Поддержка аппаратного ускорения TLS 1.3 в Citrix ADC

Citrix анонсировал доступность аппаратной поддержки TLS 1.3 на платформах Citrix ADC MPX и SDX. Вместе с новым расширением аппаратной поддержки, клиенты смогут разгрузить большие рабочие нагрузки TLS, которые может обрабатывать высокопроизводительное оборудование Citrix.

Работа в интернете сейчас подкрепляется такими протоколами, как TLS, которые обеспечивают быстрые и надёжные коммуникации. Протокол TLS 1.3 – это полностью переработанный протокол TLS с увеличенными безопасностью и скоростью, и Citrix рекомендует своим клиентам перейти на данный протокол. 

Citrix был одним из первых производителей ADC, включивших поддержку TLS 1.3 в программное и микропрограммное обеспечение в 2018-ом году. Об этом я писал в статье «Анонс поддержки TLS 1.3 на Citrix ADC (в прошлом Citrix NetScaler ADC)». С тех пор наблюдается стремительное увеличение применения протокола на всех типах платформ.

Преимущества протокола TLS 1.3.

По сравнению с версией 1.2, TLS 1.3 имеет множество преимуществ. TLS 1.3 по умолчанию обеспечивает потрясающую прямую секретность, это означает что даже записанный траффик не может быть прочитан в случае компрометации частного ключа. Протокол TLS 1.3 не поддерживает устаревшие шифры, которые более не считаются безопасными. Также TLS 1.3 не подвержен известным эксплойтам DROWN, POODLE, SLOTH и прочим, что делает протокол ещё более надежным и безопасным.

Другое важное улучшение по сравнению с TLS 1.2 – это сокращённая задержка. TLS 1.3 достаточно одного круга для настройки соединения, что удаляет один круг во время процесса квитирования, что потенциально сохраняет сотни миллисекунд при создании сессии, обеспечивая значительное ускорение возможностей.

Дополнительно, для сессий, которые возвращаются к предыдущему соединению между клиентом и сервером, TLS 1.3 обеспечивает более быстрое соединение при помощи 0-RTT. Протокол позволяет выполниться первому запросу приложения до завершения квитирования TLS. Включение возможности возобновления 0-RTT может оставить сервер уязвимым к атакам воспроизведения (Reply Attacks). Однако, Citrix создал глобальное обнаружение повторов между всеми устройствами Citrix ADC для защиты от атак с воспроизведением.

Аппаратное ускорение TLS 1.3 в Citrix ADC.

Все схемы шифрования TLS требуют времени процессора на обработку, что добавляет задержку запросам и ответам в сети. Это увеличение потребления ресурсов процессора (и задержки) может значительно влиять на производительность приложения. Аппаратная платформа Citrix ADC позволяет разгрузить большинство операций квитирования TLS 1.3 на чипы ускорения SSL, сохраняя процессорные циклы для других задач и компонентов.

В процессе интенсивной оптимизации и проектирования поддержки аппаратного ускорения TLS 1.3, тестирование производительности показало эквивалентное число квитирований SSL и пропускной способности SSL по сравнению с данными TLS 1.2. Дополнительные данные по показателям производительности можно запросить у торговых представителей Citrix.

Аппаратное ускорение, поддерживается на следующих платформах Citrix ADC MPX/SDX:

• 5900.
• 8900.
• 15000.
• 15000-50G.
• 26000.
• 26000-50S.
• 26000-100G.

Подробнее познакомиться с аппаратной поддержкой TLS 1.3 можно в заметках к релизу Citrix ADC 13.0-71.x.