ലിനക്സിലെ ഡിസ്ക് എൻക്രിപ്ഷൻ നാടകീയമായി വേഗത്തിലാക്കുന്ന പാച്ചുകൾ ക്ലൗഡ്ഫ്ലെയർ തയ്യാറാക്കിയിട്ടുണ്ട്

Cloudflare-ൽ നിന്നുള്ള ഡെവലപ്പർമാർ പറഞ്ഞു ലിനക്സ് കേർണലിലെ ഡിസ്ക് എൻക്രിപ്ഷന്റെ പ്രകടനം ഒപ്റ്റിമൈസ് ചെയ്യുന്നതിനുള്ള ജോലികൾ നടത്തുന്നതിനെക്കുറിച്ച്. തൽഫലമായി, അവർ തയ്യാറായി പാച്ചുകൾ സബ്സിസ്റ്റത്തിനായി dm- ക്രിപ്റ്റ് കൂടാതെ ക്രിപ്‌റ്റോ എപിഐ, സിന്തറ്റിക് ടെസ്റ്റിലെ റീഡ് ആൻഡ് റൈറ്റിന്റെ ഇരട്ടിയിലധികം ത്രോപുട്ട് സാധ്യമാക്കി, ഒപ്പം ലേറ്റൻസി പകുതിയായി കുറയ്ക്കുകയും ചെയ്തു. യഥാർത്ഥ ഹാർഡ്‌വെയറിൽ പരീക്ഷിച്ചപ്പോൾ, ഡാറ്റ എൻക്രിപ്ഷൻ ഇല്ലാതെ ഒരു ഡിസ്കിൽ പ്രവർത്തിക്കുമ്പോൾ നിരീക്ഷിക്കുന്ന ഏതാണ്ട് ലെവലിലേക്ക് എൻക്രിപ്ഷൻ ഓവർഹെഡ് കുറച്ചു.

CDN-ൽ ഉള്ളടക്കം കാഷെ ചെയ്യാൻ ഉപയോഗിക്കുന്ന സ്റ്റോറേജ് ഡിവൈസുകളിലെ ഡാറ്റ എൻക്രിപ്റ്റ് ചെയ്യാൻ Cloudflare dm-crypt ഉപയോഗിക്കുന്നു. ബ്ലോക്ക് ഡിവൈസ് തലത്തിൽ Dm-crypt പ്രവർത്തിക്കുന്നു, കൂടാതെ I/O അഭ്യർത്ഥനകൾ എൻക്രിപ്റ്റ് ചെയ്യുകയും റീഡ് അഭ്യർത്ഥനകൾ ഡീക്രിപ്റ്റ് ചെയ്യുകയും ചെയ്യുന്നു, ബ്ലോക്ക് ഡിവൈസിനും ഫയൽ സിസ്റ്റം ഡ്രൈവറിനും ഇടയിൽ ഒരു ലെയറായി പ്രവർത്തിക്കുന്നു.

പാക്കേജ് ഉപയോഗിച്ച് dm-crypt-ന്റെ പ്രകടനം വിലയിരുത്തുന്നതിന് ഫ്ലെക്സിബിൾ ഐ/ഒ ടെസ്റ്റർ ഡിസ്ക് പ്രകടനത്തിലെ ഏറ്റക്കുറച്ചിലുകൾ ഇല്ലാതാക്കുന്നതിനും കോഡ് പ്രകടനത്തിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നതിനും റാമിൽ സ്ഥിതിചെയ്യുന്ന ഒരു റാം ഡിസ്കിൽ എൻക്രിപ്റ്റ് ചെയ്തതും എൻക്രിപ്റ്റ് ചെയ്യാത്തതുമായ പാർട്ടീഷനുകൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്നതിന്റെ വേഗത ഞങ്ങൾ അളന്നു. എൻക്രിപ്റ്റ് ചെയ്യാത്ത പാർട്ടീഷനുകൾക്ക്, റീഡ് ആൻഡ് റൈറ്റ് പ്രകടനം 1126 MB/s ആയി തുടർന്നു, എന്നാൽ എൻക്രിപ്ഷൻ പ്രവർത്തനക്ഷമമാക്കിയപ്പോൾ വേഗത കുറഞ്ഞു. 7 തവണ 147 MB/s ആയി.

ആദ്യം, കേർണൽ ക്രിപ്‌റ്റോസിസ്റ്റത്തിലെ കാര്യക്ഷമമല്ലാത്ത അൽഗോരിതങ്ങളുടെ ഉപയോഗത്തെക്കുറിച്ച് സംശയം ഉയർന്നു. എന്നാൽ 256 എൻക്രിപ്ഷൻ കീകളുള്ള ഏറ്റവും വേഗതയേറിയ അൽഗോരിതം, aes-xts ആണ് ടെസ്റ്റുകൾ ഉപയോഗിച്ചത്, "cryptsetup ബെഞ്ച്മാർക്ക്" പ്രവർത്തിപ്പിക്കുമ്പോൾ അതിന്റെ പ്രകടനം ഒരു റാം ഡിസ്ക് പരീക്ഷിക്കുമ്പോൾ ലഭിച്ച ഫലത്തിന്റെ ഇരട്ടിയിലധികം കൂടുതലാണ്. പ്രകടന ട്യൂണിംഗിനായി dm-crypt ഫ്ലാഗുകൾ ഉപയോഗിച്ചുള്ള പരീക്ഷണങ്ങൾ ഫലം നൽകിയില്ല: "--perf-same_cpu_crypt" ഫ്ലാഗ് ഉപയോഗിക്കുമ്പോൾ, പ്രകടനം 136 MB/s ആയി കുറഞ്ഞു, കൂടാതെ "--perf-submit_from_crypt_cpus" ഫ്ലാഗ് വ്യക്തമാക്കുമ്പോൾ അത് വർദ്ധിച്ചു. 166 MB/s വരെ.

ഓപ്പറേറ്റിംഗ് ലോജിക്കിന്റെ ആഴത്തിലുള്ള വിശകലനം കാണിക്കുന്നത് dm-crypt തോന്നുന്നത്ര ലളിതമല്ല - FS ഡ്രൈവറിൽ നിന്ന് ഒരു റൈറ്റ് അഭ്യർത്ഥന വരുമ്പോൾ, dm-crypt അത് ഉടനടി പ്രോസസ്സ് ചെയ്യുന്നില്ല, പക്ഷേ അത് “kcryptd” ക്യൂവിൽ സ്ഥാപിക്കുന്നു. ഉടനടി പാഴ്‌സ് ചെയ്യപ്പെടുന്നില്ല, എന്നാൽ സൗകര്യപ്രദമായ നിമിഷം. ക്യൂവിൽ നിന്ന്, എൻക്രിപ്ഷൻ നടത്താൻ Linux Crypto API-ലേക്ക് അഭ്യർത്ഥന അയയ്ക്കുന്നു. എന്നാൽ ക്രിപ്‌റ്റോ എപിഐ ഒരു അസിൻക്രണസ് എക്‌സിക്യൂഷൻ മോഡൽ ഉപയോഗിക്കുന്നതിനാൽ, എൻക്രിപ്‌ഷനും ഉടനടി നടപ്പിലാക്കില്ല, മറിച്ച് മറ്റൊരു ക്യൂ മറികടക്കുന്നു. എൻക്രിപ്ഷൻ പൂർത്തിയായ ശേഷം, dm-crypt ഒരു തിരയൽ ട്രീ ഉപയോഗിച്ച് തീർച്ചപ്പെടുത്താത്ത എഴുത്ത് അഭ്യർത്ഥനകൾ അടുക്കാൻ ശ്രമിച്ചേക്കാം ചുവപ്പ്-കറുപ്പ്. അവസാനം, ഒരു പ്രത്യേക കേർണൽ ത്രെഡ്, ഒരു നിശ്ചിത കാലതാമസത്തോടെ, ശേഖരിച്ച I/O അഭ്യർത്ഥനകൾ എടുത്ത് ബ്ലോക്ക് ഡിവൈസ് സ്റ്റാക്കിലേക്ക് അയയ്ക്കുന്നു.

വായിക്കുമ്പോൾ, ഡ്രൈവിൽ നിന്ന് ഡാറ്റ സ്വീകരിക്കുന്നതിന് dm-crypt ആദ്യം "kcryptd_io" ക്യൂവിലേക്ക് ഒരു അഭ്യർത്ഥന ചേർക്കുന്നു. കുറച്ച് സമയത്തിന് ശേഷം, ഡാറ്റ ലഭ്യമാകുകയും ഡീക്രിപ്ഷനായി "kcryptd" ക്യൂവിൽ സ്ഥാപിക്കുകയും ചെയ്യുന്നു.
Kcryptd Linux Crypto API-ലേക്ക് ഒരു അഭ്യർത്ഥന അയയ്‌ക്കുന്നു, അത് വിവരങ്ങൾ അസമന്വിതമായി ഡീക്രിപ്റ്റ് ചെയ്യുന്നു. അഭ്യർത്ഥനകൾ എല്ലായ്‌പ്പോഴും എല്ലാ ക്യൂകളിലൂടെയും കടന്നുപോകുന്നില്ല, എന്നാൽ ഏറ്റവും മോശം സാഹചര്യത്തിൽ, ഒരു എഴുത്ത് അഭ്യർത്ഥന 4 തവണ വരെ ക്യൂകളിലും ഒരു റീഡ് അഭ്യർത്ഥന 3 തവണ വരെയും അവസാനിക്കും. ക്യൂവിലേക്കുള്ള ഓരോ ഹിറ്റും കാലതാമസത്തിന് കാരണമാകുന്നു, ഇത് dm-crypt പ്രകടനത്തിലെ ഗണ്യമായ കുറവിന്റെ പ്രധാന കാരണമാണ്.

തടസ്സങ്ങൾ ഉണ്ടാകുന്ന സാഹചര്യങ്ങളിൽ പ്രവർത്തിക്കേണ്ടതിന്റെ ആവശ്യകതയാണ് ക്യൂകളുടെ ഉപയോഗം. 2005-ൽ, dm-crypt-ന്റെ നിലവിലെ ക്യൂ അടിസ്ഥാനമാക്കിയുള്ള ഓപ്പറേറ്റിംഗ് മോഡൽ നടപ്പിലാക്കിയപ്പോൾ, Crypto API ഇതുവരെ അസമന്വിതമായിരുന്നില്ല. ക്രിപ്‌റ്റോ API ഒരു അസിൻക്രണസ് എക്‌സിക്യൂഷൻ മോഡലിലേക്ക് മാറ്റിയ ശേഷം, പ്രധാനമായും ഇരട്ട സംരക്ഷണം ഉപയോഗിക്കാൻ തുടങ്ങി. കേർണൽ സ്റ്റാക്കിന്റെ ഉപഭോഗം ലാഭിക്കുന്നതിനായി ക്യൂകളും അവതരിപ്പിച്ചു, എന്നാൽ 2014-ൽ അതിന്റെ വർദ്ധനവിന് ശേഷം, ഈ ഒപ്റ്റിമൈസേഷനുകൾക്ക് അവയുടെ പ്രസക്തി നഷ്ടപ്പെട്ടു. തടസ്സം മറികടക്കാൻ ഒരു അധിക ക്യൂ "kcryptd_io" അവതരിപ്പിച്ചു, അതിന്റെ ഫലമായി ധാരാളം അഭ്യർത്ഥനകൾ വരുമ്പോൾ മെമ്മറി അലോക്കേഷനായി കാത്തിരിക്കുന്നു. മൾട്ടിപ്രോസസർ സിസ്റ്റങ്ങളിലെ എൻക്രിപ്ഷൻ അഭ്യർത്ഥനകൾ ക്രമരഹിതമായി പൂർത്തിയാകുമെന്നതിനാൽ 2015-ൽ, ഒരു അധിക സോർട്ടിംഗ് ഘട്ടം അവതരിപ്പിച്ചു (ഡിസ്കിലേക്കുള്ള സീക്വൻഷ്യൽ ആക്‌സസ്സിന് പകരം, ക്രമരഹിതമായ ക്രമത്തിലാണ് ആക്‌സസ് നടത്തിയത്, കൂടാതെ CFQ ഷെഡ്യൂളർ കാര്യക്ഷമമായി പ്രവർത്തിച്ചില്ല). നിലവിൽ, SSD ഡ്രൈവുകൾ ഉപയോഗിക്കുമ്പോൾ, സോർട്ടിംഗിന് അതിന്റെ അർത്ഥം നഷ്ടപ്പെട്ടു, കൂടാതെ CFQ ഷെഡ്യൂളർ ഇനി കേർണലിൽ ഉപയോഗിക്കില്ല.

ആധുനിക ഡ്രൈവുകൾ വേഗതയേറിയതും മികച്ചതുമായി മാറിയതിനാൽ, ലിനക്സ് കേർണലിലെ റിസോഴ്സ് ഡിസ്ട്രിബ്യൂഷൻ സിസ്റ്റം പരിഷ്കരിക്കുകയും ചില സബ്സിസ്റ്റങ്ങൾ പുനർരൂപകൽപ്പന ചെയ്യുകയും ചെയ്തു, ക്ലൗഡ്ഫ്ലെയർ എഞ്ചിനീയർമാർ കൂട്ടിച്ചേർത്തു dm-crypt-ന് ഒരു പുതിയ ഓപ്പറേറ്റിംഗ് മോഡ് ഉണ്ട്, അത് അനാവശ്യ ക്യൂകളുടെയും അസിൻക്രണസ് കോളുകളുടെയും ഉപയോഗം ഒഴിവാക്കുന്നു. "force_inline" എന്ന പ്രത്യേക ഫ്ലാഗ് ഉപയോഗിച്ച് മോഡ് പ്രവർത്തനക്ഷമമാക്കുകയും ഇൻകമിംഗ് അഭ്യർത്ഥനകൾ എൻക്രിപ്റ്റ് ചെയ്യുകയും ഡീക്രിപ്റ്റ് ചെയ്യുകയും ചെയ്യുന്ന ഒരു ലളിതമായ പ്രോക്സിയുടെ രൂപത്തിലേക്ക് dm-crypt കൊണ്ടുവരുന്നു. സിൻക്രണസ് മോഡിൽ പ്രവർത്തിക്കുന്നതും അഭ്യർത്ഥന ക്യൂകൾ ഉപയോഗിക്കാത്തതുമായ എൻക്രിപ്ഷൻ അൽഗോരിതങ്ങൾ വ്യക്തമായി തിരഞ്ഞെടുത്ത് ക്രിപ്‌റ്റോ എപിഐയുമായുള്ള ഇടപെടൽ ഒപ്റ്റിമൈസ് ചെയ്‌തു. Crypto API-യുമായി സമന്വയത്തോടെ പ്രവർത്തിക്കാൻ ഉണ്ടായിരുന്നു നിർദ്ദേശിച്ചു ത്വരിതപ്പെടുത്തലിനായി FPU/AES-NI ഉപയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുകയും എൻക്രിപ്ഷൻ, ഡീക്രിപ്ഷൻ അഭ്യർത്ഥനകൾ നേരിട്ട് കൈമാറുകയും ചെയ്യുന്ന ഒരു മൊഡ്യൂൾ.

തൽഫലമായി, ഒരു റാം ഡിസ്‌ക് പരീക്ഷിക്കുമ്പോൾ, dm-crypt-ന്റെ പ്രകടനത്തിന്റെ ഇരട്ടിയിലധികം വർദ്ധിപ്പിക്കാൻ സാധിച്ചു - പ്രകടനം 294 MB/s (2 x 147 MB/s) ൽ നിന്ന് 640 MB/s ആയി വർദ്ധിച്ചു, ഇത് വളരെ അടുത്താണ്. ബെയർ എൻക്രിപ്ഷന്റെ പ്രകടനം (696 MB/s).

യഥാർത്ഥ സെർവറുകളിൽ ലോഡ് പരിശോധിക്കുമ്പോൾ, എൻക്രിപ്ഷൻ ഇല്ലാതെ പ്രവർത്തിക്കുന്ന കോൺഫിഗറേഷനോട് വളരെ അടുത്താണ് പുതിയ നടപ്പിലാക്കൽ പ്രകടനം കാണിക്കുന്നത്, കൂടാതെ Cloudflare കാഷെ ഉള്ള സെർവറുകളിൽ എൻക്രിപ്ഷൻ പ്രവർത്തനക്ഷമമാക്കുന്നത് പ്രതികരണ വേഗതയെ ബാധിക്കില്ല. ഭാവിയിൽ, Cloudflare തയ്യാറാക്കിയ പാച്ചുകൾ പ്രധാന ലിനക്സ് കേർണലിലേക്ക് മാറ്റാൻ പദ്ധതിയിടുന്നു, എന്നാൽ അതിനുമുമ്പ് അവ പുനർനിർമ്മിക്കേണ്ടതുണ്ട്, കാരണം അവ ഒരു പ്രത്യേക ലോഡിനായി ഒപ്റ്റിമൈസ് ചെയ്തിരിക്കുന്നതിനാൽ ആപ്ലിക്കേഷന്റെ എല്ലാ മേഖലകളും ഉൾക്കൊള്ളുന്നില്ല, ഉദാഹരണത്തിന്, കുറഞ്ഞ എൻക്രിപ്ഷൻ - പവർ ഉൾച്ചേർത്ത ഉപകരണങ്ങൾ.

അവലംബം: opennet.ru