Rekrei WireGuard-tunelojn el mortinta Windows-komputilo

Tekkomputilo mortas kun tri agorditaj WireGuard-tuneloj, kaj la agordaj dosieroj ankoraŭ estas sur la disko. Kopii ilin al anstataŭa maŝino produktas servon, kiu ekfunkcias kaj poste rifuzas ekleviĝi. La dosieroj estas protektitaj per ŝlosilo, kiu apartenas al la konto kaj maŝino, kiuj kreis ilin, do la bajtoj vojaĝas kaj la kapablo legi ilin ne. La sekva trairo iras de trovado de la dosiero al la opcio, kiu vere rekreis la servon.

Kie nun loĝas la tunela dosiero

La konservado moviĝis inter eldonoj. Pli malnovaj instalaĵoj tenis profilojn en la lokaj aplikaĵaj datumoj de la sistema profilo sub dosierujo WireGuard\Configurations, kaj nunaj konstruoj uzas datendosierujon ene de la programdosiera arbo. Ĉiu tunelo estas unu dosiero kun duobla etendaĵo, kiu nomas la protekton:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

La sufikso .dpapi ne estas ornamo. La dosiero estas protektita blobo, kaj la servo estas dizajnita por konsumi ĝin ĝuste en tiu formo. La subtenata maniero instali tunelon el ĝi estas altigita voko, kiu montras al la blobo:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Tiu komando sukcesas nur en la kunteksto, kiu povas malvolvi la blobon. Ĝi instalas servon; ĝi malĉifras nenion por vi.

Kial la blobo ne malfermiĝas aliloke

La protekto derivas sian ŝlosilon de la ensalutaj akreditaĵoj de la uzanto kaj, laŭ la elektita amplekso, de la maŝino. La dokumentaro de Microsoft por la protekta voko diras, ke la defaŭlto apartenas al la uzanto kaj maŝino, kiuj ĉifris ĝin, kaj maŝinlarĝa opcio ŝanĝas, kiu rajtas malvolvi ĝin. En ambaŭ kazoj la ŝlosilo loĝas en la akreditaĵa materialo de la operaciumo, ne ene de la dosiero. La ĉifroteksto estas portebla; la ŝlosilo ne.

Preni posedon de la dosierujo ŝanĝas ACL kaj nenion alian. Munti la malnovan diskon en ujo kaj kopii la blobon al nova komputilo lasas al vi ĉifrotekston, kies ŝlosilo neniam estis kopiita. La fiasko estas kriptografia, kaj nenia reinstalo de la servo ŝanĝas ĝin. La nova maŝino ne havas ĉefan ŝlosilon por tiu konto, kaj la malnova ŝlosila stokejo ne vojaĝas kun la dosiero.

Produktoj, kiuj konservas agordojn en nebuligita dosiero, klarigas la kontraston. Agordo, kiu nur estas obfuskita, fariĝas legebla tuj kiam vi trovas la flagon, kiu malŝaltas la obfuskadon; protektita blobo restas fermita sen la ŝlosilo. Konfuzi la du igas homojn serĉi malĉifrilon, kiu ne ekzistas.

Kion provi dum la malnova sistemo ankoraŭ ekŝargas

Se la instalaĵo ankoraŭ ekfunkcias, eksportu la tunelojn el la kliento dum vi estas ensalutinta kiel la konto, kiu kreis ilin. La eksporto produktas ordinarajn agordajn dosierojn, kaj ĝuste tiam savkopio fariĝas portebla.

Se la disko estas legebla sed Windows ne ekŝargas, la protektitaj dosieroj estas praktike perditaj. Iloj, kiuj promesas rekreii ilin, aŭ funkcias en la origina kunteksto, kiun vi ne plu havas, aŭ petas vin transdoni la blobon kaj vian malnovan diskbildon, kio estas decido pri kiu indas halti.

Notu, kion vi lernas en ĉiu kazo: la tunelajn nomojn, la finpunktojn kaj la publikajn ŝlosilojn. Nomoj kaj finpunktoj ebligas rapidan rekonstruon, kaj publikaj ŝlosiloj ebligas al la aliulo identigi, kiun eron forigi.

Rekonstruu anstataŭe de la aliula flanko

Por aliulo, kiun vi kontrolas, generu novan ŝlosilparon kaj aldonu la novan publikan ŝlosilon al la listo de aliuloj. Por entreprena aŭ gastigita finpunkto, petu la administranton eldoni novan ŝlosilon kaj forigi la malnovan. Tiu peto estas la sama, kiun vi farus post ŝtelo, ĉar perdita disko signifas, ke la malnova privata ŝlosilo devas esti traktata kiel malkaŝita.

Poste rekonstruu la tunelon el la valoroj, kiujn vi notis, kaj konfirmu la manpremon antaŭ ol forigi ion alian. La malnova ero ĉe la aliulo devus malaperi en la sama ŝanĝo, por ke ŝtelita disko ne povu rekonekti poste.

La leciono apartenas al la savkopa politiko, ne al rekreilo. WireGuard-agordo estas akreditaĵo: kiu ajn tenas la privatan ŝlosilon, tenas la identecon de la aliulo, kaj neniu dua pasvorto staras survoje. Aŭ vi eksportu la agordon intence kaj konservu ĝin kun viaj aliaj sekretoj, aŭ akceptu, ke rekreado signifas reeldoni ŝlosilojn, kaj skribu, kiu elekto validas por ĉiu tunelo.