気になったので調べ物：SSLアクセラレータ周り

鯖 仮想化 security

本当に気になったのはAmazon EC2

現実問題として、日本のユーザにサービスを提供する場合、直接EC2のサーバをアクセスさせるには、遅延がでかすぎた。（200msec以上のラグがある）
しかし、SNSを基盤とするサービスや、携帯端末からのWi-Fi接続などがこれからも流行るとすると、DNS cache poisoningやパケットの盗聴によるなりすまし、ブラウザからのパスワードauto-completeによるパスワード漏洩等を防ぐには「常時SSL」というケースも有り得るかもしれないし、Amazon Cloud Frontがアジアでサービスインした今、CDN的な機能だけではなく、Amazon EC2 Regionsがアジアに来ることも十分に考えられる。
そうなったとき、どうするか、、なのだが、EC2のサービスはスケールアップなsolutionには向かないように見える。

  • Xenのインスタンスの切り売りであり、ハードウェアの仕様がVanillaなマシンであることが売りでもある。だからこそlive migrationが可能なのだ。
  • 各Dom-Uの間でのＣＰＵの割付けは結構厳密にできるが、I/Oについては、共有する顧客同士での取り合いにならざるを得ない。
  • Xen等のhypervisorの層は、準仮想化(para-virtualization)なので、かなり薄いが、別に性能に寄与するわけではない。

おそらく、SSL接続による負荷、および接続時間の増大に対応するには、セッションで守るべきものをできるだけ絞り込むこと（かつDoS攻撃への耐性）と、セッションの使いまわしのチューニングなど（ロードバランサーのユーザ振り分け：ハッシュアルゴリズムのrobustness）まで追い込むことになるのじゃないか（汗、、というか、そういう仕事、落ちてないかしら。。。