WireGuard-tunnelien palauttaminen kuolleelta Windows-tietokoneelta

Kannettava tietokone kuolee kolmen määritetyn WireGuard-tunnelin kanssa, ja kokoonpanotiedostot ovat yhä levyllä. Niiden kopioiminen korvaavaan koneeseen tuottaa palvelun, joka käynnistyy ja kieltäytyy sitten nousemasta. Tiedostot on suojattu avaimella, joka kuuluu ne luoneelle tilille ja koneelle, joten tavut matkustavat mutta kyky lukea niitä ei. Alla oleva kuvaus etenee tiedoston paikantamisesta vaihtoehtoon, joka todella palauttaa palvelun.

Missä tunnelitiedosto nyt sijaitsee

Tallennuspaikka on siirtynyt versioiden välillä. Vanhemmat asennukset pitivät profiileja järjestelmäprofiilin paikallisissa sovellustiedoissa WireGuard\Configurations-kansiossa, ja nykyiset koontiversiot käyttävät datakansiota ohjelmatiedostojen puun sisällä. Jokainen tunneli on yksi tiedosto, jossa on kaksinkertainen pääte, joka nimeää suojauksen:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Pääte .dpapi ei ole koristetta. Tiedosto on suojattu blob, ja palvelu on suunniteltu kuluttamaan sen juuri siinä muodossa. Tuettu tapa asentaa tunneli siitä on korotettu kutsu, joka osoittaa blobiin:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Tuo komento onnistuu vain ympäristössä, joka pystyy purkamaan blobin. Se asentaa palvelun; se ei salauksenpura mitään puolestasi.

Miksi blob ei avaudu muualla

Suojaus johtaa avaimensa käyttäjän kirjautumistiedoista ja valitusta laajuudesta riippuen koneesta. Microsoftin dokumentaatio suojauskutsusta sanoo, että oletus kuuluu käyttäjälle ja koneelle, jotka sen salasivat, ja konelaajuinen vaihtoehto muuttaa sitä, kuka voi purkaa sen. Kummassakin tapauksessa avain elää käyttöjärjestelmän tunnistetietomateriaalissa, ei tiedoston sisällä. Salateksti on siirrettävissä; avain ei.

Kansion omistajuuden ottaminen muuttaa ACL:ää eikä mitään muuta. Vanhan levyn asentaminen koteloon ja blobin kopioiminen uuteen tietokoneeseen jättää sinulle salatekstin, jonka avainta ei koskaan kopioitu. Virhe on kryptografinen, eikä mikään palvelun uudelleenasennus muuta sitä. Uudella koneella ei ole pääavainta sille tilille, eikä vanha avainsäilö matkusta tiedoston mukana.

Tuotteet, jotka tallentavat asetukset hämärrettyyn tiedostoon, tekevät eron selväksi. Kokoonpano, joka on vain obfuskoitu, muuttuu luettavaksi, kun löydät lipun, joka poistaa obfuskoinnin käytöstä; suojattu blob pysyy suljettuna ilman avainta. Näiden kahden sekoittaminen saa ihmiset etsimään dekooderia, jota ei ole olemassa.

Mitä voi yrittää, kun vanha järjestelmä vielä käynnistyy

Jos asennus vielä käynnistyy, vie tunnelit asiakasohjelmasta, kun olet kirjautuneena tilillä, joka ne loi. Vienti tuottaa tavallisia kokoonpanotiedostoja, ja juuri silloin varmuuskopiosta tulee siirrettävä.

Jos levy on luettavissa mutta Windows ei käynnisty, suojatut tiedostot ovat käytännössä menetettyjä. Työkalut, jotka lupaavat palauttaa ne, joko toimivat alkuperäisessä ympäristössä, jota sinulla ei enää ole, tai pyytävät sinua luovuttamaan blobin ja vanhan levysi imagen, mikä on päätös, jonka kohdalla kannattaa pysähtyä.

Kirjaa ylös se, mitä opit, kummassakin tapauksessa: tunnelien nimet, päätepisteet ja julkiset avaimet. Nimet ja päätepisteet antavat sinun rakentaa nopeasti uudelleen, ja julkiset avaimet antavat vastapuolen tunnistaa, mikä merkintä poistetaan.

Rakenna sen sijaan uudelleen vastapuolen puolelta

Hallitsemallesi vastapuolelle luo uusi avainpari ja lisää uusi julkinen avain vastapuolen luetteloon. Yritys- tai hosting-päätepisteen kohdalla pyydä ylläpitäjää myöntämään uusi avain ja poistamaan vanha. Pyyntö on sama, jonka tekisit varkauden jälkeen, koska kadonnut levy tarkoittaa, että vanhaa yksityistä avainta on pidettävä paljastuneena.

Rakenna sitten tunneli uudelleen kirjaamistasi arvoista ja vahvista kättely ennen kuin poistat mitään muuta. Vastapuolen vanhan merkinnän pitäisi kadota samassa muutoksessa, jotta varastettu levy ei voi liittyä myöhemmin uudelleen.

Oppi kuuluu varmuuskopiointikäytäntöön, ei palautustyökaluun. WireGuard-kokoonpano on tunnistetieto: kuka tahansa yksityisen avaimen haltija pitää hallussaan vastapuolen identiteettiä, eikä tiellä ole toista salasanaa. Joko vie kokoonpano tarkoituksella ja säilytä sitä muiden salaisuuksiesi kanssa, tai hyväksy, että palauttaminen tarkoittaa avainten myöntämistä uudelleen, ja kirjoita muistiin, kumpi valinta koskee mitäkin tunnelia.