Uma rede unidirecional (também conhecida como porta de entrada unidirecional ou diodo de dados) é um dispositivo ou dispositivo de rede que permite que os dados trafeguem em apenas uma direção. Os diodos de dados podem ser encontrados mais comumente em ambientes de alta segurança, como defesa, onde servem como conexões entre duas ou mais redes de diferentes classificações de segurança. Dada a ascensão da Internet das coisas (IOT) e da digitalização industriais, essa tecnologia agora pode ser encontrada no nível de controle industrial para instalações como as de usinas de energia nuclear, geração de energia e sistemas críticos de segurança, como redes ferroviárias.

Após anos de desenvolvimento, os diodos de dados evoluíram de apenas um dispositivo ou dispositivo de rede que permite que dados brutos viajem apenas em uma direção, usados para garantir a segurança da informação ou a proteção de sistemas digitais críticos, como sistemas de controle industrial, de ataques cibernéticos de entrada, para combinações de hardware e software em execução em computadores proxies nas redes de origem e destino. O hardware reforça a unidirecionalidade física e o software replica bancos de dados e emula servidores de protocolo para lidar com a comunicação bidirecional. Os diodos de dados agora são capazes de transferir vários protocolos e tipos de dados simultaneamente. Eles contêm uma gama mais ampla de recursos de segurança cibernética, como inicialização segura, gerenciamento de certificados, integridade de dados, correção de erros de encaminhamento (FEC), comunicação segura via Segurança da Vamada de Transporte (TLS), entre outros. Uma característica única é que os dados são transferidos de forma determinística (para locais pré-determinados) com uma "quebra" de protocolo que permite que os dados sejam transferidos através do diodo de dados.

Os diodos de dados são comumente encontrados em ambientes militares e governamentais de alta segurança e agora estão se tornando amplamente difundidos em setores como petróleo e gás, água/águas residuais, aviões (entre unidades de controle de voo e sistemas de entretenimento a bordo), manufatura e conectividade em nuvem para aplicações de Internet das coisas (IOT) industrial. Novos regulamentos aumentaram a demanda e, com o aumento da capacidade, os principais fornecedores de tecnologia reduziram o custo da tecnologia principal.

História

thumb|648x648px|Porta de entrada unidirecional em um gabinete Os primeiros diodos de dados foram desenvolvidos por organizações governamentais nos anos oitenta e noventa. Como essas organizações trabalham com informações confidenciais, garantir a segurança de suas redes é a mais alta prioridade. As soluções primárias usadas por essas organizações foram as lacunas de ar. Mas, à medida que a quantidade de dados transferíveis aumentou e um fluxo de dados contínuo e em tempo real tornou-se mais importante, essas organizações tiveram que procurar uma solução automatizada.

Na busca por mais padronização, um número cada vez maior de organizações passou a buscar uma solução que melhor se adequasse às suas atividades. As soluções comerciais criadas por organizações estáveis foram bem-sucedidas devido ao nível de segurança e suporte de longo prazo.

Nos Estados Unidos, concessionárias e empresas de petróleo e gás usam diodos de dados há vários anos, e os reguladores incentivam seu uso para proteger equipamentos e processos em sistemas instrumentados de segurança (SISs). A Comissão Reguladora Nuclear (NRC) agora exige o uso de diodos de dados e muitos outros setores, além de elétrico e nuclear, também usam diodos de dados de forma eficaz.

Na Europa, reguladores e operadores de vários sistemas críticos de segurança começaram a recomendar e implementar regulamentos sobre o uso de portas de entradas unidirecionais.

Em 2013, a segurança cibernética de sistemas de controle industrial, dirigida pela Agência Nacional Francesa para a Segurança dos Sistemas de Informação (ANSSI), declarou que é proibido usar firewalls para conectar qualquer rede de classe 3, como sistemas de comutação ferroviária, a uma rede de classe inferior ou rede corporativa , apenas a tecnologia unidirecional é permitida.

Aplicações Monitoramento de redes críticas de segurança em tempo real; Tecnologia Operacional (OT) Segura – ponte de Tecnologia da Informação (IT); Conectividade com nuvem segura de redes de Tecnologia Operacional (OT) críticas; Replicação de banco de dados; Mineração de dados; Soluções de back-end e hospedadas em nuvens híbridas confiáveis; Troca de dados segura para mercados de dados; Provisionamento de credenciais/certificados seguro; Compartilhamento entre bancos de dados cruzados seguro; Impressão segura a partir de uma rede menos segura para uma rede altamente segura (reduzindo os custos de impressão); Transferência de atualizações de aplicativos e sistemas operacionais, a partir de uma rede menos segura, para uma rede altamente segura; Sincronização de hora em redes altamente seguras; Tranferência de arquivos; Transmissões de vídeos; Envio/recebimento de alertas ou alarmes, a partir de redes abertas, para redes críticas/confidenciais; Envio/recebimento de correspondência eletrônica (e-mails), a partir de redes abertas, para redes críticas/confidenciais; Governos; Empresas comerciais.

Uso Dispositivos de redes unidirecionais são normalmente usados para garantir a segurança ou a proteção das informações de sistemas digitais críticos, como sistemas de controles industriais, contra ataques cibernéticos. Embora o uso desses dispositivos seja comum em ambientes de alta segurança, como defesa, onde eles servem como conexões entre duas ou mais redes de diferentes classificações de segurança, a tecnologia também está sendo usada para impor a saída de comunicações unidirecionais a partir de sistemas digitais críticos para redes que não são confiáveis conectadas à Internet.

A natureza física das redes unidirecionais permite apenas que os dados passem a partir de um lado de uma conexão de rede para outro, e não o contrário. Isso pode ser a partir do "lado baixo" (ou rede que não é confiável) para o "lado alto" (ou rede confiável) ou vice-versa. No primeiro caso, os dados na rede do lado alto são mantidos confidenciais e os usuários retêm o acesso aos dados a partir do lado baixo.Slay, J. & Turnbull, B. 2004, 'The Uses and Limitations of Unidirectional Network Bridges in a Secure Electronic Commerce Environment', artigo apresentado na Conferência INC 2004, Plymouth, Reino Unido, 6 a 9 de julho de 2004 Essa funcionalidade pode ser atraente se os dados confidenciais forem armazenados em uma rede que exija conectividade com a Internet: o lado superior pode receber dados da Internet a partir do lado inferior, mas nenhum dado do lado superior é acessível para intrusão baseada na Internet. No segundo caso, um sistema físico de segurança crítica pode ser disponibilizado para monitoramento on-line e, ainda assim, ser isolado de todos os ataques baseados na Internet que possam tentar causar danos físicos. Em ambos os casos, a conexão permanece unidirecional mesmo que tanto a rede baixa quanto a rede alta sejam comprometidas, pois as garantias de segurança são de natureza física.

Existem dois modelos gerais para usar conexões de rede unidirecionais. No modelo clássico, o propósito do diodo de dados é prevenir a exportação de dados classificados a partir de uma máquina segura enquanto permite a importação de dados a partir de uma máquina insegura. No modelo alternativo, o diodo é usado para permitir a exportação de dados a partir de uma máquina protegida, evitando ataques a essa máquina. Estas estão descritas em mais detalhes abaixo.

Fluxo unidirecional para sistemas menos seguros Envolve sistemas que devem ser protegidos contra ataques remotos/externos a partir de redes públicas durante a publicação de informações nessas redes. Por exemplo, um sistema de gestão eleitoral usado com votação eletrônica deve disponibilizar os resultados eleitorais ao público e, ao mesmo tempo, deve ser imune a ataques.Douglas W. Jones and Tom C. Bowersox, Secure Data Export and Auditing Using Data Diodes, Proceedings of the 2006 USENIX/ACCURATE Electronic Voting Technology Workshop, 1 de agosto de 2006, Vancouver.

Este modelo é aplicável a uma variedade de problemas de proteção de infraestrutura crítica, onde a proteção dos dados em uma rede é menos importante do que o controle confiável e a operação correta da rede. Por exemplo, o público que vive a jusante de uma barragem precisa de informações atualizadas sobre o escoamento, e a mesma informação é uma entrada crítica para o sistema de controle das comportas. Em tal situação, é fundamental que o fluxo de informações seja a partir do sistema de controle seguro para o público, e não vice-versa.

Fluxo unidirecional para sistemas mais seguros A maioria dos aplicativos de redes unidirecionais nesta categoria está nas defesas e em fornecedores de defesa. Essas organizações tradicionalmente têm aplicado lacunas de ar para manter os dados classificados fisicamente separados, a partir, de qualquer conexão da Internet. Com a introdução de redes unidirecionais, em alguns desses ambientes, um grau de conectividade pode existir com segurança entre uma rede com dados classificados e uma rede com conexão à Internet.

No modelo de segurança de Bell e LaPadula, os usuários de um sistema de computador só podem criar dados em seu próprio nível de segurança ou acima dele. Isso se aplica em contextos onde há uma hierarquia de classificação de informações. Se os usuários em cada nível de segurança compartilharem uma máquina dedicada a esse nível, e se as máquinas estiverem conectadas por diodos de dados, as restrições de Bell – Lapadula podem ser impostas rigidamente.Curt A. Nilsen, Method for Transferring Data from an Unsecured Computer to a Secured Computer, U.S. Patent 5,703,562, 30 de dezembro dr 1997.

Benefícios Tradicionalmente, quando a rede de tecnologia da informação (IT) fornece acesso ao servidor da rede de perímetro (DMZ) para um usuário autorizado, os dados ficam vulneráveis a invasões a partir da rede de tecnologia da informação (IT). No entanto, com portas de entradas unidirecionais separando um lado crítico ou rede de tecnologia operacional (OT) com dados confidenciais de um lado aberto com negócios e conectividade com a Internet, normalmente rede de tecnologia da informação (IT), as organizações podem obter o melhor dos dois mundos, permitindo a conectividade necessária e garantindo a segurança. Isso é válido mesmo se a rede de tecnologia da informação (IT) estiver comprometida, porque o controle do fluxo de tráfego é de natureza física. Não há casos relatados de diodos de dados sendo burlados ou explorados para permitir o tráfego bidirecional. Menor custo operacional (OPEX) de longo prazo, pois não há regras a serem mantidas. Embora haja atualizações de software a serem instaladas. Frequentemente, esses dispositivos precisam ser mantidos pelos fornecedores. A camada de software unidirecional não pode ser configurada para permitir tráfego bidirecional devido à desconexão física das linhas de recepção (RX) ou transmissão (TX).

Fraquezas Em junho de 2015, portas de entradas unidirecionais ainda não eram comumente usadas ou bem compreendidas. Portas de entradas unidirecionais são incapazes de rotear a maior parte do tráfego de rede e quebrar a maioria dos protocolos. Custo; os diodos de dados eram originalmente caros, embora soluções de custo mais baixo estejam agora disponíveis. Casos de uso específicos que exigem um fluxo de dados bidirecional podem ser difíceis de alcançar.

Variações