Nel repository dei codici sorgente di FreeBSD sono stati accettati cambiamenti con una nuova implementazione della VPN WireGuard, basata sul codice di un modulo del kernel, redatto congiuntamente dai principali team di sviluppatori di FreeBSD e WireGuard con la partecipazione di Jason Donenfeld, autore della VPN WireGuard, e John Baldwin, noto sviluppatore di GDB e FreeBSD, che nei primi anni 2000 implement\u00f2 il supporto SMP e NUMA nel kernel di FreeBSD. Dopo l'accettazione del driver all'interno di FreeBSD (sys\/dev\/wg), il suo sviluppo e manutenzione saranno gestiti nel repository di FreeBSD. <\/p>\n
Prima dell'accettazione del codice, supportata dall'organizzazione FreeBSD Foundation, \u00e8 stata condotta una revisione completa delle modifiche, durante la quale \u00e8 stato analizzato anche l'interazione del driver con gli altri sottosistemi del kernel e valutata la possibilit\u00e0 di utilizzare i primitivi crittografici forniti dal kernel. <\/p>\n
Per l'uso degli algoritmi crittografici necessari al driver, \u00e8 stata effettuata un'estensione dell'API della sottosistema crittografico del kernel di FreeBSD, nella quale \u00e8 stata aggiunta una wrapper che consente di utilizzare, attraverso l'API crittografica standard, algoritmi non supportati in FreeBSD, utilizzando l'implementazione di algoritmi necessari dalla libreria libsodium. Tra gli algoritmi incorporati nel driver \u00e8 rimasto solo il codice per il calcolo degli hash Blake2, poich\u00e9 l'implementazione di questo algoritmo fornita in FreeBSD \u00e8 legata a una dimensione fissa dell'hash. <\/p>\n
Inoltre, durante la revisione \u00e8 stata effettuata un'ottimizzazione del codice che ha consentito di aumentare l'efficienza della distribuzione del carico su CPU multi-core (\u00e8 stata garantita un'equa bilanciamento nell'assegnazione delle attivit\u00e0 di crittografia e decrittografia dei pacchetti ai core della CPU). Di conseguenza, le spese generali durante l'elaborazione dei pacchetti sono state avvicinate a quelle dell'implementazione del driver per Linux. Il codice prevede anche la possibilit\u00e0 di utilizzare il driver ossl per accelerare le operazioni di crittografia. <\/p>\n
A differenza del precedente tentativo di integrazione di WireGuard in FreeBSD, nella nuova implementazione \u00e8 stata utilizzata l'utilit\u00e0 standard wg e non la versione modificata di ifconfig, il che ha permesso di uniformare la configurazione tra Linux e FreeBSD. L'utilit\u00e0 wg, cos\u00ec come il driver, \u00e8 stata inclusa nei codici sorgente di FreeBSD, il che \u00e8 diventato possibile grazie alla modifica della licenza del codice wg (il codice \u00e8 ora disponibile sotto le licenze MIT e GPL). Il precedente tentativo di inclusione di WireGuard in FreeBSD \u00e8 stato effettuato nel 2020, ma si \u00e8 concluso in uno scandalo, a seguito del quale il codice gi\u00e0 aggiunto \u00e8 stato rimosso a causa di bassa qualit\u00e0, gestione negligente dei buffer, uso di stub invece di controlli, implementazione incompleta del protocollo e violazione della licenza GPL. <\/p>\n
Ricordiamo che VPN<\/a> WireGuard \u00e8 implementato utilizzando metodi di crittografia moderni, offre prestazioni molto elevate, \u00e8 facile da usare, privo di complessit\u00e0 e si \u00e8 dimostrato efficace in numerose implementazioni su larga scala che gestiscono grandi volumi di traffico. Il progetto \u00e8 in sviluppo dal 2015, ha subito audit e verifica formale dei metodi di crittografia impiegati. In WireGuard si applica il concetto di instradamento basato sulle chiavi di crittografia, il quale implica l'associazione di una chiave privata a ciascuna interfaccia di rete e l'uso di chiavi pubbliche per il collegamento. <\/p>\n Lo scambio di chiavi pubbliche per stabilire una connessione avviene per analogia con SSH. Per il protocollo di scambio delle chiavi e la connessione senza l'avvio di un demone separato nello spazio utente, viene utilizzato il meccanismo Noise_IK del Noise Protocol Framework, simile alla gestione di authorized_keys in SSH. La trasmissione dei dati avviene tramite incapsulamento in pacchetti UDP. \u00c8 supportato il cambio Indirizzi IP<\/a> Server VPN (roaming) senza interruzioni della connessione con riconfigurazione automatica del client. <\/p>\n