Kriptografska kartica za VPN pristupnik: četiri prijenosa prije kupnje

Stari kriptografski ubrzivači pojavljuju se u PCI inventaru i pretpostavlja se da će VPN sada šifrirati brže. Prije nego što to postane istina moraju uspjeti četiri odvojena prijenosa: sustav pronalazi uređaj, održavani upravljački program njime upravlja, sučelje izlaže operaciju koja VPN-u treba, a aktivni pozadinski sustav VPN-a traži je. Ako bilo koji zakaže, kartica ostaje izvan stvarnog puta tunela.

Otkrivanje je prvi prijenos, a ne posljednji

Otkrivanje dokazuje samo da sabirnica vidi uređaj i da jezgra ima neku predodžbu o tome što je to. Podrška upravljačkog programa sljedeća su vrata i ovisi o verziji: modul prisutan u starom izdanju može posve nedostajati u trenutačnom paketu jezgre. Osim toga, upravljački program mora registrirati točan algoritam i način rada koje podatkovni kanal koristi. Kartica koja ubrzava AES-CBC ne čini ništa za konfiguraciju koja pregovara AES-GCM.

Imenujte svaki prijenos zasebno u procjeni, jer kvar na četvrtom izvana izgleda jednako kao kvar na prvom.

Pročitajte inventar algoritama jezgre

Započnite prikupljanjem onoga što host već zna o uređaju i o algoritmima koje je registrirao.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI redak daje identifikatore proizvođača i uređaja potrebne za svaku pretragu upravljačkog programa, a/proc/crypto navodi registrirane implementacije s njihovim upravljačkim programima i prioritetima. Vrijednost prioriteta poredak je odabira među implementacijama istog algoritma, što nije isto što i to da aplikacija odabere jednu od njih. Ako se algoritam kartice tamo ne pojavljuje, upravljački program ga nikada nije registrirao i nikakva promjena u korisničkom prostoru neće ga pozvati. Zabilježite identifikatore i nazive implementacija umjesto snimke zaslona kartice.

VPN mora odabrati tu implementaciju

Dostupnost u jezgri jelovnik je, a ne jamstvo da je VPN proces naručio s njega. Provjerite što pozadinski sustav doista koristi.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Naredba za brzinu vježba vlastiti put knjižnice i daje osnovnu razinu za stroj kako je konfiguriran, dok popis pogona pokazuje je li OpenSSL-u uopće dostupan ikakav dodatni pružatelj. VPN u korisničkom prostoru s vlastitom kripto knjižnicom posve zaobilazi implementacije jezgre, pa mu registrirani upravljački program može biti nevažan. Premještanje podatkovnog kanala treći je mehanizam koji mijenja obradu paketa umjesto da šifrirane zahtjeve šalje kartici za proširenje. Utvrdite koje od tih troje opisuje vašu implementaciju prije nego što kupite hardver za četvrto.

Usporedite s putem procesora koji već imate

Suvremeni procesori uključuju AES upute koje održavana knjižnica koristi bez dodatnog hardvera i izbjegavaju prijenose sabirnicom i dodatne kopije. Stari ubrzivač može izgubiti od tog puta dok još uvijek pokazuje impresivne sirove brojke šifriranja. Izmjerite stvarni radni teret: isti promet, iste postavke zaštite, osnovna razina prema kandidatu, uz zajedničko bilježenje opterećenja procesora i propusnosti aplikacije. U odluku uključite ponašanje pri ažuriranju i oporavku, jer neodržavani modul povećava rizik održavanja pristupnika za cijeli njegov životni vijek.

Slučaj za kupnju je podržani lanac plus izmjerena korist. Otkrivena kartica ili modul koji je netko nekoć sastavio nije razlog da održavani pristupnik ovisi o zastarjelom hardveru.