F5 BIG-IP v21.1 já está disponível para o público em geral, trazendo melhorias de segurança para PQC e IA

Tom AtkinsGerente Principal de Marketing de Produto | F5

Há dois meses, no AppWorld, a F5 fez o pré-anúncio do BIG-IP v21.1, uma versão voltada para reforçar a preparação para a criptografia pós-quântica (PQC), modernizar o BIG-IP TMOS e adicionar novos recursos para proteger cargas de trabalho de IA e tecnologias emergentes.

Hoje, essa prévia se torna realidade com a disponibilidade geral do BIG-IP v21.1, repleto dos recursos que vocês, nossos clientes e parceiros, vêm solicitando. Abaixo, você encontrará um resumo dos novos recursos mais importantes que agora fazem parte do BIG-IP v21.1, além de informações e materiais úteis relacionados ao lançamento. Então, vamos conferir as novidades do BIG-IP v21.1.

Preparação para PQC

Dependendo de quem você perguntar, o “Dia Q” está logo ali ou ainda levará alguns anos para chegar. De qualquer forma, a ameaça de “coletar agora, descriptografar depois” — em que dados criptografados são armazenados hoje com a intenção de descriptografá-los quando os computadores quânticos tiverem essa capacidade no futuro — torna crítica a necessidade de PQC já nos dias de hoje.

O BIG-IP deu seus primeiros passos rumo à preparação para PQC na versão 17.5.0, com suporte à troca híbrida de chaves X25519_ML-KEM-768 no TLS 1.3. Mas isso foi apenas o começo. A cada versão, o BIG-IP continua ampliando seus recursos de PQC, e o BIG-IP v21.1 traz duas atualizações importantes:

Suporte a cifras de PQC adicionais em conformidade com o NIST: À medida que os computadores quânticos se aproximam da viabilidade para uso generalizado, algoritmos criptográficos existentes, como RSA e ECC, correm o risco de se tornar obsoletos. Diante disso, o Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) liderou um esforço global para padronizar algoritmos de PQC capazes de resistir a ataques realizados com o uso de computação quântica. O resultado? Os grupos de cifras SecP+ML-KEM, alinhados aos padrões FIPS 203, foram escolhidos por sua capacidade de oferecer criptografia híbrida. Essas cifras combinam métodos criptográficos tradicionais (SecP) com algoritmos resistentes à computação quântica (ML-KEM), ajudando a garantir a segurança hoje e no futuro.

Para clientes que precisam estar em conformidade com as diretrizes do NIST e os padrões FIPS, especialmente aqueles do setor público e de outros setores regulamentados, a adoção de SecP + ML-KEM é fundamental para proteger sua infraestrutura. Para atender a esses requisitos, o BIG-IP oferecerá suporte a dois novos grupos de cifras de PQC em conformidade com o NIST na versão 21.1:

• SecP256r1ML-KEM-768
• SecP384r1ML-KEM-1024

No lançamento, haverá suporte a esses recursos tanto para conexões do lado do cliente quanto do servidor, além de serem habilitados casos de uso do SSL Forward Proxy. (Você pode encontrar mais informações sobre os aprimoramentos de PQC do BIG-IP v21.1s neste blog de Rachael Shah, da F5.)

Tunelamento de VPN TLS/SSL resistente à computação quântica: O tunelamento de VPN surgiu no final da década de 1990 como uma forma de proteger a transmissão de dados em redes públicas ou privadas por meio da criação de um túnel criptografado entre um cliente e um servidor. Por quase três décadas, os túneis de VPN impediram com sucesso que informações confidenciais caíssem em mãos erradas. No entanto, o avanço da computação quântica dará aos invasores o poder computacional necessário para quebrar os métodos tradicionais de criptografia e acessar esses dados.

Para combater isso, F5 BIG-IP Zero Trust Access (anteriormente BIG_IP APM) v21.1 introduzirá o tunelamento de VPN TLS/SSL resistente à computação quântica, com suporte à cifra X25519 + ML-KEM-768. Como mencionado acima, isso oferecerá suporte a conexões de ponta a ponta tanto no lado do cliente quanto no lado do servidor, proporcionando proteção abrangente para túneis de VPN modernos e mantendo a conformidade com as diretrizes do NIST e os padrões FIPS 203. Para organizações que preferem usar VPNs IPSec em vez de VPNs TLS/SSL, espera-se que o BIG-IP Zero Trust Access adicione, em um futuro não muito distante, suporte semelhante a tunelamento IPSec seguro contra ameaças quânticas.

Aprimoramentos na entrega, segurança e acesso a cargas de trabalho de IA

Em essência, os requisitos das cargas de trabalho de IA são muito semelhantes aos de outras aplicações: elas precisam ser rápidas, estar disponíveis e, acima de tudo, ser seguras. Porém, à medida que essas cargas de trabalho aumentam em escala e sofisticação, a infraestrutura que as sustenta, incluindo os controladores de entrega de aplicações (ADCs), também precisa evoluir para atender às novas demandas. BIG-IP v21.0 deu um primeiro passo importante ao fornecer um conjunto inicial de recursos compatíveis com o Model Context Protocol (MCP). Agora, com o BIG-IP v21.1, estamos ampliando esse trabalho ao adicionar novas funcionalidades de MCP, introduzir recursos experimentais para o protocolo Agent2Agent (A2A) e proporcionar aos sistemas de IA agêntica acesso rápido e seguro aos recursos:

Recursos ampliados de segurança e entrega para o Model Context Protocol: À medida que os aplicativos de IA dependem cada vez mais do MCP como uma forma rápida e padronizada de os agentes interagirem com os aplicativos, é essencial manter fluxos de tráfego consistentes e seguros. O BIG-IP v21.1 apresenta duas melhorias significativas para o tráfego MCP:

• Proteção do protocolo MCP com F5 BIG-IP Advanced WAF: os aplicativos de IA que utilizam tráfego MCP costumam ser vulneráveis a novos tipos de ataque, como envenenamento de ferramentas, exposição de segredos, ataques de injeção e outras ameaças descritas no OWASP MCP Top 10. O BIG-IP v21.1 adiciona inspeção de MCP habilitada para WAF, permitindo a detecção e a mitigação proativas dessas ameaças e mantendo o tráfego de IA seguro sem afetar o desempenho nem a latência.
• Persistência de sessão MCP com F5 BIG-IP Local Traffic Manager (LTM): os fluxos de trabalho MCP geralmente exigem que as solicitações sejam encaminhadas de forma consistente ao mesmo servidor para garantir o processamento adequado, o que antes não era possível. Com o BIG-IP v21.1, estamos introduzindo a persistência de sessão para MCP, que funciona de maneira semelhante à persistência de cookies em muitos aspectos. Isso significa que, quando um servidor MCP emite um ID de sessão para um cliente, o tráfego subsequente que contém esse ID de sessão é encaminhado ao mesmo membro do pool, ajudando a garantir uma conexão mais estável e confiável.

Conectividade Agent2Agent otimizada: Não é segredo que os agentes de IA estão sendo cada vez mais usados para aumentar a produtividade, automatizando tarefas e tomando decisões com o mínimo de intervenção humana. Como era de se esperar, à medida que a adoção de agentes cresce, eles deixam de se comunicar apenas com aplicativos e fontes de dados e passam a colaborar com outros agentes para delegar tarefas, compartilhar contexto e concluir fluxos de trabalho de ponta a ponta. O desafio é que o cenário atual de agentes está fragmentado entre diferentes fornecedores e frameworks, o que dificulta a interoperabilidade. Para resolver isso, o Google apresentou o protocolo Agent2Agent (A2A) [AC2] (#_msocom_2) [TA3] (#_msocom_3), que oferece uma maneira padronizada para os agentes se comunicarem e se coordenarem entre si.

Com o BIG-IP v21.1, agora você pode balancear nativamente a carga do tráfego do protocolo A2A para otimizar a conectividade entre agentes, além de adicionar governança por meio de registros e visibilidade baseados em iRules. É importante ressaltar que esse recurso está disponível em caráter experimental no BIG-IP v21.1, o que significa que ainda não conta com suporte completo e se destina apenas a fins de avaliação e teste (não para uso em produção). Em versões futuras, o protocolo contará com suporte completo e novos recursos de gerenciamento e segurança do tráfego A2A.

Acesso seguro e contínuo para agentes de IA: Os sistemas de IA agêntica — compostos por agentes autônomos que operam em tempo real — exigem acesso dinâmico e fluido a recursos de back-end, como bancos de dados, serviços de nuvem e sistemas internos. No entanto, os métodos tradicionais de gerenciamento de credenciais e autenticação de novos agentes podem ser trabalhosos, muitas vezes fazendo com que os desenvolvedores dependam dos administradores da equipe de acesso para autorizar e configurar manualmente novos clientes, o que nem sempre é eficiente em termos de tempo. Felizmente, é aí que entra o novo recurso de Registro Dinâmico de Clientes (DCR) do BIG-IP Zero Trust Access no BIG-IP v21.1.

Com o DCR, os sistemas de IA agêntica (ou qualquer outro aplicativo) podem se registrar de forma segura e simples no BIG-IP Zero Trust Access, que atua como servidor central de autorização, sempre que novas tarefas ou agentes são criados. Em vez de aguardar a configuração manual, um agente pode enviar uma solicitação de API ao endpoint de DCR do BIG-IP Zero Trust Access, incluindo informações básicas, como o nome do agente e as permissões de acesso necessárias. O BIG-IP Zero Trust Access valida automaticamente a solicitação, registra o agente e emite credenciais seguras de forma imediata, reduzindo e simplificando significativamente o processo. Abaixo, você encontra uma representação visual desse processo.

O F5 BIG-IP Zero Trust Access permite o registro dinâmico de clientes para agilizar as solicitações de acesso.

Como mencionado anteriormente, o endpoint de DCR pode ser usado para registrar e aprovar qualquer tipo de aplicativo — não apenas sistemas de IA — para acesso seguro a recursos. As equipes de DevOps podem utilizar seus pipelines de CI/CD existentes para enviar automaticamente uma solicitação de acesso ao endpoint de DCR, ajudando a reduzir o tempo de implantação de aplicativos e a carga de trabalho diária dos administradores do BIG-IP. (Saiba mais sobre o BIG-IP Zero Trust Access neste artigo do blog de Jay Kelley.)

Proteção moderna de APIs e protocolos

À medida que os aplicativos evoluem, os protocolos e as APIs que lhes dão suporte também evoluem, proporcionando melhor desempenho, escalabilidade e flexibilidade. No entanto, esses avanços também trazem novos desafios, pois os invasores mudam seu foco para explorar pontos fracos e vulnerabilidades nessas tecnologias emergentes. Para ajudar nossos clientes a se manterem à frente nesse ciclo implacável, F5 BIG-IP Advanced WAF está adicionando proteção tanto para o tráfego do protocolo HTTP/3 quanto para APIs definidas pela especificação OpenAPI 3.1 no BIG-IP v21.1. Vamos analisar mais detalhadamente:

Segurança avançada para o tráfego do protocolo HTTP/3: A adoção do HTTP/3 vem se acelerando rapidamente desde seu lançamento em 2022, e estima-se que 38% dos sites já utilizem o protocolo atualmente. Embora o HTTP/2 ainda seja predominante, espera-se que o desempenho, a confiabilidade e a eficiência superiores do HTTP/3 façam com que sua adoção ultrapasse a do HTTP/2 nos próximos anos. À medida que as organizações migram gradualmente para o HTTP/3, a necessidade de proteger esse tráfego contra ameaças da Web não diminui, reforçando a importância contínua de uma proteção robusta de WAF.

A partir do BIG-IP v21.1, o BIG-IP Advanced WAF protege o tráfego independentemente da variante do protocolo HTTP utilizada. Agora, as políticas de WAF podem inspecionar o tráfego HTTP/3 com o mesmo nível de precisão e segurança oferecido para HTTP/2 ou HTTP/1.1, identificando e bloqueando ataques sofisticados, como cross-site scripting (XSS) ou injeção de SQL. Inicialmente, no BIG-IP v21.1, esse suporte se aplica apenas ao tráfego do lado do cliente. No entanto, espera-se que a proteção do lado do servidor seja disponibilizada logo em seguida, em versões futuras.

Proteção de WAF para APIs criadas com base nas especificações do OpenAPI 3.1: As APIs são a espinha dorsal das aplicações modernas, permitindo conectividade e compatibilidade perfeitas entre sistemas, e mantê-las seguras é fundamental. O padrão OpenAPI desempenha um papel essencial nesse ecossistema ao fornecer uma estrutura organizada para definir e documentar APIs, garantindo consistência e interoperabilidade entre diferentes plataformas. Você pode pensar na especificação OpenAPI como um conjunto de regras que define exatamente como uma API deve funcionar — quais endpoints ela expõe, quais dados espera receber e como deve se comportar. O BIG-IP Advanced WAF usa esse conjunto de regras para proteger suas APIs, identificando qualquer comportamento incomum e aplicando políticas de segurança rigorosas com base na forma como elas foram projetadas.

Com a versão 21.1, o BIG-IP Advanced WAF agora protege APIs com base na especificação OpenAPI 3.1. Ele identifica os endpoints, métodos, parâmetros, tipos de dados e requisitos de segurança permitidos definidos na especificação OpenAPI 3.1 e, em seguida, bloqueia todas as solicitações que não correspondam a essas regras. Isso impede que solicitações malformadas, o uso indevido de endpoints não documentados e ataques comuns a APIs cheguem à sua aplicação, garantindo que somente o tráfego de API esperado e devidamente estruturado seja permitido. As versões anteriores da especificação OpenAPI, incluindo a 2.0 e a 3.0, continuarão, naturalmente, a receber suporte e proteção.

Modernização do software BIG-IP TMOS

Quando a F5 descontinuou o BIG-IP Next no ano passado, assumimos o compromisso de modernizar nosso software BIG-IP TMOS, integrando muitos dos aprimoramentos originalmente previstos para o BIG-IP Next. O lançamento do BIG-IP v21.0 foi o primeiro passo rumo a esse objetivo, trazendo avanços significativos na escalabilidade e no desempenho do plano de controle. Com a v21.1, damos continuidade a essa jornada de modernização com mais duas atualizações:

Apresentamos a nova API declarativa do BIG-IP: Há muito tempo, o BIG-IP oferece suporte à automação declarativa por meio da Application Services 3 Extension (AS3), permitindo que as equipes simplifiquem e acelerem as alterações na configuração de aplicações. Embora a AS3 tenha revolucionado a automação do BIG-IP e continue atendendo com eficácia às necessidades da maioria das implantações, os ambientes modernos estão evoluindo em um ritmo extraordinário. A crescente demanda por alterações de configuração quase instantâneas em uma escala sem precedentes evidenciou a necessidade de uma nova API de última geração.

Tenho o prazer de anunciar que o BIG-IP v21.1 apresentará — embora inicialmente em estado Alfa — a nova API declarativa do BIG-IP. Ao contrário do AS3, a API será totalmente integrada à base de código do BIG-IP, eliminando a necessidade de um gerenciamento separado do ciclo de vida. Ela também adotará um modelo por aplicativo mais escalável, deixando para trás a arquitetura por locatário do AS3 e permitindo dividir configurações grandes e complexas do AS3 em módulos menores e reutilizáveis, mais fáceis de gerenciar e que ajudam a reduzir riscos. Além disso, a nova API oferece uma cobertura de automação muito mais ampla do que o AS3, permitindo automatizar a maioria dos fluxos de trabalho e casos de uso do BIG-IP. E ela é rápida: melhorias significativas de desempenho permitem implantar configurações quase em tempo real, adequando o BIG-IP às condições operacionais das aplicações modernas. Compartilharemos mais informações sobre a API declarativa do BIG-IP nos próximos meses. Fique de olho.

Aprimoramentos contínuos do plano de controle: Começamos a modernizar o plano de controle do BIG-IP na versão 21.0 (mais informações disponíveis aqui), e esse será um tema recorrente na versão 21.1 e nas versões subsequentes. Esta atualização mais recente traz melhorias significativas em três áreas principais — MCPd, iControl REST e o daemon BigD — com o objetivo de aumentar a confiabilidade e o desempenho do plano de controle, além de otimizar a utilização de recursos.

A API iControl REST processará as solicitações com mais rapidez, reduzindo em até 10% o tempo de configuração de ponta a ponta. Sua maior eficiência reduz o consumo de CPU e memória, liberando recursos para outras funções essenciais do plano de controle. O MCPd, processo central responsável por gerenciar as configurações do BIG-IP, foi aprimorado para oferecer maior resiliência em condições de pouca memória e acelerar as tarefas de inicialização do sistema e carregamento de configurações. Por fim, o BigD, daemon de monitoramento da integridade de aplicações do BIG-IP, agora utiliza multithreading para aumentar a escalabilidade do monitoramento e reduzir o consumo total de recursos.

Aprimorar o plano de controle continua sendo uma de nossas principais prioridades, portanto, espere novas melhorias no BIG-IP v22.x e em versões posteriores.

E isso não é tudo…

Os aprimoramentos abordados neste blog são apenas a ponta do iceberg quando se trata dos novos recursos planejados para o BIG-IP v21.1. Além de tudo o que foi apresentado aqui, você pode esperar automação de certificados ACMEv2, tunelamento VPN IPSec nativo, roteamento de saída baseado em políticas, autenticação multifator para o plano de gerenciamento do BIG-IP e muito mais.

Para concluir, se você está planejando fazer a atualização para o BIG-IP v21.1, confira alguns lembretes importantes sobre a versão, além de diversos recursos úteis:

• Plataformas compatíveis: O BIG-IP v21.1 (e versões futuras do software) não será executado em plataformas de hardware legadas, como iSeries e VIPRION. Se você usa atualmente um desses sistemas e pretende atualizar para a v21.1, precisará migrar para as plataformas de hardware de geração atual da F5 — rSeries ou VELOS — ou fazer a transição para o BIG-IP Virtual Edition. Para conferir a lista completa de plataformas compatíveis e combinações de hardware e software, consulte a Matriz de compatibilidade de hardware/software da F5.
• Atualização do ciclo de vida do software: Como parte do esforço contínuo da F5 para melhorar a qualidade do software e manter seguros os ambientes de nossos clientes, a partir do BIG-IP v21.1, todas as novas versões de software de estabilidade de longo prazo (vX.1) passarão a ter um ciclo de vida de três anos. Isso reduz o número de versões de software com suporte simultâneo, permitindo que a F5 concentre mais recursos de engenharia e suporte nas versões atuais e futuras. Isso significa inovação acelerada, correções mais rápidas, maior capacidade de resposta a questões de segurança e melhor qualidade geral do software. Para consultar as informações mais recentes sobre o ciclo de vida do software BIG-IP, consulte a Política de suporte de software do BIG-IP.
• Compatibilidade com o BIG-IQ: Para os usuários do BIG-IQ que desejam começar a usar o BIG-IP v21.1, a F5 lançará em breve o BIG-IQ v8.4.2, que incluirá interoperabilidade com o BIG-IP v21.1.

Para saber mais, consulte as notas de versão e inscreva-se em nosso webinar de 28 de maio. Você também pode baixar o F5 BIG-IP v21.1 aqui.

Sobre o autor

Tom AtkinsGerente Principal de Marketing de Produto | F5

Mais publicações de Tom Atkins