TLS'in iki maliyetli işlemi vardır: el sıkışmadaki asimetrik işlemler (RSA/ECDSA imzası) ve veri akışındaki simetrik şifreleme (AES-GCM, ChaCha20). Donanım hızlandırma özellikle ikincisinde büyük kazanç sağlar ve günümüz işlemcilerinin çoğunda hazır bulunur.
İşlemci düzeyinde hızlandırma: AES-NI
Intel ve AMD işlemcilerdeki AES-NI komut seti, AES işlemlerini donanımda yapar. Linux'ta kontrol:
grep -m1 -o aes /proc/cpuinfo
openssl speed -evp aes-128-gcmİlk komut "aes" yazdırıyorsa destek vardır. OpenSSL bu komutları otomatik kullanır; ayrıca ayar gerekmez. Sanal sunucularda hipervizörün bu özelliği sanal makineye açıp açmadığını kontrol edin.
AES-NI olmayan istemciler
Bazı mobil ve gömülü cihazlarda AES donanım desteği zayıftır. ChaCha20-Poly1305 bu cihazlarda yazılımla hızlı çalışır; TLS 1.3 etkinleştirildiğinde istemciler uygun şifreyi kendileri seçebilir.
Diğer hızlandırma seçenekleri
- Yük dengeleyici veya TLS sonlandırıcı: Kriptografi özel cihaza ya da CDN'e devredilir; arka uç sunucular daha az yük taşır.
- Kernel TLS (kTLS): Şifreleme işlemini çekirdeğe kaydırarak veri gönderme yolunu kısaltır; destek sürümlere bağlıdır, belgelerini inceleyin.
- Özel kripto kartları (ör. QAT): Çok yüksek trafikte asimetrik işlemleri boşaltır; kurulum ve sürücü uyumluluğu gerektirir.
Hızlandırma ile HSM aynı şey değildir
HSM (Hardware Security Module) öncelikle özel anahtarı cihazdan çıkarmadan korumak içindir. Bazı HSM'ler imza işlemlerini de hızlandırır, ancak asıl amaç güvenliktir. Anahtar korumasında PKCS#11 arayüzü yaygındır.
Uygulama önerisi
- Önce ölçün: sorun CPU'da mı yoksa ağ gecikmesinde mi?
- TLS 1.3, oturum yeniden kullanımı ve ECDSA sertifika gibi yazılım ayarlarını tamamlayın.
- Gerekliyse donanım seçeneklerini değerlendirin.
Yazılım tarafında yapılacaklar
Donanım hızlandırma aldıktan sonra bile TLS 1.3, oturum yeniden kullanımı ve HTTP/2 gibi ayarlar ilk sırada yer alır; bunlar ek donanım maliyeti gerektirmez. Bulut sunucularda çoğunlukla işlemci özelliklerini hazır bulursunuz, özel kart almak yalnızca çok yüksek trafikli, ölçülmüş darboğazı olan ortamlarda anlamlıdır.
Sertifika seçimi için SSL seçim rehberi, kontrol için SSL kontrol aracı kullanılabilir.