A cifragem das comunicações em rede é a base da segurança dos dados no transporte – mas nem todas as abordagens de cifragem são equivalentes. A escolha entre a encriptação na camada de rede (L3) e na camada de transporte (L4) tem consequências concretas na granularidade da proteção, no desempenho, na gestão de chaves e na resistência a ataques avançados. Especialmente no contexto de soluções como a Certes Networks, especializada na encriptação de grupo da camada 4, é útil compreender estas diferenças antes de tomar uma decisão arquitetónica.
Índice
- Fundamentos do modelo OSI – o que acontece nos níveis 3 e 4?
- Encriptação de camada 3 – como funciona e quais são as suas limitações?
- Encriptação de camada 4 – o que muda na abordagem da Certes Networks?
- Comparação prática – granularidade, desempenho, gestão
- Encriptação de grupos – o que é e porque é importante?
- Aplicações em ambientes industriais e infra-estruturas críticas
- Principais conclusões
- FAQ
- Resumo
Fundamentos do modelo OSI – o que acontece nos níveis 3 e 4?
O modelo OSI divide a comunicação de rede em camadas com funções bem definidas. A camada 3 (rede) trata do endereçamento IP e do encaminhamento de pacotes entre redes – é aqui que operam os protocolos IP, ICMP e de encaminhamento dinâmico. A camada 4 (transporte) gere a comunicação de extremo a extremo entre processos, a segmentação de dados e o controlo do fluxo – é o nível dos protocolos TCP e UDP, com portas que identificam os serviços.
A encriptação de nível L3 funciona em pacotes IP – protege os dados com base nos endereços de origem e de destino. A encriptação de nível L4 funciona em sessões e ligações – pode ter em conta portas, protocolos de transporte e atributos de sessão, resultando numa granularidade de política muito mais elevada.
Encriptação de camada 3 – como funciona e quais são as suas limitações?
O exemplo mais comum de encriptação L3 é o IPSec em modo de túnel, normalmente utilizado em VPNs site-to-site. O IPSec encripta todo o pacote IP (cabeçalho + dados) e encapsula-o num novo pacote com um cabeçalho de túnel. É uma solução comprovada e amplamente utilizada – mas tem algumas limitações operacionais significativas.
Em primeiro lugar, a granularidade da política é limitada a endereços IP – não podes diferenciar a proteção com base em portas ou protocolos de transporte. Em segundo lugar, o IPSec no modo túnel aumenta a sobrecarga de pacotes e pode exigir fragmentação em MTUs padrão. Em terceiro lugar, em grandes ambientes, a gestão de um grande número de túneis ponto-a-ponto é operacionalmente complexa e propensa a erros de configuração. Em quarto lugar, qualquer alteração na topologia da rede (adição de uma nova localização, mudança de endereço) exige a reconfiguração dos túneis.
O IPSec funciona bem em cenários VPN clássicos, mas em ambientes complexos de campus, industriais ou multi-site, as suas limitações surgem. Por conseguinte, vale a pena explorar as redes isoladas e o suporte de dispositivos móveis como complemento da arquitetura.
Encriptação de camada 4 – o que muda na abordagem da Certes Networks?
A Certes Networks é especializada na encriptação de grupo da camada 4 com base no IEEE 802.1AE (MACsec) e na sua própria tecnologia CryptoFlow. A abordagem da Certes funciona ao nível da sessão de transporte, o que significa que as políticas criptográficas podem ser definidas com granularidade até ao nível da porta, do protocolo e da direção do tráfego.
A principal diferença é o modelo de encriptação baseado em grupo – em vez de gerir os túneis entre cada par de nós, o Certes utiliza chaves de grupo que definem a política criptográfica para todo um segmento ou classe de tráfego. Uma única chave de grupo pode proteger as comunicações entre centenas de nós, e a rotação de chaves para todo o grupo é uma operação central – não é necessária qualquer reconfiguração em cada dispositivo individualmente.
Comparação prática – granularidade, desempenho, gestão
A granularidade da política é a primeira diferença fundamental. A encriptação L3 (IPSec) funciona em pares de endereços IP – tudo entre um par é protegido da mesma forma ou não é protegido de todo. A encriptação L4 da Certes permite a diferenciação: tráfego SQL na porta 1433 encriptado com uma chave, tráfego de backup na porta 445 com outra, comunicações de gestão com uma terceira – tudo na mesma rede.
O desempenho é a segunda diferença. A aceleração de hardware moderna para encriptação MACsec e L4 suporta taxas de transferência de 100 Gbps e superiores sem impacto percetível na latência. O IPSec em modo túnel com suporte de fragmentação pode ser um estrangulamento com tráfego intenso.
A governação é a terceira diferença, frequentemente subestimada. O modelo de gestão centralizada de chaves da Certes (através do CEP – Certes Enforcement Point Manager) permite que a política criptográfica para todo o ambiente seja alterada instantaneamente a partir de um único local – sem reconfigurar “manualmente” cada dispositivo.
Encriptação de grupos – o que é e porque é importante?
A criptografia de grupo é um modelo no qual as políticas criptográficas são definidas para um grupo de participantes da comunicação, em vez de para pares de conexões. O Certes implementa este modelo através do CryptoFlow – cada “fluxo criptográfico” define um grupo de nós, uma chave de grupo e uma política (o que é encriptado, como as chaves são rodadas, que algoritmos são utilizados).
Isto é particularmente relevante em ambientes onde a topologia é plana ou em malha – como redes de campus, centros de dados ou redes industriais OT. Nesses ambientes, o modelo de túnel L3 cria um problema combinatório de escala (n² túneis para n nós), enquanto a encriptação de grupo Certes requer um único CryptoFlow, independentemente do número de participantes.
Aplicações em ambientes industriais e infra-estruturas críticas
Os ambientes industriais (OT/ICS) têm requisitos específicos que tornam a encriptação L4 particularmente atractiva. Os sistemas SCADA e PLC muitas vezes não suportam agentes de segurança padrão – a encriptação deve ser transparente e invisível para o dispositivo final. A Certes consegue-o através de pontos de aplicação “bump-in-the-wire”, que encriptam o tráfego que passa por eles sem qualquer modificação dos dispositivos OT.
As infra-estruturas críticas (energia, água, transportes) estão sujeitas a regulamentos que exigem a proteção criptográfica das comunicações entre segmentos de rede. Certes cumpre os requisitos de NERC CIP, IEC 62443 e outras normas da indústria. A combinação com soluções VPN de próxima geração cria uma arquitetura completa para proteger as comunicações em ambientes OT.
Principais conclusões
- A encriptação L3 (IPSec) funciona em pares de endereços IP e é adequada para VPNs site-a-site clássicas.
- A encriptação L4 (Certes) oferece granularidade até ao nível da porta e do protocolo, com gestão central de chaves de grupo.
- O modelo de grupo Certes elimina o problema da escala de túneis ponto a ponto em ambientes de grandes dimensões.
- Os ambientes industriais OT beneficiam particularmente da encriptação L4 transparente – sem modificação dos dispositivos finais.
- A gestão centralizada de chaves pelo CEP Manager reduz a complexidade operacional e o risco de erros de configuração.
FAQ
A encriptação Certes exige a substituição da infraestrutura de rede existente? Não – O Certes actua como um nível de “colisão no fio” não estabelecido a partir de dispositivos de rede específicos. Os pontos de aplicação integram-se na infraestrutura existente.
Como é que o Certes lida com a rotação de chaves criptográficas? A rotação de chaves é central e automática – o CEP Manager distribui novas chaves a todos os nós do grupo simultaneamente, sem interrupção da comunicação (rotação de chaves em serviço).
Que algoritmos criptográficos são suportados pelo Certes? O Certes suporta as normas NIST AES-256-GCM, SHA-384 e outras, em conformidade com os requisitos do Suite B e os regulamentos governamentais e industriais.
O Certes pode encriptar o tráfego entre diferentes ambientes (na nuvem e no local)? Sim – O Certes suporta ambientes híbridos, incluindo ligações entre locais no local e a nuvem pública.
Resumo
A escolha entre a encriptação da camada 3 e da camada 4 é uma decisão arquitetónica com consequências de grande alcance para a granularidade, escalabilidade e capacidade de gestão da segurança das comunicações. Em ambientes complexos – redes empresariais multi-segmentadas, ambientes OT, infra-estruturas críticas – a encriptação L4 no modelo de grupo da Certes Networks oferece vantagens significativas em relação ao IPSec clássico. Contacta a Ramsdata para saber como Certes Networks pode ser integrado na tua arquitetura de segurança de rede.
