WireGuard-nøglerotation

Vi bliver ofte spurgt, om det er muligt at ”rotere” eller “regenerere” de WireGuard®-nøgler, der bruges til at sikre forbindelser, når WireGuard VPN-protokollen anvendes. Det vil sige at erstatte gamle nøgler med nye nøgler.

Det korte svar er ja, det er muligt manuelt at rotere de WireGuard-peernøgler (som normalt er lagret i WireGuard-konfigurationsfilerne), der bruges til Proton VPN-forbindelser, hvis De ønsker det. Men det er sjældent nyttigt at gøre det. I denne artikel forklarer vi hvorfor.

Hvorfor rotation af WireGuard-nøgler sjældent er nyttigt

WireGuard-peernøglerle kan ikke opsnappes(nyt vindue), uden at håndtrykket dekrypteres, og dette er ikke muligt, medmindre en angriber har adgang til den private nøgle på den VPN-server, De opretter forbindelse til. Det siger sig selv, at denne er lagret meget sikkert.

Disse peernøgler tjener primært til at bekræfte, at brugerkontoen er gyldig, og til at etablere en identitet, der gør det muligt at aftale sessionsnøgler. Det er disse sessionsnøgler, snarere end de nøgler, der er lagret i WireGuard-konfigurationsfilerne, som krypterer Deres internettrafik.

De genereres automatisk af selve WireGuard, hver gang et nyt håndtryk finder sted. Hvilket er hvert andet minut.

Hvornår rotation af peernøgler kan være nyttigt

Den eneste situation, hvor det kan være nyttigt at rotere WireGuard-peernøgler, er, hvis Deres enhed på en eller anden måde er blevet kompromitteret.

Sådan roteres nøgler

Hver gang De logger ud af en Proton VPN-app (eller tilbagekalder Deres session(nyt vindue) i Proton Mail-indstillingerne), bliver de nøgler, der er lagret i WireGuard-konfigurationsfilerne til denne app, tilbagekaldt og kan ikke anvendes igen. Når De logger ind igen, genereres et nyt nøglepar.

De kan derfor manuelt ”rotere” eller regenerere WireGuard-peernøgler blot ved at logge ud af VPN-appen og derefter logge ind igen.