IEEE 802.1AE

802.1AE je  bezpečnostní standard IEEE pro MAC (také známý jako MACsec), který definuje důvěrnost a integritu dat bez připojení pro přístup k prostředí nezávislého protokolu. Standardizováno pracovní skupinou IEEE 802.1 .

Správa klíčů a vytváření bezpečných přidružení je mimo rozsah 802.1AE, ale je definováno standardem 802.1X-2010 .

Standard 802.1AE definuje implementaci MAC Security Entities (SecY), kterou lze považovat za součást stanic připojených ke stejné LAN , poskytující klientovi zabezpečenou MAC službu. Norma definuje:

• Formát rámce MACsec, který je podobný ethernetovému rámci, ale obsahuje další pole:
  • Bezpečnostní štítek, který je rozšířením pole EtherType
  • Ověřovací kód zprávy (ICV)
• Security Connectivity Associations, což jsou skupiny stanic připojených přes jednosměrné zabezpečené kanály
• Přidružení zabezpečení v rámci každého kanálu. Každé sdružení používá svůj vlastní klíč (SAK). V kontextu jednoho odkazu je povoleno více než jedno připojení, aby bylo možné provést klíčovou změnu bez přerušení provozu (standard vyžaduje, aby zařízení podporovalo alespoň dvě spojení)
• Šifrovací sada GCM-AES-128 (režim čítače s ověřováním Galois a šifrováním AES se 128bitovým klíčem). Později byla představena podpora sady GCM-AES-256 s 256bitovým klíčem.

Bezpečnostní štítek uvnitř každého rámu kromě EtherType obsahuje:

• Počet odkazů v kanálu
• Číslo paketu, které poskytuje jedinečný inicializační vektor pro šifrování a ověřování dat a ochranu proti opakovanému útoku
• Volitelný identifikátor zabezpečeného kanálu v rámci místní sítě (není vyžadován pro připojení typu point-to-point)

Standard IEEE 802.1AE (MACsec) definuje sadu protokolů v souladu s bezpečnostními požadavky na ochranu dat procházejících lokálními sítěmi. Tato norma zajišťuje neúplné fungování sítě tím, že detekuje neoprávněné akce v lokální síti a zabraňuje komunikaci s nimi.

MACsec umožňuje detekovat neoprávněná připojení a vyloučit je ze sítě. Obecně platí, že pomocí IPSec a SSL MACsec definuje bezpečnostní infrastrukturu, aby byla zajištěna důvěrnost a integrita dat a definice původu dat.

Historie vývoje

Původní protokol byl standardizován v roce 2006 (802.1AE-2006). Podpora pro 256bitové šifrovací klíče (2011-802.1AEbn) byla přidána do specifikace v roce 2011. V roce 2013 byl protokol rozšířen o podporu šifrovacích sad GCM-AES-XPN-128 a GCM-AES-XPN-256 potřebných ke zvýšení délky čísel paketů na 64 bitů (802.1AEbw-2013).