{"id":41441,"date":"2020-02-11T12:07:10","date_gmt":"2020-02-11T09:07:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/wireguard-pridet-v-yadro-linux-pochemu"},"modified":"2020-02-11T12:07:10","modified_gmt":"2020-02-11T09:07:10","slug":"wireguard-pridet-v-yadro-linux-pochemu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/wireguard-pridet-v-yadro-linux-pochemu","title":{"rendered":"WireGuard \u00abarriver\u00e0\u00bb nel kernel Linux \u2014 perch\u00e9?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A fine luglio, gli sviluppatori del tunnel VPN WireGuard hanno proposto un insieme di patch<\/a><\/noindex>, che renderanno il loro software per l'organizzazione di tunnel VPN parte del kernel Linux. Tuttavia, la data esatta di attuazione dell'\u00abidea\u00bb rimane ancora sconosciuta. Nel seguito parleremo pi\u00f9 approfonditamente di questo strumento.<\/p>\n

\"WireGuard<\/a><\/noindex><\/a><\/noindex>
\n\/ \u0444\u043e\u0442\u043e Tambako The Jaguar<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Breve introduzione al progetto<\/h2>\n

\nWireGuard \u00e8 un tunnel VPN di nuova generazione, creato da Jason Donenfeld, capo dell'azienda Edge Security. Il progetto \u00e8 stato sviluppato come una alternativa<\/a><\/noindex> semplice e veloce a OpenVPN e IPsec. La prima versione del prodotto conteneva solo 4.000 righe di codice. A titolo di confronto, OpenVPN ha circa 120.000 righe, mentre IPsec ne conta 420.000.<\/p>\n

Secondo gli esperti, i principali problemi dell'Internet delle cose sono le password facilmente indovinabili (spesso sono presenti password di fabbrica preimpostate, accessibili pubblicamente) e i firmware obsoleti dei dispositivi. In migliori dei casi, gli aggiornamenti vengono pubblicati con notevoli ritardi, nel peggiore \u2014 non vengono rilasciati affatto (a volte la possibilit\u00e0 di aggiornamento non \u00e8 nemmeno prevista a livello tecnico). Di conseguenza, molti dispositivi IoT vengono compromessi attraverso modi banali, come vulnerabilit\u00e0 nell'interfaccia web. Quasi tutte queste vulnerabilit\u00e0 sono critiche, ma il produttore ha possibilit\u00e0 estremamente limitate di creare rapidamente una patch e distribuirla come aggiornamento.<\/a><\/noindex> Per i programmatori, WireGuard \u00e8 facile da configurare, e la sicurezza del protocollo \u00e8 raggiunta grazie a algoritmi crittografici collaudati<\/a><\/noindex>. Quando si cambia rete<\/a><\/noindex>: Wi-Fi, LTE o Ethernet, \u00e8 necessario riconnettersi ogni volta al server VPN. I server WireGuard, invece, non interrompono la connessione, anche se l'utente riceve un nuovo indirizzo IP.<\/p>\n

Nonostante WireGuard sia stato originariamente progettato per il kernel Linux, gli sviluppatori hanno pensato<\/a><\/noindex> anche a una versione portatile dello strumento per dispositivi Android. L'applicazione \u00e8 attualmente in fase di sviluppo, ma \u00e8 gi\u00e0 possibile provarla. Per questo bisogna diventare uno dei tester<\/a><\/noindex>.<\/p>\n

In generale, WireGuard gode di una notevole popolarit\u00e0 ed \u00e8 stato \u00e8 stato implementato<\/a><\/noindex> adottato da alcuni fornitori di VPN, ad esempio Mullvad e AzireVPN. In rete sono disponibili un gran numero di<\/a><\/noindex> guide per la configurazione<\/a><\/noindex> di questa soluzione. Ad esempio, ci sono guide<\/a><\/noindex>, create dagli utenti, e ci sono guide, preparate dagli autori del progetto.<\/a><\/noindex>.<\/p>\n

Dettagli tecnici<\/h2>\n

\nIn documentazione ufficiale<\/a><\/noindex> (p.18) \u00e8 stato osservato che la larghezza di banda di WireGuard \u00e8 quattro volte superiore a quella di OpenVPN: 1011 Mbit\/s contro 258 Mbit\/s rispettivamente. WireGuard supera anche la soluzione standard IPsec per Linux, che ha 881 Mbit\/s. Inoltre, \u00e8 superiore per semplicit\u00e0 di configurazione.<\/p>\n

Dopo lo scambio di chiavi (la connessione VPN viene inizializzata quasi come in SSH) e stabilita la connessione, WireGuard risolve autonomamente tutte le altre questioni: non \u00e8 necessario preoccuparsi del routing, del controllo dello stato, ecc. Ulteriori sforzi per la configurazione saranno necessari solo se si desidera utilizzare la crittografia simmetrica.<\/p>\n

\"WireGuard
\n\/ \u0444\u043e\u0442\u043e Anders Hojbjerg<\/a><\/noindex> CC<\/a><\/noindex><\/i><\/p>\n

Per l'installazione \u00e8 necessario un pacchetto con un kernel Linux \"superiore\" alla versione 4.1. Pu\u00f2 essere trovato nei repository delle principali distribuzioni di Linux.<\/p>\n

$ sudo add-apt-repository ppa:hda-me\/wireguard\n$ sudo apt update\n$ sudo apt install wireguard-dkms wireguard-tools\n<\/code><\/pre>\n
\nCome notano i redattori di xakep.ru, la compilazione autonoma dai sorgenti non \u00e8 complicata. \u00c8 sufficiente sollevare l'interfaccia e generare le chiavi pubbliche e private:<\/p>\n
$ sudo ip link add dev wg0 type wireguard\n$ wg genkey | tee privatekey | wg pubkey > publickey\n<\/code><\/pre>\n
\nWireGuard non utilizza<\/a><\/noindex> un'interfaccia per lavorare con il fornitore di crittografia CryptoAPI<\/a><\/noindex>. Invece, viene utilizzato un cifrario a flusso ChaCha20<\/a><\/noindex>, crittografico autenticazione<\/a><\/noindex> Poly1305 e proprie funzioni hash crittografiche.<\/p>\n
La chiave segreta viene generata utilizzando il protocollo di Diffie-Hellman<\/a><\/noindex> basato su una curva ellittica Curve25519<\/a><\/noindex>. Durante l'hashing vengono utilizzate funzioni hash<\/a><\/noindex> BLAKE2<\/a><\/noindex> e SipHash<\/a><\/noindex>. Grazie al formato dei timestamp TAI64N<\/a><\/noindex> il protocollo scarta i pacchetti con un valore di timestamp inferiore, prevenendo cos\u00ec attacchi DoS-<\/a><\/noindex> e replay<\/a><\/noindex>.<\/p>\n
. WireGuard utilizza la funzione ioctl per il controllo dell'input\/output (in precedenza veniva usato Netlink<\/a><\/noindex>), il che rende il codice pi\u00f9 pulito e semplice. \u00c8 possibile verificarlo dando un'occhiata a codice di configurazione<\/a><\/noindex>.<\/p>\n
Piani degli sviluppatori<\/h2>\n
\nAttualmente WireGuard \u00e8 un modulo del kernel esterno. Ma l'autore del progetto, Jason Donenfeld sottolinea<\/a><\/noindex>, ha affermato che \u00e8 gi\u00e0 giunto il momento per una vera implementazione nel kernel Linux. Essendo pi\u00f9 semplice e affidabile rispetto ad altre soluzioni. Jason a tal proposito supporta<\/a><\/noindex> \u00e8 stato persino elogiato da Linus Torvalds stesso, che ha definito il codice di WireGuard \"un'opera d'arte\".<\/p>\n
Ma nessuno parla ancora delle date esatte per l'implementazione di WireGuard nel kernel. E \u00e8 poco probabile<\/a><\/noindex> che ci\u00f2 avvenga con l'uscita del kernel Linux di agosto 4.18. Tuttavia, \u00e8 possibile che accada nel prossimo futuro: nella versione 4.19 o 5.0.<\/p>\n
Quando WireGuard sar\u00e0 aggiunto al kernel, gli sviluppatori vogliono<\/a><\/noindex> ottimizzare l'app per i dispositivi Android e iniziare a scrivere un'app per iOS. Inoltre, \u00e8 previsto di completare le implementazioni in Go e Rust e di portarle su macOS, Windows e BSD. Si prevede anche l'implementazione di WireGuard per sistemi pi\u00f9 \"esotici\": DPDK<\/a><\/noindex>, FPGA<\/a><\/noindex>, cos\u00ec come molte altre cose interessanti. Tutte sono elencate nel to-do list<\/a><\/noindex> degli autori del progetto.<\/p>\n
\nP.S. Altri articoli dal nostro blog aziendale:<\/p>\n