Rotación de claves de WireGuard

A menudo nos preguntan si es posible “rotar” o “regenerar” las claves de WireGuard® utilizadas para asegurar las conexiones al utilizar el protocolo VPN de WireGuard. Es decir, sustituir las claves antiguas por claves nuevas.

La respuesta corta es sí: es posible rotar manualmente las claves de par de WireGuard (que normalmente están almacenadas en los archivos de configuración de WireGuard) que se usan para las conexiones de Proton VPN si lo deseas. Pero hacerlo rara vez es útil. En este artículo te explicamos por qué.

Por qué rotar las claves de WireGuard rara vez es útil

Las claves de par de WireGuard no se pueden interceptar(ventana nueva) sin descifrar el saludo de conexión (handshake), y esto no es posible a menos que un atacante tenga acceso a la clave privada del servidor VPN al que te conectas. No hace falta decir que esta se almacena de forma muy segura.

Estas claves de par sirven principalmente para verificar que la cuenta de usuario es válida y establecer una identidad que permita acordar las claves de sesión. Son estas claves de sesión, y no las claves almacenadas en los archivos de configuración de WireGuard, las que cifran tu tráfico de internet.

WireGuard las genera automáticamente cada vez que se produce un nuevo saludo de conexión (handshake). Es decir, cada dos minutos.

Cuándo podría ser útil rotar las claves de par

La única situación en la que podría ser útil rotar las claves de par de WireGuard es si tu dispositivo se ha visto comprometido de alguna manera.

Cómo rotar las claves

Cada vez que cierras sesión en una aplicación Proton VPN (o revocas tu sesión(ventana nueva) en los ajustes de Proton Mail), las claves almacenadas en los archivos de configuración de WireGuard de esa aplicación se revocan y no se pueden volver a usar. Cuando vuelves a iniciar sesión, se genera un nuevo par de claves.

Por lo tanto, puedes “rotar” o regenerar manualmente las claves de par de WireGuard simplemente cerrando sesión en la aplicación VPN y volviendo a iniciarla.