Alternative zu IPsec und OpenVPN? Frischer Wind in der VPN-Branche dank WireGuard

Einfach und benutzerfreundlich. Kryptographisch solide und eine minimale Angriffsfläche. Hochleistung, gut definiert und gründlich überlegt. So beschreibt der Entwickler von WireGuard die Virtual Private Network-Lösung (VPN) auf der offiziellen WireGuard Website. Doch auch hier hat die glänzende Medaille eine Rückseite.

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

m.a.x. Informationstechnologie AG

Ein virtuelles privates Netzwerk (VPN) ermöglicht von unterwegs auf private oder lokale Netzwerke zuzugreifen. Dies bietet offensichtlich viele Vorteile, privat wie auch beruflich. Voraussetzung für einen funktionierenden Zugriff ist eine VPN-Software, die sowohl mit dem Router des Netzwerks kommuniziert, wie auch auf dem Computer installiert ist, mit dem auf das Netzwerk zugegriffen werden soll.

Da eine voll funktionstüchtige und vor allem sichere VPN-Software oftmals sehr teuer werden kann, vertrauen viele kleine und mittelständische Unternehmen auf die Open Source-Lösung OpenVPN als kostengünstige Alternative. Funktionsweise und Einsatz der frei verfügbaren und lizenzfreien Software sind identisch zu herkömmlichen VPN-Lösungen. Als freie Software ist die kostenlose Nutzung nur einer von vielen Vorteilen. OpenVPN unterstützt viele verschiedene Betriebssysteme bei gleichzeitig hoher Stabilität. Außerdem gilt die Software als sehr sicher, ist einfach zu installieren und funktioniert ebenso mit dynamisch vergebenen IP-Adressen oder hinter NAT-Routern.

Eine nicht weniger bekannte VPN-Lösung ist IPsec. Die Internet Protocol Security (IPsec) ist eine Erweiterung des Internet-Protokolls (IP), die die gesicherte Kommunikation über IP-Netze ermöglicht. IPsec ist vielseitig einsetzbar. Für IPv4 und IPv6, realisiert werden können gesicherte LAN-to-LAN-VPNs, Host-to-Gateway-VPNs und Host-to-Host-VPNs. Weitere wesentliche Vorteile der Software sind die Integrität der Daten, der kryptographische Schutz und die Authentizität. Dazu kommt die Fähigkeit des Programms mit anderen Produkten und Systemen ohne Einschränkungen zu interagieren.

Natürlich haben auch diese VPN-Lösungen eindeutige Schwachstellen. Dennoch sind OpenVPN und IPsec die meist verbreiteten und etabliertesten Programme. Kann WireGuard mit den Giganten mithalten oder diese gar überholen?

Die Vorteile

Auf den ersten Blick scheint der Newcomer WireGuard wie ein Technik-Wunder: einfacher als IPsec, performanter als OpenVPN. WireGuard verwendet nach eigenen Angaben modernste Kryptographie. Mittlerweile ist die Software weit verbreitet, unter anderem weil plattformübergreifend für Windows, MacOS, BSD, iOS und Android.

WireGuard wurde unter der Maxime der Benutzerfreundlichkeit entwickelt. Und deshalb besonders einfach zu konfigurieren. Auf der Website gibt es ausführliche Informationen und Anleitungen zur Installation. Die VPN-Verbindung wird durch öffentliche Schlüssel hergestellt. Deswegen kann auf eine Zertifikat-Infrastruktur verzichtet werden. Den Rest erledigt WireGuard: selbstständig und transparent. Sogar der Wechsel zwischen IP-Adressen ist möglich. Und die Verwaltung von Verbindungen und Daemons ist ebenfalls nicht erforderlich.

Doch die auffälligste Besonderheit, die zur einzigartigen Benutzerfreundlichkeit beiträgt, ist der öffentlich zur Verfügung stehende Quellcode. Wer nun genervt die Augen verdreht dürfte überrascht werden. Denn statt einem herkömmlichen Quellcode, der mehrere hunderttausend Zeilen umfassen kann, ist der Code von WireGuard aktuell lediglich 4.000 Zeilen lang.

Dieser kurze Programmiercode trägt tragend zur hohen Sicherheit des Netzwerkes bei. Denn, weniger Code bedeutet weniger Fehlerquellen. Außerdem kann ein kurzer Quellcode schneller auf Sicherheitslücken überprüft und angepasst werden. WireGuard nutzt state-of-the-art-Kryptographie und profitiert dadurch von geschützter Kommunikation auf dem höchsten Stand der verwendeten Technologie.

Die hohe Leistungskraft entsteht durch den Einsatz von sehr schnellen kryptographischen Bausteinen, die dem Aufbau komplexer verschlüsselter Systeme dient. Außerdem läuft WireGuard als Modul im Linux-Kernel läuft, was zusätzliche Performance liefert.

Scheint, als wäre Entwickler Jason A. Donenfeld mit der neuen VPN-Lösung allen Anforderungen eines modernen Kommunikationsnetzes nachgekommen – und mehr.

Die Vorteile noch einmal im Überblick:

• Verfügbarkeit auf fast allen Plattformen

• Einfachheit und Benutzerfreundlichkeit durch hohe Selbstständigkeit

• Schnelle Überprüfbarkeit durch kurzen Quellcode

• Hohe Sicherheit durch state-of-the-art-Kryptographie

• Hochleistung durch die Kombination aus schnellen kryptographischen Primitiven und der Freigabe für den Linux-Kernel

Die Kritikpunkte

Trotz all der Mehrwerte, die WireGuard offensichtlich und scheinbar mit sich bringt, ist das Programm relativ jung und befindet sich noch in der Entwicklungsphase. Verständlich also, dass nicht alle Anwender der neuen VPN-Lösung verfallen sind und potentielle Risiken vermuten. Zwar kann WireGuard bereits eingesetzt werden, muss allerdings noch zahlreiche IT-Sicherheitsaudits durchlaufen und von Experten überprüft werden.

Auch im Bereich des Datenschutzes äußern VPN-Anbieter Bedenken. Da WireGuard über keine dynamische Adressverwaltung verfügt, sind die Client-Adressen fest vergeben. Das bedeutet, dass die IP-Adressen auf den Servern der Anbieter angezeigt werden. Deshalb steht in Frage, ob WireGuard ohne Protokolle verwendbar ist. Aus diesem Grund verzichten viele Anbieter auf den Einsatz von WireGuard, aus Angst um die Privatsphäre ihrer Kunden. Zwar wurde Donenfeld bereits vom VPN-Anbieter AzireVPN beauftragt, ein Modul zu entwickeln das die Abfrage von IP-Informationen verhindert (siehe Blogbeitrag). Allerdings ist auch dieses Modul noch nicht ausgereift.

Die Kritikpunkte auf einen Blick:

• Entwicklungsphase noch nicht abgeschlossen

• Starke Datenschutzbedenken von Seiten der Anbieter

Die Community dahinter

WireGuard ist ein Open Source-Projekt. Das bedeutet, dass der Quellcode offen ist und von jedermann angepasst und weiterentwickelt werden kann und darf. Vor allem im Zusammenspiel mit der Firewall OPNsene wurden bereits einige Erweiterungen entwickelt. So steht WireGuard zum Beispiel in der aktuellen OPNsense Version 19.7 zur Verfügung. Das kostenlose Plugin wurde von dem Münchner IT-Dienstleister m.a.x. it entwickelt. Eine Installationsanleitung und die Downloadlinks gibt es im OPNsense Forum.

Fazit

Benutzerfreundlich aber noch nicht durch Experten geprüft. Hohe Sicherheit aber auch hohe Datenschutzbedenken der Kritiker. Zwar bietet WireGuard viele Mehrwerte, dennoch scheinen die Vor- und Nachteile sehr widersprüchlich zu sein. Michael Münz, Senior Network Engineer bei m.a.x. it in München, versucht mehr Klarheit zu schaffen: „WireGuard ist ein interessantes neues VPN-Protokoll, das frischen Wind in die VPN-Branche bringt. Trotzdem überwiegen momentan die negativen Aspekte von WireGuard. Die fehlenden Sicherheitsüberprüfungen und möglichen Datenschutzrisiken schrecken Anwender natürlich ab. Dennoch stehen wir WireGuard grundsätzlich positiv gegenüber. Schließlich bringt der wachsende Markt für VPN-Anbieter mit WireGuard viel Potential mit sich. Wir werden die Entwicklung auf jeden Fall weiterhin beobachten.“

Über den Autor: Clemens Dietl ist seit über 25 Jahren in der Geschäftsführung der m.a.x. Informationstechnologie AG und leitet den Bereich Services. In über 30 Jahren im IT-Umfeld hat sich Herr Dietl umfassendes Beratungs-Know-how für Cloud- und Virtualisierungslösungen, Software Defined Storage, ERP- und Security-Software angeeignet. Neben der IT-Beratung ist Herr Dietl auch für das Business Development mit neuen Technologien und strategischen Partnerschaften verantwortlichen.

(ID:46197818)