Для закадзіраванага сакрэту VPN няма «расшыфроўкі»

Фраза «расшыфраваць закадзіраваны ключ» мяркуе адну аперацыю, якой не існуе. Захаваны сакрэт VPN можа быць байтамі ў базавым кадаванні, зашыфраваным блокам, прывязаным да сховішча ключоў, або аднабаковым правяральнікам, які немагчыма абярнуць наогул, і кожны з іх патрабуе іншага адказу. Базавае кадаванне па сваім задуме не дадае канфідэнцыйнасці, таму яго дэкадаванне можа вярнуць прыдатны да ўжытку сакрэт, а не выкрыць абаронены. Пачынаць з поля і прадукту, які яго запісаў, — адзіная надзейная ідэнтыфікацыя.

Трымайце значэнне далей ад вэб-дэкадэраў і публічных допісаў на форумах, бо закадзіраваны сакрэт застаецца сакрэтам.

Кадаванне, шыфраванне і правяральнік — гэта тры розныя рэчы

RFC 4648 вызначае базавыя кадаванні як прадстаўленні даных у абмежаваных асяроддзях, і яго раздзел пра бяспеку проста заяўляе, што яны не даюць ніякай вылічальнай канфідэнцыйнасці. Гэта значыць, што поле Base64 можа абярнуць у байты любы чалавек, і гэта рызыка аднаўлення, а не крыптаграфічная перашкода. Шыфраванне іншае: без ключавога матэрыялу байты застаюцца непразрыстымі. Правяральнік зноў іншы, бо ён быў створаны так, каб яго нельга было абярнуць. Чытанне дакументаванай назвы поля звычайна кажа, які з трох выпадак у вас.

Называнне радка Base64 не ўстанаўлівае, што ён змяшчае. Ён можа дэкадавацца ў ключ, у серыялізаваную структуру або ў выпадковае запаўненне, і выгляд тэксту нічога не кажа пра тое, што менавіта.

Вызначце поле, перш чым яго кранаць

Запішыце прадукт-экспарцёр і яго версію, фармат профілю і дакументаваную назву поля. Затым аддзяліце віды сакрэту, якія ўдзельнічаюць: групавы папярэдне агучаны ключ — гэта не пароль асобнага ўліковага запісу, не парольная фраза прыватнага ключа і не токен аўтэнтыфікацыі. У іх розныя ўладальнікі і розныя працэдуры замены, і блытаніна паміж імі змяняе не тыя ўліковыя даныя. Профіль, які ўсё яшчэ падключаецца, таксама не дазвол вымаць уліковыя даныя, якія належаць камусьці іншаму.

Карысная інфармацыя для падтрымкі — гэта прадукт, поле, памылка і дазволеная мэта. Сам сакрэт у гэты спіс не ўваходзіць.

Аднаўленне — гэта дазволеная працэдура, а не дэкадэр

Калі прадукт дакументуе абарачальны экспарт для дазволенага аднаўлення, выкарыстоўвайце яго ўласную працэдуру імпарту ці аднаўлення ў абароненым асяроддзі. Захавайце арыгінальны файл і трымайце дэкадаваны матэрыял па-за журналамі, гісторыяй абалонкі і заяўкамі. Калі значэнне зашыфравана або прывязана да абароненага сховішча, дакументаваны метад разблакоўкі і неабходны дазвол паходзяць ад уладальніка, бо дэкадаванне не дае ні ключа, ні кантэксту доступу іншага карыстальніка. Калі поле змяшчае правяральнік, ідзіце дакументаваным шляхам замены замест спроб дэкадэраў.

Калі ўладальнік не можа аднавіць ці бяспечна перавыдаць значэнне, адказ — новыя ўліковыя даныя і абноўленыя канфігурацыі партнёраў. Гэта праект з пераходам, а не каманда.

Замена агульнага сакрэту — гэта ўзгодненае змяненне

Перазапіс вытворчага агульнага сакрэту толькі з аднаго боку ламае кожнага адабранага кліента, які ўсё яшчэ трымае папярэдняе значэнне. Сплануйце пераход, вырашыце, ці трэба адклікаць які-небудзь доступ, і трымайце шлях аднаўлення даступным, перш чым змяняць любы з канцоў. Абвясціце акно людзям, якія гэта заўважаць.

Калі арыгінальнае значэнне было выкрыта, ратацыя — правільны адказ, і яго дэкадаванне нічога не дадае. Выкрыты сакрэт скампраметаваны, незалежна ад таго, ці хтосьці аднавіў байты.

Запішыце, дзе жыве новае значэнне і хто ім валодае. Наступны інцыдэнт спытае пра гэта, а не пра дэкадэр.