Présentation
Bifrost est un VPN auto-hébergé pour Windows 11 et Linux, développé en Rust. Son MVP public comprend un service système et un client en ligne de commande, centrés sur le cycle de vie du tunnel et la prévention des sorties de trafic hors de celui-ci.
Rôle et périmètre
Je conçois et développe Bifrost : orchestration du tunnel, filtrage réseau, gestion DNS, intégration système et outils de test.
Problème et contraintes
Un tunnel peut s’interrompre, se reconnecter ou rencontrer une panne DNS. Le système doit coordonner ces transitions avec le filtrage du trafic, plutôt que de considérer une connexion réussie comme une protection suffisante.
Architecture
L’espace de travail Rust sépare la machine à états, le daemon privilégié, la CLI, les communications IPC authentifiées, le pare-feu, le DNS et le stockage des secrets. WireGuard s’intègre au noyau Linux et à WireGuardNT sous Windows ; le filtrage repose respectivement sur nftables et Windows Filtering Platform.
Choix et compromis
La machine à états produit des actions sans effectuer d’appels système. Les politiques de pare-feu sont représentées sous forme de données, ce qui permet de les tester séparément de leur exécution privilégiée. Le kill switch est conçu pour rester armé lors des échecs de connexion et des reconnexions.
Tests et vérification
Le dépôt public comprend des bancs anti-fuite et des contrôles automatisés Linux et Windows. L’exécution CI liée ci-dessous a réussi ses contrôles Linux et Windows, sa suite anti-fuite, son audit des dépendances et la génération de l’inventaire des composants logiciels. Les tests qui ne peuvent pas tourner dans un environnement donné sont suivis séparément.
Ressources et liens
Périmètre et état actuel
Le projet reste en développement. La version publique fournit un daemon et une CLI ; l’interface graphique n’est pas encore publiée et aucune release GitHub n’est disponible. Les transports anti-censure et la réduction de la télémétrie de l’OS sont en cours : le filtrage DNS est implémenté, tandis que certaines couches Windows restent à terminer. Ce MVP ne constitue pas une garantie universelle d’absence de fuite ou d’anonymat.