Spoločnosť ExpressVPN oznámila otvorenie zdrojových kódov implementácie protokolu Lightway, vyvinutého na dosiahnutie minimálneho času pripojenia pri zachovaní vysokej úrovne bezpečnosti a spoľahlivosti. Kód je napísaný v jazyku C a distribuuje sa pod licenciou GPLv2. Implementation je veľmi kompaktná a zmestila sa do dvoch tisíc riadkov kódu. Je zabezpečená podpora platforiem Linux, Windows, macOS, iOS, Android, routerov (Asus, Netgear, Linksys) a prehliadačov. Na zostavenie je potrebná aplikácia build systémov Earthly a Ceedling. Implementácia je formátovaná ako knižnica, ktorú je možné využiť na integráciu funkcií klienta a servera. VPN do svojich aplikácií.
V kóde sú zapojené overené kryptografické funkcie poskytované knižnicou wolfSSL, ktorá sa už používa v riešeniach, ktoré získali certifikát FIPS 140-2. V štandardnom režime protokol používa UDP na prenos dát a DTLS na vytvorenie šifrovaného komunikačného kanála. Ako možnosť na zabezpečenie funkčnosti v nespoľahlivých alebo obmedzujúcich UDP sieťach, serverom sa poskytuje spoľahlivejší, ale pomalší prúdový režim, ktorý umožňuje prenášať dáta prostredníctvom TCP a TLSv1.3.
Testy vykonané spoločnosťou ExpressVPN ukázali, že v porovnaní so starými protokolmi (ExpressVPN podporuje L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard a SSTP, ale nie je podrobne uvedené s čím presne bolo porovnávané), prechod na Lightway umožnil skrátiť čas pripojenia v priemere 2,5-krát (v viac ako polovici prípadov je pripojenie vytvorené za menej ako sekundu). Nový protokol tiež umožnil znížiť počet prerušených pripojení v nespoľahlivých mobilných sieťach, ktoré majú problémy s kvalitou spojenia, o 40%.
Rozvoj referenčnej implementácie protokolu bude pokračovať na GitHub s poskytnutím možnosti účasti v vývoji zástupcov komunitou (na prenášanie zmien je potrebné podpísať dohodu CLA o prevode vlastníckych práv na kód). K spolupráci sú pozývaní aj iní VPN poskytovatelia, ktorí môžu bez obmedzení používať navrhovaný protokol.
Bezpečnosť implementácie bola potvrdená výsledkom nezávislého auditu, ktorý vykonala spoločnosť Cure53, ktorá v minulosti zrealizovala audit NTPsec, SecureDrop, Cryptocat, F-Droid a Dovecot. Audit sa zameral na overenie zdrojových kódov a zahŕňal vykonanie testov na odhaľovanie možných zraniteľností (otázky týkajúce sa kryptografie neboli posudzované). Celkovo bola kvalita kódu ohodnotená ako vysoká, no napriek tomu audit odhalil tri zraniteľnosti, ktoré môžu viesť k odmietnutiu služby, a jednu zraniteľnosť, ktorá umožňuje využiť protokol ako zosilňovač prenosu pri DDoS útokoch. Uvedené problémy už boli odstránené a navrhnuté pripomienky na zlepšenie kódu boli zohľadnené. Počas auditu sa tiež venovala pozornosť známym zraniteľnostiam a problémom v zapojených externých komponentoch, ako sú libdnet, WolfSSL, Unity, Libuv a lua-crypt. V zásade sú problémy nepodstatné, okrem MITM v WolfSSL (CVE-2021-3336).
Zdroj: opennet.ru
