Rotazione delle chiavi WireGuard

Spesso ci viene chiesto se sia possibile “ruotare” o “rigenerare” le chiavi WireGuard® utilizzate per proteggere le connessioni quando si usa il protocollo VPN WireGuard. Vale a dire, sostituire le vecchie chiavi con nuove chiavi.

La risposta breve è sì: se lo desideri, è possibile ruotare manualmente le chiavi dei peer WireGuard (solitamente archiviate nei file di configurazione WireGuard) utilizzate per le connessioni Proton VPN. Tuttavia, farlo è raramente utile. In questo articolo ti spieghiamo il perché.

Perché ruotare le chiavi WireGuard è raramente utile

Le chiavi dei peer WireGuard non possono essere intercettate(nuova finestra) senza che l’handshake venga decifrato, e questo non è possibile a meno che un utente malintenzionato non abbia accesso alla chiave privata del server VPN a cui ti connetti. Inutile dire che quest’ultima è archiviata in modo molto sicuro.

Queste chiavi dei peer servono principalmente a verificare che l’account utente sia valido e a stabilire un’identità che consenta di concordare le chiavi di sessione. Sono proprio queste chiavi di sessione, e non quelle archiviate nei file di configurazione WireGuard, a crittografare il tuo traffico internet.

Vengono generate automaticamente da WireGuard stesso ogni volta che si verifica un nuovo handshake. Ovvero, ogni due minuti.

Quando potrebbe essere utile ruotare le chiavi dei peer

L’unica situazione in cui potrebbe essere utile ruotare le chiavi dei peer WireGuard è se il tuo dispositivo è stato in qualche modo compromesso.

Come ruotare le chiavi

Ogni volta che effettui il logout da un’app Proton VPN (o revochi la tua sessione(nuova finestra) nelle impostazioni di Proton Mail), le chiavi archiviate nei file di configurazione WireGuard per quell’app vengono revocate e non possono più essere utilizzate. Quando effettui nuovamente l’accesso, viene generata una nuova coppia di chiavi.

Puoi quindi “ruotare” o rigenerare manualmente le chiavi dei peer WireGuard semplicemente disconnettendoti dall’app VPN e poi effettuando nuovamente l’accesso.