使用 MACsec 硅IP 保护汽车以太网

Rambus使用MACsec硅IP22 3 3 4 5 7 9 33这种方法在使用⾼速以太网和各种其他计算资源所带来的可扩展44在汽车以太网中使用IEEE802.1AEMACsec安全协议可以提供以太网数据包机密性保在硬件中实施MACsec可以以尽可能短的系统响应时间检测或过滤硬件层面的问题，同统的深度集成都在不断增长。MACsec控制平面(MKA)在IEEE802.1X中定义，而汽车制理、使用HSM进行密钥保护等。让我们详细了解MACsec的工作原理以及它如何处理区域网关之间通信的安全方面。55什么是具有MACsec功能的系统？支持MACsec的系统可以使用一个或多个以太网端口与其他支持MACsec的系统进行安全通信，并且数据包受到MACsec安全协议的保护。DeviceB(Authenticator)SessionDeviceB(Authenticator)SessionControl/StatusKeyManagementPacketsAuthorization(pre-sharedkeyorauthenticationprotocol)RADIUSAuthenticationServer(optional)•Encryptedpackets•Keymanagementpackets•OtherunprotectedpacketsTunnelATunnelBDeviceA(Supplicant)KeyManagementPacketsSessionControl/Status图1.系统中的MACsec链路加密在系统中实现MACsec需要实现MACsec控制平面、MACsec数据平面并将其集成到网控制平面(CP)实现MACsec安全连接管理。通常，这是MACsec密钥协议(MKA)，它是数据平面(DP)实现分类、MACsec策略和MACsec加密转换功能，并提供所需的数据包对于硬件组件，这包括MACsec实现与以太网MAC、系统数据路径、MKA数据包捕获/注66于MACsec的用例和拓扑。TransformClassifier/RuleMatchResultAnalysisClassifier/RuleMatchResultAnalysis/StatisticsHeaderParserPolicyProcessingdecrypt/bypass/drop)NotstandardizedinIEEEIEEE802.1AEMACsecdataplane图2.MACsec数据平面功能‧SoC计算资源的参与度为零或极低‧bump‑in‑the‑stack的数据流完全卸载到硬件上‧CPU仅处理极少数的控制平面任务‧最佳功耗使用‧专用‧硬件数据平面实施具有功耗节省措施77RambusMACsecIP解决方案RambusMACsecIP核符合最新的MACsec标准，并支持多种扩展和功能。部分IP还包括全线速IPsec协议支持。该IP附带驱动程序开发软件包(DDK)，可轻松将MACsecAPIRambus汽车MACsec产品包括：‧具有集成安全措施和经过认证的ASIL‑BReady的MACsecIP产品‧适用于汽车硅片的MACsecIP产品，同时依赖外部安全措施MACsec产品组合的主要特性包括：‧具有单端口和多端口(TDM)架构的产品‧MACsecIEEE802.1AE‑2018合规性‧具有VLAN‑in‑clear的MACsec‧FIPSCAVP认证支持AES和AES‑GCM‧低延迟‧固定延迟或可在上层实现的功能‧支持抢占的选项‧经过硅验证的架构,和跨多代产品的多个Tier1客户的DesignWins案例。‧具有安全措施和经过认证的ASIL‑BReady的产品配置88推出MACsec‑IP‑361:一款符合ASIL‑BReady的产品Software持10/100/1000M速率的行业标准MII/GMII接口以及更⾼速率的相应XGMII接口。底层MACsec‑IP‑161引擎实现了完全兼容的MACsecSoftwareRambusMACsecToolkit(IEEE802.1X)Platform-specificmiddlewareDDK-161DriverDevelopmentKitDMAMACSystemDMAMACSysteminterfaceadapterxMIIoutputadapteradapterxMIIoutputadapterMACsec-IP-161EgressxMIIoutputadapteradapterMACsec-IP-161IngressGlobalGlobalcontrols图3.RambusMACsec-IP-361MACsec‑IP‑361解决方案的主要优势在于，它将MACsec处理置于以太网子系统xMIIIEEE1588PTP分类和时间戳处理。MACsec‑IP‑361是经过ISO26262认证的ASIL‑BReady产品，包含所有必要的安全措99用例1：MACsec‑IP‑361集成到xMII的SoC或PHY中•行业标准全双工GMII/MII/XGMII接口，具有符合IEEE802.3br的可选的抢占功能•具有多种吞吐量和面积优化配置，目标是10Mbps至50Gbps数据速率•ASIL‑BReadySoCInterconnect/SwitchTSNMACRambusMACsec-IP-361SoCInterconnect/SwitchSoCInterconnect/SwitchTSNMACRambusMACsec-IP-361SoCInterconnect/SwitchTSNMACPCS/PMARambusMACsec-IP-361SoCSoCInterconnect/SwitchTSNMACRambusRambusMACsec-IP-361PCSPCS/PMA图4.MACsec-IP-361在SoC或PHY中集成于xMII接口用例2：MACsec‑IP‑161集成到SoC或PHY•全双工FIFO接口，具有符合IEEE802.3br的可选的抢占功能•具有多种吞吐量和面积优化配置，目标是10Mbps至50Gbps数据速率•ASIL‑BReadyRambusMACsec-IP-161TSNMAC/PCSSoCInterconnectTSNMAC/PCSPCS/PMARambusRambusMACsec-IP-161TSNMAC/PCSSoCInterconnectTSNMAC/PCSPCS/PMARambusMACsec-IP-161PCS/PMASoCSoCInterconnect/SwitchRambusMACsec-IP-161TSNTSNMAC/PCSPCSPCS/PMA图5.用于集成到SoC或PHY中的MACsec-IP-161用例3：用于10Base‑T1SPHY、MAC‑PHY或SoC的MACsec‑IP‑161•提供具有半双工操作的FIFO接口•ASIL‑BReadySoCMCU/SoCInterconnectSPIMasterSoCMCU/SoCInterconnectSPIMasterSoCMCU/SoCInterconnectRambusMACsec-IP-161MACMACT1SPHYPCS/PMAPCS/PMASPIT1SPIT1SMAC-PHYSPIHostInterfaceRambusMACsec-IP-161SoCMCU/SoCInterconnectRambusMACsec-IP-161SPISPIMasterMAC/PCS/PMASPIMAC/PCS/PMAT1SMAC-PHYSPIHostInterfaceMAC/PCS/PMAMAC/PCS/PMA图6.适用于10Base-T1SPHY、MAC-PHY或SoC的MACsec-IP-161•具有最多64个端口的多通道(TDM)架构的面积⾼效解决方案•每个端口的数据速率范围在10Mbps至100Gbps之间完全灵活•总吞吐量通常为几百Gbps，最⾼可达800GbpsPCS/PMAPCS/PMATSNSwitchSoCSwitchSwitc