In den Quellbaum der FreeBSD-Editionen wurden \u00c4nderungen mit einer neuen Implementierung des VPN WireGuard \u00fcbernommen, die auf dem Code des Kernelmoduls basiert. Diese wurde gemeinsam von den Hauptentwicklerteams von FreeBSD und WireGuard unter der Mitwirkung von Jason A. Donenfeld, dem Autor des VPN WireGuard, sowie John H. Baldwin, einem bekannten Entwickler von GDB und FreeBSD, der in den fr\u00fchen 2000er Jahren die Unterst\u00fctzung von SMP und NUMA im FreeBSD-Kernel implementierte, vorbereitet. Nach der \u00dcbernahme des Treibers in FreeBSD (sys\/dev\/wg) wird seine Entwicklung und Wartung nun im FreeBSD-Repository fortgesetzt. <\/p>\n
Vor der Annahme des Codes fand unter der Unterst\u00fctzung der FreeBSD Foundation eine umfassende \u00dcberpr\u00fcfung der \u00c4nderungen statt, bei der auch die Interaktion des Treibers mit anderen Teilsystemen des Kernels analysiert und die M\u00f6glichkeiten zur Nutzung der vom Kernel bereitgestellten kryptografischen Primitiven bewertet wurden. <\/p>\n
Um die ben\u00f6tigten Treiber f\u00fcr kryptografische Algorithmen zu verwenden, wurde die API der Kryptosysteme des FreeBSD-Kernels erweitert. Eine Schnittstelle wurde hinzugef\u00fcgt, die es erm\u00f6glicht, \u00fcber die Standard-Krypto-API Algorithmen zu nutzen, die in FreeBSD nicht unterst\u00fctzt werden, indem die erforderlichen Algorithmen aus der Bibliothek libsodium implementiert werden. Von den im Treiber integrierten Algorithmen blieb lediglich der Code zur Berechnung von Blake2-Hashes erhalten, da die in FreeBSD bereitgestellte Implementierung dieses Algorithmus auf eine feste Hash-Gr\u00f6\u00dfe angewiesen ist. <\/p>\n
Dar\u00fcber hinaus wurde im Rahmen der \u00dcberpr\u00fcfung eine Code-Optimierung durchgef\u00fchrt, die die Effizienz der Lastverteilung auf Mehrkern-CPUs erh\u00f6ht hat (eine gleichm\u00e4\u00dfige Balance der Aufgabenbindung f\u00fcr die Verschl\u00fcsselung und Entschl\u00fcsselung von Paketen auf die CPU-Kerne wurde sichergestellt). Infolgedessen wurden die Kosten bei der Verarbeitung von Paketen nahezu an die Implementierung des Treibers f\u00fcr Linux angeglichen. Im Code wurde auch die M\u00f6glichkeit integriert, den Treiber ossl zu verwenden, um die Verschl\u00fcsselungsoperationen zu beschleunigen. <\/p>\n
Im Gegensatz zu dem vorherigen Versuch, WireGuard in FreeBSD zu integrieren, wird in der neuen Implementierung das Standard-Tool wg verwendet, anstelle einer modifizierten Version von ifconfig. Dies erm\u00f6glicht eine einheitliche Konfiguration sowohl unter Linux als auch unter FreeBSD. Das Tool wg ist zusammen mit dem Treiber in den Quelltexten von FreeBSD enthalten, was durch die \u00c4nderung der Lizenz f\u00fcr den wg-Code (der jetzt unter den MIT- und GPL-Lizenzen verf\u00fcgbar ist) erm\u00f6glicht wurde. Der fr\u00fchere Versuch, WireGuard in FreeBSD zu integrieren, wurde 2020 unternommen, endete jedoch in einem Skandal, bei dem der bereits hinzugef\u00fcgte Code aufgrund von mangelhafter Qualit\u00e4t, Nachl\u00e4ssigkeit im Umgang mit Buffern, der Verwendung von Platzhaltern anstelle von \u00dcberpr\u00fcfungen, unvollst\u00e4ndiger Implementierung des Protokolls und Verletzung der GPL-Lizenz entfernt wurde. <\/p>\n
Wir erinnern daran, dass VPN<\/a> WireGuard basiert auf modernen Verschl\u00fcsselungsmethoden, bietet eine sehr hohe Leistung, ist benutzerfreundlich, unkompliziert und hat sich in mehreren gro\u00dfen Implementierungen, die gro\u00dfe Datenmengen verarbeiten, bew\u00e4hrt. Das Projekt wird seit 2015 weiterentwickelt und hat eine Pr\u00fcfung sowie eine formale Verifizierung der verwendeten Verschl\u00fcsselungsmethoden durchlaufen. Bei WireGuard kommt das Konzept der Schl\u00fcssel-basierten Routing an, welches jeden Netzwerkinterface mit einem privaten Schl\u00fcssel verkn\u00fcpft und zur Verbindung der \u00f6ffentlichen Schl\u00fcssel verwendet. <\/p>\n Der Austausch von \u00f6ffentlichen Schl\u00fcsseln zur Verbindungsherstellung erfolgt analog zu SSH. Um die Schl\u00fcssel zu vereinbaren und eine Verbindung ohne den Start eines separaten Daemons im Benutzerspace herzustellen, wird der Noise_IK-Mechanismus aus dem Noise Protocol Framework verwendet, der der Handhabung von authorized_keys in SSH \u00e4hnelt. Die Daten\u00fcbertragung erfolgt durch Kapselung in UDP-Paketen. Es wird ein Wechsel unterst\u00fctzt. IP-Adressen<\/a> VPN-Server (Roaming) mit unterbrechungsfreier Verbindung und automatischer Neukonfiguration des Clients. <\/p>\n