RSA解密加速服务

概述

RSA算法是一种最广为使用的“非对称加密算法”,一般公钥/私钥长度越长,安全性就越好,计算也越复杂。百度智能云https改造中应用了RSA 2048加解密算法,针对高计算复杂度的RSA解密任务,我们运用FPGA上的并行计算资源和定制化的数据通路,提供了高达45000QPS的解密能力(是CPU单线程吞吐率的75倍以上,媲美商用ASIC加解密卡的吞吐率),同时还将提供独具特色的私钥管理方案,令系统安全性得到了质的提升。

软件调用API执行

编译

  1. 执行lspci | grep -i Xilinx,输出非空,证实FPGA已被正确透传给虚拟机。

  2. 编译驱动,进入rsa-driver目录,执行make

    • 如提示“No such file or directory”,请修改Makefile中的KERNELDIR变量,使之指向正确的内核编译目录,一般为/usr/src/kernels/$(uname -r)

    • 如编译时提示符号重定义,请删除源文件中的PDE_DATAfile_inodekvallockvfree等符号。

  3. 加载驱动,执行insmod fpga_drive.ko

    检查/dev/fpga0的权限是否为0666,如过不是,请执行chmod 666 /dev/fpga0

  4. 在openssl系统engine目录创建到rsa-api/output/so/libfpga_rsa_cpp.so的软链接,即执行ln -s /path/to/rsa-api/so/libfpga_rsa_cpp.so /usr/lib64/openssl/engines/libfpga_rsa_cpp.so

  5. 通过openssl标准engine接口使用RSA加速功能,在正确加载并初始化engine后即可通过RSA_private_encryptRSA_private_decrypt进行RSA私钥加解密。

    FPGA支持密钥长度在2048 bits以下的RSA私钥加解密。如给定密钥长度超出此范围,engine会转交CPU计算,此时性能等同于直接使用CPU处理。


    #include ‹openssl/rsa.h›
    #include ‹openssl/engine.h›
    #include ‹openssl/err.h›

    OpenSSL_add_all_algorithms();                                                                    
    ERR_load_crypto_strings();                                                                       
    ENGINE_load_dynamic();

    /* load engine */                                                                      
    ENGINE *engine = ENGINE_by_id("fpga_rsa_cpp");                                             
    if (engine == NULL) {                                                                            
        LOG(WARNING) ‹‹ "Could not Load fpga_rsa_cpp Engine!";                                              
        return 1;                                                                                    
    }                                                                                                
    LOG(INFO) ‹‹ "fpga_rsa_cpp Engine successfully loaded";                                              

    /* init engine */                                                                                                       
    int init_ret = ENGINE_init(engine);                                                              
    int set_ret = ENGINE_set_default_RSA(engine);                                                    
    LOG(INFO) ‹‹ "engine name = " ‹‹ ENGINE_get_name(engine);                                        
    LOG(INFO) ‹‹ "init_ret = " ‹‹ init_ret;                                                          
    LOG(INFO) ‹‹ "set_ret = " ‹‹ set_ret;                                                            

    if ((init_ret != 1) || (set_ret != 1)) {                                                         
        LOG(WARNING) ‹‹ "Failed to init engine";                                                     
        return 1;                                                                                    
    }                                                                                                

    /* use engine */
    RSA_private_decrypt(flen, from, to, rsa, padding);

性能测试

qps

执行openssl speed rsa2048 -engine fpga_rsa_cpp -multi 36,在"sign/s"一栏中可以看到qps。正常情况应在40000/s以上。

latency

执行openssl speed rsa2048 -engine fpga_rsa_cpp -multi 1,在"sign"一栏中可以看到latency。正常情况应在700us左右。

RSA私钥解密QPS对比

FPGA解决方案与使用双路Intel Xeon E5-2620 v2服务器(超线程开启,共24核)进行纯CPU计算相比,性能优势十分明显,如下图所示。当RSA密钥长度为512 bits、1024 bits和2048 bits时,前者的私钥解密QPS分别是后者的2.13、4.52和9.36倍,latency仅为后者的89%、50%和27%。