Considerações práticas sobre a nuvem: segurança

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

A computação em nuvem pode ser barata, mas não é gratuita.

Atualmente, a grande maioria dos aplicativos é disponibilizada por meio de HTTP seguro. Isso significa usar TLS ou o SSL, cada vez mais malvisto. Significa usar criptografia, que tradicionalmente tem sido associada a problemas de desempenho.

Graças aos avanços tecnológicos, as CPUs são incrivelmente rápidas hoje em dia, e muitos dispositivos clientes (e servidores) incorporam nativamente recursos que antes exigiam hardware criptográfico especializado. Isso significa que, por conexão, a velocidade já não é um problema tão significativo para a criptografia quanto costumava ser.

Mas isso não significa que a criptografia tenha deixado de gerar custos operacionais e de desempenho.

A maioria dos argumentos que rejeitam a ideia de que a criptografia seja uma fonte significativa de problemas de desempenho se baseia em cenários simples que envolvem um cliente e um servidor. Isso representa um processo de criptografia e um único processo de descriptografia. E, nesses cenários, os céticos estão, em grande parte, corretos. A latência introduzida pela criptografia e pela descriptografia é mínima e, normalmente, é menos preocupante do que a sobrecarga relacionada ao TCP e à rede.

Mas as aplicações atuais não são compostas por um único endpoint. Há vários intermediários e proxies pelos quais uma mensagem precisa passar antes mesmo de chegar a esse "único endpoint". São endpoints de segurança e controle de acesso, balanceamento de carga e roteamento. Cada um precisa inspecionar a mensagem — sem criptografia — para desempenhar sua função específica na complexa coreografia que é o caminho de dados moderno.

É aqui que o argumento de que a criptografia não é tão dispendiosa começa a perder força. Isoladamente, um único endpoint introduz pouquíssima latência. Porém, quando isso se repete várias vezes em cada um dos endpoints no caminho dos dados, essas latências individuais se acumulam e se tornam mais perceptíveis e, especialmente no caso da nuvem pública, operacionalmente dispendiosas.

A criptografia é, por natureza, um processo que exige muitos recursos computacionais. Isso significa que criptografar ou descriptografar uma mensagem consome muito mais ciclos de CPU do que executar a lógica de negócios. Na nuvem, os ciclos de CPU equivalem a dinheiro gasto. Em geral, esse é um custo aceitável, pois o objetivo é transferir os custos de capital para as despesas operacionais.

Mas os custos começam a se acumular quando você descriptografa e criptografa uma mensagem várias vezes. Na prática, você está pagando pelo mesmo processo criptográfico várias vezes. O que poderia custar apenas um centavo se executado uma vez passa a custar cinco centavos quando executado cinco vezes. Ao fazer as contas para as centenas de milhares de transações realizadas ao longo de um dia (ou de uma hora), os custos resultantes são exorbitantes.

Lembre-se também de que cada ciclo de CPU consumido pelo processamento criptográfico é um ciclo de CPU que deixa de ser dedicado à lógica de negócios. Isso significa que será necessário escalar horizontalmente antes do desejado, gerando ainda mais custos à medida que cada instância adicional for iniciada para lidar com a carga.

Basta dizer que o conceito de "SSL em todos os lugares" não deve resultar em arquiteturas de "descriptografia em todos os lugares" na nuvem.

Descriptografe uma única vez

Para reduzir os custos e maximizar a eficiência das CPUs pelas quais você está pagando, vale a pena dedicar tempo para projetar sua arquitetura baseada em nuvem de acordo com o princípio de "descriptografar uma única vez". "Descriptografar uma única vez" significa minimizar o número de endpoints no caminho dos dados que precisam descriptografar e criptografar novamente as mensagens em trânsito.

Para isso, é necessário planejamento e uma análise cuidadosa dos dezesseis diferentes serviços de aplicativos que você usa atualmente para proteger e dimensionar aplicações. Se você não estiver sujeito a regulamentações ou requisitos que exijam criptografia de ponta a ponta, projete o caminho dos dados de modo que as mensagens sejam descriptografadas o mais cedo possível, evitando ciclos adicionais desperdiçados com descriptografia posteriormente. Se for necessário manter a criptografia de ponta a ponta, combinar serviços sempre que possível permitirá o uso mais eficiente dos recursos computacionais.

Combinar os serviços que for possível — por exemplo, o balanceamento de carga com o firewall de aplicações web — em uma única plataforma significa reduzir o número de vezes que é necessário descriptografar as mensagens em trânsito. Isso também oferece a vantagem adicional de reduzir o número de conexões e o tempo na rede, o que se traduz em ganhos de desempenho para usuários e consumidores. Mas a verdadeira economia está nos ciclos de CPU que não são gastos com repetidas operações de descriptografia e recriptografia.

Pode parecer perda de tempo considerar o impacto da criptografia e da descriptografia em um aplicativo que hoje é pouco utilizado. A economia de alguns centavos certamente não cobre o custo desse esforço. Mas, à medida que os aplicativos crescem, ganham escala e permanecem em uso ao longo do tempo, esses centavos se acumulam e se transformam em valores significativos. Sem falar que, assim como os centavos, os microssegundos também se acumulam. Ao considerar o impacto da criptografia em todo o caminho dos dados, você pode obter benefícios de longo prazo tanto para os usuários quanto para a empresa.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie