Cos’è la VPN WireGuard e come funziona?

Cos’è la VPN WireGuard?

WireGuard è un protocollo di comunicazione open source che fornisce le procedure di instradamento crittografato attraverso le quali molte VPN moderne proteggono i dati e la privacy degli utenti. Utilizza protocolli all’avanguardia per ogni fase del processo crittografico a chiave pubblica, rendendolo di gran lunga il protocollo VPN più veloce disponibile.

WireGuard è stato lanciato nel 2015 prima di essere rilasciato per Linux nel 2020. Ora è compatibile con tutti i principali sistemi operativi e dispositivi ed è stata adottata in misura crescente dai nuovi servizi VPN. Grazie alla sua elevata velocità, alla verificabilità open source e al basso overhead di dati, si prevede che WireGuard possa presto superare i protocolli di comunicazione più diffusi utilizzati dalle VPN tradizionali.

Scopri di più su come funziona la crittografia dei dati con la guida completa di Nym.

Come funziona la VPN WireGuard?

WireGuard è un client software che gira sia sul computer dell’utente che sul server VPN o proxy, consentendo al traffico crittografato di passare in modo rapido e sicuro tra di essi. Quindi, quando ti connetti a un server VPN utilizzando il protocollo WireGuard, ecco un’idea di ciò che accade in background:

Handshake

Prima di qualsiasi scambio di chiavi o dati, il client invia una richiesta al server, avviando quella che viene chiamata “handshake”. Il server risponde inviando la propria chiave pubblica al client. WireGuard utilizza l’handshake Noise_IK di Noise, che offre numerosi vantaggi in termini di sicurezza e privacy, come la prevenzione degli attacchi di impersonazione e di replay dovuti alla compromissione delle chiavi, l’occultamento delle identità dei partecipanti all’handshake e la segretezza perfetta in avanti.

Scambio e derivazione delle chiavi

Il server e il client si scambiano quindi le chiavi pubbliche per verificare reciprocamente le proprie identità. Per lo scambio di chiavi, WireGuard utilizza Curve25519, una crittografia a curve ellittiche all’avanguardia basata sulla funzione di crittografia pubblica di Diffie-Hellman.

Il server e il client utilizzano le chiavi scambiate per creare una chiave univoca nota solo a loro. Ciò avviene tramite una funzione di derivazione della chiave (KDF). Per la fase di derivazione della chiave, WireGuard utilizza l’HKDF (o KDF basato su HMAC), che è vantaggioso nell’instradamento VPN per il suo processo in due fasi altamente sicuro e per la flessibilità riguardo alle lunghezze delle chiavi. La chiave derivata viene utilizzata per la crittografia simmetrica tra il client e il server VPN.

Crittografia e autenticazione

Per le fasi di crittografia e autenticazione, WireGuard utilizza ChaCha20-Poly1305, che è una combinazione del cifrario a flusso ChaCha20 e del codice di autenticazione dei messaggi Poly1305. Questo algoritmo è altamente performante ed è generalmente più veloce dell’AES-GCM.

Hashing

L’hashing si riferisce al processo nell’instradamento crittografato in cui i dati di input di qualsiasi dimensione vengono convertiti in una stringa di caratteri di dimensione fissa. Una volta convertito, il dato in uscita o “valore hash” può essere utilizzato per determinare se il pacchetto di dati è stato manipolato o modificato durante il transito. In tal caso, il valore di hash sarà diverso per il destinatario rispetto a quello che era per il mittente. WireGuard utilizza Blake2 come funzione di hash, che è più veloce e più ottimizzata rispetto agli standard precedenti (ad esempio, Sha-1 e -2) ed è considerata sicura quanto standard avanzati come Sha-3.

Trasporto

Il livello di trasporto (Transport Layer) è responsabile della trasformazione dei dati del traffico in pacchetti crittografati da inviare sul web. WireGuard incapsula i dati crittografati utilizzando il protocollo UDP (User Datagram Protocol). Questo protocollo di comunicazione consente un trasferimento dei dati veloce e sicuro. Non utilizza il TCP perché è meno efficiente sulle reti VPN, a causa di un maggiore overhead di dati e di problemi noti (“TCP meltdowns”).

Routing

Una volta che i tuoi dati hanno attraversato questo complesso ma altamente efficiente processo di crittografia VPN con WireGuard sul tuo dispositivo, garantendo l’autenticità del destinatario previsto e la sicurezza dei pacchetti di dati, vengono quindi instradati verso il server VPN. In questo modo l’indirizzo IP del tuo traffico viene sostituito con l’IP pubblico del server VPN.

Decrittografia

Poiché è il server VPN a fornire la crittografia dei dati per il loro invio al proprio server, una volta lì, quel livello di crittografia viene rimosso o decrittografato utilizzando le chiavi di cui sopra. Tuttavia, supponendo che la connessione originale dal tuo dispositivo al destinatario previsto sul web sia protetta tramite HTTPS, dovrebbe rimanere un livello di crittografia, impedendo alla VPN di vedere i tuoi dati in chiaro. Una volta rimossa la crittografia VPN, la VPN sarà in grado di vedere la destinazione finale a cui inviare i tuoi dati. Con la crittografia HTTPS attivata di default, il tuo traffico sarà crittografato da un'estremità all'altra utilizzando una VPN basata su WireGuard.

Compatibilità con WireGuard

WireGuard viene talvolta criticato per la sua compatibilità più limitata rispetto ad altri protocolli come OpenVPN. Ma si tratta di un'esagerazione, poiché si riferisce alla compatibilità con hardware specifico (come i router) e non ai sistemi operativi.

• Sistemi operativi: WireGuard è compatibile con la maggior parte dei principali sistemi operativi e dispositivi: Windows, Mac OS, Linux, Android, iOS e le versioni moderne di BSD.

• Router: Un problema hardware di WireGuard è che non è così ampiamente compatibile con molti router VPN come lo è attualmente, ad esempio, OpenVPN. Ciò non è inaspettato, dato che WireGuard è sul mercato da soli quattro anni. Con l’uscita di nuovi router nei prossimi anni, Nym prevede che questo divario di compatibilità si colmi rapidamente.

Vantaggi della VPN WireGuard

Velocità

WireGuard è molto veloce per quanto riguarda i protocolli di comunicazione VPN, fino al 50% più veloce di OpenVPN, che è stato lo standard del settore per due decenni. Codice sorgente minimale

Il codice di WireGuard è straordinariamente snello, con sole 4.000 righe. A titolo di confronto, le versioni di OpenVPN hanno circa 100.000 righe di codice. Ciò rende le prestazioni di WireGuard estremamente snelle ed efficienti.

Elevata sicurezza

WireGuard utilizza algoritmi di crittografia all’avanguardia e crittografia a chiave pubblica per lo scambio di chiavi. Questi standard di crittografia sono attualmente inviolabili. Inoltre, questo codice conciso e leggero riduce notevolmente la superficie di attacco, mentre errori di configurazione nascosti nel più complesso OpenVPN possono portare a fughe di informazioni o a vulnerabilità di attacco più gravi.

Rapida riconnessione

WireGuard è progettato per essere stateless, il che significa che non si basa sul mantenimento di uno stato di connessione continuo tra i peer. Questo design consente una gestione senza soluzione di continuità delle interruzioni, poiché non è necessario ristabilire una sessione o lo stato della connessione. Non appena i pacchetti ricominciano a circolare, WireGuard può riprendere da dove aveva interrotto.

Open source

Il codice di WireGuard è open source e quindi disponibile per chiunque voglia verificarlo. Tuttavia, la facilità di verifica di un codice open source dipende dalla sua dimensione. A questo proposito, WireGuard si distingue per le dimensioni ridotte e concise del proprio codice sorgente. Questo non solo rende il protocollo estremamente snello, ma consente anche verifiche pubbliche più agevoli.

Svantaggi della VPN WireGuard

Mancanza di offuscamento

WireGuard non dispone di un sistema di offuscamento integrato. Progettato come un protocollo VPN semplice, veloce e sicuro, punta sulla semplicità e sulle prestazioni. Tuttavia, non include funzionalità per offuscare il traffico al fine di nascondere il fatto che si stia utilizzando una VPN. Ciò significa che il traffico WireGuard può essere identificato dagli strumenti di monitoraggio della rete o da entità che eseguono l’ispezione approfondita dei pacchetti (DPI).

È possibile utilizzare altri strumenti in combinazione con WireGuard, come Obfsproxy, Shadowsocks o Stunnel, per aggiungere l'offuscamento alla procedura di instradamento della VPN.

Non integrata in tutte le VPN

La maggior parte delle VPN più diffuse sul mercato non utilizza ancora WireGuard e si affida a OpenVPN da decenni. Ciò significa semplicemente che WireGuard è relativamente meno collaudato sul fronte delle VPN. Tuttavia, la situazione sta cambiando rapidamente, poiché sempre più VPN si stanno integrando con WireGuard.

Mancanza di supporto da parte dei router

WireGuard attualmente non è supportato da un numero di router VPN neanche lontanamente paragonabile a quello di OpenVPN, principalmente perché questi dispositivi hardware sono stati progettati e programmati prima della comparsa di WireGuard. Nym prevede quindi un cambiamento nella compatibilità dei router per WireGuard nei prossimi anni.

Protocollo WireGuard rispetto ad altri protocolli VPN

WireGuard non è l’unico protocollo di comunicazione utilizzato dalle VPN presenti sul mercato, e le differenze tra di essi possono essere significative sia per le prestazioni della VPN che per la privacy degli utenti.

WireGuard vs. OpenVPN

OpenVPN è il protocollo di comunicazione utilizzato dalla stragrande maggioranza delle VPN presenti sul mercato. È stata introdotta nel 2001, diventando così lo standard di settore collaudato per il routing crittografato VPN. Tuttavia, esistono differenze significative in termini di prestazioni tra WireGuard e OpenVPN. Leggi il confronto dettagliato di Nym tra i due protocolli.

OpenVPN: offre il vantaggio di una configurazione flessibile per utenti e programmatori, con un’ampia selezione di algoritmi di crittografia tra cui scegliere. Inoltre, offre una compatibilità molto più ampia con i router VPN ed è più diffusa nelle configurazioni aziendali.

WireGuard: è molto più veloce di OpenVPN, con un overhead di dati significativamente inferiore e lo stesso livello di sicurezza.

WireGuard vs. IPSec/IKEv2

IPSec (Internet Protocol Security) e IKEv2 (Internet Key Exchange versione 2) sono protocolli utilizzati per proteggere le comunicazioni su Internet. Sono spesso utilizzati insieme come IPSec/IKEv2.

IPSec/IKEv2: come OpenVPN, supporta un’ampia gamma di protocolli crittografici, ma presenta anche un overhead di dati estremamente elevato, con un codice sorgente che conta centinaia di migliaia di righe. Ciò può renderla soggetta a errori e configurazioni errate, oltre che più difficile da verificare.

WireGuard: è più semplice ed efficiente, ma non offre agli utenti la possibilità di scegliere i cifrari di crittografia.

WireGuard vs. PPTP

Il Point-to-Point Tunneling Protocol (PPTP) è uno dei più antichi protocolli di crittografia VPN. È stata introdotta a metà degli anni '90 da Microsoft ed è ancora utilizzata da alcune piattaforme legacy.

PPTP: utilizza MPPE (Microsoft Point-to-Point Encryption) con il cifrario RC4, considerato debole secondo gli standard moderni. Tuttavia, è relativamente veloce e facile da configurare, quindi potrebbe essere utile in contesti in cui la velocità è una preoccupazione maggiore rispetto alla protezione. WireGuard: non solo è estremamente veloce, ma utilizza algoritmi di crittografia all’avanguardia, rendendo del tutto superfluo il compromesso tra velocità e sicurezza tipico del PPTP.

WireGuard vs. L2TP

L2TP (Layer 2 Tunneling Protocol) è un’estensione di PPTP e L2F (Layer 2 Forwarding Protocol).

L2TP: L2TP di per sé non fornisce la crittografia e quindi viene spesso combinato con IPsec per fornire crittografia e proteggere i dati trasmessi (L2TP/IPsec).

WireGuard: Poiché L2TP non crittografa i dati degli utenti, non è utile confrontarlo con WireGuard.

WireGuard: Accelerare le reti decentralizzate

Quando si parla di privacy online, ciò che rende WireGuard una tecnologia così entusiasmante e importante è la sua capacità di fornire un instradamento veloce e sicuro per le VPN decentralizzate (dVPN) incentrate sulla privacy.

Le architetture centralizzate e a server singolo delle VPN tradizionali, d’altra parte, non hanno mai garantito una protezione adeguata della privacy per gli utenti. Sono vulnerabili alle violazioni dei dati, alla collaborazione con richieste di sorveglianza di massa, alle backdoor per gli inserzionisti e alla vendita di dati a intermediari. D'altra parte, le dVPN sono promettenti, ma la velocità rappresenta un problema. Più server devono attraversare i tuoi dati per nascondere il tuo traffico, più lento sarà il tutto. Questo potrebbe non rappresentare un grosso problema per l’invio di un’e-mail riservata, ma lo sarà per il routing di rete su larga scala.

WireGuard è una soluzione rivoluzionaria per la privacy: fornisce un protocollo di routing estremamente veloce, efficiente e ottimizzato, in modo che gli utenti possano beneficiare delle protezioni avanzate della privacy di una dVPN multi-hop senza compromettere troppo la velocità.

NymVPN ha scelto di lasciare la scelta agli utenti. È possibile passare facilmente alla modalità dVPN a 2 hop basata su WireGuard per una protezione quotidiana molto veloce e riservata. Oppure, per casi d’uso altamente sensibili (come la messaggistica e le transazioni crittografiche), gli utenti possono optare per l’ineguagliabile modalità Mixnet a 5 hop basata sul protocollo Sphinx, progettato specificamente per gestire il traffico Mixnet.

Nella scelta della migliore VPN per le tue esigenze di privacy, considera come una rete decentralizzata con WireGuard possa farti evitare di sacrificare la tua privacy per navigare in Internet in modo facile e veloce.