راهنمای ساده‌ی وایرگارد

اگر در چند سال اخیر از یک VPN استفاده کرده‌اید، احتمال زیادی وجود دارد که وایرگارد کار واقعی را انجام می‌داده، حتی اگر اپ هرگز نامش را نبرده باشد. در یک بازه‌ی زمانی به‌طرز چشمگیری کوتاه، به پروتکل اتصال پیش‌فرض برای سهم عظیمی از صنعت VPN تبدیل شده، و فهمیدن این‌که چرا، راه خوبی است برای فهمیدن این‌که واقعاً در یک لایه‌ی اتصال چه چیزی اهمیت دارد — که دقیقاً همان چیزی است که لایه‌ی Freedom در رئال‌گرام رویش ساخته شده.

وایرگارد واقعاً چیست

وایرگارد یک پروتکل متن‌باز VPN است — مجموعه‌ای از قوانین برای این‌که چطور دو دستگاه یک تونل رمزنگاری‌شده برقرار می‌کنند و ترافیک را از آن رد و بدل می‌کنند. از صفر ساخته شد، در ۲۰۱۶ عمومی منتشر شد، و در نهایت در سال ۲۰۲۰ مستقیم به خود هسته‌ی لینوکس ادغام شد — افتخاری نادر که نشان می‌دهد چقدر کامل توسط افرادی که نرم‌افزاری که اینترنت واقعاً رویش اجرا می‌شود را نگه‌داری می‌کنند، بررسی و اعتماد شده است.

واقعاً چطور یک اتصال برقرار می‌کند

بدون این‌که این را به یک درس رمزنگاری تبدیل کنیم، ایده‌ی اصلی ارزش فهمیدن دارد چون بخش زیادی از دیگر مزایای وایرگارد را توضیح می‌دهد. هر دستگاهی که از وایرگارد استفاده می‌کند یک کلید عمومی و یک کلید خصوصی دارد، شبیه به روحیه‌ی کارکرد SSH یا بسیاری از سیستم‌های احراز هویت مدرن — اصلاً یک رمز عبور از طریق شبکه ارسال نمی‌کنید، ثابت می‌کنید کلید خصوصی متناظر را دارید. دو دستگاهی که هردو کلید عمومی همدیگر را می‌دانند، می‌توانند از طریق یک دست‌دهی سبک یک نشست امن برقرار کنند، و از آن نقطه به بعد، هر بسته با کلیدهای گرفته‌شده از آن دست‌دهی رمزنگاری و احراز هویت می‌شود، به‌طور دوره‌ای تازه‌سازی می‌شود تا حتی یک کلید کاملاً به‌خطرافتاده از یک نشست نتواند برای رمزگشایی نشست‌های گذشته یا آینده استفاده شود. این ویژگی — امن‌ماندن نشست‌های قدیمی حتی اگر یک کلید بعدی لو برود — «رازداری پیشرو» نام دارد، و یک انتظار پایه برای هر پروتکل جدی مدرنی است، وایرگارد هم شامل می‌شود.

یک جزئیات که بی‌سروصدا کار زیادی انجام می‌دهد: وایرگارد «کدام کلید عمومی اجازه دارد ترافیکی بفرستد که ادعا می‌کند از کدام آی‌پی داخلی است» را هسته‌ی کنترل دسترسی خودش می‌داند، مفهومی که سازنده‌اش «مسیریابی کلید-رمزی» نامیدش. به‌جای یک مرحله‌ی احراز هویت جدا چسبانده‌شده به یک مرحله‌ی تونل‌سازی جدا، این دو همان مکانیزم واحد هستند — که بخش بزرگی از دلیل این‌که پیاده‌سازی این پروتکل خیلی کوچک‌تر از نسل قبلی‌اش است، همین است.

چرا تقریباً همه‌چیز قبل از خودش را جایگزین کرد

نسل قدیمی‌تر پروتکل‌های VPN — OpenVPN، IPsec، و دیگران — در طول سال‌های زیاد، توسط مشارکت‌کنندگان زیاد ساخته شدند، ویژگی‌ها و گزینه‌های پیکربندی را در طول مسیر انباشتند. آن انعطاف‌پذیری هزینه‌ی واقعی داشت: کد بیشتر یعنی سطح بیشتری برای باگ، و نرم‌افزار رمزنگاری دقیقاً همان جایی است که کد بیشتر یک ویژگی نیست. وایرگارد رویکرد برعکس را گرفت — مجموعه‌ای عمداً کوچک و ثابت از انتخاب‌های رمزنگاری مدرن، بدون مذاکره و بدون گزینه‌های قدیمی برای پیکربندی‌اشتباه. کل کدبیس آن کسری کوچک از اندازه‌ی پروتکل‌هایی است که جایگزینشان کرده، که شبیه یک جزئیات پیاده‌سازی جزئی به‌نظر می‌رسد تا وقتی در نظر بگیرید که کد کوچک‌تر و ساده‌تر خیلی راحت‌تر است خط‌به‌خط بررسی شود — و شده، بارها، توسط پژوهشگران مستقل امنیت.

یک تأیید معروف و صریح

وایرگارد از همان اول اعتبار غیرمعمولی از یک نظر پرنقل‌قول واحد گرفت: لینوس توروالدز، سازنده‌ی لینوکس، که به تعریف‌کردن از کد شبکه‌ی جدید معروف نیست، هنگام بررسی برای ورود به هسته آن را «یک اثر هنری» نامید، آن را به‌طور مطلوب در برابر پروتکل‌های قدیمی‌تری که رقابت می‌کرد، هم از نظر امنیتی و هم کیفیت کد، مقایسه کرد. آن نوع تعریف، از کسی که کل شغلش پیداکردن دلایلی برای رد کد است، بخش بزرگی از این است که چرا اعتبار وایرگارد این‌قدر سریع در صنعتی که معمولاً کند به نرم‌افزار رمزنگاری جدید اعتماد می‌کند، جا افتاد.

این سادگی در عمل چه چیزی به شما می‌دهد

دو چیزی که کاربران واقعاً حس می‌کنند: سرعت، و قابلیت‌اطمینان در شبکه‌های متغیر. طراحی حداقلی وایرگارد یعنی سربار محاسباتی کمتر به‌ازای هر بسته، که به بازدهی و عمر باتری قابل‌توجه بهتر روی دستگاه‌های موبایل در مقایسه با پروتکل‌های قدیمی‌تری که همان کار را انجام می‌دهند تبدیل می‌شود. همچنین سوییچ‌کردن یک دستگاه بین شبکه‌ها — وای‌فای به داده‌ی موبایل، یک دکل به دکل دیگر — را روان‌تر مدیریت می‌کند، اتصال کاری را سریع‌تر از پروتکل‌هایی که در دوره‌ای ساخته شدند که «آی‌پی شما مدام در طول روز تغییر می‌کند» فرض طراحی نبود، دوباره برقرار می‌کند.

بدون مذاکره، عمدی

پروتکل‌های قدیمی‌تر VPN معمولاً یک منوی الگوریتم‌های رمزنگاری پشتیبانی می‌کنند و اجازه می‌دهند دو دستگاه در حال اتصال مذاکره کنند کدام‌یک استفاده شود — از نظر تئوری انعطاف‌پذیر، اما در عمل یک مسئولیت واقعی، چون یعنی الگوریتم‌های قدیمی و ضعیف‌تر اغلب باید مدت‌ها بعد از این‌که باید بازنشسته می‌شدند، برای سازگاری پشتیبانی بمانند، و یک حمله‌ی تنزل (فریب‌دادن دو دستگاه به توافق روی ضعیف‌ترین گزینه‌ی موجود) به یک دسته‌ی واقعی از آسیب‌پذیری برای دفاع تبدیل می‌شود. پاسخ وایرگارد این بود که صرفاً یک منو ارائه ندهد: یک مجموعه‌ی مدرن از پایه‌های رمزنگاری، بدون مذاکره، بدون بازگشت قدیمی. اگر رمزنگاری داخلی روزی نیاز به جایگزینی داشته باشد، نسخه‌بندی خود پروتکل آن را به‌عنوان یک ارتقای تمیز و عمدی مدیریت می‌کند، نه یک مذاکره‌ی هر-اتصال که یک مهاجم می‌توانست مداخله کند. کمتر بودن گزینه‌ها یک محدودیت به‌نظر می‌رسد؛ این‌جا، ویژگی امنیتی است.

وایرگارد کجا داخل رئال‌گرام جا می‌گیرد

لایه‌ی Freedom در رئال‌گرام، که به‌طور گسترده‌تر در رئال‌گرام در برابر اپ‌های سنتی VPN پوشش داده شده، بیش از یک فناوری اتصال اجرا می‌کند به‌جای این‌که همه‌چیز را روی یک پروتکل شرط‌بندی کند. تونل‌های سبک وایرگارد نیمی از آن هستند؛ Xray با پروتکل Reality — مشخصاً ساخته‌شده برای مخلوط‌شدن در شبکه‌هایی که فعالانه سعی می‌کنند ترافیک VPN را شناسایی و مسدود کنند — نیمه‌ی دیگر است. آن‌ها مسائل متفاوتی را حل می‌کنند: وایرگارد در سریع، ساده، و به‌خوبی‌بررسی‌شده‌بودن روی شبکه‌هایی که فقط یک تونل امن نیاز دارند، فوق‌العاده است؛ Reality برای شبکه‌هایی ساخته شده که فعالانه با هر ترافیکی که شبیه VPN به‌نظر برسد، خصمانه‌اند. اجرای هردو یعنی رئال‌گرام با فقط یک ابزار برای دو کار متفاوت گیر نمی‌افتد.

وایرگارد برای چه چیزی طراحی نشده

ارزش دارد این‌جا دقیق باشیم: طراحی وایرگارد عمداً سعی نمی‌کند خودش را مثل ترافیک عادی وب پنهان کند، آن‌طور که Reality این کار را می‌کند — برای سرعت و قابلیت‌بررسی روی شبکه‌هایی بهینه شده که اجازه‌ی عبور ترافیک VPN را می‌دهند، نه برای شبکه‌هایی که مشخصاً آن را اثرانگشت‌گیری و مسدود می‌کنند. این یک نقص نیست؛ یک هدف طراحی متفاوت است، و دقیقاً به همین دلیل جفت‌کردنش با چیزی مثل Reality — به‌جای تکیه‌کردن به هرکدام به‌تنهایی — شرایط واقعی شبکه‌ی بیشتری را پوشش می‌دهد تا هر پروتکل به‌تنهایی بتواند.

سوالات متداول

بیشتر در سوالات متداول.