WireGuard: VPN con ChaCha20 e Curve25519

WireGuard è stato progettato ponendo la semplicità radicale come obiettivo principale. Il suo codebase conta circa 4.000 righe, rispetto alle 70.000 di OpenVPN e alle oltre 400.000 di strongSwan IPsec. Un numero inferiore di righe significa meno potenziali vulnerabilità e una superficie di auditing abbastanza ridotta da poter essere esaminata accuratamente da un singolo ingegnere. Questa semplicità è una scelta di sicurezza deliberata, non una limitazione delle funzionalità.

A differenza di OpenVPN e IPsec, WireGuard non negozia gli algoritmi crittografici. Ogni connessione WireGuard usa lo stesso insieme fisso di primitive: Curve25519 per ECDH, ChaCha20-Poly1305 per la cifratura autenticata, BLAKE2s per l'hashing e SipHash-2-4 per la sicurezza delle tabelle hash. Questo elimina la negoziazione dei cifrari e rimuove un'intera classe di attacchi di downgrade.

WireGuard implementa il pattern di handshake Noise_IKpsk2 del Noise Protocol Framework. Questo framework offre un metodo rigoroso per costruire protocolli di scambio delle chiavi con proprietà di sicurezza dimostrabili. Il pattern IKpsk2 usa coppie di chiavi statiche ed effimere, con una chiave precondivisa opzionale per una maggiore resistenza agli attacchi quantistici, completando l'handshake in un solo viaggio di andata e ritorno.

Curve25519 è una curva ellittica progettata da Daniel Bernstein per offrire prestazioni elevate e sicurezza. WireGuard la usa per l'accordo di chiavi Elliptic Curve Diffie-Hellman (ECDH). Ogni peer dispone di una coppia di chiavi Curve25519 statica per l'identità a lungo termine; durante l'handshake vengono inoltre utilizzate coppie di chiavi effimere per garantire la segretezza in avanti. Le operazioni Curve25519 sono eseguite in tempo costante, contrastando gli attacchi temporali.

WireGuard cifra tutti i pacchetti dati con ChaCha20-Poly1305, un algoritmo di cifratura autenticata. ChaCha20 è un cifrario a flusso estremamente veloce sui dispositivi privi di accelerazione hardware AES, come smartphone e dispositivi embedded. Poly1305 fornisce il tag di autenticazione. La costruzione AEAD combinata garantisce che qualsiasi manomissione del testo cifrato venga rilevata prima della decifratura.

BLAKE2s è una funzione hash crittografica ottimizzata per piattaforme a 32 bit e messaggi brevi. WireGuard la usa nelle fasi di derivazione delle chiavi dell'handshake e per il calcolo dell'identificatore di sessione. BLAKE2s è più veloce di SHA-256 sulla maggior parte delle piattaforme, offrendo al contempo una sicurezza equivalente. È stata progettata come successore di BLAKE, finalista del concorso SHA-3.

I peer WireGuard dispongono di una coppia di chiavi statica che funge da identità a lungo termine. Le chiavi pubbliche vengono scambiate fuori banda durante la configurazione e fungono da identificatori dei peer. Durante ogni handshake, entrambi i peer generano inoltre coppie di chiavi effimere. L'ECDH tra chiavi statiche ed effimere, combinato con l'ECDH tra coppie di chiavi effimere, garantisce sia l'autenticazione sia la segretezza in avanti.

WireGuard implementa il routing tramite chiavi crittografiche: nella configurazione, ogni peer specifica gli indirizzi IP (allowed IPs) raggiungibili attraverso quel peer. Quando un pacchetto in uscita corrisponde agli allowed IPs di un peer, viene cifrato per quel peer. I pacchetti in ingresso vengono decifrati e il loro IP di origine deve corrispondere agli allowed IPs della chiave utilizzata; in caso contrario, vengono scartati. Le chiavi definiscono la tabella di routing.

WireGuard non ha il concetto di connessione persistente. Se non è in corso alcun traffico, non vengono inviati pacchetti e la VPN scompare di fatto dalla rete. Gli handshake vengono avviati su richiesta quando è necessario inviare traffico. Un'impostazione PersistentKeepalive configurabile invia periodicamente pacchetti vuoti per mantenere le mappature NAT dei dispositivi che si trovano dietro router NAT.

WireGuard è stato integrato nel kernel Linux principale nella versione 5.6, rilasciata a marzo 2020. L'esecuzione nello spazio del kernel offre a WireGuard accesso diretto allo stack di rete del kernel e all'hardware crittografico, con un throughput superiore rispetto alle implementazioni VPN nello spazio utente. Sulle altre piattaforme (Windows, macOS, iOS, Android), WireGuard viene eseguito nello spazio utente tramite un'implementazione multipiattaforma.

I benchmark mostrano costantemente che WireGuard supera OpenVPN di 3-4 volte in termini di throughput. IPsec con accelerazione hardware AES-NI è competitivo con WireGuard sui sistemi dotati di hardware AES. Sui dispositivi ARM privi di AES-NI, ChaCha20 di WireGuard supera nettamente le alternative basate su AES. Un utilizzo inferiore della CPU comporta inoltre una maggiore durata della batteria sui dispositivi mobili.

Quale algoritmo utilizza WireGuard per cifrare i pacchetti dati?

Riepilogo di WireGuard: circa 4.000 righe di codice per una superficie di attacco minima, primitive fisse (nessuna negoziazione), handshake Noise IKpsk2 con Curve25519, ChaCha20-Poly1305 per i dati, BLAKE2s per l'hashing, routing tramite chiavi crittografiche che associa gli intervalli IP alle chiavi pubbliche, chiavi effimere che garantiscono la segretezza in avanti, integrazione nel kernel per le massime prestazioni e un modello di connessione senza stato con handshake su richiesta.