Rotace klíčů WireGuard

Často dostáváme dotazy, zda je možné „rotovat“ nebo „regenerovat“ klíče WireGuard® používané k zabezpečení připojení při použití VPN protokolu WireGuard. Tedy nahradit staré klíče novými.

Stručná odpověď zní ano, pokud si to přejete, je možné ručně rotovat klíče peerů WireGuard (obvykle uložené v konfiguračních souborech WireGuard) používané pro připojení k Proton VPN. Činit tak je však užitečné jen zřídka. V tomto článku vysvětlíme proč.

Proč je rotace klíčů WireGuard užitečná jen zřídka

Klíče peerů WireGuard nelze odposlechnout(nové okno), aniž by došlo k dešifrování handshake, což není možné, pokud útočník nemá přístup k soukromému klíči VPN serveru, ke kterému se připojujete. Netřeba dodávat, že ten je uložen velmi bezpečně.

Tyto klíče peerů slouží především k ověření platnosti uživatelského účtu a k vytvoření identity, která umožňuje dohodnout klíče relace. Váš internetový provoz šifrují právě tyto klíče relace, nikoli klíče uložené v konfiguračních souborech WireGuard.

Jsou automaticky generovány samotným protokolem WireGuard při každém novém handshake. Což je každé dvě minuty.

Kdy může být rotace klíčů peerů užitečná

Jedinou situací, kdy by mohla být rotace klíčů peerů WireGuard užitečná, je, pokud bylo vaše zařízení nějakým způsobem kompromitováno.

Jak klíče rotovat

Kdykoli se odhlásíte z aplikace Proton VPN (nebo odvoláte svou relaci(nové okno) v nastavení Proton Mail), klíče uložené v konfiguračních souborech WireGuard pro danou aplikaci se zneplatní a nelze je znovu použít. Když se znovu přihlásíte, vygeneruje se nový pár klíčů.

Můžete tedy ručně „rotovat“ nebo regenerovat klíče peerů WireGuard jednoduše tak, že se odhlásíte z aplikace VPN a poté se znovu přihlásíte.