Jason A. Donenfeld, de auteur van VPN WireGuard, heeft de eerste significante release van de clientsoftware WireGuard voor Windows 1.0 geïntroduceerd, evenals de draadloze stuurprogramma's WireGuardNT 1.0. VPN WireGuard voor de Windows 10 en 11 kernel, ondersteunt AMD64, x86 en ARM64 architecturen. De code van de kernelcomponenten voor Windows wordt verspreid onder de GPLv2-licentie, terwijl de clientsoftware onder de MIT-licentie valt.
De poort is gebaseerd op de codebasis van de hoofdimplementatie van WireGuard voor de Linux-kernel, die is aangepast om gebruik te maken van Windows kernelentiteiten en de NDIS-netwerkstack. In vergelijking met de wireguard-go implementatie, die in de gebruikersruimte draait en de Wintun-netwerkinterface gebruikt, biedt WireGuardNT een aanzienlijke prestatieverbetering door het uitsluiten van contextwisseloperaties en het kopiëren van de inhoud van pakketten van de kernel naar de gebruikersruimte. Net als de implementaties voor Linux, OpenBSD en FreeBSD, werkt in WireGuardNT de hele logica voor protocolverwerking direct op het niveau van de netwerkstack.
Versie 1.0 wordt gemarkeerd als een mijlpaal, die de oplossing van verschillende problemen en het bereiken van de vastgestelde doelen betekent, zoals: het gebruik van de functie NdisWdfGetAdapterContextFromAdapterHandle() in plaats van het minder veilige opslaan van de driverstatus in het Reserved-veld en het gebruik van ongedocumenteerde offsets; correcte en tijdige tracking van de MTU (Maximum Transmission Unit) grootte via het onderscheppen van systeemoproepen; implementatie van de C23 standaard in de code.
Ter herinnering, VPN WireGuard is gebaseerd op moderne versleutelmethoden, biedt zeer hoge prestaties, is eenvoudig te gebruiken, heeft geen complicaties en heeft zich bewezen in verschillende grote implementaties die grote hoeveelheden verkeer verwerken. Het project is sinds 2015 in ontwikkeling, heeft een audit en formele verificatie van de toegepaste versleutelmethoden ondergaan. WireGuard maakt gebruik van een concept van sleutelgebaseerde routering, wat inhoudt dat aan elk netwerkinterface een privé-sleutel is gekoppeld en dat deze wordt gebruikt om openbare sleutels aan elkaar te koppelen.
De uitwisseling van openbare sleutels voor het opzetten van een verbinding gebeurt op dezelfde manier als bij SSH. Voor de overeenstemming van sleutels en verbinding zonder een aparte daemon in de gebruikersruimte wordt het Noise_IK-mechanisme uit het Noise Protocol Framework gebruikt, vergelijkbaar met het onderhoud van authorized_keys in SSH. Gegevens worden verzonden via encapsulatie in UDP-pakketten. Er wordt ondersteuning geboden voor het veranderen van IP-adressen VPN-server (roaming) zonder onderbreking van de verbinding met automatische hersconfiguratie van de client.
Voor encryptie wordt een streams cipher ChaCha20 en een berichtauthenticatie-algoritme (MAC) Poly1305 gebruikt, ontwikkeld door Daniel Bernstein, Tanja Lange en Peter Schwabe. ChaCha20 en Poly1305 worden gepositioneerd als snellere en veiligere alternatieven voor AES-256-CTR en HMAC, waarvan de softwarematige implementatie een vaste uitvoertijd mogelijk maakt zonder gebruik te maken van speciale hardwareondersteuning. Voor het genereren van een gezamenlijke geheime sleutel wordt het Diffie-Hellman-protocol op elliptische krommen in de implementatie Curve25519 gebruikt, ook voorgesteld door Daniel Bernstein. Voor hashing worden de algoritmen BLAKE2s (RFC7693) gebruikt.
Bron: opennet.ru
