Gestoor VPN-wagwoord: wie kan dit ontsyfer, en wanneer

'n VPN-kliënt wat 'n geënkripteerde wagwoord in sy XML wys, het u byna niks vertel nie. Die geheimsins antwoord net dat die waarde nie as gewone teks in daardie voorstelling gestoor word nie. Wie dit kan ontsyfer, met watter sleutel, en onder watter gebruiker-konteks is die vrae wat bepaal of die stoor help. Beantwoord hulle voordat u die lêer veilig of onveilig noem.

Bepaal watter objek gestoor word

Begin met die produk se gedokumenteerde stoormodel. 'n Kliënt kan 'n herwinbare wagwoord, 'n token of 'n verwysing na 'n bewaarplek van geloofsbewyse stoor, en elkeen het 'n ander blootstelling. Die XML-elementnaam is nie die ontwerp nie, en 'n string wat soos base64 lyk, is ook nie bewys van enkripsie nie.

Vra die verskaffer of administrateur watter komponent die waarde by verbindingstyd lees.

Identifiseer dan die beskermings-API as dit gedokumenteer is. Op Windows beskerm CryptProtectData data met 'n sleutel wat van die enkripteerder se aanmeldgegewens afgelei is, en sy masjiengebonde opsie verander wie kan ontsyfer. Dit is 'n konkrete voorbeeld van waarom die omvang saak maak. Dit is nie bewys dat enige spesifieke VPN-kliënt daardie API gebruik nie.

Skei 'n gesteelde kopie van gebruik tydens loop

'n Kliënt wat weer verbind sonder om u te vra, het 'n ondersteunde manier nodig om die geloofsbewys te herwin. Die beskerming van 'n rugsteunkopie verwyder nie daardie vermoë nie. Enige program wat in die regte gebruiker-konteks loop, kan moontlik dieselfde pad gebruik, en daarom sit die eindpunt self binne die vertrouensgrens. Lêertoestemmings en prosessevoorregte vernou daardie grens; hulle verwyder dit nie.

Dit is die onderskeid wat 'n bewering oor 'n aflêerlêer gewoonlik verkeerd kry. Enkripsie in rus kan iemand keer wat een lêer sonder die rekening kopieer. Dit keer nie kode wat as die rekening loop nie.

Albei stellings kan gelyktydig waar wees, en die tweede een is die een wat tydens reaksie op voorvalle saak maak.

Lees die toegangsbeheer wat werklik geld

Kontroleer die lêer se ACL en die gids daarbo, nie net die lêermodus nie. Vergelyk op Windows die doeltreffende toestemmings van die gebruikerprofiel met dié van die kliënt se diens of geskeduleerde taak. 'n Geheim wat vir een gebruiker beskerm word, is nie outomaties teen 'n administrateur beskerm nie, en dit is ook nie outomaties aan een blootgestel nie.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Teken aan watter identiteit die kliënt laat loop, want daardie identiteit is die ontsyferingsonderwerp.

Vir 'n bestuurde vloot is die relevante beheer moontlik toestelbestuur eerder as die lêer. Vra of die geloofsbewys in bewaring gehou word, of dit op afstand herroep kan word, en wat die proses is wanneer 'n toestel verlore gaan.

Beplan vir blootstelling in plaas van om ontsyfering te toets

Moenie 'n onbekende onttrekkingsinstrument teen die lêer laat loop om 'n punt te bewys nie. Dit kan werk, dit kan die profiel beskadig, en in elk geval verander dit die bewyse. Gebruik die gedokumenteerde ontwerp en 'n gemagtigde assessering as verifikasie werklik nodig is.

As blootstelling vasgestel is, roteer die geloofsbewys by die eienaar van die identiteit.

Die verwydering van die gestoorde inskrywing is nie herroeping nie. Dit kan keer dat daardie kliënt die waarde weer aanbied, en dit doen niks aan 'n kopie wat reeds geneem is of 'n sessie wat reeds gemagtig is nie. Vervang die geloofsbewys, beëindig die sessies wat die eienaar kan beëindig, en teken aan wat geroteer is en wanneer.

Die vrae vir 'n verskafferbeoordeling

Vra watter geheim gestoor word, watter komponent dit gebruik, watter gebruiker- of masjiensleutel dit beskerm, watter toegangsbeheer op normale gebruik en rugsteune van toepassing is, en hoe die stoorbeleid en afstandonttrekking hanteer word. Daardie vyf antwoorde beskryf die ontwerp; die XML nie.

Hou die antwoorde by die ontplooiingsrekord sodat die volgende beoordelaar nie die oefening herhaal nie.

'n Gestoor geloofsbewys is 'n ruil tussen gerief en blootstelling. Maak die ruil doelbewus, en skryf neer wie dit aanvaar het.