WireGuard: ChaCha20과 Curve25519 VPN

WireGuard는 근본적인 단순성을 주요 목표로 설계되었습니다. 코드 기반은 약 4,000줄로, OpenVPN의 70,000줄과 strongSwan IPsec의 400,000줄 이상에 비해 훨씬 작습니다. 줄 수가 적으면 잠재적인 취약점도 줄어들고, 한 명의 엔지니어가 충분히 검토할 수 있을 만큼 감사 범위도 작아집니다. 이러한 단순성은 기능 제한이 아니라 의도적인 보안 선택입니다.

OpenVPN 및 IPsec과 달리 WireGuard는 암호 알고리즘을 협상하지 않습니다. 모든 WireGuard 연결은 동일하게 고정된 기본 요소 집합을 사용합니다. 즉, ECDH에는 Curve25519, 인증 암호화에는 ChaCha20-Poly1305, 해싱에는 BLAKE2s, 해시 테이블 보안에는 SipHash-2-4를 사용합니다. 따라서 암호 협상이 사라지고, 다운그레이드 공격이 발생할 수 있는 공격 유형 하나가 통째로 제거됩니다.

WireGuard는 Noise 프로토콜 프레임워크의 Noise_IKpsk2 핸드셰이크 패턴을 구현합니다. 이 프레임워크는 보안 속성을 증명할 수 있는 키 교환 프로토콜을 체계적으로 구축하는 방법을 제공합니다. IKpsk2 패턴은 정적 키 쌍과 임시 키 쌍을 사용하며, 추가적인 양자 내성을 위해 사전 공유 키를 선택적으로 사용할 수 있고, 한 번의 왕복으로 핸드셰이크를 완료합니다.

Curve25519는 높은 성능과 보안을 위해 Daniel Bernstein이 설계한 타원 곡선입니다. WireGuard는 이를 타원 곡선 Diffie-Hellman(ECDH) 키 합의에 사용합니다. 각 피어는 장기적인 신원을 나타내는 정적 Curve25519 키 쌍을 가지며, 핸드셰이크에서는 순방향 비밀성을 제공하기 위해 임시 키 쌍도 사용합니다. Curve25519 연산은 일정한 시간에 수행되므로 타이밍 공격에 강합니다.

WireGuard는 모든 데이터 패킷을 인증 암호화 알고리즘인 ChaCha20-Poly1305로 암호화합니다. ChaCha20은 AES 하드웨어 가속이 없는 장치(스마트폰, 임베디드 장치)에서 매우 빠른 스트림 암호입니다. Poly1305는 인증 태그를 제공합니다. 두 요소를 결합한 AEAD 구성은 복호화 전에 암호문이 변조되었는지 확인합니다.

BLAKE2s는 32비트 플랫폼과 짧은 메시지에 최적화된 암호학적 해시 함수입니다. WireGuard는 핸드셰이크의 키 파생 단계와 세션 식별자 계산에 BLAKE2s를 사용합니다. BLAKE2s는 대부분의 플랫폼에서 SHA-256과 동등한 보안 수준을 제공하면서 더 빠릅니다. BLAKE2s는 SHA-3 최종 후보였던 BLAKE의 후속으로 설계되었습니다.

WireGuard 피어는 장기적인 신원으로 사용되는 정적 키 쌍을 가집니다. 공개 키는 구성할 때 별도 경로로 교환되며 피어 식별자로 사용됩니다. 각 핸드셰이크 중에는 두 피어가 모두 임시 키 쌍도 생성합니다. 정적 키와 임시 키 사이의 ECDH에 임시 키 쌍 사이의 ECDH를 결합하면 인증과 순방향 비밀성을 모두 제공할 수 있습니다.

WireGuard는 암호 키 라우팅을 구현합니다. 구성에서 각 피어는 해당 피어를 통해 도달할 수 있는 IP 주소(허용된 IP)를 지정합니다. 아웃바운드 패킷이 한 피어의 허용된 IP와 일치하면 해당 피어를 대상으로 암호화됩니다. 인바운드 패킷은 복호화된 후 출발지 IP가 사용된 키의 허용된 IP와 일치하는지 확인하며, 일치하지 않으면 삭제됩니다. 키가 라우팅 테이블을 정의합니다.

WireGuard에는 지속 연결이라는 개념이 없습니다. 트래픽이 흐르지 않으면 패킷도 전송되지 않으며 VPN은 사실상 네트워크에서 사라집니다. 전송할 트래픽이 있을 때 필요에 따라 핸드셰이크가 시작됩니다. 구성할 수 있는 PersistentKeepalive 설정은 주기적으로 빈 패킷을 전송하여 NAT 라우터 뒤에 있는 장치의 NAT 매핑을 유지합니다.

WireGuard는 2020년 3월에 출시된 Linux 5.6 버전에서 Linux 커널 메인라인에 통합되었습니다. 커널 공간에서 실행되므로 WireGuard는 커널 네트워킹 스택과 암호화 하드웨어에 직접 접근할 수 있어 사용자 공간 VPN 구현보다 처리량이 높습니다. 다른 플랫폼(Windows, macOS, iOS, Android)에서는 멀티플랫폼 구현을 통해 사용자 공간에서 실행됩니다.

벤치마크에서는 일관되게 WireGuard의 처리량이 OpenVPN보다 3~4배 높게 나타납니다. AES-NI 하드웨어 가속을 사용하는 IPsec은 AES 하드웨어가 있는 시스템에서 WireGuard와 경쟁할 만한 성능을 냅니다. AES-NI가 없는 ARM 장치에서는 WireGuard의 ChaCha20이 AES 기반 대안보다 훨씬 높은 성능을 냅니다. CPU 사용량이 낮기 때문에 모바일 장치의 배터리 수명도 더 길어집니다.

WireGuard는 데이터 패킷을 암호화할 때 어떤 알고리즘을 사용합니까?

WireGuard 요약: 공격 표면을 최소화하는 약 4,000줄의 코드, 협상이 없는 고정 기본 요소, Curve25519를 사용하는 Noise IKpsk2 핸드셰이크, 데이터 암호화에 사용하는 ChaCha20-Poly1305, 해싱에 사용하는 BLAKE2s, IP 범위를 공개 키에 연결하는 암호 키 라우팅, 순방향 비밀성을 제공하는 임시 키, 최고의 성능을 위한 커널 통합, 필요에 따라 핸드셰이크를 수행하는 상태 비저장 연결 모델입니다.