Амнезия 3.0 — уже здесь (почти)

💃 «Что за новая Amnezia 3.0?» — вопрос последней недели во всех чатах про обход блокировок. Отвечаем сразу: приложения с такой версией не существует. Клиент AmneziaVPN 3.x — это 2023 год, а сейчас нумерация ушла с 4.8.21 прямо на 5.0.0.5. «Тройка», о которой все пишут, — это версия протокола AmneziaWG, вышедшая 24 июля 2026 года.

🧿 Появилась она не по плану развития, а по итогам полутора месяцев осады. 20 мая — массовая блокировка IP-адресов серверов, 1 июня — организованная DDoS-атака, 10 июня — отдельный удар по сайту. В обновлении своего поста об инциденте от 16 июля команда прямо назвала новый протокол одним из главных пунктов плана восстановления.

🐒 Зачем вообще менять протокол, объясняет интервью разработчика Amnezia изданию Meduza от 3 августа. По его словам, блокировка теперь работает не по протоколу, а по совокупности признаков сервера: 50 критериев, каждый добавляет очко, набралось больше 25 — сервер в бан. Плюс автоматический стенд, который сам скачивает свежие конфиги из приложений и смотрит, куда те подключаются.

🔐 Главное новшество третьего поколения — шифрование заголовков пакетов. В обычном WireGuard содержимое зашифровано, а служебная разметка в начале пакета — нет: тип сообщения, индекс получателя, счётчик пакетов идут открытым текстом. Индекс не меняется всю сессию, счётчик растёт ровно на единицу — идеальный материал для сигнатуры. Теперь эти 16 байт шифруются потоковым шифром ChaCha20, а рукопожатия шифруются целиком.

🧩 Решение элегантное: одноразовое число для шифра не пришлось никуда добавлять — им служат первые 12 байт того самого случайного паддинга S1–S4, который раньше был просто мусором для сбивания анализа длин. Мусор стал функциональным. Отсюда единственное жёсткое требование новой версии: при включённой защите заголовков все четыре значения S1–S4 обязаны быть не меньше 12.

🔔 Второе добавление — content padding: к каждому пакету дописывается случайное количество байт из заданного диапазона. Смысл не в том, чтобы «раздуть» трафик, а в том, чтобы убрать регулярность: у обычного WireGuard длины кратны 16 байтам, и эта сетка сама по себе заметна в статистике потока.

⌛️ Третье — тайминги. WireGuard известен своей метрономной регулярностью: рукопожатие раз в 120 секунд, keepalive строго по таймеру. Теперь шесть таймеров задаются диапазонами, и движок берёт новое случайное значение при каждом взводе. Ритм соединения перестаёт быть узнаваемым.

Размеры рукопожатий остались постоянными: content padding применяется только к пакетам с данными, а инициация и ответ собираются в буфер фиксированной длины. Характерный обмен «короткий пакет → короткий ответ → поток» по-прежнему виден. И главное: блокировку уже засвеченного IP-адреса никакая обфускация не отменяет.

🙅‍♂️ Кому всё это доступно: подписчикам Premium и пользователям бесплатного Amnezia Free — при условии обновления приложения до 5.0.0.5. Владельцам своих серверов пока не досталось ничего: поддержка self-hosted лежит в незакрытом pull request от 30 июля, документации по третьему поколению нет вовсе, а вопрос «что за AWG 3?» в обсуждениях висит без ответа с 27 июля.

🐞 Обновляться на 5.0.0.5 стоит не всем. Из него без объявления вырезали OpenVPN over Cloak и Shadowsocks-контейнер — если у вас такой сервер, управлять им из новой версии не выйдет. Плюс на Android всплыла регрессия: обычные конфиги WireGuard падают с ошибкой «Parameter jc is undefined». Обходной путь есть, но он отключает обфускацию — то есть лечит симптом ценой защиты.

9️⃣ Отдельная ловушка для владельцев старых устройств: даже заявленный минимум работает не всегда. Issue #2891 от 28 июля описывает, что на Android 9 приложение показывает чёрный экран и вылетает, причём в комментариях то же сообщают про Android 10 и Android TV. Регрессия появилась между 4.8.21.0 и 5.0.0.2.

https://publish.obsidian.md/zapret/amnezia-3-0/reference

☺️ Скачать | ☺️ Premium (донаты) | ☺️ Android, MacOS и др. ссылки