Cela pourrait vous surprendre un peu, mais l'industrie VPN n'a pas vu de mise à niveau des protocoles de tunnellisation depuis près de deux décennies.

Cela est arrivé en 2001 sous la forme de l'open-source OpenVPN, qui est un protocole bien établi auquel les experts de l'industrie font confiance.

Mais WireGuard est prêt à remettre en question le statut d'OpenVPN en tant que meilleur protocole VPN, en résolvant certains des problèmes qui lui sont endémiques.

Dans ce blog, j'expliquerai aussi simplement que possible ce qu'est WireGuard et comment nous pouvons nous attendre à ce qu'il affecte l'industrie VPN.

WireGuard – Un changeur de jeu ?

Je peux presque vous entendre demander "Est-il vraiment nécessaire de compliquer davantage les protocoles de tunneling avec la sortie d'un autre" ?

C'est une question parfaitement valable. Après tout, WireGuard n'est qu'un autre protocole dans la liste déjà longue qui comprend OpenVPN, L2TP, SSTP, PPTP et IKEv2. Ce sont les protocoles que je rencontre couramment lorsque j'effectue des examens VPN.

Alors, qu'est-ce que WireGuard peut éventuellement offrir que ces protocoles ne peuvent pas ?

Examinons quelques-uns des attributs les plus importants qui différencient ce nouveau protocole de ceux que nous connaissons mieux.

1 Simplicité

S'il y a une qualité pour définir WireGuard, c'est la simplicité. Et je le dis à plus d'un titre.

Tout d'abord, WireGuard est beaucoup plus simple qu'OpenVPN car il est plus léger en termes de code.

Les protocoles VPN les plus courants, à savoir OpenVPN et L2TP, occupent respectivement quelque 600 000 et 400 000 lignes de code.

En revanche, WireGuard occupe moins de 4 000 lignes de code !

C'est un niveau de différence qui change la donne.

Un code plus petit présente des avantages importants. Par exemple, les chances que les choses tournent mal et que les bogues affectant les fonctionnalités sont beaucoup plus faibles lorsque votre base de code est si petite au départ.

De plus, la surface d'attaque ou le degré d'exposition d'un code aux menaces de sécurité dépend de la taille du code. Plus il est long, plus il sera vulnérable aux attaques.

Ainsi, le code simplifié est également avantageux du point de vue de la sécurité.

Enfin, il est beaucoup plus facile et moins long d'auditer du code avec moins de lignes qu'un code volumineux avec des milliers de lignes de plus.

Tl;dr, un code plus simple signifie :

Le protocole est plus susceptible de fonctionner correctement avec un minimum de ratés
Il est plus sécurisé car il y a moins de vulnérabilités à exploiter
Il peut être audité par une seule personne avec moins de la moitié du temps nécessaire pour auditer d'autres protocoles

C'est incroyable comme la simplicité peut tellement s'améliorer d'un seul coup. Et c'est la marque de fabrique de WireGuard.

2 Mise en œuvre facile

La mise en œuvre facile de WireGuard découle du fait qu'il s'agit d'un protocole versionné.

Autrement dit, ses mises à niveau seront publiées sous la forme de versions mises à jour, chacune contenant une seule spécification de chiffrement unique par rapport aux autres versions.

En revanche, OpenVPN peut modifier ses algorithmes cryptographiques et ses chiffrements à la demande de l'administrateur.

Cela signifie qu'il n'y a pas de norme convenue entre le client et le serveur pour un utilisateur OpenVPN.

En tant que tel, il faut plus de temps pour établir une connexion car OpenVPN doit négocier certaines normes de poignée de main et de cryptage avec le côté serveur chaque fois qu'un utilisateur se connecte.

D'autre part, une seule version de WireGuard utilisera une seule spécification, de sorte que le serveur peut immédiatement reconnaître tout ce qu'il doit savoir sur le cryptage et les autres normes utilisées.

Cela accélère l'ensemble du processus de connexion, ce qu'aucun autre protocole n'a été capable de faire.

3 Performances plus rapides

WireGuard promet d'offrir des performances et des vitesses nettement supérieures à celles des autres protocoles.

Ceci est dû au fait qu'il fonctionne dans l'espace du noyau qui a un rapport d'utilisation vitesse/processeur élevé.

C'est-à-dire que vous obtenez plus de vitesse pour un niveau d'utilisation du processeur donné par rapport à IPSec ou OpenVPN.

WireGuard a en fait comparé le débit et les temps de ping pour WireGuard, OpenVPN et deux variantes différentes d'IPSec.

Le graphique montre que le CPU atteint un maximum de 258 Mbps, tandis que WireGuard atteint presque complètement le débit de 1 Gbps de la connexion Ethernet. Il s'agit d'un débit de 98,7 % !

Vous pouvez clairement observer la différence entre tous les protocoles VPN testés. La meilleure chose à propos de WireGuard est que l'utilisation du processeur n'a pas atteint son maximum, même au débit impressionnant enregistré.

Compte tenu du fait qu'il est encore en cours de développement et qu'il ne s'agit pas encore d'un protocole optimisé, ces résultats sont incroyablement impressionnants.

Le même benchmark a également testé les temps de ping de WireGuard ainsi que les trois autres protocoles.

Une fois de plus, WireGuard a battu les autres protocoles, la différence étant la plus importante.

Ces résultats parlent d'eux-mêmes et donnent un aperçu de la puissance et des performances globales de WireGuard.

4 Chiffrement sécurisé

WireGuard va également à contre-courant dans son utilisation des normes et des algorithmes de chiffrement. La plupart des protocoles utilisent des algorithmes de chiffrement puissants mais obsolètes pour sécuriser le tunnel VPN.

WireGuard utilise des algorithmes de chiffrement qu'aucun autre protocole existant ne prend en charge. Ceux-ci sont:

ChaCha20 (authentifié par Poly13045)
BLAKE2s (hachage et hachage à clé)
Courbe25519 (ECDH)
HKDF (dérivation de clé)
SipHash24 (clés de table de hachage)

Cependant, la longueur de clé pour le chiffrement est limitée à 256 bits. Cela peut être préoccupant pour certaines personnes, mais soyons réalistes, le cryptage 256 bits est déjà exagéré.

Cela devient évident lorsque vous réalisez qu'une longueur de cryptage de 256 bits signifie 1,15 x 1077 combinaisons de clés différentes possibles. Les chances qu'un gars devine au hasard votre clé correcte sont de 1 sur 1,15 x 1077.

Vous êtes plus susceptible de voir un œuf brouillé se déchiffrer que de deviner correctement vos clés de cryptage.

Mais qu'en est-il des attaques par force brute ?

En supposant que vous effectuiez une attaque par force brute avec un ordinateur très rapide et que vous ayez la chance d'atterrir sur la bonne touche après avoir épuisé la moitié des combinaisons de touches, vous devrez toujours essayer 5,75 x 10 ^ 76 touches différentes.

Si vous générez 100 000 000 de clés par seconde (ce qui est bien au-dessus de la capacité moyenne des systèmes informatiques existants), vous devrez attendre 1,82 x 1061 ans avant de trouver la bonne clé.

Sauf que l'univers entier serait mort d'ici là, pas seulement toi

Ainsi, la longueur de la clé est un facteur qui n'a d'importance que jusqu'à un certain point. Après cela, cela devient inutile, comme dans le cas de longueurs de clé supérieures à 256 bits.

La vraie question est la force algorithmique et l'efficacité du cryptage utilisé par WireGuard.

Jusqu'à ce que des faiblesses de sécurité soient découvertes dans les algorithmes de chiffrement de WireGuard, il n'y a pas lieu de s'alarmer uniquement parce qu'il est limité à des longueurs de clé plus courtes.

Le fait que WireGuard ait résisté à l'examen minutieux des auditeurs de sécurité et des cryptographes (qui est toujours en cours) est encourageant pour quiconque a des doutes sur la sécurité du protocole.

En fait, il ne fera que mieux que ses homologues, car il utilise des amorces cryptographiques plus récemment développées.

Par conséquent, du point de vue de la sécurité, WireGuard est bien en avance sur les anciens protocoles VPN.

Le revers de la médaille

D'accord, nous avons donc vu toutes les façons importantes dont WireGuard est prêt à bondir sur les protocoles de tunnellisation existants.

Mais regardons sous le tapis et voyons certains des problèmes potentiels au sein de WireGuard.

Un travail en cours

WireGuard est un projet open source gratuit qui est toujours en cours de développement. Aucune version stable officielle n'est encore sortie.

Dans sa forme actuelle, vous ne pouvez pas vraiment vous fier à ce protocole, car il est susceptible de contenir des failles de sécurité.

État de WireGuard : en cours de développement

N'oubliez pas que le protocole n'a pas encore été soumis à un audit de sécurité approprié. Tout cela est encore un travail en cours.

Bien que nous en sachions suffisamment pour être raisonnablement confiants dans les capacités de WireGuard lors de sa sortie officielle avec une version stable, ce temps est encore loin dans le futur.

Pas encore de support Windows

L'ensemble du développement de WireGuard est mené sous Linux. Bien que ses versions expérimentales soient disponibles pour macOS, Android et iOS, aucun client Windows n'a encore été officiellement publié.

Cependant, certains services VPN, comme je le verrai ci-dessous, proposent une application Windows via des clients tiers.

Le développeur de WireGuard, Jason Donenfeld, déconseille fortement l'utilisation de supposés clients Windows :

Alors, tenez compte de cet avertissement, les gars. Nous aurons bientôt le support de Windows, mais pas encore.

Problèmes possibles avec certaines fonctionnalités

Le service VPN Perfect Privacy a publié il y a quelques mois un article sur WireGuard dans lequel il mentionnait que ce protocole ne pourra pas prendre en charge certaines fonctionnalités telles que NeuroRouting et TrackStop.

Cependant, ces problèmes ne persisteront pas nécessairement une fois la version complète de WireGuard publiée. Nous pouvons également nous attendre à des variantes du protocole qui fonctionneront mieux avec certaines fonctionnalités VPN.

Problèmes de journalisation

L'un des principaux problèmes qui a attiré mon attention est celui soulevé par certains fournisseurs de VPN concernant l'incapacité de WireGuard à être utilisé sans enregistrer les informations de l'utilisateur.

Si ces préoccupations sont fondées, l'opportunité de WireGuard en tant que protocole VPN serait sérieusement mise en doute.

Selon AzireVPN :

… en ce qui concerne WireGuard, le comportement par défaut est d'avoir un point de terminaison et une adresse IP autorisée visibles dans l'interface du serveur, ce qui ne fonctionne pas vraiment avec notre politique de confidentialité. Nous ne devrions pas connaître votre adresse IP source et ne pouvons pas accepter qu'elle soit visible sur nos serveurs.

Cependant, ces gars ont réussi à surmonter le problème de journalisation avec l'aide du créateur du code WireGuard lui-même, Jason. Il a essentiellement écrit un module de type rootkit modifié qui a résolu le problème.

Perfect Privacy a également pointé vers le même problème de journalisation. AirVPN, d'autre part, a manifesté son intérêt pour WireGuard, mais a également déclaré qu'il ne l'inclura pas dans son service tant qu'une version stable, révisée par des pairs et bien auditée du protocole n'aura pas été développée.

Le thème commun à toutes ces déclarations et préoccupations est centré sur le fait que le protocole n'est en aucun cas un produit fini.

Mais étant donné que certains des problèmes sont déjà en cours de résolution et que le code est encore expérimental à ce stade, la plupart des problèmes mis en évidence seront probablement résolus en temps voulu à mesure que le développement du protocole progressera.

Conséquences futures

Bien que WireGuard soit encore un projet expérimental, il s'avère déjà être un protocole extrêmement prometteur pour un certain nombre de raisons importantes, notamment la vitesse et la sécurité.

Les tests de benchmarking initiaux sont certainement suffisamment remarquables pour attirer l'attention des fournisseurs et des utilisateurs de VPN.

La question de savoir si le produit fini sera à la hauteur du battage médiatique est une autre question. Mais si les audits existants, la vérification par des tiers et les tests de performance sont à la hauteur, les chances sont en faveur de WireGuard.

Actuellement, les utilisateurs doivent rester à l'écart de l'utilisation de ce protocole. Il n'intéresse à peu près que les développeurs sous sa forme expérimentale existante.

Cependant, une version stable n'est pas aussi loin de voir le jour qu'on pourrait le supposer. Il est fort possible que nous voyions un WireGuard v1.0 dans les prochains mois.

Donc, sur la base de tout ce dont nous avons discuté dans cet article, voici ce à quoi nous pouvons nous attendre lorsque ce protocole obtiendra enfin une version officielle :

Mise en œuvre facile
Moins de bugs
Performances rapides
Temps de connexion réduits
Haute fonctionnalité
Sécurité renforcée
Excellente compatibilité multiplateforme

Fournisseurs VPN avec prise en charge de WideGuard

Bien que Donenfeld ait averti à plusieurs reprises que l'utilisation de ce protocole peut être dangereuse et exposer les utilisateurs à des menaces de sécurité, certaines fournisseurs proposent toujours le protocole WireGuard dans leurs packages VPN.

Au moment d'écrire ces lignes, ces fournisseurs sont :

Taupe
IVPN
AzireVPN
Quelque chose de VPN

Ceux-ci pourraient vous intéresser si vous êtes un développeur. Sinon, je vous suggère de faire preuve d'un peu de patience et d'attendre qu'une version officielle testée et révisée de WireGuard soit disponible.

Ce que les experts disent de WireGuard

Depuis le début du projet, WireGuard a reçu des éloges et une admiration considérables de la part des codeurs et des ingénieurs en logiciel.

Linus Torvalds, le créateur du noyau Linux, avait ceci à dire à ce sujet :

Au fait, sur un problème sans rapport: je vois que Jason a en fait fait la
demande d'extraction pour que Wireguard soit inclus dans le noyau.

Puis-je encore une fois déclarer mon amour pour lui et espérer qu'il fusionnera
bientôt? Peut-être que le code n'est pas parfait, mais je l'ai parcouru, et comparé
aux horreurs que sont OpenVPN et IPSec, c'est une œuvre d'art.

Greg Kroah-Hartman n'a pas non plus caché son enthousiasme pour le protocole de développement, déclarant :

C'est formidable de voir Wireguard mûrir au fil des ans pour devenir quelque chose qui fonctionne très bien. La semaine dernière, il a survécu au trafic LinuxCon/ELCE/Kernel Summit grâce à Konstantin Ryabitsev et à packet.net qui ont mis en place un serveur que nous pouvons utiliser… Espérons qu'après la conférence réseau de la semaine prochaine, il y aura une feuille de route plus claire pour le fusionner dans l'arborescence du noyau. Le code de cryptage dans le module du noyau devra probablement jouer mieux avec les API de cryptage dans le noyau, ce qui est à prévoir, mais vraiment, les API de cryptage dans le noyau actuelles ont besoin d'une refonte sérieuse un de ces jours, pas étonnant Jason a écrit sa propre interface.

Même le sénateur américain Ron Wyden a pesé en écrivant une lettre au NIST (National Institute of Standards and Technology) recommandant l'adoption de WireGuard pour les VPN gouvernementaux.

Récemment, une nouvelle technologie VPN open source appelée Wireguard a pris de l'importance. Pour garantir la sécurité, sa conception met l'accent sur une configuration simple et minimise le nombre d'options disponibles. Notamment, Wireguard est maintenant intégré au système d'exploitation Linux, un signal clair de son large soutien dans les secteurs de la technologie et de la sécurité…

… J'exhorte le NIST à travailler avec les parties prenantes pour évaluer les remplacements de sécurité appropriés, y compris Wireguard, à l'usage du gouvernement.

Le responsable de la confidentialité de Private Internet Access contribue régulièrement sur Reddit. Vous pouvez le trouver en train de donner son avis d'expert sur les sous-reddits liés au VPN.

Dans le commentaire suivant, il soutient WireGuard comme une excellente idée, mais a également averti les utilisateurs de ne pas l'utiliser tant qu'il est encore en phase expérimentale :

WireGuard a fait tourner suffisamment de têtes pour me convaincre que Donenfeld prépare quelque chose de tout simplement incroyable. Je veux dire que si les sénateurs américains s'y intéressent, cela doit être VRAIMENT sécurisé.

Dernières pensées

WireGuard bouleverse sûrement les choses dans l'industrie VPN, promettant des techniques cryptographiques modernes, un tunneling sécurisé, une excellente capacité d'audit et des performances fluides.

Certains des plus grands noms du monde du développement de logiciels sont extrêmement optimistes quant à ce protocole VPN innovant.

Mais en même temps, quelques sociétés VPN ont soulevé quelques inquiétudes concernant les problèmes de journalisation et la compatibilité avec certaines fonctionnalités propriétaires.

Bien que ces préoccupations ne puissent être ignorées, elles sont un peu prématurées étant donné qu'il reste encore beaucoup de travail avant que WireGuard ne fasse son apparition en tant que protocole entièrement développé, révisé et audité.

Et lorsque cela se produira, nous pourrions assister au début d'une nouvelle ère de réseaux sécurisés.

Manuels associés :

Quel est le meilleur logiciel VPN pour Windows