Das Unternehmen ExpressVPN hat die Quelltexte seiner Implementierung des Lightway-Protokolls veröffentlicht, das entwickelt wurde, um die Verbindungsherstellungszeit zu minimieren, während ein hohes Maß an Sicherheit und Zuverlässigkeit gewährleistet bleibt. Der Code ist in C geschrieben und wird unter der GPLv2-Lizenz verbreitet. Die Implementierung ist sehr kompakt und umfasst zweitausend Zeilen Code. Unterstützt werden die Plattformen Linux, Windows, macOS, iOS, Android, Router (Asus, Netgear, Linksys) und Browser. Zum Bauen ist die Verwendung der Build-Systeme Earthly und Ceedling erforderlich. Die Implementierung ist als Bibliothek formuliert, die zur Integration der Funktionen von Client und Server verwendet werden kann. VPN in ihre Anwendungen.
Der Code nutzt fertige, bewährte Kryptografiefunktionen, die von der Bibliothek wolfSSL bereitgestellt werden, die bereits in Lösungen verwendet wird, die das FIPS 140-2-Zertifikat erhalten haben. Im Normalbetrieb verwendet das Protokoll UDP für die Datenübertragung und DTLS zur Herstellung eines verschlüsselten Kommunikationskanals. Als Option zur Sicherstellung des Betriebs in unsicheren oder UDP-limitierten Netzwerken Server steht ein zuverlässigerer, aber weniger schneller Streaming-Modus zur Verfügung, der es ermöglicht, Daten über TCP und TLSv1.3 zu übertragen.
Die von ExpressVPN durchgeführten Tests haben gezeigt, dass der Übergang zu Lightway im Vergleich zu alten Protokollen (ExpressVPN unterstützt L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard und SSTP, aber es wird nicht näher spezifiziert, mit was genau verglichen wurde) die Verbindungsherstellungszeit im Durchschnitt um das 2,5-Fache verkürzt hat (in mehr als der Hälfte der Fälle wird der Kommunikationskanal in weniger als einer Sekunde hergestellt). Das neue Protokoll ermöglicht auch eine 40%ige Reduzierung der Verbindungsabbrüche in unsicheren Mobilfunknetzen mit Kommunikationsproblemen.
Die Weiterentwicklung der Referenzimplementierung des Protokolls wird auf GitHub stattfinden, wobei die Möglichkeit zur Mitwirkung an der Entwicklung für Mitglieder der Gemeinschaft bereitgestellt wird (zur Übermittlung von Änderungen ist die Unterzeichnung einer CLA-Vereinbarung zur Übertragung von Eigentumsrechten am Code erforderlich). Auch andere VPN-Anbieter sind zur Zusammenarbeit eingeladen, die das vorgeschlagene Protokoll ohne Einschränkungen nutzen können.
Die Sicherheit der Implementierung wurde durch das Ergebnis eines unabhängigen Audits, durchgeführt von Cure53, bestätigt, die auch Audits für NTPsec, SecureDrop, Cryptocat, F-Droid und Dovecot durchgeführt haben. Das Audit umfasste die Überprüfung des Quellcodes und beinhaltete Tests zur Erkennung möglicher Schwachstellen (fragen im Zusammenhang mit Kryptografie wurden nicht betrachtet). Insgesamt wurde die Qualität des Codes als hoch eingeschätzt, jedoch wurden drei Schwachstellen festgestellt, die zu einem Dienstverweigerungsangriff führen können, sowie eine Schwachstelle, die das Protokoll als Traffic-Verbesserer bei DDoS-Angriffen nutzen kann. Die genannten Probleme wurden bereits behoben, und die Anmerkungen zur Verbesserung des Codes wurden berücksichtigt. Das Audit richtete auch die Aufmerksamkeit auf bekannte Schwachstellen und Probleme in den verwendeten Drittanbieter-Komponenten, wie libdnet, WolfSSL, Unity, Libuv und lua-crypt. Die meisten Probleme sind unerheblich, mit Ausnahme von MITM in WolfSSL (CVE-2021-3336).
Quelle: opennet.ru
