A empresa ExpressVPN anunciou a abertura do código fonte da implementação do protocolo Lightway, projetado para alcançar o menor tempo de conexão possível enquanto mantém um alto nível de segurança e confiabilidade. O código é escrito em C e distribuído sob a licença GPLv2. A implementação é muito compacta e cabe em duas mil linhas de código. O suporte é declarado para as plataformas Linux, Windows, macOS, iOS, Android, roteadores (Asus, Netgear, Linksys) e navegadores. Para a compilação, é necessário utilizar os sistemas de build Earthly e Ceedling. A implementação é apresentada na forma de uma biblioteca que pode ser utilizada para integrar funcionalidades de cliente e servidor. VPN em seus aplicativos.
No código, foram utilizadas funções de criptografia já testadas, fornecidas pela biblioteca wolfSSL, já utilizada em soluções que obtiveram a certificação FIPS 140-2. No modo padrão, o protocolo utiliza UDP para transmissão de dados e DTLS para estabelecer um canal de comunicação criptografado. Como opção para garantir funcionamento em redes UDP não confiáveis ou restritivas, servidor é oferecido um modo de transmissão mais confiável, mas menos rápido, que permite a transmissão de dados sobre TCP e TLSv1.3.
Os testes realizados pela ExpressVPN mostraram que, em comparação com os protocolos antigos (a ExpressVPN suporta L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard e SSTP, mas não detalha com o que exatamente foi feita a comparação), a transição para Lightway reduziu o tempo de conexão em média em 2,5 vezes (em mais da metade dos casos, o canal de comunicação é estabelecido em menos de um segundo). O novo protocolo também permitiu reduzir em 40% o número de interrupções de conexão em redes móveis não confiáveis com problemas de qualidade de sinal.
O desenvolvimento da implementação de referência do protocolo será feito no GitHub, com a possibilidade de participação de representantes da comunidade no desenvolvimento (para enviar alterações, é necessário assinar um acordo de transferência de direitos autorais sobre o código). Outros provedores de VPN também são convidados a colaborar, podendo utilizar o protocolo proposto sem restrições.
A segurança da implementação foi confirmada pelos resultados de uma auditoria independente realizada pela Cure53, que anteriormente auditou o NTPsec, SecureDrop, Cryptocat, F-Droid e Dovecot. A auditoria incluiu a verificação do código-fonte e a realização de testes para identificar possíveis vulnerabilidades (questões relacionadas à criptografia não foram abordadas). De modo geral, a qualidade do código foi avaliada como alta, mas, ainda assim, a verificação revelou três vulnerabilidades que podem levar a uma negação de serviço, e uma vulnerabilidade que permite usar o protocolo como amplificador de tráfego em ataques DDoS. Os problemas mencionados já foram corrigidos, e as sugestões para melhorar o código foram consideradas. A auditoria também destacou vulnerabilidades conhecidas e problemas em componentes de terceiros envolvidos, como libdnet, WolfSSL, Unity, Libuv e lua-crypt. Na sua maioria, os problemas foram considerados insignificantes, exceto um MITM no WolfSSL (CVE-2021-3336).
Fonte: opennet.ru
