WireGuard tunelak Windows hildako PC batetik berreskuratzea

Garraio-ordenagailu bat hiru WireGuard tunel konfiguratuta dituela hiltzen da, eta konfigurazio-fitxategiak oraindik diskoan daude. Ordezko makina batera kopiatzean zerbitzu bat sortzen da, abiatu eta gero altxatzeari ukatzen diona. Fitxategiak sortu zituzten kontu eta makinari dagokion gako batekin babestuta daude, beraz byteak bidaiatzen dute, baina irakurtzeko gaitasunak ez. Hurrengo ibilbidea fitxategia aurkitzetik zerbitzua benetan berreskuratzen duen aukeraraino doa.

Non bizi da orain tunel-fitxategia

Biltegiratzea bertsioen artean aldatu da. Instalazio zaharrek profilak sistemaren profilaren tokiko aplikazio-datuetan gordetzen zituzten WireGuard\Configurations karpeta baten barruan, eta uneko eraikuntzek programaren fitxategi-zuhaitzaren barruko datu-direktorioa erabiltzen dute. Tunel bakoitza fitxategi bakarra da, babesa izendatzen duen luzapen bikoitzarekin:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

.dpapi atzizkia ez da apaingarria. Fitxategia blob babestu bat da, eta zerbitzua forma horretan bertan kontsumitzeko diseinatuta dago. Handik tunel bat instalatzeko modu onartua blobari erreferentzia egiten dion dei goratu bat da:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Komando horrek blob-a ireki dezakeen testuinguruan bakarrik lortzen du arrakasta. Zerbitzu bat instalatzen du; ez du ezer deszifratzen zure ordez.

Zergatik ez den bloba beste leku batean irekitzen

Babesak erabiltzailearen saio-hasierako kredentzialetatik eratorri ohi du gakoa eta, hautatutako esparruaren arabera, makinatik. Babes-deirako Microsoft-en dokumentazioak dio lehenetsitakoa enkriptatu zuten erabiltzaile eta makina dagokiela, eta makina osoko aukera batek aldatzen duela nork dezakeen ireki. Bi kasuetan gakoa sistema eragilearen kredentzial-materialean bizi da, ez fitxategiaren barruan. Testu zifratua eramangarria da; gakoa ez.

Karpetaren jabetza hartzeak ACL bat aldatzen du eta besterik ez. Disko zaharra karkasa batean muntatzeak eta bloba PC berri batera kopiatzeak gakoa inoiz kopiatu ez zuen testu zifratua uzten dizu. Hutsegitea kriptografikoa da, eta zerbitzua berriro instalatzeak ez du aldatzen. Makina berriak ez du kontu horretarako gako nagusirik, eta gako-biltegi zaharrak ez du fitxategiarekin bidaiatzen.

Ezarpenak fitxategi lausotu batean gordetzen dituzten produktuek kontrastea argi uzten dute. Besterik gabe obfuskatu den konfigurazio bat irakurgarri bihurtzen da obfuskazioa desgaitzen duen bandera aurkitzean; blob babestua itxita geratzen da gakoa gabe. Biak nahasteak existitzen ez den deskodetzaile baten bila jartzera eramaten ditu pertsonak.

Zer probatu sistema zaharra oraindik abiarazten den bitartean

Instalazioa oraindik hasten bada, esportatu tunelak bezeroan, tunelak sortu zituen kontuarekin saioa hasita. Esportazioak konfigurazio-fitxategi arruntak sortzen ditu, eta une horretan bihurtzen da segurtasun-kopia eramangarri.

Diskoa irakurgarria bada baina Windows abiarazten ez bada, babestutako fitxategiak galduak dira. Haiek berreskuratzea agintzen duten tresnak jada ez duzun jatorrizko testuinguruan exekutatzen dira, edo blob-a eta disko zaharraren irudia emateko eskatzen dizute, eta hori pentsatzeko merezi duen erabakia da.

Idatzi ikasten duzuna edozein kasutan: tunelen izenak, muturrak eta gako publikoak. Izenek eta muturrek azkar berreraikitzea ahalbidetzen dute, eta gako publikoek beste alderdiak zein sarrera kendu behar duen identifikatzea ahalbidetzen dute.

Berreraiki parearen aldetik, horren ordez

Kontrolatzen duzun pare baterako, sortu gako-pare berria eta gehitu gako publiko berria pareen zerrendara. Enpresa-mailako edo ostatutako mutur baterako, eskatu administratzaileari gako berria eman eta zaharra kentzeko. Eskaera hori berbera da lapurreta baten ondoren egingo zenukeena, galdu den disko batek gako pribatu zaharra agerian dagoela kontsideratu behar dela esan nahi duelako.

Ondoren, berreraiki tunela idatzi zenituen balioetatik, eta egiaztatu esku-ematea beste ezer ezabatu aurretik. Parean zegoen sarrera zaharra aldaketa berean desagertu behar luke, lapurtutako disko batek geroago berriro konektatu ezin dezan.

Ikasgaia segurtasun-kopien politikari dagokio, ez berreskuratze-tresna bati. WireGuard konfigurazioa kredentziala da: gako pribatua duenak parearen identitatea du, eta ez dago bigarren pasahitzik bidean. Edo konfigurazioa nahita esportatu eta zure beste sekretuekin gorde, edo onartu berreskuratzeak gakoak berriro ematea esan nahi duela, eta idatzi zein aukera dagokion tunel bakoitzari.