ExpressVPN heeft aangekondigd de broncode van het Lightway-protocol vrij te geven, ontwikkeld om de tijd voor het opzetten van een verbinding te minimaliseren, terwijl een hoog niveau van veiligheid en betrouwbaarheid behouden blijft. De code is geschreven in C en wordt verspreid onder de GPLv2-licentie. De implementatie is zeer compact en past in tweeduizend regels code. Ondersteuning is opgegeven voor Linux, Windows, macOS, iOS, Android, routers (Asus, Netgear, Linksys) en browsers. Voor de bouw is het gebruik van de bouwsystemen Earthly en Ceedling vereist. De implementatie is vormgegeven als een bibliotheek die kan worden gebruikt voor integratie van client- en serverfuncties. VPN in hun applicaties.
In de code worden kant-en-klare, betrouwbare cryptografische functies gebruikt, geleverd door de wolfSSL-bibliotheek, die al in oplossingen wordt gebruikt die gecertificeerd zijn volgens FIPS 140-2. In de standaardmodus gebruikt het protocol UDP voor gegevensoverdracht en DTLS voor het opzetten van een versleuteld communicatiekanaal. Als optie om te werken in onbetrouwbare of beperkende UDP-netwerken, server is er een betrouwbaardere, maar minder snelle streamingmodus beschikbaar, die het mogelijk maakt om gegevens over TCP en TLSv1.3 te verzenden.
Tests uitgevoerd door ExpressVPN hebben aangetoond dat vergeleken met oude protocollen (ExpressVPN ondersteunt L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard en SSTP, maar specificatie van de vergelijking ontbreekt), de overstap naar Lightway de tijd voor het opzetten van een verbinding gemiddeld met 2,5 keer heeft verminderd (in meer dan de helft van de gevallen wordt de verbinding in minder dan een seconde opgezet). Het nieuwe protocol maakte ook een vermindering van 40% mogelijk in het aantal verbroken verbindingen in onbetrouwbare mobiele netwerken met kwaliteitproblemen.
De ontwikkeling van de referentie-implementatie van het protocol zal plaatsvinden op GitHub, waarbij vertegenwoordigers van de gemeenschap de mogelijkheid hebben om deel te nemen aan de ontwikkeling (voor het indienen van wijzigingen is het nodig om de CLA-overeenkomst voor de overdracht van eigendomsrechten op de code te ondertekenen). Ook andere VPN-providers worden uitgenodigd om samen te werken en kunnen het voorgestelde protocol zonder beperkingen gebruiken.
De beveiligingsimplementatie is bevestigd door de resultaten van een onafhankelijke audit uitgevoerd door Cure53, die eerder audits heeft uitgevoerd voor NTPsec, SecureDrop, Cryptocat, F-Droid en Dovecot. De audit richtte zich op de controle van de broncode en omvatte het uitvoeren van tests om mogelijke kwetsbaarheden te identificeren (kwesties met betrekking tot cryptografie werden niet behandeld). Over het algemeen werd de codekwaliteit als hoog beoordeeld, maar de controle heeft drie kwetsbaarheden aan het licht gebracht die kunnen leiden tot een denial-of-service en één kwetsbaarheid die het mogelijk maakt om het protocol als traffic amplifier te gebruiken tijdens DDoS-aanvallen. De genoemde problemen zijn inmiddels opgelost en de suggesties voor codeverbetering zijn in overweging genomen. Tijdens de audit werd ook aandacht besteed aan bekende kwetsbaarheden en problemen in betrokken externe componenten, zoals libdnet, WolfSSL, Unity, Libuv en lua-crypt. De meeste problemen zijn van ondergeschikt belang, met uitzondering van MITM in WolfSSL (CVE-2021-3336).
Bron: opennet.ru
