PQC対応を実現するセキュアな高速ネットワーク
暗号通信ソリューション

■Thales社HSEとは？

HSE（High Speed Encryptor）は、レイヤー2、3 および4 ネットワークの速度を低下させることなく移動中のデータを保護します。

最小の遅延で最大のスループットを保証するThales High Speed Encryptorsを使用すると、データ、ビデオ、音声、メタデータを盗聴、監視、および明らかな傍受や秘密の傍受から保護できます。

• 拠点間・データセンター間・クラウド接続向けのインライン暗号化装置
• 高スループットに特化した専用ハードウェアアーキテクチャ
• レイテンシを極力抑えたワイヤーレートの暗号処理

によって、セキュアでありながら、高速なネットワーク環境を構築できるネットワーク暗号化装置です。

■検証1 　通信速度の比較　IPSecVPN vs HSE

パブリッククラウド（AWS）環境で検証環境を準備しました。構成は以下の通りです。

AWS上の英国（ロンドン）と米国（オレゴン）リージョンにクライアントサーバーを用意し、リージョン間の通信データを暗号化する環境を構築しました。

• 各リージョンにHSE（仮想版HSEであるCV1000）を配置しAESで暗号化（上図の赤ライン）
• 各リージョンにX社製のVPN装置を配置し、IPSec VPNで暗号化（上図の青ライン）

ネットワークの通信性能を測定するオープンソースのiPerfツールを使用して、サーバー間のエンドツーエンドでの転送レートを測定した結果は以下の通りです。
※検証時、AWS上VPCのルートテーブルは切り替えています。

今回の検証は、約8000km離れた海外リージョン間かつ仮想版での通信のため、パブリッククラウド特有のネットワーク揺らぎや遅延の影響を強く受ける環境下で行われました。しかし、そのような厳しい条件下でも、仮想版HSEは従来のIPsecVPNと同等以上の優れたパフォーマンスを維持できることが確認できました。なお、専用のハードウェア（FPGAチップベース）で暗号処理を行う物理版HSEであれば、デバイス自体の遅延は極小化されるため、さらに超高速通信暗号化の実現が見込めます。

■検証2 　HSEは本当に低遅延で高速に暗号化処理ができるのか？

物理版HSE（CN4020モデル）を使って、以下の様なシンプルな構成で通信を暗号化した時（L2：Lineモード）と暗号化していない時（Bypassモード）の応答時間（レイテンシ）を測定しました。

＜スループット測定＞
iPerfツールを使用して、PC間のエンドツーエンドでの転送レートを測定した結果は以下の通りでした。
（iPerf　：　https://iperf.fr/）

この結果からHSEで暗号化した場合でも、ビットレート(1秒間に処理または転送されるデータ量)の低下は1割程度に抑えられることが確認できています。

＜レイテンシ測定＞
右側のPCから左側のPCに対して、pingコマンドを1万回実行した時の往復時間（RTT: Round Trip Time）の計測結果は以下の通りでした。

暗号化を有効にした場合、往復時間（RTT: Round Trip Time）はわずかに増加しましたが、EncryptモードとBypassモードの平均値の差は17μs（0.017ms）にとどまることを確認しました。
なお、製品仕様では、HSE (CN4020) 1台あたりの遅延は10μs以下です。

■技術ハイライト

1. なぜHSEは高速なのか？

•  従来のIPSecカプセル化によるオーバーヘッドを最小化し、暗号処理を効率化
• トンネリングを使わないThales社（開発元:豪州Senetas社）独自方式で、パケットに薄い暗号レイヤーを付加するのみのため、追加ヘッダによる通信量増加は最小限

•  物理版HSEはチップベースとなるため更なる高速処理が可能（最大でもマイクロ秒）

2. PQC（耐量子暗号）対応

• HSE間の相互認証（鍵交換）においては、PQC証明書（RSA/ECCとPQCを組み合わせたハイブリッド）をサポートすることでQuantum Safe(耐量子安全性)を実現
•  通信データは、耐量子安全性のあるAESアルゴリズムによる暗号化

3. 運用の柔軟性

• GUIによる専用ツール（CM7）を使ったユーザーフレンドリーな運用管理
•  多様な構成（P2P、Hub＆Spoke、Full-Mesh）、各モデル混在での利用
• 1時間毎or一定処理量毎の自動鍵更新により運用担当者の手作業をゼロにし、設定ミスのリスクを排除
• KMS（Cipher Trust Manager）と連携し鍵管理が可能

4. 最高レベルのセキュリティと信頼性

•  世界各国政府/防衛企業で多くの導入実績（米国防総省では数十年の利用実績）
•  FIPS140-3 Level3、Common Criteriaのセキュリティ規格の認定
•  中間者攻撃や盗聴、HNDLなどのデータ侵害を完全に阻止

■検証結果を踏まえた弊社の所感

今回の実機検証で特に印象的だったのは、HSEが低レイテンシーかつ高速暗号化を実現するだけでなく、導入・運用のシンプルさにも優れていた点です。従来のIPsecVPNでは、フェーズ1/2の暗号ポリシー調整、複雑なルーティング設計、NATトラバーサルへの対応など、構築前の段階から多くの検討が必要になります。一方、HSEは専用管理ツールであるCM7のGUIに従って設定を進めることで、短時間でセキュアな拠点間接続を構築できました。

特に、ネットワーク機器のコマンド設定や複雑なコンフィグ作成に慣れたエンジニアほど、そのシンプルさを実感しやすいと考えられます。物理的なトポロジーや煩雑な設定項目を過度に意識することなく、直感的な操作で安全な通信基盤を構築できる点は、HSEの大きな特長です。

さらに、一般的なVPN構築で課題となりやすい多数の設定パラメータや、継続的な脆弱性対応に伴う運用負荷の軽減も期待できます。高いセキュリティ強度を確保しながら、ネットワーク担当者の日常運用をシンプルにできる点は、HSEが持つ大きな導入価値の一つと考えています。

キーワードは「高速暗号化通信」「低レイテンシ」「VPN装置のボトルネック解消」です。

Thales社HSEはネットワーク性能、遅延、帯域幅を維持しながら、機密性の高いデータを安全に転送できます。機密データ、音声や動画ストリーム、メタデータなどデータ転送中の盗聴、監視、傍受などの攻撃から保護します。また、HSEは耐タンパー性を備えたシャーシで提供されており、暗号化で使われる暗号鍵はハードウェア内で安全に生成、保管されます。さらに、物理的に鍵を抜き取ろうとするとデバイスはゼロ化される仕様が備わっており、安全性は確実に担保されます。

信頼のおける真のエンドツーエンドの暗号化はHSEで実現できます！

本製品にご興味のあるお客様は、ぜひ当社までお問い合わせください。