За кодирана VPN тайна няма «декриптиране»

Изразът декриптиране на кодирания ключ предполага една операция, която не съществува. Съхранената VPN тайна може да е базово кодирани байтове, криптиран блок, свързан с хранилище за ключове, или еднопосочен верификатор, който изобщо не може да бъде обърнат, и всяко от тях изисква различен отговор. Базовото кодиране по замисъл не добавя поверителност, затова декодирането му може да възстанови използваема тайна, вместо да разкрие защитена. Започването от полето и от продукта, който го е записал, е единствената надеждна идентификация.

Дръжте стойността далеч от уеб декодери и от публични публикации във форуми, защото кодираната тайна си остава тайна.

Кодиране, криптиране и верификатор са три различни неща

RFC 4648 определя базовите кодирания като представяния на данни в ограничени среди, а разделът му за сигурност изрично заявява, че те не осигуряват изчислителна поверителност. Това означава, че поле Base64 може да бъде обърнато в байтове от всеки, което е риск за възстановяване, а не криптографска бариера. Криптирането е различно: без ключовия материал байтовете остават непрозрачни. Верификаторът е отново различен, защото е проектиран да не бъде обръщан. Четенето на документираното име на полето обикновено показва кой от трите случая имате.

Назоваването на низ Base64 не установява какво съдържа той. Той може да се декодира до ключ, до сериализирана структура или до случайно запълване, а видът на текста не казва нищо за кое от тях.

Определете полето, преди да го докоснете

Запишете експортиращия продукт и версия, формата на профила и документираното име на полето. След това разграничете видовете тайна: групов предварително споделен ключ не е парола на отделен акаунт, парола за частен ключ или токен за удостоверяване. Те имат различни собственици и различни процедури за замяна, а объркването им променя грешните идентификационни данни. Профил, който все още се свързва, също не е разрешение да се извлекат идентификационни данни, които принадлежат на някой друг.

Полезната информация за поддръжката е продуктът, полето, грешката и разрешената цел. Самата тайна не е част от този списък.

Възстановяването е разрешена процедура, а не декодер

Ако продуктът документира обратим експорт за разрешено възстановяване, използвайте собствената му процедура за импортиране или възстановяване в защитена среда. Запазете оригиналния файл и дръжте декодирания материал далеч от журнали, история на обвивката и заявки. Ако стойността е криптирана или обвързана със защитено хранилище, документираният метод за отключване и необходимото разрешение идват от собственика, защото декодирането не дава нито ключ, нито контекста за достъп на друг потребител. Когато полето съдържа верификатор, следвайте документирания път за замяна, вместо да пробвате декодери.

Когато собственикът не може да възстанови или безопасно преиздаде стойността, отговорът е нови идентификационни данни и обновени конфигурации на партньорите. Това е проект с преход, а не команда.

Замяната на споделена тайна е координирана промяна

Презаписването на производствена споделена тайна само от една страна чупи всеки одобрен клиент, който все още пази предишната стойност. Планирайте прехода, решете дали някакъв достъп трябва да бъде отнет и дръжте път за възстановяване наличен, преди да промените който и да е край. Обявете прозореца на хората, които ще го забележат.

Ако оригиналната стойност е била разкрита, ротацията е правилният отговор и декодирането ѝ не добавя нищо. Разкритата тайна е компрометирана, независимо дали някой е възстановил байтовете.

Запишете къде живее новата стойност и кой я притежава. Следващият инцидент ще пита за това, а не за декодер.