uscita simbolica di VPN , che ha segnato la fornitura dei componenti WireGuard nel kernel principale e la stabilizzazione dello sviluppo. Il codice incluso nel kernel Linux un ulteriore audit di sicurezza, effettuato da una società indipendente specializzata in tali controlli. L'audit non ha evidenziato problemi.
Poiché WireGuard ora si sviluppa nel kernel principale di Linux, è stato preparato un repository . Il repository include il codice WireGuard retroportato e uno strato compat.h per garantire compatibilità con i kernel più vecchi. Si osserva che finché ci sarà la possibilità per gli sviluppatori e la necessità per gli utenti, una variante separata delle patch sarà mantenuta in funzione. Nella sua attuale configurazione, la variante separata di WireGuard può essere utilizzata con i kernel di e , ed è disponibile anche come patch per i kernel di Linux e . Le distribuzioni che utilizzano i kernel più recenti, come Arch, Gentoo e
Fedora 32, avranno la possibilità di utilizzare WireGuard insieme all'aggiornamento del kernel 5.6.
Il processo principale di sviluppo ora avviene nel repository , che include l'intero albero del kernel Linux con le modifiche del progetto WireGuard. Le patch di questo repository saranno esaminate per l'inclusione nel kernel principale e trasferite regolarmente nei rami net/net-next. Lo sviluppo degli strumenti e degli script eseguibili nello spazio utente, come wg e wg-quick, avviene nel repository , che può essere utilizzato per creare pacchetti nelle distribuzioni.
Ricordiamo che la VPN WireGuard è implementata sulla base di moderni metodi di crittografia, garantisce prestazioni molto elevate, è semplice da usare, priva di complicazioni ed ha dimostrato la sua efficacia in diverse importanti implementazioni che gestiscono grandi volumi di traffico. Il progetto è in sviluppo dal 2015, ha subito un audit e dei metodi di crittografia applicati. Il supporto per WireGuard è già integrato in NetworkManager e systemd, e le patch per il kernel sono incluse nella base delle distribuzioni , Mageia, Alpine, Arch, Gentoo, OpenWrt, NixOS, e .
In WireGuard viene applicato il concetto di instradamento basato su chiavi di crittografia, che implica l'associazione di una chiave privata a ogni interfaccia di rete e l'uso di chiavi pubbliche per stabilire legami. Lo scambio delle chiavi pubbliche per stabilire una connessione avviene analogamente a SSH. Per la negoziazione delle chiavi e la connessione senza avviare un demone separato nello spazio utente, viene utilizzato il meccanismo Noise_IK di , simile alla gestione di authorized_keys in SSH. La trasmissione dei dati avviene attraverso l'incapsulazione in pacchetti UDP. È supportato il cambiamento dell'indirizzo IP del server VPN (roaming) senza interrompere la connessione con una ri-configurazione automatica del client.
Per la crittografia un cifrario a flusso e un algoritmo di autenticazione dei messaggi (MAC) , sviluppati da Daniel Bernstein (), Tanja Lange
(Tanja Lange) e Peter Schwabe (Peter Schwabe). ChaCha20 e Poly1305 sono presentati come alternative più veloci e sicure rispetto ad AES-256-CTR e HMAC, la cui implementazione software consente di ottenere un tempo di esecuzione costante senza utilizzare supporto hardware specifico. Per la generazione della chiave segreta condivisa viene utilizzato il protocollo di Diffie-Hellman su curve ellittiche nella sua implementazione , proposta anche da Daniel Bernstein. Per l'hashing viene utilizzato l'algoritmo .
Con la vecchia WireGuard ha dimostrato prestazioni superiori con una larghezza di banda 3,9 volte maggiore e una reattività 3,8 volte superiore rispetto a OpenVPN (AES a 256 bit con HMAC-SHA2-256). Rispetto a IPsec (ChaCha20+Poly1305 a 256 bit e AES-256-GCM-128), WireGuard mostra un leggero vantaggio prestazionale (13-18%) e una riduzione della latenza (21-23%). I risultati dei test pubblicati sul sito del progetto si riferiscono a un'implementazione obsoleta di WireGuard e sono stati segnalati come non sufficientemente accurati. Dalla conduzione dei test, il codice di WireGuard e IPsec è stato ulteriormente ottimizzato e ora funziona più velocemente. Test più completi, che coprono l'implementazione integrata nel kernel, non sono ancora stati condotti. Tuttavia, è stato notato che WireGuard in alcune situazioni supera ancora IPsec grazie alla multitasking, mentre OpenVPN rimane molto lento.
Fonte: opennet.ru
