Apa itu WireGuard? Protokol VPN yang digunakan oleh aplikasi StageVPN 8 pertanyaan dan 8 jawaban

T. Apa itu WireGuard, siapa yang menciptakannya dan mengapa?

WireGuard adalah protokol dan implementasi VPN yang dirancang oleh Jason A. Donenfeld dan dirilis pada tahun 2017. Tujuannya adalah untuk mengurangi jumlah item konfigurasi, memperbaiki metode enkripsi menjadi satu, dan menjadikannya ukuran di mana para ahli dapat membaca dan meninjau keseluruhan kode.

Protokol VPN adalah seperangkat aturan bagi perangkat dan server untuk mengidentifikasi satu sama lain, berbagi kunci enkripsi, serta mengemas dan bertukar data. Protokol yang ada memiliki banyak pilihan dan langkah negosiasi untuk beradaptasi dengan berbagai lingkungan. Lebih banyak opsi menghasilkan kode yang lebih besar. Kemungkinan terciptanya konfigurasi yang lemah karena kesalahan konfigurasi juga meningkat. WireGuard mengambil pendekatan sebaliknya. Kami mengurangi jumlah pilihan dan memperpendek kodenya.

Ukuran kode bergantung pada implementasi dan waktu. Jadi, 'kira-kira 4.000 baris' tidak boleh dibaca sebagai nilai sebenarnya saat ini, namun sebagai 'urutan besarnya lebih kecil dibandingkan implementasi VPN lainnya.' Aplikasi StageVPN menggunakan implementasi WireGuard ini di iPhone·iPad dan Android. StageVPN untuk Chrome, ekstensi Chrome, adalah proksi HTTPS, bukan WireGuard. Perbedaan kedua metode tersebut adalah VPN Peramban vs VPN AplikasiItu tercakup dalam

T. Dalam urutan apa koneksi WireGuard dibuat?

Koneksi dibuat dengan jabat tangan dua pesan, satu perjalanan bolak-balik. Ketika pemrakarsa mengirimkan pesan awal dan responden mengembalikan pesan respons, kedua belah pihak menghitung kunci sesi yang sama dan segera bertukar data.

Jabat tangan adalah proses di mana dua pihak mengidentifikasi satu sama lain dan menyepakati kunci enkripsi sebelum memulai komunikasi. Jabat tangan WireGuard mengikuti pola IK kerangka Noise. Pola IK mengharuskan pemrakarsa mengetahui kunci publik responden terlebih dahulu. Aplikasi StageVPN memenuhi ketentuan ini karena menerima kunci publik server untuk dihubungkan dalam konfigurasi VPN.

Stempel waktu dalam pesan startup mencegah serangan replay. Serangan replay adalah serangan di mana penyerang mencatat pesan normal dan mengirimkannya kembali nanti. Server akan membuang pesan jika stempel waktunya lebih lama dari pengiriman sebelumnya dari perangkat yang sama.

MAC pertama dapat dibuat dengan mengetahui kunci publik server. Oleh karena itu, server tidak merespons paket yang dikirim oleh pemindai yang tidak mengetahui kunci publik server. Dari luar, sulit untuk mengetahui apakah ada server VPN pada port tersebut. Saat server kelebihan beban, respons cookie dikirim terlebih dahulu sebelum melakukan penghitungan berat. Ini adalah perangkat yang hanya memproses permintaan yang alamat sumbernya dipastikan asli, mencegah serangan yang membuat server sibuk dengan alamat palsu.

T. Teknik enkripsi apa yang digunakan WireGuard?

Tetapkan hanya satu metode kriptografi untuk setiap peran dan gunakan tanpa negosiasi. Jika ditemukan masalah pada suatu teknik, alih-alih menambahkan opsi, kami mengubah versi protokol sehingga semua implementasi bergerak bersamaan.

Nama lengkap jabat tangan seperti yang tertulis di dokumentasi resminya adalah Noise_IKpsk2_25519_ChaChaPoly_BLAKE2s. Namanya adalah skemanya. IK adalah singkatan dari pola jabat tangan, psk2 adalah singkatan dari kunci pra-berbagi opsional, 25519 adalah singkatan dari kurva pertukaran kunci, ChaChaPoly adalah singkatan dari data cipher, dan BLAKE2s adalah singkatan dari hash.

Penting untuk dicatat bahwa tidak ada fase negosiasi. Dalam protokol yang menukarkan daftar sandi, seperti TLS atau IKEv2, serangan penurunan versi telah dipelajari untuk mengelabui penyerang agar memilih sandi yang lemah. WireGuard tidak memiliki daftarnya sendiri untuk dipilih. Oleh karena itu, tidak ada gunanya melakukan serangan seperti itu.

psk2, atau kunci yang dibagikan sebelumnya, adalah fitur opsional. Dengan menambahkan lapisan kunci simetris di atas kriptografi kunci publik, ini merupakan pertahanan tambahan untuk melindungi konten komunikasi bahkan jika komputer kuantum di masa depan merusak Curve25519. Ini adalah fitur opsional, sehingga ketersediaannya berbeda-beda menurut layanan. StageVPN tidak menawarkan enkripsi tahan kuantum sebagai fitur yang ditawarkan.

Keamanan desain telah ditinjau secara akademis beberapa kali. Proyek WireGuard mengumpulkan penelitian verifikasi formal di situs resminya, termasuk verifikasi simbolis menggunakan pembuktian Tamarin dan bukti komputasi menggunakan CryptoVerif. Namun, verifikasi formal adalah bukti desain protokol. Kami tidak menjamin kualitas penerapan atau pengoperasian server setiap aplikasi. Jadi, aplikasi tetap harus diperbarui dan memeriksa kebijakan logging operator.

T. Seberapa sering kunci sesi berubah?

Kunci sesi diganti dengan jabat tangan baru kira-kira setiap dua menit. Penggantian terjadi saat berkomunikasi dengan kunci yang ada, sehingga pengguna tidak melihat adanya gangguan.

Alasan mengapa Anda sering mengganti kunci adalah karena keamanan penerusan. Keamanan penerusan adalah properti yang mencegah konten komunikasi dari sesi yang sudah berakhir dilepaskan meskipun kunci pribadi jangka panjang perangkat kemudian terekspos. WireGuard membuat kunci sementara baru untuk setiap jabat tangan dan menghapus semua kunci yang digunakan dari memori. Bahkan jika satu kunci sesi bocor, cakupan dampaknya akan terbatas pada beberapa menit kunci tersebut digunakan.

Ada juga aturan untuk upaya jabat tangan. Jika tidak ada respons, ia mencoba lagi setiap 5 detik (REKEY_TIMEOUT). Jika tidak ada respons selama 90 detik (REKEY_ATTEMPT_TIME), upaya akan berhenti. Jika tidak ada data yang dikirim dalam waktu 10 detik (KEEPALIVE_TIMEOUT) setelah menerima data, paket keepalive kosong akan dikirim sehingga pihak lain dapat mengonfirmasi responsnya.

WireGuard dirancang untuk tidak melakukan jabat tangan jika tidak ada data yang dikirim. Namun, perangkat di belakang router atau peralatan operator (NAT) sering kali menggunakan pengaturan (PersistentKeepalive) yang mengirimkan paket kosong secara berkala untuk mencegah informasi koneksi terhapus. Panduan resmi merekomendasikan interval 25 detik. Konfigurasi VPN aplikasi StageVPN juga menggunakan 25 detik secara default (per September 2026).

T. Apa perbedaan WireGuard dengan OpenVPN dan IKEv2/IPsec?

WireGuard adalah protokol yang mengurangi opsi dan mengurangi kode. OpenVPN dan IKEv2/IPsec adalah protokol dengan banyak negosiasi dan opsi untuk disesuaikan dengan berbagai lingkungan.

Gambar di atas menunjukkan perbedaan ukuran kode, metode transmisi, dan metode negosiasi kata sandi. Tabel di bawah ini merangkum perbedaan lainnya yang tidak ditunjukkan pada gambar. Ketiganya saat ini banyak digunakan, namun filosofi desainnya berbeda, bukan salah satu yang unggul tanpa syarat.

Kecepatan tidak ditentukan oleh protokol saja. Jarak ke server, kualitas saluran lokal, kemacetan server, dan kinerja perangkat semuanya berperan. WireGuard memiliki prosedur sederhana dan operasi kriptografi yang ringan, sehingga seringkali cepat dalam kondisi yang sama. Bukan berarti selalu cepat. Jika kecepatan yang dirasakan rendah, hal pertama yang harus dilakukan adalah beralih ke server terdekat dan membandingkannya.

T. Apa yang dimaksud dengan 'perutean kunci enkripsi' yang mana kunci publik menjadi alamatnya?

Perutean kunci enkripsi adalah metode yang menggabungkan kunci publik pihak lain dan rentang alamat IP (AllowedIPs) yang dapat digunakan pihak lain, dan menggunakan bundel ini untuk menentukan kapan mengirim dan menerima paket. Saat mengirim, tentukan kunci publik mana yang akan dienkripsi dengan alamat tujuan, dan saat menerima, periksa apakah kunci publik yang berhasil didekripsi memenuhi syarat untuk menggunakan alamat sumber.

Struktur ini memiliki dua keuntungan: Pertama, server mengenali paket dari IP terowongan sebagai paket asli hanya jika paket tersebut didekripsi dengan kunci publik yang terikat pada IP tersebut. Meskipun perangkat lain meniru IP terowongan, perangkat tersebut tidak dapat didekripsi dan paket akan dibuang. Kedua, aturan firewall dan aturan kata sandi digabungkan menjadi satu. Administrator hanya perlu mempertahankan satu baris: 'Kunci publik ini adalah rentang alamat ini.'

Jika Anda mengatur AllowedIPs ke 0.0.0.0/0 dan ::/0 pada perangkat pengguna, semua komunikasi IPv4 dan IPv6 menjadi terowongan penuh ke satu server. Aplikasi StageVPN menggunakan metode ini. Item utama konfigurasi WireGuard yang diterima aplikasi dari server tercantum di bawah.

MTU adalah ukuran maksimum paket yang dapat dikirim dalam satu waktu. WireGuard mengenkripsi paket asli dan mengembalikannya ke paket UDP, meningkatkan ukurannya berdasarkan header. Oleh karena itu, MTU di terowongan harus diatur lebih kecil dari MTU di jalur untuk mencegah paket terfragmentasi atau dibuang. Apa dan berapa banyak catatan akses yang disimpan? Akses pemberitahuan penyimpanan catatanIni terbuka untuk umum.

T. Jika WireGuard kuat, apakah seluruh penggunaan Internet saya aman?

TIDAK. Bagian yang dilindungi WireGuard adalah dari perangkat Anda ke server VPN, dan keamanan lebih dari itu ditentukan oleh HTTPS situs dan kebijakan pencatatan operator.

Di dua bagian kiri gambar, sulit bagi pengguna Wi-Fi publik lainnya, operator Wi-Fi, dan operator untuk melihat konten dan tujuan komunikasi. Setelah keluar dari server VPN, rasanya seperti internet biasa. Jadi sekali lagi, menjadi penting apakah alamatnya adalah situs yang dimulai dengan https://. Risiko di luar protokol harus dipersiapkan tersendiri.

• Bagian setelah server VPN: Situs yang tidak menggunakan HTTPS tidak dienkripsi dari server VPN ke situs tersebut.
• Percaya pada operator: Karena strukturnya, server WireGuard mengetahui kunci publik, IP terowongan, dan alamat akses terakhir setiap perangkat. Di sinilah Anda juga dapat melihat IP tujuan koneksi Anda. Sesuai dengan Undang-Undang Perlindungan Rahasia Komunikasi, StageVPN secara otomatis menghapus catatan akses setelah 93 hari dan tidak merekam konten komunikasi. Alasannya adalah Mengapa kami mengungkapkan kebijakan penyimpanan catatan akses kami?menjelaskan.
• Ancaman di Dalam Perangkat Anda: Aplikasi berbahaya atau halaman phishing adalah masalah yang terjadi di dalam terowongan, yaitu pada perangkat Anda. Protokol tidak menghentikannya. Pembagiannya adalah Apa yang Dicegah dan Tidak Dapat Dicegah oleh VPNSilakan merujuk ke.
• Saat koneksi terputus: Saat terowongan terputus, komunikasi dapat keluar melalui jalur normal. Periksa status koneksi aplikasi sebelum melakukan operasi sensitif apa pun. Kebiasaan di jaringan publik Aturan Keamanan Wi-Fi PublikSaya mengaturnya dalam .
• DNS dan IPv6: Jika aplikasi VPN lain atau pengaturan DNS terpisah di perangkat Anda mengubah rute, pertanyaan mungkin keluar dari terowongan. Bagaimana cara memeriksanya Panduan untuk Kebocoran DNS dan Kebocoran WebRTCada di

Saat Anda pertama kali terhubung, iPhone akan meminta Anda untuk menambahkan konfigurasi VPN, dan Android akan meminta Anda untuk mengizinkan permintaan koneksi VPN. Anda harus mengizinkan ini agar aplikasi dapat membuat terowongan WireGuard. Pesan berdasarkan perangkat Memulai di iPhone/iPadDan Memulai di Androiddan ruang lingkup ketentuannya adalah Fitur dan Cakupan PenawaranAnda dapat memeriksanya di sini.

Q. Mengapa koneksi tetap ada meskipun berganti dari Wi-Fi ke LTE?

Hal ini karena WireGuard mengidentifikasi perangkat berdasarkan kunci publiknya, bukan alamat IP-nya. Bahkan jika jaringan berubah dan IP berubah, server mengingat alamat di mana paket yang didekripsi terakhir kali tiba dan merespons dengan alamat tersebut.

Perilaku ini disebut roaming. Ponsel cerdas beralih antara Wi-Fi rumah, Wi-Fi kafe, dan LTE/5G saat bepergian beberapa kali sehari. Jika VPN disambungkan kembali dari awal setiap saat, akan ada saatnya pengiriman pesan dan streaming akan berhenti. WireGuard menangani transisi ini sebagai perilaku default protokol. Tidak diperlukan pengaturan terpisah.

WireGuard hanya menggunakan UDP. UDP adalah metode transmisi ringan yang tidak memerlukan prosedur pembuatan koneksi. Ini tidak tumpang tindih dengan kontrol transmisi ulang komunikasi TCP bolak-balik di dalam terowongan. Ada masalah yang diketahui ketika TCP berlapis di atas TCP, ketika terjadi kerugian, kedua lapisan melakukan transmisi ulang secara bersamaan dan kecepatan turun secara signifikan. WireGuard secara arsitektural menghindari masalah ini.

Sementara itu, StageVPN mencatat alamat IP dari mana perangkat mengakses server VPN ketika berubah, sebagai salah satu catatan koneksi menurut hukum. Fakta bahwa roaming terjadi berarti ia tetap berada di server.