沐创RSP S20高性能密码安全芯片,可广泛应用于高速数据加解密、大容量数据安全存储、数据完整性/机密性保护、高速签名验签、IPSEC/SSL 硬件加速等领域。当前已在应用于国内大型电商平台、大型互联网金融平台,并获得积极的市场反馈。
|
|
|
|
RSA-2048 签名:4万次/秒 |
|
|
会话密钥数量:32768 个 |
|
|
三种套件同时建链性能 10万次/秒 |
|
|
|
|
|
|
|
|
|
背景介绍
IPSec是基于网络层应用密码学的安全通信协议,其具备的机密性、完整性等特性可以让网络传输在安全环境下实现全球通达。随着技术的发展,IPSec的吞吐性能成为各大厂商持续关注的热点话题。目前市面上大部分的IPSec产品均使用软算法实现,这不仅浪费了CPU资源,而且在性能上难以实现突破。
什么是IPSec硬件加速?
IPSec是通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议。IPSec协议主要有以下部分组成。
1、认证头(AH),为IP数据报提供无连接数据完整性、消息认证以及防重放攻击保护;
2、封装安全载荷(ESP),提供机密性、数据源认证、无连接完整性、防重放和有限的传输流(traffic-flow)机密性;
3、安全关联(SA),提供算法和数据包,提供AH、ESP操作所需的参数;
4、密钥协议(IKE),提供对称密码的钥匙的生存和交换。
其中认证头、封装安全载荷和密钥协议中需要使用的密码算法是整个协议的核心,也是性能的瓶颈点,各大厂商的关注焦点在于:如何将这部分算法的性能做到更优。IPSec硬件加速是指将协议中使用到的密码算法交给密码芯片去处理,从而实现整体吞吐性能的提高。
▲IPSec模型
目前IPSec的实现方案中比较成熟的有两种,一种是通过内核xfrm框架实现,典型解决方案有StrongSwan、OpenSwan等;另一种是基于DPDK实现,典型的解决方案有VPP+DPDK等。
▲内核硬件加速模型
在内核硬件加速模型中,沐创自研SDK能对用户态和内核态提供算法接口,在内核接口中实现了和内核crypto框架的对接。部署RSP密码套件后只需简单配置即可实现将密码算法卸载到板载RSP S20安全芯片的密码卡,从而实现IPSec的硬件加速。
▲DPDK硬件加速模型
DPDK加速模型中,板载RSP S20安全芯片的密码卡提供标准的PMD驱动,可以无缝对接到DPDK的CryptoDev,RSP PMD驱动集成后只要简单配置,即可将密码算法卸载到板载RSP S20安全芯片的密码卡,实现IPSec的硬件加速。
性能解析
板载RSP S20安全芯片的密码卡支持常用的国际套件(如:RSA-AES128-CBC-HMAC-SHA1等)和国密套件(如:SM2-SM4-CBC-HMAC-SM3等)算法。加密、认证双算法硬件加速模型下RSP S20安全芯片的性能有着出色的表现。
▲性能测试模型
上述模型中,共部署两台IPSecVPN服务器,每台服务器均搭载一块板载RSP S20安全芯片的密码卡,并部署沐创配套的安全软件,在两台服务器之间建立安全隧道。整个通信过程所使用密码算法服务均由板载RSP S20安全芯片的密码卡提供,通过思博伦网络测试仪进行打流测试,国密套件算法最高性能可达12Gbps。
▲典型套件性能
RSP S20 支持PCIe虚拟化特性, 最大可支持32个VF,每个VF的算法资源物理隔离,因此RSP S20芯片的IPSec方案可以实现与其他方案(SSL加速)共存。
不同的方案可以使用不同的PF/VF设备,使得彼此之间不受干扰。由于不同应用场景对算力(SSL公钥算力、IPSec加密、认证算力)有不同的要求,RSP S20具有的虚拟化特性能促成芯片资源的最大化利用,实现企业效益最大化。
▲RSP S20的SSL与IPSec加速
在IPSec硬件加速场景中,RSP S20可以作为QAT等同类型方案的国产化替代,RSP S20安全芯片在满足对国际密码算法体系支持的基础上,增加了对国密算法的支持,并且对接了内核xfrm框架、DPDK等主流解决方案。
当前,在密码安全芯片领域,RSP S20安全芯片的性能相较竞品遥遥领先;此外,在实际应用中,RSP S20丰富的片上接口资源和完善的开发套件,可为方案定制提供更大的空间。
沐创自成立以来,依托核心团队在可重构计算领域的深厚积累,已经形成了信息安全方向和网络控制方向的两大产品线布局。
2021年底,沐创推出业内首颗融合了安全的智能网络控制器芯片N10,现已实现量产,而本次推出的沐创N10系列智能网卡正是由该款芯片主控。
未来,沐创将沿着既定产品路线,继续稳步向前,推出更多高性能产品,为中国数字新基建献言献策、添砖加瓦。
尤里云科技(深圳)有限公司摩尔线程授权经销商Unixcloud拥有多年的产品研发和制造经验。尤里云是摩尔线程(MooreThreads)官方授权经销商,针对人工智能发展的算力需求,专注于边缘计算领域,为行业提供满足各种AI需求的边缘计算产品和解决方案。同时尤里云开展了万兆网卡的业务,提供基于Mucse的网络控制器N10的四口和两口万兆光纤网卡。