VPN WireGuard შედის Linux ბირთვში 5.6

დღეს ლინუსმა გადაიტანა ქსელის შემდეგი ფილიალი VPN ინტერფეისით WireGuard. ამ მოვლენის შესახებ сообщили WireGuard საფოსტო სიაში.

კოდების შეგროვება ახალი Linux 5.6 ბირთვისთვის ამჟამად მიმდინარეობს. WireGuard არის სწრაფი შემდეგი თაობის VPN, რომელიც ახორციელებს თანამედროვე კრიპტოგრაფიას. იგი თავდაპირველად შეიქმნა, როგორც არსებული VPN-ების უფრო მარტივი და მოსახერხებელი ალტერნატივა. ავტორია კანადელი ინფორმაციული უსაფრთხოების სპეციალისტი ჯეისონ ა.დონენფელდი. 2018 წლის აგვისტოში, WireGuard მიიღო ქება ლინუს ტორვალდის მიერ. დაახლოებით იმ პერიოდში დაიწყო მუშაობა Linux-ის ბირთვში VPN-ის ჩართვაზე. პროცესი ცოტა ხანს გაგრძელდა.

”მე ვხედავ, რომ ჯეისონმა გააკეთა მოთხოვნა, რომ WireGuard ჩართოს ბირთვში,” დაწერა ლინუსმა 2 წლის 2018 აგვისტოს. — შემიძლია კიდევ ერთხელ გამოვაცხადო ჩემი სიყვარული ამ VPN-ს მიმართ და იმედი მაქვს მალე შერწყმა? კოდი შეიძლება არ იყოს სრულყოფილი, მაგრამ მე მას ვუყურე და OpenVPN-ისა და IPSec-ის საშინელებასთან შედარებით, ეს არის ხელოვნების ნამდვილი ნიმუში. ”

ლინუსის სურვილის მიუხედავად, შერწყმა წელიწადნახევარი გაგრძელდა. მთავარი პრობლემა დაკავშირებული იყო კრიპტოგრაფიული ფუნქციების საკუთრებაში არსებულ განხორციელებებთან, რომლებიც გამოიყენებოდა შესრულების გასაუმჯობესებლად. ხანგრძლივი მოლაპარაკებების შემდეგ 2019 წლის სექტემბერში ეს მოხდა კომპრომისული გადაწყვეტილება იქნა მიღებული თარგმნეთ პატჩები ბირთვში არსებულ Crypto API ფუნქციებზე, რომლებზეც WireGuard დეველოპერებს აქვთ პრეტენზიები შესრულების და ზოგადი უსაფრთხოების სფეროში. მაგრამ მათ გადაწყვიტეს გამოეყოთ მშობლიური WireGuard კრიპტო ფუნქციები ცალკე დაბალი დონის თუთიის API-ში და საბოლოოდ გადაიტანეთ ისინი ბირთვში. ნოემბერში ბირთვის დეველოპერებმა შეასრულეს დაპირება და შეთანხმდნენ გადაიტანეთ კოდის ნაწილი თუთიიდან მთავარ ბირთვში. მაგალითად, Crypto API-ში შედის WireGuard-ში მომზადებული ChaCha20 და Poly1305 ალგორითმების სწრაფი განხორციელება.

საბოლოოდ, 9 წლის 2019 დეკემბერს, დევიდ ს. მილერი, პასუხისმგებელი Linux ბირთვის ქსელის ქვესისტემაზე, მიღებულია ნეტ-შემდეგ ფილიალამდე პატჩები WireGuard პროექტისგან VPN ინტერფეისის განხორციელებით.

და დღეს, 29 წლის 2020 იანვარს, ცვლილებები შევიდა Linus-ში ბირთვში ჩასართავად.

WireGuard-ის პრეტენზიები სხვა VPN გადაწყვეტილებებთან შედარებით:

• მარტივი.
• იყენებს თანამედროვე კრიპტოგრაფიას: Noise protocol frame, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24, HKDF და ა.შ.
• კომპაქტური, იკითხებადი კოდი, უფრო ადვილი გამოსაკვლევი დაუცველობისთვის.
• Მაღალი დონის შესრულება.
• ნათელი და დახვეწილი სპეციფიკაცია.

WireGuard-ის მთელი ძირითადი ლოგიკა იკავებს 4000-ზე ნაკლებ კოდს, მაშინ როდესაც OpenVPN და IPSec მოითხოვს ასობით ათას ხაზს.

„WireGuard იყენებს დაშიფვრის გასაღების მარშრუტიზაციის კონცეფციას, რომელიც გულისხმობს თითოეული ქსელის ინტერფეისისთვის პირადი გასაღების მიმაგრებას და მის დასაკავშირებლად საჯარო გასაღებების გამოყენებას. საჯარო კლავიშების გაცვლა ხდება SSH-ის მსგავსი კავშირის დასამყარებლად. გასაღებებზე მოსალაპარაკებლად და დასაკავშირებლად მომხმარებლის სივრცეში ცალკე დემონის გაშვების გარეშე, Noise_IK მექანიზმი ხმაურის პროტოკოლის ჩარჩოSSH-ში autorized_keys-ის შენარჩუნების მსგავსი. მონაცემთა გადაცემა ხორციელდება UDP პაკეტებში ინკაფსულაციის გზით. იგი მხარს უჭერს VPN სერვერის IP მისამართის შეცვლას (როუმინგი) კავშირის გათიშვის გარეშე კლიენტის ავტომატური რეკონფიგურაციით, - წერს Opennet.

დაშიფვრისთვის მეორადი ნაკადის შიფრი ChaCha20 და შეტყობინების ავთენტიფიკაციის ალგორითმი (MAC) პოლიკლინიკი, შექმნილია დანიელ ბერნშტეინის მიერ (დანიელ ჯ.ბერნშტეინი), ტანჯა ლანგე და პიტერ შვაბე. ChaCha20 და Poly1305 განლაგებულია, როგორც AES-256-CTR და HMAC უფრო სწრაფი და უსაფრთხო ანალოგები, რომელთა პროგრამული უზრუნველყოფის დანერგვა საშუალებას გაძლევთ მიაღწიოთ შესრულების ფიქსირებულ დროს სპეციალური ტექნიკის მხარდაჭერის გამოყენების გარეშე. საერთო საიდუმლო გასაღების გენერირებისთვის, განხორციელებისას გამოიყენება ელიფსური მრუდის Diffie-Hellman პროტოკოლი Curve25519, ასევე შემოთავაზებული დანიელ ბერნშტეინის მიერ. ჰაშინგისთვის გამოყენებული ალგორითმი არის BLAKE2s (RFC7693)".

დასკვნები შესრულების ტესტები ოფიციალური საიტიდან:

გამტარუნარიანობა (მეგაბიტი/წმ)


Ping (ms)

ტესტის კონფიგურაცია:

• Intel Core i7-3820QM და Intel Core i7-5200U
• გიგაბიტიანი ბარათები Intel 82579LM და Intel I218LM
• Linux 4.6.1
• WireGuard კონფიგურაცია: 256-ბიტიანი ChaCha20 Poly1305-ით MAC-ისთვის
• პირველი IPsec კონფიგურაცია: 256-ბიტიანი ChaCha20 Poly1305-ით MAC-ისთვის
• მეორე IPsec კონფიგურაცია: AES-256-GCM-128 (AES-NI-ით)
• OpenVPN კონფიგურაცია: AES 256-ბიტიანი ექვივალენტური შიფრული კომპლექტი HMAC-SHA2-256, UDP რეჟიმით
• შესრულება შეფასდა გამოყენებით iperf3, აჩვენებს საშუალო შედეგს 30 წუთის განმავლობაში.

თეორიულად, ქსელის სტეკში ინტეგრირების შემდეგ, WireGuard კიდევ უფრო სწრაფად უნდა იმუშაოს. მაგრამ სინამდვილეში ეს სულაც არ იქნება ბირთვში ჩაშენებული Crypto API კრიპტოგრაფიულ ფუნქციებზე გადასვლის გამო. შესაძლოა, ყველა მათგანი ჯერ არ არის ოპტიმიზირებული მშობლიური WireGuard-ის შესრულების დონეზე.

”ჩემი თვალსაზრისით, WireGuard ზოგადად იდეალურია მომხმარებლისთვის. ყველა დაბალი დონის გადაწყვეტილება მიიღება სპეციფიკაციაში, ამიტომ ტიპიური VPN ინფრასტრუქტურის მომზადების პროცესს მხოლოდ რამდენიმე წუთი სჭირდება. კონფიგურაციის არევა თითქმის შეუძლებელია - писали ჰაბრეზე 2018 წელს. - ინსტალაციის პროცესი დეტალურად აღწერილი ოფიციალურ ვებგვერდზე მინდა ცალკე აღვნიშნო შესანიშნავი OpenWRT მხარდაჭერა. კოდის ბაზის ეს სიმარტივე და კომპაქტურობა მიღწეული იქნა გასაღებების განაწილების აღმოფხვრით. არ არსებობს რთული სერტიფიკატის სისტემა და მთელი ეს კორპორატიული საშინელება; მოკლე დაშიფვრის გასაღებები ნაწილდება SSH გასაღებების მსგავსად.

WireGuard-ის პროექტი 2015 წლიდან ვითარდება, მისი აუდიტი და ფორმალური გადამოწმება. WireGuard-ის მხარდაჭერა ინტეგრირებულია NetworkManager-სა და systemd-ში და ბირთვის პატჩები შედის Debian Unstable, Mageia, Alpine, Arch, Gentoo, OpenWrt, NixOS, Subgraph და ALT საბაზისო დისტრიბუციებში.

წყარო: www.habr.com