F5 BIG-IP v21.1 ist jetzt allgemein verfügbar und bietet Verbesserungen bei PQC und KI-Sicherheit

Tom AtkinsLeitender Produktmarketingmanager | F5

Vor zwei Monaten hat F5 auf der AppWorld vorab angekündigt: BIG-IP v21.1. Diese Version konzentriert sich darauf, die Bereitschaft für Post-Quanten-Kryptografie (PQC) zu verbessern, BIG-IP TMOS zu modernisieren und neue Funktionen zum Schutz von KI-Workloads und neuen Technologien bereitzustellen.

Heute wird diese Vorschau Realität: BIG-IP v21.1 ist ab sofort allgemein verfügbar und bietet zahlreiche Funktionen, die Sie, unsere Kunden und Partner, sich gewünscht haben. Nachfolgend finden Sie eine Zusammenfassung der wichtigsten neuen Funktionen, die jetzt mit BIG-IP v21.1 ausgeliefert werden, sowie einige nützliche Informationen und Ressourcen rund um die Veröffentlichung. Sehen wir uns also an, was BIG-IP v21.1 Neues bietet.

PQC-Bereitschaft

Je nachdem, wen man fragt, steht der „Q-Day“ entweder unmittelbar bevor oder ist noch einige Jahre entfernt. In jedem Fall macht die Bedrohung durch „Jetzt sammeln, später entschlüsseln“ – bei der verschlüsselte Daten heute gespeichert werden, um sie zu entschlüsseln, sobald Quantencomputer künftig leistungsfähig genug sind – den Einsatz von PQC bereits heute unverzichtbar.

BIG-IP unternahm in v17.5.0 mit der Unterstützung des hybriden Schlüsselaustauschs X25519_ML-KEM-768 in TLS 1.3 erste Schritte in Richtung PQC-Bereitschaft. Doch das war erst der Anfang. Mit jeder neuen Version erweitert BIG-IP seine PQC-Funktionen, und BIG-IP v21.1 bringt zwei wichtige Neuerungen:

Unterstützung für zusätzliche NIST-konforme PQC-Chiffren: Da Quantencomputer immer näher an die allgemeine Praxistauglichkeit heranrücken, besteht die Gefahr, dass bestehende kryptografische Algorithmen wie RSA und ECC obsolet werden. Vor diesem Hintergrund leitete das US-amerikanische National Institute of Standards and Technology (NIST) eine weltweite Initiative zur Standardisierung von PQC-Algorithmen, die Angriffen mithilfe von Quantencomputern standhalten können. Das Ergebnis? Die SecP+ML-KEM-Chiffrengruppen, die den FIPS-203-Standards entsprechen, wurden aufgrund ihrer Fähigkeit ausgewählt, hybride Kryptografie bereitzustellen. Diese Chiffren kombinieren herkömmliche kryptografische Verfahren (SecP) mit quantenresistenten Algorithmen (ML-KEM) und tragen so dazu bei, die Sicherheit heute und in Zukunft zu gewährleisten.

Für Kunden, die NIST-Richtlinien und FIPS-Standards einhalten müssen, insbesondere Behörden und Unternehmen in anderen regulierten Branchen, ist die Einführung von SecP + ML-KEM für die Absicherung ihrer Infrastruktur von entscheidender Bedeutung. Um diese Anforderungen zu erfüllen, unterstützt BIG-IP ab Version 21.1 zwei neue NIST-konforme PQC-Verschlüsselungsgruppen:

• SecP256r1ML-KEM-768
• SecP384r1ML-KEM-1024

Diese werden zum Zeitpunkt der Veröffentlichung sowohl für client- als auch für serverseitige Verbindungen unterstützt und ermöglichen zudem SSL-Forward-Proxy-Anwendungsfälle. (Weitere Informationen zu den PQC-Erweiterungen in BIG-IP v21.1s finden Sie in diesem Blogbeitrag von Rachael Shah von F5.)

Quantenresistentes TLS/SSL-VPN-Tunneling: VPN-Tunneling wurde erstmals Ende der 1990er-Jahre eingeführt, um die Datenübertragung über öffentliche oder private Netzwerke durch den Aufbau eines verschlüsselten Tunnels zwischen einem Client und einem Server abzusichern. Seit fast drei Jahrzehnten verhindern VPN-Tunnel erfolgreich, dass sensible Informationen in die falschen Hände geraten. Mit dem Aufkommen des Quantencomputings werden Angreifer jedoch über die nötige Rechenleistung verfügen, um herkömmliche Verschlüsselungsverfahren zu knacken und auf diese Daten zuzugreifen.

Um dem entgegenzuwirken, F5 BIG-IP Zero Trust Access (ehemals BIG_IP APM) v21.1 wird quantenresistentes TLS/SSL-VPN-Tunneling mit Unterstützung für die Verschlüsselung X25519 + ML-KEM-768 einführen. Wie oben beschrieben, werden damit durchgängige client- und serverseitige Verbindungen unterstützt, die moderne VPN-Tunnel umfassend schützen und zugleich die NIST-Richtlinien sowie die FIPS-203-Standards erfüllen. Für Unternehmen, die IPSec-VPNs gegenüber TLS/SSL-VPNs bevorzugen, wird BIG-IP Zero Trust Access voraussichtlich in nicht allzu ferner Zukunft eine ähnliche Unterstützung für quantensicheres IPSec-Tunneling bieten.

Verbesserungen bei der Bereitstellung, Sicherheit und Zugriffskontrolle von KI-Workloads

Im Kern ähneln die Anforderungen an KI-Workloads stark denen anderer Anwendungen: Sie müssen schnell, verfügbar und vor allem sicher sein. Da diese Workloads jedoch immer umfangreicher und komplexer werden, muss sich auch die zugrunde liegende Infrastruktur – einschließlich der Application Delivery Controller (ADCs) – weiterentwickeln, um neuen Anforderungen gerecht zu werden. BIG-IP v21.0 stellte mit ersten Funktionen zur Unterstützung des Model Context Protocol (MCP) einen wichtigen ersten Schritt dar. Mit BIG-IP v21.1 bauen wir nun darauf auf, indem wir neue MCP-Funktionen ergänzen, experimentelle Funktionen für das Agent2Agent (A2A)-Protokoll einführen und agentenbasierten KI-Systemen einen schnellen und sicheren Zugriff auf Ressourcen ermöglichen:

Erweiterte Sicherheits- und Bereitstellungsfunktionen für das Model Context Protocol: Da KI-Anwendungen zunehmend auf MCP als schnelle, standardisierte Möglichkeit für die Interaktion von Agenten mit Anwendungen setzen, sind konsistente und sichere Datenverkehrsflüsse von entscheidender Bedeutung. BIG-IP v21.1 bietet zwei wesentliche Verbesserungen für den MCP-Datenverkehr:

• MCP-Protokollschutz mit F5 BIG-IP Advanced WAF: KI-Anwendungen, die MCP-Datenverkehr nutzen, sind häufig anfällig für neuartige Angriffe wie Tool Poisoning, die Offenlegung von Geheimnissen, Injection-Angriffe und andere Bedrohungen, die in den OWASP MCP Top 10. beschrieben werden. BIG-IP v21.1 ermöglicht die WAF-gestützte Überprüfung von MCP-Datenverkehr, sodass diese Bedrohungen proaktiv erkannt und abgewehrt werden können und der KI-Datenverkehr geschützt bleibt, ohne die Leistung zu beeinträchtigen oder die Latenz zu erhöhen.
• MCP-Sitzungspersistenz mit F5 BIG-IP Local Traffic Manager (LTM): Bei MCP-Workflows müssen Anfragen häufig konsistent an denselben Server weitergeleitet werden, um eine ordnungsgemäße Verarbeitung zu gewährleisten. Dies war bisher nicht möglich. Mit BIG-IP v21.1 führen wir die Sitzungspersistenz für MCP ein, die in vielerlei Hinsicht ähnlich wie die Cookie-Persistenz funktioniert. Wenn ein MCP-Server einem Client eine Sitzungs-ID zuweist, wird nachfolgender Datenverkehr mit dieser Sitzungs-ID an dasselbe Pool-Mitglied weitergeleitet. Dies trägt letztlich zu einer reibungsloseren und zuverlässigeren Verbindung bei.

Optimierte Agent2Agent-Konnektivität: Es ist kein Geheimnis, dass KI-Agenten zunehmend eingesetzt werden, um die Produktivität zu steigern, indem sie Aufgaben automatisieren und Entscheidungen mit minimalem menschlichem Eingreifen treffen. Es überrascht daher nicht, dass Agenten mit zunehmender Verbreitung nicht mehr nur mit Anwendungen und Datenquellen kommunizieren, sondern auch mit anderen Agenten zusammenarbeiten, um Aufgaben zu delegieren, Kontext auszutauschen und durchgängige Workflows abzuschließen. Die Herausforderung besteht darin, dass die heutige Agentenlandschaft über verschiedene Anbieter und Frameworks hinweg fragmentiert ist, was die Interoperabilität erschwert. Um dieses Problem zu lösen, hat Google das Agent2Agent-Protokoll (A2A) [AC2] (#_msocom_2) [TA3] (#_msocom_3) eingeführt, das Agenten eine standardisierte Möglichkeit bietet, miteinander zu kommunizieren und sich untereinander zu koordinieren.

Mit BIG-IP v21.1 können Sie den Datenverkehr des A2A-Protokolls jetzt nativ per Lastenausgleich verteilen, um die Konnektivität zwischen Agenten zu optimieren und zugleich durch iRules-basierte Protokollierung und Transparenz Governance-Funktionen bereitzustellen. Wichtig ist, dass diese Funktion in BIG-IP v21.1 experimentell verfügbar ist. Das bedeutet, dass sie noch nicht vollständig unterstützt wird und ausschließlich zu Evaluierungs- und Testzwecken vorgesehen ist (nicht für den Produktivbetrieb). In zukünftigen Versionen wird das Protokoll vollständig unterstützt und um neue Funktionen für die Verwaltung und Sicherheit des A2A-Datenverkehrs ergänzt.

Nahtloser, sicherer Zugriff für KI-Agenten: Agentische KI-Systeme – also Systeme, die aus autonomen, in Echtzeit agierenden Agenten bestehen – benötigen einen dynamischen und reibungslosen Zugriff auf Backend-Ressourcen wie Datenbanken, Cloud-Dienste und interne Systeme. Herkömmliche Methoden zur Verwaltung von Anmeldedaten und Authentifizierung neuer Agenten können jedoch umständlich sein. Entwickler sind dabei häufig darauf angewiesen, dass Administratoren des Zugriffsteams neue Clients autorisieren und manuell konfigurieren, was nicht immer zeiteffizient ist. Genau hier setzt glücklicherweise die neue Funktion Dynamic Client Registration (DCR) von BIG-IP Zero Trust Access in BIG-IP v21.1 an.

Mit DCR können sich agentenbasierte KI-Systeme (oder auch jede andere Anwendung) bei der Erstellung neuer Aufgaben oder Agenten sicher und mühelos bei BIG-IP Zero Trust Access als zentralem Autorisierungsserver registrieren. Anstatt auf eine manuelle Konfiguration zu warten, kann ein Agent eine API-Anfrage an den DCR-Endpunkt von BIG-IP Zero Trust Access senden, die grundlegende Angaben wie den Namen des Agenten und die erforderlichen Zugriffsberechtigungen enthält. BIG-IP Zero Trust Access validiert die Anfrage automatisch, registriert den Agenten und stellt umgehend sichere Anmeldedaten aus, wodurch der Prozess erheblich verkürzt und vereinfacht wird. Eine visuelle Darstellung dieses Prozesses finden Sie unten.

F5 BIG-IP Zero Trust Access ermöglicht die dynamische Clientregistrierung, um Zugriffsanfragen zu beschleunigen.

Wie bereits erwähnt, kann der DCR-Endpunkt verwendet werden, um jede Art von Anwendung – nicht nur KI-Systeme – für den sicheren Zugriff auf Ressourcen zu registrieren und zu genehmigen. DevOps-Teams können ihre vorhandenen CI/CD-Pipelines nutzen, um automatisch eine Zugriffsanfrage an den DCR-Endpunkt zu senden. Dadurch lassen sich die Bereitstellungszeiten von Anwendungen verkürzen und die täglichen Aufgaben der BIG-IP-Administratoren reduzieren. (Weitere Informationen zu BIG-IP Zero Trust Access finden Sie in diesem Blogbeitrag von Jay Kelley.)

Moderner API- und Protokollschutz

Mit der kontinuierlichen Weiterentwicklung von Anwendungen entwickeln sich auch die zugrunde liegenden Protokolle und APIs weiter und ermöglichen eine höhere Leistung, Skalierbarkeit und Flexibilität. Diese Fortschritte bringen jedoch auch neue Herausforderungen mit sich, da Angreifer ihren Fokus darauf verlagern, Schwachstellen und Sicherheitslücken in diesen neuen Technologien auszunutzen. Damit unsere Kunden in diesem unerbittlichen Kreislauf stets einen Schritt voraus bleiben, erweitert F5 BIG-IP Advanced WAF in BIG-IP v21.1 den Schutz auf HTTP/3-Protokolldatenverkehr sowie auf APIs, die gemäß der OpenAPI-3.1-Spezifikation definiert sind. Sehen wir uns das genauer an:

Erweiterte Sicherheit für HTTP/3-Protokolldatenverkehr: Die Verbreitung von HTTP/3 hat seit seiner Einführung im Jahr 2022 rasant zugenommen. Heute nutzen das Protokoll schätzungsweise 38 % der Websites. HTTP/2 ist zwar weiterhin vorherrschend, doch es wird allgemein erwartet, dass HTTP/3 aufgrund seiner überlegenen Leistung, Zuverlässigkeit und Effizienz HTTP/2 in den kommenden Jahren überholen wird. Da Unternehmen schrittweise zu HTTP/3 migrieren, bleibt der Schutz dieses Datenverkehrs vor webbasierten Bedrohungen unverzichtbar – und damit auch ein robuster WAF-Schutz.

Ab BIG-IP v21.1 schützt BIG-IP Advanced WAF den Datenverkehr unabhängig davon, welche HTTP-Protokollvariante Sie verwenden. WAF-Richtlinien können nun HTTP/3-Datenverkehr mit derselben Genauigkeit und Sicherheit wie HTTP/2 oder HTTP/1.1 prüfen und komplexe Angriffe wie Cross-Site-Scripting (XSS) oder SQL-Injection erkennen und blockieren. In BIG-IP v21.1 gilt diese Unterstützung zunächst nur für clientseitigen Datenverkehr. Der serverseitige Schutz soll jedoch zeitnah in zukünftigen Versionen folgen.

WAF-Schutz für APIs, die auf OpenAPI-3.1-Spezifikationen basieren: APIs bilden das Rückgrat moderner Anwendungen. Sie ermöglichen eine nahtlose Konnektivität und Kompatibilität zwischen Systemen, weshalb ihre Absicherung von entscheidender Bedeutung ist. Der OpenAPI-Standard spielt in diesem Ökosystem eine zentrale Rolle, da er einen strukturierten Rahmen für die Definition und Dokumentation von APIs bereitstellt und so Konsistenz und Interoperabilität über verschiedene Plattformen hinweg gewährleistet. Die OpenAPI-Spezifikation lässt sich als Regelwerk verstehen, das genau festlegt, wie eine API funktionieren soll – welche Endpunkte sie bereitstellt, welche Daten sie erwartet und wie sie sich verhalten soll. BIG-IP Advanced WAF nutzt dieses Regelwerk, um Ihre APIs zu schützen, indem ungewöhnliches Verhalten erkannt wird und strenge Sicherheitsrichtlinien auf Grundlage der Konzeption Ihrer APIs durchgesetzt werden.

Mit v21.1 schützt BIG-IP Advanced WAF jetzt APIs auf Grundlage der OpenAPI-3.1-Spezifikation. Dabei werden die in der OpenAPI-3.1-Spezifikation definierten zulässigen Endpunkte, Methoden, Parameter, Datentypen und Sicherheitsanforderungen erlernt und anschließend alle Anfragen blockiert, die diesen Regeln nicht entsprechen. So werden fehlerhafte Anfragen, der Missbrauch nicht dokumentierter Endpunkte und gängige API-Angriffe abgewehrt, bevor sie Ihre Anwendung erreichen. Dadurch wird sichergestellt, dass nur erwarteter und korrekt strukturierter API-Datenverkehr zugelassen wird. Frühere Versionen der OpenAPI-Spezifikation, einschließlich 2.0 und 3.0, werden selbstverständlich weiterhin unterstützt und geschützt.

Modernisierung der BIG-IP TMOS-Software

Als F5 BIG-IP Next im vergangenen Jahr einstellte, verpflichteten wir uns, unsere BIG-IP TMOS-Software zu modernisieren und dabei viele der ursprünglich für BIG-IP Next vorgesehenen Verbesserungen zu integrieren. Die Veröffentlichung von BIG-IP v21.0 war der erste Schritt auf dem Weg zu diesem Ziel, da sie erhebliche Fortschritte bei der Skalierbarkeit und Leistung der Steuerungsebene brachte. Mit v21.1 setzen wir diese Modernisierung mit zwei weiteren Aktualisierungen fort:

Einführung der neuen BIG-IP Declarative API: BIG-IP unterstützt bereits seit Langem die deklarative Automatisierung über die Application Services 3 Extension (AS3), sodass Teams Änderungen an Anwendungskonfigurationen vereinfachen und beschleunigen können. AS3 hat die Automatisierung von BIG-IP revolutioniert und erfüllt weiterhin zuverlässig die Anforderungen der meisten Bereitstellungen. Moderne Umgebungen entwickeln sich jedoch mit außergewöhnlicher Geschwindigkeit weiter. Die steigende Nachfrage nach nahezu sofortigen Konfigurationsänderungen in einem bislang unerreichten Umfang hat den Bedarf an einer neuen API der nächsten Generation deutlich gemacht.

Ich freue mich, ankündigen zu können, dass mit BIG-IP v21.1 die neue BIG-IP Declarative API eingeführt wird – zunächst allerdings als Alpha-Version. Im Gegensatz zu AS3 wird die API vollständig in die Codebasis von BIG-IP integriert, sodass kein separates Lifecycle-Management erforderlich ist. Zudem setzt sie auf ein besser skalierbares anwendungsbezogenes Modell und löst sich damit vom mandantenbezogenen Ansatz von AS3. Dadurch lassen sich große, komplexe AS3-Konfigurationen in kleinere, wiederverwendbare Module aufteilen, die einfacher zu verwalten sind und zur Risikominimierung beitragen. Darüber hinaus bietet die neue API eine wesentlich umfassendere Automatisierungsabdeckung als AS3, sodass sich die meisten Workflows und Anwendungsfälle von BIG-IP automatisieren lassen. Und sie ist schnell: Dank erheblicher Leistungsverbesserungen können Konfigurationen nahezu in Echtzeit bereitgestellt werden, wodurch BIG-IP den Betriebsanforderungen moderner Anwendungen gerecht wird. In den kommenden Monaten werden wir weitere Informationen zur BIG-IP Declarative API veröffentlichen – bleiben Sie also gespannt.

Weitere Verbesserungen an der Steuerungsebene: Wir haben in v21.0 mit der Modernisierung der BIG-IP Steuerungsebene begonnen (weitere Informationen finden Sie hier), und dieses Thema wird uns auch in v21.1 und den nachfolgenden Versionen begleiten. Dieses neueste Update bringt erhebliche Verbesserungen in drei zentralen Bereichen – MCPd, iControl REST und dem BigD-Daemon –, um die Zuverlässigkeit und Leistung der Steuerungsebene zu steigern und gleichzeitig die Ressourcennutzung zu optimieren.

Die iControl REST API verarbeitet Anfragen schneller und verkürzt dadurch die durchgängigen Konfigurationszeiten um bis zu 10 %. Dank ihrer höheren Effizienz sinkt die CPU- und Speicherauslastung, sodass mehr Ressourcen für andere wichtige Funktionen der Steuerungsebene zur Verfügung stehen. MCPd, der zentrale Prozess zur Verwaltung von BIG-IP-Konfigurationen, wurde optimiert, um bei geringem Arbeitsspeicher stabiler zu arbeiten und den Systemstart sowie das Laden von Konfigurationen zu beschleunigen. Schließlich nutzt BigD, der Daemon von BIG-IP zur Überwachung des Anwendungszustands, nun Multithreading, um die Skalierbarkeit der Überwachung zu verbessern und den Gesamtressourcenverbrauch zu reduzieren.

Die Modernisierung der Steuerungsebene hat für uns weiterhin höchste Priorität. Daher sind in BIG-IP v22.x und darüber hinaus weitere Verbesserungen zu erwarten.

Und das ist noch nicht alles …

Die in diesem Blog vorgestellten Verbesserungen sind tatsächlich nur die Spitze des Eisbergs, wenn es um die für BIG-IP v21.1 geplanten neuen Funktionen geht. Zusätzlich zu allem, was hier beschrieben wurde, erwarten Sie unter anderem die ACMEv2-Zertifikatsautomatisierung, natives IPSec-VPN-Tunneling, richtlinienbasiertes Egress-Routing und Multi-Faktor-Authentifizierung für die Verwaltungsebene von BIG-IP.

Abschließend finden Sie hier einige wichtige Hinweise zum Release sowie eine Reihe nützlicher Ressourcen, falls Sie ein Upgrade auf BIG-IP v21.1 planen:

• Unterstützte Plattformen: BIG-IP v21.1 (und zukünftige Softwareversionen) kann nicht auf älteren Hardwareplattformen wie iSeries und VIPRION ausgeführt werden. Wenn Sie derzeit eines dieser Systeme verwenden und ein Upgrade auf v21.1 planen, müssen Sie entweder auf die Hardwareplattformen der aktuellen Generation von F5 migrieren – rSeries oder VELOS – oder auf BIG-IP Virtual Edition umsteigen. Eine vollständige Liste der unterstützten Plattformen und Softwarekombinationen finden Sie in der F5-Kompatibilitätsmatrix für Hardware und Software.
• Aktualisierung des Softwarelebenszyklus: Im Rahmen der kontinuierlichen Bemühungen von F5, die Softwarequalität zu verbessern und die Umgebungen unserer Kunden zu schützen, gilt ab BIG-IP v21.1 für alle neuen Softwareversionen mit langfristiger Stabilität (vX.1) ein dreijähriger Softwarelebenszyklus. Dadurch verringert sich die Anzahl der gleichzeitig unterstützten Softwareversionen, sodass F5 mehr Entwicklungs- und Supportressourcen auf aktuelle und zukünftige Versionen konzentrieren kann. Dies ermöglicht schnellere Innovationen und Fehlerbehebungen, eine bessere Reaktion auf Sicherheitsbedrohungen sowie eine insgesamt höhere Softwarequalität. Die neuesten Informationen zum Softwarelebenszyklus von BIG-IP finden Sie in der Richtlinie für den BIG-IP-Software-Support.
• BIG-IQ-Kompatibilität: Für BIG-IQ-Benutzer, die BIG-IP v21.1 möglichst bald einsetzen möchten, wird F5 in Kürze BIG-IQ v8.4.2 veröffentlichen, das mit BIG-IP v21.1 interoperabel sein wird.

Weitere Informationen finden Sie in den Versionshinweisen und melden Sie sich für unser Webinar am 28. Mai an. Sie können F5 BIG-IP v21.1 auch hier herunterladen.

Über den Autor

Tom AtkinsLeitender Produktmarketingmanager | F5

Weitere Blogbeiträge von Tom Atkins