Rotation des clés WireGuard

On nous demande souvent s’il est possible de « faire tourner » ou de “régénérer” les clés WireGuard® utilisées pour sécuriser les connexions lors de l’utilisation du protocole VPN WireGuard. Autrement dit, de remplacer les anciennes clés par de nouvelles.

La réponse courte est oui, il est possible de faire tourner manuellement les clés de pair WireGuard (généralement stockées dans les fichiers de configuration WireGuard) utilisées pour les connexions Proton VPN si vous le souhaitez. Cependant, cela est rarement utile. Dans cet article, nous vous expliquons pourquoi.

Pourquoi faire tourner les clés WireGuard est rarement utile

Les clés de pair WireGuard ne peuvent pas être interceptées(nouvelle fenêtre) sans que la poignée de main ne soit déchiffrée, ce qui est impossible à moins qu’un attaquant n’ait accès à la clé privée du serveur VPN auquel vous vous connectez. Inutile de préciser que celle-ci est stockée de manière très sécurisée.

Ces clés de pair servent principalement à vérifier que le compte utilisateur est valide et à établir une identité permettant de convenir de clés de session. Ce sont ces clés de session, plutôt que les clés stockées dans les fichiers de configuration WireGuard, qui chiffrent votre trafic internet.

Elles sont automatiquement générées par WireGuard lui-même chaque fois qu’une nouvelle poignée de main a lieu. C’est-à-dire toutes les deux minutes.

Quand la rotation des clés de pair peut s’avérer utile

La seule situation dans laquelle la rotation des clés de pair WireGuard peut s’avérer utile est si votre appareil a été compromis d’une manière ou d’une autre.

Comment faire tourner les clés

Chaque fois que vous vous déconnectez d’une application Proton VPN (ou que vous révoquez votre session(nouvelle fenêtre) dans les paramètres de Proton Mail), les clés stockées dans les fichiers de configuration WireGuard de cette application sont révoquées et ne peuvent plus être utilisées. Lorsque vous vous reconnectez, une nouvelle paire de clés est générée.

Vous pouvez donc « faire tourner » ou régénérer manuellement les clés de pair WireGuard simplement en vous déconnectant de l’application VPN, puis en vous y reconnectant.