Desde la base de c\u00f3digo, a partir de la cual se form\u00f3 el lanzamiento de FreeBSD 13, se elimin\u00f3 con esc\u00e1ndalo el c\u00f3digo de la implementaci\u00f3n del protocolo VPN WireGuard, desarrollado por encargo de la empresa Netgate sin consultar a los desarrolladores originales de WireGuard, ya incluido en las versiones estables de la distribuci\u00f3n pfSense. Tras la revisi\u00f3n del c\u00f3digo por Jason Donenfeld, el autor del WireGuard original, se descubri\u00f3 que la implementaci\u00f3n propuesta para FreeBSD era un ejemplo de c\u00f3digo de baja calidad, lleno de desbordamientos de b\u00fafer y que violaba la licencia GPL. <\/p>\n
Se encontraron fallas catastr\u00f3ficas en la implementaci\u00f3n del c\u00f3digo de criptograf\u00eda, se omiti\u00f3 una parte del protocolo WireGuard, hubo errores que provocaron la ca\u00edda del n\u00facleo y el el bypass de m\u00e9todos de protecci\u00f3n, se utilizaron b\u00faferes de tama\u00f1o fijo para los datos de entrada. La calidad del c\u00f3digo se refleja en la presencia de marcadores en lugar de verificaciones que siempre devuelven el valor \u00abtrue\u00bb, as\u00ed como en printf de depuraci\u00f3n olvidados que mostraban par\u00e1metros utilizados para el cifrado y el uso de la funci\u00f3n sleep para prevenir condiciones de carrera. <\/p>\n
Algunas partes del c\u00f3digo, como la funci\u00f3n crypto_xor, fueron trasladadas de la implementaci\u00f3n de WireGuard desarrollada para Linux, en violaci\u00f3n de la licencia GPL. Como resultado, Jason Donenfeld junto con Kyle Evans y Matt Dunwoodie, autor del puerto de WireGuard para OpenBSD, se ocuparon de rehacer la problem\u00e1tica implementaci\u00f3n y en una semana reemplazaron completamente el c\u00f3digo del desarrollador contratado por Netgate. La versi\u00f3n reescrita fue lanzada como un conjunto de parches separados, colocada en el repositorio del proyecto WireGuard y a\u00fan no ha sido incorporada en FreeBSD. <\/p>\n
Es interesante que, en un principio, nada presagiaba problemas. La empresa Netgate, que deseaba implementar WireGuard en la distribuci\u00f3n pfSense, contrat\u00f3 a Matthew Macy, quien tiene un profundo conocimiento del n\u00facleo y la pila de redes de FreeBSD, ha participado en la correcci\u00f3n de errores y tiene experiencia en el desarrollo de controladores de red para este sistema operativo. A Macy se le proporcion\u00f3 un horario flexible sin fechas l\u00edmite ni revisiones intermedias. Los desarrolladores que colaboraron con Macy en FreeBSD lo describieron como un programador talentoso y profesional, cometiendo no m\u00e1s errores que otros y respondiendo adecuadamente a las cr\u00edticas. La deficiente calidad del c\u00f3digo de implementaci\u00f3n de WireGuard para FreeBSD fue una sorpresa para ellos. <\/p>\n
Despu\u00e9s de 9 meses de trabajo, en diciembre del a\u00f1o pasado, Macy a\u00f1adi\u00f3 su implementaci\u00f3n a la rama HEAD sin que se completara la revisi\u00f3n y prueba por parte de terceros, la cual fue utilizada para la versi\u00f3n de FreeBSD 13. El desarrollo se realiz\u00f3 sin coordinaci\u00f3n con los desarrolladores originales de WireGuard y los puertos para OpenBSD y NetBSD. En febrero, Netgate integr\u00f3 WireGuard en el lanzamiento estable de pfSense 2.5.0 y comenz\u00f3 a enviar las firewalls basadas en esta versi\u00f3n. Tras la detecci\u00f3n de problemas, el c\u00f3digo de WireGuard fue eliminado de pfSense. <\/p>\n
En el c\u00f3digo agregado se encontraron vulnerabilidades cr\u00edticas que fueron utilizadas en exploits 0-day, pero Netgate, en un principio, no reconoci\u00f3 la existencia de tales vulnerabilidades y trat\u00f3 de culpar al desarrollador original de WireGuard de ataques y sesgo, lo que afect\u00f3 negativamente su reputaci\u00f3n. El desarrollador del puerto inicialmente rechaz\u00f3 las acusaciones sobre la calidad del c\u00f3digo y las consider\u00f3 exageradas, pero tras la demostraci\u00f3n de errores, not\u00f3 que realmente era un problema importante la falta de una adecuada revisi\u00f3n de la calidad del c\u00f3digo en FreeBSD, ya que los problemas permanecieron sin ser detectados durante muchos meses (los representantes de Netgate indicaron que la revisi\u00f3n p\u00fablica se lanz\u00f3 en agosto de 2020, pero algunos desarrolladores de FreeBSD se\u00f1alaron que en Phabricator la revisi\u00f3n fue cerrada por Macy sin completarla y con comentarios ignorados). El equipo de FreeBSD Core Team reaccion\u00f3 ante el incidente prometiendo modernizar los procesos de revisi\u00f3n de c\u00f3digo. <\/p>\n
Matthew Maisey, el desarrollador del puerto problem\u00e1tico para FreeBSD, coment\u00f3 sobre la situaci\u00f3n diciendo que cometi\u00f3 un gran error al asumir el trabajo sin estar preparado para llevar a cabo este proyecto. El resultado obtenido, seg\u00fan Maisey, se explica por el agotamiento emocional y los problemas surgidos a ra\u00edz del s\u00edndrome poscovid. A pesar de esto, no encontr\u00f3 el valor para renunciar a las obligaciones ya contra\u00eddas y trat\u00f3 de llevar el proyecto hasta el final. <\/p>\n