ExpressVPN ได้ประกาศการใช้งานโอเพ่นซอร์สของโปรโตคอล Lightway ซึ่งออกแบบมาเพื่อให้ใช้เวลาตั้งค่าการเชื่อมต่อน้อยที่สุด ในขณะเดียวกันก็รักษาความปลอดภัยและความน่าเชื่อถือในระดับสูง รหัสนี้เขียนด้วยภาษา C และเผยแพร่ภายใต้ลิขสิทธิ์ GPLv2 การใช้งานมีขนาดกะทัดรัดและพอดีกับโค้ดสองพันบรรทัด ประกาศรองรับ Linux, Windows, macOS, iOS, แพลตฟอร์ม Android, เราเตอร์ (Asus, Netgear, Linksys) และเบราว์เซอร์ การประกอบต้องใช้ระบบการประกอบ Earthly และ Ceedling การใช้งานได้รับการบรรจุเป็นไลบรารีที่คุณสามารถใช้เพื่อรวมฟังก์ชันไคลเอนต์ VPN และเซิร์ฟเวอร์เข้ากับแอปพลิเคชันของคุณ
โค้ดใช้ฟังก์ชันการเข้ารหัสที่สร้างไว้ล่วงหน้าและผ่านการพิสูจน์แล้วซึ่งจัดทำโดยไลบรารี wolfSSL ซึ่งใช้อยู่แล้วในโซลูชันที่ได้รับการรับรอง FIPS 140-2 ในโหมดปกติ โปรโตคอลจะใช้ UDP สำหรับการส่งข้อมูลและ DTLS เพื่อสร้างช่องทางการสื่อสารที่เข้ารหัส ในฐานะตัวเลือกเพื่อให้แน่ใจว่าการทำงานบนเครือข่าย UDP ที่ไม่น่าเชื่อถือหรือมีการจำกัด เซิร์ฟเวอร์จะมีโหมดการสตรีมที่เชื่อถือได้มากกว่า แต่ช้ากว่า ซึ่งอนุญาตให้ถ่ายโอนข้อมูลผ่าน TCP และ TLSv1.3
การทดสอบที่ดำเนินการโดย ExpressVPN แสดงให้เห็นว่าเมื่อเปรียบเทียบกับโปรโตคอลรุ่นเก่า (ExpressVPN รองรับ L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard และ SSTP แต่ไม่ได้ให้รายละเอียดว่าเปรียบเทียบอะไรกันแน่) การเปลี่ยนมาใช้ Lightway ลดเวลาการตั้งค่าการเชื่อมต่อโดยเฉลี่ย 2.5 เท่า (ใน มากกว่าครึ่งหนึ่งของกรณีที่ช่องทางการสื่อสารถูกสร้างขึ้นภายในเวลาไม่ถึงวินาที) โปรโตคอลใหม่ยังช่วยลดจำนวนการตัดการเชื่อมต่อลง 40% ในเครือข่ายมือถือที่ไม่น่าเชื่อถือซึ่งมีปัญหาเกี่ยวกับคุณภาพการสื่อสาร
การพัฒนาการดำเนินการอ้างอิงของโปรโตคอลจะดำเนินการบน GitHub โดยเปิดโอกาสให้ตัวแทนชุมชนมีส่วนร่วมในการพัฒนา (ในการโอนการเปลี่ยนแปลงคุณต้องลงนามในข้อตกลง CLA เกี่ยวกับการโอนสิทธิ์ในทรัพย์สินไปยังรหัส) ผู้ให้บริการ VPN อื่นๆ ก็ได้รับเชิญให้ร่วมมือด้วย เนื่องจากพวกเขาสามารถใช้โปรโตคอลที่เสนอได้โดยไม่มีข้อจำกัด
ความปลอดภัยของการใช้งานได้รับการยืนยันโดยผลลัพธ์ของการตรวจสอบอิสระที่ดำเนินการโดย Cure53 ซึ่งในคราวเดียวได้ตรวจสอบ NTPsec, SecureDrop, Cryptocat, F-Droid และ Dovecot การตรวจสอบครอบคลุมการตรวจสอบซอร์สโค้ดและรวมการทดสอบเพื่อระบุช่องโหว่ที่เป็นไปได้ (ไม่พิจารณาปัญหาที่เกี่ยวข้องกับการเข้ารหัส) โดยทั่วไป คุณภาพของโค้ดได้รับการจัดอันดับให้อยู่ในระดับสูง แต่อย่างไรก็ตาม การทดสอบเผยให้เห็นช่องโหว่สามจุดที่อาจนำไปสู่การปฏิเสธการให้บริการ และช่องโหว่หนึ่งช่องที่ทำให้โปรโตคอลสามารถใช้เป็นตัวขยายการรับส่งข้อมูลในระหว่างการโจมตี DDoS ปัญหาเหล่านี้ได้รับการแก้ไขแล้ว และความคิดเห็นเกี่ยวกับการปรับปรุงโค้ดได้ถูกนำมาพิจารณาด้วย การตรวจสอบยังพิจารณาถึงช่องโหว่และปัญหาที่ทราบในส่วนประกอบของบุคคลที่สามที่เกี่ยวข้อง เช่น libdnet, WolfSSL, Unity, Libuv และ lua-crypt ปัญหาส่วนใหญ่มักเป็นปัญหาเล็กน้อย ยกเว้น MITM ใน WolfSSL (CVE-2021-3336)
ที่มา: opennet.ru