Korean
첫 번째 패스는 산문만 다듬었습니다. 표 형식의 콘텐츠가 표가 되고 나머지 텍스트가 더 빽빽해지도록 재구성하겠습니다. 이렇게 하면 단어 수가 목표 15%보다 훨씬 아래로 줄어듭니다.
FC-SP-3: 포스트퀀텀 시대를 위한 파이버 채널 확보
기업 IT에서는 대부분의 보안 업그레이드가 침해 이후에 이루어집니다. INCITS FC-SP-3 표준은 다릅니다. 이미 인프라 계획을 형성하고 있는 규제 및 암호화 기한에 적극적으로 대응합니다. NSA의 CNSA 2.0은 국가 보안 시스템(National Security Systems)에 까다로운 마이그레이션 경로를 제공하는 반면, EU의 NIS2 및 DORA는 암호화 정책을 활성 규정 준수 프로그램에 포함시켰습니다. 양자 컴퓨팅은 암호 분석과 관련된 양자 컴퓨터가 임박해서가 아니라 "지금 수확하고 나중에 해독"하는 공격으로 인해 오늘날 수명이 긴 데이터가 노출되기 때문에 긴급성을 더합니다.
파이버 채널은 기업이 최소한의 손실을 감수할 수 있는 데이터를 전달하기 때문에 타이밍이 중요합니다. 이는 금융, 의료, 정부, 유틸리티 및 기타 규제 부문의 미션 크리티컬 스토리지를 위한 기본 인프라로 남아 있습니다. 이더넷과 물리적, 논리적으로 격리되어 있고 이더넷 네트워크에서 라우팅할 수 없으며 패브릭 구역화 및 장치 마스킹을 통해 추가 보호를 받습니다. 1억 6천만 개가 넘는 포트가 출하되고 3,500만 개가 넘는 포트가 여전히 작동하고 있는 이 설치 기반이 바로 FC-SP-3이 중요한 이유입니다. 즉, SAN을 교체할 필요가 없지만 기존 패브릭을 보호하는 표준 기반 방법을 제공합니다.
주요 시사점
| 테이크아웃 | 의미 |
|---|---|
| 표준이 마감일을 앞지릅니다. | 2026년 INCITS T11에 의해 완성된 FC-SP-3은 2030/2031 날짜보다 몇 년 앞서 CNSA 2.0, NIS2 및 DORA 요구 사항을 충족합니다. |
| 먼저 뺀 다음 양자 저항을 더합니다. | 기존 암호화(3DES, MD5, SHA-1, 하위 2048비트 DH)가 제거되었습니다. ML-KEM-1024 및 ML-DSA-87이 추가되었습니다. 사양이 288페이지에서 152페이지로 줄었습니다. |
| 인프라세 없이 암호화 | 자율적인 진행 중 암호화는 HBA에서 키를 생성하고 회선 속도로 실행됩니다. 키 서버가 없고, 스위치 변경이 없으며, 호스트 CPU 부하가 없습니다. |
| 어레이는 초능력을 유지합니다 | 전송 계층 암호화는 앱 수준 암호화가 무력화하는 압축, 중복 제거 및 랜섬웨어 탐지를 유지합니다. |
| 규정 준수는 갱신 주기를 따릅니다. | 일반적인 3~5년 주기의 롤링 롤아웃은 조달의 부산물로 2030년까지 완전히 암호화된 양자 방지 SAN을 제공합니다. |
암호화가 마감일입니다
기존 스토리지 아키텍처는 암시적 신뢰에 의존하지만 이 계층에 대한 정교한 공격은 대용량 데이터를 손상시킬 수 있습니다. CISA의 2019-2021 권고에서 예시된 공급망 공격은 손상된 구성 요소를 악용하는 내부자 위협이 점점 더 일반화되고 있음을 보여줍니다. 이에 대해 바이든 미국 대통령은 미사용 및 전송 중인 연방 데이터에 대한 암호화를 요구하는 행정 명령 14028(2021년 5월 12일)을 발령했습니다. 이로 인해 기관은 승인된 알고리즘을 정의했지만 양자 위협을 예상하지 못한 원래 CNSA 제품군(CNSA 1.0)을 채택해야 했습니다. CNSA 2.0은 이제 양자 컴퓨팅을 위한 표준을 준비하고 취약한 알고리즘을 폐기하고 단계적인 일정에 따라 양자 저항 알고리즘을 도입합니다.
CNSA 2.0 시행 일정
| 사선 | 요구 사항 |
|---|---|
| 2025년 12월 31일 이후 | 첫 번째 시행 단계가 시작됩니다. |
| 2027년 1월 1일 | 새로운 국가 보안 시스템(National Security System) 설치는 CNSA 2.0을 완전히 준수해야 합니다. |
| 2030년 12월 31일 | 비준수 시스템 폐기 완료 |
| 2031년 12월 31일 | 모든 국가 보안 시스템은 CNSA 2.0을 독점적으로 사용합니다. |
미국은 혼자가 아닙니다. EU의 DORA는 금융 기관에 적용되어 엄격한 보고, 위험 관리 및 보안 테스트를 요구합니다. NIS2에서는 회원국이 위협 인텔리전스를 공유하고 공급망 공격에 대응하도록 요구합니다. 둘 다 FC-SP-3이 발전한 강력한 전송 중 및 저장 중 암호화를 요구합니다.
Q-Day 및 지금 수확, 나중에 해독
"HNDL" 공격은 오늘날 암호화된 트래픽을 캡처하여 강력한 양자 컴퓨터가 존재하면 이를 해독합니다. 현재 알고리즘은 기존 하드웨어에 대한 무차별 공격에 저항하지만 CRQC(Cryptanalytically Relevant Quantum Computer)는 RSA 및 ECC를 깨뜨릴 수 있습니다. 잠재적인 Q-Day 공격을 둔화시키기 위해 NSA는 양자 머신에서도 다루기 힘든 문제를 기반으로 구축된 포스트 양자 알고리즘을 사용하여 예상되는 CRQC 가용성보다 앞선 2031년 12월 31일까지 CNSA 2.0 준수를 요구합니다.
20년 간의 파이버 채널 보안
FC-SP-3은 INCITS의 T11 위원회가 20년 넘게 작업한 3세대 제품입니다. 이전 표준(2002년 승인, 2007년 발행)에서는 구역화 및 분할 제어를 확립했습니다. FC-SP-2(2012)는 인증 및 암호화를 추가하여 2015년과 2023년 개정을 통해 발전했습니다. FC-SP-3는 2022년 사업으로 승인돼 최근 완료됐다. 이는 추가 대응이 아닌 성숙한 프레임워크의 예정된 현대화입니다. 장비를 구축하는 공급업체가 의장을 맡고 Roger Hathorn(IBM)이 의장을 맡고 David Peterson 및 James Smart(Broadcom)가 편집하며 Broadcom, Cisco, Dell, HPE, IBM, Marvell, NetApp 및 Viavi의 기여자들이 공개적으로 개발한 것입니다. 모든 SAN 소켓을 두고 경쟁하는 회사들은 해당 소켓 전반에 걸쳐 암호화가 작동하는 방식에 동의했습니다.
FC-SP-3의 변경 사항
헤드라인 변경 사항은 뺄셈입니다. 여전히 사용되는 레거시 암호화 FC-SP-2를 제거하는 것입니다.
제거된 암호화와 추가된 암호화
| 삭제됨(기존) | 추가됨(CNSA 2.0 호환) |
|---|---|
| 3DES, AES-CTR | ML-KEM-1024 (핵심 확립, NIST FIPS 203) |
| MD5, SHA-1, RSA-SHA-1 | ML-DSA-87(디지털 서명, NIST FIPS 204) |
| 2048비트 미만의 DH-CHAP 그룹 | 384 및 512비트의 ECDSA |
| 256비트 미만의 AES 키 길이(GCM/CBC) | SHA-2 기반 PRF |
| RADIUS 사용 | 보안 연관 관리에 필요한 AES-GCM |
| CT 인증; FC-PAP 및 FC-EAP 프로토콜 | — |
페이로드 암호화 방법을 숨기면 공격자는 높은 비용으로 광범위한 알고리즘을 테스트해야 하며, ML-KEM은 효과적으로 가로채기에 대응합니다. 구조적 변화도 마찬가지로 결과적입니다. 가장 낮은 계층(Auth-A)으로 인해 공급업체가 단지 규정 준수를 유지하기 위해 더 이상 사용되지 않는 MD5 및 2048비트 DH를 지원하도록 강제하는 FC-SP-2의 계층형 규정 준수 모델이 상호 운용성 프로필(부록 A)로 대체되었습니다. 규정을 준수하는 구현은 대상 환경과 일치하는 프로필을 지원합니다. 요구 사항에 대한 결정은 전송 표준이 아닌 NIST 및 NSA와 같은 기관에 달려 있습니다. 부록 D는 FC-SP-2와의 하위 호환성을 다루므로 혼합 패브릭에는 절벽이 아닌 문서화된 경로가 있습니다. 감사 모드는 액세스를 먼저 유지하고 두 끝점이 모두 가능한 경우에만 가장 엄격한 조치를 적용하여 전환을 용이하게 합니다.
라이브 SAN에 FC-SP-3 배치
FC-SP-3은 도구와 협상 동작을 정의합니다. 실행 중인 패브릭에 적용되는 방식은 공급업체 중립적이며 규정을 준수하는 두 가지 모델로 귀결됩니다.
배포 모델 비교
| 측면 | 키 서버 모델 | 자율적인 이동 중 암호화 |
|---|---|---|
| 주요 소스 | 외부 키 관리자(KMIP) | HBA 내부에서 생성됨 |
| 하부 구조 | 주요 서버 + 네트워크 경로 + 운영 원칙 | 필요 없음 |
| 최적의 핏 | 이미 KMIP를 실행 중인 메인프레임/고준수 매장 | 기존 장비에 대한 패브릭 전체 롤아웃 |
| 변경사항 전환 | 없음 | 없음 |
| 대체 | — | 자동 협상, 피어의 지원이 부족하면 대체 |
이동 중 암호화는 전용 실리콘에서 최대 회선 속도로 실행됩니다. 처리량 저하나 호스트 CPU 부하가 없습니다. 암호화는 전송 계층에서 발생하기 때문에 데이터는 애플리케이션 수준 암호화가 파괴하는 압축, 중복 제거 및 압축률 이상 감지(핵심 랜섬웨어 신호)를 유지하면서 사용 가능한 형태로 어레이에 도착합니다. 심층 방어에 적합합니다. 링크 암호화와 전체 디스크 또는 어레이 수준 저장 시 암호화, 제로 트러스트 엔드포인트(실리콘 루트 오브 트러스트, CPU와 HBA 간의 SPDM 상호 증명, 암호화 서명 드라이버)로 고정됩니다. 감사 모드를 사용하면 관리자는 시행 전에 어떤 링크가 암호화되는지 미리 볼 수 있어 방해가 되는 컷오버를 증분적이고 검증 가능한 프로세스로 전환할 수 있습니다. FC-SP-3 지원 HBA에는 자율적인 진행 중 암호화 기능이 이미 탑재되어 있습니다. 규정을 준수하는 모든 엔드포인트가 참여할 수 있으며 대부분의 스토리지 OEM은 2026년까지 이를 추가합니다.
In-Flight Encryption이 보호하는 대상
FC 링크는 원래 있던 공간을 떠나 도관, 라이저 및 캠퍼스 런을 교차합니다. 광섬유에 물리적으로 접근할 수 있는 공격자는 광섬유를 절단할 필요가 없습니다. 수동 모니터링은 경고 없이 트래픽을 읽을 수 있습니다. 건물 내부에서 패치 패널 액세스 권한이 있는 내부자는 트래픽을 기록할 수 있으며 진단 도구는 프레임을 서비스 로그에 캡처할 수 있습니다. 진행 중인 암호화는 이러한 모든 경로를 한 번에 닫습니다. 구부러진 광섬유, 패치 패널 또는 로그 파일에서 두 FC-SP-3 엔드포인트 간에 캡처된 모든 항목은 캡처 시점에 사용할 수 있는 키가 없는 암호문입니다. 전송 계층에서의 암호화는 전송 중인 데이터를 보호하는 동시에 어레이에서 사용할 수 있도록 유지하므로 애플리케이션 수준 암호화보다 선호됩니다.
완전히 암호화된 SAN으로 가는 길
FCIA 로드맵은 갱신 주기 계산에 따라 실행됩니다. 서버와 스토리지는 3~5년마다 교체되므로 거의 모든 패브릭은 2030/2031 마감일 이전에 적어도 한 번 엔드포인트를 교체합니다. 모든 주요 서버 공급업체는 이미 FC-SP-3 지원 어댑터를 출시하고 있으며 대부분의 스토리지 OEM은 2026년까지 호환 연결을 추가합니다. 암호화 지원 엔드포인트는 자동으로 협상하고 레거시 장비와 공존합니다. 감사 모드는 적용 전에 준비 상태를 확인합니다. 지게차 이벤트가 필요하지 않습니다. 정상적인 흐름을 갱신하고 FC-SP-3을 지정하는 조직은 일상적인 조달의 부산물로 완전히 암호화된 양자 방지 SAN을 사용하여 2030년에 도달합니다.
결론
FC-SP-3은 화려한 표준이 아니며 이것이 바로 장점입니다. 몇 년 전에 폐기되어야 했던 암호화를 제거하고 규제 기관이 요구하는 NIST 포스트 양자 알고리즘을 추가하며 결함이 있는 규정 준수 모델을 상호 운용성 프로필로 대체합니다. 기업이 이미 계획하고 있던 갱신 주기 내에서 충족하는 요구 사항보다 몇 년 앞서 도착합니다. 스위치 변경 없음, 추가 보안 인프라 없음, 호스트 CPU 페널티 없음, 적용 전에 롤아웃을 관찰할 수 있게 만드는 감사 모드 등 어려운 부분이 제거되었습니다.
주의할 점은 표준은 배포가 아닌 도구 세트라는 것입니다. 자체적으로 암호화되는 것은 없습니다. 조직은 HBA 및 스토리지 목록을 작성하고, 향후 구매 시 FC-SP-3을 지정하고, 패브릭을 채울 수 있는 엔드포인트에 따라 보안을 활성화해야 합니다. 금융, 의료, 유틸리티 및 정부의 경우 해당 작업에는 누군가가 예약하든 안 하든 기한이 있습니다. HNDL은 오늘날 도난당한 데이터가 이미 향후 10년의 양자 컴퓨터에 노출되어 있음을 의미합니다. FC-SP-3은 보안을 프로젝트가 아닌 조달 세부 사항으로 만들어 파이버 채널을 20년 동안 그대로 유지함으로써 격차를 해소합니다. 즉, 패브릭 규제 산업은 손실을 최소화할 수 있는 데이터를 신뢰합니다.
어휘
| 용어 | 정의 |
|---|---|
| 3DES | 트리플 DES; FC-SP-3에서 레거시 블록 암호가 제거되었습니다. |
| AES-GCM/CBC/CTR | AES 모드; 보안 연결 관리에 필요한 GCM, CTR 제거, 256비트 미만의 키 삭제 |
| CNSA 2.0 | NSA의 양자 저항 알고리즘 제품군 및 미국 국가 보안 시스템에 대한 마감일 |
| CRQC | 현재 공개 키 암호화를 해독할 수 있을 만큼 강력한 암호 분석 관련 양자 컴퓨터 |
| CT 인증 | 패브릭 서비스에 대한 FC 공통 전송 트래픽 인증 FC-SP-3에서 제거됨 |
| DH-CHAP | CHAP와 Diffie-Hellman을 페어링하는 파이버 채널 인증 프로토콜, 2048비트 미만의 그룹은 삭제됨 |
| 도라 | 디지털 운영 탄력성법(Digital Operational Resilience Act), 금융 부문 ICT 위험에 대한 EU 규정 |
| ECC/ECDSA | 타원 곡선 암호화/서명; ML-DSA와 함께 384 및 512비트로 유지 |
| FC-PAP/FC-EAP | FC-SP-3에서 제거된 레거시 FC-SP-2 인증 프로토콜 |
| FCIA | 파이버 채널 산업 협회 |
| HBA | 호스트 버스 어댑터, 서버/스토리지의 FC 인터페이스 카드 |
| HNDL | 지금 수확하고 나중에 해독하세요 |
| INCITS/T11 | FC-SP-3을 개발하는 표준 기관 및 FC 기술 위원회 |
| KMIP | 키 관리 상호 운용성 프로토콜 |
| MD5/SHA-1/SHA-2 | 해시 함수; MD5 및 SHA-1이 제거되고 SHA-2가 이를 대체합니다. |
| ML-DSA-87 | FC-SP-3에 추가된 포스트 양자 서명 알고리즘(FIPS 204) |
| ML-KEM-1024 | FC-SP-3에 추가된 사후 양자 키 설정(FIPS 203) |
| NIS2 | EU 네트워크 및 정보 보안 지침 2 |
| PQC | 포스트 양자 암호화 |
| PRF | 의사랜덤 함수; SHA-2 기반 PRF가 필요합니다. |
| Q-데이 | CRQC가 현재 공개 키 암호화를 깨뜨리는 지점 |
| 반지름 | 네트워크 인증 프로토콜; FC-SP-3에서 사용이 제거되었습니다. |
| RSA | CRQC가 중단될 수 있는 공개 키 알고리즘; RSA-SHA-1이 삭제되었습니다. |
| SPDM | CPU/HBA 증명을 위한 보안 프로토콜 및 데이터 모델 |
베이징 Qianxing Jietong Technology Co., Ltd.
양샌디/글로벌 전략 이사
WhatsApp/위챗: +86 13426366826
이메일: yangyd@qianxingdata.com
웹사이트: www.qianxingdata.com/www.storagesserver.com
사업 초점:
ICT 제품 유통/시스템 통합 및 서비스/인프라 솔루션
20년 이상의 IT 유통 경험을 바탕으로 당사는 선도적인 글로벌 브랜드와 협력하여 신뢰할 수 있는 제품과 전문 서비스를 제공합니다.
“기술을 활용한 지능형 세상 구축” 신뢰할 수 있는 ICT 제품 서비스 제공업체!