კრიპტო ბარათი VPN-კარიბჭისთვის: ოთხი გადაცემა შეძენამდე

ძველი კრიპტოგრაფიული ამაჩქარებლები PCI ინვენტარში ჩნდება და ვარაუდობენ, რომ VPN ახლა უფრო სწრაფად დაშიფრავს. სანამ ეს მართალი იქნება, ოთხი ცალკეული გადაცემა უნდა შესრულდეს: სისტემა პოულობს მოწყობილობას, მას მართავს მხარდაჭერილი დრაივერი, ინტერფეისი ამჟღავნებს ოპერაციას, რომელიც VPN-ს სჭირდება, და VPN-ის აქტიური backend ითხოვს მას. თუ რომელიმე ვერ შესრულდა, ბარათი გვირაბის რეალური გზის გარეთ რჩება.

აღმოჩენა პირველი გადაცემაა და არა უკანასკნელი

აღმოჩენა მხოლოდ იმას ამტკიცებს, რომ ავტობუსი ხედავს მოწყობილობას და ბირთვს გარკვეული წარმოდგენა აქვს, რა არის ის. დრაივერის მხარდაჭერა შემდეგი ჭიშკარია და ის ვერსიაზეა დამოკიდებული: ძველ გამოცემაში არსებული მოდული შეიძლება სრულიად აკლდეს მიმდინარე ბირთვის პაკეტს. გარდა ამისა, დრაივერმა უნდა დაარეგისტრიროს ის კონკრეტული ალგორითმი და რეჟიმი, რომელსაც მონაცემთა არხი იყენებს. ბარათი, რომელიც AES-CBC-ს აჩქარებს, არაფერს აკეთებს AES-GCM-ზე მოლაპარაკე კონფიგურაციისთვის.

შეფასებაში თითოეულ გადაცემას ცალკე დაარქვით, რადგან მეოთხეზე მარცხი გარედან ისე გამოიყურება, როგორც პირველზე.

წაიკითხეთ ბირთვის ალგორითმების ინვენტარი

დაიწყეთ იმის შეგროვებით, რაც ჰოსტმა უკვე იცის მოწყობილობისა და მის მიერ დარეგისტრირებული ალგორითმების შესახებ.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI სტრიქონი გაძლევთ მწარმოებლისა და მოწყობილობის იდენტიფიკატორებს, რომლებიც ნებისმიერი დრაივერის ძიებისთვის არის საჭირო, და/proc/crypto ჩამოთვლის რეგისტრირებულ იმპლემენტაციებს მათი დრაივერებითა და პრიორიტეტებით. პრიორიტეტის მნიშვნელობა აწესრიგებს არჩევანს ერთი და იმავე ალგორითმის იმპლემენტაციებს შორის, რაც არ ნიშნავს იმას, რომ აპლიკაციამ ერთი მათგანი აირჩიოს. თუ ბარათის ალგორითმი იქ არ ჩანს, დრაივერს ის არასოდეს დაურეგისტრირებია და მომხმარებლის სივრცეში არცერთი ცვლილება არ გამოიძახებს მას. ჩაიწერეთ იდენტიფიკატორები და იმპლემენტაციების სახელები და არა ბარათის ეკრანის სურათი.

VPN-მა უნდა აირჩიოს სწორედ ის იმპლემენტაცია

ხელმისაწვდომობა ბირთვში მენიუა და არა გარანტია, რომ VPN პროცესმა სწორედ იქიდან შეუკვეთა. შეამოწმეთ, რას იყენებს backend სინამდვილეში.

openssl speed -evp aes-256-gcm
openssl engine -t -c

სიჩქარის ბრძანება ავარჯიშებს ბიბლიოთეკის საკუთარ გზას და საბაზისო ხაზს აძლევს კონფიგურირებულ მანქანას, ხოლო ძრავების სია აჩვენებს, საერთოდ ხელმისაწვდომია თუ არა რაიმე არასავალდებულო მომწოდებელი OpenSSL-ისთვის. მომხმარებლის სივრცის VPN საკუთარი კრიპტო ბიბლიოთეკით მთლიანად გვერდს უვლის ბირთვის იმპლემენტაციებს, ამიტომ რეგისტრირებული დრაივერი მისთვის უმნიშვნელო შეიძლება იყოს. მონაცემთა არხის განტვირთვა კიდევ მესამე მექანიზმია, რომელიც პაკეტების დამუშავებას ცვლის და არა შიფრის მოთხოვნებს გაფართოების ბარათზე აგზავნის. სანამ მეოთხესთვის აპარატურას იყიდით, დაადგინეთ, ამ სამიდან რომელი აღწერს თქვენს განლაგებას.

შეადარეთ იმ პროცესორის გზას, რომელიც უკვე გაქვთ

თანამედროვე პროცესორები შეიცავენ AES ინსტრუქციებს, რომლებსაც მხარდაჭერილი ბიბლიოთეკა დამატებითი აპარატურის გარეშე იყენებს და თავს არიდებს ავტობუსის გადაცემებსა და ზედმეტ ასლებს. ძველმა ამაჩქარებელმა შეიძლება ამ გზასთან წააგოს, სანამ კვლავ შთამბეჭდავ ნედლ შიფრის რიცხვებს აცხადებს. გაზომეთ რეალური დატვირთვა: იგივე ტრაფიკი, იგივე დაცვის პარამეტრები, საბაზისო ხაზი კანდიდატის წინააღმდეგ, პროცესორის დატვირთვისა და აპლიკაციის გამტარუნარიანობის ერთად ჩაწერით. გადაწყვეტილებაში შეიტანეთ განახლებისა და აღდგენის ქცევა, რადგან მოუვლელი მოდული კარიბჭის მომსახურების რისკს მთელი სიცოცხლის განმავლობაში ზრდის.

შეძენის საფუძველია მხარდაჭერილი ჯაჭვი და გაზომილი სარგებელი. აღმოჩენილი ბარათი ან მოდული, რომელიც ვიღაცამ ერთხელ შექმნა, არ არის მიზეზი, რომ მხარდაჭერილი კარიბჭე მოძველებულ აპარატურაზე დავამოკიდოთ.