Une implémentation de VPN WireGuard pour le noyau Windows a été présentée

Jason Donenfeld, auteur de VPN WireGuard, a présenté le projet WireGuardNT, qui développe un port performant du VPN WireGuard pour le noyau Windows, compatible avec Windows 7, 8, 8.1 et 10, et prenant en charge les architectures AMD64, x86, ARM64 et ARM. Le code de mise en œuvre est distribué sous la licence GPLv2. Le nouveau pilote est déjà inclus dans le client WireGuard pour Windows, mais est pour l'instant marqué comme expérimental et n'est pas activé par défaut.

Le port est basé sur une base de code éprouvée de l'implémentation principale de WireGuard pour le noyau Linux, qui a été adaptée pour utiliser les entités du noyau Windows et la pile réseau NDIS. Comparé à l'implémentation précédemment disponible pour Windows, wireguard-go, qui fonctionne en espace utilisateur et utilise l'interface réseau Wintun, WireGuardNT offre une amélioration significative des performances en supprimant les opérations de changement de contexte et de copie de contenu des paquets du noyau vers l'espace utilisateur. Comme dans les implémentations pour Linux, OpenBSD et FreeBSD, dans WireGuardNT, toute la logique de traitement du protocole fonctionne directement au niveau de la pile réseau.

Bien que des optimisations spécifiques n'aient pas encore été effectuées, WireGuardNT a déjà permis d'atteindre une performance de transfert de données de pointe de 7.5 Gbps dans l'environnement de test existant avec Ethernet. Sur les systèmes utilisateurs réels avec Wi-Fi, les performances sont nettement inférieures, mais peu différentes de la transmission directe de données. Par exemple, sur un système avec une carte sans fil Intel AC9560, la bande passante sans WireGuard était de 600 Mbps et est restée à 600 Mbps avec WireGuardNT, tandis qu'avec wireguard-go/Wintun, elle était de 95 Mbps.

Rappelons que VPN WireGuard est basé sur des méthodes de chiffrement modernes, offre des performances très élevées, est facile à utiliser, dépouillé de complications et a fait ses preuves dans un certain nombre de déploiements importants traitant de gros volumes de trafic. Le projet évolue depuis 2015, a été audité et a subi une vérification formelle des méthodes de chiffrement utilisées. WireGuard applique le concept de routage par clés de chiffrement, impliquant l'attribution d'une clé privée à chaque interface réseau et l'utilisation de clés publiques pour les liaisons.

L'échange de clés publiques pour établir une connexion se fait par analogie avec SSH. Pour la négociation des clés et la connexion sans lancer un démon distinct dans l'espace utilisateur, le mécanisme Noise_IK du Noise Protocol Framework est utilisé, similaire au maintien des authorized_keys dans SSH. Le transfert de données est effectué via encapsulation dans des paquets UDP. Le changement est pris en charge. adresses IP Serveurs VPN (itinérance) sans rupture de connexion avec réajustement automatique du client.

Le chiffrement utilise le chiffrement par flux ChaCha20 et l'algorithme de vérification de message (MAC) Poly1305, développés par Daniel Bernstein, Tanja Lange et Peter Schwabe. ChaCha20 et Poly1305 sont présentés comme des alternatives plus rapides et plus sûres à AES-256-CTR et HMAC, dont l'implémentation logicielle permet d'atteindre un temps d'exécution fixe sans nécessiter de support matériel spécial. Le protocole de Diffie-Hellman sur des courbes elliptiques en implémentation Curve25519, également proposé par Daniel Bernstein, est utilisé pour générer une clé secrète partagée. Pour le hachage, l'algorithme BLAKE2s (RFC7693) est utilisé.

Source : opennet.ru