Meilenstein-Release von VPN , das die Einführung von WireGuard-Komponenten in den Hauptkernel markiert und die Stabilisierung der Entwicklung. Der in den Linux-Kernel integrierte Code eine zusätzliche Sicherheitsüberprüfung durch eine unabhängige Firma, die auf solche Prüfungen spezialisiert ist, bestanden. Bei der Prüfung wurden keine Probleme festgestellt.
Da WireGuard jetzt im Hauptkernel von Linux entwickelt wird, wurde ein Repository vorbereitet, das den zurückportierten WireGuard-Code und die compat.h-Schicht zur Gewährleistung der Kompatibilität mit älteren Kernen umfasst. Es wird darauf hingewiesen, dass solange es Entwicklermöglichkeiten und Nutzerbedarf gibt, eine separierte Variante der Patches in funktionsfähigem Zustand unterstützt wird. In der aktuellen Form kann die separate Version von WireGuard mit Kernen aus und verwendet werden und ist außerdem als Patches für Linux-Kernel verfügbar und . Distributionen, die die neuesten Kerne verwenden, wie Arch, Gentoo und
Fedora 32, erhalten die Möglichkeit, WireGuard zusammen mit dem Kernel-Update 5.6 zu nutzen.
Der Hauptentwicklungsprozess findet jetzt im Repository statt. , einschließlich des vollständigen Linux-Kernbaums mit Änderungen vom Wireguard-Projekt. Patches aus diesem Repository werden zur Aufnahme in den Hauptkern überprüft und regelmäßig in die Zweige net/net-next übertragen. Die Entwicklung von im Benutzerspace ausführbaren Tools und Skripten wie wg und wg-quick erfolgt im Repository , das zur Erstellung von Paketen in Distributionen verwendet werden kann.
Wir erinnern daran, dass das WireGuard-VPN auf modernen Verschlüsselungsmethoden basiert, eine sehr hohe Leistung bietet, einfach zu bedienen ist, keine Komplikationen aufweist und sich in mehreren großen Implementierungen bewährt hat, die große Datenmengen verarbeiten. Das Projekt wird seit 2015 weiterentwickelt, hat eine Prüfung und Angewandte Verschlüsselungsmethoden. Die Unterstützung von WireGuard ist bereits in NetworkManager und systemd integriert, und die Patches für den Kernel sind Teil der Basisdistributionen , Mageia, Alpine, Arch, Gentoo, OpenWrt, NixOS, und .
In WireGuard wird das Konzept der Schlüsselverschlüsselungsrouting angewendet, das eine Bindung jedes Netzwerkinterfaces an einen privaten Schlüssel und die Verwendung zur Verknüpfung von öffentlichen Schlüsseln vorsieht. Der Austausch öffentlicher Schlüssel zur Verbindung wird analog zu SSH durchgeführt. Zur Aushandlung von Schlüsseln und zur Verbindung ohne den Start eines separaten Daemons im Benutzermodus wird der Noise_IK-Mechanismus verwendet. , ähnlich wie das verwalten von authorized_keys in SSH. Der Datenaustausch erfolgt durch Kapselung in UDP-Pakete. Der Wechsel der IP-Adresse des VPN-Servers (Roaming) wird unterstützt, ohne die Verbindung zu unterbrechen, mit automatischer Neukonfiguration des Clients.
Für die Verschlüsselung der Stream-Verschlüsselungsalgorithmus und der Nachrichten-Authentifizierungsalgorithmus (MAC) , entwickelt von Daniel Bernstein (), Tanja Lange
(Tanja Lange) und Peter Schwabe. ChaCha20 und Poly1305 werden als schnellere und sicherere Alternativen zu AES-256-CTR und HMAC positioniert, wobei die Softwareimplementierung eine konstante Ausführungszeit ohne spezielle Hardwareunterstützung ermöglicht. Zur Erzeugung eines gemeinsamen geheimen Schlüssels kommt das elliptische Diffie-Hellman-Protokoll zum Einsatz, wie es auch von Daniel Bernstein vorgeschlagen wurde. Für die Hash-Berechnung wird der Algorithmus .
Bei der alten Die Leistung von WireGuard zeigte eine um 3,9-fach höhere Bandbreite und eine um 3,8-fach höhere Reaktionsfähigkeit im Vergleich zu OpenVPN (256-Bit AES mit HMAC-SHA2-256). Im Vergleich zu IPsec (256-Bit ChaCha20+Poly1305 und AES-256-GCM-128) zeigt WireGuard eine geringfügige Leistungsüberlegenheit (13-18%) und verringerte Latenzzeiten (21-23%). Die auf der Projektwebsite veröffentlichten Testergebnisse beziehen sich auf eine alte, isolierte Implementierung von WireGuard und werden als unzureichend angesehen. Seit den Tests wurde der Code von WireGuard und IPsec weiter optimiert und arbeitet nun schneller. Umfassendere Tests, die die in den Kernel integrierte Implementierung abdecken, wurden bisher nicht durchgeführt. Es wird jedoch festgestellt, dass WireGuard in bestimmten Situationen IPsec wegen seiner Multithreading-Fähigkeiten immer noch übertrifft, während OpenVPN nach wie vor sehr langsam bleibt.
Quelle: opennet.ru
