AES-GCM ama ChaCha20-Poly1305: doorashada sireyga xogta VPN

Labada magac waa dhismooyin AEAD, labaduba waa la halbeegay, iyo server x86 ah oo hadda jira mid kasta oo iyaga ka mid ah wuxuu buuxin doonaa xiriir gigabit ah dadaal la arki karo la aan. Doorashadu waxay joojisaa inay tahay mid aan sabab lahayn markaad ka baxdo serverkaas: routerada jaban, telefoonada hore iyo aaladaha macmalka ah badanaa ma leh xawaareynta AES, halkaasna farqigu waa weyn yahay. Sidaas darteed isbarbardhiggu maaha sireyga kee ayaa ka dheereeya, laakiin waa sireyga kee si fiican ugu shaqeeya qaybtaan dhammaadka, iyo haddii borotokoolku bixiyo doorasho.

Isla shaqo, qalbiyo kala duwan

Labada dhismo waxay bixiyaan sirta iyo daacadnimada hal mar waxayna xaqiijiyaan xogta la xidhiidha, taas ayaa sabab u ah in borotokoolada VPN ay u isticmaalaan kanaalka xogta. Farqigu waa gudaha: AES-GCM waa sireyga baloogga AES oo ku jira habka tirinta oo leh xaqiijin polynomial ah oo ka sarreeya GF(2^128), halka ChaCha20-Poly1305 uu yahay sirey qulqulaya oo leh fure 256 bit ah iyo xaqiijin hal-mar ah oo gaar ah.

Waxa muhiimka u ah hawlgalka waa mid wadaag ah: labaduba si ba an ah ayey u guuldareystaan marka nonce dib loo isticmaalo, labaduba waxay u baahan yihiin maaraynta booska nonce fure kasta, mana jiro mid wax ka qabta lammaane xaqiijiya wax qaldan. Profaylka sheegaya AES-256-GCM kama badbaadsana midka sheegaya CHACHA20-POLY1305; labaduba way xooggan yihiin marka fulintu sax tahay.

Meesha AES-GCM ku guuleysto

AES waxay leedahay tilmaamo u gaar ah inta badan CPU-yada casriga ah: AES-NI x86, fidinta crypto ee ARMv8 iyo kuwa u dhigma naqshadaha POWER iyo RISC-V ee dhawaan. Marka ay jiraan, GCM waxay socodsiisaa dhowr baloog si isku mid ah qayb kasta oo wareeg ah, fulinta software-na waxba ma tarayso. Tani waa xaaladda caadiga ah ee serverada, kombuyuutarada miiska iyo telefoonada hadda, taas ayaana sabab u ah in talada ah isticmaal AES ay tahay mid caadi ah oo macquul ah xarunta xogta.

Dhibaatadu waa xaaladda heerka labaad. Iyada oo aan lahayn tilmaamo gaar ah AES software ahaan waa gaabis, fulinta software ee miisaska lagu hoggaamiyo ayaana leh taariikh dheer oo dhibaatooyin waqtiga cache ah. Isku-duubka VPN ee ku jira mashiin macmal ah oo martigeliyaha aanu u muujin martida calanka AES waa xaaladdan saxda ah, wayna fudud tahay in la seegto sababtoo ah CPU-da martigeliyaha ayaa leh awoodda.

Hubi waxa habsocodku runtii arko, maaha waxa CPU-du taageerto: grep -o aes /proc/cpuinfo | head -1 Linux, ama calanka awoodda u dhigma ee qaabka CPU ee hypervisor.

Meesha ChaCha20-Poly1305 ku guuleysto

ChaCha20 waa degdeg software la qaadan karo sababtoo ah waxay isticmaashaa kaliya isku-darka, wareegga iyo XOR, fulinteeduna waxay naqshad ahaan ka fogaataa raadinta miisaska ee ku tiirsan sirta. Qalab aan lahayn xawaareynta AES taas waa faa iido dhab ah, taas ayaana sabab u ah in WireGuard ay dooratay: sharaxaadda borotokoolka WireGuard waxay ku taxdaa ChaCha20-Poly1305 inuu yahay sireyga xogta oo aan beddel lahayn.

Hal doorasho taas waxay sheegtaa wax faa iido leh: qalabka AES lagu dedejiyo, WireGuard waxay ka tanaasushaa xoogaa marinnada marka la barbar dhigo AES-GCM, qorayaashuna waxay aqbaleen taas beddelka habdhaqan la saadaalin karo telefoonada, routerada guriga iyo martigeliyayaasha konteenarada. Haddii guutadaadu ay inta badan tahay sanduuqyo yaryar oo ARM ah, isdhaafsigaas ayaa kuu dan ah.

Xaaladda lidka ku ah waa isku-duub x86 ah oo mashquul ah, halkaas oo AES-GCM oo leh AES-NI uu yahay wadada degdegga ah oo si wanaagsan loo taageeray, iyo halkaas oo ChaCha20 uu ku kharash gasho CPU la cabbiri karo gigabit kasta. Midkoodna dhismayaasha maaha daciifnimo; su aashu waa kee ayaa qalabkaagu si jaban u fuliya.

Waxa borotokoolkaagu runtii kuu oggolaado inaad doorato

Ogow kala qaybsanaanta OpenVPN: kanaalka kontoroolka iyo kanaalka xogta si gooni ah ayaa looga wada xaajoodaa, sidaas darteed qaybta aad u aragto TLS waxba kama sheegto sireyga ilaaliya xamuulkaaga. Soo-koobka fadhiga wuxuu soo sheegaa labadaba, akhrinta midkood oo keliya ayaana ah isha caadiga ah ee jahawareerka.

OpenVPN sireyga kanaalka xogta wuxuu ka yimaadaa liiska data-ciphers labada daraf. Haddii liiska serverka iyo liiska macmiilka aysan is-gooyin, xiriirku wuxuu ku noqonayaa waxa data-ciphers-fallback oggolaado ama si buuxda ayuu u guuldareystaa, guuldareystaasna badanaa waxaa lagu eedeeyaa lakabka qaldan. Dhig isla liiskaas labada dhinac, ka dibna xaqiiji natiijada laga wada xaajooday logga halkii aad ka malayn lahayd in la ixtiraamay nidaamka liiska.

Go aan ka gaar saddex xaqiiqo oo ku saabsan geynta

Marka hore, dhammaadka ma leeyihiin xawaareynta AES? Haddii lammaane kastaa leeyahay, AES-GCM waa doorashada jaban iyo tan caadiga ah ee inta badan qaabeynta la hayo. Haddii qayb macno leh ay yihiin router yaryar ama telefoono hore, ChaCha20-Poly1305 waxay ka hortagtaa in dabada guutada ay noqoto xadka awoodda.

Marka labaad, borotokoolku ma bixiyaa doorasho? WireGuard go aanka adiga ayaa lagu qaatay, shaqada faa iidada lehna waa inaad hubiso in qalabka ku wareegsan aanu si aamusan wax kale u beddelin. OpenVPN iyo IPsec jawaabtu waa sadar qaabeyn iyo natiijo laga wada xaajooday oo la diiwaangelinayo.

Marka saddexaad, labada daraf ma ku heshiiyi karaan? Sirey aan lammaane fulin maaha go aan waxqabad, waa joojin. Taas ayaa sabab u ah in liiska lammaanayaashu ka muhiimsan yahay cabbir kasta: guuto isku dhafan waxay u baahan tahay is-goyska awoodaha, maaha doorbidka mashiinka ugu dheereeya.

Haddii aad cabbirto, hay aaladda, dhammaadka iyo culayska isku mid ah oo beddel hal shay. Tijaabada isbarbardhigta laba server oo gobollo kala duwan waxay cabbirtaa wadada, maaha sireyga, cabbirka laptop-na waxba kama sheegto martigeliyaha konteenarada oo calamadiisa CPU qarsoon yihiin. Isbarbardhig, ka dibna qor sireyga kee ayaa runtii laga wada xaajooday: diiwaankaas wuu ka qiimo badan yahay cabbirka.