Krüptokaart VPN-lüüsile: neli üleandmist enne ostmist

Vanad krüptograafilised kiirendid ilmuvad PCI-inventari, ja eeldatakse, et VPN krüpteerib nüüd kiiremini. Enne kui see tõeks saab, peavad õnnestuma neli eraldi üleandmist: süsteem leiab seadme, seda juhib hooldatud draiver, liides paljastab toimingu, mida VPN vajab, ja VPN-i aktiivne taustaprogramm küsib seda. Kui ükski neist ebaõnnestub, jääb kaart tunneli tegelikust teest välja.

Tuvastamine on esimene üleandmine, mitte viimane

Tuvastamine tõestab vaid seda, et siin näeb seadet ja kernelil on mingi ettekujutus, mis see on. Draiveri tugi on järgmine värav ja see sõltub versioonist: vanas väljaandes olnud moodul võib praegusest kerneli paketist täielikult puududa. Peale selle peab draiver registreerima konkreetse algoritmi ja režiimi, mida andmekanal kasutab. Kaart, mis kiirendab AES-CBC-d, ei tee midagi konfiguratsiooni jaoks, mis läbiräägib AES-GCM-i.

Nimetage hindamises iga üleandmine eraldi, sest neljanda ebaõnnestumine näeb väljastpoolt välja täpselt samasugune kui esimese oma.

Lugege kerneli algoritmide inventari

Alustage selle kogumisest, mida host seadmest ja registreeritud algoritmidest juba teab.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI rida annab mis tahes draiveriotsingu jaoks vajalikud tootja- ja seadmeidentifikaatorid ning/proc/crypto loetleb registreeritud teostused koos nende draiverite ja prioriteetidega. Prioriteedi väärtus järjestab valiku sama algoritmi teostuste vahel, mis ei ole sama, kui rakendus valib ühe neist. Kui kaardi algoritm seal ei esine, ei ole draiver seda kunagi registreerinud ja ükski muudatus kasutajaruumis ei kutsu seda. Kirjutage üles identifikaatorid ja teostuste nimed, mitte kaardi ekraanipilt.

VPN peab valima just selle teostuse

Kättesaadavus kernelis on menüü, mitte garantii, et VPN-i protsess sealt tellis. Kontrollige, mida taustaprogramm tegelikult kasutab.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Kiiruskäsk harjutab teegi enda teed ja annab konfigureeritud masinale baasjoone, samas kui mootorite loend näitab, kas OpenSSL-ile on üldse mõni valikuline pakkuja saadaval. Oma krüptoteeki kasutav kasutajaruumi VPN möödub kerneli teostustest täielikult, nii et registreeritud draiver võib olla selle jaoks tähtsusetu. Andmekanali mahalaadimine on jälle kolmas mehhanism, mis muudab pakettide töötlemist, selle asemel et saata šifreerimispäringuid laienduskaardile. Tehke kindlaks, milline neist kolmest kirjeldab teie juurutust, enne kui ostate riistvara neljanda jaoks.

Võrrelge protsessori teega, mis teil juba on

Kaasaegsed protsessorid sisaldavad AES-käske, mida hooldatud teek kasutab ilma lisariistvarata, ja need väldivad siiniülekandeid ja lisaexemplare. Vana kiirendi võib sellele teele kaotada, samal ajal näidates muljetavaldavaid tooreid šifrinumbreid. Mõõtke tegelikku töökoormust: sama liiklus, samad kaitseeesmärgid, baasjoon kandidaadi vastu, kusjuures protsessori koormus ja rakenduse läbilaskevõime registreeritakse koos. Kaasake otsusesse värskendamise ja taastamise käitumine, sest hooldamata moodul suurendab lüüsi hooldusriski kogu selle eluea jooksul.

Ostupõhjuseks on toetatud ahel pluss mõõdetud kasu. Tuvastatud kaart või moodul, mille keegi kunagi kompileeris, ei ole põhjus panna hooldatud lüüs sõltuma vananenud riistvarast.