Віртуальні приватні мережі захищають передавання даних у ненадійному середовищі шляхом взаємної автентифікації вузлів та генерації спільного сесійного ключа. Хоча симетричні шифри відповідають за безпосереднє шифрування трафіку, фундаментальна безпека тунелю залежить від початкового етапу обміну ключами. Якщо сторонній спостерігач зуміє вирахувати статичний або ефемерний закритий ключ через мікроархітектурні побічні канали, надійність усієї сесії буде скомпрометована.

Традиційні протоколи тривалий час використовували стандартні еліптичні криві NIST, зокрема P-256 (secp256r1) у короткій формі Вейєрштрасса. Програмна реалізація цих кривих пов'язана зі значними ризиками: формули додавання та подвоєння точок різняться, умовні переходи залежать від бітів секретного ключа, а перетворення координат спричиняють коливання часу виконання, відкриваючи можливості для атак за часом доступу до кешу (cache-timing attacks).

WireGuard усуває вразливості побічних каналів під час узгодження ключів, використовуючи виключно еліптичну криву Curve25519, розроблену Деніелом Бернштейном. Завдяки структурі драбини Монтгомері (Montgomery ladder) та обчисленням без розгалужень WireGuard забезпечує строго константний час скалярного множення, стійкий до атак аналізу часу виконання.

Вразливість класичних еліптичних кривих до побічних каналів

Щоб зрозуміти переваги Curve25519, розглянемо виконання скалярного множення на кривих Вейєрштрасса. Обчислення відкритого ключа $Q = k \cdot P$ вимагає множення базової точки $P$ на секретне ціле число $k$.

У класичних реалізаціях це множення часто виконується за алгоритмом «подвоєння та додавання» (double-and-add):

// Вразливий алгоритм double-and-add з умовним переходом
Point result = INFINITY_POINT;
for (int i = 255; i >= 0; i--) {
    result = point_double(result);
    if ((secret_scalar >> i) & 1) {
        result = point_add(result, base_point); // Галуження залежить від біта ключа
    }
}

Такий підхід створює критичні мікроархітектурні витоки інформації:

  1. Прогнозування переходів процесора: Інструкція if виконується лише тоді, коли біт секретного ключа дорівнює 1. Сусідній процес на тому ж ядрі процесора може відстежувати історію переходів і побітово відновити приватний ключ.
  2. Сліди звернення до кеш-пам'яті: Операції подвоєння та додавання звертаються до різних областей пам'яті та таблиць попередніх обчислень. За допомогою методик FLUSH+RELOAD зловмисник вимірює затримки завантаження рядків кешу й реконструює ключ.
  3. Обробка особливих точок: Формули Вейєрштрасса містять винятки: додавання точки до самої себе потребує функції подвоєння, а додавання до протилежної точки дає точку на нескінченності. Програмне опрацювання цих винятків призводить до часових витоків.

Форма Монтгомері та обчислення за єдиною координатою

Запропонована у 2006 році крива Curve25519 визначена над простим полем $\mathbb{F}_{2^{255}-19}$. Замість форми Вейєрштрасса вона базується на рівнянні форми Монтгомері:

$$y^2 = x^3 + 486662x^2 + x$$

Форма Монтгомері має унікальну геометричну властивість: скалярне множення точок для протоколу Діффі-Геллмана (X25519) можна повністю здійснити лише за координатою $x$, взагалі не обчислюючи і не зберігаючи координату $y$.

У схемі X25519 точки подаються у проєктивних координатах як відношення $(X : Z)$, що відповідає афінній координаті $x = X / Z$. Знаючи проєктивні координати двох точок $P$, $Q$ та їхню різницю $P - Q$, координати суми $P + Q$ та подвоєння $2P$ обчислюються одночасно за фіксованим набором операцій додавання, віднімання, піднесення до квадрата та множення.

Повна відмова від координати $y$ скорочує навантаження на обчислення майже вдвічі та ліквідує будь-які спроби маніпуляції знаком $y$.

Константна драбина Монтгомері та операція cswap без розгалужень

WireGuard реалізує множення точок X25519 за допомогою драбини Монтгомері. Алгоритм підтримує дві проєктивні точки, $R_0$ та $R_1$, зберігаючи постійну різницю $R_1 - R_0 = P$ на кожному кроці циклу.

Для кожного біта секретного числа виконується одне подвоєння точки та одне диференційне додавання:

Ітерація драбини Монтгомері:
Якщо біт числа == 0:
    R0 <- 2 * R0
    R1 <- R0 + R1
Якщо біт числа == 1:
    R0 <- R0 + R1
    R1 <- 2 * R1

Замість використання умовних операторів if алгоритм застосовує умовний обмін з константним часом (cswap). Перед виконанням кроку значення $R_0$ та $R_1$ міняються місцями, якщо поточний біт відрізняється від попереднього.

// Умовний обмін зі сталим часом без переходів і таблиць
static void cswap(uint32_t swap, fe x1, fe x2) {
    uint32_t mask = 0 - swap; // 0x00000000 якщо swap == 0, 0xFFFFFFFF якщо swap == 1
    for (int i = 0; i < 10; i++) {
        uint32_t diff = mask & (x1[i] ^ x2[i]);
        x1[i] ^= diff;
        x2[i] ^= diff;
    }
}

Цей процес забезпечує цілковиту симетрію виконання:

  • Однаковий набір інструкцій: Незалежно від того, дорівнює секретний біт 0 чи 1, процесор виконує однакову послідовність машинних команд: 4 піднесення до квадрата, 5 множень та 8 додавань/віднімань.
  • Жодних таблиць у пам'яті: Програма не звертається до попередньо розрахованих таблиць, блокуючи зондування кеш-пам'яті.
  • Побітові маски: Логіка cswap ґрунтується виключно на операціях XOR та AND, тому процесор виконує операції за сталу кількість тактів без впливу блоку передбачення переходів.

Фіксація бітів скаляра та імунітет до малих підгруп

У криптографії на еліптичних кривих зловмисник може надіслати некоректну точку з підгрупи малого порядку. Якщо сервер обчислить спільний секрет із такою точкою, результат потрапить у вузький діапазон значень, що полегшить визначення закритого ключа.

Крива Curve25519 має порядок $8 \times p_{25519}$ (де $p_{25519}$ — велике просте число), що відповідає кофактору $h = 8$. Її квадратичне скручування має порядок $4 \times p'_{25519}$ (кофактор 4).

WireGuard нейтралізує загрозу малих підгруп операцією фіксації бітів (clamping). Перед початком обчислень 32-байтовий ключ $k$ маскується бітовими операціями:

// Фіксація бітів згідно зі специфікацією RFC 7748
k[0]  &= 248; // Очищення 3 молодших бітів (біти 0, 1, 2)
k[31] &= 127; // Очищення біта 255
k[31] |= 64;  // Встановлення біта 254

Ця операція створює три надійні бар'єри захисту:

  1. Анулювання кофактора: Обнулення 3 молодших бітів робить число кратним 8. Будь-який елемент підгрупи порядку 8 перетворюється на нейтральну точку, ліквідуючи загрозу атак обмеження підгрупи.
  2. Безпека скручування (Twist Security): Навіть якщо отримано точку на квадратичному скручуванні кривої, її кофактор 4 нейтралізується кратністю скаляра, захищаючи систему без потреби у валідації точок.
  3. Фіксована довжина циклу: Встановлення біта 254 та обнулення біта 255 гарантують постійну довжину числа у 255 бітів, що усуває витоки через зміну тривалості ітерацій.

Інтеграція в ядро Linux та апаратне прискорення SIMD

У ядрі Linux криптографічний рушій Curve25519 інтегровано безпосередньо у базову криптографічну підсистему (lib/crypto/curve25519-fiat32.c та оптимізовані модулі на асемблері).

Арифметика поля $\mathbb{F}_{2^{255}-19}$ оперує множенням 256-бітних чисел. На 64-бітних платформах ці числа розбиваються на масиви з 5 елементів (radix-$2^{51}$), що дозволяє апаратному помножувачу обчислювати добуток без переповнення розрядів.

Подання елемента поля масивом із 5 елементів з основою 2^51:
[ Елемент 0: 51 біт ] [ Елемент 1: 51 біт ] [ Елемент 2: 51 біт ] [ Елемент 3: 51 біт ] [ Елемент 4: 51 біт ]

На процесорах архітектури x86_64 асемблерні функції (curve25519-x86_64.S) використовують інструкції AVX2 та AVX-512. Ці векторні розширення паралельно множать елементи масиву, завершуючи 255-бітне скалярне множення менш ніж за 45 000 тактів процесора (менше 15 мікросекунд). Оскільки векторні команди мають детермінований час виконання, досягається висока швидкість без ризику атак за сторонніми каналами.

Посилений криптографічний захист та очищення пам'яті в RiceGuard

На мережевих шлюзах із високим навантаженням захист охоплює як рівень процесорних інструкцій, так і повний цикл роботи з оперативною пам'яттю.

RiceGuard використовує комплексний підхід:

  1. Очищення чутливих ділянок пам'яті: Одразу після генерації спільного секрету тимчасові буфери стираються з пам'яті за допомогою функцій memzero_explicit та memset_sensitive. Це виключає видалення інструкцій компілятором під час оптимізації коду.
  2. Порівняння зі сталим часом: Перевірка ключів та маркерів автентифікації виконується функціями crypto_memneq, унеможливлюючи побайтовий аналіз затримок мережі.
  3. Регулярна зміна ключів: Механізм протоколу Noise у RiceGuard автоматично оновлює сесійні ключі кожні 120 секунд або після передавання $2^{20}$ пакетів, підтримуючи ідеальну пряму секретність.

Поєднання математичної досконалості Curve25519, стабільності драбини Монтгомері та дисципліни керування пам'яттю забезпечує незламний фундамент для захищеного зв'язку.

Завантажити VPNRice