WireGuardのキーローテーション

WireGuard VPNプロトコルを使用する際に、接続の安全性を確保するために使用されるWireGuard®キーを「ローテーション」または「再生成」できるかという質問をよくいただきます。つまり、古いキーを新しいキーに置き換えるということです。

結論から申し上げますと、可能です。ご希望であれば、Proton VPN接続に使用される（通常はWireGuard設定ファイルに保管されている）WireGuardピアキーを手動でローテーションすることができます。しかし、そうすることはめったに役に立ちません。この記事では、その理由を説明します。

WireGuardキーのローテーションがめったに役に立たない理由

WireGuardピアキーは、ハンドシェイクが復号化されなければスニッフィング（盗聴）(新しいウィンドウ)されることはありません。また、攻撃者がお客様が接続するVPNサーバーの秘密鍵にアクセスできない限り、これは不可能です。言うまでもなく、秘密鍵は非常に安全に保管されています。

これらのピアキーは、主にユーザーアカウントが有効であることを検証し、セッションキーの合意を可能にするユーザー情報を確立するために機能します。お客様のインターネットトラフィックを暗号化するのは、WireGuard設定ファイルに保管されているキーではなく、まさにこれらのセッションキーです。

これらは、新しいハンドシェイクが発生するたびにWireGuard自体によって自動的に生成されます。それは二分ごとに行われます。

ピアキーのローテーションが役立つ可能性があるケース

WireGuardピアキーのローテーションが役立つ可能性がある唯一の状況は、お客様のデバイスが何らかの方法で侵害された場合です。

キーをローテーションする方法

お客様がProton VPNアプリからログアウトする（またはProton Mailの設定でセッションを失効させる(新しいウィンドウ)）たびに、そのアプリのWireGuard設定ファイルに保管されているキーは失効し、二度と使用できなくなります。再度ログインすると、新しいキーペアが生成されます。

したがって、単にVPNアプリからログアウトして再度ログインするだけで、手動でWireGuardピアキーを「ローテーション」または再生成することができます。