Rotação de chaves do WireGuard

Muitas vezes nos perguntam se é possível “rotacionar” ou “regenerar” as chaves do WireGuard® usadas para proteger conexões ao usar o protocolo VPN WireGuard. Ou seja, substituir chaves antigas por chaves novas.

A resposta curta é sim, é possível rotacionar manualmente as chaves de pareamento do WireGuard (geralmente armazenadas nos arquivos de configuração do WireGuard) usadas para conexões do Proton VPN, se você quiser. Mas fazer isso raramente é útil. Neste artigo, explicamos o porquê.

Por que rotacionar chaves do WireGuard raramente é útil

As chaves de pareamento do WireGuard não podem ser interceptadas(nova janela) sem que o handshake seja descriptografado, e isso não é possível a menos que um invasor tenha acesso à chave privada do servidor VPN ao qual você se conecta. Nem precisamos dizer que ela é armazenada de forma muito segura.

Essas chaves de pareamento servem principalmente para verificar se a conta do usuário é válida e estabelecer uma identidade que permita definir as chaves de sessão. São essas chaves de sessão, e não as chaves armazenadas nos arquivos de configuração do WireGuard, que criptografam o seu tráfego de internet.

Elas são geradas automaticamente pelo próprio WireGuard sempre que ocorre um novo handshake. O que acontece a cada dois minutos.

Quando rotacionar as chaves de pareamento pode ser útil

A única situação em que rotacionar as chaves de pareamento do WireGuard pode ser útil é se o seu dispositivo tiver sido comprometido de alguma forma.

Como rotacionar as chaves

Sempre que você sai de um aplicativo Proton VPN (ou revoga sua sessão(nova janela) nas configurações do Proton Mail), as chaves armazenadas nos arquivos de configuração do WireGuard para esse aplicativo são revogadas e não podem ser usadas novamente. Quando você faz login novamente, um novo par de chaves é gerado.

Portanto, você pode “rotacionar” ou regenerar manualmente as chaves de pareamento do WireGuard simplesmente saindo do aplicativo VPN e fazendo login novamente.