Nyckelrotation för WireGuard

Vi får ofta frågan om det är möjligt att ”rotera” eller ”generera om” de WireGuard®-nycklar som används för att säkra anslutningar när VPN-protokollet WireGuard används. Det vill säga att ersätta gamla nycklar med nya.

Det korta svaret är ja, det är möjligt att manuellt rotera de WireGuard-peer-nycklar (som vanligtvis lagras i WireGuard-konfigurationsfilerna) som används för Proton VPN-anslutningar om du vill. Men det är sällan användbart. I den här artikeln förklarar vi varför.

Varför det sällan är användbart att rotera WireGuard-nycklar

WireGuard-peer-nycklarna kan inte avlyssnas(nytt fönster) utan att handskakningen avkrypteras, och detta är inte möjligt såvida inte en angripare får åtkomst till den privata nyckeln för den VPN-server du ansluter till. Det behöver knappast nämnas att denna lagras på ett mycket säkert sätt.

Dessa peer-nycklar används främst för att verifierar att användarkontot är giltigt och för att upprätta en identitet som gör att sessionsnycklar kan upprättas. Det är dessa sessionsnycklar, snarare än de nycklar som lagras i WireGuard-konfigurationsfilerna, som krypterar din internettrafik.

De genereras automatiskt av själva WireGuard varje gång en ny handskakning sker. Vilket är varannan minut.

När det kan vara användbart att rotera peer-nycklar

Den enda situationen där det kan vara användbart att rotera WireGuard-peer-nycklar är om din enhet har avslöjats på något sätt.

Så roterar du nycklar

Varje gång du loggar ut från en Proton VPN-app (eller återkallar din session(nytt fönster) i inställningarna för Proton Mail) återkallas de nycklar som lagras i WireGuard-konfigurationsfilerna för den appen och kan inte användas igen. När du loggar in igen genereras ett nytt nyckelpar.

Du kan därför manuellt ”rotera” eller generera om WireGuard-peer-nycklar helt enkelt genom att logga ut från VPN-appen och sedan logga in igen.