L'azienda ExpressVPN ha annunciato l'apertura del codice sorgente dell'implementazione del protocollo Lightway, sviluppato per garantire un tempo di connessione minimo mantenendo un alto livello di sicurezza e affidabilità. Il codice è scritto in C ed è distribuito con licenza GPLv2. L'implementazione è molto compatta e si è adattata in duemila righe di codice. È dichiarato il supporto per le piattaforme Linux, Windows, macOS, iOS, Android, router (Asus, Netgear, Linksys) e browser. Per la compilazione è necessario utilizzare i sistemi di build Earthly e Ceedling. L'implementazione è presentata come una libreria, che può essere utilizzata per integrare le funzioni client e server. VPN nelle proprie applicazioni.
Nel codice sono impiegate funzioni crittografiche consolidate fornite dalla libreria wolfSSL, già utilizzata in soluzioni che hanno ottenuto la certificazione FIPS 140-2. In modalità standard, il protocollo utilizza UDP per la trasmissione dei dati e DTLS per creare un canale di comunicazione crittografato. Come opzione per garantire il funzionamento in reti UDP inaffidabili o restrittive, server è disponibile una modalità di streaming più affidabile, ma meno veloce, che consente di trasmettere dati su TCP e TLSv1.3.
I test condotti da ExpressVPN hanno dimostrato che, rispetto ai protocolli precedenti (ExpressVPN supporta L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard e SSTP, ma non specifica a cosa siano stati confrontati), il passaggio a Lightway ha permesso di ridurre il tempo di connessione in media di 2,5 volte (in oltre la metà dei casi, il canale di comunicazione si stabilisce in meno di un secondo). Il nuovo protocollo ha anche consentito di ridurre del 40% il numero di interruzioni delle connessioni in reti mobili inaffidabili con problemi di qualità del segnale.
Lo sviluppo dell'implementazione di riferimento del protocollo avverrà su GitHub, offrendo la possibilità di partecipare agli sviluppi da parte dei rappresentanti della comunità (per inoltrare modifiche è necessario firmare un accordo CLA di trasferimento dei diritti su codice). Sono invitati a collaborare anche altri fornitori di VPN, che possono utilizzare il protocollo proposto senza restrizioni.
La sicurezza della realizzazione è stata convalidata dai risultati di un audit indipendente condotto da Cure53, che in passato ha realizzato audit per NTPsec, SecureDrop, Cryptocat, F-Droid e Dovecot. L'audit ha incluso il controllo dei codici sorgente e ha comportato test per identificare potenziali vulnerabilità (le questioni legate alla crittografia non sono state esaminate). In generale, la qualità del codice è stata valutata come alta, tuttavia, l'analisi ha identificato tre vulnerabilità che possono portare a interruzioni del servizio e una vulnerabilità che consente di utilizzare il protocollo come amplificatore di traffico in attacchi DDoS. I problemi segnalati sono stati già risolti e i suggerimenti per migliorare il codice sono stati presi in considerazione. L'audit ha anche esaminato vulnerabilità e problemi noti nei componenti di terze parti coinvolti, come libdnet, WolfSSL, Unity, Libuv e lua-crypt. In generale, i problemi sono di poca importanza, ad eccezione di un problema MITM in WolfSSL (CVE-2021-3336).
Fonte: opennet.ru
