ການປະຕິບັດໃຫມ່ຂອງ VPN WireGuard ເພີ່ມໃສ່ FreeBSD codebase

ຕົ້ນໄມ້ແຫຼ່ງ FreeBSD ໄດ້ຖືກປັບປຸງດ້ວຍການປະຕິບັດໃຫມ່ຂອງ VPN WireGuard, ໂດຍອີງໃສ່ລະຫັດໂມດູນ kernel ຮ່ວມກັນຜະລິດໂດຍທີມງານພັດທະນາ FreeBSD ແລະ WireGuard ຫຼັກດ້ວຍການປະກອບສ່ວນຈາກ Jason A. Donenfeld, ຜູ້ຂຽນຂອງ VPN WireGuard, ແລະ John H. Baldwin ), ນັກພັດທະນາທີ່ມີຊື່ສຽງຂອງ GDB ແລະ FreeBSD, ຜູ້ທີ່ປະຕິບັດການສະຫນັບສະຫນູນ SMP ແລະ NUMA ໃນ FreeBSD kernel ໃນຕົ້ນຊຸມປີ 2000. ຫຼັງຈາກໄດເວີຖືກຍອມຮັບເຂົ້າໄປໃນ FreeBSD (sys/dev/wg), ການພັດທະນາແລະການບໍາລຸງຮັກສາຂອງມັນຈະດໍາເນີນຢູ່ໃນບ່ອນເກັບຂໍ້ມູນ FreeBSD.

ກ່ອນທີ່ລະຫັດຈະຖືກຍອມຮັບ, ການທົບທວນຄືນຢ່າງເຕັມທີ່ຂອງການປ່ຽນແປງໄດ້ຖືກປະຕິບັດໂດຍການສະຫນັບສະຫນູນຂອງ FreeBSD Foundation, ໃນລະຫວ່າງນັ້ນການໂຕ້ຕອບຂອງໄດເວີກັບສ່ວນທີ່ເຫຼືອຂອງລະບົບຍ່ອຍຂອງເມັດໄດ້ຖືກວິເຄາະແລະຄວາມເປັນໄປໄດ້ຂອງການນໍາໃຊ້ cryptographic primitives ສະຫນອງໃຫ້ໂດຍ kernel. ໄດ້ຖືກປະເມີນ.

ເພື່ອໃຊ້ລະບົບ cryptographic algorithms ທີ່ຕ້ອງການໂດຍຄົນຂັບ, API ຂອງ FreeBSD kernel crypto-subsystem ໄດ້ຖືກຂະຫຍາຍ, ເຊິ່ງມີ harness ເພີ່ມເຕີມທີ່ອະນຸຍາດໃຫ້ນໍາໃຊ້ algorithms ທີ່ບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນໃນ FreeBSD ຜ່ານ crypto-API ມາດຕະຖານ, ການນໍາໃຊ້ການປະຕິບັດຂອງ. ສູດການຄິດໄລ່ທີ່ຈໍາເປັນຈາກຫ້ອງສະຫມຸດ libsodium. ຂອງ algorithm ທີ່ສ້າງຂຶ້ນໃນໄດເວີ, ພຽງແຕ່ລະຫັດສໍາລັບການຄິດໄລ່ Blake2 hashes ໄດ້ຖືກປະໄວ້, ນັບຕັ້ງແຕ່ການປະຕິບັດ algorithm ນີ້ສະຫນອງໃຫ້ໃນ FreeBSD ແມ່ນ tied ກັບຂະຫນາດ hash ຄົງທີ່.

ນອກຈາກນັ້ນ, ໃນຂະບວນການທົບທວນ, ການເພີ່ມປະສິດທິພາບລະຫັດໄດ້ຖືກປະຕິບັດ, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະເພີ່ມປະສິດທິພາບການແຈກຢາຍການໂຫຼດໃນ CPU ຫຼາຍແກນ (ການດຸ່ນດ່ຽງແບບດຽວກັນຂອງການມອບຫມາຍການເຂົ້າລະຫັດແພັກເກັດແລະການຖອດລະຫັດໃຫ້ກັບ CPU cores ໄດ້ຖືກຮັບປະກັນ). ດັ່ງນັ້ນ, ຄ່າໃຊ້ຈ່າຍເກີນໃນເວລາທີ່ການປຸງແຕ່ງແພັກເກັດແມ່ນຢູ່ໃກ້ກັບການປະຕິບັດໄດເວີ Linux. ລະຫັດຍັງໃຫ້ຄວາມສາມາດໃນການໃຊ້ໄດເວີ ossl ເພື່ອເລັ່ງການດໍາເນີນງານການເຂົ້າລະຫັດ.

ບໍ່ເຫມືອນກັບຄວາມພະຍາຍາມທີ່ຜ່ານມາໃນການລວມ WireGuard ເຂົ້າໄປໃນ FreeBSD, ການປະຕິບັດໃຫມ່ໃຊ້ wg utility ມາດຕະຖານ, ແທນທີ່ຈະເປັນສະບັບດັດແກ້ຂອງ ifconfig, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະປະສົມປະສານການຕັ້ງຄ່າໃນ Linux ແລະ FreeBSD. ຜົນປະໂຫຍດ wg, ເຊັ່ນດຽວກັນກັບຄົນຂັບ, ແມ່ນລວມຢູ່ໃນລະຫັດແຫຼ່ງ FreeBSD, ເຊິ່ງເຮັດໃຫ້ເປັນໄປໄດ້ໂດຍການປ່ຽນໃບອະນຸຍາດສໍາລັບລະຫັດ wg (ລະຫັດແມ່ນໃນປັດຈຸບັນພາຍໃຕ້ໃບອະນຸຍາດ MIT ແລະ GPL). ຄວາມພະຍາຍາມສຸດທ້າຍທີ່ຈະລວມເອົາ WireGuard ໃນ FreeBSD ໄດ້ຖືກດໍາເນີນໃນປີ 2020, ແຕ່ສິ້ນສຸດລົງໃນເລື່ອງຂີ້ຄ້ານ, ເປັນຜົນມາຈາກການທີ່ລະຫັດທີ່ເພີ່ມແລ້ວໄດ້ຖືກໂຍກຍ້າຍອອກເນື່ອງຈາກມີຄຸນນະພາບຕ່ໍາ, ການເຮັດວຽກທີ່ບໍ່ສົນໃຈກັບ buffers, ການນໍາໃຊ້ stubs ແທນທີ່ຈະເປັນການກວດສອບ, ການປະຕິບັດບໍ່ສົມບູນ. ຂອງອະນຸສັນຍາແລະການລະເມີດໃບອະນຸຍາດ GPL.

ໃຫ້ພວກເຮົາເຕືອນທ່ານວ່າ VPN WireGuard ໄດ້ຖືກປະຕິບັດບົນພື້ນຖານຂອງວິທີການເຂົ້າລະຫັດທີ່ທັນສະໄຫມ, ສະຫນອງປະສິດທິພາບສູງຫຼາຍ, ການນໍາໃຊ້ງ່າຍ, ບໍ່ມີຄວາມສັບສົນແລະໄດ້ພິສູດຕົວຂອງມັນເອງໃນຈໍານວນການນໍາໃຊ້ຂະຫນາດໃຫຍ່ທີ່ຂະບວນການຂະຫນາດໃຫຍ່ຂອງການຈະລາຈອນ. ໂຄງ​ການ​ດັ່ງ​ກ່າວ​ໄດ້​ຮັບ​ການ​ພັດ​ທະ​ນາ​ນັບ​ຕັ້ງ​ແຕ່ 2015​, ແລະ​ໄດ້​ຮັບ​ການ​ກວດ​ສອບ​ແລະ​ການ​ຢັ້ງ​ຢືນ​ຢ່າງ​ເປັນ​ທາງ​ການ​ຂອງ​ວິ​ທີ​ການ​ເຂົ້າ​ລະ​ຫັດ​ທີ່​ນໍາ​ໃຊ້​. WireGuard ໃຊ້ແນວຄວາມຄິດຂອງເສັ້ນທາງລະຫັດການເຂົ້າລະຫັດ, ເຊິ່ງກ່ຽວຂ້ອງກັບການຕິດກະແຈສ່ວນຕົວໃສ່ແຕ່ລະສ່ວນຕິດຕໍ່ເຄືອຂ່າຍ ແລະໃຊ້ມັນເພື່ອຜູກມັດກະແຈສາທາລະນະ.

ກະແຈສາທາລະນະຖືກແລກປ່ຽນເພື່ອສ້າງການເຊື່ອມຕໍ່ໃນລັກສະນະທີ່ຄ້າຍຄືກັນກັບ SSH. ເພື່ອເຈລະຈາຂໍກະແຈແລະເຊື່ອມຕໍ່ໂດຍບໍ່ຕ້ອງໃຊ້ daemon ແຍກຕ່າງຫາກໃນພື້ນທີ່ຜູ້ໃຊ້, ກົນໄກ Noise_IK ຂອງ Noise Protocol Framework ແມ່ນໃຊ້, ຄ້າຍຄືກັບການຮັກສາ authorized_keys ໃນ SSH. ການສົ່ງຂໍ້ມູນແມ່ນດໍາເນີນການໂດຍຜ່ານການ encapsulation ໃນຊຸດ UDP. ມັນສະຫນັບສະຫນູນການປ່ຽນແປງທີ່ຢູ່ IP ຂອງເຄື່ອງແມ່ຂ່າຍ VPN (ໂຣມມິງ) ໂດຍບໍ່ມີການຕັດການເຊື່ອມຕໍ່ກັບການປັບຄ່າລູກຄ້າອັດຕະໂນມັດ.

ການເຂົ້າລະຫັດໃຊ້ລະຫັດສະຕຣີມ ChaCha20 ແລະລະບົບການພິສູດຢືນຢັນຂໍ້ຄວາມ Poly1305 (MAC), ພັດທະນາໂດຍ Daniel J. Bernstein, Tanja Lange ແລະ Peter Schwabe. ChaCha20 ແລະ Poly1305 ຖືກຈັດເປັນ analogues ທີ່ໄວກວ່າແລະປອດໄພກວ່າຂອງ AES-256-CTR ແລະ HMAC, ການປະຕິບັດຊອບແວທີ່ອະນຸຍາດໃຫ້ບັນລຸເວລາການປະຕິບັດທີ່ຄົງທີ່ໂດຍບໍ່ຕ້ອງໃຊ້ການສະຫນັບສະຫນູນຮາດແວພິເສດ. ເພື່ອສ້າງລະຫັດລັບທີ່ແບ່ງປັນ, ເສັ້ນໂຄ້ງຮູບສ້ວຍ Diffie-Hellman protocol ຖືກນໍາໃຊ້ໃນການປະຕິບັດ Curve25519, ສະເຫນີໂດຍ Daniel Bernstein. BLAKE2s algorithm (RFC7693) ຖືກນໍາໃຊ້ສໍາລັບການ hashing.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru