Recupera els túnels de WireGuard d’un PC amb Windows mort

Un portàtil es mor amb tres túnels de WireGuard configurats, i els fitxers de configuració encara són al disc. Copiar-los a una màquina de substitució produeix un servei que arrenca i després es nega a aixecar-se. Els fitxers estan protegits amb una clau que pertany al compte i a la màquina que els van crear, així que els bytes viatgen i la capacitat de llegir-los no. El recorregut següent va de localitzar el fitxer a l’opció que realment recupera el servei.

On viu ara el fitxer del túnel

L’emmagatzematge ha canviat entre versions. Les instal·lacions antigues guardaven els perfils a les dades d’aplicacions locals del perfil del sistema, dins d’una carpeta WireGuard\Configurations, i les versions actuals fan servir un directori de dades dins de l’arbre de fitxers del programa. Cada túnel és un sol fitxer amb una doble extensió que nomena la protecció:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

El sufix .dpapi no és decoració. El fitxer és un blob protegit, i el servei està dissenyat per consumir-lo exactament en aquesta forma. La manera suportada d’instal·lar-hi un túnel és una crida elevada que apunta al blob:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Aquesta ordre només té èxit en el context que pot desembolicar el blob. Instal·la un servei; no desxifra res per tu.

Per què el blob no s’obre en un altre lloc

La protecció deriva la seva clau de les credencials d’inici de sessió de l’usuari i, segons l’abast triat, de la màquina. La documentació de Microsoft per a la crida de protecció diu que el valor predeterminat pertany a l’usuari i a la màquina que el van xifrar, i una opció per a tota la màquina canvia qui el pot desembolicar. En tots dos casos la clau viu en material de credencials del sistema operatiu, no dins del fitxer. El text xifrat és portàtil; la clau no.

Fer-se càrrec de la carpeta canvia una ACL i res més. Muntar el disc antic en una carcassa i copiar el blob a un PC nou et deixa un text xifrat la clau del qual mai no es va copiar. La fallada és criptogràfica, i cap reinstal·lació del servei la canvia. La màquina nova no té cap clau mestra per a aquell compte, i el magatzem de claus antic no viatja amb el fitxer.

Els productes que desen la configuració en un fitxer ofuscat fan evident el contrast. Una configuració només ofuscada esdevé llegible quan trobes la marca que desactiva l’ofuscació; un blob protegit continua tancat sense la clau. Confondre les dues coses porta la gent a buscar un descodificador que no existeix.

Què provar mentre el sistema antic encara arrenca

Si la instal·lació encara arrenca, exporta els túnels des del client mentre tens la sessió iniciada amb el compte que els va crear. L’exportació produeix fitxers de configuració normals, i és en aquest punt que una còpia de seguretat esdevé portàtil.

Si el disc és llegible però Windows no arrenca, els fitxers protegits estan efectivament perduts. Les eines que prometen recuperar-los o bé corren en el context original, que ja no tens, o bé et demanen que els lliuris el blob i la imatge del disc antic, cosa que és una decisió que val la pena aturar-se a pensar.

Anota el que aprenguis en qualsevol cas: els noms dels túnels, els extrems i les claus públiques. Els noms i els extrems et deixen reconstruir ràpidament, i les claus públiques deixen que la part remota identifiqui quina entrada cal eliminar.

Reconstrueix-ho des de la part remota

Per a una part remota que controles, genera un parell de claus nou i afegeix la clau pública nova a la llista de parells. Per a un extrem corporatiu o allotjat, demana a l’administrador que emeti una clau nova i elimini l’antiga. Aquesta petició és la mateixa que faries després d’un robatori, perquè un disc perdut vol dir que la clau privada antiga s’ha de tractar com a exposada.

Després reconstrueix el túnel amb els valors que vas anotar, i confirma l’encaixada de mans abans d’esborrar res més. L’entrada antiga a la part remota hauria de desaparèixer en el mateix canvi, perquè un disc robat no es pugui reconnectar més tard.

La lliçó pertany a la política de còpies de seguretat, no a una eina de recuperació. Una configuració de WireGuard és una credencial: qui té la clau privada té la identitat de la part remota, i no hi ha cap segona contrasenya pel mig. O bé exportes la configuració expressament i la deses amb els altres secrets, o bé acceptes que recuperar vol dir reemetre claus, i anotes quina opció val per a cada túnel.