ExpressVPN חושף עבודות הקשורות לפרוטוקול VPN של Lightway

ExpressVPN הכריזה על הטמעת קוד פתוח של פרוטוקול Lightway, שנועד להשיג את זמן התקנת החיבור המהיר ביותר תוך שמירה על רמה גבוהה של אבטחה ואמינות. הקוד כתוב ב-C ומופץ תחת רישיון GPLv2. המימוש קומפקטי מאוד ומתאים לאלפיים שורות קוד. תמיכה מוצהרת עבור לינוקס, Windows, macOS, iOS, פלטפורמות אנדרואיד, נתבים (Asus, Netgear, Linksys) ודפדפנים. ההרכבה מחייבת שימוש במערכות הרכבה Earthly ו-Ceedling. היישום ארוז כספרייה שתוכל להשתמש בה כדי לשלב פונקציונליות של לקוח ושרת VPN באפליקציות שלך.

הקוד משתמש בפונקציות קריפטוגרפיות מאומתות מחוץ לקופסה המסופקות על ידי ספריית wolfSSL שכבר נעשה בה שימוש בפתרונות מאושרים של FIPS 140-2. במצב רגיל, הפרוטוקול משתמש ב-UDP להעברת נתונים וב-DTLS ליצירת ערוץ תקשורת מוצפן. כאופציה לטפל ברשתות לא אמינות או מגבילות UDP, מצב סטרימינג אמין יותר אך איטי יותר מסופק על ידי השרת, המאפשר העברת נתונים על TCP ו-TLSv1.3.

בדיקות שבוצעו על ידי ExpressVPN הראו שבהשוואה לפרוטוקולים ישנים יותר (ExpressVPN תומך ב-L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard ו-SSTP, אך ההשוואה לא הייתה מפורטת), המעבר ל-Lightway הפחית את זמן התקנת החיבור בממוצע של 2.5 פעמים (ביותר ממחצית מהמקרים נוצר ערוץ תקשורת תוך פחות משנייה). הפרוטוקול החדש גם איפשר להפחית את מספר הניתוקים ברשתות סלולריות לא אמינות עם בעיות באיכות החיבור ב-40%.

פיתוח יישום ההתייחסות של הפרוטוקול יתבצע ב-GitHub עם אפשרות להשתתף בפיתוח נציגי הקהילה (כדי להעביר שינויים, יש לחתום על הסכם CLA על העברת זכויות קניין לקוד). גם ספקי VPN אחרים מוזמנים לשתף פעולה, שיכולים להשתמש בפרוטוקול המוצע ללא הגבלות.

אבטחת ההטמעה מאושרת על ידי תוצאה של ביקורת עצמאית שבוצעה על ידי Cure53, אשר ביקרה בעת ובעונה אחת את NTPsec, SecureDrop, Cryptocat, F-Droid ו-Dovecot. הביקורת כיסתה את אימות קודי המקור וכללה בדיקות לזיהוי נקודות תורפה אפשריות (בעיות הקשורות להצפנה לא נשקלו). באופן כללי, איכות הקוד דורגה כגבוהה, אך למרות זאת, הסקירה חשפה שלוש נקודות תורפה שעלולות להוביל למניעת שירות, ופגיעות אחת המאפשרת להשתמש בפרוטוקול כמגבר תעבורה במהלך התקפות DDoS. בעיות אלו כבר תוקנו, וההערות על שיפור הקוד נלקחו בחשבון. הביקורת גם משכה תשומת לב לפגיעויות ובעיות ידועות ברכיבי הצד השלישי המעורבים, כגון libdnet, WolfSSL, Unity, Libuv ו-lua-crypt. רוב הבעיות הן מינוריות, למעט MITM ב-WolfSSL (CVE-2021-3336).

מקור: OpenNet.ru