[논문 리뷰] DTLS Performance - How Expensive is Security?

Sebastian Gallenmüller, Dominik Schöffmann외 3명|arXiv (Cornell University)|2019. 04. 25.

Network Traffic and Congestion Control인용 수 1

한 줄 요약

이 논문은 네트워크 특성과 보안 파rameter의 영향을 정량화하기 위해 DPDK와 OpenSSL 기반의 고속 오픈소스 VPN 게이트웨이(MoonSec)를 사용하여 DTLS 기반 애플리케이션의 성능 모델을 제시한다. 주요 발견은 연결당 설정 비용이 패킷당 비용보다 368배 높으며, 타원곡선 기반 DHE 암호화 및 ChaCha20 암호화가 오버헤드를 크게 감소시킨다는 것이다.

ABSTRACT

Secure communication is an integral feature of many Internet services. The widely deployed TLS protects reliable transport protocols. DTLS extends TLS security services to protocols relying on plain UDP packet transport, such as VoIP or IoT applications. In this paper, we construct a model to determine the performance of generic DTLS-enabled applications. Our model considers basic network characteristics, e.g., number of connections, and the chosen security parameters, e.g., the encryption algorithm in use. Measurements are presented demonstrating the applicability of our model. These experiments are performed using a high-performance DTLS-enabled VPN gateway built on top of the well-established libraries DPDK and OpenSSL. This VPN solution represents the most essential parts of DTLS, creating a DTLS performance baseline. Using this baseline the model can be extended to predict even more complex DTLS protocols besides the measured VPN. Code and measured data used in this paper are publicly available at https://git.io/MoonSec and https://git.io/Sdata.

연구 동기 및 목표

• 네트워크 특성과 보안 파rameter를 고려한 DTLS 기반 애플리케이션을 위한 일반적인 성능 모델을 개발하기 위해.
• 실세계 고성능 환경에서 DTLS가 유도하는 성능 오버헤드를 측정하고 정량화하기 위해.
• DTLS 처리에서 지배적인 비용 요소를 규명하고 다양한 암호 알고리즘의 영향을 평가하기 위해.
• 향후 성능 모델링을 위해 재현 가능하고 모듈러한 오픈소스 DTLS VPN 게이트웨이(MoonSec)를 기반으로 기본 기준을 제공하기 위해.

제안 방법

• 패킷 I/O를 빠르게 하기 위해 DPDK를 사용하고, DTLS 및 암호화 연산을 위해 OpenSSL을 사용하여 고성능 DTLS 기반 VPN 게이트웨이인 MoonSec을 개발하였다.
• 패킷 I/O, 상태 추적, 암호화 해시, 암호화/복호화 등의 개별 처리 단계를 고립하고 벤치마킹할 수 있도록 게이트웨이를 설계하였다.
• 4개의 구성 요소로 이루어진 성능 모델을 수립: 패킷당 비용(6323 사이클/바이트), 연결당 설정 비용(5.76M 사이클), 연결 상태 관리.
• 핵심 방정식 유도: overallPerPacket(p) = 6323·p 및 overallPerCon(c,p) = 5,761,437 + 2,326,558·c, 최종 모델: overallC(c,p) = 5,761,437 + 2,326,558·c + 6,323·p.
• 장기간 연결을 사용하여 고정 비용과 변동 비용을 고립하고 측정함으로써 고성능 서버에서 광범위한 측정을 통해 모델을 검증하였다.
• MoonSec 소스 코드, 측정 데이터, 플로팅 스크립트를 오픈소스 라이선스 하에 공개하여 재현 가능성과 확장성을 확보하였다.

실험 결과

연구 질문

• RQ1 DTLS 기반 애플리케이션에서 지배적인 성능 비용 요소는 무엇이며, 연결 수와 패킷 크기에 따라 어떻게 변화하는가?

주요 결과

• DTLS에서 연결당 설정 비용은 패킷당 처리 비용보다 368배 높으며, 이는 연결 수명 주기가 성능 효율성에 매우 중요한 영향을 미친다는 것을 의미한다.
• 타원곡선 기반 DHE 암호화를 사용할 경우 기존의 modp 기반 DHE 암호화보다 손실 비용을 거의 4배 감소시킨다.
• 암호화 알고리즘 선택이 성능에 큰 영향을 미치며, 비가속화 환경에서 가장 비싼 암호화 세트는 가장 저렴한 것보다 약 2배 높은 비용을 유발한다.
• ChaCha20-Poly1305 암호화 세트는 전체 처리 비용이 가장 낮았으며, AES 기반 대안 대비 암호화 오버헤드를 최대 50% 감소시켰다.
• 성능 모델은 다양한 연결 수와 패킷 크기에서 MoonSec의 행동을 정확하게 예측하여, 성능 기준으로서의 유효성을 입증하였다.
• 모델은 CPU 아키텍처에 따라 달라지지만 일반화 가능하며, 새로운 플랫폼에서 재측정하면 모델을 모바일 및 IoT 기기와 같은 다양한 하드웨어에서 성능을 예측하는 데에 적응할 수 있다.