Uit de codebasis, waarop de release van FreeBSD 13 is gebaseerd, werd met veel ophef de code voor het VPN-protocol WireGuard verwijderd. Deze was ontwikkeld in opdracht van het bedrijf Netgate zonder overleg met de ontwikkelaars van het oorspronkelijke WireGuard, en was al opgenomen in de stabiele versies van de distributie pfSense. Na controle van de code door Jason Donenfeld, de auteur van het oorspronkelijke WireGuard, bleek dat de voor FreeBSD voorgestelde implementatie van WireGuard een voorbeeld was van inferieure code, vol bufferoverlopen en in strijd met de GPL-licentie. <\/p>\n
De implementatie vertoonde catastrofale tekortkomingen in de cryptografiecodes, een deel van het WireGuard-protocol was niet meegenomen, er waren fouten die leidden tot kernelcrashes en het omzeilen van beveiligingsmethoden, en er werden buffers van een vaste grootte gebruikt voor invoergegevens. Het kwaliteitsniveau van de code wordt onder andere duidelijk door het gebruik van placeholders in plaats van controles, die altijd de waarde 'true' teruggeven, evenals vergeten debug printf's die parameters tonen die voor versleuteling worden gebruikt, en het gebruik van de functie sleep om racecondities te voorkomen. <\/p>\n
Sommige delen van de code, zoals de functie crypto_xor, werden in strijd met de GPL-licentie overgenomen uit de WireGuard-implementatie die voor Linux was ontwikkeld. Uiteindelijk hebben Jason Donenfeld samen met Kyle Evans en Matt Dunwoodie (de auteur van de WireGuard-port voor OpenBSD) de probleemimplementatie herzien en binnen een week de volledige code van de door Netgate ingehuurde ontwikkelaar vervangen. De herwerkte versie is vrijgegeven als een aparte set patches, geplaatst in de repository van het WireGuard-project, en is tot nu toe nog niet opgenomen in FreeBSD. <\/p>\n
Het is interessant dat aanvankelijk niets op een probleem wees; het bedrijf Netgate, dat de mogelijkheid wilde hebben om WireGuard in de pfSense-distributie te gebruiken, huurde Matthew Macy in, die goed bekend was met de kernel en netwerkstack van FreeBSD. Macy had ervaring met het oplossen van bugs en het ontwikkelen van netwerkdrivers voor dit besturingssysteem. Hij kreeg de vrijheid om zijn eigen schema te bepalen zonder deadlines of tussentijdse controles. Ontwikkelaars die met Macy samenwerkten aan FreeBSD, beschouwden hem als een getalenteerde en professionele programmeur, die niet meer fouten maakte dan anderen en adequaat reageerde op kritiek. De teleurstellende kwaliteit van de WireGuard-implementatie voor FreeBSD kwam voor hen als een verrassing. <\/p>\n
Na 9 maanden werken voegde Macy in december vorig jaar, zonder een afrondende review en testen door externe deelnemers, zijn implementatie toe aan de HEAD-tak, die werd gebruikt voor de release van FreeBSD 13. De ontwikkeling vond plaats zonder contact met de ontwikkelaars van de originele WireGuard en de poorten voor OpenBSD en NetBSD. In februari integreerde Netgate WireGuard in de stabiele release van pfSense 2.5.0 en begon met de levering van firewalls op basis daarvan. Na het ontdekken van problemen werd de WireGuard-code uit pfSense verwijderd. <\/p>\n
In de toegevoegde code werden kritieke kwetsbaarheden ontdekt die werden gebruikt in 0-day exploits, maar Netgate erkende aanvankelijk de aanwezigheid van kwetsbaarheden niet en probeerde de ontwikkelaar van de originele WireGuard te beschuldigen van aanvallen en vooringenomenheid, wat een negatieve invloed had op haar reputatie. De ontwikkelaar van de poort wees aanvankelijk de claims over de kwaliteit van de code af en beschouwde ze als overdreven. Maar na de demonstratie van de fouten, benadrukte hij dat het daadwerkelijk belangrijke probleem het gebrek aan adequaat reviewen van de codekwaliteit in FreeBSD was, aangezien problemen vele maanden onopgemerkt bleven (vertegenwoordigers van Netgate gaven aan dat het openbare reviewproces in augustus 2020 was gestart, maar afzonderlijke FreeBSD-ontwikkelaars opmerkten dat het reviewproces in Phabricator door Macy was gesloten zonder uitvoering en met negeren van commentaren). Het FreeBSD Core Team reageerde op het voorval met de belofte om de code-reviewprocessen te moderniseren. <\/p>\n
Matthew Macy, de ontwikkelaar van de problematische poort voor FreeBSD, merkte op dat hij een grote fout heeft gemaakt door aan dit project te beginnen zonder klaar te zijn voor de uitvoering ervan. Het resultaat wijst Macy toe aan emotionele uitputting en problemen als gevolg van het post-covid syndroom. Desondanks vond Macy niet de moed om zijn verplichtingen op te geven en probeerde hij het project af te ronden. <\/p>\n