The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Анонсирована внутриядерная реализация WireGuard для OpenBSD, opennews (??), 12-Май-20, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


31. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от Ананимус (?), 12-Май-20, 13:00 
IPSec большой и сложный, WG влезает в три тыщи строк на OpenBSD.
Ответить | Правка | Наверх | Cообщить модератору

41. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 12-Май-20, 13:31 
in-kernel ipsec в разы проще. И вряд ли занимает 3000 строк, да и тех половина общая - криптографические библиотеки ядра.

Все сложное и ненадежное там предусмотрительно вынесено в userspace. Кстати, open помнится единственная система, вообще не умеющая ipsec без юзерспейс демона. (кроме, конечно, венды, но это неточно)

Ответить | Правка | Наверх | Cообщить модератору

45. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 13:38 
$ cloc net/ipv4/esp4*.c net/ipv6/esp6*.c net/xfrm/*.c
      18 text files.
      18 unique files.
       0 files ignored.

github.com/AlDanial/cloc v 1.84  T=0.08 s (238.9 files/s, 252342.2 lines/s)
-------------------------------------------------------------------------------
Language                     files          blank        comment           code
-------------------------------------------------------------------------------
C                               18           3245            675          15094
-------------------------------------------------------------------------------
SUM:                            18           3245            675          15094
-------------------------------------------------------------------------------

И это без крипты.

Ответить | Правка | Наверх | Cообщить модератору

46. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 13:39 
Правда это линукс, щас в open посмотрю.
Ответить | Правка | Наверх | Cообщить модератору

47. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 13:44 
$ cloc sys/netinet/ipsec_*.c sys/netinet/*psp*.c sys/net/pfkeyv2*
       7 text files.
       7 unique files.
       0 files ignored.

github.com/AlDanial/cloc v 1.84  T=0.04 s (182.8 files/s, 213075.4 lines/s)
-------------------------------------------------------------------------------
Language                     files          blank        comment           code
-------------------------------------------------------------------------------
C                                6           1060            935           5723
C/C++ Header                     1             49             42            349
-------------------------------------------------------------------------------
SUM:                             7           1109            977           6072
-------------------------------------------------------------------------------\

Ну тоже немало. И это без учета размазанных по стеку кусков.

Ответить | Правка | Наверх | Cообщить модератору

80. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 12-Май-20, 17:09 
ну так чудо-вайргад-то тоже поди без udp померян - без которого он не жизнеспособен.
Ответить | Правка | Наверх | Cообщить модератору

89. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 18:37 
А без него типа UDP кода в ядре не будет, лол.
Ответить | Правка | Наверх | Cообщить модератору

55. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от bOOster (ok), 12-Май-20, 14:36 
Ну как бэ механизмы обмена ключами к IPSEC относиться весьма косвенно. IPSEC и на симметричных ключах без механизмов обмена в целом работает.
Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

82. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 12-Май-20, 17:23 
в целом - работает, только как его включить в именно open? ;-)

(мне на самом деле гораздо интереснее - как это сделать в винде, но, похоже, ответ - никак)

Ответить | Правка | Наверх | Cообщить модератору

111. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Дон Ягон (ok), 12-Май-20, 21:58 
> как его включить в именно open? ;-)

Тут http://www.openbsd.org/faq/faq17.html написано, как, примерно, это делается.
Али не работает что?

Ответить | Правка | Наверх | Cообщить модератору

141. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 14-Май-20, 11:50 
Не работает то что ты не смог прочитать: работа ipsec без ike в принципе. Насколько я вижу - фак по настройке iked, зачем он мне?

Между линуксом и фрей - работает. Между циской и линуксом - работает. В проклятой, имени корпорации зла - не работает. Ну так корпорация - зла!

Ответить | Правка | Наверх | Cообщить модератору

144. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Дон Ягон (ok), 14-Май-20, 13:14 
> Не работает то что ты не смог прочитать: работа ipsec без ike
> в принципе. Насколько я вижу - фак по настройке iked, зачем
> он мне?

Я действительно пропустил про "без ike" и обратил внимание только на симметричные ключи.

Судя по /etc/examples/ipsec.conf и https://man.openbsd.org/ipsec.conf.5 то, что ты хочешь, таки возможно (но я не проверял на практике).

Что-то типа такого (пример из examples выше):

# Set up a tunnel using static keying:
#
# The first rule sets up the flow; the second sets up the SA.  As default
# transforms, ipsecctl(8) will use hmac-sha2-256 for authentication
# and aes for encryption.  hmac-sha2-256 uses a 256-bit key; aes
# a 128-bit key.

flow esp from 192.168.7.0/24 to 192.168.8.0/24 peer 192.168.3.2
esp from 192.168.3.1 to 192.168.3.2 spi 0xabd9da39:0xc9dbb83d \
       authkey 0x54f79f479a32814347bb768d3e01b2b58e49ce674ec6e2d327b63408c56ef4e8:0x7f48ee352c626cdc2a731b9d90bd63e29db2a9c683044b70b2f4441521b622d6 \
       enckey 0xb341aa065c3850edd6a61e150d6a5fd3:0xf7795f6bdd697a43a4d28dcf1b79062d

А если не секрет, чем хуже вариант с IKEv2?

Ответить | Правка | Наверх | Cообщить модератору

145. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 14-Май-20, 15:14 
тем что демон дыряв by design.

И там где я могу не бояться одновременно гугля, nsa и cia, шпионящих за мной, от васяна я вполне надежно защищен статическим никогда не меняемым ключом.

> Судя по /etc/examples/ipsec.conf

а его кроме интерфейсной оболочки для iked кто-то читать-то вообще собирался?
У остальных-то есть setkey для ручного управления sa, который никаких демонов не будит.

Ответить | Правка | Наверх | Cообщить модератору

147. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Дон Ягон (ok), 14-Май-20, 15:56 
"Security Associations can be set up manually with ipsecctl(8) or automatically with the isakmpd(8) or iked(8) key management daemons."

( https://man.openbsd.org/ipsec.4 )

Раскрой мысль плиз, про пресловутую "дырявость by design" или посоветуй, где почитать?

Ответить | Правка | Наверх | Cообщить модератору

148. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 14-Май-20, 16:05 
описания ipsec почитать, вероятно.

Ну или просто оценить количество ручек-глючек-вариаций настроек, и понять, что этот дремучий ентерпрайс не может в принципе быть реализован целиком, совместимо и надежно - даже если выбрать любые два.

Хотя сам по себе, без ike - прост как палка в руках неандертальца.

Ответить | Правка | Наверх | Cообщить модератору

149. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Дон Ягон (ok), 14-Май-20, 16:46 
А, ты об этом. В этом я с тобой скорее согласен.
Но я думал у тебя какие-то конкретные претензии именно к iked/isakmpd.
Ответить | Правка | Наверх | Cообщить модератору

150. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 14-Май-20, 17:13 
Нет, я даже вполне мог бы поверить (до недавних детских ошибок) что он не хуже и не ненадежнее racoon{,2} не говоря уж про strongswan
Ответить | Правка | Наверх | Cообщить модератору

56. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от bOOster (ok), 12-Май-20, 14:42 
ЧЕ там большого и сложного? IKE?
Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

59. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 14:54 
В StrongSwan примерно 350 тысяч строк кода _только_ на C.
Ответить | Правка | Наверх | Cообщить модератору

61. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от bOOster (ok), 12-Май-20, 15:03 
> В StrongSwan примерно 350 тысяч строк кода _только_ на C.

Ты мух то от котлет отдели, там напихано все что только можно. А в реальной эксплуатации ты пользуешь процентов 10% из всего что там напихано.

Ответить | Правка | Наверх | Cообщить модератору

62. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от Ананимус (?), 12-Май-20, 15:05 
Ну так это и называется "большой и сложный". Шансов обосраться с очередным zero day на кодовой базе в 350 тысяч строк значительно проще, чем на кодовой базе в 3.5 тыщи строк.
Ответить | Правка | Наверх | Cообщить модератору

72. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от lockywolfemail (ok), 12-Май-20, 15:40 
https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=strongswan

29 эксплоитов с 2004 года? И сколько из них zero-day?

Ответить | Правка | Наверх | Cообщить модератору

73. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 15:54 
Сколько из них ещё не нашли? Сколькими из них не поделились?
Ответить | Правка | Наверх | Cообщить модератору

75. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от lockywolfemail (ok), 12-Май-20, 16:02 
> Сколько из них ещё не нашли? Сколькими из них не поделились?

Ну так и в wireguard непонятно сколько.

Ответить | Правка | Наверх | Cообщить модератору

76. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 16:03 
Wireguard? В котором 3.5k строк? Который можно целиком за вечер прочитать?
Ответить | Правка | Наверх | Cообщить модератору

77. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от lockywolfemail (ok), 12-Май-20, 16:06 
> Wireguard? В котором 3.5k строк? Который можно целиком за вечер прочитать?

Ну, ниже уже написали, что в ядерном ipsec те же самые 3000 строк. А для того, чтобы уязвимости в юзерспейсе играли роль, надо, чтобы уязвимыми местами тоже кто-то пользовался.

Ну, то есть, я не утверждаю, что wireguard плох, но пока его триумфальность не очевидна.

Ответить | Правка | Наверх | Cообщить модератору

79. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 16:09 
> А для того, чтобы уязвимости в юзерспейсе играли роль, надо, чтобы уязвимыми местами тоже кто-то пользовался.

Ты думаешь там 400 тыщ строк кода, которыми никто не пользуется? :)

Ответить | Правка | Наверх | Cообщить модератору

83. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 12-Май-20, 17:26 
ну, вообще-то, в целом.... ДА! ;-)

Во всяком случае, этих удивительных особей ученые в природе практически не обнаружили. Такое впечатление, что стандарт делали нарочно чтоб надежную реализацию написать было невозможно. Но, разумеется, Хэнлон подсказывает, что нет.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру