WireGuard-sleutelrotatie

We krijgen vaak de vraag of het mogelijk is om de WireGuard®-sleutels te “roteren” of te “regenereren” die worden gebruikt om verbindingen te beveiligen bij het gebruik van het WireGuard VPN-protocol. Dat wil zeggen, oude sleutels vervangen door nieuwe sleutels.

Het korte antwoord is ja, het is als u dat wenst mogelijk om de WireGuard-peersleutels (meestal opgeslagen in de WireGuard-configuratiebestanden) die voor Proton VPN-verbindingen worden gebruikt, handmatig te roteren. Maar dit is zelden nuttig. In dit artikel leggen we uit waarom.

Waarom het roteren van WireGuard-sleutels zelden nuttig is

De WireGuard-peersleutels kunnen niet worden onderschept(nieuw venster) zonder dat de handshake wordt ontsleuteld, en dit is onmogelijk tenzij een aanvaller toegang heeft tot de geheime sleutel van de VPN-server waarmee u verbinding maakt. Vanzelfsprekend is deze zeer veilig opgeslagen.

Deze peersleutels dienen er voornamelijk toe om te verifiëren of het gebruikersaccount geldig is en om een identiteit vast te stellen waarmee overeenstemming kan worden bereikt over sessiesleutels. Het zijn deze sessiesleutels, en niet de sleutels die in de WireGuard-configuratiebestanden zijn opgeslagen, die uw internetverkeer versleutelen.

Ze worden automatisch gegenereerd door WireGuard zelf telkens wanneer er een nieuwe handshake plaatsvindt. Dit is om de twee minuten.

Wanneer het roteren van peersleutels nuttig kan zijn

De enige situatie waarin het roteren van WireGuard-peersleutels nuttig kan zijn, is als uw apparaat op de een of andere manier in gevaar is gebracht.

Hoe u sleutels roteert

Wanneer u zich afmeldt bij een Proton VPN-app (of uw sessie intrekt(nieuw venster) in de Proton Mail-instellingen), worden de sleutels die in de WireGuard-configuratiebestanden voor die app zijn opgeslagen ingetrokken en kunnen niet meer worden gebruikt. Wanneer u zich opnieuw aanmeldt, wordt er een nieuw sleutelpaar gegenereerd.

U kunt de WireGuard-peersleutels dus handmatig “roteren” of regenereren door u simpelweg af te melden bij de VPN-app en vervolgens weer aan te melden.