Odzyskiwanie tuneli WireGuard z martwego komputera z Windows

Laptop umiera z trzema skonfigurowanymi tunelami WireGuard, a pliki konfiguracji wciąż są na dysku. Skopiowanie ich na maszynę zastępczą daje usługę, która startuje, a potem odmawia wstania. Pliki są chronione kluczem należącym do konta i maszyny, które je utworzyły, więc bajty podróżują, a możliwość ich odczytania nie. Poniższy opis prowadzi od znalezienia pliku do opcji, która naprawdę przywraca usługę.

Gdzie teraz mieszka plik tunelu

Miejsce przechowywania zmieniało się między wydaniami. Starsze instalacje trzymały profile w lokalnych danych aplikacji profilu systemowego w folderze WireGuard\Configurations, a obecne kompilacje używają katalogu danych w drzewie plików programu. Każdy tunel to jeden plik z podwójnym rozszerzeniem, które nazywa ochronę:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Przyrostek .dpapi nie jest ozdobą. Plik jest chronionym blobem, a usługa jest zaprojektowana tak, by konsumować go dokładnie w tej formie. Wspierany sposób instalacji tunelu z niego to wywołanie z podniesionymi uprawnieniami, które wskazuje na blob:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

To polecenie udaje się tylko w kontekście, który potrafi rozpakować blob. Instaluje usługę; nie odszyfrowuje niczego za ciebie.

Dlaczego blob nie otwiera się gdzie indziej

Ochrona wyprowadza klucz z danych logowania użytkownika i, w zależności od wybranego zakresu, z maszyny. Dokumentacja Microsoftu dla wywołania ochrony mówi, że domyślnie należy on do użytkownika i maszyny, które go zaszyfrowały, a opcja dla całej maszyny zmienia, kto może go rozpakować. W obu przypadkach klucz żyje w materiale poświadczeń systemu operacyjnego, a nie w pliku. Szyfrogram jest przenośny; klucz nie.

Przejęcie własności folderu zmienia ACL i nic więcej. Zamontowanie starego dysku w obudowie i skopiowanie bloba na nowy komputer zostawia szyfrogram, którego klucz nigdy nie został skopiowany. Awaria jest kryptograficzna i żadna reinstalacja usługi jej nie zmieni. Nowa maszyna nie ma klucza głównego dla tego konta, a stary magazyn kluczy nie podróżuje z plikiem.

Produkty, które trzymają ustawienia w zaciemnionym pliku, jasno pokazują kontrast. Konfiguracja tylko zaciemniona staje się czytelna, gdy znajdziesz flagę wyłączającą zaciemnienie; chroniony blob pozostaje zamknięty bez klucza. Mylenie tych dwóch rzeczy sprawia, że ludzie szukają dekodera, którego nie ma.

Czego spróbować, gdy stary system jeszcze się uruchamia

Jeśli instalacja nadal startuje, wyeksportuj tunele z klienta, będąc zalogowanym na konto, które je utworzyło. Eksport tworzy zwykłe pliki konfiguracji, i właśnie wtedy kopia zapasowa staje się przenośna.

Jeśli dysk jest czytelny, ale Windows nie startuje, chronione pliki są faktycznie utracone. Narzędzia obiecujące ich odzyskanie albo działają w pierwotnym kontekście, którego już nie masz, albo proszą o wydanie bloba i obrazu starego dysku, co jest decyzją, przy której warto się zatrzymać.

Zapisz, czego się dowiesz, w obu przypadkach: nazwy tuneli, punkty końcowe i klucze publiczne. Nazwy i punkty końcowe pozwalają szybko odbudować, a klucze publiczne pozwalają drugiej stronie ustalić, który wpis usunąć.

Zamiast tego odbuduj od strony peera

Dla peera, którym zarządzasz, wygeneruj nową parę kluczy i dodaj nowy klucz publiczny do listy peera. Dla punktu końcowego firmowego lub hostowanego poproś administratora o wydanie nowego klucza i usunięcie starego. Ta prośba jest tą samą, którą złożyłbyś po kradzieży, bo utracony dysk oznacza, że stary klucz prywatny trzeba traktować jako ujawniony.

Następnie odbuduj tunel z zapisanych wartości i potwierdź uścisk dłoni, zanim usuniesz cokolwiek innego. Stary wpis u peera powinien zniknąć w tej samej zmianie, aby skradziony dysk nie mógł później połączyć się ponownie.

Lekcja należy do polityki kopii zapasowych, a nie do narzędzia odzyskiwania. Konfiguracja WireGuard jest poświadczeniem: kto ma klucz prywatny, ten ma tożsamość peera, a na drodze nie ma drugiego hasła. Albo świadomie wyeksportuj konfigurację i przechowuj ją z innymi swoimi sekretami, albo zaakceptuj, że odzyskanie oznacza ponowne wydanie kluczy, i zapisz, który wybór dotyczy którego tunelu.