הצפנת תעבורה אינה מנגנון יחיד: IPsec, MACsec ו-TLS פועלים בשכבות שונות ומגנים על מסלולים שונים. בחירה נכונה מתחילה בשאלה היכן עובר המידע, מי הם קצות התקשורת ואיזה איום רוצים לצמצם.
IPsec: הצפנה בשכבת הרשת
IPsec הוא מערך תקנים להגנה על מנות IP בין נקודות קצה או שערים. במימושים נפוצים משתמשים ב-ESP כדי לספק סודיות, שלמות ואימות. במצב Tunnel עוטפים את חבילת ה-IP המקורית — תצורה נפוצה בחיבורי VPN בין אתרים. במצב Transport מגנים בעיקר על המטען בין מארחים.
IPsec אינו תכונה אוטומטית של כל מתג. הוא נפוץ בחומות אש, נתבים, שערי VPN ולעיתים בציוד רשת מתקדם שתומך בכך במפורש. יש לבדוק תמיכת חומרה, אלגוריתמים, ניהול מפתחות וקצב עבודה תחת הצפנה.
MACsec: הגנה על קישור שכבה 2
MACsec, המבוסס על IEEE 802.1AE, מצפין מסגרות Ethernet בקישור מקומי נתמך. הוא מתאים להגנה בין מתגים, שרתים או ציוד קצה תואם, אך ההגנה היא בדרך כלל קישור-אחר-קישור ולא מנהרה מקצה לקצה דרך רשתות לא מוכרות. התמיכה תלויה בדגם, בממשק וברישוי.
TLS: הצפנה ברמת היישום
TLS מגן על חיבורים של יישומים כמו HTTPS, דואר ושירותי API. הוא יכול לספק הצפנה מקצה לקצה ברמת השירות, אך אינו מחליף בהכרח IPsec או MACsec כאשר נדרשת הגנה רחבה על קישור או על תעבורת רשת שלמה.
איך בוחרים?
- אתר-לאתר או גישה מרחוק: לרוב בוחנים IPsec VPN.
- קישור Ethernet רגיש בתוך הארגון או בין מתקנים: בוחנים MACsec אם שני הצדדים תומכים.
- שירות אינטרנטי או API: משתמשים ב-TLS ומנהלים תעודות באופן מסודר.
- סביבה רגישה: לעיתים משלבים שכבות, בהתאם למודל האיומים.
מגבלות שאסור להתעלם מהן
הצפנה אינה מגינה מפני תחנת קצה שכבר נפרצה, הרשאות שגויות או גניבת זהות. היא גם אינה מסתירה בהכרח את כל המטא-דאטה. יש לשלב אותה עם הקשחת ציוד, אימות רב-שלבי, סגמנטציה, ניטור, סבב מפתחות ובדיקת ביצועים לפני פריסה רחבה.
לפרטים טכניים, ראו את RFC 4301 – ארכיטקטורת IPsec ואת מדריך ITPortal על הבדלים בין שכבות הגנה ברשת.
צילום: Jorge Jesus / Pexels.
