Cómo funciona
Hamachi es un sistema VPN de administración centralizada que consiste en un cluster servidor administrado por el vendedor del sistema y el software cliente, el cual es instalado en los ordenadores de los usuarios.
El software cliente agrega una interfaz de red virtual al ordenador que es utilizada tanto para interceptar el tráfico VPN saliente como para inyectar el tráfico VPN entrante. El tráfico saliente enviado por el sistema operativo a esta interfaz es entregado al software cliente, que lo cifra y lo autentifica y luego lo envía al nodo VPN de destino a través de una conexión UDP iniciada a tal efecto. Hamachi se encarga del tunelamiento del tráfico IP, incluido el broadcast (difusión) y el multicast (multidifusión). La versión Windows reconoce y tunela, además, el tráfico IPX.
Cuando un miembro de una red se conecta o se desconecta, el servidor da instrucciones a los otros nodos de la red para que inicien o detengan túneles con dicho miembro. Cuando se establecen túneles entre los nodos, Hamachi utiliza una técnica de NAT transversal asistido por servidor, similar al "UDP hole punching" ("perforadora de agujeros UDP"). Hasta la fecha, no se ha publicado información detallada de cómo funciona realmente. El vendedor afirma que "...atraviesa con éxito las conexiones P2P en el 95% de los casos, aproximadamente..." Este proceso no funciona en ciertas combinaciones de dispositivos NAT, que requieren que el usuario abra un puerto para la conexión. Además de esto, la versión 1.0 del software cliente es capaz de retransmitir el tráfico a través de los 'servidores de retransmisión' que mantiene el vendedor.
En el caso de que se pierda la conexión con el servidor de manera inesperada, el cliente mantiene todos sus túneles e inicia una comprobación de sus estados. Cuando el servidor pierde una conexión de cliente de manera inesperada, se informa a los nodos clientes sobre el hecho y se espera a que inicien sus comprobaciones. Todo esto hace inmune a los túneles Hamachi frente a problemas de red transitorios en el camino entre el cliente y el servidor, y de igual modo quedan operativos en los breves intervalos de indisponibilidad completa del servidor.
A cada cliente Hamachi se le asigna una dirección IP de la red 5.0.0.0/8. Esta dirección es asignada cuando el cliente se auntentifica en el sistema la primera vez, y es en adelante asociada con la clave de cifrado pública del cliente. Mientras el cliente retenga esta clave, puede autentificarse en el sistema y utilizar esa dirección IP 5.X.X.X.
La red 5.0.0.0/8 es utilizada para evitar colisiones con redes IP privadas que podrían estar utilizándose en la parte cliente. Específicamente, las redes privadas 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16. El bloque de direcciones 5.0.0.0/8 está reservado por la IANA y no está actualmente en uso en el dominio de encaminamiento de Internet, pero no está garantizado que esto continúe así en el futuro. Se espera que el fondo común de la IANA se agotará en abril de 2010. Si este rango es asignado, los usuarios de Hamachi no podrán conectarse a ninguna dirección IP de Internet dentro de ese rango mientras estén utilizando el cliente Hamachi.
Además, utilizar un prefijo de red /8 crea un único dominio de difusión (broadcast) entre todos los clientes. Esto hace posible la utilización de protocolos LAN que dependen de la difusión IP para descubrir y anunciar servicios sobre las redes Hamachi.
Hamachi es habitualmente utilizada para jugar en red y para la administración remota.
Seguridad
Como cualquier aplicación de código cerrado o aquellas que no han sido revisadas a fondo, deben aplicarse varias consideraciones de seguridad:
- La ausencia de código fuente que pueda ser revisado
- Su estado beta (si lo hubiere) y el posible impacto de "bugs" de seguridad remanentes
Además, debido al uso de Hamachi como aplicación VPN, deben aplicarse las siguientes consideraciones:
- El riesgo adicional de revelación de datos sensibles que estén almacenados o puedan ser registrados por la mediación del servidor (riesgo que es mínimo cuando los datos no son reenviados)
- Los riesgos de seguridad debidos a servicios vulnerables de las máquinas remotas, no accesibles de otro modo detrás de un NAT, lo cual suele ser habitual en toda VPN
Hamachi utiliza algoritmos sólidos y estandarizados para asegurar y autentificar los datos y su arquitectura de seguridad es abierta. La implementación Hamachi es, sin embargo, de código cerrado y no está disponible para la revisión del público en general.
Para que el producto funcione es necesaria la "mediación del servidor", el cual es operado por el vendedor. El servidor almacena el nombre de usuario, contraseña de mantenimiento, dirección IP estática 5.0.0.0/8 y el "token" de autenticación asociado del usuario. Para cada túnel que se establece, podría registrar la dirección IP real del usuario, tiempo de establecimiento y duración; y lo mismo para los demás usuarios interconectados.
Puesto que todos los nodos que comparten un túnel tienen acceso total de tipo LAN a otros ordenadores, pueden surgir problemas de seguridad si no se utilizan cortafuegos, como se da en cualquier situación insegura. Las características de seguridad de un router/cortafuegos NAT no sirven en este caso. Pero este riesgo no es específico de Hamachi y debe tenerse en cuenta también en cualquier otra VPN.
En el "podcast" Security Now!, Steve Gibson describió Hamachi como un "...flamante sistema de red privada virtual, listo para salir de su largo desarrollo en fase beta, ultra-seguro, ligero, de altas prestaciones, brillante, multi-plataforma, entre iguales y ¡GRATIS!..." y que había "...investigado a fondo la arquitectura de seguridad del sistema...".
Un libro (Etimología: de