{"id":8698,"date":"2021-06-22T16:00:31","date_gmt":"2021-06-22T16:00:31","guid":{"rendered":"https:\/\/www.redeszone.net\/?post_type=tutoriales&p=427554"},"modified":"2021-06-22T16:00:31","modified_gmt":"2021-06-22T16:00:31","slug":"por-que-tu-servidor-nas-debe-tener-aceleracion-de-cifrado-por-hardware","status":"publish","type":"post","link":"http:\/\/cordobadirecto.com\/index.php\/2021\/06\/22\/por-que-tu-servidor-nas-debe-tener-aceleracion-de-cifrado-por-hardware\/","title":{"rendered":"Por qu\u00e9 tu servidor NAS debe tener aceleraci\u00f3n de cifrado por hardware"},"content":{"rendered":"

\u00bfQu\u00e9 es AES y qu\u00e9 significa AES-NI?<\/h2>\n

AES<\/strong> (Advanced Encryption Standard) es un esquema de cifrado por bloques que es actualmente el est\u00e1ndar de cifrado en todo el mundo, desde el a\u00f1o 2006 se impuso como el algoritmo de cifrado sim\u00e9trico m\u00e1s utilizado en todo el mundo. Este algoritmo de cifrado sim\u00e9trico tiene un tama\u00f1o de bloque fijo de 128 bits, y tama\u00f1os de longitud de clave de 128, 192 y 256 bits. Actualmente, AES se considera un algoritmo de cifrado sim\u00e9trico seguro, aunque existen modos de cifrado de AES que son m\u00e1s seguros que otros, adem\u00e1s de proporcionarnos caracter\u00edsticas adicionales a la confidencialidad, como la autenticidad (integridad) si utilizamos GCM (Galois Counter Mode) ya que es AEAD (Authenticated Encryption with Associated Data). Adem\u00e1s, el modo de cifrado GCM en AES permite un mayor rendimiento porque permite gestionar de forma paralela los datos.<\/p>\n

<\/p>\n

Los fabricantes de procesadores como Intel, AMD o ARM han integrado el conjunto de instrucciones de AES dentro de sus procesadores, con el objetivo de mejorar enormemente el rendimiento en el trabajo de cifrado y descifrado de los datos, haciendo que la velocidad de lectura y escritura sea claramente muy elevada en comparaci\u00f3n con otro procesador que no tenga esta caracter\u00edstica. Popularmente se le denominan a este conjunto de instrucciones AES como AES-NI (Advanced Encryption Standard New Instructions) o simplemente aceleraci\u00f3n de cifrado por hardware, para indicar que un procesador en concreto soporta esta tecnolog\u00eda.<\/p>\n

Procesadores Intel y AMD compatibles con AES-NI<\/h3>\n

AES-NI es una extensi\u00f3n del juego de instrucciones en las arquitecturas X86 que nos permite incrementar enormemente la velocidad del cifrado y descifrado de datos. En la mayor\u00eda de los casos esta funcionalidad viene activada de manera predeterminada en la BIOS del equipo, no obstante, es recomendable revisar si en la BIOS tenemos esta funcionalidad habilitada. En algunos casos con equipos antiguos, la BIOS no es compatible con esta opci\u00f3n, por lo que es recomendable revisar nuestra versi\u00f3n y actualizarla siempre que sea posible.<\/p>\n

Actualmente todos los nuevos procesadores que salen al mercado, excepto los de gama m\u00e1s baja basados en ARM, son compatibles con AES-NI, no obstante, siempre es recomendable visitar la web oficial de los diferentes fabricantes para conocer de primera mano si un procesador en concreto soporta la aceleraci\u00f3n de cifrado por hardware. Por ejemplo, desde hace bastantes a\u00f1os todos los procesadores de Intel y AMD disponen de esta tecnolog\u00eda tan importante hoy en d\u00eda, y es que podremos acelerar enormemente el rendimiento en lectura y escritura cuando estamos tratando con datos cifrados con AES, adem\u00e1s, la carga de CPU por realizar esta operaci\u00f3n es realmente baja en comparaci\u00f3n con un procesador que no soporte esta funci\u00f3n.<\/p>\n

\u00bfC\u00f3mo puedo saber si mi servidor NAS soporta aceleraci\u00f3n de cifrado por hardware?<\/h2>\n

Cuando compramos un servidor NAS, normalmente en la web oficial del fabricante indica si soporta aceleraci\u00f3n de cifrado por hardware o no lo soporta, no obstante, siempre ser\u00eda recomendable mirar qu\u00e9 procesador lleva este servidor NAS, y entrar en la web oficial del fabricante del procesador y comprobar fehacientemente si realmente soporta AES-NI o aceleraci\u00f3n de cifrado por hardware, para despejar cualquier tipo de duda sobre ello. Os vamos a poner dos ejemplos claros de servidores NAS que soportan aceleraci\u00f3n de cifrado por hardware, uno con procesador Intel y otro con procesador AMD.<\/p>\n

Si nos vamos a la web oficial del modelo QNAP TVS-h1288X, podemos ver que este servidor NAS s\u00ed incorpora motor de cifrado AES-NI, por tanto, tenemos aceleraci\u00f3n de cifrado por hardware.<\/p>\n

<\/p>\n

Este servidor NAS incorpora un procesador Intel Xeon W-1250, si nos metemos en la web oficial de Intel podemos comprobar que efectivamente soporta las \u00abNuevas instrucciones de AES Intel\u00bb, por tanto, podemos afirmar que este procesador s\u00ed soporta aceleraci\u00f3n de cifrado por hardware.<\/p>\n

<\/p>\n

En el caso del servidor NAS QNAP TS-473A que es de gama m\u00e1s baja que el anterior, incorpora un procesador AMD Ryzen V1500B, seg\u00fan la web oficial de QNAP tambi\u00e9n tendremos aceleraci\u00f3n de cifrado por hardware AES-NI, por tanto, conseguiremos un gran rendimiento a la hora de cifrar y descifrar la informaci\u00f3n.<\/p>\n

<\/p>\n

Si nos metemos en la web oficial de la familia de procesadores AMD Ryzen V1500, podemos ver en la secci\u00f3n de seguridad que dispone de diferentes caracter\u00edsticas relacionadas con el cifrado de datos y la seguridad, sin embargo, no indica claramente que tenga AES-NI.<\/p>\n

<\/p>\n

Si nos metemos en una web de comparaci\u00f3n de procesadores cualquiera, podemos ver que s\u00ed soporta AES-NI, tal y como pod\u00e9is ver a continuaci\u00f3n:<\/p>\n

<\/p>\n

Hoy en d\u00eda todos los procesadores de Intel y AMD que salen al mercado, aunque sean de gama de entrada, disponen de aceleraci\u00f3n de cifrado por hardware AES-NI, porque es una funcionalidad muy necesaria hoy en d\u00eda por lo que os explicaremos a continuaci\u00f3n.<\/p>\n

\u00bfPara qu\u00e9 necesito un servidor NAS con aceleraci\u00f3n de cifrado por hardware?<\/h2>\n

Los servidores NAS nos permiten almacenar toda la informaci\u00f3n en ellos, si queremos tomar medidas de seguridad para tener confidencialidad, es fundamental cifrar todos los datos, ya sea cifrado una vez que est\u00e9 en el disco duro, o cifrado en las comunicaciones con el servidor NAS. De esta forma, podremos tener la seguridad de que nuestros datos no podr\u00e1n ser le\u00eddos sin la contrase\u00f1a maestra que descifran esos datos.<\/p>\n

Cifrado de vol\u00famenes y carpetas<\/h3>\n

Los servidores NAS a trav\u00e9s de sus sistemas operativos permiten configurar cifrado de vol\u00famenes y tambi\u00e9n de carpetas<\/strong>, por ejemplo, en el caso de QNAP podremos cifrar (encriptar) un volumen entero, con el objetivo de proteger al m\u00e1ximo la informaci\u00f3n en caso de que se extraiga el disco duro o que nos roben f\u00edsicamente el servidor NAS. De esta forma, todos los datos que copiemos en ese volumen se cifrar\u00e1n y descifrar\u00e1n al vuelo, haciendo que el procesador se encargue de esta tarea. Si tenemos un procesador con AES-NI notaremos que todo va perfectamente y no tenemos ning\u00fan tipo de cuello de botella, adem\u00e1s, podremos ver que el uso de CPU no se dispara a valores del 90% o 100% cuando estamos transfiriendo archivos. Si no tuvi\u00e9ramos esta caracter\u00edstica, ver\u00edamos como el procesador principal del servidor NAS se dispara a un uso del 100%, y el rendimiento de lectura y escritura es claramente m\u00e1s bajo, porque tendremos un cuello de botella debido a este cifrado\/descifrado de datos.<\/p>\n

<\/p>\n

En cualquier momento podremos bloquear el acceso a este volumen cifrado, cambiar la contrase\u00f1a y otras opciones de gesti\u00f3n de vol\u00famenes cifrados:<\/p>\n

<\/p>\n

Otra caracter\u00edstica interesante es que podremos cifrar una carpeta \u00fanicamente, no es necesario cifrar el volumen entero. En este caso, tambi\u00e9n haremos uso del popular algoritmo de cifrado sim\u00e9trico AES para la tarea de cifrado y descifrado de los datos. Si tenemos un procesador con AES-NI, podremos tener el mismo rendimiento que si la carpeta no estuviera cifrada, de esta forma, siempre ser\u00e1 recomendable cifrar todo el contenido.<\/p>\n

<\/p>\n

Tal y como pod\u00e9is ver, tenemos la posibilidad de cifrar \u00fanicamente una carpeta, no obstante, nuestra recomendaci\u00f3n es utilizar el cifrado por volumen directamente.<\/p>\n

SMB 3.0: transferencias en red local cifradas<\/h3>\n

El \u00faltimo protocolo SMB 3.0 no solamente nos permite realizar una autenticaci\u00f3n con seguridad utilizando cifrado, sino que toda la transferencia de datos desde un origen hasta un destino puede estar cifrada, haciendo uso del algoritmo de cifrado sim\u00e9trico AES. Si el servidor NAS soporta la caracter\u00edstica de aceleraci\u00f3n de cifrado por hardware, podremos ver que el rendimiento que obtendremos es igual o casi igual que si us\u00e1ramos SMB 2.0 que no utiliza cifrado de datos.<\/p>\n

<\/p>\n

Gracias a la incorporaci\u00f3n de AES-NI, podremos proteger todas nuestras comunicaciones en la red local, con el objetivo de que, si alguien es capaz de capturar la informaci\u00f3n, no pueda descifrarla, manteniendo nuestra privacidad.<\/p>\n

FTPES: protocolo FTP con cifrado de datos<\/h3>\n

El protocolo FTP seguro, o tambi\u00e9n conocido como FTPES, tambi\u00e9n se ve claramente beneficiado por esta caracter\u00edstica tan importante de los servidores NAS. FTPES hace uso de los protocolos TLS 1.2 o TLS 1.3 para el canal de control, sin embargo, para el canal de datos donde vamos a transferir toda la informaci\u00f3n hace uso de AES-GCM generalmente, aunque dependiendo de la configuraci\u00f3n del servidor FTPES esto podr\u00eda cambiar. La configuraci\u00f3n en un servidor NAS de QNAP es tan sencillo como pinchar en \u00abFTP con SSL\/TLD (Expl\u00edcito)\u00bb para activar esta funcionalidad tan importante.<\/p>\n

<\/p>\n

Cuando nos vayamos a conectar con el servidor FTPES con programas como FileZilla, podremos ver que la comunicaci\u00f3n est\u00e1 totalmente cifrada. Nos mostrar\u00e1 el certificado digital que hemos tenido que configurar, o que autom\u00e1ticamente ha configurado el servidor NAS por nosotros. Podremos ver que se ha utilizado un algoritmo de clave p\u00fablica RSA de 2048 bits con SHA256 como firma. Nos indicar\u00e1 que la sesi\u00f3n de comunicaci\u00f3n se ha realizado utilizando TLS 1.2 con una suite criptogr\u00e1fica en concreto, y que el cifrado de datos para el intercambio de informaci\u00f3n es AES-128-GCM, por tanto, tenemos AEAD como hemos explicado anteriormente.<\/p>\n

<\/p>\n

En FileZilla nos aparecer\u00e1 un candado en la parte inferior derecha, indic\u00e1ndonos que la conexi\u00f3n est\u00e1 cifrada y es segura.<\/p>\n

SFTP: protocolo basado en SSH con cifrado<\/h3>\n

El protocolo SFTP est\u00e1 basado en SSH, nos permitir\u00e1 intercambiar archivos de autenticarnos con el servidor de forma segura utilizando todos los protocolos criptogr\u00e1ficos del SSH. Este protocolo es ampliamente utilizado porque solamente es necesario abrir un puerto, por donde fluye toda la comunicaci\u00f3n. En este caso, la configuraci\u00f3n del servidor SFTP se debe realizar a trav\u00e9s de la secci\u00f3n de SSH, tal y como pod\u00e9is ver a continuaci\u00f3n:<\/p>\n

<\/p>\n

Al conectarnos con un programa como FileZilla a este servidor SFTP, nos indicar\u00e1 los diferentes algoritmos que ha utilizado. Por ejemplo, el intercambio de clave se ha realizado con ECDH con Curve25519, usando un hash SHA-256. La clave del servidor es RSA 3072 bits, y el cifrado de datos se realiza a trav\u00e9s de AES-256-GCM, lo que nos permitir\u00e1 transferir datos a una grand\u00edsima velocidad.<\/p>\n

<\/p>\n

En la parte inferior derecha de FileZilla tambi\u00e9n podr\u00e9is ver un candado indic\u00e1ndonos que la comunicaci\u00f3n es segura.<\/p>\n

Servidor VPN con mayor rendimiento<\/h3>\n

La mayor\u00eda de servidores NAS disponen de servidores VPN para conectarnos de forma segura y remota a la red local. Si nuestro NAS incorpora AES-NI y hacemos uso de protocolos como OpenVPN que est\u00e1 basado en TLS, podremos conseguir un mayor ancho de banda para la descarga o subida de archivos. En nuestras pruebas hemos comprobado que un NAS con aceleraci\u00f3n de cifrado por hardware como el QNAP TS-1277 es capaz de proporcionar hasta 500Mbps de velocidad sim\u00e9trica, sin embargo, si no tuviera aceleraci\u00f3n de cifrado por hardware el rendimiento ser\u00eda de unos 100Mbps aproximadamente, tal y como ocurre actualmente con los routers que integran una VPN y no disponen de aceleraci\u00f3n de cifrado por hardware. Si tu servidor NAS no soporta AES-NI, una buena alternativa puede ser utilizar WireGuard, este protocolo de VPN seguro es mucho m\u00e1s r\u00e1pido que OpenVPN o que IPsec IKEv2, por lo que es ampliamente recomendable.<\/p>\n

Tal y como pod\u00e9is ver, hoy en d\u00eda es fundamental que un servidor NAS cuente con aceleraci\u00f3n de cifrado por hardware, adem\u00e1s, tambi\u00e9n es muy recomendable que nuestros PC incorporen esta funcionalidad tan importante, para poder aprovechar al m\u00e1ximo la velocidad de las redes locales que hoy en d\u00eda son ya Multigigabit (2.5G en adelante).<\/p>\n","protected":false},"excerpt":{"rendered":"

\u00bfQu\u00e9 es AES y qu\u00e9 significa AES-NI? AES (Advanced Encryption Standard) es un esquema de cifrado por bloques que es actualmente el est\u00e1ndar de cifrado en todo el mundo, desde el a\u00f1o 2006 se impuso como el algoritmo de cifrado sim\u00e9trico m\u00e1s utilizado en todo el mundo. Este algoritmo de cifrado sim\u00e9trico tiene un tama\u00f1o […]<\/p>\n","protected":false},"author":1,"featured_media":8699,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[42],"tags":[],"_links":{"self":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/8698"}],"collection":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/comments?post=8698"}],"version-history":[{"count":0,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/8698\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media\/8699"}],"wp:attachment":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media?parent=8698"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/categories?post=8698"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/tags?post=8698"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}