizierungsprotokoll; Verwendung aus FC-SP-3 entfernt |
| RSA | Der Public-Key-Algorithmus, den ein CRQC zerstören könnte; RSA-SHA-1 entfernt |
| SPDM | Sicherheitsprotokoll und Datenmodell für CPU/HBA-Nachweis |
Peking Qianxing Jietong Technology Co., Ltd.
Sandy Yang/Global Strategy Director
WhatsApp / WeChat: +86 13426366826
E-Mail: yangyd@qianxingdata.com
Website: www.qianxingdata.com/www.storagesserver.com
Geschäftsschwerpunkt:
IKT-Produktvertrieb/Systemintegration und -dienste/Infrastrukturlösungen
Mit mehr als 20 Jahren Erfahrung im IT-Vertrieb arbeiten wir mit führenden globalen Marken zusammen, um zuverlässige Produkte und professionelle Dienstleistungen zu liefern.
„Mit Technologie eine intelligente Welt aufbauen“ Ihr vertrauenswürdiger IKT-Produktdienstleister!