NetBSD tuuma on lisatud WireGuard VPN-i tugi

NetBSD projekti arendajad teatasid teatasid, et NetBSD tuuma põhiseos on nüüd lahendustest wg, mis rakendab WireGuard protokolli. NetBSD on nüüd kolmas operatsioonisüsteem pärast Linuxit ja OpenBSD-d, mis sisaldab integreeritud WireGuard tugi. Samuti on pakkuda seotud käske VPN-i seadistamiseks — wg-keygen ja wgconfig. Vaikimisi (GENERIC) tuuma konfiguratsioonis ei ole draiver veel aktiveeritud ja vajab selgesõnalist määra «pseudo-device wg» seadetes.

Lisaks võib märkida avaldamist Wireguard-tools versioon 1.0.20200820 parandav uuendus, mis sisaldab tööriistu kasutajaruumi, nagu wg ja wg-quick. Uus väljaanne valmistab ette IPC-i tulevase WireGuard toe jaoks FreeBSD operatsioonisüsteemis. Erinevate platvormide jaoks spetsiifilise koodi jaoks on loodud eraldi failid. systemd unit-failile on lisatud „reload” käsu tugi, mis võimaldab käivitada konstruktsioone nagu „systemctl reload wg-quick at wgnet0”.

Tuletame meelde, et VPN WireGuard põhineb kaasaegsetel krüpteerimismeetoditel, pakub väga kõrget jõudlust, on lihtne kasutada, puuduvad keerukused ning on end tõestanud mitmes suures rakenduses, mis töötlevad suuri andmemahtusid. Projekt on käinud alates 2015. aastast, läbinud audit ja formaalse kontrollimise rakendatud krüpteerimismeetodite osas. WireGuard'i tugi on juba integreeritud NetworkManagerisse ja systemd-sse, ning tuuma patch'id kuuluvad jaotuste põhikoosseisu Debian Unstable, Mageia, Alpine, Arch, Gentoo, OpenWrt, NixOS, Subgraph ja ALT.

WireGuard kasutab krüpteerimisvõtmete põhist marsruutimise kontseptsiooni, mis tähendab, et iga võrgu liidese jaoks seostatakse privaatvõti ja avalike võtmete sidumine toimub sarnaselt SSH-le. Avalike võtmete vahetamine ühenduse loomise jaoks toimub sama printsiibi järgi nagu SSH-s. Võtmete kokku leppimiseks ja ühenduse loomiseks ilma eraldi kasutajaruumis deemonit käivitamata kasutatakse mehhanismi Noise_IK Noise Protocol Framework, mis sarnaneb authorized_keys haldamisega SSH-s. Andmete edastamine toimub UDP-pakettidesse kapseldamise kaudu. VPN-serveri IP-aadressi vahetamine (roaming) on toetatud ilma ühenduse katkemiseta ja kliendi automaatse ümberkonfigureerimisega.

Krüpteerimiseks kasutatakse voosredensus ChaCha20 ja sõnumite autentimise algoritm (MAC) Poly1305, mille on töötanud välja Daniel Bernstein (Daniel J. Bernstein), Tanja Lange
(Tanja Lange) ja Peter Schwabe (Peter Schwabe). ChaCha20 ja Poly1305 on esitatud kiiremate ja turvalisemate variantidena AES-256-CTR ja HMAC, mille tarkvaraline teostus võimaldab saavutada fikseeritud töötlemisaega ilma spetsiaalse riistvaratoe kaasamiseta. Ühise salajase võtme genereerimiseks kasutatakse elliptsete kõverate järgi töötavat Diffie-Hellmani protokolli, mille teostas Curve25519, mille samuti pakkus välja Daniel Bernstein. Hashimise jaoks kasutatakse algoritmi BLAKE2s (RFC7693).

Allikas: opennet.ru