WireGuard：ChaCha20とCurve25519によるVPN

WireGuardは、第一の目標として徹底したシンプルさを掲げて設計されました。コードベースは約4,000行で、OpenVPNの70,000行、strongSwan IPsecの400,000行超と比べて大幅に少なくなっています。コード行数が少なければ潜在的な脆弱性も少なくなり、単一のエンジニアが徹底的にレビューできるほど監査対象の範囲を小さくできます。このシンプルさは機能上の制限ではなく、意図的なセキュリティ上の選択です。

OpenVPNやIPsecとは異なり、WireGuardは暗号アルゴリズムをネゴシエートしません。WireGuardのすべての接続では、Curve25519（ECDH用）、ChaCha20-Poly1305（認証付き暗号化用）、BLAKE2s（ハッシュ用）、SipHash-2-4（ハッシュテーブルのセキュリティ用）という、同じ固定されたプリミティブのセットを使用します。これにより暗号方式のネゴシエーションが不要になり、ダウングレード攻撃の一種を完全に排除できます。

WireGuardは、Noise Protocol FrameworkのNoise_IKpsk2ハンドシェイクパターンを実装しています。このフレームワークは、証明可能なセキュリティ特性を備えた鍵交換プロトコルを、原則に基づいて構築する方法を提供します。IKpsk2パターンでは、静的鍵ペアとエフェメラル鍵ペアに加えて、量子耐性を高めるためのオプションの事前共有鍵を使用し、1回のラウンドトリップでハンドシェイクを完了します。

Curve25519は、高い性能とセキュリティを実現するためにDaniel Bernsteinが設計した楕円曲線です。WireGuardは、楕円曲線ディフィー・ヘルマン（ECDH）鍵合意にCurve25519を使用します。各ピアは長期的な識別情報として静的なCurve25519鍵ペアを持ち、ハンドシェイクでは前方秘匿性を実現するためにエフェメラル鍵ペアも使用します。Curve25519の演算は一定時間で実行されるため、タイミング攻撃に耐性があります。

WireGuardは、認証付き暗号化アルゴリズムであるChaCha20-Poly1305を使って、すべてのデータパケットを暗号化します。ChaCha20は、AESのハードウェアアクセラレーションを備えていないデバイス（スマートフォンや組み込みデバイス）でも非常に高速に動作するストリーム暗号です。Poly1305は認証タグを提供します。このAEAD構成により、復号前に暗号文への改ざんを検出できます。

BLAKE2sは、32ビットプラットフォームと短いメッセージ向けに最適化された暗号学的ハッシュ関数です。WireGuardは、ハンドシェイクでの鍵導出処理とセッション識別子の計算にBLAKE2sを使用します。BLAKE2sは、同等のセキュリティを提供しながら、ほとんどのプラットフォームでSHA-256より高速です。SHA-3の最終候補だったBLAKEの後継として設計されました。

WireGuardのピアは、長期的な識別情報として機能する静的鍵ペアを持ちます。公開鍵は設定時に帯域外で交換され、ピアの識別子として使用されます。各ハンドシェイクでは、両方のピアがエフェメラル鍵ペアも生成します。静的鍵とエフェメラル鍵のECDHに、エフェメラル鍵ペア同士のECDHを組み合わせることで、認証と前方秘匿性の両方を実現します。

WireGuardは暗号鍵ルーティングを実装しています。設定では、各ピアを経由して到達できるIPアドレス（allowed IPs）を指定します。送信パケットがピアのallowed IPsに一致すると、そのピア向けに暗号化されます。受信パケットは復号されますが、その送信元IPが使用された鍵のallowed IPsと一致しなければ破棄されます。鍵がルーティングテーブルを定義します。

WireGuardには永続的な接続という概念がありません。トラフィックが流れていなければパケットは送信されず、VPNはネットワーク上から実質的に消えます。送信するトラフィックが発生すると、必要に応じてハンドシェイクが開始されます。設定可能なPersistentKeepaliveにより、空のパケットを定期的に送信して、NATルーターの背後にあるデバイスのNATマッピングを維持できます。

WireGuardは、2020年3月にリリースされたLinux 5.6で、Linuxカーネルのメインラインに統合されました。カーネル空間で動作することで、カーネルのネットワークスタックと暗号ハードウェアに直接アクセスでき、ユーザー空間で動作するVPN実装より高いスループットを実現します。その他のプラットフォーム（Windows、macOS、iOS、Android）では、WireGuardはクロスプラットフォーム実装を介してユーザー空間で動作します。

ベンチマークでは一貫して、WireGuardはスループットでOpenVPNを3～4倍上回っています。AES-NIハードウェアアクセラレーションを備えたシステムでは、AESを使うIPsecもWireGuardに匹敵します。AES-NIを備えていないARMデバイスでは、WireGuardのChaCha20がAESベースの代替方式を大幅に上回ります。CPU使用率が低いことは、モバイルデバイスのバッテリー持続時間の向上にもつながります。

WireGuardはデータパケットの暗号化にどのアルゴリズムを使用しますか？

WireGuardのまとめ：攻撃対象領域を最小化する約4,000行のコード、ネゴシエーションを行わない固定プリミティブ、Curve25519を使うNoise IKpsk2ハンドシェイク、データ用のChaCha20-Poly1305、ハッシュ用のBLAKE2s、IP範囲と公開鍵を結び付ける暗号鍵ルーティング、前方秘匿性を提供するエフェメラル鍵、最大限の性能を実現するカーネル統合、そして必要に応じてハンドシェイクを行うステートレスな接続モデルを採用しています。