VPN гарцын крипто карт: худалдан авахаас өмнөх дөрвөн шилжүүлэг

Хуучин криптограф хурдасгуурууд PCI жагсаалтад гарч, VPN одоо илүү хурдан шифрлэх болно гэж таамагладаг. Энэ үнэн болохын тулд дөрвөн тусдаа шилжүүлэг амжилттай болох ёстой: систем төхөөрөмжийг олдог, түүнийг арчилгаатай драйвер удирддаг, интерфейс VPN-д хэрэгтэй үйлдлийг ил гаргадаг, VPN-ийн идэвхтэй backend түүнийг шаарддаг. Аль нэг нь бүтэлгүйтвэл карт туннелийн бодит замаас гадуур үлддэг.

Илрүүлэлт нь эхний шилжүүлэг, сүүлчийнх биш

Илрүүлэлт нь зөвхөн автобус төхөөрөмжийг харж байгаа, цөм үүнийг юу болохыг бага зэрэг ойлгож байгааг л нотолдог. Драйверын дэмжлэг нь дараагийн хаалга бөгөөд хувилбараас хамаарна: хуучин хувилбарт байсан модуль одоогийн цөмийн багцад огт байхгүй байж болно. Түүнчлэн драйвер өгөгдлийн суваг ашигладаг тодорхой алгоритм, горимыг бүртгэх ёстой. AES-CBC-г хурдасгадаг карт нь AES-GCM-ийн талаар хэлэлцээр хийж буй тохиргоонд юу ч хийдэггүй.

Үнэлгээнд шилжүүлэг бүрийг тусад нь нэрлээрэй, учир нь дөрөв дэх үеийн бүтэлгүйтэл гаднаас эхнийхтэй адил харагдана.

Цөмийн алгоритмын жагсаалтыг уншина уу

Хост төхөөрөмж болон бүртгэсэн алгоритмуудын талаар аль хэдийн мэддэг зүйлээ цуглуулж эхэл.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI мөр нь аливаа драйвер хайлтад шаардлагатай үйлдвэрлэгч болон төхөөрөмжийн таних тэмдгийг өгдөг бөгөөд/proc/crypto бүртгэгдсэн хэрэгжүүлэлтүүдийг тэдгээрийн драйвер, давуу эрхтэй нь хамт жагсаана. Давуу эрхийн утга нь нэг алгоритмын хэрэгжүүлэлтүүдийн хоорондох сонголтыг эрэмбэлдэг бөгөөд энэ нь програм тэдгээрийн аль нэгийг сонгохтой ижил биш юм. Хэрэв картын алгоритм тэнд харагдахгүй бол драйвер үүнийг хэзээ ч бүртгээгүй бөгөөд хэрэглэгчийн орон зайн ямар ч өөрчлөлт үүнийг дуудахгүй. Картын дэлгэцийн зураг биш харин таних тэмдэг болон хэрэгжүүлэлтийн нэрийг бичиж тэмдэглээрэй.

VPN тэр хэрэгжүүлэлтийг сонгох ёстой

Цөмд байгаа эсэх нь цэс бөгөөд VPN процесс тэндээс захиалсан гэсэн баталгаа биш. Backend бодитоор юу ашиглаж байгааг шалгаарай.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Хурдны команд нь номын сангийн өөрийн замыг туршиж, тохируулсан машинд суурь шугам өгдөг бол хөдөлгүүрийн жагсаалт OpenSSL-д ер нь ямар нэг сонголтот нийлүүлэгч байгаа эсэхийг харуулна. Өөрийн крипто номын сантай хэрэглэгчийн орон зайн VPN нь цөмийн хэрэгжүүлэлтийг бүрмөсөн тойрч гардаг тул бүртгэгдсэн драйвер түүнд хамааралгүй байж болно. Өгөгдлийн сувгийн ачааг буулгах нь бас гурав дахь механизм бөгөөд шифр хүсэлтийг өргөтгөлийн карт руу илгээхийн оронд пакет боловсруулалтыг өөрчилдөг. Дөрөв дэхэд нь техник хангамж худалдан авахаас өмнө эдгээр гурвын аль нь таны байршуулалтыг тодорхойлж байгааг тогтоогоорой.

Танд аль хэдийн байгаа процессорын замтай харьцуул

Орчин үеийн процессорууд AES зааврыг агуулдаг бөгөөд арчилгаатай номын сан тэдгээрийг нэмэлт техник хангамжгүйгээр ашиглаж, автобусны дамжуулалт болон илүүдэл хуулбараас зайлсхийдэг. Хуучин хурдасгуур нь гайхалтай түүхий шифр тоонуудыг мэдээлсээр байтал тэр замд ялагдаж болно. Бодит ажлын ачааллыг хэмж: ижил урсгал, ижил хамгаалалтын тохиргоо, суурь шугам кандидатын эсрэг, процессорын ачаалал болон програмын дамжуулах чадварыг хамт бүртгэнэ. Шийдвэрт шинэчлэлт болон сэргээлтийн зан төлөвийг оруулаарай, учир нь арчилгаагүй модуль гарцын засвар үйлчилгээний эрсдэлийг түүний бүх насны туршид нэмэгдүүлдэг.

Худалдан авалтын үндэслэл нь дэмжигдсэн гинжин хэлхээ болон хэмжсэн ашиг юм. Илэрсэн карт эсвэл хэн нэгэн нэг удаа эмхэтгэсэн модуль нь арчилгаатай гарцыг хуучирсан техник хангамжаас хамааралтай болгох шалтгаан биш.