Nel codice sorgente di FreeBSD sono state apportate modifiche con una nuova implementazione di VPN WireGuard, basata sul codice del modulo del kernel, preparato congiuntamente dai principali team di sviluppatori di FreeBSD e WireGuard con la partecipazione di Jason Donenfeld, autore di VPN WireGuard, e John Baldwin, noto sviluppatore di GDB e FreeBSD, che all'inizio degli anni 2000 ha implementato il supporto per SMP e NUMA nel kernel di FreeBSD. Dopo l'accettazione del driver nel FreeBSD (sys\/dev\/wg), il suo sviluppo e manutenzione saranno ora gestiti nel repository di FreeBSD. <\/p>\n
Prima dell'accettazione del codice, con il supporto dell'organizzazione FreeBSD Foundation, \u00e8 stata condotta una revisione completa delle modifiche, durante la quale \u00e8 stata analizzata anche l'interazione del driver con le altre sottosistemi del kernel e valutata la possibilit\u00e0 di utilizzare i primitivi crittografici forniti dal kernel. <\/p>\n
Per l'utilizzo degli algoritmi crittografici necessari al driver, \u00e8 stata espansa l'API della sottosistema crittografico del kernel di FreeBSD, a cui \u00e8 stata aggiunta una shell che consente di utilizzare attraverso l'API crittografica standard algoritmi non supportati in FreeBSD, utilizzando l'implementazione degli algoritmi necessari dalla libreria libsodium. Tra gli algoritmi incorporati nel driver, \u00e8 stato lasciato solo il codice per il calcolo degli hash Blake2, poich\u00e9 l'implementazione di questo algoritmo in FreeBSD \u00e8 legata a dimensioni fisse dell'hash. <\/p>\n
Inoltre, durante il processo di revisione \u00e8 stata condotta un'ottimizzazione del codice, che ha permesso di migliorare l'efficienza della distribuzione del carico sui CPU multicores (\u00e8 stata assicurata un'equa bilanciatura del legame tra i compiti di crittografia e decrittografia dei pacchetti e i core della CPU). Di conseguenza, le spese generali nella gestione dei pacchetti sono state avvicinate all'implementazione del driver per Linux. Nel codice \u00e8 anche stata garantita la possibilit\u00e0 di utilizzare il driver ossl per accelerare le operazioni di crittografia. <\/p>\n
A differenza del precedente tentativo di integrazione di WireGuard in FreeBSD, nella nuova implementazione \u00e8 stata utilizzata l'utilit\u00e0 standard wg, anzich\u00e9 la versione modificata di ifconfig, che ha permesso di uniformare la configurazione tra Linux e FreeBSD. L'utilit\u00e0 wg, cos\u00ec come il driver, \u00e8 inclusa nei sorgenti di FreeBSD, grazie alla modifica della licenza del codice wg (il codice \u00e8 ora disponibile sotto le licenze MIT e GPL). Il precedente tentativo di inclusione di WireGuard in FreeBSD \u00e8 stato effettuato nel 2020, ma \u00e8 stato interrotto a causa di uno scandalo, che ha visto la rimozione del codice gi\u00e0 aggiunto a causa della bassa qualit\u00e0, della gestione disattenta dei buffer, dell'uso di stub anzich\u00e9 controlli, di un'implementazione incompleta del protocollo e delle violazioni della licenza GPL. <\/p>\n
Ricordiamo che VPN<\/a> WireGuard \u00e8 implementato sulla base di metodi di crittografia moderni, garantisce prestazioni molto elevate, \u00e8 semplice da usare, privo di complicazioni e si \u00e8 dimostrato efficace in numerose grandi implementazioni che gestiscono elevati volumi di traffico. Il progetto \u00e8 in sviluppo dal 2015, ha superato audit e verifica formale dei metodi di crittografia applicati. In WireGuard viene applicato il concetto di routing basato su chiavi di crittografia, che prevede l'associazione di una chiave privata a ciascuna interfaccia di rete e l'uso di chiavi pubbliche per la connessione. <\/p>\n Lo scambio di chiavi pubbliche per stabilire una connessione avviene in modo simile a SSH. Per l'accordo delle chiavi e la connessione senza l'avvio di un demone separato nello spazio utente viene utilizzato il meccanismo Noise_IK del Noise Protocol Framework, simile al mantenimento di authorized_keys in SSH. La trasmissione dei dati avviene tramite incapsulamento in pacchetti UDP. \u00c8 supportato il cambio Indirizzi IP<\/a> Server VPN (roaming) senza interruzione della connessione con ripristino automatico del cliente. <\/p>\n