Компания ExpressVPN обяви за освобождението на изходния код на реализацията на протокола Lightway, разработен за постигане на минимално време за установяване на връзка, като се запази високото ниво на сигурност и надеждност. Кодът е написан на C и се разпространява под лицензия GPLv2. Реализацията е много компактна и се помещава в две хиляди реда код. Заявена е поддръжка за платформи Linux, Windows, macOS, iOS, Android, рутери (Asus, Netgear, Linksys) и браузъри. За изграждането е необходимо използването на системи за изграждане Earthly и Ceedling. Реализацията е оформена под формата на библиотека, която може да се използва за интеграция на функции на клиент и сървър. VPN в своите приложения.
В кода са интегрирани готови проверени криптографски функции, предоставени от библиотеката wolfSSL, която вече се използва в решения, получили сертификат FIPS 140-2. В стандартен режим протоколът използва UDP за предаване на данни и DTLS за създаване на криптиран канал за комуникация. Възможна е опция за осигуряване на работа в ненадеждни или ограничени UDP мрежи, сървър предлагаща по-надежден, но по-бавен, потоков режим, позволяващ предаване на данни през TCP и TLSv1.3.
Проведените от компания ExpressVPN тестове показаха, че в сравнение със старите протоколи (ExpressVPN поддържа L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard и SSTP, но не се уточнява с какво точно е сравнявано), преминаването на Lightway е намалило времето за установяване на връзка средно 2.5 пъти (в над половината случаи каналът за комуникация се създава за по-малко от секунда). Новият протокол също така е позволил намаляване на броя на прекъсванията на връзките в ненадеждни мобилни мрежи с проблеми с качеството на връзката с 40%.
Развитието на еталонната реализация на протокола ще бъде извършвано в GitHub с предоставяне на възможност за участие в разработката на представители на общността (за предаване на промени е необходимо подписване на CLA споразумение за прехвърляне на имуществени права върху кода). Включително се канят и други VPN доставчици, които без ограничения могат да използват предложените протокол.
Сигурността на реализацията е потвърдена от резултатите от независимия одит, извършен от компанията Cure53, която в миналото проведе одит на NTPsec, SecureDrop, Cryptocat, F-Droid и Dovecot. Одитът включваше проверка на изходния код и провеждане на тестове за откриване на потенциални уязвимости (въпроси, свързани с криптографията не бяха разгледани). Качеството на кода беше оценено като високо, но все пак проверката установи три уязвимости, които биха могли да доведат до отказ от обслужване, и една уязвимост, която позволява използването на протокола като усилвател на трафик при DDoS атаки. Указаните проблеми вече са отстранени, а направените забележки за подобряване на кода са взети под внимание. По време на одита беше обърнато внимание и на известни уязвимости и проблеми в използваните трети страни компоненти, като libdnet, WolfSSL, Unity, Libuv и lua-crypt. Основно проблемите са незначителни, с изключение на MITM в WolfSSL (CVE-2021-3336).
Източник: opennet.ru
