Amnezia сообщила о возвращении Premium к стабильной работе у большей части пользователей и анонсировала крупное обновление собственного протокола. Версия AmneziaWG 3.0 должна появиться в приложении уже на следующей неделе. Разработчики также закрыли десятки ошибок и собрали прототип ещё одного VPN-протокола, характеристики которого пока не раскрываются.
Восстановление заняло около полутора месяцев. За это время сервис пережил массовую блокировку адресов, перегрузку инфраструктуры запросами, несколько повторных сбоев и серию обязательных обновлений клиента. Полностью законченной эту историю считать рано: технической документации AmneziaWG 3.0 ещё нет, а новая версия протокола пока отсутствует среди публичных выпусков проекта.
Команда Amnezia заявила, что с начала июня количество и сложность блокировок заметно выросли. Часть правил фильтрации, как утверждают разработчики, создавалась специально для обнаружения серверов и соединений AmneziaWG.
Инженеры несколько раз меняли инфраструктуру, выпускали промежуточные сборки приложения и временно ограничивали создание файлов конфигурации для роутеров и других внешних клиентов. После очередной попытки восстановления сервис столкнулся с новой блокировкой уже следующим утром. Доступ возвращали постепенно, без единого переключения всей сети на новую схему.
Последний публичный отчёт выглядит оптимистичнее предыдущих. Amnezia Premium снова работает стабильно у основной части аудитории. Следующий клиент должен получить поддержку AmneziaWG 3.0. Точной даты выпуска, перечня платформ и описания совместимости разработчики пока не опубликовали.
Первые серьёзные проблемы появились в конце мая, а 1 июня Amnezia сообщила о массовой атаке. Пользователи Free и Premium потеряли возможность нормально подключаться и переключаться между серверами. Инцидент затронул больше внутренних ресурсов, чем прошлые сбои.
Разработчики описывали происходящее как сочетание распределённой атаки типа «отказ в обслуживании» и блокировки большого массива IP-адресов. Amnezia связала инцидент с действиями Роскомнадзора. Роскомнадзор это обвинение публично не комментировал.
В июньском отчёте Amnezia назвала произошедшее крупнейшей атакой за всю историю проекта. Сбой затронул критические компоненты инфраструктуры, а собственный инструмент измерения доступности интернета Amnezia Pulse временно потерял часть данных.
Первым обязательным этапом восстановления стала версия Amnezia VPN 4.8.18. Разработчики сообщили, что она исправляла проблему, которую можно было использовать для выявления серверов. Старые сборки планировалось отключить от Free и Premium, поскольку они не поддерживали новую схему работы инфраструктуры.
Версия 4.8.19 вышла 15 июня. В ней разработчики изменили маршрутизацию трафика и усложнили распознавание защищённых подключений. Обновление предназначалось для Premium, Free и пользователей с собственными серверами. Для последних переустановка серверной части не требовалась.
Одновременно сервис вернул 20 локаций, восстановил российский сервер для доступа к локальным сайтам из-за рубежа и заново включил выдачу конфигураций для роутеров. Пользователям с подпиской на полгода добавили месяц, владельцам годовой подписки — два месяца.
На момент подготовки материала последним публичным выпуском остаётся Amnezia VPN 4.8.21.0 от 10 июля. В кратком журнале изменений указано повышение стабильности. Упоминания AmneziaWG 3.0 в описании этой сборки нет, следовательно, поддержка нового протокола должна появиться в отдельном обновлении.
AmneziaWG создан на базе WireGuard-Go. Обычный WireGuard ценят за компактную кодовую базу, высокую скорость и простую архитектуру, но его сетевой обмен может иметь узнаваемые признаки. Система глубокой проверки пакетов, или DPI, анализирует размеры сообщений, порядок обмена, заголовки, интервалы и реакцию сервера на определённые запросы.
AmneziaWG меняет внешний вид соединения, сохраняя базовую криптографическую схему WireGuard. Протокол умеет отправлять перед установлением туннеля случайные пакеты, добавлять заполнение к сообщениям, изменять значения заголовков и использовать пользовательские пакеты-сигнатуры. В версиях 1.5 и 2.0 появились дополнительные параметры маскировки, в том числе имитация распространённого трафика на базе UDP — например, DNS или QUIC.
Исследование специалистов Мичиганского университета и других организаций показало, что OpenVPN можно выявлять по сочетанию пассивного анализа и активных запросов. Созданная авторами система распознавала более 85% соединений и обнаружила 34 из 41 протестированной конфигурации с маскировкой. Это исследование не проверяло AmneziaWG, но хорошо показывает общую проблему: статическая защита постепенно превращается в новую сигнатуру, если её параметры долго не меняются.
Разработчики пока сообщили только о завершении основной подготовки протокола. Публичная спецификация, журнал изменений и исходный код отдельного выпуска 3.0 ещё не опубликованы.
Неизвестными остаются несколько важных деталей:
— изменится ли формат конфигурационных файлов;
— смогут ли существующие серверы перейти на 3.0 автоматически;
— потребуется ли обновление прошивок роутеров;
— сохранится ли совместимость с отдельными приложениями AmneziaWG;
— какие новые механизмы маскировки появились в протоколе.
Дополнительно команда создала прототип ещё одного VPN-протокола. Его название, архитектура, стадия готовности и возможный срок выхода не раскрываются.
Вопросы и ответы
Что такое AmneziaWG 3.0?
Это новая версия протокола AmneziaWG, созданного на базе WireGuard-Go и дополненного механизмами изменения внешнего вида сетевого трафика. Полное техническое описание версии 3.0 пока не опубликовано.
Когда выйдет приложение с AmneziaWG 3.0?
Команда Amnezia ожидает выпуск на следующей неделе. Точная дата и список платформ ещё не названы.
Нужно ли уже сейчас обновлять Amnezia VPN?
Да. На момент подготовки материала последней публичной версией является 4.8.21.0. Поддержка AmneziaWG 3.0 должна появиться позднее в отдельном обновлении.
Почему Amnezia Premium не работал?
Сервис сообщил о сочетании DDoS-атаки, массовой блокировки серверных адресов и новых способов распознавания AmneziaWG. Авторство атаки независимо не подтверждено.
Потребуется ли перенастраивать собственный сервер?
Информации о переходе self-hosted-серверов на AmneziaWG 3.0 пока нет. Для предыдущих обновлений приложения переустановка сервера не требовалась.
Что делать, если Premium подключается, но сайты не открываются?
Стоит обновить приложение, перезагрузить конфигурацию API, проверить другую локацию и попробовать VLESS. При сбое только в мобильной сети нужно проверить соединение через домашний интернет.
Будут ли старые конфигурации работать с AmneziaWG 3.0?
Совместимость пока не описана. Пользователям роутеров и отдельных клиентов лучше дождаться официальной инструкции и не менять параметры вручную.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
