Dans l'arbre des textes sources de FreeBSD, des modifications ont \u00e9t\u00e9 apport\u00e9es avec la nouvelle impl\u00e9mentation VPN WireGuard, bas\u00e9e sur le code du module noyau, pr\u00e9par\u00e9 conjointement par les principales \u00e9quipes de d\u00e9veloppeurs de FreeBSD et de WireGuard, avec la participation de Jason Donenfeld, auteur de VPN WireGuard, et de John Baldwin, d\u00e9veloppeur reconnu de GDB et FreeBSD, qui a r\u00e9alis\u00e9 le support SMP et NUMA dans le noyau FreeBSD au d\u00e9but des ann\u00e9es 2000. Apr\u00e8s l'adoption du pilote au sein de FreeBSD (sys\/dev\/wg), son d\u00e9veloppement et sa maintenance se poursuivront d\u00e9sormais dans le d\u00e9p\u00f4t FreeBSD. <\/p>\n
Avant l'adoption du code avec le soutien de l'organisation FreeBSD Foundation, une r\u00e9vision compl\u00e8te des modifications a \u00e9t\u00e9 r\u00e9alis\u00e9e, au cours de laquelle l'interaction du pilote avec les autres sous-syst\u00e8mes du noyau a \u00e9galement \u00e9t\u00e9 analys\u00e9e et la possibilit\u00e9 d'utiliser les primitives cryptographiques fournies par le noyau a \u00e9t\u00e9 \u00e9valu\u00e9e. <\/p>\n
Pour utiliser les algorithmes cryptographiques n\u00e9cessaires au pilote, une extension de l'API de la sous-syst\u00e8me cryptographique du noyau FreeBSD a \u00e9t\u00e9 r\u00e9alis\u00e9e, dans laquelle un wrapper a \u00e9t\u00e9 ajout\u00e9, permettant d'utiliser via l'API cryptographique standard des algorithmes non support\u00e9s dans FreeBSD, en utilisant l'impl\u00e9mentation des algorithmes n\u00e9cessaires de la biblioth\u00e8que libsodium. Parmi les algorithmes int\u00e9gr\u00e9s au pilote, seul le code pour le calcul des hachages Blake2 a \u00e9t\u00e9 conserv\u00e9, car l'impl\u00e9mentation fournie dans FreeBSD de cet algorithme est li\u00e9e \u00e0 une taille de hachage fixe. <\/p>\n
De plus, au cours de la r\u00e9vision, une optimisation du code a \u00e9t\u00e9 r\u00e9alis\u00e9e, permettant d'am\u00e9liorer l'efficacit\u00e9 de la r\u00e9partition de la charge sur les CPU multic\u0153urs (un \u00e9quilibrage uniforme de l'attribution des t\u00e2ches de chiffrement et de d\u00e9chiffrement des paquets aux c\u0153urs CPU a \u00e9t\u00e9 assur\u00e9). En cons\u00e9quence, les frais g\u00e9n\u00e9raux lors du traitement des paquets ont \u00e9t\u00e9 rapproch\u00e9s de l'impl\u00e9mentation du pilote pour Linux. Le code a \u00e9galement permis d'utiliser le pilote ossl pour acc\u00e9l\u00e9rer les op\u00e9rations de chiffrement. <\/p>\n
Contrairement \u00e0 la pr\u00e9c\u00e9dente tentative d'int\u00e9gration de WireGuard dans FreeBSD, la nouvelle impl\u00e9mentation utilise l'outil standard wg, et non une version modifi\u00e9e de ifconfig, ce qui a permis d'unifier la configuration dans Linux et FreeBSD. L'outil wg, tout comme le pilote, est inclus dans les sources de FreeBSD, ce qui a \u00e9t\u00e9 rendu possible gr\u00e2ce \u00e0 un changement de licence du code wg (le code est d\u00e9sormais disponible sous les licences MIT et GPL). La derni\u00e8re tentative d'inclure WireGuard dans FreeBSD a \u00e9t\u00e9 effectu\u00e9e en 2020, mais a abouti \u00e0 un scandale, au cours duquel le code d\u00e9j\u00e0 ajout\u00e9 a \u00e9t\u00e9 supprim\u00e9 en raison de sa mauvaise qualit\u00e9, de la gestion n\u00e9gligente des tampons, de l'utilisation de bouchons au lieu de v\u00e9rifications, de la mise en \u0153uvre incompl\u00e8te du protocole et de violations de la licence GPL. <\/p>\n
Rappelons que VPN<\/a> WireGuard est bas\u00e9 sur des m\u00e9thodes de chiffrement modernes, offre des performances tr\u00e8s \u00e9lev\u00e9es, est facile \u00e0 utiliser, d\u00e9pouill\u00e9 de complications et a fait ses preuves dans un certain nombre de d\u00e9ploiements importants traitant de gros volumes de trafic. Le projet \u00e9volue depuis 2015, a \u00e9t\u00e9 audit\u00e9 et a subi une v\u00e9rification formelle des m\u00e9thodes de chiffrement utilis\u00e9es. WireGuard applique le concept de routage par cl\u00e9s de chiffrement, impliquant l'attribution d'une cl\u00e9 priv\u00e9e \u00e0 chaque interface r\u00e9seau et l'utilisation de cl\u00e9s publiques pour les liaisons. <\/p>\n L'\u00e9change de cl\u00e9s publiques pour \u00e9tablir une connexion se fait par analogie avec SSH. Pour la n\u00e9gociation des cl\u00e9s et la connexion sans lancer un d\u00e9mon distinct dans l'espace utilisateur, le m\u00e9canisme Noise_IK du Noise Protocol Framework est utilis\u00e9, similaire au maintien des authorized_keys dans SSH. Le transfert de donn\u00e9es est effectu\u00e9 via encapsulation dans des paquets UDP. Le changement est pris en charge. adresses IP<\/a> Serveurs VPN (itin\u00e9rance) sans rupture de connexion avec r\u00e9ajustement automatique du client. <\/p>\n