Dotaz: sifrovany server

[martina]

ahoj,

mam plan a chci slyset kritiku :)

chci na serveru, kde provozujeme par vps presunout vsechny data (vps) pod sifrovany oddil.
nemam ale moznost dopredu vyzkouset o kolik procent navic naroste zatez.
v soucasne dobe to server stiha v pohode, na nejakych 30pct (cpu).

vim, ze bude slozitejsi spousteni (rucne pres ssh zadat heslo a pak az vse nabehne), ale
server neni neco, co se restartuje nejak casto, takze to neni problem.

myslite si, ze zvyseni zateze bude akceptovatelne?
jde mi o to, at se touhle security-ficurkou nezabije vykon (uz neni v serveru nic co by se dalo upgradnout).

sw: debian, openvz, dm-crypt
hw: xeon, 24gb, sas 15k, raid5

diky,
martina

Odpovědi

[Sten]

Mám dvanáctidiskové RAID-6 XFS šifrované Twofish a dá to na Athlonu Ⅱ X4 přes 150 MBps, přitom se stroj fláká, takže nejspíš čeká na disky (řadiče jedou přes PCI).

[omg]

no hlavne to pouzij v rezimu XTS.

http://en.wikipedia.org/wiki/Block_cipher_modes_of_operation

[pht]

a k čemu to bude, když v provozu bude vše odšifrované?

[Jakub Lucký]

Až to někdo zabaví?

[Jendа]

Jde o to, jestli jenom tupě přijde, vytáhne ze zásuvky a odnese si to, nebo si s tím bude chtít trochu pohrát (coldboot, MitM na SSH).

[Jakub Lucký]

Policie by asi v souladu s platným právním řádem měla vzít a odnést... Kdokoliv jiný by si asi hrál...

[Jendа]

Pro představu: Atom N270 dá 20 MB/s. Takže Xeon by s tím neměl mít nějaký extrémní problém.

Spíš bych se zajímal o bezpečnost - předpokládám, že o vstupu útočníka (policie) do datacentra se nedozvíš, takže útočník ti může server vypnout, vytáhnout disk, zkopírovat si SSH klíč a počkat, až zadáš heslo.

[martina]

pravda, pravda :|

mas nejaky tip jak to resit? vim, reseni je pokazde jet do dc, jenze to nekdy muze byt casove neefektivni :(

pripojeni pres konzoli a preboot sifrovani taky neni dobry napad :(

hm...

martina

[ES]

Vsechny servery ktere stavim maji sifrovane pole (aes). Propad vykonu neznatelny a to tumam i hodne stary masiny. Duvod je ten ze zadna firma kde to bezi nema oddelenou servrovnu ale casto pouze zamknuty rack na chodbe (zalohy opet sifrovany ukladany vzdalene) hlavni duvod jsou zlodeji zelezo at si odnesou ale k datum se nedostanou. Do hausingu jsem nikdy nic nedaval tak nevim.