Джейсон Доненфилд (Jason A. Donenfeld), автор VPN WireGuard, представил проект WireGuardNT, развивающий высокопроизводительный порт VPN WireGuard для ядра Windows, совместимый с Windows 7, 8, 8.1 и 10, и поддерживающий архитектуры AMD64, x86, ARM64 и ARM. Код реализации распространяется под лицензией GPLv2. Новый драйвер уже включён в состав клиента WireGuard для Windows, но пока помечен экспериментальным и не активирован по умолчанию.
Порт основан на проверенной кодовой базе основной реализации WireGuard для ядра Linux, которая была переведена на использование сущностей ядра Windows и сетевого стека NDIS. По сравнению с ранее доступной для Windows реализацией wireguard-go, работающей в пространстве пользователя и использующей сетевой интерфейс Wintun, WireGuardNT отличается существенным повышением производительности за счёт исключения операций переключения контекста и копирования содержимого пакетов из ядра в пространство пользователя. По аналогии с реализациями для Linux, OpenBSD и FreeBSD в WireGuardNT вся логика обработки протокола работает непосредственно на уровне сетевого стека.
Несмотря на то, что специфичные оптимизации ещё не проводились, WireGuardNT уже позволил добиться пиковой производительности передачи данных на уровне 7.5Gbps в имеющемся тестовом окружении с Ethernet. На реальных пользовательских системах с Wi-Fi производительность заметно ниже, но мало чем отличается от прямой передачи данных. Например, в системе с беспроводной картой Intel AC9560 пропускная способность без WireGuard составила 600Mbps и с WireGuardNT тоже осталась на уровне 600Mbps, в то время как при использовании wireguard-go/Wintun составляла 95Mbps.
Ricordiamo che VPN WireGuard реализован на основе современных методов шифрования, обеспечивает очень высокую производительность, прост в использовании, лишён усложнений и хорошо зарекомендовал себя в ряде крупных внедрений, обрабатывающих большие объёмы трафика. Проект развивается с 2015 года, прошёл аудит и формальную верификацию применяемых методов шифрования. В WireGuard применяется концепция маршрутизации по ключам шифрования, которая подразумевает привязку к каждому сетевому интерфейсу закрытого ключа и применение для связывания открытых ключей.
Lo scambio di chiavi pubbliche per stabilire una connessione avviene per analogia con SSH. Per il protocollo di scambio delle chiavi e la connessione senza l'avvio di un demone separato nello spazio utente, viene utilizzato il meccanismo Noise_IK del Noise Protocol Framework, simile alla gestione di authorized_keys in SSH. La trasmissione dei dati avviene tramite incapsulamento in pacchetti UDP. È supportato il cambio Indirizzi IP VPN-сервера (роуминг) без разрыва соединения с автоматической перенастройкой клиента.
Per la crittografia, viene utilizzato il cifrario a flusso ChaCha20 e l'algoritmo di autenticazione dei messaggi (MAC) Poly1305, sviluppati da Daniel Bernstein, Tanja Lange e Peter Schwabe. ChaCha20 e Poly1305 sono posizionati come alternative più veloci e sicure a AES-256-CTR e HMAC, la cui implementazione software consente di raggiungere un tempo di esecuzione fisso senza richiedere supporto hardware speciale. Per generare la chiave segreta condivisa, viene utilizzato il protocollo Diffie-Hellman su curve ellittiche nell'implementazione Curve25519, anch'essa proposta da Daniel Bernstein. Per l'hashing viene utilizzato l'algoritmo BLAKE2s (RFC7693).
Fonte: opennet.ru
