publication marquante de VPN , qui a marqué la livraison des composants WireGuard dans le noyau principal et la stabilisation du développement. Le code inclus dans le noyau Linux sous audit de sécurité supplémentaire, réalisé par une entreprise indépendante spécialisée dans ce type de vérifications. L'audit n'a révélé aucun problÚme.
Puisque WireGuard est dĂ©sormais dĂ©veloppĂ© dans le noyau principal de Linux, un dĂ©pĂŽt a Ă©tĂ© prĂ©parĂ© . Ce dĂ©pĂŽt comprend le code backportĂ© de WireGuard et une couche compat.h pour garantir la compatibilitĂ© avec les anciens noyaux. Il est notĂ© que tant qu'il y a la possibilitĂ© pour les dĂ©veloppeurs et le besoin pour les utilisateurs, une variante sĂ©parĂ©e des patches sera maintenue opĂ©rationnelle. Dans son Ă©tat actuel, la version sĂ©parĂ©e de WireGuard peut ĂȘtre utilisĂ©e avec des noyaux issus de et , et est Ă©galement disponible sous forme de patches pour les noyaux Linux et . Les distributions utilisant les derniers noyaux, tels qu'Arch, Gentoo et
Fedora 32, auront la possibilité d'utiliser WireGuard avec la mise à jour du noyau 5.6.
Le principal processus de dĂ©veloppement se fait maintenant dans le dĂ©pĂŽt , qui inclut l'arborescence complĂšte du noyau Linux avec les modifications du projet Wireguard. Les patches de ce dĂ©pĂŽt seront examinĂ©s pour inclusion dans le noyau principal et transfĂ©rĂ©s rĂ©guliĂšrement dans les branches net/net-next. Le dĂ©veloppement d'utilitaires et de scripts exĂ©cutables en espace utilisateur, tels que wg et wg-quick, se fait dans le dĂ©pĂŽt , qui peut ĂȘtre utilisĂ© pour crĂ©er des paquets dans les distributions.
Rappelons que le VPN WireGuard est basĂ© sur des mĂ©thodes de chiffrement modernes, offre une trĂšs haute performance, est facile Ă utiliser, dĂ©pourvu de complications et a bien rĂ©ussi dans plusieurs grandes mises en Ćuvre traitant de gros volumes de trafic. Le projet se dĂ©veloppe depuis 2015, a Ă©tĂ© auditĂ© et des mĂ©thodes de chiffrement appliquĂ©es. Le support de WireGuard est dĂ©jĂ intĂ©grĂ© dans NetworkManager et systemd, et les patches pour le noyau font partie des distributions de base , Mageia, Alpine, Arch, Gentoo, OpenWrt, NixOS, et .
WireGuard utilise le concept de routage par clés de cryptage, liant chaque interface réseau à une clé privée et utilisant des clés publiques pour établir des connexions. L'échange de clés publiques pour établir une connexion se fait de maniÚre analogue à SSH. Pour l'accord des clés et la connexion sans démarrer un démon séparé dans l'espace utilisateur, le mécanisme Noise_IK est utilisé , semblable au maintien des authorized_keys dans SSH. La transmission des données se fait via encapsulation dans des paquets UDP. Le changement d'adresse IP du serveur VPN (roaming) est pris en charge sans rupture de la connexion, avec une reconfiguration automatique du client.
Pour le cryptage un chiffre de flux et un algorithme d'authentification de message (MAC) , développés par Daniel Bernstein (), Tanja Lange
(Tanja Lange) et Peter Schwabe (Peter Schwabe). ChaCha20 et Poly1305 sont présentés comme des alternatives plus rapides et plus sécurisées à AES-256-CTR et HMAC, dont l'implémentation logicielle permet d'obtenir un temps d'exécution fixe sans nécessiter de support matériel particulier. Pour générer une clé secrÚte partagée, le protocole de Diffie-Hellman sur des courbes elliptiques est utilisé, implémenté par , également proposé par Daniel Bernstein. Pour le hachage, l'algorithme .
Lors des anciens de performance, WireGuard a démontré une capacité de transmission 3,9 fois supérieure et une réactivité 3,8 fois supérieure par rapport à OpenVPN (AES 256 bits avec HMAC-SHA2-256). Comparé à IPsec (ChaCha20+Poly1305 et AES-256-GCM-128), WireGuard montre un léger avantage en performance (13-18%) et une réduction des latences (21-23%). Les résultats des tests publiés sur le site du projet concernent l'ancienne implémentation isolée de WireGuard et sont notés comme insuffisamment qualitatifs. Depuis la réalisation des tests, le code de WireGuard et d'IPsec a été optimisé et fonctionne désormais plus rapidement. Un test plus complet, incluant l'implémentation intégrée dans le noyau, n'a pas encore été réalisé. Cependant, il est noté que WireGuard dépasse toujours IPsec dans certaines situations en raison du multi-threading, tandis qu'OpenVPN reste trÚs lent.
Source : opennet.ru
