Kriptokaart vir 'n VPN-grendel: vier oorhandigings voor die aankoop

Ou kriptografiese versnellers verskyn in die PCI-inventaris, en die aanname is dat die VPN nou vinniger sal versleutel. Vier afsonderlike oorhandigings moet slaag voordat dit waar is: die stelsel vind die toestel, 'n onderhoude drywer dryf dit, 'n koppelvlak stel die bewerking bloot wat die VPN nodig het, en die VPN se aktiewe backend vra daarvoor. As een daarvan misluk, bly die kaart buite die tonnel se werklike pad.

Bespeuring is die eerste oorhandiging, nie die laaste nie

Bespeuring bewys net dat die bus 'n toestel sien en dat die kernel 'n idee het wat dit is. Drywerondersteuning is die volgende hek, en dit is weergawe-spesifiek: 'n module wat in 'n ou uitgawe teenwoordig was, kan heeltemal uit die huidige kernelpakket ontbreek. Verder moet die drywer die spesifieke algoritme en modus registreer wat die datakanaal gebruik. 'n Kaart wat AES-CBC versnel, doen niks vir 'n opstelling wat AES-GCM onderhandel nie.

Benoem elke oorhandiging afsonderlik in die evaluering, want 'n mislukking by die vierde lyk van buite identies aan 'n mislukking by die eerste.

Lees die kernel se algoritme-inventaris

Begin deur te versamel wat die gasheer reeds oor die toestel weet en watter algoritmes dit geregistreer het.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Die PCI-lyn gee die vervaardiger- en toestelidentifiseerders wat vir enige drywersoektog nodig is, en/proc/crypto lys geregistreerde implementasies met hul drywers en prioriteite. 'n Prioriteitswaarde bepaal die keuse tussen implementasies van dieselfde algoritme, wat nie dieselfde is as dat 'n toepassing een kies nie. As die kaart se algoritme nie daar verskyn nie, het die drywer dit nooit geregistreer nie en geen verandering in gebruikersruimte sal dit aanroep nie. Teken die identifiseerders en implementasiename aan eerder as 'n skermkiekie van die kaart.

Die VPN moet daardie implementasie kies

Kernel-beskikbaarheid is 'n spyskaart, nie 'n waarborg dat die VPN-proses daaruit bestel het nie. Kyk wat die backend werklik gebruik.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Die spoedopdrag oefen die biblioteek se eie pad uit en gee 'n basislyn vir die masjien soos dit opgestel is, terwyl die enjinlys wys of enige opsionele verskaffer hoegenaamd vir OpenSSL beskikbaar is. 'n Gebruikersruimte-VPN wat sy eie kriptobiblioteek gebruik, omseil kernel-implementasies heeltemal, so 'n geregistreerde drywer kan vir hom irrelevant wees. Datakanaal-aflewering is weer 'n derde meganisme, wat pakketverwerking verander eerder as om syferversoeke na 'n uitbreidingskaart te stuur. Stel vas watter van daardie drie jou ontplooiing beskryf voordat jy hardeware vir die vierde koop.

Vergelyk met die verwerkerpad wat jy reeds het

Moderne verwerkers sluit AES-instruksies in wat 'n onderhoude biblioteek sonder ekstra hardeware gebruik, en hulle vermy busoordragte en ekstra kopiee. 'n Ou versneller kan teen daardie pad verloor terwyl dit steeds indrukwekkende rou syfergetalle rapporteer. Meet die werklike werklading: dieselfde verkeer, dieselfde beskermingsinstellings, basislyn teenoor kandidaat, met verwerkerlading en toepassingsdeurset saam aangeteken. Sluit opdaterings- en herstelgedrag by die besluit in, want 'n ononderhoude module verhoog die grendel se instandhoudingsrisiko vir sy hele lewe.

Die aankoopgeval is 'n ondersteunde ketting plus 'n gemete voordeel. 'n Bespeurde kaart, of 'n module wat iemand eens saamgestel het, is nie 'n rede om 'n onderhoude grendel van verouderde hardeware afhanklik te maak nie.