Puede que le sorprenda un poco, pero la industria de las VPN no ha visto una actualización en los protocolos de tunelización desde hace casi dos décadas.

Esto llegó en 2001 en forma de OpenVPN de código abierto, que es un protocolo bien establecido en el que confían los expertos de la industria.

Pero WireGuard está listo para desafiar el estado de OpenVPN como el mejor protocolo VPN, abordando algunos de los problemas endémicos de este.

En este blog, explicaré de la manera más simple posible qué es WireGuard y cómo podemos esperar que afecte a la industria de las VPN.

WireGuard: ¿un cambio de juego?

Casi puedo oírte preguntar "¿Es realmente necesario complicar aún más los protocolos de tunelización con el lanzamiento de otro más"?

Esa es una pregunta perfectamente válida. Después de todo, WireGuard es solo otro protocolo en la ya larga lista que incluye OpenVPN, L2TP, SSTP, PPTP e IKEv2. Estos son los protocolos que encuentro comúnmente cuando realizo revisiones de VPN.

Entonces, ¿qué puede ofrecer WireGuard que estos protocolos no puedan ofrecer?

Veamos algunos de los atributos más destacados que diferencian este nuevo protocolo de aquellos con los que estamos más familiarizados.

1 Simplicidad

Si hay una cualidad para definir a WireGuard, es la simplicidad. Y lo digo en más de un sentido.

En primer lugar, WireGuard es mucho más simple que OpenVPN porque es más simple en términos de código.

Los protocolos VPN más comunes, es decir, OpenVPN y L2TP, ocupan unas 600 000 y 400 000 líneas de código, respectivamente.

Por el contrario, WireGuard ocupa menos de 4000 líneas de código.

Ese es un nivel de diferencia que cambia el juego.

El código más pequeño tiene ventajas importantes. Por ejemplo, las posibilidades de que las cosas salgan mal y que los errores afecten la funcionalidad son mucho menores cuando, para empezar, la base de código es tan pequeña.

Además, la superficie de ataque o la exposición de un código a las amenazas de seguridad depende del tamaño del código. Cuanto más largo sea, más vulnerable será a los ataques.

Por lo tanto, el código lean también es ventajoso desde el punto de vista de la seguridad.

Por último, es mucho más fácil y lleva menos tiempo auditar código con menos líneas que uno que tiene miles de líneas más.

Tl; dr, código más simple significa:

Es más probable que el protocolo funcione sin problemas con contratiempos mínimos
Es más seguro porque hay menos vulnerabilidades para explotar
Puede ser auditado por una sola persona con menos de la mitad del tiempo requerido para auditar otros protocolos

Es asombroso cómo la simplicidad puede mejorar tanto de un solo golpe. Y ese es el sello distintivo de WireGuard.

2 Fácil implementación

La fácil implementación de WireGuard se deriva del hecho de que es un protocolo versionado.

Es decir, sus actualizaciones se lanzarán en forma de versiones actualizadas, cada una con una única especificación de cifrado única de otras versiones.

Por el contrario, OpenVPN puede cambiar sus algoritmos y cifrados criptográficos a petición del administrador.

Esto significa que no existe un estándar acordado entre el cliente y el servidor para un usuario de OpenVPN.

Como tal, lleva más tiempo formar una conexión, ya que OpenVPN tiene que negociar ciertos estándares de protocolo de enlace y cifrado con el lado del servidor cada vez que un usuario se conecta.

Por otro lado, una única versión de WireGuard utilizará una única especificación, por lo que el servidor puede reconocer de inmediato todo lo que necesita saber sobre el cifrado y otros estándares que se utilizan.

Esto acelera todo el proceso de conexión, algo que ningún otro protocolo ha podido hacer.

3 Rendimiento más rápido

WireGuard promete ofrecer un rendimiento y velocidades significativamente mayores en comparación con otros protocolos.

Esto es cortesía del hecho de que opera en el espacio del núcleo, que tiene una alta relación de uso de velocidad por CPU.

Es decir, obtiene más velocidad para un nivel determinado de uso de la CPU en comparación con IPSec u OpenVPN.

WireGuard en realidad comparó el rendimiento y los tiempos de ping para WireGuard, OpenVPN y dos variantes diferentes de IPSec.

El gráfico muestra que la CPU alcanza un máximo de 258 Mbps, mientras que WireGuard alcanza casi por completo la velocidad de 1 Gbps de la conexión Ethernet. ¡ Este es un rendimiento del 98,7 % !

Puede observar claramente la diferencia entre todos los protocolos VPN probados. Lo mejor de WireGuard es que el uso de la CPU no se maximizó ni siquiera con el impresionante rendimiento registrado.

Teniendo en cuenta el hecho de que todavía está en desarrollo y aún no es un protocolo optimizado, estos resultados son increíblemente impresionantes.

El mismo punto de referencia también probó los tiempos de ping de WireGuard, así como los otros tres protocolos.

Una vez más, WireGuard superó a los otros protocolos, siendo la diferencia más destacada.

Estos resultados hablan por sí mismos y son un vistazo a la potencia y el rendimiento general de WireGuard.

4 Cifrado seguro

WireGuard también va contra la corriente en el uso de estándares y algoritmos de encriptación. La mayoría de los protocolos usan algoritmos de encriptación fuertes pero obsoletos para asegurar el túnel VPN.

WireGuard utiliza algoritmos de cifrado que ningún otro protocolo existente admite. Estos son:

ChaCha20 (autenticado por Poly13045)
BLAKE2s (hashing y hash con clave)
Curva25519 (ECDH)
HKDF (derivación de clave)
SipHash24 (claves de tabla hash)

Sin embargo, la longitud de la clave para el cifrado está limitada a 256 bits. Esto puede ser preocupante para algunas personas, pero seamos realistas, el cifrado de 256 bits ya es una exageración.

Esto se hace evidente cuando se da cuenta de que una longitud de cifrado de 256 bits significa 1,15 x 1077 combinaciones de teclas diferentes posibles. Las posibilidades de que alguien adivine al azar la clave correcta es de 1 en 1,15 x 1077.

Es más probable que vea un huevo revuelto descifrarse a sí mismo que adivinar sus claves de cifrado correctamente.

Sin embargo, ¿qué pasa con los ataques de fuerza bruta?

Suponiendo que realiza un ataque de fuerza bruta con una computadora muy rápida y tiene la suerte de aterrizar en la tecla correcta después de agotar la mitad de las combinaciones de teclas, aún tendrá que probar 5.75 x 10 ^ 76 teclas diferentes.

Si genera 100.000.000 de claves por segundo (que está muy por encima de la capacidad media de los sistemas informáticos existentes), tendrá que esperar 1,82 x 1061 años antes de encontrar la clave correcta.

Excepto que el universo entero estaría muerto para entonces, no solo tú.

Entonces, la longitud de la clave es un factor que tiene importancia solo hasta cierto punto. Después de eso, se vuelve irrelevante, como en el caso de longitudes de clave superiores a 256 bits.

La verdadera pregunta es la fuerza algorítmica y la eficiencia del cifrado que utiliza WireGuard.

Hasta que se descubran las debilidades de seguridad en los algoritmos de encriptación de WireGuard, no hay motivo de alarma únicamente porque se limita a longitudes de clave más cortas.

El hecho de que WireGuard haya resistido el escrutinio de los auditores de seguridad y los criptógrafos (que aún continúa) es alentador para cualquiera que tenga dudas sobre la seguridad del protocolo.

De hecho, solo será mejor que sus contrapartes, ya que utiliza cebadores criptográficos desarrollados más recientemente.

Por lo tanto, desde el punto de vista de la seguridad, WireGuard está muy por delante de los protocolos VPN más antiguos.

La otra cara

Bien, hemos visto todas las formas importantes en las que WireGuard está listo para atacar los protocolos de tunelización existentes.

Pero echemos un vistazo debajo de la alfombra y veamos algunos de los problemas potenciales dentro de WireGuard.

Un trabajo en progreso

WireGuard es un proyecto gratuito de código abierto que aún está en desarrollo. Aún no se han publicado versiones estables oficiales.

En su forma actual, realmente no puede confiar en este protocolo, ya que es probable que contenga vulnerabilidades de seguridad.

Estado de WireGuard: En desarrollo

No olvide que el protocolo aún no se ha sometido a una auditoría de seguridad adecuada. Todo eso es todavía un trabajo en progreso.

Si bien sabemos lo suficiente como para tener una confianza razonable en las capacidades de WireGuard cuando se lance oficialmente con una versión estable, ese tiempo todavía está en el futuro.

Sin soporte de Windows todavía

Todo el desarrollo de WireGuard se está realizando en Linux. Aunque sus versiones experimentales están disponibles para macOS, Android e iOS, todavía no se ha lanzado oficialmente ningún cliente de Windows.

Sin embargo, algunos servicios de VPN, como explicaré más adelante, ofrecen una aplicación de Windows a través de clientes de terceros.

El desarrollador de WireGuard, Jason Donenfeld, desaconseja encarecidamente el uso de supuestos clientes de Windows:

Entonces, presten atención a esta advertencia, muchachos. Pronto recibiremos soporte de Windows, pero no todavía.

Posibles problemas con ciertas características

El servicio de VPN Perfect Privacy publicó hace unos meses un artículo sobre WireGuard donde mencionaba que este protocolo no podrá soportar ciertas características como NeuroRouting y TrackStop.

Sin embargo, tales problemas no persistirán necesariamente una vez que se publique la versión completa de WireGuard. También podemos esperar variantes del protocolo que funcionen mejor con ciertas funciones de VPN.

Problemas de registro

Uno de los principales problemas que me llamó la atención fue el planteado por algunos proveedores de VPN en relación con la imposibilidad de usar WireGuard sin registrar la información del usuario.

Si estas preocupaciones son válidas, la conveniencia de WireGuard como protocolo VPN estaría seriamente en duda.

Según AzireVPN:

… cuando se trata de WireGuard, el comportamiento predeterminado es tener el punto final y la IP permitida visibles en la interfaz del servidor, lo que realmente no funciona con nuestra política de privacidad. No debemos conocer su IP de origen y no podemos aceptar que esté visible en nuestros servidores.

Sin embargo, estos muchachos pudieron superar el problema de registro con la ayuda del propio creador del código WireGuard, Jason. Básicamente, escribió un módulo similar a un rootkit modificado que resolvió el problema.

Perfect Privacy también apuntó hacia el mismo problema de registro. AirVPN, por otro lado, ha mostrado interés en WireGuard, pero también declaró que no lo incluirán en su servicio hasta que se desarrolle una versión estable, revisada por pares y bien auditada del protocolo.

El tema común en todas estas declaraciones y preocupaciones se centra en el hecho de que el protocolo de ninguna manera es un producto terminado.

Pero teniendo en cuenta que algunos de los problemas ya se están abordando y el hecho de que el código aún es experimental en este punto, la mayoría de los problemas destacados probablemente se resolverán a su debido tiempo a medida que avance el desarrollo del protocolo.

Implicaciones futuras

A pesar de que WireGuard es todavía un proyecto experimental, ya se está convirtiendo en un protocolo extremadamente prometedor por varias razones importantes que incluyen la velocidad y la seguridad.

Las pruebas iniciales de evaluación comparativa son definitivamente lo suficientemente notables como para atraer la atención de los proveedores y usuarios de VPN.

Si el producto terminado podrá estar a la altura de las expectativas es una cuestión diferente. Pero si las auditorías existentes, la verificación de terceros y las pruebas de rendimiento sirven de algo, las probabilidades están alineadas a favor de WireGuard.

Actualmente, los usuarios deben mantenerse alejados del uso de este protocolo. Prácticamente solo es de interés para los desarrolladores en su forma experimental existente.

Sin embargo, una versión estable no está tan lejos de ver la luz como podríamos suponer. Es muy posible que veamos WireGuard v1.0 en los próximos meses.

Entonces, según todo lo que hemos discutido en este artículo, esto es lo que podemos esperar cuando este protocolo finalmente obtenga un lanzamiento oficial:

Fácil implementación
Menos errores
Rendimiento rápido
Bajos tiempos de conexión
Alta funcionalidad
Fuerte seguridad
Excelente compatibilidad multiplataforma

Proveedores de VPN con soporte WideGuard

Aunque Donenfeld ha advertido repetidamente que el uso de este protocolo puede ser peligroso y exponer a los usuarios a amenazas de seguridad, algunos proveedores aún ofrecen el protocolo WireGuard en sus paquetes de VPN.

Al momento de escribir este artículo, estos proveedores son:

Topo
IVPN
AzireVPN
Algo VPN

Estos podrían ser de su interés si es un desarrollador. De lo contrario, le sugiero que muestre un poco de paciencia y espere hasta que esté aquí una versión oficial probada y revisada de WireGuard.

Lo que dicen los expertos sobre WireGuard

Desde que se puso en marcha el proyecto, WireGuard ha recibido considerables elogios y admiración por parte de programadores e ingenieros de software.

Linus Torvalds, el creador del kernel de Linux, dijo lo siguiente al respecto :

Por cierto, en un problema no relacionado: veo que Jason realmente hizo la
solicitud de extracción para incluir wireguard en el kernel.

¿Puedo decir una vez más mi amor por él y esperar que se fusione
pronto? Tal vez el código no sea perfecto, pero lo he hojeado y, comparado
con los horrores que son OpenVPN e IPSec, es una obra de arte.

Greg Kroah-Hartman tampoco ocultó su entusiasmo por el protocolo de desarrollo, afirmando:

Ha sido genial ver a Wireguard madurar a lo largo de los años hasta convertirse en algo que funciona realmente bien. La semana pasada sobrevivió al tráfico de LinuxCon/ELCE/Kernel Summit gracias a Konstantin Ryabitsev y a package.net que configuraron un servidor para que lo usemos… Con suerte, después de la conferencia de redes de la próxima semana, habrá una hoja de ruta más clara para fusionarlo en el árbol del kernel.. El código de cifrado en el módulo del kernel probablemente tendrá que funcionar mejor con las API de cifrado en el kernel, lo cual es de esperar, pero en realidad, las API de cifrado en el kernel actuales necesitan una renovación seria uno de estos días, no es de extrañar Jason escribió su propia interfaz.

Incluso el senador estadounidense Ron Wyden intervino al escribir una carta al NIST (Instituto Nacional de Estándares y Tecnología) recomendando la adopción de WireGuard para las VPN del gobierno.

Recientemente, una nueva tecnología VPN de código abierto llamada Wireguard ha ganado prominencia. Para garantizar la seguridad, su diseño enfatiza la configuración simple y minimiza la cantidad de opciones disponibles. En particular, Wireguard ahora se está incorporando al sistema operativo Linux, una clara señal de su amplio apoyo en las industrias de tecnología y seguridad…

… Insto al NIST a trabajar con las partes interesadas para evaluar los reemplazos de seguridad apropiados, incluido Wireguard, para uso del gobierno.

El Jefe de Privacidad del Acceso Privado a Internet contribuye regularmente en Reddit. Puede encontrarlo dando su opinión experta sobre subreddits relacionados con VPN.

En el siguiente comentario, respalda a WireGuard como una gran idea, pero también advierte a los usuarios que no lo usen mientras aún se encuentra en la fase experimental:

WireGuard ha llamado la atención lo suficiente como para convencerme de que Donenfeld está tramando algo que es simplemente increíble. Quiero decir, si los senadores estadounidenses se están interesando, tiene que ser REALMENTE seguro.

Pensamientos finales

WireGuard seguramente está cambiando las cosas en la industria de las VPN, prometiendo técnicas criptográficas modernas, tunelización segura, excelente capacidad de auditoría y un rendimiento fluido.

Algunos de los nombres más importantes en el mundo del desarrollo de software son extremadamente optimistas acerca de este innovador protocolo VPN.

Pero al mismo tiempo, algunas compañías de VPN han expresado algunas preocupaciones relacionadas con los problemas de registro y la compatibilidad con ciertas funciones patentadas.

Si bien estas preocupaciones no se pueden ignorar, son un poco prematuras considerando que aún queda mucho trabajo por hacer antes de que WireGuard aparezca como un protocolo completamente desarrollado, revisado y auditado.

Y cuando eso suceda, podríamos ser testigos del comienzo de una nueva era de redes seguras.

Guías relacionadas :

¿Cuál es el mejor software VPN para Windows?