כרטיס קריפטו לשער VPN: ארבעה מסירים לפני הקנייה

מאיצים קריפטוגרפיים ישנים מופיעים במלאי ה-PCI, וההנחה היא שה-VPN יתמלל עכשיו מהר יותר. ארבעה מסירים נפרדים חייבים להצליח לפני שזה נכון: המערכת מוצאת את ההתקן, דרייבר מתוחזק מפעיל אותו, ממשק חושף את הפעולה שה-VPN זקוק לה, וה-backend הפעיל של ה-VPN מבקש אותה. אם אחד מהם נכשל, הכרטיס נשאר מחוץ למסלול האמיתי של המנהרה.

הזיהוי הוא המסיר הראשון, לא האחרון

הזיהוי מוכיח רק שהאפיק רואה התקן ושהקרנל יודע משהו על מהותו. תמיכת דרייבר היא השער הבא, והיא תלוית גרסה: מודול שהיה בגרסה ישנה יכול להיעדר לחלוטין מחבילת הקרנל הנוכחית. מעבר לכך, הדרייבר חייב לרשום את האלגוריתם והמצב המדויקים שבהם משתמש ערוץ הנתונים. כרטיס שמאיץ AES-CBC לא עושה דבר עבור תצורה שמנהלת משא ומתן על AES-GCM.

תנו שם לכל מסיר בנפרד בהערכה, כי כשל במסיר הרביעי נראה מבחוץ זהה לכשל בראשון.

קראו את מלאי האלגוריתמים של הקרנל

התחילו באיסוף מה שהמארח כבר יודע על ההתקן ועל האלגוריתמים שהוא רשם.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

שורת ה-PCI מספקת את מזהי היצרן וההתקן הדרושים לכל חיפוש דרייבר, ו-/proc/crypto מציגה את המימושים הרשומים עם הדרייברים והעדיפויות שלהם. ערך עדיפות קובע את סדר הבחירה בין מימושים של אותו אלגוריתם, וזה אינו זהה לכך שיישום בוחר אחד מהם. אם האלגוריתם של הכרטיס אינו מופיע שם, הדרייבר מעולם לא רשם אותו ושום שינוי במרחב המשתמש לא יקרא לו. רשמו את המזהים ואת שמות המימושים במקום צילום מסך של הכרטיס.

ה-VPN חייב לבחור במימוש הזה

זמינות בקרנל היא תפריט, לא ערובה שתהליך ה-VPN הזמין ממנו. בדקו מה ה-backend באמת משתמש בו.

openssl speed -evp aes-256-gcm
openssl engine -t -c

פקודת המהירות מתרגלת את המסלול של הספרייה עצמה ונותנת קו בסיס למכונה כפי שהיא מוגדרת, בעוד רשימת המנועים מראה אם בכלל קיים ספק אופציונלי עבור OpenSSL. VPN במרחב המשתמש עם ספריית קריפטו משלו עוקף לגמרי את מימושי הקרנל, כך שדרייבר רשום יכול להיות חסר חשיבות עבורו. פריקת ערוץ הנתונים היא מנגנון שלישי, שמשנה את עיבוד החבילות במקום לשלוח בקשות צופן לכרטיס הרחבה. קבעו איזה משלושת אלה מתאר את הפריסה שלכם לפני שקונים חומרה עבור הרביעי.

השוו למסלול המעבד שכבר יש לכם

מעבדים מודרניים כוללים הוראות AES שספרייה מתוחזקת משתמשת בהן בלי חומרה נוספת, והם נמנעים מהעברות אפיק ומהעתקות מיותרות. מאיץ ישן יכול להפסיד למסלול הזה בעודו מדווח מספרי צופן גולמיים מרשימים. מדדו את העומס האמיתי: אותה תעבורה, אותן הגדרות הגנה, קו בסיס מול מועמד, עם עומס המעבד ותפוקת היישום נרשמים יחד. כללו בהחלטה את התנהגות העדכון והשחזור, כי מודול לא מתוחזק מעלה את סיכון התחזוקה של השער לכל אורך חייו.

הבסיס לרכישה הוא שרשרת נתמכת ועוד תועלת מדודה. כרטיס שזוהה, או מודול שמישהו הרכיב פעם, אינו סיבה לתלות שער מתוחזק בחומרה מיושנת.