Giải thích WireGuard: Giao thức này hoạt động ra sao và vì sao nó quan trọng

WireGuard là gì?

Nói ngắn gọn: WireGuard là một giao thức VPN hiện đại, mã nguồn mở, được xây dựng quanh một ý tưởng triệt để — làm ít hơn, nhưng làm thật hoàn hảo. Trong khi các giao thức cũ phình to thành những kho mã đồ sộ với hàng chục tùy chọn cấu hình, WireGuard gói gọn trong vài nghìn dòng mã, dùng một bộ nguyên hàm mật mã hiện đại cố định, và chạy ngay bên trong nhân hệ điều hành. Kết quả là một giao thức nhanh, dễ kiểm toán và khó cấu hình sai. Đây là bài phân tích mang tính giáo dục về cách nó vận hành; xin lưu ý rằng không phải dịch vụ VPN nào cũng dùng WireGuard, và với một số điều kiện mạng, những thiết kế giao thức khác là lựa chọn có chủ đích.

WireGuard khởi đầu là một dự án nghiên cứu của Jason Donenfeld và đạt cột mốc lớn vào năm 2020 khi được hợp nhất vào nhân Linux — một tín hiệu mạnh mẽ về chất lượng mã, bởi việc được đưa vào nhân đòi hỏi sự soi xét gắt gao. Ngày nay nó là nền tảng cho nhiều ứng dụng VPN thương mại và vô số hệ thống tự dựng.

Triết lý thiết kế: Nhỏ tức là an toàn

Điều quan trọng nhất ở WireGuard không phải một tính năng nào cả, mà là kích thước của nó. Giới nghiên cứu bảo mật gọi mã nguồn là "bề mặt tấn công": mỗi dòng đều là một chỗ mà lỗi — và do đó là lỗ hổng — có thể ẩn nấp. Các giao thức VPN cũ tích tụ hàng chục năm tùy chọn, thương lượng thuật toán mã hóa và các lớp tương thích, khiến chúng mạnh mẽ nhưng thực sự khó kiểm toán từ đầu đến cuối.

Những tác giả của WireGuard đi theo hướng ngược lại. Giao thức này:

• Chỉ triển khai một bộ mật mã duy nhất, không phải một thực đơn. Không có giai đoạn thương lượng thuật toán, bởi trong lịch sử, logic thương lượng luôn là mảnh đất màu mỡ cho các cuộc tấn công hạ cấp bảo mật.
• Gói gọn trong lượng mã đủ nhỏ để một chuyên gia đọc hết. Kiểm toán độc lập trở nên khả thi chứ không còn là mong ước.
• Bỏ đi những gì không cần đến. Không quản lý người dùng tích hợp, không hạ tầng chứng chỉ, không hệ thống plugin. Những việc đó được đẩy lên tầng ứng dụng.

Chính sự tối giản này khiến WireGuard giành được niềm tin nhanh bất thường so với một giao thức bảo mật.

Phần mật mã bên trong

WireGuard dùng một bộ nguyên hàm hiện đại cố định, đã chọn một lần và gắn chặt:

• ChaCha20-Poly1305 để mã hóa và xác thực lưu lượng — một thuật toán chạy nhanh ngay cả trên điện thoại không có phần cứng mã hóa chuyên dụng.
• Curve25519 cho việc trao đổi khóa, hàm đường cong elliptic được dùng khắp phần lớn internet hiện đại.
• BLAKE2s để băm và HKDF để dẫn xuất khóa phiên.
• Noise Protocol Framework cho bước bắt tay, mang lại tính bí mật chuyển tiếp: khóa phiên được xoay vòng đều đặn, nên dù một khóa có rò rỉ thì lưu lượng trong quá khứ vẫn được niêm phong.

Danh tính trong WireGuard đơn giản một cách dễ chịu: mỗi peer có một cặp khóa công khai/riêng tư, khá giống SSH. Bạn chia sẻ khóa công khai của mình cho máy chủ, máy chủ chia sẻ khóa công khai của nó cho bạn, và bước bắt tay lo phần còn lại — không tên đăng nhập, không mật khẩu, không chuỗi chứng chỉ bên trong bản thân giao thức.

Vì sao nó nhanh

Ba lựa chọn thiết kế lý giải danh tiếng về tốc độ của WireGuard. Thứ nhất, nó chạy bên trong nhân trên các nền tảng được hỗ trợ, nên các gói tin không phải nhảy qua lại giữa không gian nhân và một chương trình ở không gian người dùng như với vài giao thức cũ. Thứ hai, ChaCha20 cực kỳ hiệu quả trên CPU thông thường, điều quan trọng nhất với thiết bị di động. Thứ ba, bước bắt tay rất nhỏ — kết nối được thiết lập trong khoảng một vòng truyền, và việc nối lại sau khi điện thoại chuyển từ Wi-Fi sang dữ liệu di động gần như tức thì. Đặc tính cuối cùng ấy, chuyển vùng liền mạch, là một trong những thứ người dùng cảm nhận rõ nhất hằng ngày.

Những gì WireGuard không giải quyết

Một lời giải thích trung thực phải bao gồm cả giới hạn, bởi chúng có thật và định hình cách các dịch vụ triển khai giao thức:

• Nó không cố che giấu rằng nó là VPN. Gói tin WireGuard được mã hóa, nhưng khuôn dạng của chúng vẫn nhận diện được với kỹ thuật kiểm tra gói sâu. Trên những mạng bị lọc gắt gao và chủ động chặn lưu lượng VPN, kết nối WireGuard thuần túy có thể đơn giản là bị chặn đứng. Các giao thức thiết kế để kháng kiểm duyệt đi theo hướng khác — ngụy trang lưu lượng thành hoạt động lướt web thông thường — và đó là một mục tiêu kỹ thuật hoàn toàn khác.
• Nó chỉ chạy trên UDP. Một số mạng hạn chế sẽ bóp băng thông hoặc chặn lưu lượng UDP lạ, còn WireGuard không có cơ chế dự phòng TCP tích hợp.
• Phần hạ tầng bảo mật riêng tư được để cho nhà cung cấp. Theo mặc định, máy chủ WireGuard giữ một bảng khóa công khai của các peer cùng địa chỉ IP gần nhất của họ. Các VPN thương mại xây hệ thống riêng bên trên để tránh lưu lại dữ liệu đó — bản thân giao thức không xử lý việc này.
• Không có quản lý người dùng động. Việc cấp, xoay vòng và thu hồi khóa ở quy mô một dịch vụ VPN tiêu dùng đòi hỏi hạ tầng mà giao thức cố ý không bao gồm.

Không điều nào trong số đó là khiếm khuyết so với mục tiêu WireGuard đặt ra; chúng là ranh giới của bài toán mà nó chọn giải.

WireGuard nằm ở đâu trong bức tranh giao thức rộng hơn

Thế giới giao thức không phải một cuộc đua duy nhất với một người thắng — nó là một bộ công cụ khớp với từng điều kiện mạng. WireGuard vượt trội trên các mạng mở, nơi tốc độ và sự đơn giản là quan trọng nhất. IKEv2 vẫn là lựa chọn mạnh trên di động, với khả năng tích hợp hệ điều hành đã chín muồi. Chế độ TCP của OpenVPN vượt qua những tường lửa khắt khe mà thiết kế chỉ dùng UDP không thể xuyên qua. Và trên các mạng chủ động phát hiện rồi chặn lưu lượng VPN, những giao thức proxy mã hóa như Shadowsocks, V2Ray/Reality và Hysteria2 được xây dựng riêng để trông giống lưu lượng internet thông thường — công việc mà WireGuard chưa từng nhận.

Đó là lý do các dịch vụ VPN khác nhau đưa ra lựa chọn khác nhau. GLOBEX dùng IKEv2 và các giao thức proxy mã hóa hiện đại (Reality, Hysteria2) thay vì WireGuard, bởi GLOBEX được thiết kế trước hết cho những mạng bị hạn chế, nơi khả năng kháng kiểm duyệt — lưu lượng hòa lẫn vào đám đông chứ không chỉ được mã hóa — mới là yếu tố quyết định. Nếu bạn muốn so sánh các họ giao thức cạnh nhau, bài hướng dẫn của chúng tôi về giao thức VPN phân tích chi tiết những đánh đổi ấy.

Kết luận

WireGuard là một trong những điều quan trọng nhất từng xảy đến với công nghệ VPN trong thập kỷ qua: một giao thức đủ nhỏ để kiểm toán, đủ nhanh để bạn quên rằng nó đang chạy, và an toàn nhờ cách xây dựng chứ không nhờ cấu hình. Hiểu nó cũng làm sáng tỏ một sự thật lớn hơn về giao thức VPN — mọi thiết kế đều là một tập hợp đánh đổi, và giao thức đúng đắn phụ thuộc vào mạng bạn đang dùng và vấn đề bạn cần giải quyết.