{"id":41441,"date":"2020-02-11T12:07:10","date_gmt":"2020-02-11T09:07:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/wireguard-pridet-v-yadro-linux-pochemu"},"modified":"2020-02-11T12:07:10","modified_gmt":"2020-02-11T09:07:10","slug":"wireguard-pridet-v-yadro-linux-pochemu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/wireguard-pridet-v-yadro-linux-pochemu","title":{"rendered":"Warum wird WireGuard Teil des Linux-Kerns?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ende Juli haben die Entwickler des VPN-Tunnels WireGuard vorgeschlagen Patch-Satz<\/a><\/noindex>, ihre Software zur Einrichtung von VPN-Tunneln Teil des Linux-Kernels zu machen. Das genaue Datum f\u00fcr die Umsetzung des \"Plans\" bleibt jedoch unbekannt. Im Folgenden werden wir dieses Werkzeug genauer besprechen.<\/p>\n

\"Warum<\/a><\/noindex><\/a><\/noindex>
\n\/ \u0444\u043e\u0442\u043e Tambako Der Jaguar<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Kurzinformation zum Projekt<\/h2>\n

\nWireGuard ist ein VPN-Tunnel der n\u00e4chsten Generation, entwickelt von Jason Donenfeld, dem Leiter der Firma Edge Security. Das Projekt wurde als vereinfachte<\/a><\/noindex> und schnelle Alternative zu OpenVPN und IPsec entwickelt. Die erste Version des Produkts bestand aus nur 4.000 Zeilen Code. Zum Vergleich: OpenVPN hat etwa 120.000 Zeilen und IPSec 420.000.<\/p>\n

Nach Aussage<\/a><\/noindex> Entwicklern, WireGuard l\u00e4sst sich einfach einrichten, und die Sicherheit des Protokolls wird durch bew\u00e4hrte kryptografische Algorithmen gew\u00e4hrleistet.<\/a><\/noindex>. Bei einem Netzwerkwechsel<\/a><\/noindex>: Wi-Fi, LTE oder Ethernet muss man sich jedes Mal wieder mit dem VPN-Server verbinden. Die WireGuard-Server unterbrechen jedoch keine Verbindung, selbst wenn der Benutzer eine neue IP-Adresse erhalten hat.<\/p>\n

Obwohl WireGuard urspr\u00fcnglich f\u00fcr den Linux-Kernel optimiert wurde, haben die Entwickler auch<\/a><\/noindex> eine tragbare Version des Werkzeugs f\u00fcr Android-Ger\u00e4te ber\u00fccksichtigt. Die App ist derzeit noch nicht ausgereift, kann aber bereits ausprobiert werden. Daf\u00fcr muss man einer der Tester werden.<\/a><\/noindex>.<\/p>\n

Insgesamt erfreut sich WireGuard einer recht gro\u00dfen Beliebtheit und wurde sogar wurde implementiert<\/a><\/noindex> von mehreren VPN-Anbietern wie Mullvad und AzireVPN implementiert. Im Internet findet man eine gro\u00dfe Anzahl<\/a><\/noindex> von Anleitungen zur Einrichtung<\/a><\/noindex> dieses Tools. Zum Beispiel gibt es Guides<\/a><\/noindex>, die von Nutzern erstellt wurden, und es gibt Guides, die von den Projektautoren vorbereitet wurden.<\/a><\/noindex>.<\/p>\n

Technische Einzelheiten<\/h2>\n

\nIm offiziellen Dokumentation<\/a><\/noindex> (S. 18) wurde festgestellt, dass die Bandbreite von WireGuard viermal h\u00f6her ist als die von OpenVPN: 1.011 Mbit\/s gegen\u00fcber 258 Mbit\/s. WireGuard \u00fcbertrifft auch die Standardl\u00f6sung f\u00fcr Linux IPsec \u2013 diese hat 881 Mbit\/s. Es \u00fcbertrifft sie auch in Bezug auf die Einfachheit der Einrichtung.<\/p>\n

Nach dem Austausch der Schl\u00fcssel (VPN-Verbindung wird \u00e4hnlich wie bei SSH initialisiert) und der Herstellung der Verbindung l\u00f6st WireGuard eigenst\u00e4ndig alle weiteren Aufgaben: Man muss sich keine Gedanken \u00fcber die Routing, den Zustandskontrolle usw. machen. Zus\u00e4tzliche Anstrengungen f\u00fcr die Einrichtung m\u00fcssen nur unternommen werden, wenn symmetrische Verschl\u00fcsselung verwendet werden soll.<\/p>\n

\"Warum
\n\/ \u0444\u043e\u0442\u043e Anders Hojbjerg<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

F\u00fcr die Installation wird eine Distribution mit einem Linux-Kernel \u201e\u00e4lter\u201c als 4.1 ben\u00f6tigt. Diese ist in den Repositories der g\u00e4ngigen Linux-Distributionen zu finden.<\/p>\n

$ sudo add-apt-repository ppa:hda-me\/wireguard\n$ sudo apt update\n$ sudo apt install wireguard-dkms wireguard-tools\n<\/code><\/pre>\n
\nWie die Redakteure von xakep.ru anmerken, ist das eigenst\u00e4ndige Kompilieren aus Quelltexten ebenfalls unkompliziert. Es reicht aus, das Interface zu aktivieren und einen \u00f6ffentlichen sowie einen privaten Schl\u00fcssel zu generieren:<\/p>\n
$ sudo ip link add dev wg0 type wireguard\n$ wg genkey | tee privatekey | wg pubkey > publickey\n<\/code><\/pre>\n
\nWireGuard verwendet nicht<\/a><\/noindex> Interface zur Arbeit mit dem Kryptografieanbieter CryptoAPI<\/a><\/noindex>. Stattdessen wird ein Stream-Cipher verwendet ChaCha20<\/a><\/noindex>, kryptografische Message Authentication Code<\/a><\/noindex> Poly1305 und eigene kryptografische Hash-Funktionen.<\/p>\n
Der geheime Schl\u00fcssel wird unter Verwendung von generiert. Die eigentliche Verschl\u00fcsselung<\/a><\/noindex> auf Grundlage einer elliptischen Kurve Curve25519<\/a><\/noindex>. Bei der Hash-Erstellung werden Hash-Funktionen<\/a><\/noindex> BLAKE2<\/a><\/noindex> und SipHash<\/a><\/noindex>. Dank des Formats des Zeitstempels TAI64N<\/a><\/noindex> verwirft das Protokoll Pakete mit einem geringeren Zeitstempelwert, was DoS-<\/a><\/noindex> und Replay-Angriffe<\/a><\/noindex>.<\/p>\n
verhindert. Dabei verwendet WireGuard die Funktion ioctl zur Steuerung der Ein- und Ausgabe (zuvor wurde Netlink<\/a><\/noindex>verwendet), was den Code sauberer und einfacher macht. Davon kann man sich \u00fcberzeugen, indem man in den Konfigurationscode<\/a><\/noindex>.<\/p>\n
Die Pl\u00e4ne der Entwickler<\/h2>\n
\nBislang ist WireGuard ein Out-of-Tree Kernelmodul. Aber der Projektautor Jason Donenfeld sagen<\/a><\/noindex>, dass es bereits an der Zeit sei, eine vollst\u00e4ndige Implementierung im Linux-Kernel zu realisieren. Da es einfacher und zuverl\u00e4ssiger ist als andere L\u00f6sungen. Jason sagt dazu sogar, unterst\u00fctzt<\/a><\/noindex> selbst Linus Torvalds \u2013 er nannte den Code von WireGuard \"ein Kunstwerk\".<\/p>\n
Aber \u00fcber genaue Termine f\u00fcr die Einf\u00fchrung von WireGuard in den Kernel spricht bislang niemand. Und es ist kaum<\/a><\/noindex> zu erwarten, dass dies mit der Ver\u00f6ffentlichung des August-Kernel 4.18 passiert. Es besteht jedoch die M\u00f6glichkeit, dass dies in naher Zukunft geschieht: in Version 4.19 oder 5.0.<\/p>\n
Wenn WireGuard in den Kernel aufgenommen wird, m\u00f6chten die Entwickler die Anwendung f\u00fcr Android-Ger\u00e4te weiterentwickeln und mit der Erstellung einer Anwendung f\u00fcr iOS beginnen. Au\u00dferdem ist eine Umsetzung in Go und Rust geplant und deren Portierung auf macOS, Windows und BSD. Zudem wird die Implementierung von WireGuard f\u00fcr exotischere Systeme angestrebt:<\/a><\/noindex> FPGA DPDK<\/a><\/noindex>, , sowie viele andere interessante Dinge. Alle sind in der<\/a><\/noindex>To-Do-Liste der Projektautoren aufgef\u00fchrt.<\/a><\/noindex> P.S. Noch einige Artikel aus unserem Unternehmensblog:<\/p>\n
\nCloud-Technologien im Finanzsektor: Erfahrungen russischer Unternehmen<\/p>\n