WireGuard : VPN ChaCha20 et Curve25519

WireGuard a été conçu en faisant de la simplicité radicale un objectif principal. Sa base de code comporte environ 4 000 lignes, contre 70 000 pour OpenVPN et plus de 400 000 pour strongSwan IPsec. Un nombre réduit de lignes signifie moins de vulnérabilités potentielles et une surface d’audit suffisamment petite pour qu’un seul ingénieur puisse l’examiner en profondeur. Cette simplicité est un choix délibéré de sécurité, et non une limitation des fonctionnalités.

Contrairement à OpenVPN et IPsec, WireGuard ne négocie pas les algorithmes cryptographiques. Chaque connexion WireGuard utilise le même ensemble fixe de primitives : Curve25519 pour ECDH, ChaCha20-Poly1305 pour le chiffrement authentifié, BLAKE2s pour le hachage et SipHash-2-4 pour la sécurité des tables de hachage. Cela élimine la négociation des algorithmes de chiffrement, ce qui supprime toute une catégorie d’attaques par rétrogradation.

WireGuard implémente le schéma d’échange initial Noise_IKpsk2 du cadre de protocole Noise. Ce cadre fournit une méthode fondée sur des principes pour construire des protocoles d’échange de clés dotés de propriétés de sécurité démontrables. Le schéma IKpsk2 utilise des paires de clés statiques et éphémères, ainsi qu’une clé prépartagée facultative pour une résistance accrue aux attaques quantiques, et termine l’échange initial en un seul aller-retour.

Curve25519 est une courbe elliptique conçue par Daniel Bernstein pour offrir de hautes performances et une grande sécurité. WireGuard l’utilise pour l’accord de clés par Diffie-Hellman sur courbe elliptique (ECDH). Chaque pair possède une paire de clés Curve25519 statique pour son identité à long terme, et l’échange initial utilise également des paires de clés éphémères afin de fournir une confidentialité persistante. Les opérations Curve25519 s’exécutent en temps constant, ce qui les protège contre les attaques temporelles.

WireGuard chiffre tous les paquets de données avec ChaCha20-Poly1305, un algorithme de chiffrement authentifié. ChaCha20 est un chiffrement par flot extrêmement rapide sur les appareils dépourvus d’accélération matérielle AES (téléphones intelligents, appareils intégrés). Poly1305 fournit la balise d’authentification. La construction AEAD combinée garantit que toute altération du texte chiffré est détectée avant le déchiffrement.

BLAKE2s est une fonction de hachage cryptographique optimisée pour les plateformes 32 bits et les messages courts. WireGuard l’utilise lors des étapes de dérivation de clés de l’échange initial et pour calculer l’identifiant de session. BLAKE2s est plus rapide que SHA-256 sur la plupart des plateformes tout en offrant une sécurité équivalente. Il a été conçu comme le successeur de BLAKE, finaliste de SHA-3.

Les pairs WireGuard possèdent une paire de clés statique qui sert d’identité à long terme. Les clés publiques sont échangées par un canal distinct lors de la configuration et servent à identifier les pairs. Lors de chaque échange initial, les deux pairs génèrent également des paires de clés éphémères. L’ECDH entre les clés statiques et éphémères, combiné à l’ECDH entre les paires de clés éphémères, fournit à la fois l’authentification et la confidentialité persistante.

WireGuard implémente le routage par clés cryptographiques : chaque pair de la configuration spécifie les adresses IP (IP autorisées) qui peuvent être atteintes via ce pair. Lorsqu’un paquet sortant correspond aux IP autorisées d’un pair, il est chiffré à destination de ce pair. Les paquets entrants sont déchiffrés et leur adresse IP source doit correspondre aux IP autorisées de la clé utilisée ; sinon, ils sont rejetés. Les clés définissent la table de routage.

WireGuard ne possède pas de notion de connexion persistante. Si aucun trafic ne circule, aucun paquet n’est envoyé et le VPN disparaît en pratique du réseau. Les échanges initiaux sont déclenchés à la demande lorsqu’il y a du trafic à envoyer. Un paramètre PersistentKeepalive configurable envoie périodiquement des paquets vides afin de maintenir les correspondances NAT pour les appareils situés derrière des routeurs NAT.

WireGuard a été intégré à la branche principale du noyau Linux dans la version 5.6, publiée en mars 2020. Son exécution dans l’espace noyau lui donne un accès direct à la pile réseau du noyau et au matériel cryptographique, ce qui lui permet d’atteindre un débit supérieur à celui des implémentations VPN dans l’espace utilisateur. Sur les autres plateformes (Windows, macOS, iOS, Android), WireGuard s’exécute dans l’espace utilisateur au moyen d’une implémentation multiplateforme.

Les évaluations montrent systématiquement que WireGuard offre un débit 3 à 4 fois supérieur à celui d’OpenVPN. IPsec avec accélération matérielle AES-NI est compétitif avec WireGuard sur les systèmes dotés de matériel AES. Sur les appareils ARM dépourvus d’AES-NI, le chiffrement ChaCha20 de WireGuard surpasse largement les solutions fondées sur AES. Une utilisation moindre du processeur se traduit également par une meilleure autonomie sur les appareils mobiles.

Quel algorithme WireGuard utilise-t-il pour chiffrer les paquets de données ?

Récapitulatif de WireGuard : environ 4 000 lignes de code pour une surface d’attaque minimale, primitives fixes (sans négociation), échange initial Noise IKpsk2 avec Curve25519, ChaCha20-Poly1305 pour les données, BLAKE2s pour le hachage, routage par clés cryptographiques associant les plages IP aux clés publiques, clés éphémères fournissant une confidentialité persistante, intégration au noyau pour des performances maximales et modèle de connexion sans état avec des échanges initiaux à la demande.