Κρυπτογραφική κάρτα για πύλη VPN: τέσσερις παραδόσεις πριν από την αγορά

Οι παλιοί κρυπτογραφικοί επιταχυντές εμφανίζονται στο απόθεμα PCI και υποτίθεται ότι το VPN θα κρυπτογραφεί πλέον ταχύτερα. Τέσσερις χωριστές παραδόσεις πρέπει να πετύχουν για να ισχύει αυτό: το σύστημα βρίσκει τη συσκευή, ένας συντηρούμενος οδηγός τη χειρίζεται, μια διεπαφή εκθέτει την πράξη που χρειάζεται το VPN και το ενεργό backend του VPN τη ζητά. Αν αποτύχει οποιαδήποτε, η κάρτα μένει έξω από την πραγματική διαδρομή της σήραγγας.

Η ανίχνευση είναι η πρώτη παράδοση, όχι η τελευταία

Η ανίχνευση αποδεικνύει μόνο ότι ο δίαυλος βλέπει μια συσκευή και ότι ο πυρήνας έχει κάποια ιδέα για το τι είναι. Η υποστήριξη οδηγού είναι η επόμενη πύλη και εξαρτάται από την έκδοση: ένα άρθρωμα που υπήρχε σε παλιά έκδοση μπορεί να λείπει εντελώς από το τρέχον πακέτο του πυρήνα. Επιπλέον, ο οδηγός πρέπει να καταχωρίσει τον συγκεκριμένο αλγόριθμο και τον τρόπο λειτουργίας που χρησιμοποιεί το κανάλι δεδομένων. Μια κάρτα που επιταχύνει το AES-CBC δεν κάνει τίποτα για μια διαμόρφωση που διαπραγματεύεται AES-GCM.

Ονομάστε κάθε παράδοση ξεχωριστά στην αξιολόγηση, γιατί μια αποτυχία στην τέταρτη φαίνεται από έξω ίδια με αποτυχία στην πρώτη.

Διαβάστε το απόθεμα αλγορίθμων του πυρήνα

Ξεκινήστε συλλέγοντας όσα γνωρίζει ήδη ο κεντρικός υπολογιστής για τη συσκευή και για τους αλγορίθμους που καταχώρισε.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Η γραμμή PCI δίνει τα αναγνωριστικά κατασκευαστή και συσκευής που χρειάζονται για οποιαδήποτε αναζήτηση οδηγού, και/proc/crypto απαριθμεί τις καταχωρισμένες υλοποιήσεις με τους οδηγούς και τις προτεραιότητές τους. Η τιμή προτεραιότητας ταξινομεί την επιλογή ανάμεσα σε υλοποιήσεις του ίδιου αλγορίθμου, κάτι που δεν είναι το ίδιο με το να διαλέγει μια εφαρμογή μία από αυτές. Αν ο αλγόριθμος της κάρτας δεν εμφανίζεται εκεί, ο οδηγός δεν τον καταχώρισε ποτέ και καμία αλλαγή στον χώρο χρήστη δεν θα τον καλέσει. Καταγράψτε τα αναγνωριστικά και τα ονόματα υλοποιήσεων αντί για ένα στιγμιότυπο οθόνης της κάρτας.

Το VPN πρέπει να επιλέξει αυτή την υλοποίηση

Η διαθεσιμότητα στον πυρήνα είναι μενού, όχι εγγύηση ότι η διεργασία του VPN παρήγγειλε από αυτό. Ελέγξτε τι χρησιμοποιεί στην πραγματικότητα το backend.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Η εντολή ταχύτητας ασκεί την ίδια τη διαδρομή της βιβλιοθήκης και δίνει μια βάση για το μηχάνημα όπως είναι διαμορφωμένο, ενώ η λίστα μηχανών δείχνει αν υπάρχει καθόλου διαθέσιμος προαιρετικός πάροχος για το OpenSSL. Ένα VPN στον χώρο χρήστη με δική του κρυπτογραφική βιβλιοθήκη παρακάμπτει εντελώς τις υλοποιήσεις του πυρήνα, οπότε ένας καταχωρισμένος οδηγός μπορεί να είναι άσχετος γι' αυτό. Η αποφόρτωση του καναλιού δεδομένων είναι πάλι τρίτος μηχανισμός, που αλλάζει την επεξεργασία πακέτων αντί να στέλνει αιτήματα κρυπτογράφησης σε κάρτα επέκτασης. Καθορίστε ποιος από τους τρεις περιγράφει την ανάπτυξή σας πριν αγοράσετε υλικό για τον τέταρτο.

Συγκρίνετε με τη διαδρομή CPU που έχετε ήδη

Οι σύγχρονοι επεξεργαστές περιλαμβάνουν εντολές AES που μια συντηρούμενη βιβλιοθήκη χρησιμοποιεί χωρίς πρόσθετο υλικό, και αποφεύγουν μεταφορές διαύλου και πρόσθετα αντίγραφα. Ένας παλιός επιταχυντής μπορεί να χάσει από αυτή τη διαδρομή ενώ ακόμη αναφέρει εντυπωσιακά ακατέργαστα νούμερα κρυπτογράφησης. Μετρήστε το πραγματικό φορτίο: ίδια κίνηση, ίδιες ρυθμίσεις προστασίας, βάση έναντι υποψηφίου, με το φορτίο CPU και τη διεκπεραιωτικότητα της εφαρμογής καταγεγραμμένα μαζί. Συντάξτε στην απόφαση τη συμπεριφορά ενημέρωσης και ανάκτησης, γιατί ένα άρθρωμα χωρίς συντήρηση αυξάνει τον κίνδυνο συντήρησης της πύλης για όλη τη διάρκεια ζωής της.

Η αιτιολόγηση της αγοράς είναι μια υποστηριζόμενη αλυσίδα συν ένα μετρημένο όφελος. Μια ανιχνευμένη κάρτα ή ένα άρθρωμα που κάποιος κάποτε μετέγραψε δεν είναι λόγος να εξαρτήσετε μια συντηρούμενη πύλη από παρωχημένο υλικό.