Обзор рынка криптографических шлюзов

...

Мировой и российский рынки криптошлюзов: каковы современные тенденции их развития? Расскажем об актуальных тенденциях мирового рынка VPN, а также рассмотрим популярные криптошлюзы, представленные на российском рынке, и назовём их ключевые особенности.

Введение
Мировой рынок криптошлюзов
Российский рынок криптошлюзов
Краткий обзор криптошлюзов, представленных на российском рынке
Выводы

Введение

Криптографический шлюз (криптошлюз, криптомаршрутизатор, VPN-шлюз) — программный или программно-аппаратный комплекс для криптографической защиты трафика, передаваемого по каналам связи, путём шифрования пакетов по различным протоколам. Программно-аппаратные комплексы состоят из оборудования (платформы) и среды функционирования криптосредства, а среда, в свою очередь, включает в себя индивидуализированную операционную систему и криптомодуль, который и выполняет криптографические функции: шифрование, расшифровку, формирование и проверку кода аутентификации сообщения.

Основные категории потребителей криптошлюзов — организации различного масштаба, государственные учреждения, частные компании. На сегодняшний день функциональность VPN-шлюза является составной частью практически любого сетевого устройства, будь то маршрутизатор корпоративного уровня, домашний вайфай-роутер или межсетевой экран. С учётом этой специфики ниже будут рассмотрены продукты ключевых игроков российского рынка, использующие ГОСТ-шифрование.

В фокусе этого обзора — межсайтовое шифрование L2 / L3. Отдельной строкой отметим присутствие на рынке продуктов для защищённого удалённого доступа на базе протокола TLS (TLS-шлюзов), а также средств криптографической защиты уровня L1, которые в рамках этого обзора не рассматриваются.

Мировой рынок криптошлюзов

Согласно исследованию компании Global Market Insights, ожидается, что к 2032 году VPN с удалённым доступом принесёт около 50 % прибыли. Многие организации внедряют его, потому что заинтересованы в его способности обеспечивать защищённую связь, гибкость и повышенную производительность за счёт расширения корпоративной сети, а также её приложений, стимулируя расширение сегмента. Растущий спрос на более гибкие возможности в удалённых рабочих средах также является стимулом.

Рынок VPN демонстрирует сильный рост в том числе благодаря банковскому сегменту, который занимал 35 % рынка в 2022 году. Растущая склонность потребителей к онлайн-банкингу повышает доходы в сегменте.

Прогресс удалённой работы ещё больше повысил спрос на организацию зашифрованных соединений через интернет. Программное обеспечение VPN позволяет сотрудникам безопасно получать доступ к компьютерной сети своей организации во время удалённой работы.

Также сегмент растёт благодаря интересу к возможности свободно перемещаться по интернету без идентификации, отслеживания или мониторинга.

Рисунок 1. Динамика глобального рынка VPN, 2018–2032 годы (Global Market Insights)

Ожидается, что рынок виртуальных частных сетей будет расти примерно на 20 % в год до 2032 года, что обусловлено расширением проникновения интернета в ряде регионов. По данным GSMA Intelligence, к концу 2020 года более 280 миллионов человек на Ближнем Востоке и в Африке (45 % населения) были подключены к мобильному интернету. Рост также может объясняться спросом на укрепление институциональной устойчивости предприятий к потенциальным кибератакам.

Согласно исследованию компании Verified Market Research, рынок VPN сегментируется на программное обеспечение, аппаратное обеспечение (криптошлюзы или UTM с функциями VPN) и услуги. При этом с точки зрения географии аналитики делят его на следующие макрорегионы: Северная Америка, Европа, Азиатско-Тихоокеанский регион и остальной мир.

Рисунок 2. Сегментация глобального рынка VPN, 2021–2028 годы (Verified Market Research)

Рыночный ландшафт на мировой арене составляют:

Check Point;
Cisco Systems;
Citrix Systems;
F5 Networks;
Juniper Networks;
SonicWall;
Riverbed Technology.

Как можно увидеть, на сегодняшний день выбор поставщиков VPN на мировом рынке весьма велик.

Российский рынок криптошлюзов

Российский рынок криптошлюзов является вполне зрелым: он начал формироваться ещё в девяностых. Одной из главных причин востребованности криптошлюзов на российском рынке является необходимость выполнения требований действующего законодательства и нормативных актов в области защиты информации: приказов ФСТЭК и ФСБ России.

Согласно исследованию Anti-Malware.ru, в 2020 году объём продаж VPN-шлюзов в России составил 5 млрд рублей (14,4 % рынка сетевой безопасности). Высокие результаты связаны в большей мере с организацией удалённой работы сотрудников в периоды самоизоляции.

Российский рынок VPN-шлюзов, как и многие другие сферы информационной безопасности, переживает времена турбулентности. Уход зарубежных игроков предоставил отечественным вендорам широкое поле для деятельности.

На российском рынке представлены продукты следующих российских вендоров:

ALTELL NEO («АльтЭль»);
Diamond VPN (ТСС);
Dionis-NX («Фактор-ТС»);
NGate («КриптоПро»);
ViPNet Coordinator HW («ИнфоТеКС»);
«Атликс-VPN» («НТЦ Атлас»);
«ЗАСТАВА» («ЭЛВИС-ПЛЮС»);
«Континент» («Код Безопасности»);
«С-Терра Шлюз» («С-Терра СиЭсПи»);
«ФПСУ-IP» («АМИКОН», «ИнфоКрипт»).

Краткий обзор продуктов, представленных на российском рынке, приведён ниже.

Краткий обзор криптошлюзов, представленных на российском рынке

ALTELL NEO («АльтЭль»)

ALTELL NEO — российские аппаратные межсетевые экраны нового поколения, сертифицированные ФСТЭК России. Главная особенность этих устройств — сочетание возможностей фильтрации трафика с функциями построения защищённых каналов связи (VPN), обнаружения и предотвращения вторжений (IDS / IPS) и контент-фильтрации (антивирусы, веб- и спам-фильтры, контроль приложений), что обеспечивает соответствие современной концепции унифицированной защиты сети (Unified Threat Management, UTM).

Рисунок 3. Внешний вид ALTELL NEO 340

Модельный ряд ALTELL NEO позволяет удовлетворить запросы любой организации: от небольшой компании или регионального филиала до штаб-квартиры крупного территориально распределённого холдинга или центра обработки данных. В настоящее время «АльтЭль» предлагает семь моделей ALTELL NEO с производительностью от 18 до 2 400 Мбит/с.

Особенности:

Сертификаты соответствия требованиям безопасности ФСТЭК России для межсетевых экранов.
Широкая линейка аппаратных платформ.
Модульная архитектура аппаратной и программной составляющих (три варианта системного ПО: FW, VPN, UTM, дополнительные модули и опции).

Узнать больше о продукте можно здесь.

Dionis DPS («Фактор-ТС»)

Dionis DPS — это единый центр управления защитой сети, сертифицированный ФСБ и ФСТЭК России. Шлюз гарантирует безопасность передачи конфиденциальной информации через незащищённые сети общего пользования. Dionis DPS обеспечивает криптографическую защиту, выполняет функции маршрутизатора и межсетевого экрана, включает в себя систему обнаружения и предотвращения вторжений (IPS / IDS). Маршрутизаторы работают под управлением операционной системы Dionis NX 2.0.

Статические криптотуннели создаются с использованием симметричных ключей и на ключевых парах Dikey, c шифрованием и имитозащитой IP-трафика по алгоритму ГОСТ 28147-89 (совместимы с хостами Dionis всех версий, в том числе DOS и LX и ПО DiSec). Динамические — по протоколу IPsec (IKEv1, ESP), с шифрованием и имитозащитой передаваемых IP-пакетов и двусторонней криптографической аутентификацией по алгоритмам ГОСТ 281470-89, ГОСТ Р 34.11-94, ГОСТ Р 34.10-2001, ГОСТ Р 34.11-2012, ГОСТ Р 34.10-2012, в инфраструктуре открытых ключей (сертификаты X.509), с контролем состояния туннеля; обеспечивается совместимость с изделиями семейства Dionis и с клиентским ПО семейства DiSec, а также с VPN-решениями от «КриптоПро», Stonesoft, «С-Терра». Шифратор имеет синхронный режим работы, исключающий перемешивание пакетов (out-of-order).

Рисунок 4. Внешний вид Dionis DPS 7000

Модельный ряд ориентирован как на небольшие компании, так и на крупные организации с большими центрами обработки данных. Обеспечивается скорость шифрования от 100 до 8 000 Мбит/с.

Особенности:

Сертификат ФСТЭК России на МЭ типа «А» 2-го класса защиты и на СОВ уровня сети 2-го класса защиты, сертификат ФСБ России для СКЗИ по классам КС1, КС3.
Широкая линейка аппаратных платформ.
Централизованное управление.

Узнать больше о продукте можно здесь.

NGate («КриптоПро»)

«КриптоПро NGate» — это универсальный криптографический шлюз удалённого доступа и VPN, объединяющий в себе четыре режима доступа. В частности, режим TLS-сервера используется для безопасного подключения к веб-сайтам (государственным порталам, сайтам организаций и ДБО и пр.) и снятия нагрузки по обработке TLS-соединений с веб-серверов. NGate обеспечивает одновременную поддержку TLS с ГОСТ и зарубежными криптоалгоритмами. Это позволяет реализовать плавный перевод защиты доступа к веб-сайтам на ГОСТ.

Режим сервера портального доступа используется для организации персонального доступа пользователей к опубликованным на портале NGate веб-ресурсам в соответствии с корпоративными политиками ИБ. Режим VPN-сервера удалённого доступа предназначен для подключения к произвольным ресурсам с помощью VPN-клиента‚ поддерживающего все популярные платформы. При этом разграничение доступа возможно на уровне подсетей, в том числе виртуальных (VLAN). Наконец, режим VPN-сервера межсетевого доступа (site-to-site) используется для объединения нескольких территориально распределённых площадок (в том числе ЦОДов) в единую защищённую логическую сеть.

Рисунок 5. Внешний вид NGate 3000

Имеется широкая линейка высокопроизводительных аппаратных платформ (один узел шлюза NGate поддерживает до 45 000 соединений с обработкой информационных потоков до 20 Гбит/с в режиме TLS-сервера). Возможно также функционирование в виртуальных средах.

Особенности:

Сертификаты соответствия по требованиям безопасности ФСБ России (есть исполнения КС1, КС2, КС3). Информация о действующих сертификатах доступна здесь.
Возможность использования ключей PSK (Pre-Shared Key) и сертификатов шлюзов для аутентификации сторон при построении межсайтового IPsec VPN.
Поддержка многофакторной аутентификации (по сертификату, LDAP / AD, RADIUS) и гибкое разграничение прав доступа к ресурсам.
Поддержка аппаратных ключевых носителей: «Рутокен», eToken, JaCarta, ESMART и др., а также ПАК «КриптоПро HSM» для хранения серверных ключей.
Поддержка всех современных стационарных и мобильных ОС (в т. ч. «Аврора»).

С обзором продукта на нашем сайте можно ознакомиться здесь.

Узнать больше о продукте можно здесь.

ViPNet Coordinator HW («ИнфоТеКС»)

VIPNet Coordinator HW — линейка шлюзов безопасности, нацеленных на построение виртуальной сети и обеспечение защиты при передаче информации. Coordinator HW также производят фильтрацию IP-трафика. Встроенные криптографические механизмы и межсетевое экранирование делают ПАК VIPNet Coordinator HW отличным инструментом для предотвращения неправомерного доступа к корпоративным ресурсам.

В конце 2022 года было представлено новое поколение шлюзов безопасности ViPNet Coordinator HW 5, которое объединяет в одном устройстве VPN-шлюз, межсетевой экран уровня приложений (DPI) и средство обнаружения и предотвращения вторжений (IDS / IPS). ViPNet Coordinator HW 5 в настоящее время проходит сертификацию в ФСБ и ФСТЭК России.

Рисунок 6. Внешний вид HW5000

Модельный ряд включает в себя оборудование с широким диапазоном производительности: от 75 до 10 000 Мбит/с.

Особенности:

Сертификаты соответствия по требованиям безопасности ФСБ России (СКЗИ класса КС3, МЭ 4-го класса) и ФСТЭК России (МЭ типа «А» и типа «Б» 4-го класса защиты). Информация о действующих сертификатах доступна здесь.
Широкая линейка аппаратных платформ, включённых в Единый реестр радиоэлектронной продукции (ПП РФ № 719 и ПП РФ № 878).
Доступно виртуализированное исполнение — ViPNet Coordinator VA (СКЗИ класса КС1) для развёртывания на популярных платформах виртуализации (KVM, VMware ESXi, Microsoft Hyper-V, Oracle VM).
Построение VPN на сетевом (L3) и канальном (L2) уровнях модели OSI.
Отказоустойчивый кластер высокой доступности с синхронизацией сессий позволяет минимизировать время переключения между элементами кластера до 1 секунды.

Узнать больше о продукте можно здесь.

«Атликс-VPN» («НТЦ Атлас»)

«Атликс-VPN» предназначен для создания и организации взаимодействия высокозащищённых виртуальных сетей (VPN) на основе протокола IPsec и стандарта Х.509 с использованием российских криптографических алгоритмов. Обеспечивает шифрование, целостность и достоверность передаваемой информации в рамках доступных IP-сетей (в том числе сети «Интернет»). Скорость работы криптотуннеля — 85 Мбит/с.

Аппаратная часть разработана на основе специализированной платформы. Программная часть выполнена на основе специально доработанной (с целью повышения её защищенности от несанкционированных воздействий по каналам связи) операционной системы Linux.

Рисунок 7. Внешний вид «Атликс-VPN»

В части защиты от сетевых атак «Атликс-VPN» обеспечивает фильтрацию входящих и исходящих IP-пакетов.

ПАК предусматривает возможность единого централизованного управления конфигурациями, а также имеет веб-интерфейс для диагностики и администрирования.

Особенности:

Сертификаты соответствия ФСБ России (соответствует классу КВ2).
Для ввода ключевой информации используется микропроцессорная карта «Микрик».

Узнать больше о продукте можно здесь.

«ЗАСТАВА» («ЭЛВИС-ПЛЮС»)

Комплекс «VPN/FW “ЗАСТАВА”» версии 6 предназначен для защиты корпоративных вычислительных ресурсов на сетевом уровне модели OSI с использованием технологий VPN и распределённого межсетевого экранирования на основе интернет-протоколов семейства IPsec.

«ЗАСТАВА» обеспечивает конфиденциальность передаваемой информации за счёт её шифрования в соответствии с ГОСТ 28147-89, защиту доступа к корпоративным вычислительным ресурсам за счёт использования протоколов двухсторонней криптографической аутентификации при установлении соединений на базе протокола IKEv2, контроль целостности данных посредством вычисления значения их хеш-функции в соответствии с ГОСТ Р 34.11-94 и/или ГОСТ Р 34.11-2012 (в зависимости от комплектации). Поддерживается схема открытого распределения ключей шифрования Диффи — Хеллмана на основе алгоритмов ГОСТ Р 34.10-2001 и/или ГОСТ Р 34.10-2012 (также в зависимости от комплектации).

Рисунок 8. Внешний вид устройства «ЗАСТАВА‑6000»

В линейку продуктов «Застава» входят аппаратные платформы со скоростью шифрования от 200 до 6 000 Мбит/с.

Особенности:

Сертификаты соответствия по требованиям безопасности ФСТЭК, ФСБ (есть исполнения КС1, КС2 и КС3) и Минобороны России. Информация о действующих сертификатах доступна здесь.
Широкая линейка аппаратных платформ.
Возможность оперативного управления десятками тысяч шлюзов и агентов одновременно.
Поддержка L3 VPN и L2 VPN.

Узнать больше о продукте можно здесь.

«Континент» («Код Безопасности»)

«Континент 3» — централизованный комплекс для защиты сетевой инфраструктуры и создания VPN-сетей с использованием алгоритмов ГОСТ. Модельный ряд позволяет подобрать решение для организации связи с удалёнными подразделениями, филиалами или партнёрами по каналам связи с различной пропускной способностью.

Рисунок 9. Внешний вид устройства «Континент 3.9 IPC-3000FC»

Производительность L2 VPN варьируется от 120 до 40 000 Мбит/с. При этом на специализированной аппаратной платформе «Континент 3.9 IPC-3000FC-40G» реализован криптоускоритель с производительностью VPN ГОСТ до 40 Гбит/с и задержками обработки трафика около 50 мкс.

Особенности:

Сертификаты соответствия по требованиям безопасности ФСТЭК, ФСБ (есть исполнения КС2, КС3 и КВ), Минкомсвязи и Минобороны России. Информация о действующих сертификатах доступна здесь.
Возможность централизованного управления.
Собственная разработка аппаратных платформ (локализованное в РФ производство).
Поддержка VPN-клиента с возможностью контроля внешней среды удалённых устройств пользователей.
Поддержка L3 VPN и L2 VPN.

С обзором продукта на нашем сайте можно ознакомиться здесь.

Узнать больше о продукте можно здесь.

МКСЗ «Diamond VPN/FW» (ТСС)

Многофункциональный комплекс сетевой защиты (МКСЗ) «Diamond VPN/FW» является UTM-решением, которое обеспечивает безопасность каналов передачи данных, межсетевое экранирование, обнаружение и отражение атак. За криптографическую защиту в Diamond VPN/FW отвечает СКЗИ Dcrypt. Реализация криптографических функций осуществляется по ГОСТ 28147-89, ГОСТ Р 34.12-2015, ГОСТ Р 34.13-2015, ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012 и требованиям ФСБ России. Защищённое соединение устанавливается на четвёртом уровне стандартной сетевой модели по протоколу UDP.

Такой подход позволяет беспрепятственно строить защищённые каналы передачи данных через устройства, которые осуществляют трансляцию IP-адресов (NAT / PAT), без дополнительных настроек и дополнительной инкапсуляции сетевых пакетов. При установке защищённого соединения используется модель «клиент — сервер». Устройство в режиме «сервер» ожидает подключения к заданному сетевому порту, а в режиме «клиент» — инициирует подключение к заданному сетевому адресу и порту.

Рисунок 10. Внешний вид МКСЗ «Diamond VPN/FW» 71хх

Модельный ряд включает в себя оборудование с широким диапазоном производительности, что позволяет подобрать решения для любого предприятия.

Особенности:

Сертификат ФСБ России для СКЗИ по классам КС1, КС2, КС3 (информация о действующих сертификатах доступна здесь).
Широкая линейка аппаратных платформ.
Централизованное управление.

Узнать больше о продукте можно здесь.

«С-Терра Шлюз» («С-Терра СиЭсПи»)

«С-Терра Шлюз» предназначен для обеспечения безопасности сети связи любой топологии (VPN) и с любым количеством туннелей. Криптографическая защита и фильтрация распространяются как на трафик подсетей, проходящий через шлюз, так и на его собственный поток данных.

«С-Терра Шлюз» обеспечивает шифрование и имитозащиту передаваемого трафика по протоколам IPsec (RFC 2401-2412) и с использованием современных российских криптографических алгоритмов, маскировку топологии защищаемого сегмента сети, аутентификацию абонентов по протоколу IKE (RFC 2407, RFC 2408, RFC 2409, RFC 2412), stateless-фильтрацию IP-трафика и stateful-фильтрацию для протоколов TCP и FTP. Применение одного устройства «С-Терра Шлюз» решает сразу несколько типов задач: удалённый доступ с мультифакторной аутентификацией, межсетевая связь (site-to-site), L2 VPN, DM VPN.

Рисунок 11. Внешний вид «С-Терра Шлюз 8000»

Модельный ряд включает в себя оборудование с широким диапазоном производительности: от 150 до 9 290 Мбит/с.

Особенности:

Вся линейка «С-Терра Шлюз» версии 4.3 сертифицирована ФСБ России в качестве СКЗИ по классам КС1, КС2, КС3, а также ФСТЭК России в качестве межсетевого экрана типа «А» 4-го класса защиты (с информацией о действующих сертификатах можно ознакомиться здесь).
Наличие аппаратных платформ российского производства, в том числе специализированной разработки (СТК-100).
Наличие системы централизованного управления и мониторинга (подробнее — здесь).
Построение VPN на сетевом (L3) и канальном (L2) уровнях модели OSI.

Узнать больше о продукте можно здесь.

«ФПСУ-IP» («АМИКОН», «ИнфоКрипт»)

Семейство криптомаршрутизаторов «ФПСУ-IP» разработано ООО «АМИКОН» при участии ООО «ИнфоКрипт», целиком базируется на отечественных разработках и стандартах.

Комплекс «ФПСУ-IP» в основном предназначен для межсетевого экранирования и разграничения доступа на сетевом и транспортном уровнях, а также для построения виртуальных частных сетей на базе общедоступных (VPN), для оптимизации и повышения пропускной способности каналов связи.

Режим работы VPN-соединения «мост» реализовывает шифрование и туннелирование пользовательских данных на уровне Ethernet-кадров (L2-шифрование). Этот режим предназначен для «прозрачного» объединения сегментов защищаемой сети через общедоступные каналы связи.

Рисунок 12. Внешний вид «ФПСУ-IP» на базе платформы ULT-1U-10G

Модельный ряд позволяет подобрать решение для организации связи с удалёнными подразделениями, филиалами или партнёрами по каналам связи с различной пропускной способностью. Модель начального уровня ORD4 предназначена для защиты каналов связи до 50 Мбит/с, а «ФПСУ-IP» на базе платформ ULT-1U-10G обеспечивает производительность до 12 Гбит/c при размере IP-пакета 1450 байт.

Особенности:

Сертификаты соответствия по требованиям безопасности ФСТЭК и ФСБ России (есть исполнения КС1, КС2, КС3). Информация о действующих сертификатах доступна здесь.
Широкая линейка аппаратных платформ.
Наличие аппаратных платформ российского производства.
Поддержка L3 VPN и L2 VPN.

Узнать больше о продукте можно здесь.

Выводы

В настоящее время рынок VPN хорошо развит, ведь построение VPN-сетей является одной из базовых составляющих защиты географически распределённых сетей. На мировом рынке представлены десятки решений от ветеранов отрасли сетевой безопасности (Cisco Systems, Citrix Systems, Check Point, Juniper Networks, F5 Networks, SonicWall, Riverbed Technology).

Российский рынок криптошлюзов — вполне зрелый и развивается ещё с начала девяностых. На рынке представлены многочисленные решения от российских вендоров («НТЦ Атлас», «Элвис-Плюс», «Код Безопасности», «Амикон», «АльтЭль», «С-Терра СиЭсПи», ТСС, «Фактор-ТС», «КриптоПро», «ИнфоТеКС»).

При этом одним из драйверов востребованности криптошлюзов на российском рынке является необходимость выполнения требований действующего законодательства и нормативных актов в области защиты информации.

Сегодня российский рынок криптошлюзов, как и многие другие сферы информационной безопасности, переживает времена турбулентности. Уход зарубежных игроков предоставил отечественным вендорам широкое поле для деятельности.

Полезные ссылки:

Как без боли заменить зарубежные VPN-шлюзы на российские криптомаршрутизаторы

Импортозамещение: сетевая безопасность России в условиях санкций

Руководство по импортозамещению систем информационной безопасности в условиях санкций

VPN-шлюз или VPN-клиент: чем они различаются и какой вариант выбрать