🤗 ⛹🏼 🐉 लिनक्स कर्नेल टीएलएस और नेग्नेक्स 💺 👨🏿‍🍳 🍉

इस लेख में मैं ऑपरेटिंग सिस्टम के कोर में एन्क्रिप्शन को स्थानांतरित करके टीएलएस कनेक्शन में सामग्री के वितरण में तेजी लाने के लिए विकास के इतिहास और वर्तमान स्थिति के बारे में बात करूंगा, साथ ही इस दिशा के विकास में मेरे योगदान के बारे में भी।

पृष्ठभूमि

2015 में वापस, नेटफ्लिक्स से रान्डेल स्टीवर्ट और स्कॉट लांग ने एन्क्रिप्टेड सामग्री के वितरण को अनुकूलित करने पर AsiaBSDCon2015 सम्मेलन में एक प्रस्तुति दी । रिपोर्ट का मुख्य संदेश कर्नेल-स्थान और उपयोगकर्ता-स्थान के बीच डेटा प्रतियों की संख्या को कम करने के लिए ऑपरेटिंग सिस्टम के कर्नेल में डेटा एन्क्रिप्शन को स्थानांतरित करना और अनुकूलित नॉन-ब्लॉकिंग सेंडफाइल () सिस्टम कॉल का उपयोग करना है। यह विषय बहुत आशाजनक निकला और 2016 के नेटदेव 1.2 सम्मेलन में पहले से ही, फेसबुक से डेव वाटसन ने लिनक्स कर्नेल में टीएलएस सॉकेट बनाने की आवश्यकता पर एक प्रस्तुति दी, और बोरिस पिस्मनी, इलिया लेसोखिन और मेलानॉक्स से लिसन लिसन ने एक प्रस्तुति दी।नेटवर्क कार्ड में टीएलएस हार्डवेयर त्वरण का उपयोग करने की क्षमता के बारे में। टेम्पेस्टा टेक्नोलॉजीज के एक वक्ता द्वारा हाईलाड ++ 2017 में इस विषय पर भी चर्चा की गई।

लिनक्स कर्नेल समर्थन

इन सभी वार्तालापों का परिणाम लिनक्स 4.13 कर्नेल (2017) में कर्नेल टीएलएस की उपस्थिति, टीएलएसवी 1 के समर्थन और एईएस128-जीसीएम सिफर के साथ था। प्रारंभ में, केवल आउटगोइंग ट्रैफ़िक के एन्क्रिप्शन का समर्थन किया गया था, बाद में लिनक्स कर्नेल 4.17 (2018) में डिक्रिप्शन समर्थन दिखाई दिया। संस्करण 5.1 में, उन्होंने TLSv1.3 और AES256-GCM के लिए समर्थन जोड़ा, और संस्करण 5.2 में उन्होंने AES128-CCM सिफर (2019) को भी जोड़ा।

उपयोगकर्ता-अंतरिक्ष में समर्थन

ऊपर उल्लिखित सभी रिपोर्टों में, यह कहा गया था कि केवल उपयोगी डेटा के एन्क्रिप्शन को कर्नेल में रखा जा सकता है, और सभी टीएलएस अनुमोदन और नियंत्रण संदेशों को उपयोगकर्ता-अंतरिक्ष में समान रूप से नियंत्रित किया जाना चाहिए। और इसके लिए, ओपनएसएसएल के एक संशोधित संस्करण का उपयोग किया गया था। हालांकि, सार्वजनिक डोमेन में रिपोर्टों के प्रकाशन के समय इस बारे में कोई जानकारी नहीं थी कि कार्यक्षमता को समर्थन देने के लिए इस प्रसिद्ध पुस्तकालय में किन संशोधनों की आवश्यकता है। शायद लिनक्स कर्नेल टीएलएस का उपयोग करने का एकमात्र उपलब्ध उदाहरण ब्लॉग लेख था फिलिप्पो वलसोर्दा लिनक्स 4.13 और गो में कर्नेल टीएलएस के साथ खेलना, जो लिनक्स 4.13 कर्नेल की रिहाई के तुरंत बाद दिखाई दिया। और, हालांकि इसने प्रौद्योगिकी के उपयोग का एक वैध उदाहरण दिखाया, लेकिन यह समझ नहीं लाया कि वास्तविक परियोजनाओं में प्रौद्योगिकी का उपयोग कैसे किया जाए। आखिरकार, बहुत कम लोग अपने स्वयं के प्रोजेक्ट के लिए एक WEB सर्वर लिखते हैं, आमतौर पर हर कोई अच्छी तरह से ज्ञात और समय-परीक्षण उपकरण का उपयोग करता है।

OpenSSL में सहायता

ओपेनएसएसएल में प्रौद्योगिकी की पहली चर्चाएं लिनक्स 4.13 कर्नेल ( पीआर 3631 ) की रिलीज से कुछ समय पहले 2017 की गर्मियों में दिखाई दीं , लेकिन चर्चा की प्रक्रिया बहुत धीमी थी, पहली वास्तविक टिप्पणियां अक्टूबर में दिखाई दीं (4.13 कर्नेल जारी होने के बाद), और वास्तविक कार्य संस्करणफरवरी 2018 में चर्चा शुरू हुई। जब तक सभी सुधारों पर सहमति नहीं हो जाती, तब तक ओपनएसएसएल 1.1.1 में नई कार्यक्षमता जोड़ने के लिए विंडो बंद कर दी गई थी, और कर्नेल टीएलएस के लिए समर्थन अगली रिलीज पर ले जाया गया था। उस समय से, कर्नेल टीएलएस आरएक्स समर्थन जोड़ा गया है, और एसएसएल_सेंडफाइल () टीएलएस प्रोटोकॉल में संभावित स्थितियों के थोड़े प्रसंस्करण के साथ संबंधित सिस्केल को कॉल है। लेकिन अब वर्ष 2020 में, OpenSSL 3.0 अभी तक बाहर नहीं आया है, TLSv1.3 को अधिकांश ब्राउज़रों द्वारा समर्थित किया गया है, और AES128-GCM सिफर को अधिक प्रतिरोधी AES256-GCM द्वारा सक्रिय रूप से बदल दिया गया है। इसलिए मैंने स्वतंत्रता ली और नए सिफर और TLSv1.3 का समर्थन करने के लिए एक पुल अनुरोध भेजा , इस उम्मीद में कि वे पुस्तकालय की नई रिलीज से पहले इसे स्वीकार करेंगे।

वेब सर्वरों में सहायता

लेकिन टीएलएस लाइब्रेरी में कर्नेल टीएलएस का समर्थन करना पर्याप्त नहीं है। तकनीक के बारे में रिपोर्टों में कहा गया है कि अधिकतम दक्षता को उपयोगकर्ता-अंतरिक्ष में डेटा की नकल के बिना भेजने के माध्यम से प्राप्त किया जा सकता है - सेंडफाइल () सिस्टम कॉल का उपयोग करके। और सर्वर एप्लिकेशन को उन स्थितियों के बीच अंतर करने में सक्षम होना चाहिए जहां आप टीएलएस के साथ सॉकेट पर सेंडफाइल () का उपयोग कर सकते हैं, और जब आपको "पुराना तरीका पढ़ना" () / SSL_write () करना होगा। Nginx में कार्यक्षमता जोड़ने की दिशा में कुछ प्रगति अप्रैल 2019 में दिखाई दी, लेकिन मुख्य कोड में कोई बदलाव स्वीकार नहीं किया गया। डेवलपर्स की स्थिति यह है कि इन कार्यों के लिए एपीआई ओपनएसएसएल में अभी तक अनुमोदित नहीं है, और पैच में प्रस्तावित वास्तविक कोड विभिन्न प्लेटफार्मों के लिए पर्याप्त पोर्टेबल नहीं लगता है। ईमानदार होने के लिए, कोड न केवल बहुत अच्छा दिखता है, बल्कि इसमें ऐसी त्रुटियां भी हैं जो Nginx को अतिरिक्त सुधार के बिना बनाए जाने से रोकती हैं।मुझे अन्य वेब सर्वरों में कर्नेल टीएलएस समर्थन बिल्कुल नहीं मिला (हो सकता है कि किसी ने इसे देखा हो - मुझे टिप्पणियों में बताएं)।

और क्या कर?

हालांकि, समुदाय ओपनएसएसएल 3.0 के जारी होने का इंतजार कर रहा है, एक स्थिर एपीआई के साथ नग्नेक्स में कर्नेल टीएलएस के लिए समर्थन विकसित करना शुरू करने के लिए, मैं दूसरे रास्ते से गया। GitHub के मेरे ~~आरामदायक कोने में~~ , मैंने 2 काम किए:

मैंने एक ओपनएसएसएल फोर्क बनाया और कर्नेल टीएलएस से संबंधित सभी चीजों को ओपनएसएसएल 1.1.1 (ओपनएसएसएल_1_1_1-केटीएस शाखा) के स्थिर संस्करण में वापस भेज दिया। विशेष रूप से बाकी पुस्तकालय के स्थिर संचालन की स्थितियों में कार्यक्षमता की जांच करने में सक्षम होने के लिए। जैसे ही स्थिर संस्करण उपलब्ध होते हैं, मैं रिबेट करने की कोशिश करता हूं ताकि कांटा अद्यतित हो।
मैंने Nginx का एक कांटा बनाया था , जिसमें मैंने SSL_sendfile () स्थितियों में कॉल करने के लिए समर्थन (Mellanox से एक पैच पर आधारित) का समर्थन किया है जब यह वास्तव में संभव है और आवश्यक SSL सॉकेट चेक के साथ, और कॉन्फ़िगरेशन चर के माध्यम से कार्यक्षमता को सक्षम / अक्षम करने की क्षमता है। इस सुविधा के अलावा, मेरे कांटे में कई पैच भी हैं जो नगनेक्स के काम को थोड़ा अनुकूलित करते हैं और कुछ बग्स (मास्टर-फीचर शाखा) को ठीक करते हैं। जहाँ तक संभव हो, मैं कांटे को बनाए रखने के लिए, नग्नेक्स मुख्य रेपो की मास्टर शाखा के आधार पर रिबेट करने का प्रयास करता हूं।

मैं सभी को परीक्षण में भाग लेने के लिए आमंत्रित करता हूं। GitHub पर मुद्दों पर टिप्पणियाँ और सुधार कोड के लिए फेंके जा सकते हैं। इस OpenSSL और शामिल कर्नेल TLS समर्थन के साथ इस Nginx का निर्माण करने के लिए, कॉन्फ़िगर स्क्रिप्ट में पैरामीटर जोड़ें:

./configure --with-openssl=<OpenSSL-fork-dir> --with-openssl-opt="enable-ktls"

फिलहाल, मेरे पास Nginx पैच पर टिप्पणी से प्रदर्शन की पुष्टि करने के लिए भारी लोड के तहत इस Nginx + OpenSSL बंडल का परीक्षण करने का अवसर नहीं है, इसलिए यदि कोई व्यक्ति उच्च फ़ाइल अपलोड गति पर CPU लोड में अंतर को माप सकता है, तो ग्राफ़ प्राप्त करना और जोड़ना बहुत अच्छा होगा प्रभाव की एक दृश्य समझ के लिए उन्हें एक लेख में।