Статус: Участник
Группы: Участники
Зарегистрирован: 19.05.2023(UTC) Сообщений: 16
Сказал(а) «Спасибо»: 1 раз
|
Здравствуйте.
Есть "CryptoPro CSP 4.0 R4" + токен с сертификатом "Рутокен Lite". Делаем подпись через cli команду "cryptcp -sign ...", внутри докер контейнера на debian-based системе, всё работает. Замерили на ноутбуке, в минуту делается ~800 подписей. Но когда вставили аналогичный токен на сервер и сделали там подпись таким же образом, то кол-во подписей в минуту резко уменьшилось в 10 раз до ~80 подписей, хотя сервер по мощности хороший.
Можете подсказать, что стоит проверить/сравнить, чтобы понять откуда может быть такая разница по производительности, что на ноутбуке работает быстро, а на сервере нет?
Правильно ли я понимаю что вызывая подобную команду "cryptcp -sign ..." упор идёт в большей степени на процессор и там параллельность мало задействована (т.е. много ядер особо не поможет)?
Заметка про токен - маловероятно, что проблема в нём, т.к. пробовал 2 токена на сервере и результат по производительности тот же.
Для информации по железу: В ноуте где всё хорошо: - процессор 11th Gen Intel® Core™ i7-1165G7 @ 2.80GHz × 8 На сервере, где медленно - Intel(R) Xeon(R) Gold 6130 CPU @ 2.10GHz * 16 - 256GB DDR4 2666mhz ECC REG памяти - 2x Enterprise SSD Samsung PM883
|
|
|
|
Статус: Сотрудник
Группы: Администраторы, Участники Зарегистрирован: 16.04.2008(UTC) Сообщений: 1,373
Сказал(а) «Спасибо»: 27 раз Поблагодарили: 537 раз в 376 постах
|
Здравствуйте. На сервере тоже Debian и КриптоПро CSP 4.0 R4? Вне зависимости от ответа отмечу, что начиная с 2021-07-18 КриптоПро CSP 5.0.12222 Lilithв cryptcp с командами -signf, -addsignf, -vsignf добавлена опция -threads для распараллеливания работы. Возможно, вы сможете сгруппировать подписываемые файлы в папку, тогда на 16-ядерном сервере можно будет обрабатывать их в 16 потоков. |
|
![thanks](/forum2/Themes/soclean/heart_small.png) 1 пользователь поблагодарил Русев Андрей за этот пост.
|
nickm оставлено 15.06.2024(UTC)
|
|
Статус: Участник
Группы: Участники
Зарегистрирован: 19.05.2023(UTC) Сообщений: 16
Сказал(а) «Спасибо»: 1 раз
|
Да, на сервере тоже debian/ubuntu и КриптоПро CSP 4.0 R4. Докер образ один и тот же.
По поводу опции -threads в 5 версии понял, спасибо, буду знать. Но вариант сейчас маловероятен к применению, т.к. лицензия есть именно на 4 версию + переписывать само приложение под 5 версию не сильно предсказуемо сколько составит по времени, а какой-то закон обязывающий подписывать именно с токена уже с сентября вступит в силу) Поэтому хотелось отделаться малой кровью и понять в чём отличие работы на ноутбуке и на сервере и эту часть пофиксить.
Кстати, а с опцией -threads не будет токен как точка замедления? Даже если представить что сам криптопро будет быстро во много потоков работать, он же всё равно за каждой подписью ходит в один и тот же токен, там же по идее никакого распаралеливания не будет. Или условно хождение в токен это 5% работы, а остальное работа самого криптопро и поэтому главное распаралелить его часть?
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 26.07.2011(UTC) Сообщений: 13,135 ![Мужчина Мужчина](/forum2/Themes/soclean/male.gif) ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Сказал «Спасибо»: 530 раз Поблагодарили: 2163 раз в 1688 постах
|
у Вас Рутокен Lite - хранилище, а не аппаратное СКЗИ. Ключ кэшируется в криптопровайдере. |
|
|
|
|
Статус: Участник
Группы: Участники
Зарегистрирован: 19.05.2023(UTC) Сообщений: 16
Сказал(а) «Спасибо»: 1 раз
|
Автор: Андрей * ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) у Вас Рутокен Lite - хранилище, а не аппаратное СКЗИ. Ключ кэшируется в криптопровайдере. Но на каждую подпись же криптопро ходит в токен в моём понимании, т.к. я вижу что в момент подписи есть мигание токена. Если данные берутся из кеша, тогда не пойму почему происходит мигание токена, если он никак не задействуется.
|
|
|
|
Статус: Сотрудник
Группы: Администраторы, Участники Зарегистрирован: 16.04.2008(UTC) Сообщений: 1,373
Сказал(а) «Спасибо»: 27 раз Поблагодарили: 537 раз в 376 постах
|
Автор: log-la ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) Автор: Андрей * ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) у Вас Рутокен Lite - хранилище, а не аппаратное СКЗИ. Ключ кэшируется в криптопровайдере. Но на каждую подпись же криптопро ходит в токен в моём понимании, т.к. я вижу что в момент подписи есть мигание токена. Если данные берутся из кеша, тогда не пойму почему происходит мигание токена, если он никак не задействуется. Вы оба правы: ключ считывается один раз и хранится в СКЗИ (в ОЗУ), но для того, чтобы ощущения от использования токена были более естественными: "выдернул - перестало работать", начиная с 2020-09-28 КриптоПро CSP 5.0.11944 Jackalope провайдер стал перед каждой операцией проверять наличие токена. Это не чтение ключа, но мигать заставляет и время тратит. Для массовой подписи такой режим, конечно, не подходит: тормозит в десятки и сотни раз. Его можно штатно отключить, не нарушая свойств безопасности: Код:sudo /opt/cprocsp/sbin/*/cpconfig -ini '\config\parameters' -add long AllowWorkWithoutCarrier 1
На винде аналогично: Код:reg add "HKLM\SOFTWARE\Wow6432Node\Crypto Pro\Cryptography\CurrentVersion\Parameters" /v AllowWorkWithoutCarrier /t REG_DWORD /d 1
В КриптоПро CSP 4.0 таких проверок не было, поэтому и отключения нет. Но надо понимать, что если приложение выполнилось и завершилось (как cryptcp), то обычно (в КС1) каждый его новый запуск будет заново создавать СКЗИ в памяти этого приложения, и поэтому при каждом запуске будет считываться ключ с токена. Тут поможет пакет cprocsp-kc2. В этом случае СКЗИ живёт в сервисе (отдельном процессе), а приложение (cryptcp) при запуске только устанавливает с ним связь. Тогда ключ с токена будет однажды загружен в ОЗУ сервиса и дальше при каждой подписи из cryptcp будет использоваться экземпляр из памяти и токен не будет мигать. На всякий случай отмечу, что взаимодействие с сервисом - это тоже накладные расходы, поэтому максимальная производительность достигается без сервиса в приложении, которое долго живёт. Например, cryptcp при пакетной обработке (-signf) будет работать эффективно в этом смысле. Так что на пакетную обработку, вероятно, стоит перейти, даже если нет лицензии на 5.0 и недоступен параметр -threads. После устранения токена как узкого места следующим узким местом станет проверка статуса цепочки сертификата. Она делается при каждом запуске cryptcp. Если подпись идёт одним и тем же ключом, то целесообразно не каждый раз проверять цепочку, а периодически (скажем, раз в минуту или в час), а основной объём операций подписи проводить без такой проверки (с ключом -nochain). |
|
![thanks](/forum2/Themes/soclean/heart_small.png) 3 пользователей поблагодарили Русев Андрей за этот пост.
|
Андрей * оставлено 15.06.2024(UTC), nickm оставлено 15.06.2024(UTC), log-la оставлено 19.06.2024(UTC)
|
|
Статус: Участник
Группы: Участники
Зарегистрирован: 19.05.2023(UTC) Сообщений: 16
Сказал(а) «Спасибо»: 1 раз
|
Автор: Русев Андрей ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) Так что на пакетную обработку, вероятно, стоит перейти Я сейчас попробовал пакетную обработку, это вообще бомба, спс!
|
|
|
|
Быстрый переход
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.
Important Information:
The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies.
More Details
Close