Quão bem o haproxy escala para manipular autenticação de certificado de cliente?

Question

Como essa é uma pergunta baseada em desempenho sobre um problema de segurança, algumas pessoas da Segurança da Informação sugeriram que eu poste aqui:

Minha empresa de IoT gostaria de usar a autenticação de certificado de cliente para proteger as comunicações entre cada "coisa" e um servidor central. Implementamos cerca de 30 mil itens por ano, e eles têm cerca de 5 anos de duração, portanto, a nossa solução do lado do servidor precisa ser capaz de suportar certificados de 150 a 200 de uma só vez. Da leitura e da pergunta outras perguntas , parece que a melhor solução da categoria é EJBCA , que parece ter um bom desempenho, mas também vejo que o haproxy (teoricamente) tem a capacidade de fazer isso também.

A minha pergunta é esta : até que ponto o haproxy escala para lidar com um grande número de certs e conexões de clientes?

    

Answer 1

Para limpar um possível equívoco, bastante popular entre as pessoas que aprenderam sobre pares de chaves públicas / privadas. Um certificado é algo mais que uma chave pública . Mesmo se você tiver 30000 chaves privadas diferentes em dispositivos que conversam com você, você não precisará de 30000 chaves públicas. Ou 30000 pedaços de qualquer coisa. Você precisa de 1 peça. A beleza das assinaturas criptográficas é que você pode autenticar um grande número de chaves privadas quando a única coisa que você sabe é apenas um único certificado (chamado certificado CA), e você nem tem todas as suas chaves públicas .

Às vezes, há mais alguns certificados de CA, para permitir migrações / atualizações de longa duração, compatibilidade com sistemas externos, etc., mas teoricamente um é suficiente.

Neste contexto, a resposta real para a pergunta é: haproxy irá se adaptar extremamente bem à sua situação, assim como qualquer outro software. Contanto que você use apenas alguns certificados de CA, você não notará qualquer diferença se o haproxy autenticar 30 chaves privadas ou 30k de chaves privadas ou 300 k de chaves privadas.