Rotação de chaves WireGuard

Perguntam-nos frequentemente se é possível “rodar” ou “regenerar” as chaves WireGuard® utilizadas para proteger as ligações ao utilizar o protocolo VPN WireGuard. Ou seja, substituir chaves antigas por chaves novas.

A resposta curta é sim, é possível rodar manualmente as chaves de par do WireGuard (geralmente armazenadas nos ficheiros de configuração WireGuard) utilizadas para as ligações Proton VPN, se desejar. Mas fazê-lo é raramente útil. Neste artigo, explicamos o porquê.

Porque é que rodar as chaves WireGuard é raramente útil

As chaves de par do WireGuard não podem ser intercetadas(nova janela) sem que o handshake seja desencriptado, e isto não é possível a menos que um atacante tenha acesso à chave privada do servidor VPN a que se liga. Escusado será dizer que esta está armazenada de forma muito segura.

Estas chaves de par servem principalmente para verificar se a conta de utilizador é válida e para estabelecer uma identidade que permita acordar chaves de sessão. São estas chaves de sessão, e não as chaves armazenadas nos ficheiros de configuração WireGuard, que encriptam o seu tráfego de internet.

São geradas automaticamente pelo próprio WireGuard sempre que ocorre um novo handshake. O que acontece a cada dois minutos.

Quando é que a rotação de chaves de par pode ser útil

A única situação em que a rotação das chaves de par WireGuard pode ser útil é se o seu dispositivo tiver sido comprometido de alguma forma.

Como rodar as chaves

Sempre que terminar sessão numa aplicação Proton VPN (ou revogar a sua sessão(nova janela) nas definições do Proton Mail), as chaves armazenadas nos ficheiros de configuração WireGuard dessa aplicação são revogadas e não podem ser utilizadas novamente. Quando voltar a iniciar sessão, é gerado um novo par de chaves.

Pode, por isso, “rodar” ou regenerar manualmente as chaves de par WireGuard simplesmente terminando sessão na aplicação VPN e voltando a iniciar sessão.