{"id":75939,"date":"2020-03-29T19:42:19","date_gmt":"2020-03-29T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux"},"modified":"2020-03-29T19:42:19","modified_gmt":"2020-03-29T17:42:19","slug":"kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux","title":{"rendered":"Cloudflare har klargjort patches, der markant \u0443\u0441\u043a\u043e\u0440\u044f\u044e\u0442 disk encryption i Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Udviklere fra Cloudflare om de unders\u00f8gelser, der ligger til grund for de popul\u00e6re r\u00e5d om, hvordan man \"l\u00e6rer at l\u00e6re\".<\/a><\/noindex> har arbejdet p\u00e5 at optimere ydelsen af disk-kryptering i Linux-kernen. Som et resultat er der blevet forberedt patches<\/a><\/noindex> til subsystemet dm-crypt<\/a><\/noindex> og Crypto API, som i en syntetisk test fors\u00f8gte at fordoble b\u00e5ndbredden ved l\u00e6sning og skrivning samt halvere latensen. Under testning p\u00e5 faktisk hardware lykkedes det at reducere overhead fra kryptering n\u00e6sten til niveauet, der observeres ved brug af disk uden datakryptering.<\/p>\n

Cloudflare bruger dm-crypt til at kryptere data p\u00e5 lagringsenheder, der anvendes til caching af indhold i CDN-netv\u00e6rket. Dm-crypt opererer p\u00e5 blokniveau og udf\u00f8rer kryptering af skrive- og l\u00e6seforesp\u00f8rgsler, hvilket fungerer som et lag mellem blokenheden og filsystemdriveren. <\/p>\n

\"Cloudflare<\/a><\/noindex><\/center><\/p>\n

For at evaluere ydelsen af dm-crypt ved hj\u00e6lp af pakken Flexible I\/O tester<\/a><\/noindex> blev der m\u00e5lt hastigheden ved arbejde med krypterede og ukrypterede partitioner p\u00e5 en RAM-disk, der blev placeret i RAM for at undg\u00e5 udsving i diskydelse og fokusere p\u00e5 kodeydelse. For de ukrypterede partitioner holdt l\u00e6se- og skriveydelsen sig p\u00e5 niveauet 1126 MB\/s, men da kryptering blev aktiveret, faldt hastigheden med 7 gange<\/b> og endte p\u00e5 147 MB\/s. <\/p>\n

I starten opstod der mistanker om anvendelsen af ineffektive algoritmer i kernekryptosystemet. Men i testene blev den hurtigste algoritme aes-xts anvendt med en 256-bit krypteringsn\u00f8gle, hvis ydeevne under «cryptsetup benchmark» var mere end dobbelt s\u00e5 h\u00f8j som det resultat, der blev opn\u00e5et ved test af RAM-disk. Eksperimenter med dm-crypt-flag til optimering af ydeevne gav ingen resultater: ved brug af flaget «—perf-same_cpu_crypt» faldt ydeevnen til og med til 136 MB\/s, mens den kun steg til 166 MB\/s ved angivelse af flaget «—perf-submit_from_crypt_cpus».<\/p>\n

En dybere analyse af logikken bag funktionaliteten viste, at dm-crypt ikke er s\u00e5 enkelt, som det ser ud til — n\u00e5r en skrivningsanmodning modtages fra filsystemdriveren, behandler dm-crypt den ikke straks, men placerer den i k\u00f8en «kcryptd», som ikke behandles med det samme, men venter p\u00e5 et passende \u00f8jeblik. Anmodningen sendes derefter til Linux Crypto API til kryptering. Men da Crypto API bruger en asynkron udf\u00f8relsesmodel, udf\u00f8res krypteringen heller ikke straks, men g\u00e5r forbi endnu en k\u00f8. N\u00e5r krypteringen er afsluttet, kan dm-crypt fors\u00f8ge at sortere de ventende skrivningsanmodninger ved hj\u00e6lp af et s\u00f8getr\u00e6. r\u00f8d-svart<\/a><\/noindex>. Til sidst fanger en s\u00e6rskilt tr\u00e5d i kernen igen med en vis forsinkelse de akkumulerede input\/output-anmodninger og sender dem til stakken af blokenheden.<\/p>\n

\"Cloudflare<\/a><\/noindex><\/center><\/p>\n

N\u00e5r der l\u00e6ses, tilf\u00f8jer dm-crypt f\u00f8rst anmodningen om at hente data fra lagermediet til k\u00f8en «kcryptd_io». Efter noget tid bliver dataene tilg\u00e6ngelige og placeres i k\u00f8en «kcryptd» til dekryptering.
\nKcryptd sender anmodningen til Linux Crypto API, som dekrypterer oplysningerne i asynkron tilstand. Anmodninger passerer ikke altid gennem alle k\u00f8er, men i v\u00e6rste fald kan en skriveanmodning sidde fast i k\u00f8erne op til 4 gange, mens en l\u00e6seanmodning kan sidde fast op til 3 gange. Hvert indtr\u00e6den i k\u00f8en medf\u00f8rer forsinkelser, som er den centrale \u00e5rsag til den betydelige reduktion i ydeevnen for dm-crypt. <\/p>\n

Brugen af \u200b\u200bk\u00f8er skyldes n\u00f8dvendigheden af \u200b\u200bat arbejde under forhold med afbrydelser. I 2005, da den nuv\u00e6rende model for dm-crypt baseret p\u00e5 k\u00f8er blev implementeret, var Crypto API endnu ikke asynkron. Efter overgangen af \u200b\u200bCrypto API til en asynkron udf\u00f8relsesmodel blev dobbeltbeskyttelse i realiteten anvendt. K\u00f8er blev ogs\u00e5 indf\u00f8rt for at spare p\u00e5 forbruget af kerneudvidelsesstakken, men efter dens stigning i 2014 mistede disse optimeringer relevans. En ekstra k\u00f8 «kcryptd_io» blev indf\u00f8rt for at overvinde flaskehalse, der medf\u00f8rer ventetid ved tildeling af hukommelse, n\u00e5r der kommer mange anmodninger. I 2015 blev en sorteringsfase yderligere introduceret, da krypteringsanmodninger p\u00e5 multiprocessorsystemer kunne afsluttes uden at overholde afsendelsesr\u00e6kkef\u00f8lgen (i stedet for sekventiel adgang til disken blev der opn\u00e5et adgang i tilf\u00e6ldig r\u00e6kkef\u00f8lge, og CFQ-planl\u00e6ggeren fungerede heller ikke effektivt). I dag, ved brug af SSD-drev, har sortering mistet sin betydning, og CFQ-planl\u00e6ggeren anvendes ikke l\u00e6ngere i kernen.<\/p>\n

I betragtning af at moderne lagringsenheder er blevet hurtigere og mere intelligente, er ressourcefordelingssystemet i Linux-kernen blevet revideret, og nogle undersystemer er blevet omarbejdet af ingeni\u00f8rer fra Cloudflare. tilf\u00f8jet<\/a><\/noindex> I dm-crypt er der en ny driftsmode, der er fri for un\u00f8dvendige k\u00f8er og asynkrone kald. Moden aktiveres med et separat flag «force_inline» og konverterer dm-crypt til en simpel proxy, der krypterer og dekrypterer de indkomne anmodninger. Interaktionen med Crypto API er blevet optimeret ved klart at v\u00e6lge krypteringsalgoritmer, der arbejder i synkron tilstand og ikke bruger anmodningsk\u00f8er. For synkron drift med Crypto API var der... er blevet foresl\u00e5et<\/a><\/noindex> en modul, der g\u00f8r det muligt at bruge FPU\/AES-NI til acceleration og direkte videresender krypterings- og dekrypteringsanmodninger.<\/p>\n

Resultatet var, at man ved test af RAM-disk kunne \u00f8ge ydelsen af \u200b\u200bdm-crypt mere end dobbelt \u2014 ydelsen steg fra 294 MB\/s (2 x 147 MB\/s) til 640 MB\/s, hvilket er meget t\u00e6t p\u00e5 ydelsen af \u200b\u200bren kryptering (696 MB\/s).
\n

\"Cloudflare<\/a><\/noindex><\/center>
\n
\"Cloudflare<\/a><\/noindex><\/center>
\n
\"Cloudflare<\/a><\/noindex><\/center><\/p>\n

Ved belastningstest af virkelige servere viste den nye implementering en ydeevne, der var meget t\u00e6t p\u00e5 konfigurationen, der k\u00f8rte uden kryptering, og aktivering af kryptering p\u00e5 servere med Cloudflare-cache p\u00e5virkede slet ikke svartiden. I fremtiden planl\u00e6gger Cloudflare at overf\u00f8re de forberedte patches til den centrale Linux-kern, men f\u00f8r dette skal de revideres, da de er optimeret til en bestemt belastning og ikke d\u00e6kker alle anvendelsesomr\u00e5der, s\u00e5som kryptering p\u00e5 lavkraftede indlejrede enheder.<\/p>\n

\"Cloudflare<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Kilde: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Cloudflare \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043b\u0438 \u043e \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u043e\u043f\u0442\u0438\u043c\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0434\u0438\u0441\u043a\u043e\u0432\u043e\u0433\u043e \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u044f\u0434\u0440\u0435 Linux. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0431\u044b\u043b\u0438 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u044b \u043f\u0430\u0442\u0447\u0438 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u044b dm-crypt \u0438 Crypto API, \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0432\u0448\u0438\u0435 \u0432 \u0441\u0438\u043d\u0442\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u0442\u0435\u0441\u0442\u0435 \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c \u0432 \u0434\u0432\u0430 \u0440\u0430\u0437\u0430 \u043f\u043e\u0434\u043d\u044f\u0442\u044c \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u043d\u0443\u044e \u0441\u043f\u043e\u0441\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u0438 \u0447\u0442\u0435\u043d\u0438\u0438 \u0438 \u0437\u0430\u043f\u0438\u0441\u0438, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432 \u0434\u0432\u0430 \u0440\u0430\u0437\u0430 \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0438. \u041f\u0440\u0438 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043d\u0430 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":75940,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-75939","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Cloudflare har forberedt patches, der drastisk accelererer disk-kryptering i Linux | ProHoster","description":"Udviklerne fra Cloudflare har fortalt om arbejdet med at optimere ydeevnen.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/news\/kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u0438\u043b\u0430 \u043f\u0430\u0442\u0447\u0438, \u043a\u0430\u0440\u0434\u0438\u043d\u0430\u043b\u044c\u043d\u043e \u0443\u0441\u043a\u043e\u0440\u044f\u044e\u0449\u0438\u0435 \u0434\u0438\u0441\u043a\u043e\u0432\u043e\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0432 Linux | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Cloudflare \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043b\u0438 \u043e \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u043e\u043f\u0442\u0438\u043c\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/da\/blog\/news\/kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-03-29T17:42:19+00:00","article:modified_time":"2020-03-29T17:42:19+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"75939","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 17:46:22","updated":"2022-10-01 10:55:48","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/75939","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=75939"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/75939\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/75940"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=75939"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=75939"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=75939"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}