WireGuard-tunnelite taastamine surnud Windowsi arvutist

Sülearvuti sureb kolme seadistatud WireGuard-tunneliga ja konfiguratsioonifailid on endiselt kettal. Nende kopeerimine asendusmasinasse loob teenuse, mis käivitub ja keeldub seejärel üles tulemast. Failid on kaitstud võtmega, mis kuulub kontole ja masinale, mis need lõid, nii et baidid rändavad, lugemisvõime aga mitte. Alljärgnev läbikäik läheb faili leidmisest valikuni, mis teenuse tegelikult taastab.

Kus tunnelifail nüüd asub

Salvestuskoht on versioonide vahel liikunud. Vanemad paigaldused hoidsid profiile süsteemiprofiili kohalikes rakenduse andmetes kausta WireGuard\Configurations all ja praegused buildid kasutavad andmekataloogi programmifailide puu sees. Iga tunnel on üks fail topeltlaiendiga, mis nimetab kaitse:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Laiend .dpapi ei ole kaunistus. Fail on kaitstud blob ja teenus on loodud seda täpselt sellisel kujul tarbima. Toetatud viis tunnelit sellest paigaldada on kõrgendatud kutse, mis osutab blobile:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

See käsk õnnestub ainult kontekstis, mis suudab blobi lahti pakkida. See paigaldab teenuse; see ei dekrüpteeri sinu eest midagi.

Miks blob mujal ei avane

Kaitse tuletab oma võtme kasutaja sisselogimisandmetest ja olenevalt valitud ulatusest masinast. Microsofti dokumentatsioon kaitsekutse kohta ütleb, et vaikeväärtus kuulub kasutajale ja masinale, kes selle krüpteerisid, ning masinaülene valik muudab, kes tohib selle lahti pakkida. Mõlemal juhul elab võti operatsioonisüsteemi mandaadimaterjalis, mitte faili sees. Šifreeritud tekst on kaasaskantav; võti mitte.

Kausta omandamine muudab ACL-i ja mitte midagi muud. Vana ketta karbis mountimine ja blobi uude arvutisse kopeerimine jätab sulle šifreeritud teksti, mille võtit ei kopeeritud kunagi. Tõrge on krüptograafiline ja ükski teenuse ümberpaigaldus ei muuda seda. Uuel masinal pole selle konto jaoks põhivõtit ja vana võtmehoidla ei rända failiga kaasa.

Tooted, mis hoiavad seadeid hägustatud failis, teevad kontrasti selgeks. Konfiguratsioon, mis on ainult obfuskeeritud, muutub loetavaks, kui leiad lipu, mis obfuskatsiooni välja lülitab; kaitstud blob jääb ilma võtmeta suletuks. Kahe segamine ajab inimesi otsima dekoodrit, mida pole olemas.

Mida proovida, kuni vana süsteem veel buudib

Kui paigaldus veel käivitub, ekspordi tunnelid kliendist, olles sisse logitud kontoga, mis need lõi. Eksport loob tavalised konfiguratsioonifailid ja just siis muutub varukoopia kaasaskantavaks.

Kui ketas on loetav, aga Windows ei buudi, on kaitstud failid tegelikult kadunud. Tööriistad, mis lubavad need taastada, töötavad kas algses kontekstis, mida sul enam pole, või paluvad sul blob ja vana kettapilt üle anda, mis on otsus, mille juures tasub peatuda.

Pane kirja, mida õpid, mõlemal juhul: tunnelite nimed, lõpp-punktid ja avalikud võtmed. Nimed ja lõpp-punktid lasevad kiiresti uuesti üles ehitada ning avalikud võtmed lasevad vastaspoolel tuvastada, milline kirje eemaldada.

Ehita pigem vastaspoolelt uuesti üles

Vastaspoole jaoks, mida kontrollid, genereeri uus võtmepaar ja lisa uus avalik võti vastaspoole nimekirja. Ettevõtte või hostitud lõpp-punkti jaoks palu administraatoril välja anda uus võti ja vana eemaldada. See taotlus on sama, mille esitaksid pärast vargust, sest kadunud ketas tähendab, et vana privaatvõtit tuleb käsitleda paljastatuna.

Seejärel ehita tunnel uuesti üles kirjapandud väärtustest ja kinnita kätlus, enne kui midagi muud kustutad. Vastaspoolel peaks vana kirje samas muudatuses kaduma, et varastatud ketas ei saaks hiljem uuesti ühenduda.

Õppetund kuulub varunduspoliitikasse, mitte taastetööriista. WireGuard konfiguratsioon on mandaat: kellel on privaatvõti, sellel on vastaspoole identiteet, ja teel ei ole teist parooli. Kas ekspordi konfiguratsioon teadlikult ja hoia seda koos oma teiste saladustega, või lepi sellega, et taastamine tähendab võtmete uuesti väljaandmist, ja pane kirja, milline valik kehtib iga tunneli kohta.