{"id":41441,"date":"2020-02-11T12:07:10","date_gmt":"2020-02-11T09:07:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/wireguard-pridet-v-yadro-linux-pochemu"},"modified":"2020-02-11T12:07:10","modified_gmt":"2020-02-11T09:07:10","slug":"wireguard-pridet-v-yadro-linux-pochemu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/wireguard-pridet-v-yadro-linux-pochemu","title":{"rendered":"Mi\u00e9rt \"\u00e9rkezik\" a WireGuard a Linux kernelbe?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

J\u00falius v\u00e9g\u00e9n a WireGuard VPN-tunnel fejleszt\u0151i javasolt\u00e1k patch csomagot<\/a><\/noindex>, amely a VPN-tunneling szoftver\u00fcket a Linux kernel r\u00e9sz\u00e9v\u00e9 teszi. Az \u201e\u00f6tlet\u201d megval\u00f3s\u00edt\u00e1s\u00e1nak pontos id\u0151pontja azonban m\u00e9g ismeretlen. A tov\u00e1bb m\u00f6g\u00f6tt r\u00e9szletesebben besz\u00e9l\u00fcnk err\u0151l az eszk\u00f6zr\u0151l.<\/p>\n

\"Mi\u00e9rt<\/a><\/noindex><\/a><\/noindex>
\n\/ \u0444\u043e\u0442\u043e Tambako, A Jagu\u00e1r<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

R\u00f6viden a projektr\u0151l<\/h2>\n

\nA WireGuard egy \u00faj gener\u00e1ci\u00f3s VPN-tunnel, amelyet Jason Donenfeld, az Edge Security vez\u00e9rigazgat\u00f3ja k\u00e9sz\u00edtett. A projektet \u00fagy fejlesztett\u00e9k ki, hogy egyszer\u0171bb<\/a><\/noindex> \u00e9s gyors alternat\u00edv\u00e1ja legyen az OpenVPN-nek \u00e9s az IPsec-nek. A term\u00e9k els\u0151 verzi\u00f3ja mind\u00f6ssze 4 ezer k\u00f3dsort tartalmazott. \u00d6sszehasonl\u00edt\u00e1sk\u00e9ppen az OpenVPN k\u00f6r\u00fclbel\u00fcl 120 ezer sor, m\u00edg az IPSec 420 ezer.<\/p>\n

A szavak<\/a><\/noindex> A fejleszt\u0151k szerint a WireGuard k\u00f6nnyen be\u00e1ll\u00edthat\u00f3, \u00e9s a protokoll biztons\u00e1g\u00e1t megb\u00edzhat\u00f3 kriptogr\u00e1fiai algoritmusok biztos\u00edtj\u00e1k.<\/a><\/noindex>. H\u00e1l\u00f3zat v\u00e1lt\u00e1sakor<\/a><\/noindex>: Wi-Fi, LTE vagy Ethernet eset\u00e9n minden alkalommal \u00fajra kell csatlakozni a VPN szerverhez. A WireGuard szerverek viszont nem bontj\u00e1k meg a kapcsolatot, m\u00e9g akkor sem, ha a felhaszn\u00e1l\u00f3 \u00faj IP c\u00edmet kapott.<\/p>\n

B\u00e1r a WireGuard eredetileg a Linux kernelhez k\u00e9sz\u00fclt, a fejleszt\u0151k gondoskodtak<\/a><\/noindex> a hordozhat\u00f3 verzi\u00f3r\u00f3l is Android eszk\u00f6z\u00f6kre. Az alkalmaz\u00e1s m\u00e9g nem teljesen k\u00e9sz, de most m\u00e1r kipr\u00f3b\u00e1lhat\u00f3. Ehhez tesztel\u0151v\u00e9 kell v\u00e1lni<\/a><\/noindex>.<\/p>\n

\u00d6sszess\u00e9g\u00e9ben a WireGuard meglehet\u0151sen nagy n\u00e9pszer\u0171s\u00e9gnek \u00f6rvend, \u00e9s m\u00e1r megval\u00f3s\u00edtott\u00e1k<\/a><\/noindex> t\u00f6bb VPN-szolg\u00e1ltat\u00f3, p\u00e9ld\u00e1ul a Mullvad \u00e9s AzireVPN is t\u00e1mogatja. Az interneten nagysz\u00e1m\u00fa<\/a><\/noindex> be\u00e1ll\u00edt\u00e1si \u00fatmutat\u00f3 tal\u00e1lhat\u00f3<\/a><\/noindex> ehhez a megold\u00e1shoz. P\u00e9ld\u00e1ul, vannak \u00fatmutat\u00f3k<\/a><\/noindex>, amelyeket felhaszn\u00e1l\u00f3k k\u00e9sz\u00edtettek, \u00e9s vannak \u00fatmutat\u00f3k, amelyeket a projekt szerz\u0151i k\u00e9sz\u00edtettek.<\/a><\/noindex>.<\/p>\n

Technikai r\u00e9szletek<\/h2>\n

\nA hivatalos dokument\u00e1ci\u00f3ban<\/a><\/noindex> (18. oldalon) megjegyzik, hogy a WireGuard teljes\u00edtm\u00e9nye n\u00e9gyszeres a OpenVPN-hez k\u00e9pest: 1011 Mbps a 258 Mbps-hoz k\u00e9pest. A WireGuard a Linux IPsec hagyom\u00e1nyos megold\u00e1s\u00e1t is megel\u0151zi, amelynek sebess\u00e9ge 881 Mbps. A be\u00e1ll\u00edt\u00e1s egyszer\u0171s\u00e9ge is fel\u00fclm\u00falja azt.<\/p>\n

A kulcsok cser\u00e9je ut\u00e1n (a VPN kapcsolat majdnem \u00fagy kezd\u0151dik, mint az SSH) \u00e9s a kapcsolat l\u00e9trej\u00f6ttekor a WireGuard \u00f6n\u00e1ll\u00f3an megoldja a t\u00f6bbi feladatot: nem sz\u00fcks\u00e9ges agg\u00f3dni az \u00fatv\u00e1laszt\u00e1s, az \u00e1llapotellen\u0151rz\u00e9s stb. miatt. Tov\u00e1bbi er\u0151fesz\u00edt\u00e9sek a be\u00e1ll\u00edt\u00e1shoz csak abban az esetben sz\u00fcks\u00e9gesek, ha szimmetrikus titkos\u00edt\u00e1st szeretn\u00e9nk alkalmazni.<\/p>\n

\"Mi\u00e9rt
\n\/ \u0444\u043e\u0442\u043e Anders Hojbjerg<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

A telep\u00edt\u00e9shez olyan Linux disztrib\u00faci\u00f3 sz\u00fcks\u00e9ges, amelynek kernelje 't\u00f6bb mint' 4.1. Ez megtal\u00e1lhat\u00f3 a f\u0151 Linux disztrib\u00faci\u00f3k t\u00e1rol\u00f3iban.<\/p>\n

$ sudo add-apt-repository ppa:hda-me\/wireguard\n$ sudo apt update\n$ sudo apt install wireguard-dkms wireguard-tools\n<\/code><\/pre>\n
\nAhogyan azt a xakep.ru szerkeszt\u0151i megjegyzik, a forr\u00e1sk\u00f3dokb\u00f3l val\u00f3 \u00f6n\u00e1ll\u00f3 \u00f6ssze\u00e1ll\u00edt\u00e1s sem bonyolult. El\u00e9g felemelni a fel\u00fcletet \u00e9s gener\u00e1lni egy nyilv\u00e1nos \u00e9s egy priv\u00e1t kulcsot:<\/p>\n
$ sudo ip link add dev wg0 type wireguard\n$ wg genkey | tee privatekey | wg pubkey > publickey\n<\/code><\/pre>\n
\nWireGuard nem haszn\u00e1l<\/a><\/noindex> fel\u00fclet a kriptogr\u00e1fiai szolg\u00e1ltat\u00f3val val\u00f3 munk\u00e1hoz CryptoAPI<\/a><\/noindex>. Ahelyett, hogy azt haszn\u00e1ln\u00e1k, folytonos titkos\u00edt\u00e1st alkalmaz ChaCha20<\/a><\/noindex>, kriptogr\u00e1fiai al\u00e1\u00edr\u00e1s<\/a><\/noindex> Poly1305 \u00e9s saj\u00e1t kriptogr\u00e1fiai hash-funkci\u00f3ik.<\/p>\n
A titkos kulcs gener\u00e1l\u00e1sa . Maga a titkos\u00edt\u00e1s<\/a><\/noindex> elliptikus g\u00f6rbe alapj\u00e1n Curve25519<\/a><\/noindex>. Hashol\u00e1skor alkalmazz\u00e1k hash-funkci\u00f3k<\/a><\/noindex> BLAKE2<\/a><\/noindex> \u00e9s SipHash<\/a><\/noindex>. A timestamp form\u00e1tum\u00e1nak k\u00f6sz\u00f6nhet\u0151en TAI64N<\/a><\/noindex> a protokoll elveti az alacsonyabb timestamp \u00e9rt\u00e9kkel rendelkez\u0151 csomagokat, ez\u00e1ltal megel\u0151zve a DoS-<\/a><\/noindex> \u00e9s replay-t\u00e1mad\u00e1sokat<\/a><\/noindex>.<\/p>\n
Ek\u00f6zben a WireGuard az ioctl funkci\u00f3t haszn\u00e1lja a bemenet\/kimenet ellen\u0151rz\u00e9s\u00e9re (kor\u00e1bban a Netlink<\/a><\/noindex>), ami tiszt\u00e1bb\u00e1 \u00e9s egyszer\u0171bb\u00e9 teszi a k\u00f3dot. Err\u0151l megbizonyosodhatunk, ha belen\u00e9z\u00fcnk a konfigur\u00e1ci\u00f3s k\u00f3dba<\/a><\/noindex>.<\/p>\n
A fejleszt\u0151k tervei<\/h2>\n
\nJelenleg a WireGuard egy out-of-tree kernel modul. De a projekt szerz\u0151je, Jason Donenfeld mondja<\/a><\/noindex>, azt \u00e1ll\u00edtja, hogy elj\u00f6tt az ideje a Linux kernelbe val\u00f3 teljes megval\u00f3s\u00edt\u00e1snak. Mivel ez egyszer\u0171bb \u00e9s megb\u00edzhat\u00f3bb, mint a t\u00f6bbi megold\u00e1s. Jason ennek kapcs\u00e1n t\u00e1mogatja<\/a><\/noindex> m\u00e9g Linus Torvalds is \u2014 \u0151 a WireGuard k\u00f3dj\u00e1t \"m\u0171v\u00e9szi alkot\u00e1snak\" nevezte.<\/p>\n
De senki sem besz\u00e9l a WireGuard kernelbe val\u00f3 bevezet\u00e9s\u00e9nek pontos id\u0151pontjair\u00f3l. \u00c9s val\u00f3sz\u00edn\u0171leg<\/a><\/noindex> ez nem fog megt\u00f6rt\u00e9nni az augusztusi Linux kernel 4.18 kiad\u00e1s\u00e1val. Azonban van es\u00e9ly arra, hogy ez a legk\u00f6zelebbi j\u00f6v\u0151ben megt\u00f6rt\u00e9nik: a 4.19-es vagy 5.0-\u00e1s verzi\u00f3ban.<\/p>\n
Amikor a WireGuard beker\u00fcl a kernelbe, a fejleszt\u0151k akarj\u00e1k<\/a><\/noindex> fejleszteni az Android-eszk\u00f6z\u00f6kre sz\u00e1nt alkalmaz\u00e1st \u00e9s elkezdeni egy iOS-alkalmaz\u00e1s \u00edr\u00e1s\u00e1t. Ezen k\u00edv\u00fcl tervezik a Go \u00e9s Rust nyelv\u0171 megval\u00f3s\u00edt\u00e1sok befejez\u00e9s\u00e9t \u00e9s azok \u00e1tt\u00e9tel\u00e9t macOS, Windows \u00e9s BSD rendszerekre. Tov\u00e1bb\u00e1 a WireGuard megval\u00f3s\u00edt\u00e1sa \"exotikusabb rendszerekre\" is tervben van: DPDK<\/a><\/noindex>, FPGA<\/a><\/noindex>, valamint sok m\u00e1s \u00e9rdekes dolog. Mindazokat a to-do list\u00e1n<\/a><\/noindex> a projekt szerz\u0151i sorolj\u00e1k fel.<\/p>\n
\nP.S. M\u00e9g n\u00e9h\u00e1ny cikk a v\u00e1llalati blogunkb\u00f3l:<\/p>\n