WireGuard-Schlüsselrotation

Wir werden oft gefragt, ob es möglich ist, die WireGuard®-Schlüssel, die zur Sicherung von Verbindungen bei der Verwendung des WireGuard-VPN-Protokolls verwendet werden, zu „rotieren“ oder „neu zu generieren“. Das heißt, alte Schlüssel durch neue zu ersetzen.

Die kurze Antwort lautet: Ja, es ist möglich, die für Proton VPN-Verbindungen verwendeten WireGuard-Peer-Schlüssel (die normalerweise in den WireGuard-Konfigurationsdateien gespeichert sind) manuell zu rotieren, wenn du möchtest. Das ist jedoch selten nützlich. In diesem Artikel erklären wir, warum.

Warum das Rotieren von WireGuard-Schlüsseln selten nützlich ist

Die WireGuard-Peer-Schlüssel können nicht abgefangen(neues Fenster) werden, ohne dass der Handshake entschlüsselt wird, und dies ist nur möglich, wenn ein Angreifer Zugriff auf den privaten Schlüssel des VPN-Servers hat, mit dem du dich verbindest. Unnötig zu erwähnen, dass dieser sehr sicher gespeichert ist.

Diese Peer-Schlüssel dienen in erster Linie dazu, zu verifizieren, dass das Benutzerkonto gültig ist, und eine Identität zu etablieren, mit der Sitzungsschlüssel vereinbart werden können. Es sind diese Sitzungsschlüssel und nicht die in den WireGuard-Konfigurationsdateien gespeicherten Schlüssel, die deinen Internetverkehr verschlüsseln.

Sie werden von WireGuard selbst automatisch generiert, wann immer ein neuer Handshake stattfindet. Und das ist alle zwei Minuten.

Wann das Rotieren von Peer-Schlüsseln nützlich sein kann

Die einzige Situation, in der das Rotieren von WireGuard-Peer-Schlüsseln nützlich sein kann, ist, wenn dein Gerät auf irgendeine Weise kompromittiert wurde.

So rotierst du Schlüssel

Wann immer du dich aus einer Proton VPN-App abmeldest (oder deine Sitzung(neues Fenster) in den Proton Mail-Einstellungen widerrufst), werden die in den WireGuard-Konfigurationsdateien für diese App gespeicherten Schlüssel widerrufen und können nicht erneut verwendet werden. Wenn du dich wieder anmeldest, wird ein neues Schlüsselpaar generiert.

Du kannst deine WireGuard-Peer-Schlüssel daher ganz einfach manuell „rotieren“ oder neu generieren, indem du dich aus der VPN-App abmeldest und dann wieder anmeldest.