A FreeBSD forráskód fájlstruktúrájába egy új WireGuard VPN megvalósítás került elfogadásra, amely a FreeBSD fejlesztőcsapatok és a WireGuard csapat közösen kidolgozott kernel moduljának kódjára épít, Jason A. Donenfeld, a WireGuard VPN alkotójának és John H. Baldwin, a GDB és FreeBSD ismert fejlesztőjének részvételével, aki a 2000-es évek elején implementálta az SMP és NUMA támogatását a FreeBSD kernelében. A FreeBSD-hez való illesztés után a meghajtó fejlesztése és karbantartása ezentúl a FreeBSD tárolójában zajlik.
A FreeBSD Alapítvány támogatásával a kód elfogadása előtt teljes körű felülvizsgálat történt, amely során elemezték a meghajtó kölcsönhatását a kernel többi alrendszerével és értékelték a kernel által biztosított kriptográfiai primitívek felhasználásának lehetőségét.
A szükséges kriptográfiai algoritmusokhoz a FreeBSD kernel kriptográfiai alrendszerének API-ját bővítették, amely lehetőséget biztosít a FreeBSD-ben nem támogatott algoritmusok használatára a libsodium könyvtárból származó szükséges algoritmusok megvalósításával. A meghajtóba beépített algoritmusok közül csak a Blake2 hash algoritmus kódja maradt, mivel a FreeBSD által biztosított implementáció rögzített hash méretre van kötve.
Továbbá, a felülvizsgálat során kódoptimalizálásra került sor, amely javította a terhelés elosztás hatékonyságát többmagos CPU-kon (a titkosítási és dekriptálási feladatok magokhoz történő egyenletes elosztását biztosítja). Ennek eredményeként a csomagok feldolgozási költségei a Linux számára készült meghajtó implementációjához közelítettek. A kódban a titkosítási műveletek felgyorsítására az ossl meghajtó használatának lehetősége is biztosítva lett.
A FreeBSD új megvalósításában a WireGuard integrációja révén a hivatalos wg segédprogramot használják, nem a módosított ifconfig verziót, ami lehetővé tette a Linux és FreeBSD közötti konfiguráció egységesítését. A wg segédprogram, akárcsak az illesztőprogram, be van építve a FreeBSD forráskódjába, ami a wg kódjának licencének megváltoztatásának köszönhető (a kód mostantól MIT és GPL licenc alatt érhető el). A WireGuard FreeBSD-be történő integrálására tett korábbi próbálkozást 2020-ban hajtották végre, de botrányba fulladt, amelynek következtében a már hozzáadott kódot eltávolították a gyenge minőség, a gondatlan pufferkezelés, a helyettesítők használata a létező ellenőrzések helyett, a protokoll hiányos megvalósítása és a GPL licenc megsértése miatt.
Emlékeztetjük, hogy VPN A WireGuard a modern titkosítási módszerek alapján valósult meg, rendkívül magas teljesítményt biztosít, könnyen használható, mentes a bonyodalmakból, és jól teljesített nagy forgalmat kezelő nagyobb bevezetések során. A projekt 2015 óta fejlődik, auditálták és formális ellenőrzésen esett át a használt titkosítási módszerek. A WireGuard a kulcsok titkosítás szerinti irányításának koncepcióján alapul, amely megköveteli, hogy minden hálózati interfészhez egy privát kulcs kapcsolódjon, és a nyilvános kulcsok összekapcsolására használják.
A nyilvános kulcsok cseréje az SSH-hoz hasonlóan történik a kapcsolat létrehozásához. A kulcsok egyeztetésére és a kapcsolat létrehozására, anélkül, hogy külön démon futna a felhasználói térben, a Noise_IK mechanizmust alkalmazzák a Noise Protocol Framework-ből, ami hasonló a SSH-ban lévő authorized_keys fenntartásához. Az adatátvitel UDP csomagokba való becsomagolással történik. Támogatja a VPN-szerverek (roaming) automatikus újrakonfigurálását a kapcsolat megszakítása nélkül. IP address A VPN-szerverek (roaming) automatikus átállításával, megszakítás nélkül.
Az adatvédelmi titkosításhoz a ChaCha20 folyamatos titkosító algoritmust és a Poly1305 üzenet-ellenőrző algoritmust (MAC) használják, amelyeket Daniel J. Bernstein, Tanja Lange és Peter Schwabe fejlesztettek ki. A ChaCha20 és Poly1305 gyorsabb és biztonságosabb alternatívák az AES-256-CTR és HMAC számára, amelyek szoftveres megvalósítása fix végrehajtási időt biztosít speciális hardvertámogatás nélkül. Az közös titkos kulcs generálásához elliptikus görbék alapján, a Curve25519 megvalósításon alapuló Diffie-Hellman protokollt alkalmaznak, amelyet szintén Daniel J. Bernstein javasolt. A hash-eléshez a BLAKE2s algoritmust (RFC7693) használják.
Forrás: opennet.ru
