ExpressVPN har annonceret åbningen af kildekoden til implementeringen af Lightway-protokollen, som er designet til at opnå minimal forbindelsestid samtidig med at et højt sikkerheds- og pålidelighedsniveau opretholdes. Koden er skrevet i C og distribueres under GPLv2-licensen. Implementeringen er meget kompakt og fylder kun to tusinde linjer kode. Der er erklæret støtte til platforme som Linux, Windows, macOS, iOS, Android, routere (Asus, Netgear, Linksys) og browsere. Bygningen kræver brug af bygge-systemer som Earthly og Ceedling. Implementeringen tilbydes som et bibliotek, som kan bruges til at integrere funktioner til klient- og serverapplikationer. VPN til deres applikationer.
Koden anvender velprøvede kryptografiske funktioner fra biblioteket wolfSSL, som allerede benyttes i løsninger, der har opnået FIPS 140-2-certificering. I standardtilstand anvender protokollen UDP til dataoverførsel og DTLS til at skabe en krypteret kommunikationskanal. Som et supplement til at sikre funktionalitet i pålidelige eller begrænsede UDP-netværk, serveren tilbydes en mere pålidelig, men langsommere, streamingtilstand, der muliggør dataoverførsel over TCP og TLSv1.3.
Tests udført af ExpressVPN har vist, at sammenlignet med de gamle protokoller (ExpressVPN understøtter L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard og SSTP, men angiver ikke, hvad der konkret er blevet sammenlignet med), har overgangen til Lightway reduceret forbindelse-tiden med gennemsnitligt 2,5 gange (i mere end halvdelen af tilfældene oprettes forbindelsen på under et sekund). Den nye protokol har også givet mulighed for en 40% reduktion i antallet af forbindelsesbrud i upålidelige mobile netværk med problemer med forbindelseskvaliteten.
Udviklingen af den reference-implementering af protokollen vil finde sted på GitHub og give mulighed for deltagelse fra medlemmer af samfundet (for at indsende ændringer kræves det at underskrive en CLA-aftale om overdragelse af ejendomrettigheder til koden). Også andre VPN-udbydere inviteres til at samarbejde, da de uden begrænsninger kan bruge den foreslåede protokol.
Sikkerheden ved implementeringen er blevet bekræftet gennem en uafhængig audit udført af Cure53, som tidligere har udført audits af NTPsec, SecureDrop, Cryptocat, F-Droid og Dovecot. Auditen omfattede en kontrol af kildekoden samt tests for at identificere mulige sårbarheder (spørgsmål relateret til kryptografi blev ikke behandlet). Generelt blev kvaliteten af koden vurderet som høj, men auditten afslørede dog tre sårbarheder, der kan føre til serviceafbrydelser, samt én sårbarhed, der muliggør anvendelse af protokollen som en trafikforstærker ved DDoS-angreb. De nævnte problemer er allerede blevet løst, og de fremsatte bemærkninger til forbedring af koden er blevet taget i betragtning. Auditten gjorde også opmærksom på kendte sårbarheder og problemer i de anvendte tredjeparts komponenter som libdnet, WolfSSL, Unity, Libuv og lua-crypt. De fleste problemer er ubetydelige, undtagen MITM i WolfSSL (CVE-2021-3336).
Kilde: opennet.ru
