Cerdyn crypto ar gyfer porth VPN: pedwar trosglwyddiad cyn prynu

Mae hen gyflymyddion cryptograffig yn ymddangos yn y rhestr PCI, a'r dybiaeth yw y bydd y VPN bellach yn amgryptio'n gyflymach. Rhaid i bedwar trosglwyddiad ar wahân lwyddo cyn bod hynny'n wir: mae'r system yn canfod y ddyfais, mae gyrrwr a gynhelir yn ei gyrru, mae rhyngwyneb yn datgelu'r llawdriniaeth y mae ar y VPN ei hangen, ac mae backend gweithredol y VPN yn gofyn amdani. Os bydd un yn methu, mae'r cerdyn yn aros y tu allan i lwybr go iawn y tiwn.

Canfyddiad yw'r trosglwyddiad cyntaf, nid yr olaf

Nid yw canfyddiad yn profi ond bod y bws yn gweld dyfais a bod gan y cnewyllyn ryw syniad beth ydyw. Cymorth gyrrwr yw'r giât nesaf, ac mae'n dibynnu ar fersiwn: gall modiwl oedd yn hen ryddhau fod yn hollol absennol o becyn cnewyllyn y presennol. Y tu hwnt i hynny, rhaid i'r gyrrwr gofrestru'r algorithm a'r modd penodol y mae'r sianel ddata yn eu defnyddio. Nid yw cerdyn sy'n cyflymu AES-CBC yn gwneud dim i gyfluniad sy'n trafod AES-GCM.

Enwch bob trosglwyddiad ar wahân yn yr asesiad, oherwydd mae methiant yn y pedwerydd yn edrych yn union yr un fath o'r tu allan â methiant yn y cyntaf.

Darllenwch restr algorithmau'r cnewyllyn

Dechreuwch drwy gasglu'r hyn y mae'r gwesteiwr eisoes yn ei wybod am y ddyfais a'r algorithmau y mae wedi'u cofrestru.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Mae'r llinell PCI yn rhoi'r dynodwyr gwerthwr a dyfais sydd eu hangen ar gyfer unrhyw chwiliad gyrrwr, ac mae/proc/crypto yn rhestru'r gweithrediadau cofrestredig gyda'u gyrwyr a'u blaenoriaethau. Mae gwerth blaenoriaeth yn trefnu'r dewis ymhlith gweithrediadau'r un algorithm, nad yw'r un peth â rhaglen yn dewis un ohonynt. Os nad yw algorithm y cerdyn yn ymddangos yno, nid yw'r gyrrwr erioed wedi'i gofrestru ac ni fydd unrhyw newid yn y gofod defnyddiwr yn ei alw. Cofnodwch y dynodwyr a'r enwau gweithrediadau yn lle sgrinlun o'r cerdyn.

Rhaid i'r VPN ddewis y gweithrediad hwnnw

Mae argaeledd yn y cnewyllyn yn fwydlen, nid yn warant bod proses y VPN wedi archebu ohoni. Gwiriwch beth mae'r backend yn ei ddefnyddio mewn gwirionedd.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Mae'r gorchymyn cyflymder yn ymarfer llwybr y llyfrgell ei hun ac yn rhoi llinell sylfaen i'r peiriant fel y mae wedi'i gyflunio, tra mae'r rhestr injan yn dangos a oes unrhyw ddarparwr dewisol ar gael i OpenSSL o gwbl. Mae VPN gofod defnyddiwr sy'n defnyddio ei lyfrgell grypto ei hun yn osgoi gweithrediadau'r cnewyllyn yn llwyr, felly gall gyrrwr cofrestredig fod yn amherthnasol iddo. Mae dadlwytho'r sianel ddata yn drydydd mecanwaith eto, sy'n newid prosesu pecynnau yn hytrach na danfon ceisiadau seiffr i gerdyn estyn. Sefydlwch pa un o'r tri hynny sy'n disgrifio eich defnyddiad cyn prynu caledwedd ar gyfer y pedwerydd.

Cymharwch â llwybr y CPU sydd gennych yn barod

Mae prosesyddion modern yn cynnwys cyfarwyddiadau AES y mae llyfrgell a gynhelir yn eu defnyddio heb galedwedd ychwanegol, ac maent yn osgoi trosglwyddiadau bws a chopïau ychwanegol. Gall hen gyflymydd golli i'r llwybr hwnnw tra'n dal i adrodd ffigurau seiffr crai trawiadol. Mesurwch y llwyth gwaith go iawn: yr un traffig, yr un gosodiadau amddiffyn, llinell sylfaen yn erbyn ymgeisydd, gyda llwyth y CPU a thrwybwlch y rhaglen yn cael eu cofnodi gyda'i gilydd. Cynhwyswch ymddygiad diweddaru ac adfer yn y penderfyniad, oherwydd mae modiwl heb ei gynnal yn codi risg cynnal y borth am ei oes gyfan.

Achos y pryniant yw cadwyn a gefnogir ynghyd â budd a fesurwyd. Nid yw cerdyn a ganfuwyd, na modiwl a grynhowyd gan rywun unwaith, yn rheswm i wneud porth a gynhelir yn ddibynnol ar galedwedd hen ffasiwn.