什么是安全application交付？
过去几年，IT 系统（以及 IT 安全系统）发生了翻天覆地的变化。 摩尔定律除了描述计算能力的进步之外，还带来了更复杂的加密算法。 例如，不到十年的时间里，处理更多数据的能力已经使 SSL 加密密钥大小从 256 位增加到了 4 Kb。 假设有必要的计算能力用于这种保护，那么今天applications可以得到比过去更好的保护。
不幸的是，攻击的数量和攻击媒介也在同时增加。 随着新漏洞的不断出现，对可靠的 SSL 加密环境来保护applications的需求比以往任何时候都更加迫切。 任何在互联网上交换敏感数据的组织都需要在计算能力和安全性方面取得进步 — — 任何拥有互联网的组织都应该具备这种能力，因为未受保护的网页可能成为受保护数据的门户。
现在，组织面临分布式拒绝服务 (DDoS)、劫持、SSL 中间人和重新协商攻击，IT 安全团队需要采取保护措施，覆盖组织整个网络的存在，并具有抵御最阴险攻击的适应能力。 因为我们需要保护一切，所以即使加密算法取得了新的进展——特别是椭圆曲线加密（ECC）——也不足以让业界忽视相关的性能影响。
而所有这些安全性仍然受到网络空间中采用 SSL 的最大障碍——可见性——的困扰。 组织有许多正当理由来调查正在传输的数据，从数据防泄露到高级第 4 层到第 7 层路由。 因此，现有的安全解决方案必须能够提供对进出网络的数据的可见性，最好是 100% 的可见性。
F5 可以解决这些复杂问题，从适应性到安全算法之间的变化再到可见性、密钥管理和集成。 尽管攻击在不断演变，政府和行业对安全性的要求越来越高，尽管风险越来越大，员工也需要更大的网络和数据访问权限，但充当网络网关的战略控制点可以通过安全服务解决这些问题。 F5® BIG-IP® 平台提供了一系列解决方案，可在不增加网络延迟的情况下实现安全，并且管理时间比单独的产品要少得多。
45% 的受访公司通过部署 F5 解决方案解决安全风险。
SSL 加密的需求持续增长。 对个人身份信息 (PII) 的访问必须受到保护，对受限信息的访问也必须受到保护。 网站和远程上传位置也必须受到越来越多的保护。 事实上，许多组织已经或正在考虑对连接进行接近 100% 的加密。 组织正在采取行动保护所有环境（无论是测试、QA 还是生产）的安全，以防范所有攻击。 组织也开始意识到，如果目标是真正安全的环境，则所有数据、applications和会话信息都需要受到保护。
从历史上看，只有applications（或者更准确地说，信用卡号和其他 PII 等敏感数据项）才受到 SSL 保护。 网站的其余部分（包含信息、会话 cookie 或静态页面）则不然。 但这些未受保护的页面却成为了一种负担，为攻击者提供了进入托管受保护页面的系统的途径。
组织必须小心保护其客户和其他敏感数据，并且从法律上讲，他们必须采取“应有的谨慎”，提供足够的保护以确保攻击不会明显通过。 因此如今许多组织都转向始终在线的 SSL 态势，有些组织甚至将所有连接（内部或外部）都转向使用 SSL。
但加密是有代价的。 RSA 风格的加密在 CPU 周期和密钥维护方面成本高昂，并且几乎不可能操纵加密流的内容。 虽然这是加密存在的主要原因，但实施加密的组织出于从内容过滤到负载平衡等各种原因，确实需要修改数据。
因此需要的内容包括：
- 加密仍然允许加密组织操纵流和/或数据。
- 加密不会消耗大量资源，尤其是服务器上的 CPU 时间。
- 可以利用网络密钥存储的加密。
- 可以区分内部和外部流量的加密。
- 密码多样性，支持多种加密算法选择的能力。
需要一个能够为 SSL 服务提供算法选择、可见性、集成和管理的安全网关。 处理入站和出站流量加密的工具可以利用硬件安全模块 (HSM) 进行密钥保护、卸载服务器的计算资源和相关的运营成本，以及终止或确认入站和出站 SSL。
这种理想的安全网关为客户端提供加密，而不会给服务器 CPU 带来加密负担，并且如果需要，它还可以为服务器提供加密。 它不应该要求单独管理整个密钥选择，并且在充当网关时，它应该利用可能需要在卸载传入连接和创建到后端的 SSL 连接之间使用未加密数据的其他服务。 在这种情况下，后端软件的节省可以迅速增加，因为不需要那么多的服务器来服务相同数量的连接。
根据特定组织的需求，存在多种实现此类架构的选项。
这种解决方案的优势在于它处于战略控制点。 通过位于网络和互联网的交界处，理想的设备能够终止传入的 SSL 连接，对流的有效负载执行工作，然后在必要时利用内部网络的密钥重新加密。 尽管出站流量所需的安全措施与入站流量所需的安全措施不同，但反向流量也可能发生同样的情况。 （考虑入站场景，其中需要对用户进行身份验证并检查有效负载是否存在恶意内容，而需要检查出站流中是否存在离开数据中心的敏感数据。） 这样的战略控制点允许三种不同的加密操作风格，所有风格都是有效的，具体取决于组织的需要。
随着外部连接的终止，网关设备成为 SSL 的端点。 设备和客户端之间保持 SSL，而与应用服务器的连接是开放且未加密的。 通过终止来自网络外部的 SSL，该架构可实现外部安全性和内部性能。 缺乏服务器端加密会加快响应时间，但一旦攻击者设法进入，就会导致不安全的环境。
通过对内部和外部流量进行加密，处于战略控制点的设备可以管理流量并调整和优化内容，同时保护整个网络。
越来越多的 IT 团队开始寻求一种解决方案，该解决方案对从客户端到服务器的整个连接保持单轮加密，但仍然允许干预数据操作以方便使用各种工具，例如用于数据防泄露(DLP)、预访问身份验证和负载平衡的工具。
输入 SSL 可见性。 在这种情况下，服务器和战略控制点的设备共享一个 SSL 证书，授予网关设备对通过它的流的访问权限，而无需完全终止和重新创建 SSL 连接。
问题是，第三种情况下加密处理的重心落在了服务器上。 这在过去会是一个巨大的负面影响，但随着 ECC 加密的出现，进行此类加密所需的 CPU 周期显著减少，存储密钥所需的空间也减少了。 这是 ECC 算法的功能，它能够使用更小的密钥提供相同级别的安全性，从而显著降低客户端的处理成本。 （虽然过去很多人说“客户端不是问题”，但今天我们面临着前所未有的移动客户端数量，而 CPU 使用率是消耗电池寿命的因素之一。 所以现在每个人都必须关心客户。）
虽然这三种公钥加密系统都是安全、高效且具有商业可行性的，但它们所基于的数学问题类型有所不同。 这不仅会影响它们受到攻击者经常使用的暴力攻击的程度，还会导致算法生成的密钥大小的差异，从而提供一定程度的安全性。 美国国家标准与技术研究院 (NIST) 根据所需的安全级别，为每种协议的最小密钥大小提供了指导。 当然，如果一个组织具有密码多样性，它就会有几种不同的加密算法可供选择。 这意味着，如果明天出现一种可行的针对长度达 2 Kb 的 RSA 密钥的破解方法，那么只需更改服务器使用的算法，就能高枕无忧了。
但在密钥长度相同的情况下，ECC 更安全。 事实上，在大多数情况下，ECC 可以用非常短的密钥完成当代算法需要非常长的密钥才能完成的任务。 这种效率是 ECC 算法（有几种）内部使用的数学函数。 ECC 的理念是减少加密的 CPU 开销，同时通过较小的密钥大小保持或提高安全性，使其成为实现安全的客户端到服务器通信的强大的新工具。
F5 平台利用了这一重要的新工具。 目前，BIG-IP 设备提供 DSA 用于签名和 ECC 用于加密。 这是 F5 一直支持的 RSA、AES 和 3DES 算法的基础。
ECC 有助于解决加密的 CPU 开销，而加密传统上一直难以解决的另一大问题则是：可见性。 如果所有内容都加密，那么数据丢失防护 (DLP) 和外部身份验证设备如何访问未加密的内容？
进入网络化HSM工具。 虽然 HSM 解决方案越来越普遍，但它们的用途通常仅限于凭证的存储。 然而，只要正确的连接和使用，它们也可以成为一种支持技术。 在网络边缘的高度灵活的设备和网络中心的服务器之间共享证书，使得边缘设备能够在不终止流的情况下查看未加密的流量。 通过存储对称密钥、非对称私钥（包括数字签名）等，网关设备可以保护关键信息，同时使其在整个网络中可用。 例如，它提供了将登录信息发送到 LDAP 设备、通过病毒扫描程序发送传入流以及通过 DLP 设备发送传出数据的能力。
F5 支持的硬件安全模块是具有防篡改功能和 NIST 140-2 3 级支持的强化设备。 通过将它们作为安全网关置于网络的战略控制点，组织不仅可以实现高效的 SSL 服务，还可以实现加密数据的可见性。 结果是一个具有增强安全性的完整系统，并且仍然具有终止双向代理的所有功能。
从这一战略控制点来看，可能性是巨大的。 利用 F5® iRules® 脚本语言，组织可以将敏感信息保存在数据中心内部。 例如，在 F5® DevCentral™ 上共享的社区维护的 iRule 可以捕获大多数信用卡信息并在离开大楼时对其进行清理。
再比如，IPv6 网关功能甚至 SPDY 转换都可以放在 F5 设备上。
在正常的 SSL 环境中，许多这些选项都是不可能的。 但是，通过访问传入连接，BIG-IP 设备还可以访问数据流的有效负载，从而使其能够智能地对数据（而不仅仅是数据流）采取行动。 而且由于设备不必终止连接，因此性能不会像必须维持两个单独的 SSL 连接那样明显下降。
BIG-IP 设备还可以将对安全页面的请求直接进行身份验证，仅在用户成功登录且授权服务器确认用户有权访问该页面后才返回该页面。 这里的关键是进行身份验证、授权和记帐 (AAA)，一旦失败，用户可以被重定向到从核心网络中删除的页面。 这意味着未经授权的用户永远无法通过 BIG-IP 设备进入内部网络，而伪装成合法用户的攻击者永远无法进入关键系统进行攻击。 它们的连接不会走那么远，因为它们在进入内部网络之前就被阻止并进行了身份验证。 在 DDoS 场景中，可以将攻击连接重定向到隔离网络的高性能设备将有助于保持面向公众的网络可供实际用户使用，从而阻止 DDoS 攻击的意图。
通常，密钥保护是大型加密方法引入的最大问题。 需要保持证书为最新状态、管理哪个设备具有哪个证书以及确定何时可以将证书从一台机器移动到另一台机器（尤其是在虚拟化环境中），这可能会限制部署的证书数量，甚至影响架构决策。
对于那些需要 FIPS 140-2 2 级支持的组织，许多 BIG-IP 设备型号可以添加此支持。 那些想要保护密钥和证书密码等信息但不需要 FIPS 140-2 支持的组织可以使用内置的安全保险库技术来实现。
BIG-IP 设备还可以充当 HSM 或利用网络中现有的 HSM。 由于 HSM 提供证书的安全存储，因此利用 HSM 可以提供管理密钥使用和过期的单一参考点，从而简化证书管理并让 IT 人员有时间处理其他重要的业务功能。
每个 BIG-IP 平台都附带最大加密吞吐量，这是成本的一部分，但此 F5 安全解决方案的另一个高价值优势是能够添加或启用附加功能。 内置的 DDoS 保护功能可让网站在遭受攻击时保持在线且更安全，而添加各种安全和性能模块的能力意味着 IT 只需管理一台设备（而无需管理多台设备）即可满足组织的应用交付需求。 简化的管理和更快的响应时间源于单一处理点——战略控制点。
IT 的未来包括无处不在的加密，以避免因某些网页加密和某些网页未加密而带来的不安全性。 这意味着基础设施将承受沉重的负担，并且需要在各处实施加密，同时仍要智能地与流量交互，以实现负载平衡和数据防泄露等功能。
F5 提供的解决方案可以简化并加速高度安全的基础设施。 BIG-IP 设备具有多种功能，并且能够在不终止 SSL 连接的情况下查看传输的流量，还能调用支持 ICAP 的设备，根据所使用的行业或技术进行专门处理。 F5 解决方案也支持 HSM，能够高度适应组织的需求。 F5 BIG-IP 平台还能够抵御所需级别的 DDoS 攻击，在阻止攻击的同时继续将有效用户路由到applications。
总之， BIG-IP 产品系列提供了其他流量管理或安全技术所不具备的精细控制、可扩展性和灵活性。
