WireGuard-alagutak helyreállítása egy halott Windows-os gépről

Egy laptop három beállított WireGuard-alagúttal elhal, és a konfigurációs fájlok még a lemezen vannak. Ha egy cseregépre másolja őket, olyan szolgáltatás jön létre, amely elindul, majd megtagadja a felemelkedést. A fájlokat olyan kulcs védi, amely a létrehozó fiókhoz és géphez tartozik, tehát a bájtok utaznak, az olvasásukra való képesség viszont nem. Az alábbi végigvezetés a fájl megkeresésétől addig a lehetőségig tart, amely valóban helyreállítja a szolgáltatást.

Hol lakik most az alagútfájl

A tárolás verziók között elmozdult. A régebbi telepítések a profilokat a rendszerprofil helyi alkalmazásadataiban, egy WireGuard\Configurations mappában tartották, a jelenlegi buildek pedig a programfájlok fáján belüli adatkönyvtárat használják. Minden alagút egyetlen fájl, dupla kiterjesztéssel, amely megnevezi a védelmet:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

A .dpapi utótag nem díszítés. A fájl védett blob, és a szolgáltatás úgy készült, hogy pontosan ilyen formában fogyassza. Az alagút telepítésének támogatott módja egy emelt hívás, amely a blobra mutat:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Ez a parancs csak abban a környezetben sikerül, amely ki tudja bontani a blobot. Szolgáltatást telepít; nem fejt vissza semmit ön helyett.

Miért nem nyílik meg a blob máshol

A védelem a kulcsát a felhasználó bejelentkezési hitelesítő adataiból, illetve a választott hatókörtől függően a gépből származtatja. A Microsoft védelmi hívásról szóló dokumentációja szerint az alapértelmezés ahhoz a felhasználóhoz és géphez tartozik, amely titkosította, és egy gép szintű beállítás megváltoztatja, ki bonthatja ki. Mindkét esetben a kulcs az operációs rendszer hitelesítő anyagában él, nem a fájlon belül. A rejtjelezett szöveg hordozható; a kulcs nem.

A mappa birtokba vétele egy ACL-t változtat, és semmi mást. A régi lemez házba helyezése és a blob új gépre másolása olyan rejtjelezett szöveget hagy, amelynek kulcsa soha nem lett átmásolva. A hiba kriptográfiai, és a szolgáltatás semmilyen újratelepítése nem változtat rajta. Az új gépnek nincs főkulcsa ahhoz a fiókhoz, és a régi kulcstár nem utazik a fájllal.

Azok a termékek, amelyek a beállításokat homályosított fájlban tárolják, világossá teszik az ellentétet. Egy csak obfuszkált konfiguráció olvashatóvá válik, amint megtalálja az obfuszkációt kikapcsoló kapcsolót; a védett blob kulcs nélkül zárva marad. A kettő összekeverése olyan dekódert kerestet az emberekkel, amely nem létezik.

Mit próbáljon meg, amíg a régi rendszer még bootol

Ha a telepítés még elindul, exportálja az alagutakat a kliensből, miközben a létrehozó fiókkal van bejelentkezve. Az exportálás közönséges konfigurációs fájlokat ad, és ezen a ponton válik a biztonsági mentés hordozhatóvá.

Ha a lemez olvasható, de a Windows nem bootol, a védett fájlok gyakorlatilag elvesztek. A helyreállításukat ígérő eszközök vagy abban az eredeti környezetben futnak, amely már nincs meg, vagy azt kérik, hogy adja át a blobot és a régi lemezképét, ami olyan döntés, amelynél érdemes megállni.

Jegyezze fel, amit megtud, mindkét esetben: az alagutak nevét, a végpontokat és a nyilvános kulcsokat. A nevek és végpontok gyors újjáépítést tesznek lehetővé, a nyilvános kulcsok pedig a távoli félnek teszik lehetővé annak azonosítását, melyik bejegyzést kell eltávolítani.

Inkább a távoli fél oldaláról építse újra

Egy általa irányított távoli félhez hozzon létre új kulcspárt, és adja hozzá az új nyilvános kulcsot a távoli fél listájához. Vállalati vagy tárhelyes végpont esetén kérje meg az admint, hogy adjon ki új kulcsot és távolítsa el a régit. Ez ugyanaz a kérés, amelyet lopás után tenne, mert egy elveszett lemez azt jelenti, hogy a régi privát kulcsot felfedettnek kell tekinteni.

Ezután építse újra az alagutat a feljegyzett értékekből, és erősítse meg a kézfogást, mielőtt bármi mást törölne. A távoli félen lévő régi bejegyzésnek ugyanabban a változtatásban el kell tűnnie, hogy egy ellopott lemez később ne tudjon újra csatlakozni.

A tanulság a biztonsági mentési szabályzatba tartozik, nem egy helyreállító eszközbe. A WireGuard-konfiguráció hitelesítő adat: aki a privát kulcsot birtokolja, a távoli fél identitását birtokolja, és nincs második jelszó az úton. Vagy szándékosan exportálja a konfigurációt, és tárolja a többi titkával együtt, vagy fogadja el, hogy a helyreállítás kulcsok újrakiadását jelenti, és írja le, melyik választás érvényes az egyes alagutakra.