Die erste öffentliche Veröffentlichung von ANet, einem Stack zum Erstellen sicherer Tunnel

Das ANet-Projekt (ANet Secure Transport Protocol) entwickelt einen alternativen Stack zur Organisation von sicheren Tunneln, der darauf abzielt, private Netzwerke zu verbinden, wenn die Standardlösungen (WireGuard, OpenVPN) aus verschiedenen Gründen nicht angewendet werden können. Das Projekt wird nicht als ein weiterer Fork von WireGuard positioniert, sondern als "Freunde-zu-Freunde-VPN" (Friends-to-Friends VPN), mit dem Fokus auf die Nutzung bewährter Kryptoalgorithmen und autonomem Betrieb im Modus "Dead Man’s Hand". ANet verwendet ein eigenes Transportprotokoll, ASTP (ANet Secure Transport Protocol), welches vollständige End-to-End-Verschlüsselung bietet, gegenüber hoher Paketverlustresistenz resilient ist und nicht von zufälligem UDP-Verkehr zu unterscheiden ist. Der Code wurde von Grund auf in Rust geschrieben und unter der MIT-Lizenz veröffentlicht, mit einem ausdrücklichen Verbot, Abhängigkeiten unter GPL 2.0 und 3.0 in das Projekt aufzunehmen.

Hauptmerkmale:

• Einsatz der Kryptoalgorithmen ChaCha20/Poly1305 für den Stream, X25519 für Ephemeral DH, Ed25519 für die Authentifizierung. Keine veralteten Algorithmen und „Notlösungen für die Kompatibilität mit Windows XP“.
• Transport auf Basis einer QUIC-ähnlichen Schicht über UDP, jedoch mit eigener Framing-Technologie: Jedes Paket wird in einen verschlüsselten "Envelope" mit zufälliger zusätzlicher Füllung und Jitter (von 0 bis N Nanosekunden) eingewickelt, was den Verbindungsaufbau wie ein weißes Rauschen maskiert.
• Verteilte Architektur mit einem Authentifizierungsserver (anet-auth), der den Fingerabdruck des Clients (SHA256 aus dem öffentlichen Schlüssel basierend auf Ed25519) überprüft. Der Tunnel wird anhand eines PSK (pre-shared key) aufgebaut, das durch einen 4-phasigen Handshake (DH + Double Ratchet) erhalten wird. Wenn der Authentifizierungsserver ausfällt, arbeitet das Netzwerk weiter mit vorausgeladenen Schlüsseln (Failover in den vollständigen lokalen Modus).
• Unterstützte Plattformen: Linux (TUN), Windows (Wintun), macOS (utun), Android (VpnService über JNI). Es gibt eine GUI auf egui (Rust-native) und eine TUI für Headless-Server. Binäre Builds werden bereitgestellt.

Im Gegensatz zu WireGuard mit erkennbar identifiablem Handshake (Magic Number + Noise Protocol) und OpenVPN mit charakteristischem TLS-Fingerprint beginnt jedes Paket im ASTP-Protokoll mit einem zufälligen Startwert (Nonce von 12 Byte), gefolgt von einem variabel langen Chiffrentext mit zusätzlicher Auffüllung auf die nächste Blockgröße (einstellbar). Für externe Beobachter ist der Datenverkehr von zufälligem nicht zu unterscheiden. ANet wird als Versuch präsentiert, die "Physikalität" der Floppynet-Ära (HDD eines Freundes) in digitaler Form zurückzubringen: PSK (pre-shared keys), manuelle Routensteuerung, "Zero-Knowledge Proof" durch Fingerabdruck. VPN Das Projekt wird von einem Verhaltenskodex (Code of Conduct) begleitet, der gemäß dem Prinzip der "radikalen Ehrlichkeit" erstellt wurde. In den Regeln ist das "Recht auf Bescheid" (Recht, jeden Entwickler bei schlechtem Code abzulehnen), "spiegelnde Antwort" (Beschwerden über Toxizität werden ignoriert), die Priorität des Codes (es ist unwichtig, wer der Autor ist, wichtig ist die Qualität des Codes) und ein Bann für Versuche, politische Korrektheit aufzuzwingen, festgelegt.

Der Verhaltenskodex betont das "Recht auf Zusendung" (Recht, jeden Entwickler bei schlechtem Code abzulehnen), "spiegelnde Antwort" (Beschwerden über Toxizität werden ignoriert), Priorität des Codes (wer der Autor ist, spielt keine Rolle, wichtig ist die Qualität des Codes) und Bann bei Versuchen, politische Korrektheit aufzuzwingen.

Quelle: opennet.ru