WireGuard-Tunnelen vun engem doudegen Windows-PC erëmfannen

E Laptop stierft mat dräi konfiguréierten WireGuard-Tunnelen, an d’Konfiguratiounsdateie sinn nach op der Plack. Si op eng Ersatzmaschinn ze kopéieren ergëtt en Service, deen ufänkt an dann refuséiert erofzeklammen. D’Dateie si mat engem Schlëssel geschützt, deen zum Kont an zur Maschinn gehéiert, déi se erstallt hunn, also d’Bytes reesen an d’Fäegkeet se ze liesen net. D’Uleedung hei drënner geet vum Fonnt vun der Datei bis zur Optioun, déi de Service wierklech erëmfënnt.

Wou d’Tunneldatei elo wunnt

D’Späicherung huet sech tëscht de Versioune geréckelt. Méi al Installatiounen hunn d’Profiler an de lokalen Uwendungsdaten vum Systemprofil ënner engem Dossier WireGuard\Configurations gehalen, an déi aktuell Builds benotze en Datendossier bannent dem Programmdateibeem. All Tunnel ass eng eenzeg Datei mat enger duebeler Extensioun, déi de Schutz nennt:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

D’Suffix .dpapi ass keng Dekoratioun. D’Datei ass en geschützte Blob, an de Service ass drop ausgeluecht, se genee an där Form ze verbrauchen. De unterstëtzte Wee, en Tunnel doraus ze installéieren, ass en erhéichte Ruff, deen op de Blob weist:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Dee Kommando geléngt nëmmen am Kontext, deen de Blob kann opmaachen. En installéiert e Service; en entschlësselt näischt fir Iech.

Firwat de Blob soss néierens opgeet

De Schutz leet säi Schlëssel vun de Login-Donnéeë vum Benotzer of an, jee no gewieltem Ëmfang, vun der Maschinn. D’Microsoft-Dokumentatioun fir de Schutzruff seet, datt d’Standardwäert dem Benotzer an der Maschinn gehéiert, déi en verschlësselt hunn, an eng Optioun fir déi ganz Maschinn ännert, wien en opmaache kann. An zwee Fäll wunnt de Schlëssel am Authentifikatiounsmaterial vum Betribssystem, net an der Datei. Den Ziffertext ass transportabel; de Schlëssel net.

D’Eegentum vum Dossier ze iwwerhuelen ännert eng ACL an soss näischt. Déi al Plack an engem Gehäis montéieren an de Blob op en neien PC kopéieren hannerléisst Iech Ziffertext, deem säi Schlëssel ni kopéiert gouf. De Feeler ass kryptografesch, an et ännert keen Neiinstalléiere vum Service. Déi nei Maschinn huet kee Master-Schlëssel fir dee Kont, an deen ale Schlësselspäicher reest net mat der Datei.

Produkter, déi Astellungen an enger verschleierter Datei späicheren, maachen den Ënnerscheed kloer. Eng Konfiguratioun, déi just verschleiert ass, gëtt liesbar, soubal Dir de Fändel fannt, deen d’Verschleierung ausschalt; e geschützte Blob bleift ouni de Schlëssel zou. Déi zwee ze verwiesselen, bréngt d’Leit en Decoder ze sichen, deen et net gëtt.

Wat een ausprobéiere kann, soulaang den ale System nach boot

Wann d’Installatioun nach start, exportéiert d’Tunnelen aus dem Client, wärend Dir als dee Kont ugemellt sidd, deen se erstallt huet. Den Export mécht gewéinlech Konfiguratiounsdateien, an do gëtt eng Sécherung transportabel.

Wann d’Plack liesbar ass, awer Windows net boot, sinn déi geschützt Dateien effektiv verluer. Tools, déi verspriechen, se erëmzefannen, lafen entweder am ursprénglechen Kontext, deen Dir net méi hutt, oder si froen Iech, de Blob an d’Bild vun Ärer aler Plack iwwerzeginn, wat eng Entscheedung ass, iwwer déi et sech lount ze stoppen.

Schreift op, wat Dir léiert, an zwou Fäll: d’Tunnelnimm, d’Endpunkten an d’ëffentlech Schlësselen. Nimm an Endpunkten erlaben Iech, séier erëm opzebauen, an ëffentlech Schlësselen erlaben der anerer Säit ze erkennen, wéi en Eintrag ewechzemaachen ass.

Baut et léiwer vun der anerer Säit aus erëm op

Fir eng aner Säit, déi Dir kontrolléiert, generéiert en neit Schlësselpaar a füügt den neien ëffentleche Schlëssel op d’Lëscht vun der anerer Säit derbäi. Fir en Endpunkt vun enger Firma oder vun engem Host, frot den Administrateur, en neie Schlëssel auszeginn an deen alen ewechzemaachen. Dee Fro ass deeselwechten, deen Dir no engem Déifstall maacht, well eng verluer Plack heescht, datt den ale private Schlëssel als offenbar behandelt muss ginn.

Baut dunn den Tunnel aus de Wäerter erëm op, déi Dir opgeschriwwen hutt, a bestätegt den Handshake, ier Dir soss eppes läscht. Den ale Eintrag bei der anerer Säit soll an der selwechter Ännerung verschwannen, sou datt eng geklaut Plack méi spéit net erëm kann verbannen.

D’Lektioun gehéiert an d’Sécherungspolitik an net an en Erëmfann-Tool. Eng WireGuard-Konfiguratioun ass en Authentifikatiounsdatum: wien den private Schlëssel hält, hält d’Identitéit vun der anerer Säit, an et ass kee zweete Passwuert am Wee. Entweder exportéiert Dir d’Konfiguratioun bewosst a späichert se mat Ären anere Geheimnisser, oder Dir akzeptéiert, datt Erëmfannen d’Neiausgi vu Schlëssele bedeit, a schreift op, wéi eng Wiel fir wéien Tunnel gëllt.