Wireguard in Hauptzweig des Linux-Kernels eingepflegt
Zusammenfassung
Linus Torvalds nahm im Januar 2020 den Zweig net-next und damit das VPN WireGuard in den Hauptzweig des Linux-Kernels auf. Damit war WireGuard für Linux 5.6 im April gesetzt, nachdem Jason Donenfeld es im Sommer zuvor zur Aufnahme vorgeschlagen hatte. Der Netzwerkcode umfasst nur rund 7000 Zeilen, OpenVPN und IPsec dagegen mehrere Hunderttausend.
Ideen
- Kleiner Code lässt sich viel leichter prüfen als große VPN-Stacks.
- WireGuard verzichtet bewusst auf Auswahlmöglichkeiten bei der Kryptografie.
- Der Weg in den Kernel dauerte mehrere Jahre und viele Diskussionen.
- WireGuard erscheint als normale Netzwerkschnittstelle wg0, die übliche Werkzeuge verwalten können.
Einsichten
- Einfachheit ist ein Sicherheitsmerkmal, weil sie Prüfbarkeit ermöglicht.
- Die Aufnahme in den Kernel machte WireGuard zur Standardoption auf allen Linux-Systemen.
Fakten
- WireGuard erschien erstmals stabil mit Linux 5.6.
- Für WireGuard passten die Kernel-Entwickler die eigene Krypto-API an.
Referenzen
Kritik
- Die Meldung vergleicht nur Codezeilen und erwähnt nicht, welche Funktionen WireGuard gegenüber IPsec bewusst weglässt.
Empfehlungen
- Setze für neue Site-to-Site- und Fernzugänge WireGuard ein.
- Verwalte WireGuard-Schlüssel und Peer-Konfigurationen zentral, etwa per Konfigurationsmanagement.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.