Rikthimi i tuneleve WireGuard nga një PC Windows i vdekur

Një laptop vdes me tre tunele WireGuard të konfiguruara, dhe skedarët e konfigurimit janë ende në disk. Kopjimi i tyre në një makinë zëvendësuese prodhon një shërbim që niset dhe më pas refuzon të ngrihet. Skedarët janë të mbrojtur me një çelës që i përket llogarisë dhe makinës që i krijoi, kështu që bajt-et udhëtojnë dhe aftësia për t'i lexuar nuk udhëton. Udhëzimi më poshtë shkon nga gjetja e skedarit te opsioni që rikthen vërtet shërbimin.

Ku jeton tani skedari i tunelit

Ruajtja ka lëvizur midis versioneve. Instalimet më të vjetra mbanin profilet në të dhënat lokale të aplikacioneve të profilit të sistemit në një dosje WireGuard\Configurations, dhe ndërtimet aktuale përdorin një drejtori të dhënash brenda pemës së skedarëve të programit. Çdo tunel është një skedar i vetëm me një shtesë të dyfishtë që emërton mbrojtjen:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Prapashtesa .dpapi nuk është zbukurim. Skedari është një blob i mbrojtur, dhe shërbimi është projektuar ta konsumojë atë pikërisht në atë formë. Mënyra e mbështetur për të instaluar një tunel prej tij është një thirrje e ngritur që tregon blob-in:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Ai komandë ka sukses vetëm në kontekstin që mund të shpaketojë blob-in. Ai instalon një shërbim; nuk deshifron asgjë për ju.

Pse blob-i nuk hapet diku tjetër

Mbrojtja e nxjerr çelësin nga kredencialet e hyrjes së përdoruesit dhe, në varësi të shtrirjes së zgjedhur, nga makina. Dokumentacioni i Microsoft për thirrjen e mbrojtjes thotë që parazgjedhja i përket përdoruesit dhe makinës që e kriptuan, dhe një opsion për të gjithë makinën ndryshon kush mund ta shpaketojë. Në të dyja rastet çelësi jeton në materialin e kredencialeve të sistemit operativ, jo brenda skedarit. Teksti i kriptuar është i lëvizshëm; çelësi nuk është.

Marrja e pronësisë së dosjes ndryshon një ACL dhe asgjë tjetër. Montimi i diskut të vjetër në një kuti dhe kopjimi i blob-it në një PC të ri ju lë me tekst të kriptuar çelësi i të cilit nuk u kopjua kurrë. Dështimi është kriptografik, dhe asnjë reinstalim i shërbimit nuk e ndryshon. Makina e re nuk ka asnjë çelës kryesor për atë llogari, dhe depoja e vjetër e çelësave nuk udhëton me skedarin.

Produktet që ruajnë cilësimet në një skedar të turbulluar e bëjnë kontrastin të qartë. Një konfigurim vetëm i turbulluar bëhet i lexueshëm sapo të gjeni flamurin që çaktivizon turbullimin; një blob i mbrojtur mbetet i mbyllur pa çelësin. Ngatërrimi i të dyjave i bën njerëzit të kërkojnë një dekoder që nuk ekziston.

Çfarë të provoni ndërsa sistemi i vjetër ende boot-on

Nëse instalimi ende niset, eksportoni tunelet nga klienti ndërsa jeni i identifikuar si llogaria që i krijoi. Eksportimi prodhon skedarë konfigurimi të zakonshëm, dhe pikërisht atëherë një kopje rezervë bëhet e lëvizshme.

Nëse disku është i lexueshëm por Windows nuk niset, skedarët e mbrojtur janë në fakt të humbur. Mjetet që premtojnë rikthimin e tyre ose ekzekutohen në kontekstin origjinal që nuk e keni më, ose ju kërkojnë të dorëzoni blob-in dhe imazhin e diskut të vjetër, që është një vendim për të cilin ia vlen të ndaleni.

Shënoni atë që mësoni në të dyja rastet: emrat e tuneleve, pikat fundore dhe çelësat publikë. Emrat dhe pikat fundore ju lejojnë të rindërtoni shpejt, dhe çelësat publikë i lejojnë palën tjetër të identifikojë cilin hyrje të heqë.

Rindërtoni në vend të kësaj nga ana e palës tjetër

Për një palë që ju kontrolloni, gjeneroni një çift të ri çelësash dhe shtoni çelësin e ri publik në listën e palës. Për një pikë fundore korporative ose të strehuar, kërkojini administratorit të lëshojë një çelës të ri dhe të heqë atë të vjetrin. Ai kërkesë është e njëjta që do të bënit pas një vjedhjeje, sepse një disk i humbur do të thotë që çelësi privat i vjetër duhet trajtuar si i ekspozuar.

Më pas rindërtoni tunelin nga vlerat që shënuat, dhe konfirmoni shtrëngimin e duarve përpara se të fshini çdo gjë tjetër. Hyrja e vjetër tek pala duhet të zhduket në të njëjtin ndryshim, që një disk i vjedhur të mos mund të rilidhet më vonë.

Mësimi i përket politikës së kopjeve rezervë, jo një mjeti rikthimi. Një konfigurim WireGuard është një kredencial: kushdo që mban çelësin privat mban identitetin e palës, dhe nuk ka një fjalëkalim të dytë në rrugë. Ose eksportoni me qëllim konfigurimin dhe e mbani me sekretet e tjera, ose pranoni se rikthimi do të thotë rilëshim çelësash, dhe shënoni cila zgjedhje vlen për çdo tunel.