WireGuard: ChaCha20- und Curve25519-VPN

WireGuard wurde mit radikaler Einfachheit als primärem Ziel entwickelt. Seine Codebasis umfasst etwa 4.000 Zeilen, verglichen mit 70.000 bei OpenVPN und über 400.000 bei strongSwan IPsec. Weniger Zeilen bedeuten weniger potenzielle Schwachstellen und eine so kleine Prüfoberfläche, dass ein einzelner Entwickler sie gründlich überprüfen kann. Diese Einfachheit ist eine bewusste Sicherheitsentscheidung und keine Funktionseinschränkung.

Im Gegensatz zu OpenVPN und IPsec handelt WireGuard keine kryptografischen Algorithmen aus. Jede WireGuard-Verbindung verwendet denselben festgelegten Satz an Primitiven: Curve25519 für ECDH, ChaCha20-Poly1305 für authentifizierte Verschlüsselung, BLAKE2s für Hashing und SipHash-2-4 für die Sicherheit von Hashtabellen. Dadurch entfällt die Aushandlung von Chiffren, wodurch eine ganze Klasse von Downgrade-Angriffen verhindert wird.

WireGuard implementiert das Handshake-Muster Noise_IKpsk2 aus dem Noise Protocol Framework. Dieses Framework bietet eine fundierte Methode zum Aufbau von Schlüsselaustauschprotokollen mit nachweisbaren Sicherheitseigenschaften. Das Muster IKpsk2 verwendet statische und ephemere Schlüsselpaaren sowie optional einen Pre-Shared Key für zusätzlichen Schutz gegen Quantenangriffe und schließt den Handshake in einem einzigen Roundtrip ab.

Curve25519 ist eine von Daniel Bernstein entwickelte elliptische Kurve, die auf hohe Leistung und Sicherheit ausgelegt ist. WireGuard verwendet sie für die Schlüsselvereinbarung nach dem Elliptic Curve Diffie-Hellman-Verfahren (ECDH). Jeder Peer besitzt ein statisches Curve25519-Schlüsselpaar als langfristige Identität. Zusätzlich verwendet der Handshake ephemere Schlüsselpaare, um Forward Secrecy bereitzustellen. Curve25519-Operationen laufen in konstanter Zeit ab und widerstehen dadurch Timing-Angriffen.

WireGuard verschlüsselt alle Datenpakete mit ChaCha20-Poly1305, einem Algorithmus für authentifizierte Verschlüsselung. ChaCha20 ist eine Stromchiffre, die auf Geräten ohne AES-Hardwarebeschleunigung, etwa Smartphones und eingebetteten Geräten, äußerst schnell ist. Poly1305 liefert den Authentifizierungstag. Die kombinierte AEAD-Konstruktion stellt sicher, dass Manipulationen am Chiffretext vor der Entschlüsselung erkannt werden.

BLAKE2s ist eine kryptografische Hashfunktion, die für 32-Bit-Plattformen und kurze Nachrichten optimiert ist. WireGuard verwendet sie bei der Schlüsselableitung während des Handshakes und zur Berechnung von Sitzungskennungen. BLAKE2s ist auf den meisten Plattformen schneller als SHA-256 und bietet dabei eine gleichwertige Sicherheit. Die Funktion wurde als Nachfolger des SHA-3-Finalisten BLAKE entwickelt.

WireGuard-Peers besitzen ein statisches Schlüsselpaar, das als langfristige Identität dient. Öffentliche Schlüssel werden bei der Konfiguration über einen separaten Kanal ausgetauscht und dienen als Peer-Kennungen. Während jedes Handshakes erzeugen beide Peers außerdem ephemere Schlüsselpaare. Die ECDH-Berechnung zwischen statischen und ephemeren Schlüsseln liefert zusammen mit der ECDH-Berechnung der ephemeren Schlüsselpaare sowohl Authentifizierung als auch Forward Secrecy.

WireGuard implementiert Cryptokey-Routing: Jeder Peer in der Konfiguration gibt die IP-Adressen (Allowed IPs) an, die über diesen Peer erreichbar sind. Wenn ein ausgehendes Paket zu den Allowed IPs eines Peers passt, wird es für diesen Peer verschlüsselt. Eingehende Pakete werden entschlüsselt, und ihre Quell-IP-Adresse muss zu den Allowed IPs des verwendeten Schlüssels passen. Andernfalls werden sie verworfen. Die Schlüssel legen die Routingtabelle fest.

WireGuard kennt kein Konzept einer persistenten Verbindung. Wenn kein Datenverkehr stattfindet, werden keine Pakete gesendet, und das VPN verschwindet effektiv aus dem Netzwerk. Handshakes werden bei Bedarf ausgelöst, sobald Daten gesendet werden sollen. Eine konfigurierbare Einstellung namens PersistentKeepalive sendet regelmäßig leere Pakete, um NAT-Zuordnungen für Geräte hinter NAT-Routern aufrechtzuerhalten.

WireGuard wurde in Version 5.6, die im März 2020 veröffentlicht wurde, in den Mainline-Linux-Kernel aufgenommen. Die Ausführung im Kernelmodus ermöglicht WireGuard den direkten Zugriff auf den Netzwerk-Stack des Kernels und auf kryptografische Hardware. Dadurch erreicht es einen höheren Durchsatz als VPN-Implementierungen im User-Space. Auf anderen Plattformen wie Windows, macOS, iOS und Android läuft WireGuard über eine plattformübergreifende Implementierung im User-Space.

Benchmarks zeigen durchgängig, dass WireGuard beim Durchsatz 3- bis 4-mal besser als OpenVPN abschneidet. IPsec mit AES-NI-Hardwarebeschleunigung ist auf Systemen mit AES-Hardware konkurrenzfähig zu WireGuard. Auf ARM-Geräten ohne AES-NI erzielt WireGuards ChaCha20 einen deutlich höheren Durchsatz als AES-basierte Alternativen. Der geringere CPU-Verbrauch führt auf Mobilgeräten außerdem zu einer längeren Akkulaufzeit.

Welchen Algorithmus verwendet WireGuard zur Verschlüsselung von Datenpaketen?

Zusammenfassung von WireGuard: etwa 4.000 Codezeilen für eine minimale Angriffsfläche, festgelegte Primitive ohne Aushandlung, ein Noise-IKpsk2-Handshake mit Curve25519, ChaCha20-Poly1305 für Daten, BLAKE2s für Hashing, Cryptokey-Routing verknüpft IP-Bereiche mit öffentlichen Schlüsseln, ephemere Schlüssel liefern Forward Secrecy, die Kernel-Integration sorgt für maximale Leistung und das zustandslose Verbindungsmodell ermöglicht Handshakes bei Bedarf.