百度云RSA編譯和性能及安全測(cè)試
RSA算法是一種最廣為使用的“非對(duì)稱加密算法”，一般公鑰／私鑰長(zhǎng)度越長(zhǎng)，安全性就越好，計(jì)算也越復(fù)雜。百度云https改造中應(yīng)用了RSA 2048加解密算法，針對(duì)高計(jì)算復(fù)雜度的RSA解密任務(wù)，我們運(yùn)用FPGA上的并行計(jì)算資源和定制化的數(shù)據(jù)通路，提供了高達(dá)45000QPS的解密能力（是CPU單線程吞吐率的75倍以上，媲美商用ASIC加解密卡的吞吐率），同時(shí)還將提供獨(dú)具特色的私鑰管理方案，令系統(tǒng)安全性得到了質(zhì)的提升。
軟件調(diào)用API執(zhí)行
編譯執(zhí)行l(wèi)spci | grep -i Xilinx，輸出非空，證實(shí)FPGA已被正確透?jìng)鹘o虛擬機(jī)。
編譯驅(qū)動(dòng)，進(jìn)入rsa-driver目錄，執(zhí)行make。
如提示“No such file or directory”，請(qǐng)修改Makefile中的KERNELDIR變量，使之指向正確的內(nèi)核編譯目錄，一般為/usr/src/kernels/$(uname -r)。
如編譯時(shí)提示符號(hào)重定義，請(qǐng)刪除源文件中的PDE_DATA、file_inode、kvalloc、kvfree等符號(hào)。
加載驅(qū)動(dòng)，執(zhí)行insmod fpga_drive.ko。
檢查/dev/fpga0的權(quán)限是否為0666，如過(guò)不是，請(qǐng)執(zhí)行chmod 666 /dev/fpga0。
在openssl系統(tǒng)engine目錄創(chuàng)建到rsa-api/output/so/libfpga_rsa_cpp.so的軟鏈接，即執(zhí)行l(wèi)n -s /path/to/rsa-api/so/libfpga_rsa_cpp.so /usr/lib64/openssl/engines/libfpga_rsa_cpp.so。
通過(guò)openssl標(biāo)準(zhǔn)engine接口使用RSA加速功能，在正確加載并初始化engine后即可通過(guò)RSA_private_encrypt、RSA_private_decrypt進(jìn)行RSA私鑰加解密。
FPGA支持密鑰長(zhǎng)度在2048 bits以下的RSA私鑰加解密。如給定密鑰長(zhǎng)度超出此范圍，engine會(huì)轉(zhuǎn)交CPU計(jì)算，此時(shí)性能等同于直接使用CPU處理。
#include ‹openssl/rsa.h›
#include ‹openssl/engine.h›
#include ‹openssl/err.h›
OpenSSL_add_all_algorithms();
ERR_load_crypto_strings();
ENGINE_load_dynamic();
/* load engine */
ENGINE *engine = ENGINE_by_id("fpga_rsa_cpp");
if (engine == NULL) {
LOG(WARNING) ‹‹ "Could not Load fpga_rsa_cpp Engine!";
return 1;
}
LOG(INFO) ‹‹ "fpga_rsa_cpp Engine successfully loaded";
/* init engine */
int init_ret = ENGINE_init(engine);
int set_ret = ENGINE_set_default_RSA(engine);
LOG(INFO) ‹‹ "engine name = " ‹‹ ENGINE_get_name(engine);
LOG(INFO) ‹‹ "init_ret = " ‹‹ init_ret;
LOG(INFO) ‹‹ "set_ret = " ‹‹ set_ret;
if ((init_ret != 1) || (set_ret != 1)) {
LOG(WARNING) ‹‹ "Failed to init engine";
return 1;
}
/* use engine */
RSA_private_decrypt(flen, from, to, rsa, padding);
qps
執(zhí)行openssl speed rsa2048 -engine fpga_rsa_cpp -mulTI 36，在"sign/s"一欄中可以看到qps。正常情況應(yīng)在40000/s以上。
latency
執(zhí)行openssl speed rsa2048 -engine fpga_rsa_cpp -mulTI 1，在"sign"一欄中可以看到latency。正常情況應(yīng)在700us左右。
RSA私鑰解密QPS對(duì)比
FPGA解決方案與使用雙路Intel Xeon E5-2620 v2服務(wù)器（超線程開(kāi)啟，共24核）進(jìn)行純CPU計(jì)算相比，性能優(yōu)勢(shì)十分明顯，如下圖所示。當(dāng)RSA密鑰長(zhǎng)度為512 bits、1024 bits和2048 bits時(shí)，前者的私鑰解密QPS分別是后者的2.13、4.52和9.36倍，latency僅為后者的89%、50%和27%。
下載文檔
