Kartë kriptografike për një portë VPN: katër dorëzime para blerjes

Përshpejtuesit e vjetër kriptografikë shfaqen në inventarin PCI, dhe supozohet se VPN-ja tani do të kodojë më shpejt. Katër dorëzime të veçanta duhet të kenë sukses para se kjo të jetë e vërtetë: sistemi e gjen pajisjen, një drejtues i mirëmbajtur e kontrollon atë, një ndërfaqe ekspozon operacionin që i nevojitet VPN-së, dhe backend-i aktiv i VPN-së e kërkon atë. Nëse njëra dështon, karta mbetet jashtë rrugës reale të tunelit.

Zbulimi është dorëzimi i parë, jo i fundit

Zbulimi vetëm vërteton se autobusi sheh një pajisje dhe se kernel-i ka një ide të caktuar se çfarë është ajo. Mbështetja e drejtuesit është porta tjetër, dhe varet nga versioni: një modul i pranishëm në një version të vjetër mund të mungojë plotësisht në paketën aktuale të kernel-it. Për më tepër, drejtuesi duhet të regjistrojë algoritmin dhe mënyrën konkrete që përdor kanali i të dhënave. Një kartë që përshpejton AES-CBC nuk bën asgjë për një konfigurim që negocion AES-GCM.

Emërtoni çdo dorëzim veçmas në vlerësim, sepse një dështim në të katërtin duket nga jashtë identik me një dështim në të parin.

Lexoni inventarin e algoritmeve të kernel-it

Filloni duke mbledhur atë që hosti tashmë di për pajisjen dhe për algoritmet që ka regjistruar.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Rreshti PCI jep identifikuesit e prodhuesit dhe të pajisjes të nevojshëm për çdo kërkim drejtuesi, dhe/proc/crypto liston implementimet e regjistruara me drejtuesit dhe përparësitë e tyre. Vlera e përparësisë rendit zgjedhjen midis implementimeve të të njëjtit algoritëm, gjë që nuk është e njëjtë me zgjedhjen e njërës prej tyre nga një aplikacion. Nëse algoritmi i kartës nuk shfaqet atje, drejtuesi nuk e ka regjistruar kurrë dhe asnjë ndryshim në hapësirën e përdoruesit nuk do ta thërrasë atë. Shkruani identifikuesit dhe emrat e implementimeve në vend të një pamjeje ekrani të kartës.

VPN-ja duhet të zgjedhë pikërisht atë implementim

Disponueshmëria në kernel është një menu, jo një garanci që procesi i VPN-së ka porositur prej saj. Kontrolloni çfarë përdor në të vërtetë backend-i.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Komanda e shpejtësisë ushtron rrugën e vetë bibliotekës dhe jep një vijë bazë për makinën ashtu siç është konfiguruar, ndërsa lista e motorëve tregon nëse OpenSSL ka fare ndonjë ofrues opsional të disponueshëm. Një VPN në hapësirën e përdoruesit me bibliotekën e vet kriptografike anashkalon plotësisht implementimet e kernel-it, kështu që një drejtues i regjistruar mund të jetë i parëndësishëm për të. Shkarkimi i kanalit të të dhënave është edhe një mekanizëm i tretë, i cili ndryshon përpunimin e paketave në vend që të dërgojë kërkesa shifrimi në një kartë zgjerimi. Përcaktoni cili nga ata tre përshkruan vendosjen tuaj para se të blini harduer për të katërtin.

Krahasoni me rrugën e CPU-së që tashmë e keni

Procesorët modernë përfshijnë udhëzime AES që një bibliotekë e mirëmbajtur i përdor pa harduer shtesë, dhe ato shmangin transferimet e autobusit dhe kopjet shtesë. Një përshpejtues i vjetër mund të humbasë ndaj asaj rruge ndërsa ende raporton numra të papërpunuar shifrimi mbresëlënës. Matni ngarkesën reale: i njëjti trafik, të njëjtat cilësime mbrojtjeje, vija bazë kundrejt kandidatit, me ngarkesën e CPU-së dhe xhiron e aplikacionit të regjistruara së bashku. Përfshini në vendim sjelljen gjatë përditësimit dhe rikuperimit, sepse një modul i pambajtur rrit rrezikun e mirëmbajtjes së portës për gjithë jetën e saj.

Arsyeja e blerjes është një zinxhir i mbështetur plus një përfitim i matur. Një kartë e zbuluar, ose një modul që dikush e kompiloi dikur, nuk është arsye për ta bërë një portë të mirëmbajtur të varur nga harduer i vjetruar.