Ускорители шифрования

Но если такая система будет работать слишком медленно, он обратится к услугам другого сервера.

Самые крупные и непроизводительные затраты ресурсов Web-сервера идут на шифрование данных. Центральный процессор вынужден затрачивать на него время, которое он мог бы посвятить обработке транзакций; кроме того, снижается число одновременно обрабатываемых транзакций. «Полусонная» реакция Web-узла настолько раздражает пользователей, что они просто покидают его. А малое число обращений приближает крах вашего электронного бизнеса.

Однако сегодня на рынке есть специальные аппаратные средства, называемые ускорителями шифрования (криптоускорителями). Они самостоятельно осуществляют шифрование, освобождая ресурсы Web-сервера для обработки транзакций, причем выполняют все необходимые для этого расчеты намного быстрее, чем сервер. Конечно, данные платы не из дешевых: их средняя стоимость составляет 10 тыс. долл. И если влияние криптоускорителя на производительность системы не слишком велико, затраты могут не оправдаться. Именно для того, чтобы прояснить этот вопрос, мы и затеяли тестирование аппаратных ускорителей шифрования.

Была исследована работа двух продуктов — Force 300 фирмы nCipher и CryptoSwift 600 от Rainbow Tchnologies. Компания Phobos отказалась предоставить свою плату IN-Boost; официальная мотивировка: ее последний вариант не успевает выйти к началу тестирования. За великолепные функциональные характеристики, полную управляемость, простоту использования и высокую производительность «Голубую ленту» завоевал продукт CryptoSwift 600, но и nForce 300 продемонстрировал хорошие эксплуатационные возможности и масштабируемость при несколько меньшей цене.

Суть дела

В качестве исходных для тестирования были приняты функциональные характеристики Web-серверов, не оснащенных платами криптоускорителя. Мы обнаружили, что наш «чистый» сервер с двумя 350-Мгц процессорами Pentium обеспечивает обработку примерно 14 защищенных транзакций в секунду и среднее время отклика около 5 с. Когда частота запросов увеличилась до 200 в секунду, произошел сбой. Использование каждого из криптоускорителей позволило увеличить число обрабатываемых транзакций в 10 раз. Рекордом CryptoSwift 600 оказались 230 защищенных транзакций в секунду, а nForce 300 справлялся только со 190. В сущности, CryptoSwift 600 превосходит nForce 300 по всем рабочим параметрам: помимо количества транзакций это и меньшее время отклика, и большее число одновременно поддерживаемых соединений. Зато плата nForce 300 полностью защищена от внешнего воздействия и заключена в полимерный кожух, что не дает возможности посторонним «соваться» в схемы (СryptoSwift не имеет какого-либо покрытия). Правда, если кто-то проникнет в помещение, где находится ваш сервер, у вас найдутся более серьезные причины для беспокойства, нежели наличие защитного кожуха у криптоускорителя.

Вопросы управления

Обе платы относительно просто инсталлировать и конфигурировать. Здесь несколько впереди оказалась CryptoSwift 600, так как ее Windows-интерфейс несколько более интуитивно понятный. Однако установочные компакт-диски для nForce 300 содержат не только все драйверы, но и «заплаты», необходимые для инсталляции, в то время как CD-ROM для CryptoSwift 600 не столь совершенны. Этот факт мы не сочли серьезным недостатком, поскольку представитель Rainbow Technologies сообщил, что в настоящее время компания обновляет установочные диски.

Процедуры инсталляции обоих продуктов практически одинаковы. Главные различия состоят в их функциях управления и возможностях масштабирования. Платы поступили с наборами разнообразных утилит; они предназначены для оказания помощи администраторам сетей в диагностике криптоускорителей и решении проблем, возникающих при работе с ними. CryptoSwift оснащена также средствами мониторинга, которые позволяют контролировать номера алгоритмов шифрования RSA, назначенные для платы, а также оценивать степень загрузки Web-серверов для предотвращения сбоев. Мы нашли эти средства очень полезными для прогнозирования и планирования сетевого трафика. Плата nForce не имеет таких механизмов, хотя представители nCipher заявляют, что в будущем компания намерена пополнить ее утилиты средствами мониторинга.

Теперь о масштабируемости продуктов. PCI-разъемы обеих плат дают возможность «вместить» в сервер столько же ускорителей, сколько в нем имеется PCI-слотов. Интерфейс Fast SCSI-2, которым оснащен nForce 300, обеспечивает установку в сервер до семи плат nForce 300. CryptoSwift 600 не располагает SCSI-интерфейсом, он поставляется с внешним блоком, который подключается к серверам через порт Ethernet. Таким образом, благодаря более высокому быстродействию SCSI-интерфейса масштабируемость nForce 300 лучше.

Документация

Ее качество нельзя оценить как явное достоинство обоих продуктов, хотя на Web-узле nCipher есть все описания и «заплатки» для программы инсталляции nForce 300. Документация на CryptoSwift 600, мягко говоря, является скудной, а на Web-сервере Rainbow Technologies вместо дополнительной информации мы нашли сообщение о том, что из соображений безопасности компания не хранит документацию на своем узле.

* * *

В целом, работа обоих криптоускорителей произвела на нас хорошее впечатление. Учитывая, что применение таких плат повышает производительность сервера более чем в 10 раз, мы настоятельно рекомендуем оснастить ими все серверы электронной коммерции. При этом следует иметь в виду, что CryptoSwift 600, хотя и стоит почти столько же, сколько nForce 300, превосходит последний продукт по производительности, функциям управления и простоте инсталляции.

ОБ АВТОРЕ

CryptoSwift 600

Как проводилось тестирование

Результаты тестирования криптоускорителей CryptoSwift 600 и nForce 300 (длина ключа 1024 бит, 30-секундный тест)