Security: Wireguard-VPN zur Aufnahme in Linux-Kernel vorgeschlagen

Zwei Jahre nach der ersten öffentlichen Vorstellung ist die VPN-Lösung Wireguard erstmals zur Aufnahme in den Linux-Kernel vorgeschlagen worden. Bis zur endgültigen Aufnahme dürfte es zwar noch dauern, das Projekt bekommt aber viel prominente Unterstützung.

Artikel veröffentlicht am 1. August 2018, 11:54 Uhr, Sebastian Grüner

Das Wireguard-Maskottchen ist ein Drache. (Bild: Tristan Schmurr/Flickr.com/CC-BY 2.0)

Vor zwei Jahren hat der Entwickler und Sicherheitsforscher Jason Donenfeld mit Wireguard eine neue VPN-Technik öffentlich vorgestellt, die direkt im Linux-Kernel implementiert wird, auf moderne Kryptographie setzt und besonders klein und schnell sein soll. Die Implementierung ist nun erstmals offiziell als Patch auf der Mailing-Liste der Linux-Kernel-Entwickler erschienen und damit für die Aufnahme in den Kernel vorgeschlagen worden.

Der wohl größte Vorteil von Wireguard im Vergleich zu bisherigen Lösungen besteht vor allem in der extrem geringen Anzahl an Codezeilen der Technik. So umfasst die Kernel-Technik selbst nur etwa 4.000 Zeilen Code. Die bisher zu Verfügung stehenden Alternativen wie OpenVPN oder auch IPSec umfassen dagegen mehrere Hunderttausend Zeilen Code. So nutzt Wireguard zur Identifizierung lediglich öffentliche Schlüssel, analog zu SSH, wodurch etwa auf eine Zertifikatsinfrastruktur verzichtet werden kann.

Eine der grundlegenden Ideen von Wireguard ist zudem, die Technik als normale Netzwerkschnittstelle des Systems bereitzustellen. Sämtliche Werkzeuge, die bisher etwa Schnittstellen wie eth0 und wlan0 verwalten, können so auch theoretisch sehr einfach die Wireguard-Schnittstelle wg0 verwalten. Verschiedene Userspace-Dienste wie zum Beispiel Systemd-Networkd haben ihren Code bereits angepasst.

Aufnahme in den Kernel ziemlich sicher

Dass Wireguard erst zwei Jahre nach der Veröffentlichung zur Aufnahme in den Kernel vorgeschlagen wird, hat verschiedene Gründe. So baut Wireguard etwa auf verschiedenen Änderungen an der Netzwerk- und Krypto-Schicht im Kernel auf, die zunächst für sich diskutiert und eingepflegt werden müssen. Diese Vorgehensweise gilt natürlich auch für Wireguard selbst, für das dieser Prozess nun begonnen hat.

Dass Wireguard dabei abseits von Code-Strukturierung oder Ähnlichem auf große Widerstände stößt, ist derzeit nicht abzusehen. So wird das Projekt etwa aktiv von Dave Miller unterstützt, der seit Jahren die Netzwerkentwicklung im Kernel betreut. Auch Chef-Entwickler Linus Torvalds möchte offenbar Wireguard schnell einpflegen, um Nutzer zum Wechsel von IPSec auf die Technik zu bewegen. Wann Wireguard letztlich im Hauptzweig des Kernels landet, ist zurzeit aber noch nicht absehbar.

Für Nutzer, die Wireguard ausprobieren möchten, stehen Pakete für verschiedene Linux-Distributionen über die Seite des Projekts bereit, ebenso wie natürlich der Quellcode.