WireGuard: VPN на основе ChaCha20 и Curve25519

WireGuard создавался с главной целью — добиться радикальной простоты. Его кодовая база насчитывает примерно 4 000 строк, тогда как у OpenVPN — 70 000, а у strongSwan IPsec — более 400 000. Меньшее число строк означает меньше потенциальных уязвимостей и настолько небольшую область для аудита, что один специалист может тщательно проверить её. Эта простота — осознанный выбор в пользу безопасности, а не ограничение функциональности.

В отличие от OpenVPN и IPsec, WireGuard не согласовывает криптографические алгоритмы. В каждом соединении WireGuard используется один и тот же фиксированный набор примитивов: Curve25519 для ECDH, ChaCha20-Poly1305 для аутентифицированного шифрования, BLAKE2s для хеширования и SipHash-2-4 для защиты хеш-таблиц. Это устраняет согласование шифров и тем самым целый класс атак на понижение уровня безопасности.

WireGuard реализует шаблон рукопожатия Noise_IKpsk2 из фреймворка протокола Noise. Этот фреймворк предоставляет обоснованный способ построения протоколов обмена ключами с доказуемыми свойствами безопасности. Шаблон IKpsk2 использует статические и эфемерные пары ключей, а также необязательный предварительно согласованный ключ для дополнительной устойчивости к квантовым атакам; рукопожатие завершается за один цикл обмена.

Curve25519 — это эллиптическая кривая, разработанная Даниэлем Бернштейном с учётом высокой производительности и безопасности. WireGuard использует её для согласования ключей по протоколу Диффи — Хеллмана на эллиптических кривых (ECDH). У каждого узла есть статическая пара ключей Curve25519 для долгосрочной идентификации, а в рукопожатии также используются эфемерные пары ключей, обеспечивающие прямую секретность. Операции Curve25519 выполняются за постоянное время, что защищает от атак по времени.

WireGuard шифрует все пакеты данных с помощью ChaCha20-Poly1305 — алгоритма аутентифицированного шифрования. ChaCha20 — потоковый шифр, чрезвычайно быстрый на устройствах без аппаратного ускорения AES (смартфонах и встраиваемых устройствах). Poly1305 формирует тег аутентификации. Комбинированная конструкция AEAD гарантирует, что любое изменение шифротекста будет обнаружено до расшифровки.

BLAKE2s — криптографическая хеш-функция, оптимизированная для 32-разрядных платформ и коротких сообщений. WireGuard использует её на этапах выработки ключа во время рукопожатия и для вычисления идентификатора сеанса. На большинстве платформ BLAKE2s работает быстрее SHA-256, обеспечивая при этом эквивалентный уровень безопасности. Эта функция разработана как преемник BLAKE — финалиста конкурса SHA-3.

У узлов WireGuard есть статическая пара ключей, служащая их долгосрочной идентификацией. Открытые ключи обмениваются вне основного канала во время настройки и служат идентификаторами узлов. Во время каждого рукопожатия оба узла также создают эфемерные пары ключей. ECDH между статическими и эфемерными ключами в сочетании с ECDH между эфемерными парами ключей обеспечивает и аутентификацию, и прямую секретность.

WireGuard реализует маршрутизацию по криптографическим ключам: в конфигурации каждый узел указывает IP-адреса (разрешённые IP-адреса), доступные через этот узел. Если исходящий пакет соответствует разрешённым IP-адресам узла, он шифруется для этого узла. Входящие пакеты расшифровываются, и их исходный IP-адрес должен соответствовать разрешённым IP-адресам использованного ключа; в противном случае пакеты отбрасываются. Ключи определяют таблицу маршрутизации.

В WireGuard нет понятия постоянного соединения. Если трафик не передаётся, пакеты не отправляются, и VPN фактически исчезает из сети. Рукопожатия запускаются по требованию, когда нужно отправить трафик. Настройка PersistentKeepalive периодически отправляет пустые пакеты, чтобы поддерживать сопоставления NAT для устройств за маршрутизаторами NAT.

WireGuard был включён в основную ветку ядра Linux в версии 5.6, выпущенной в марте 2020 года. Работа в пространстве ядра обеспечивает WireGuard прямой доступ к сетевому стеку ядра и криптографическому оборудованию, благодаря чему он обеспечивает более высокую пропускную способность, чем реализации VPN в пользовательском пространстве. На других платформах (Windows, macOS, iOS и Android) WireGuard работает в пользовательском пространстве через кроссплатформенную реализацию.

Результаты измерений неизменно показывают, что WireGuard превосходит OpenVPN по пропускной способности в 3–4 раза. IPsec с аппаратным ускорением AES-NI сопоставим с WireGuard на системах с аппаратной поддержкой AES. На устройствах ARM без AES-NI ChaCha20 в WireGuard значительно превосходит альтернативы на основе AES. Меньшая нагрузка на CPU также означает более длительное время работы мобильных устройств от батареи.

Какой алгоритм WireGuard использует для шифрования пакетов данных?

Итоги по WireGuard: около 4 000 строк кода для минимальной поверхности атаки, фиксированные примитивы без согласования, рукопожатие Noise IKpsk2 с Curve25519, ChaCha20-Poly1305 для данных, BLAKE2s для хеширования, маршрутизация по криптографическим ключам связывает диапазоны IP-адресов с открытыми ключами, эфемерные ключи обеспечивают прямую секретность, интеграция с ядром обеспечивает максимальную производительность, а модель соединения без сохранения состояния предусматривает рукопожатия по требованию.