Obnovitev tunelov WireGuard z mrtvega računalnika Windows

Prenosnik umre s tremi konfiguriranimi tuneli WireGuard, konfiguracijske datoteke pa so še vedno na disku. Če jih kopirate na nadomestni stroj, dobite storitev, ki se zažene in nato noče vstati. Datoteke so zaščitene s ključem, ki pripada računu in stroju, ki so jih ustvarili, zato bajti potujejo, zmožnost branja pa ne. Spodnji postopek gre od iskanja datoteke do možnosti, ki storitev res obnovi.

Kje zdaj živi datoteka tunela

Shramba se je med izdajami premaknila. Starejše namestitve so profile hranile v lokalnih podatkih aplikacij sistemskega profila v mapi WireGuard\Configurations, trenutne gradnje pa uporabljajo podatkovni imenik znotraj drevesa programskih datotek. Vsak tunel je ena datoteka z dvojno končnico, ki poimenuje zaščito:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Končnica .dpapi ni okras. Datoteka je zaščiten blob in storitev je zasnovana tako, da ga porablja točno v tej obliki. Podprt način namestitve tunela iz nje je povišan klic, ki kaže na blob:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Ta ukaz uspe le v kontekstu, ki zna blob razpakirati. Namesti storitev; ničesar ne dešifrira namesto vas.

Zakaj se blob drugje ne odpre

Zaščita izpelje svoj ključ iz prijavnih poverilnic uporabnika in, odvisno od izbranega obsega, iz stroja. Microsoftova dokumentacija za klic zaščite pravi, da privzeta vrednost pripada uporabniku in stroju, ki sta jo šifrirala, možnost za celoten stroj pa spremeni, kdo jo sme razpakirati. V obeh primerih ključ živi v prijavnem gradivu operacijskega sistema, ne v datoteki. Šifrirano besedilo je prenosljivo; ključ ni.

Prevzem lastništva mape spremeni ACL in nič drugega. Namestitev starega diska v ohišje in kopiranje bloba na nov računalnik vam pusti šifrirano besedilo, katerega ključ ni bil nikoli kopiran. Napaka je kriptografska in nobena ponovna namestitev storitve je ne spremeni. Novi stroj nima glavnega ključa za ta račun, stara shramba ključev pa ne potuje z datoteko.

Izdelki, ki shranjujejo nastavitve v zabrisani datoteki, naredijo razliko jasno. Konfiguracija, ki je samo obfuskirana, postane berljiva, ko najdete zastavico, ki obfuskacijo izklopi; zaščiten blob ostane brez ključa zaprt. Če oboje zamenjate, ljudje iščejo dekoder, ki ne obstaja.

Kaj poskusiti, dokler stari sistem še boota

Če se namestitev še začne, izvozite tunele iz odjemalca, medtem ko ste prijavljeni kot račun, ki jih je ustvaril. Izvoz ustvari običajne konfiguracijske datoteke in takrat varnostna kopija postane prenosljiva.

Če je disk berljiv, a Windows se ne zažene, so zaščitene datoteke dejansko izgubljene. Orodja, ki obljubljajo njihovo obnovitev, bodisi tečejo v prvotnem kontekstu, ki ga nimate več, bodisi zahtevajo, da izročite blob in podobo starega diska, kar je odločitev, pri kateri se velja ustaviti.

Zapišite, kar se naučite, v obeh primerih: imena tunelov, končne točke in javne ključe. Imena in končne točke vam omogočijo hitro ponovno gradnjo, javni ključi pa drugi strani omogočijo, da prepozna, kateri vnos odstraniti.

Raje zgradite znova s strani nasprotnega dela

Za nasprotni del, ki ga nadzorujete, ustvarite nov par ključev in dodajte novi javni ključ na seznam nasprotnega dela. Za poslovno ali gostovano končno točko prosite skrbnika, da izda nov ključ in odstrani starega. Ta zahteva je ista, kot bi jo vložili po kraji, ker izgubljen disk pomeni, da je treba stari zasebni ključ obravnavati kot razkrit.

Nato tunel znova zgradite iz zabeleženih vrednosti in potrdite rokovanje, preden izbrišete karkoli drugega. Stari vnos na nasprotnem delu bi moral izginiti v isti spremembi, da se ukraden disk pozneje ne more znova povezati.

Nauk spada v politiko varnostnih kopij, ne v orodje za obnovitev. Konfiguracija WireGuard je poverilnica: kdor ima zasebni ključ, ima identiteto nasprotnega dela, in na poti ni drugega gesla. Ali konfiguracijo zavestno izvozite in jo shranite z drugimi skrivnostmi, ali pa sprejmite, da obnovitev pomeni ponovno izdajo ključev, in zapišite, katera izbira velja za kateri tunel.