ExpressVPN, yüksek düzeyde güvenlik ve güvenilirliği korurken minimum bağlantı kurulum sürelerine ulaşmak için tasarlanan Lightway protokolünün açık kaynak uygulamasını duyurdu. Kod C dilinde yazılmıştır ve GPLv2 lisansı altında dağıtılmaktadır. Uygulama çok kompakttır ve iki bin kod satırına sığar. Linux, Windows, macOS, iOS, Android platformları, yönlendiriciler (Asus, Netgear, Linksys) ve tarayıcılar için beyan edilen destek. Montaj Earthly ve Ceedling montaj sistemlerinin kullanımını gerektirir. Uygulama, VPN istemci ve sunucu işlevlerini uygulamalarınıza entegre etmek için kullanabileceğiniz bir kitaplık olarak paketlenmiştir.
Kod, halihazırda FIPS 140-2 sertifikalı çözümlerde kullanılan wolfSSL kitaplığı tarafından sağlanan önceden oluşturulmuş, kanıtlanmış şifreleme işlevlerini kullanır. Normal modda protokol, veri iletimi için UDP'yi ve şifreli bir iletişim kanalı oluşturmak için DTLS'yi kullanır. Güvenilmez veya kısıtlayıcı UDP ağlarında çalışmayı güvence altına alma seçeneği olarak sunucu, verilerin TCP ve TLSv1.3 üzerinden aktarılmasına olanak tanıyan daha güvenilir ancak daha yavaş bir akış modu sağlar.
ExpressVPN tarafından yapılan testler, eski protokollerle karşılaştırıldığında (ExpressVPN, L2TP/IPSec, OpenVPN, IKEv2, PPTP, WireGuard ve SSTP'yi destekler, ancak tam olarak neyin karşılaştırıldığının ayrıntısını vermez), Lightway'e geçmenin bağlantı kurulum süresini ortalama 2.5 kat azalttığını gösterdi (yılda vakaların yarısından fazlası bir saniyeden kısa sürede bir iletişim kanalı oluşturuluyor). Yeni protokol aynı zamanda iletişim kalitesinde sorun yaşayan, güvenilmez mobil ağlarda bağlantı kopmalarının sayısını da %40 oranında azaltmayı mümkün kıldı.
Protokolün referans uygulamasının geliştirilmesi, topluluk temsilcilerinin geliştirmeye katılma fırsatı ile GitHub üzerinde gerçekleştirilecektir (değişiklikleri aktarmak için, mülkiyet haklarının koda devredilmesine ilişkin bir CLA sözleşmesi imzalamanız gerekir). Önerilen protokolü kısıtlama olmadan kullanabilecekleri için diğer VPN sağlayıcıları da işbirliği yapmaya davet ediliyor.
Uygulamanın güvenliği, bir zamanlar NTPsec, SecureDrop, Cryptocat, F-Droid ve Dovecot'u denetleyen Cure53 tarafından gerçekleştirilen bağımsız denetimin sonucuyla doğrulandı. Denetim, kaynak kodlarının doğrulanmasını kapsadı ve olası güvenlik açıklarını belirlemeye yönelik testleri içeriyordu (kriptografiyle ilgili sorunlar dikkate alınmadı). Genel olarak kodun kalitesi yüksek olarak değerlendirildi, ancak yine de test, hizmet reddine yol açabilecek üç güvenlik açığını ve DDoS saldırıları sırasında protokolün trafik yükselticisi olarak kullanılmasına izin veren bir güvenlik açığını ortaya çıkardı. Bu sorunlar halihazırda giderilmiştir ve kodun iyileştirilmesine yönelik yapılan yorumlar dikkate alınmıştır. Denetim ayrıca libdnet, WolfSSL, Unity, Libuv ve lua-crypt gibi üçüncü taraf bileşenlerdeki bilinen güvenlik açıklarına ve sorunlara da bakıyor. WolfSSL'deki MITM (CVE-2021-3336) dışında sorunlar çoğunlukla önemsizdir.
Kaynak: opennet.ru