{"id":41441,"date":"2020-02-11T12:07:10","date_gmt":"2020-02-11T09:07:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/wireguard-pridet-v-yadro-linux-pochemu"},"modified":"2020-02-11T12:07:10","modified_gmt":"2020-02-11T09:07:10","slug":"wireguard-pridet-v-yadro-linux-pochemu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/wireguard-pridet-v-yadro-linux-pochemu","title":{"rendered":"Why will WireGuard 'come' to the Linux kernel?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00c0 la fin juillet, les d\u00e9veloppeurs du tunnel VPN WireGuard ont propos\u00e9 un ensemble de patchs<\/a><\/noindex>, qui int\u00e9greront leur logiciel de cr\u00e9ation de tunnels VPN au noyau de Linux. Cependant, la date pr\u00e9cise de mise en \u0153uvre de cette \"id\u00e9e\" reste inconnue. Sous le paragraphe, nous allons discuter de cet outil plus en d\u00e9tail.<\/p>\n

\"Why<\/a><\/noindex><\/a><\/noindex>
\n\/ \u0444\u043e\u0442\u043e Tambako The Jaguar<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Br\u00e8ve pr\u00e9sentation du projet<\/h2>\n

\nWireGuard est un tunnel VPN de nouvelle g\u00e9n\u00e9ration, cr\u00e9\u00e9 par Jason Donenfeld, le directeur de l'entreprise Edge Security. Le projet a \u00e9t\u00e9 d\u00e9velopp\u00e9 comme une alternative simplifi\u00e9e<\/a><\/noindex> et rapide \u00e0 OpenVPN et IPsec. La premi\u00e8re version du produit comptait seulement 4 000 lignes de code. \u00c0 titre de comparaison, OpenVPN en compte environ 120 000, tandis qu'IPsec en compte 420 000.<\/p>\n

Selon propos<\/a><\/noindex> pour les d\u00e9veloppeurs, WireGuard est facile \u00e0 configurer, et la s\u00e9curit\u00e9 du protocole est assur\u00e9e gr\u00e2ce \u00e0 des algorithmes cryptographiques \u00e9prouv\u00e9s<\/a><\/noindex>. Lors du changement de r\u00e9seau<\/a><\/noindex>: Wi-Fi, LTE ou Ethernet, il est n\u00e9cessaire de se reconnecter \u00e0 chaque fois au serveur VPN. En revanche, les serveurs WireGuard ne rompent pas la connexion, m\u00eame si l'utilisateur re\u00e7oit une nouvelle adresse IP.<\/p>\n

Bien que WireGuard soit initialement con\u00e7u pour le noyau Linux, les d\u00e9veloppeurs ont \u00e9galement pens\u00e9<\/a><\/noindex> \u00e0 une version portable de l'outil pour les appareils Android. L'application est encore en cours de d\u00e9veloppement, mais elle peut d\u00e9j\u00e0 \u00eatre test\u00e9e. Pour cela, il faut devenir l'un des testeurs<\/a><\/noindex>.<\/p>\n

Dans l'ensemble, WireGuard est assez populaire et a m\u00eame \u00e9t\u00e9 mis en \u0153uvre<\/a><\/noindex> adopt\u00e9 par plusieurs fournisseurs VPN, tels que Mullvad et AzireVPN. De nombreux et de la livraison continue (<\/a><\/noindex> guides de configuration<\/a><\/noindex> de cette solution sont disponibles en ligne. Par exemple, il existe des guides<\/a><\/noindex>, cr\u00e9\u00e9s par des utilisateurs, et d'autres guides , pr\u00e9par\u00e9s par les auteurs du projet.<\/a><\/noindex>.<\/p>\n

D\u00e9tails techniques<\/h2>\n

\nDans la documentation officielle<\/a><\/noindex> (p.18) est indiqu\u00e9 que la bande passante de WireGuard est quatre fois sup\u00e9rieure \u00e0 celle d'OpenVPN : 1011 Mbit\/s contre 258 Mbit\/s, respectivement. WireGuard devance \u00e9galement la solution standard pour Linux, IPsec, qui atteint 881 Mbit\/s. Il surpasse \u00e9galement celle-ci en termes de simplicit\u00e9 de configuration.<\/p>\n

Apr\u00e8s l'\u00e9change des cl\u00e9s (la connexion VPN est initialis\u00e9e presque comme en SSH), WireGuard g\u00e8re toutes les autres t\u00e2ches de mani\u00e8re autonome : il n'est pas n\u00e9cessaire de se soucier du routage, du contr\u00f4le d'\u00e9tat, etc. Des efforts suppl\u00e9mentaires pour la configuration ne seront n\u00e9cessaires que si l'on souhaite utiliser le chiffrement sym\u00e9trique.<\/p>\n

\"Why
\n\/ \u0444\u043e\u0442\u043e Anders Hojbjerg<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Pour l'installation, un syst\u00e8me d'exploitation avec un noyau Linux \"version 4.1 ou sup\u00e9rieure\" est requis. Celui-ci peut \u00eatre trouv\u00e9 dans les d\u00e9p\u00f4ts des principales distributions Linux.<\/p>\n

$ sudo add-apt-repository ppa:hda-me\/wireguard\n$ sudo apt update\n$ sudo apt install wireguard-dkms wireguard-tools\n<\/code><\/pre>\n
\nComme le mentionnent les r\u00e9dacteurs de xakep.ru, l'assemblage autonome \u00e0 partir des sources est \u00e9galement simple. Il suffit de lever l'interface et de g\u00e9n\u00e9rer des cl\u00e9s publiques et priv\u00e9es :<\/p>\n
$ sudo ip link add dev wg0 type wireguard\n$ wg genkey | tee privatekey | wg pubkey > publickey\n<\/code><\/pre>\n
\nWireGuard n'utilise pas<\/a><\/noindex> interface pour travailler avec le fournisseur de cryptographie CryptoAPI<\/a><\/noindex>. \u00c0 la place, un chiffrement par flux est utilis\u00e9 ChaCha20<\/a><\/noindex>, cryptographique insertion d'imit\u00e9s<\/a><\/noindex> Poly1305 et ses propres fonctions de hachage cryptographique.<\/p>\n
La cl\u00e9 secr\u00e8te est g\u00e9n\u00e9r\u00e9e \u00e0 l'aide de du protocole Diffie-Hellman<\/a><\/noindex> bas\u00e9 sur une courbe elliptique Curve25519<\/a><\/noindex>. Lors de l'indexation, les fonctions de hachage<\/a><\/noindex> BLAKE2<\/a><\/noindex> et SipHash<\/a><\/noindex>. Gr\u00e2ce au format de l'horodatage TAI64N<\/a><\/noindex> le protocole rejette les paquets avec une valeur d'horodatage inf\u00e9rieure, emp\u00eachant ainsi les attaques DoS-<\/a><\/noindex> et replay.<\/a><\/noindex>.<\/p>\n
WireGuard utilise la fonction ioctl pour contr\u00f4ler l'entr\u00e9e\/sortie (qui \u00e9tait auparavant Netlink<\/a><\/noindex>), ce qui rend le code plus propre et plus simple. Vous pouvez le v\u00e9rifier en consultant le code de configuration<\/a><\/noindex>.<\/p>\n
Plans des d\u00e9veloppeurs<\/h2>\n
\nPour l'instant, WireGuard est un module du noyau hors arbre. Mais l'auteur du projet, Jason Donenfeld dit<\/a><\/noindex>, a d\u00e9clar\u00e9 qu'il \u00e9tait d\u00e9j\u00e0 temps pour une mise en \u0153uvre compl\u00e8te dans le noyau Linux. Car il est plus simple et plus fiable que d'autres solutions. Jason dans ce domaine prend en charge<\/a><\/noindex> m\u00eame Linus Torvalds - il a qualifi\u00e9 le code de WireGuard \"\u0153uvre d'art\".<\/p>\n
Mais personne ne parle encore des dates pr\u00e9cises de l'int\u00e9gration de WireGuard dans le noyau. Et il est peu probable<\/a><\/noindex> que cela arrive avec la sortie du noyau Linux 4.18 en ao\u00fbt. Cependant, il y a une chance que cela se produise dans un avenir tr\u00e8s proche : dans la version 4.19 ou 5.0.<\/p>\n
Lorsque WireGuard sera ajout\u00e9 au noyau, les d\u00e9veloppeurs veulent<\/a><\/noindex> am\u00e9liorer l'application pour les appareils Android et commencer \u00e0 \u00e9crire une application pour iOS. De plus, il est pr\u00e9vu de finaliser les mises en \u0153uvre en Go et Rust et de les porter sur macOS, Windows et BSD. Une mise en \u0153uvre de WireGuard pour des syst\u00e8mes plus \"exotiques\" est \u00e9galement pr\u00e9vue : DPDK<\/a><\/noindex>, FPGA<\/a><\/noindex>, ainsi qu'un certain nombre d'autres choses int\u00e9ressantes. Toutes sont \u00e9num\u00e9r\u00e9es dans le to-do-list<\/a><\/noindex> des auteurs du projet.<\/p>\n
\nP.S. Quelques autres articles de notre blog d'entreprise :<\/p>\n