VPN atebidearentzako kripto txartela: lau transmitimendu erosi aurretik

Kriptografia azeleragailu zaharrak PCI inbentarioan agertzen dira, eta VPNak orain azkarrago zifratuko duela suposatzen da. Hori egia izan dadin lau transmitimendu bereizi behar dira: sistemak gailua aurkitzen du, mantentzen den kontrolatzaile batek gidatzen du, interfaze batek VPNak behar duen eragiketa azaleratzen du, eta VPNaren backend aktiboak eskatzen du. Edozein huts eginez gero, txartela tunelaren benetako bidetik kanpo geratzen da.

Detekzioa lehen transmitimendua da, ez azkena

Detekzioak soilik frogatzen du busak gailu bat ikusten duela eta kernelak baduela ideiarik zer den. Kontrolatzailearen euskarria hurrengo atea da, eta bertsioaren araberakoa da: bertsio zahar batean zegoen modulua erabat falta daiteke uneko kernel paketetik. Horrez gain, kontrolatzaileak datu kanalak erabiltzen duen algoritmoa eta modu zehatza erregistratu behar ditu. AES-CBC azeleratzen duen txartel batek ez du ezer egiten AES-GCM negoziatzen duen konfigurazio baterako.

Izenda itzazu transmitimendu bakoitza bereiz ebaluazioan, laugarreneko hutsegitea kanpotik lehenengokoaren berdin-berdina ematen baitu.

Irakurri kernelaren algoritmo inbentarioa

Hasi biltzen ostalariak gailuaz eta erregistratu dituen algoritmoez dagoeneko dakin guztia.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI lerroak edozein kontrolatzaile bilaketarako behar diren fabrikatzaile eta gailu identifikatzaileak ematen ditu, eta/proc/crypto erregistratutako inplementazioak zerrendatzen ditu haien kontrolatzaile eta lehentasunekin. Lehentasun balioak algoritmo beraren inplementazioen arteko hautaketa ordenatzen du, eta hori ez da berdin aplikazio batek horietako bat aukeratzea. Txartelaren algoritmoa han agertzen ez bada, kontrolatzaileak ez zuen inoiz erregistratu eta erabiltzaile espazioko aldaketak ez dio deituko. Idatzi identifikatzaileak eta inplementazio izenak, txartelaren pantaila-argazki bat ez ordez.

VPNak inplementazio hori hautatu behar du

Kernelan erabilgarritasuna menu bat da, ez da bermea VPN prozesuak handik eskatu duenik. Egiaztatu backendak benetan zer erabiltzen duen.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Abiadura komandoak liburutegiaren bidea bera probatzen du eta konfiguratutako makinarentzako oinarrizko lerroa ematen du, eta motorren zerrendak erakusten du OpenSSLentzat hornitzaile aukerako bat badagoen. Bere kripto liburutegia duen erabiltzaile espazioko VPN batek kernelaren inplementazioak erabat saihesten ditu, beraz erregistratutako kontrolatzailea berarentzat garrantzirik gabea izan daiteke. Datu kanalaren deskarga hirugarren mekanismoa da, paketeen prozesatzea aldatzen duena zifratze eskaerak hedapen txartel batera bidali beharrean. Zehaztu hiru horietako zeinek deskribatzen duen zure hedapena, laugarrenerako hardwarea erosi aurretik.

Konparatu jada duzun CPU bidearekin

Prozesadore modernoek AES instrukzioak dituzte mantentzen den liburutegi batek hardware gehigarririk gabe erabiltzen dituenak, eta bus transferentziak eta kopia gehigarriak saihesten dituzte. Azeleragailu zahar batek bide horren aurka gal dezake zifratze zenbaki gordin ikusgarriak ematen jarraitzen duen bitartean. Neurtu benetako karga: trafiko bera, babes ezarpen berak, oinarrizko lerroa hautagaiaren aurka, CPU karga eta aplikazioaren errendimendua elkarrekin erregistratuta. Sar ezazu erabakian eguneraketaren eta berreskuratzearen portaera, mantentzen ez den modulu batek atebidearen mantentze arriskua handitzen baitu bere bizitza osoan.

Erosketaren arrazoia onartutako kate bat gehi neurtutako onura da. Detektatutako txartel bat, edo norbaitek behin konpilatu zuen modulua, ez da atebide mantendu bat hardware zaharkituaren menpe jartzeko arrazoia.