সেভ করা VPN পাসওয়ার্ড: কে এটি ডিক্রিপ্ট করতে পারে এবং কখন

একটি VPN ক্লায়েন্ট তার XML-এ এনক্রিপ্ট করা পাসওয়ার্ড দেখালে তা আপনাকে প্রায় কিছুই বলেনি। সাইফারটেক্সট কেবল এই উত্তর দেয় যে মানটি ওই রূপে প্লেইন টেক্সট হিসেবে সংরক্ষিত নেই। কে এটি ডিক্রিপ্ট করতে পারে, কোন কী দিয়ে এবং কোন ব্যবহারকারী প্রসঙ্গে, এই প্রশ্নগুলোই ঠিক করে স্টোরেজটি সহায়ক কি না। ফাইলটিকে নিরাপদ বা অনিরাপদ বলার আগে এগুলোর উত্তর দিন।

কোন বস্তু সংরক্ষিত আছে তা নির্ধারণ করুন

পণ্যের নথিভুক্ত স্টোরেজ মডেল দিয়ে শুরু করুন। ক্লায়েন্ট পুনরুদ্ধারযোগ্য পাসওয়ার্ড, টোকেন বা ক্রেডেনশিয়াল স্টোরের রেফারেন্স সংরক্ষণ করতে পারে এবং প্রতিটির প্রকাশভঙ্গি ভিন্ন। XML এলিমেন্টের নামই ডিজাইন নয়, আর base64-এর মতো দেখতে স্ট্রিংও এনক্রিপশনের প্রমাণ নয়।

সংযোগের সময় কোন কম্পোনেন্ট মানটি পড়ে তা ভেন্ডর বা প্রশাসককে জিজ্ঞাসা করুন।

তারপর নথিভুক্ত থাকলে সুরক্ষা API চিহ্নিত করুন। Windows-এ CryptProtectData এনক্রিপ্টকারী ব্যবহারকারীর লগঅন ক্রেডেনশিয়াল থেকে উদ্ভূত কী দিয়ে ডেটা সুরক্ষিত করে এবং এর মেশিন-স্কোপড অপশন বদলে দেয় কে ডিক্রিপ্ট করতে পারবে। স্কোপ কেন গুরুত্বপূর্ণ তার এটি একটি স্পষ্ট উদাহরণ। এটি কোনো নির্দিষ্ট VPN ক্লায়েন্ট ওই API ব্যবহার করে তার প্রমাণ নয়।

চুরি হওয়া কপিকে রানটাইম ব্যবহার থেকে আলাদা করুন

যে ক্লায়েন্ট আপনাকে না জিজ্ঞাসা করেই আবার সংযোগ করে, তার ক্রেডেনশিয়াল পুনরুদ্ধারের একটি সমর্থিত উপায় প্রয়োজন। ব্যাকআপ কপি সুরক্ষিত করা ওই সামর্থ্য সরায় না। সঠিক ব্যবহারকারী প্রসঙ্গে চলা যেকোনো প্রোগ্রাম একই পথ ব্যবহার করতে পারে, তাই এন্ডপয়েন্ট নিজেই ট্রাস্ট সীমার ভিতরে থাকে। ফাইল অনুমতি ও প্রসেস বিশেষাধিকার সেই সীমানা সংকুচিত করে; সরায় না।

অফলাইন-ফাইল দাবি সাধারণত এই পার্থক্যেই ভুল করে। বিশ্রামে এনক্রিপশন এমন কাউকে থামাতে পারে যে অ্যাকাউন্ট ছাড়া একটি ফাইল কপি করে। এটি অ্যাকাউন্ট হিসেবে চলা কোডকে থামায় না।

দুটি বক্তব্যই একসাথে সত্য হতে পারে, আর ঘটনা প্রতিক্রিয়ার সময় দ্বিতীয়টিই গুরুত্বপূর্ণ।

যে অ্যাক্সেস কন্ট্রোল সত্যিই প্রযোজ্য তা পড়ুন

ফাইলের ACL এবং তার উপরের ডিরেক্টরি দেখুন, কেবল ফাইল মোড নয়। Windows-এ ব্যবহারকারী প্রোফাইলের কার্যকর অনুমতি ক্লায়েন্টের সার্ভিস বা নির্ধারিত টাস্কের অনুমতির সাথে তুলনা করুন। একজন ব্যবহারকারীর জন্য সুরক্ষিত গোপনীয়তা স্বয়ংক্রিয়ভাবে প্রশাসকের থেকে সুরক্ষিত নয়, আবার স্বয়ংক্রিয়ভাবে তার কাছে উন্মোচিতও নয়।

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

কোন পরিচয় ক্লায়েন্ট চালায় তা লিপিবদ্ধ করুন, কারণ সেই পরিচয়ই ডিক্রিপশনের বিষয়।

পরিচালিত ফ্লিটের জন্য প্রাসঙ্গিক নিয়ন্ত্রণ ফাইল নয়, ডিভাইস ম্যানেজমেন্ট হতে পারে। জিজ্ঞাসা করুন ক্রেডেনশিয়াল এস্ক্রোতে রাখা আছে কি না, দূর থেকে বাতিল করা যায় কি না এবং ডিভাইস হারালে প্রক্রিয়াটি কী।

ডিক্রিপশন পরীক্ষার বদলে প্রকাশের জন্য পরিকল্পনা করুন

কিছু প্রমাণ করতে অপরিচিত এক্সট্রাকশন টুল ফাইলের বিরুদ্ধে চালাবেন না। এটি কাজ করতে পারে, প্রোফাইল নষ্ট করতে পারে এবং যেভাবেই হোক প্রমাণ বদলে দেয়। নথিভুক্ত ডিজাইন এবং সত্যিই যাচাই প্রয়োজন হলে অনুমোদিত মূল্যায়ন ব্যবহার করুন।

প্রকাশ প্রমাণিত হলে পরিচয়ের মালিকের কাছে ক্রেডেনশিয়াল রোটেট করুন।

সংরক্ষিত এন্ট্রি মুছে ফেলা বাতিলকরণ নয়। এটি ওই ক্লায়েন্টকে আবার মানটি দেওয়া থেকে বিরত রাখতে পারে, কিন্তু ইতিমধ্যে নেওয়া কপি বা ইতিমধ্যে অনুমোদিত সেশন সম্পর্কে কিছুই করে না। ক্রেডেনশিয়াল প্রতিস্থাপন করুন, মালিক যে সেশনগুলো শেষ করতে পারেন সেগুলো শেষ করুন এবং কী রোটেট হলো ও কখন তা লিপিবদ্ধ করুন।

ভেন্ডর পর্যালোচনার প্রশ্নগুলো

কোন গোপনীয়তা সংরক্ষিত, কোন কম্পোনেন্ট এটি ব্যবহার করে, কোন ব্যবহারকারী বা মেশিন কী এটি সুরক্ষিত করে, সাধারণ ব্যবহার ও ব্যাকআপে কোন অ্যাক্সেস কন্ট্রোল প্রযোজ্য এবং সংরক্ষণ নীতি ও দূরবর্তী বাতিলকরণ কীভাবে সামলানো হয়, তা জিজ্ঞাসা করুন। এই পাঁচটি উত্তর ডিজাইন বর্ণনা করে; XML নয়।

উত্তরগুলো ডিপ্লয়মেন্ট রেকর্ডের সাথে রাখুন যাতে পরবর্তী পর্যালোচক অনুশীলনটি পুনরাবৃত্তি না করেন।

সংরক্ষিত ক্রেডেনশিয়াল সুবিধা ও প্রকাশের মধ্যে একটি বিনিময়। বিনিময়টি সচেতনভাবে করুন এবং কে এটি গ্রহণ করেছে তা লিখে রাখুন।