กู้คืนอุโมงค์ WireGuard จากพีซี Windows ที่เสีย

แล็ปท็อปเครื่องหนึ่งเสียโดยมีการตั้งค่าอุโมงค์ WireGuard สามอุโมงค์ และไฟล์การกำหนดค่ายังอยู่บนดิสก์ การคัดลอกไฟล์เหล่านั้นไปยังเครื่องทดแทนจะได้บริการที่เริ่มทำงานแล้วปฏิเสธที่จะขึ้น ไฟล์ถูกป้องกันด้วยคีย์ที่เป็นของบัญชีและเครื่องที่สร้างขึ้น ไบต์จึงเดินทางได้ แต่ความสามารถในการอ่านไม่ได้เดินทางไปด้วย คำแนะนำด้านล่างเริ่มจากการค้นหาไฟล์ไปจนถึงทางเลือกที่กู้บริการได้จริง

ไฟล์อุโมงค์อยู่ที่ไหนตอนนี้

ตำแหน่งจัดเก็บเปลี่ยนไปตามเวอร์ชัน การติดตั้งรุ่นเก่าเก็บโปรไฟล์ไว้ในข้อมูลแอปพลิเคชันภายในเครื่องของโปรไฟล์ระบบในโฟลเดอร์ WireGuard\Configurations ส่วนบิลด์ปัจจุบันใช้ไดเรกทอรีข้อมูลภายในทรีไฟล์ของโปรแกรม อุโมงค์แต่ละอันเป็นไฟล์เดียวที่มีนามสกุลซ้อนซึ่งระบุการป้องกัน:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

ส่วนต่อท้าย .dpapi ไม่ใช่เครื่องประดับ ไฟล์เป็นบล็อบที่ได้รับการป้องกัน และบริการถูกออกแบบมาให้ใช้ในรูปแบบนั้นเป๊ะ ๆ วิธีที่รองรับในการติดตั้งอุโมงค์จากไฟล์นี้คือการเรียกแบบยกระดับสิทธิ์ที่ชี้ไปยังบล็อบ:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

คำสั่งนั้นสำเร็จเฉพาะในบริบทที่แกะบล็อบได้ มันติดตั้งบริการ แต่ไม่ได้ถอดรหัสอะไรให้คุณ

ทำไมบล็อบจึงไม่เปิดที่อื่น

การป้องกันดึงคีย์จากข้อมูลรับรองการเข้าสู่ระบบของผู้ใช้ และขึ้นกับขอบเขตที่เลือกอาจดึงจากเครื่องด้วย เอกสารของ Microsoft สำหรับการเรียกป้องกันระบุว่าค่าเริ่มต้นเป็นของผู้ใช้และเครื่องที่เข้ารหัสไว้ และตัวเลือกทั้งเครื่องเปลี่ยนว่าใครแกะได้ ในทั้งสองกรณีคีย์อาศัยอยู่ในวัสดุข้อมูลรับรองของระบบปฏิบัติการ ไม่ใช่ในไฟล์ ข้อความเข้ารหัสพกพาได้ แต่คีย์พกพาไม่ได้

การเข้าครอบครองโฟลเดอร์เปลี่ยน ACL และไม่เปลี่ยนอย่างอื่น การประกอบดิสก์เก่าในกล่องแล้วคัดลอกบล็อบไปยังพีซีใหม่จะเหลือข้อความเข้ารหัสที่คีย์ไม่เคยถูกคัดลอก ความล้มเหลวเป็นเรื่องการเข้ารหัส และการติดตั้งบริการซ้ำไม่ว่าจะกี่ครั้งก็ไม่เปลี่ยนสิ่งนั้น เครื่องใหม่ไม่มีคีย์หลักของบัญชีนั้น และที่เก็บคีย์เก่าไม่ได้เดินทางไปกับไฟล์

ผลิตภัณฑ์ที่เก็บการตั้งค่าไว้ในไฟล์ที่ถูกทำให้คลุมเครือทำให้เห็นความต่างชัดเจน การกำหนดค่าที่เพียงถูกทำให้คลุมเครือจะอ่านได้เมื่อคุณพบแฟล็กที่ปิดการทำให้คลุมเครือ ส่วนบล็อบที่ได้รับการป้องกันยังคงปิดอยู่หากไม่มีคีย์ การสับสนระหว่างสองสิ่งนี้ทำให้ผู้คนตามหาตัวถอดรหัสที่ไม่มีอยู่จริง

สิ่งที่ควรลองในขณะที่ระบบเก่ายังบูตได้

หากการติดตั้งยังเริ่มทำงาน ให้ส่งออกอุโมงค์จากไคลเอนต์ขณะลงชื่อเข้าใช้ด้วยบัญชีที่สร้างอุโมงค์เหล่านั้น การส่งออกสร้างไฟล์การกำหนดค่าธรรมดา และนั่นคือจุดที่สำรองข้อมูลกลายเป็นสิ่งที่พกพาได้

หากดิสก์อ่านได้แต่ Windows บูตไม่ได้ ไฟล์ที่ได้รับการป้องกันก็เท่ากับสูญหาย เครื่องมือที่สัญญาว่าจะกู้คืนให้ทำงานในบริบทเดิมที่คุณไม่มีแล้ว หรือขอให้คุณมอบบล็อบและอิมเมจดิสก์เก่า ซึ่งเป็นการตัดสินใจที่ควรหยุดคิดสักครู่

บันทึกสิ่งที่คุณเรียนรู้ไว้ทั้งสองกรณี ทั้งชื่ออุโมงค์ จุดปลายทาง และคีย์สาธารณะ ชื่อและจุดปลายทางช่วยให้คุณสร้างใหม่ได้เร็ว และคีย์สาธารณะช่วยให้อีกฝ่ายระบุได้ว่าจะลบรายการใด

สร้างใหม่จากฝั่งของคู่ตรงข้ามแทน

สำหรับคู่ตรงข้ามที่คุณควบคุม ให้สร้างคู่คีย์ใหม่และเพิ่มคีย์สาธารณะใหม่ลงในรายการของคู่ตรงข้าม สำหรับจุดปลายทางขององค์กรหรือที่โฮสต์ ให้ขอให้ผู้ดูแลออกคีย์ใหม่และลบคีย์เก่า คำขอนั้นเหมือนกับที่คุณจะทำหลังการโจรกรรม เพราะดิสก์ที่หายไปหมายความว่าคีย์ส่วนตัวเก่าต้องถือว่าเปิดเผยแล้ว

จากนั้นสร้างอุโมงค์ใหม่จากค่าที่คุณบันทึกไว้ และยืนยันการจับมือก่อนจะลบสิ่งอื่นใด รายการเก่าของคู่ตรงข้ามควรหายไปในการเปลี่ยนแปลงเดียวกัน เพื่อให้ดิสก์ที่ถูกขโมยไม่สามารถเชื่อมต่อกลับมาได้ในภายหลัง

บทเรียนนี้อยู่ในนโยบายสำรองข้อมูล ไม่ใช่ในเครื่องมือกู้คืน การกำหนดค่า WireGuard เป็นข้อมูลรับรอง ใครถือคีย์ส่วนตัวก็ถือตัวตนของคู่ตรงข้าม และไม่มีรหัสผ่านที่สองกั้นอยู่ จะเลือกส่งออกการกำหนดค่าโดยตั้งใจและเก็บไว้กับความลับอื่นของคุณ หรือยอมรับว่าการกู้คืนหมายถึงการออกคีย์ใหม่ แล้วเขียนไว้ว่าตัวเลือกใดใช้กับอุโมงค์ใด