wolfIP и passt — леки стеки TCP/IP, които работят без динамично разпределение на паметта

Разработчиците на криптографската библиотека wolfSSL развиват TCP/IP стека wolfIP, оптимизиран за употреба на вградени устройства с ограничени ресурси, както и за системи, работещи в реално време, и решения, изискващи повишена надеждност (Safety-Critical). За предсказуемо потребление на ресурси в wolfIP не се използва динамично разпределение на паметта — всичките буфери и таблици за сокети имат фиксиран размер и се настройват на етапа на компилация. Кодът на проекта е написан на езика Си и се разпространява под лиценция GPLv3.

Проектът може да се използва като работещ в потребителското пространство TCP/IP стек, заменящ мрежовия стек на Linux, FreeBSD и macOS, а също така е подходящ за прилагане във вградени системи, базирани на FreeRTOS, SafeRTOS, Zephyr, Azure RTOS ThreadX, NuttX, RTEMS, VxWorks и QNX. Освен това на база wolfIP могат да се създадат самодостатъчни мрежови приложения, стартиращи върху оборудване (bare-metal). В комбинация с библиотеката wolfSSL се осигурява поддръжка за TLS 1.3, което позволява създаването на компактни вградени системи, подкрепящи HTTPS.

Основни характеристики на wolfIP:

• Използване на предварително заделени в статична памет буфери за обработка на мрежови пакети. Вызовите на malloc и free не се използват.
• Възможност за използване вместо стандартните системни мрежови стека на POSIX системи.
• Поддръжка на BSD сокети в неблокиращ и блокиращ режим.
• Компактен размер (4200 реда код, четири пъти по-малко от TCP/IP стека lwIP).
• Поддръжка на мрежови интерфейси STM32 Ethernet.
• Възможност за използване на мрежовия интерфейс TAP за тестване на работа без оборудване.
• Разработка с оглед на системи с повишени изисквания за сигурност: детерминирана и възпроизводима конфигурация; модел на разгръщане, осигуряващ сигурност (Secure-by-default); изолация между компонентите. Поддръжка на безопасно обновление на версии; дългосрочно поддържане.
• Отчитане на изискванията за високо надеждни системи: липса на динамично разпределение на ресурси; фиксирани пулове памет; контролирано използване на ресурси; предсказуемо поведение; опростена архитектура; поддръжка на генериране на артефакти за верификация.
• Реализация IPv4, UDP, TCP, IPSEC, ARP, ICMP, DHCP-клиента, DNS-клиента и HTTP/HTTPS-сервера. Поддръжка на TCP RFC 7323 (TCP Timestamps, RTT измерване, PAWS, Window Scaling), MSS (Maximum Segment Size), RTO (Retransmission timeout) и SACK (Selective Acknowledgment). Няколко алгоритъма за контрол на пренатоварването (congestion control).

От ограниченията на wolfIP се отбелязва възможността wolfIP да се използва само като крайна точка, способна да приема и установява връзки, но не поддържа маршрутизация на трафика между мрежовите интерфейси.

Освен това, активно се развива същия TCP/IP стек passt, разработен от служител на Red Hat, работещ в потребителското пространство и без динамично разпределение на паметта. Проектът passt се развива за организация на комуникационен канал между хост средата и гостуващите системи в QEMU като по-сигурна заместител на libslirp. Кодът на passt е написан на C, включва около 5000 реда и се разпространява под лиценз GPLv2+.

Сред особеностите на passt можем да отбележим: поддръжка на IPv6 освен IPv4, оптимизации, базирани на инструкциите AVX2, защита от synflood, вградена поддръжка за QEMU, libvirt и Podman, пакети за всички популярни дистрибуции, ARP proxy услуга, минималистични DHCPD, DHCPv6 и NDP сървъри, seccomp профил за блокиране на всички неизползвани системни извиквания, поддръжка на NAT, възможност за използване като прозрачен заместител на slirp4netns.

Източник: opennet.ru