In den Quellcode von FreeBSD wurden \u00c4nderungen mit einer neuen Umsetzung von VPN WireGuard aufgenommen, die auf dem Code des Kernel-Moduls basiert. Dieses wurde gemeinsam von den Hauptentwicklerteams von FreeBSD und WireGuard unter Beteiligung von Jason Donenfeld, dem Autor von VPN WireGuard, und John Baldwin, einem bekannten Entwickler von GDB und FreeBSD, der Anfang der 2000er Jahre die Unterst\u00fctzung f\u00fcr SMP und NUMA im FreeBSD-Kernel implementierte, vorbereitet. Nach der Annahme des Treibers in FreeBSD (sys\/dev\/wg) wird seine Entwicklung und Wartung nun im FreeBSD-Repository erfolgen. <\/p>\n
Vor der Annahme des Codes wurde mit Unterst\u00fctzung der FreeBSD Foundation eine vollst\u00e4ndige \u00dcberpr\u00fcfung der \u00c4nderungen durchgef\u00fchrt, bei der auch die Interaktion des Treibers mit anderen Kernelsubsystemen analysiert und die M\u00f6glichkeit zur Nutzung der vom Kernel bereitgestellten kryptographischen Primitiven bewertet wurde. <\/p>\n
Um die f\u00fcr den Treiber erforderlichen kryptographischen Algorithmen nutzen zu k\u00f6nnen, wurde die API der FreBSD-Kryptosubsysteme erweitert. Dabei wurde eine Wrapper hinzugef\u00fcgt, die die Nutzung nicht unterst\u00fctzter Algorithmen in FreeBSD \u00fcber die standardm\u00e4\u00dfige Krypto-API erm\u00f6glicht, indem die ben\u00f6tigten Algorithmen aus der Bibliothek libsodium implementiert werden. Von den im Treiber eingebauten Algorithmen blieb nur der Code zur Berechnung von Hashes mit Blake2 erhalten, da die in FreeBSD bereitgestellte Implementierung dieses Algorithmus an eine feste Hashgr\u00f6\u00dfe gebunden ist. <\/p>\n
Dar\u00fcber hinaus wurde im Rahmen der \u00dcberpr\u00fcfung der Code optimiert, was die Effizienz der Lastverteilung auf mehrkernige CPUs verbesserte (eine gleichm\u00e4\u00dfige Balance der Aufgabenbindung f\u00fcr die Verschl\u00fcsselung und Entschl\u00fcsselung von Paketen an die CPU-Kerne wurde sichergestellt). Dadurch wurden die Overheads bei der Verarbeitung von Paketen n\u00e4her an die Implementierung des Treibers f\u00fcr Linux gebracht. Im Code wurde zudem die M\u00f6glichkeit zur Nutzung des Treibers ossl zur Beschleunigung der Verschl\u00fcsselungsoperationen sichergestellt. <\/p>\n
Im Gegensatz zu dem fr\u00fcheren Versuch, WireGuard in FreeBSD zu integrieren, verwendet die neue Implementierung das Standardtool wg und nicht die modifizierte Version von ifconfig. Dies hat eine Vereinheitlichung der Konfiguration in Linux und FreeBSD erm\u00f6glicht. Das Tool wg sowie der Treiber sind in den Quelltexten von FreeBSD enthalten, was durch die \u00c4nderung der Lizenz f\u00fcr den wg-Code (dieser ist nun unter den Lizenzen MIT und GPL verf\u00fcgbar) m\u00f6glich wurde. Der fr\u00fchere Versuch, WireGuard in FreeBSD zu integrieren, wurde 2020 unternommen, endete jedoch in einem Skandal, der dazu f\u00fchrte, dass der bereits hinzugef\u00fcgte Code aufgrund geringer Qualit\u00e4t, unsachgem\u00e4\u00dfer Handhabung von Puffer, Verwendung von Platzhaltern anstelle von \u00dcberpr\u00fcfungen, unvollst\u00e4ndiger Implementierung des Protokolls und Versto\u00df gegen die GPL-Lizenz entfernt wurde. <\/p>\n
Wir erinnern daran, dass VPN<\/a> WireGuard basiert auf modernen Verschl\u00fcsselungsmethoden, bietet sehr hohe Leistung, ist einfach zu bedienen, frei von Komplikationen und hat sich in einer Reihe von gro\u00dfen Implementierungen bew\u00e4hrt, die gro\u00dfe Datenmengen verarbeiten. Das Projekt wird seit 2015 entwickelt, hat eine Pr\u00fcfung und formale Verifikation der verwendeten Verschl\u00fcsselungsmethoden durchlaufen. In WireGuard wird das Konzept des Routings basierend auf Verschl\u00fcsselungsschl\u00fcsseln verwendet, das die Bindung eines privaten Schl\u00fcssels an jede Netzwerkschnittstelle und die Anwendung zur Verbindung \u00f6ffentlicher Schl\u00fcssel beinhaltet. <\/p>\n Der Austausch \u00f6ffentlicher Schl\u00fcssel zur Establishierung einer Verbindung erfolgt analog zu SSH. Zur Aushandlung von Schl\u00fcsseln und zur Verbindung ohne das Starten eines separaten Daemons im Benutzerspace wird der Noise_IK-Mechanismus aus dem Noise Protocol Framework verwendet, \u00e4hnlich der Verwaltung von authorized_keys in SSH. Die Daten\u00fcbertragung erfolgt durch Kapselung in UDP-Pakete. Der Wechsel von IP-Adressen<\/a> VPN-Servern (Roaming) ohne Verbindungsabbruch mit automatischer Neukonfiguration des Clients. <\/p>\n