AComP-5639 - специфікації Protected Core Networking для статичного середовища

Що це таке

AComP-5639 - це NATO Allied Communications Publication (AComP), який встановлює специфікації Protected Core Networking (PCN) для статичного середовища: інтерфейси, криптографію, адресацію та маршрутизацію, що дозволяють окремо належні національні мережеві сегменти з'єднуватися в спільне захищене IP-ядро. Він визначає дві ролі: Protected Core Segment (PCS) Providers, які разом надають транспортну інфраструктуру, і Protected Core Service Consumers (PCSC), які підключаються до PCS через інтерфейс PCN-2; PCS з'єднуються між собою через інтерфейс PCN-1. Саме ядро не зобов'язане захищати вміст користувацьких даних - це залишається відповідальністю «Coloured Clouds», які використовують власні пристрої шифрування, - і цей документ не охоплює розгортане, нестатичне середовище, яке окремо описує AComP-5640.

Сам по собі він не має сили. Він зобов'язує через ратифікацію: «the agreement of nations to use this publication is recorded in STANAG 5639», і держава може ратифікувати з обмеженням сфери, як показує зафіксована резервація - національна позиція Польщі обмежує PCN у власних мережах діяльністю, спрямованою на Альянс, на підтримку операцій і місій Альянсу, і виключає інший національний CIS. Edition A, Version 1 опубліковано в грудні 2025 року і набуває чинності з моменту отримання.

Відповідність градуйована, а не бінарна

П'ять характеристик PCN (mobility, management, protection, federation and transport) кожна визначена на рівнях зрілості, що разом дають загальні PCN Capability Levels від CL0 до CL4. Це видання описує CL0, ручний рівень сумісності з низькими інвестиціями, і CL1, який додає напівавтоматизовану mobility та автентифікацію на сертифікатах і захист каналів. Суб'єкт, який впроваджує лише можливості CL0, «will still be considered compliant with the STANAG»; CL1 - просто вища ціль, яку підтримує це видання, а CL2 до CL4 залишені для майбутніх видань, причому ймовірну форму CL2 окреслено лише як необов'язкову дорожню карту.

Traffic Flow Confidentiality: зараз обов'язкові два типи

Traffic Flow Confidentiality (TFC) приховує метадані про зв'язок - хто з ким говорить і обсяг трафіку, - а не його вміст. У документі визначено п'ять типів TFC, але лише два фактично вимагаються в цьому виданні: кожен канал PCN-1, PCN-2 і внутрішній «shall be classified to adhere at minimum to the common set of TFC types», а типи, які підтримуються «for this STANAG version are: Packet Authentication and Source/Destination Hiding». Колоковані канали вважаються такими, що вже відповідають усім п'яти типам через фізичний і процедурний захист; неколоковані канали досягають TFC через IPsec. Власників PCS це не перевіряє зовнішній орган - вони декларують одноліткам, які типи TFC підтримує їхня інфраструктура, через обмін інформацією NMCD.

Адресація, рівні сервісу та довіра

Єдиний централізований PCore Address Authority (PAA) виділяє ідентифікатори PCS, діапазони IPv4 і anycast-адреси та вирішує конфлікти між ними, а кожен PCS також веде власну адресну функцію для внутрішнього виділення. Кожне з'єднання PCN-1 і PCN-2 потребує власної Service Level Agreement, що охоплює як мінімум маркування трафіку, мінімальну та максимальну смугу пропускання і максимальну затримку та її варіацію, з класами сервісу з AComP-4711; якщо з'єднання має запуститися до узгодження SLA, трафік за замовчуванням маркується Low-Priority Data, а не залишається некласифікованим. Сертифікати для сутностей PCN відповідають X.509v3, підписані RSA 4096 і SHA-384 або EC P384, з відкликанням через Certificate Revocation List Distribution Points і опційною перевіркою Online Certificate Status Protocol; оскільки PCN федеративний, а не керується одним органом, емітенти сертифікатів зобов'язані як мінімум підтримувати списки довіри один з одним, з cross-certification або bridge-структурами як опцією.

PCN-1 і PCN-2: різні інтерфейси, різна маршрутизація

PCN-1 (між двома PCS) і PCN-2 (між PCSC і обслуговуючим PCS) використовують той самий механізм захисту, коли з'єднання не колоковане: GRE-тунель, захищений IPsec ESP, узгоджений IKEv2, з AES-256 у режимі GCM, фіксованою групою Diffie-Hellman і SHA-384, з автентифікацією на сертифікатах на CL1 і pre-shared key, прийнятим на CL0. Де інтерфейси справді відрізняються - у маршрутизації. PCN-1 використовує динамічну маршрутизацію: BGP-4 обов'язковий, посилений MD5-автентифікацією сесії, забороною приймати або анонсувати маршрути за замовчуванням, TTL security і налаштованими таймерами keepalive та виявлення, що відрізняються для дротових і бездротових каналів. PCN-2, навпаки, «does not support dynamic routing protocols» взагалі - покладається на статичну маршрутизацію, маршрут за замовчуванням від сторони споживача до ядра та конкретні маршрути назад.

Фізична зв'язність та автоконфігурація

Кожна відповідна точка з'єднання має підтримувати як мінімум профіль Ethernet-носія - 1000BASE-T або 1000BASE-LX, з тактичними роз'ємами MIL-STD, рекомендованими для польового розгортання, - поруч із опційними профілями для з'єднання через публічні або військові мережі, завжди під тим самим захистом IPsec. Опційний механізм автоконфігурації на базі RIPv2 і RIPng дозволяє двом кінцевим точкам виявити одна одну і самостійно підготувати GRE-тунель і BGP-peering без ручної конфігурації, використовуючи специфічну закодовану схему адресації IPv6 для самого обміну виявлення.

Чого цей документ не охоплює

Network Address Translation - чіткий поділ, а не загальне правило: заборонено всередині Protected Core, але дозволено на P-functionality, зверненій до споживача. Holistic cyber security architecture - intrusion prevention, host monitoring, log correlation - явно поза сферою; оператор PCS відповідає за цей дизайн у власному сегменті. Кілька пунктів про обробку змін SLA та принципи end-to-end SLA вказують на STANAG Network Management and Cyber Defence, який ще розробляється, тож implementer, який слідує лише цьому документу, знайде задокументовану прогалину, а не готову площину управління.

Стандарти, на які він посилається

• STANAG 4711Обов'язкове
• STANAG 5637Довідково
• STANAG 5640Довідково
• AComP-5637Довідково
• AComP-5640Довідково
• AComP-4711Довідково
• STANAG 4290Довідково
• AComP-4290Довідково

Інші стандарти в темі «Системи зв'язку та інформації»

• AComP-5640AComP-5640 - специфікації Protected Core Networking для розгортаного середовища
• ADatP-4774ADatP-4774 синтаксис міток конфіденційності в метаданих
• ADatP-4778Механізм прив'язки метаданих ADatP-4778
• ADatP-5636Специфікація базових метаданих NATO ADatP-5636
• ADatP-5644Профіль обміну повідомленнями через вебсервіси ADatP-5644
• ADatP-5656Інтерфейс федеративного управління сервісами та контролю ADatP-5656