{"id":75939,"date":"2020-03-29T19:42:19","date_gmt":"2020-03-29T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux"},"modified":"2020-03-29T19:42:19","modified_gmt":"2020-03-29T17:42:19","slug":"kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux","title":{"rendered":"Cloudflare a pr\u00e9par\u00e9 des patchs qui acc\u00e9l\u00e8rent consid\u00e9rablement le chiffrement des disques sous Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les d\u00e9veloppeurs de Cloudflare avons expliqu\u00e9<\/a><\/noindex> ont r\u00e9alis\u00e9 des travaux d'optimisation des performances du chiffrement disque dans le noyau Linux. En cons\u00e9quence, ils ont pr\u00e9par\u00e9 patchs<\/a><\/noindex> pour la sous-syst\u00e8me dm-crypt<\/a><\/noindex> et Crypto API, permettant d'augmenter la bande passante lors des tests synth\u00e9tiques de plus de deux fois pour la lecture et l'\u00e9criture, tout en r\u00e9duisant \u00e9galement les latences de moiti\u00e9. Lors des tests sur du mat\u00e9riel r\u00e9el, les frais g\u00e9n\u00e9raux li\u00e9s au chiffrement ont pu \u00eatre r\u00e9duits presque au niveau observ\u00e9 en travaillant avec un disque sans chiffrement des donn\u00e9es.<\/p>\n

Cloudflare utilise dm-crypt pour le chiffrement des donn\u00e9es sur les disques utilis\u00e9s pour le caching de contenu dans le r\u00e9seau CDN. Dm-crypt op\u00e8re au niveau de l'appareil de bloc et g\u00e8re le chiffrement des requ\u00eates d'entr\u00e9e\/sortie pour les \u00e9critures et le d\u00e9chiffrement des requ\u00eates de lecture, agissant comme une couche interm\u00e9diaire entre l'appareil de bloc et le pilote de syst\u00e8me de fichiers. <\/p>\n

\"Cloudflare<\/a><\/noindex><\/center><\/p>\n

Pour \u00e9valuer la performance de dm-crypt \u00e0 l'aide du paquet Flexible I\/O tester<\/a><\/noindex> il a \u00e9t\u00e9 mesur\u00e9 la vitesse de traitement des partitions chiffr\u00e9es et non chiffr\u00e9es sur un disque RAM, plac\u00e9 en RAM pour \u00e9viter les fluctuations de performance des disques et se concentrer sur les performances du code. Pour les partitions non chiffr\u00e9es, les performances de lecture et d'\u00e9criture ont atteint 1126 MB\/s, mais avec l'activation du chiffrement, la vitesse a chut\u00e9 de 7 fois<\/b> et a \u00e9t\u00e9 de 147 MB\/s. <\/p>\n

Au d\u00e9but, le soup\u00e7on d'utilisation d'algorithmes inefficaces dans le syst\u00e8me de cryptage noyau est apparu. Mais lors des tests, l'algorithme le plus rapide, aes-xts avec une cl\u00e9 de chiffrement de 256 bits, a \u00e9t\u00e9 utilis\u00e9, dont les performances lors de l'ex\u00e9cution de la commande \u00ab cryptsetup benchmark \u00bb sont plus de deux fois sup\u00e9rieures \u00e0 celles obtenues lors des tests de RAM disque. Les exp\u00e9riences avec les options dm-crypt pour l'optimisation des performances n'ont pas donn\u00e9 de r\u00e9sultats : en utilisant l'option \u00ab --perf-same_cpu_crypt \u00bb, les performances ont m\u00eame diminu\u00e9 \u00e0 136 Mo\/s, tandis qu'avec l'option \u00ab --perf-submit_from_crypt_cpus \u00bb, elles n'ont augment\u00e9 qu'\u00e0 166 Mo\/s.<\/p>\n

Une analyse plus approfondie de la logique de fonctionnement a montr\u00e9 que dm-crypt n'est pas aussi simple qu'il y para\u00eet - lorsqu'une demande d'\u00e9criture est re\u00e7ue du pilote FS, dm-crypt ne la traite pas imm\u00e9diatement, mais la place dans la file d'attente \u00ab kcryptd \u00bb, qui n'est pas trait\u00e9e tout de suite, mais au moment opportun. De la file d'attente, la demande est envoy\u00e9e \u00e0 l'API Crypto de Linux pour ex\u00e9cuter le chiffrement. Mais comme l'API Crypto utilise un mod\u00e8le d'ex\u00e9cution asynchrone, le chiffrement n'est pas effectu\u00e9 imm\u00e9diatement, mais passe par une autre file d'attente. Apr\u00e8s avoir termin\u00e9 le chiffrement, dm-crypt peut essayer de trier les demandes d'\u00e9criture en attente en utilisant un arbre de recherche. rouge-noir<\/a><\/noindex>. \u00c0 la fin, un thread s\u00e9par\u00e9 du noyau r\u00e9cup\u00e8re \u00e0 nouveau les demandes d'entr\u00e9e\/sortie accumul\u00e9es avec un certain d\u00e9lai et les envoie \u00e0 la pile du p\u00e9riph\u00e9rique de bloc.<\/p>\n

\"Cloudflare<\/a><\/noindex><\/center><\/p>\n

Lors de la lecture, dm-crypt commence par ajouter \u00e0 la file d'attente \u00ab kcryptd_io \u00bb une demande d'obtention de donn\u00e9es \u00e0 partir du support de stockage. Apr\u00e8s un certain temps, les donn\u00e9es deviennent disponibles et sont plac\u00e9es dans la file d'attente \u00ab kcryptd \u00bb pour le d\u00e9chiffrement.
\nKcryptd envoie la demande \u00e0 l'API Crypto de Linux, qui d\u00e9chiffre l'information en mode asynchrone. Les demandes ne passent pas toujours par toutes les files d'attente, mais dans le pire des cas, une demande d'\u00e9criture peut rester dans les files d'attente jusqu'\u00e0 4 fois, tandis qu'une demande de lecture jusqu'\u00e0 3 fois. Chaque passage dans la file d'attente entra\u00eene des d\u00e9lais, qui sont la principale cause de la r\u00e9duction significative des performances de dm-crypt. <\/p>\n

L'utilisation des files d'attente est due \u00e0 la n\u00e9cessit\u00e9 de travailler dans des conditions d'interruption. En 2005, lorsque le mod\u00e8le actuel de fonctionnement de dm-crypt bas\u00e9 sur des files d'attente a \u00e9t\u00e9 impl\u00e9ment\u00e9, le Crypto API n'\u00e9tait pas encore asynchrone. Apr\u00e8s le passage du Crypto API \u00e0 un mod\u00e8le d'ex\u00e9cution asynchrone, une protection double a commenc\u00e9 \u00e0 \u00eatre mise en \u0153uvre. Les files d'attente ont \u00e9galement \u00e9t\u00e9 introduites pour \u00e9conomiser la consommation de la pile du noyau, mais apr\u00e8s son augmentation en 2014, ces optimisations ont perdu leur pertinence. Une file d'attente suppl\u00e9mentaire, «kcryptd_io», a \u00e9t\u00e9 introduite pour surmonter le goulot d'\u00e9tranglement qui provoquait une attente de l'allocation de m\u00e9moire lors de la r\u00e9ception d'un grand nombre de requ\u00eates. En 2015, une phase de tri a \u00e9galement \u00e9t\u00e9 introduite, car les requ\u00eates de chiffrement sur des syst\u00e8mes multiprocesseurs pouvaient se terminer sans respecter l'ordre d'envoi (au lieu d'un acc\u00e8s s\u00e9quentiel au disque, un acc\u00e8s al\u00e9atoire \u00e9tait utilis\u00e9, et le planificateur CFQ ne fonctionnait pas efficacement). Actuellement, avec l'utilisation de disques SSD, le tri a perdu son int\u00e9r\u00eat, et le planificateur CFQ n'est plus utilis\u00e9 dans le noyau.<\/p>\n

\u00c9tant donn\u00e9 que les disques modernes sont devenus plus rapides et plus intelligents, le syst\u00e8me de r\u00e9partition des ressources dans le noyau Linux a \u00e9t\u00e9 revu et certaines sous-syst\u00e8mes ont \u00e9t\u00e9 retravaill\u00e9es, les ing\u00e9nieurs de Cloudflare ont ajout\u00e9<\/a><\/noindex> Dans dm-crypt, un nouveau mode de fonctionnement a \u00e9t\u00e9 introduit, \u00e9liminant l'utilisation de files d'attente inutiles et d'appels asynchrones. Le mode est activ\u00e9 par un drapeau distinct «force_inline» et transforme dm-crypt en une forme de simple proxy, chiffrant et d\u00e9chiffrant les requ\u00eates entrantes. L'interaction avec le Crypto API a \u00e9t\u00e9 optimis\u00e9e par le choix explicite d'algorithmes de chiffrement travaillant en mode synchrone et n'utilisant pas de files d'attente. Pour le fonctionnement synchrone avec le Crypto API, il a \u00e9t\u00e9 a \u00e9t\u00e9 propos\u00e9<\/a><\/noindex> module a \u00e9t\u00e9 cr\u00e9\u00e9, permettant d'utiliser le FPU\/AES-NI pour acc\u00e9l\u00e9rer et transmettre directement les requ\u00eates de chiffrement et de d\u00e9chiffrement.<\/p>\n

En cons\u00e9quence, lors des tests sur un disque RAM, la performance de dm-crypt a \u00e9t\u00e9 augment\u00e9e de plus de deux fois \u2014 la performance est pass\u00e9e de 294 Mo\/s (2 x 147 Mo\/s) \u00e0 640 Mo\/s, ce qui est tr\u00e8s proche de la performance du chiffrement brut (696 Mo\/s).
\n

\"Cloudflare<\/a><\/noindex><\/center>
\n
\"Cloudflare<\/a><\/noindex><\/center>
\n
\"Cloudflare<\/a><\/noindex><\/center><\/p>\n

Lors des tests de charge sur des serveurs r\u00e9els, la nouvelle impl\u00e9mentation a montr\u00e9 des performances tr\u00e8s proches de la configuration fonctionnant sans chiffrement, et l'activation du chiffrement sur les serveurs avec le cache Cloudflare n'a pas affect\u00e9 le temps de r\u00e9ponse. Par la suite, Cloudflare pr\u00e9voit de transmettre les patchs pr\u00e9par\u00e9s au noyau principal de Linux, mais ils devront \u00eatre retravaill\u00e9s, car ils sont optimis\u00e9s pour une charge sp\u00e9cifique et ne couvrent pas tous les cas d'utilisation, par exemple, le chiffrement sur des dispositifs embarqu\u00e9s peu puissants.<\/p>\n

\"Cloudflare<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Cloudflare \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043b\u0438 \u043e \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u043e\u043f\u0442\u0438\u043c\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0434\u0438\u0441\u043a\u043e\u0432\u043e\u0433\u043e \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u044f\u0434\u0440\u0435 Linux. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0431\u044b\u043b\u0438 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u044b \u043f\u0430\u0442\u0447\u0438 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u044b dm-crypt \u0438 Crypto API, \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0432\u0448\u0438\u0435 \u0432 \u0441\u0438\u043d\u0442\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u0442\u0435\u0441\u0442\u0435 \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c \u0432 \u0434\u0432\u0430 \u0440\u0430\u0437\u0430 \u043f\u043e\u0434\u043d\u044f\u0442\u044c \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u043d\u0443\u044e \u0441\u043f\u043e\u0441\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u0438 \u0447\u0442\u0435\u043d\u0438\u0438 \u0438 \u0437\u0430\u043f\u0438\u0441\u0438, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432 \u0434\u0432\u0430 \u0440\u0430\u0437\u0430 \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0438. \u041f\u0440\u0438 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043d\u0430 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":75940,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-75939","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Cloudflare a pr\u00e9par\u00e9 des patchs qui acc\u00e9l\u00e8rent consid\u00e9rablement le chiffrement de disque dans Linux | ProHoster","description":"Les d\u00e9veloppeurs de Cloudflare ont parl\u00e9 des efforts entrepris pour optimiser les performances.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u0438\u043b\u0430 \u043f\u0430\u0442\u0447\u0438, \u043a\u0430\u0440\u0434\u0438\u043d\u0430\u043b\u044c\u043d\u043e \u0443\u0441\u043a\u043e\u0440\u044f\u044e\u0449\u0438\u0435 \u0434\u0438\u0441\u043a\u043e\u0432\u043e\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0432 Linux | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Cloudflare \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043b\u0438 \u043e \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u043e\u043f\u0442\u0438\u043c\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/kompaniya-cloudflare-podgotovila-patchi-kardinalno-uskoryayushhie-diskovoe-shifrovanie-v-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-03-29T17:42:19+00:00","article:modified_time":"2020-03-29T17:42:19+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"75939","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 17:46:22","updated":"2022-10-01 10:55:48","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/75939","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=75939"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/75939\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/75940"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=75939"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=75939"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=75939"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}