安全应用交付
过去几年间，IT 以及 IT 安全系统延伸发生了巨大的变化。摩尔定律除描述计算能力的进步外，还导致更为复杂的加密算法。例如，能够处理更多任务已推动 SSL 加密密钥大小在不到十年的时间里，从 256 位变为 4Kb。假设必要的计算能力可专用于这种保护，那么当今的应用可以得到前所未有的更好保护。
不幸的是，攻击次数和攻击向量与此同时也在不断增加。随着新漏洞定期的出现，目前比以往任何时候都更需要稳固的 SSL 加密环境以保护应用安全。任何在互联网上交换敏感数据的组织都需要计算能力和安全方面的进步，任何存在于互联网中的组织也需此类进步，这仅仅是因为未受保护的网页可能是通往受保护数据的通道。
如今，组织面临着分布式拒绝服务 (DDoS)、会话劫持、SSL 中间人和重协商攻击，因此 IT 安全团队需要在组织的整个 Web 网络中采取安全保护措施，并且需确保其具有适应性，能够应对最隐蔽的攻击。我们需要提供全面保护，即使加密算法有了一些新改进（特别是椭圆曲线密码学 (ECC)），也不足以让业界忽视相关的性能影响。
而所有这些安全措施仍受到网络中 SSL 采用的最大障碍 — 可视性的困扰。组织有诸多合理的理由查看正在传输的数据，从数据防泄露到高级的第 4 层至第 7 层路由。因此，现有的安全解决方案必须能够提供对进出网络的数据可视性，最好是 100% 的可视性。
从适应性到安全算法间的变化，再到可视性、密钥管理和集成，各种复杂问题 F5 都能一一解决。当攻击不断演变时，政府和各行业对安全的要求便会越来越高，员工在风险不断增加的情况下仍需更多的网络和数据访问时，作为网络网关的战略控制点便可以通过安全服务解决这些问题。F5® BIG-IP® 平台可提供一系列解决方案，在不增加网络延迟的情况下，充分保障安全性，同时显著减少管理时间（与单独产品相比）。
45% 的受访企业通过部署 F5 解决方案应对安全风险。
人们对 SSL 加密的需求不断增加。访问个人身份信息 (PII) 必须受到保护，访问受限信息也必须受到保护。越来越多的网站和远程上传位置也必须受到保护。事实上，许多组织已经或正在考虑对连接采取接近 100% 的加密。各组织正着手保护所有环境的安全，无论是测试、QA 还是生产环境，以防所有攻击威胁。同时，各组织也开始意识到，如果要实现真正的安全环境，那么所有数据、应用和会话信息都需要得到保护。
之前只有应用（或者更准确地说是敏感的数据项目，如信用卡号码和其他 PII）受到 SSL 保护。而网站的其余部分，包括信息、会话 Cookie 或静态页面，则不受保护。但这些未受保护的部分可能存在不利因素，为攻击者提供进入托管受保护页面系统的途径。
因此，组织必须注意保护他们的客户和其他敏感数据，在法律上，他们必须给予“应有关注”，提供充分的保护措施，以确保攻击显然不会得逞。目前，许多组织正转向始终使用 SSL 的态势，而有些组织正为所有连接（包括内部或外部连接）转向 SSL。
但加密需要成本。RSA 式加密在 CPU 周期和密钥维护方面成本高昂，并且对加密流内容进行操作几乎不可能。虽然这是加密存在的主要原因，但实施加密的组织出于各种原因，无论是内容过滤还是负载均衡，都有修改数据的合理需求。
其中内容包括：
- 仍允许加密组织操纵流和/或数据的加密。
- 不消耗大量资源（特别是服务器上的 CPU 时间）的加密。
- 可利用网络密钥存储的加密。
- 可区分内部和外部流量的加密。
- 密码多元化，能够支持多种加密算法。
需要安全网关，该网关可以提供集算法选择、可视性、集成和管理的 SSL 服务。处理入站及出站流量加密的工具可以利用硬件安全模块 (HSM) 进行密钥保护，从服务器中卸载计算资源和相关运营成本，并终止或确认入站及出站 SSL。
这种理想的安全网关为客户端提供加密服务，而不会给服务器 CPU 带来加密负担，并且还可以为服务器提供加密保护（如若需要）。该网关不应要求单独管理整个密钥，而且在作为网关的同时，应该利用其他服务，这些服务在卸载传入连接和创建 SSL 连接至后端之间可能需要未加密的数据。在这种情况下，后端软件方面的节省可能会迅速增加，因为服务相同数量的连接无需如此之多的服务器。
根据特定组织的需求，提供一系列实施此类架构的选择。
这种解决方案的优势在于处于战略控制点。身处网络与互联网接合点的理想设备，能够终止传入 SSL 连接，针对数据流的有效负载进行处理，然后在必要时利用内部网络密钥重新加密。虽然出站流量所需的安全措施与入站流量所需的安全措施不同，但同样的情况也可能适用于反向流量。（考虑到入站场景中，需要验证用户身份，并检查有效负载是否存在恶意内容，而出站流则需检查其是否存在离开数据中心的敏感数据）。此类战略控制点允许三种不同方式的加密操作，并且均为有效（具体取决于组织需求）。
随着外部连接的终止，网关设备成为 SSL 的端点。设备与客户端之间仍维持 SSL，而与应用服务器间的连接则开放且未加密。这种架构通过终止来自网络外部的 SSL，实现了外部安全和内部性能。缺乏服务器端加密加速了响应时间，但攻击者设法进入内部后，便会造成不安全的环境。
在内部及外部流量加密的情况下，处于战略控制点的设备可对流量加以管理，并在整个网络受保护的同时，对内容进行调整与优化。
越来越多的 IT 团队正努力寻求一种解决方案，该解决方案既能为从客户端到服务器的整个连接保持单轮加密，又允许干预数据操作，以便利用各种工具，如数据防泄露 (DLP)、预访问认证和负载均衡。
了解 SSL 可视性。在此情况下，服务器和处于战略控制点的设备共享一个 SSL 证书，在他们通过此证书时授予网关设备访问权限，而无需完全终止和重建 SSL 连接。
最重要的是，在第三种情况下，加密处理的重担又落到了服务器上。在过去，这会带来显著的负面影响，但随着 ECC 加密技术的出现，进行此类加密所需的 CPU 周期大大减少，存储密钥所需的空间也大幅减少。此为 ECC 算法的一项功能，其能够利用明显较小的密钥提供相同级别的安全防护，从而显著减少了客户端的处理成本。（过去很多人都表示“客户端不是问题”，而如今，我们所面对的是海量的移动客户端，而 CPU 使用情况则是消耗电池寿命的因素之一。因此，大家现在都开始迫切关心客户端问题。）
虽然这三种公开密钥加密系统均安全、高效且具商业利益，但它们所基于的数学问题却有所不同。这不仅会影响到它们对攻击者经常使用的暴力破解攻击，还可能导致提供一定安全防护的算法所生成的密钥大小差异。美国国家标准技术研究所 (NIST) 根据所需的安全级别，为每种情况提供了最小的密钥大小指南。当然，若组织拥有密码生物多样性，也有多种不同的加密算法可供选择。这意味着，如果明天出现一个 RSA 密钥长度达到 2Kb 的黑客，那么只需改变服务器所用的算法，便可以高枕无忧了。
但具有相同密钥长度的 ECC 更加安全。事实上，在大多数情况下，ECC 利用较短的密钥便可以实现当前算法使用较长密钥所能完成的任务。此效率是 ECC 算法（存在多种）内部所利用的数学函数。ECC 减少了加密所需的 CPU 成本，同时又能以较小的密钥保持或提升安全性，从而使其成为功能强大的新工具，实现安全的客户端到服务器通讯。
F5 平台充分利用此重要的新工具。目前，BIG-IP 设备提供 DSA 以用于签名，提供 ECC 以用于加密，这位于 F5 始终支持的 RSA、AES 和 3DES 算法之上。
有了 ECC 帮助解决加密带来的 CPU 成本，剩下的就只有加密一直以来都难以解决的另一个重大问题，即可视性。如果对一切事物都进行加密，那么用于数据外泄防护 (DLP) 和外部认证的设备如何获得对未加密内容的访问？
了解网络化 HSM 工具。虽然 HSM 解决方案越来越常见，但其用途一般仅限于存储凭证。然而，只要连接和使用得当，它们也可以成为一种有利技术。在处于网络边缘的高度灵活设备和处于网络中心的服务器之间共享证书，为处于边缘的设备提供在不终止流的情况下，查看未加密流量的能力。通过存储对称密钥、非对称私钥（包括数字签名）等，网关设备可以保护关键信息，同时使其在网络中可用，从而能够向 LDAP 设备发送登录信息、通过病毒扫描器发送入站流，以及通过 DLP 设备发送出站数据等。
F5 支持的硬件安全模块是具有防篡改证据和 NIST 140-2 第 3 安全级别支持的加固设备。通过将它们作为安全网关置于网络的战略控制点，组织不仅可以实现高效的 SSL 服务，还能实现加密数据的可视性。结果便是获得具有更高安全性的全面系统，并且仍具有终止双向代理的所有功能。
此战略控制点具有无限的可能性。组织可以利用 F5® iRules® 脚本语言，将敏感信息保存在数据中心。例如，在 F5® DevCentral™ 上共享的由社区维护的 iRule 可以获取大部分信用卡信息，并且能够在离开实体时将其清除。
另一个示例即，可以在 F5 设备上使用 IPv6 Gateway 功能，甚至实现 SPDY 翻译。
在这些选项中，有多数不适用于正常的 SSL 环境。但是，BIG-IP 设备可通过访问传入连接，获得数据流有效负载的访问权限，使其能够对该数据而不仅仅是对数据流采取智能行动。并且，由于设备不必终止连接，因此性能不会像必须维持两个单独的 SSL 连接那样显著降低。
BIG-IP 设备还可以将对安全页面的请求引导至认证，只有在用户成功登录且授权服务器确认用户对相关页面拥有权限后，才能返回页面。此处要注意认证、授权和计费 (AAA) 正在发生，若出现故障，用户可被重定向到从核心网络中移除的页面。这就意味着未经授权的用户永远无法通过 BIG-IP 设备进入内部网络，而伪装成有效用户的攻击者则永远无法到达关键系统，试图进行漏洞利用。而且他们的连接也不会过度深入，因为在进入内部网络之前，他们便会遭到阻止并进行认证。在 DDoS 场景中，能够将攻击连接重定向到隔离网络的高性能设备，将有助于保持面向公众的网络对实际用户可用，妨碍 DDoS 攻击的意图。
通常情况下，密钥保护是复杂加密方法引入的最大问题。我们需要保持证书处于最新状态，负责管理哪个设备拥有哪个证书，以及确定何时可将证书从一台机器转至另一台，特别是在虚拟化环境中，这些都会限制部署的证书数量，甚至影响架构决策。
对于需要 FIPS 140-2 Level 2 支持的组织，许多 BIG-IP 设备型号都可实现此类支持。那些希望保护密钥和证书密码等信息，但又不需要 FIPS 140-2 支持的组织可以利用内置 Secure Vault 技术加以实现。
BIG-IP 设备也能够充当 HSM 或利用网络中已有的 HSM。由于 HSM 可提供安全的证书存储，利用某个 HSM 提供单一的参考点，以管理密钥使用和到期情况，简化了证书管理，使 IT 工作人员能够处理其他重要的业务职能。
作为成本的一部分，每个 BIG-IP 平台都具有获得许可的最大加密吞吐量，但此 F5 安全解决方案的另一个高价值优势便是可以添加或开启其他功能。内置 DDoS 防护可使网站在攻击期间保持在线且更加安全，而能够增加各种安全和性能模块意味着 IT 只需管理一台设备，而非多台设备，就可以满足企业的应用交付需求。利用单点处理，即战略控制点即可简化管理，加快响应时间。
未来 IT 需实现无处不在的加密，以避免某些加密网页和某些未加密网页带来的不安全性。这意味着基础结构的负担加重，并且需要实现无处不在的加密，同时还需与流量进行智能交互，以实现负载均衡和数据防泄露等。
F5 提供的解决方案可以简化并加速高度安全的基础结构。而且 BIG-IP 设备具有一系列的功能，能够在流量通过时查看流量，而无需终止 SSL 连接，因此可以调用支持 ICAP 的设备，以基于使用的行业或技术进行专门处理。由于也支持 HSM，F5 解决方案还可以高度满足企业的需求。F5 BIG-IP 平台能够在所需级别抵御 DDoS 攻击，在阻止攻击的同时，继续将有效用户路由到应用。
总之，BIG-IP 产品系列能够提供其他流量管理或安全技术所不具备的精细控制、可扩展性和灵活性。
