No existeix cap «desxifrat» per a un secret VPN codificat

La frase desxifrar la clau codificada pressuposa una única operació que no existeix. Un secret VPN emmagatzemat pot ser bytes codificats en base, un bloc xifrat lligat a un magatzem de claus o un verificador d’un sol sentit que no es pot invertir de cap manera, i cadascun necessita una resposta diferent. La codificació base no afegeix confidencialitat per disseny, així que descodificar-la pot recuperar un secret utilitzable en lloc de revelar-ne un de protegit. Començar pel camp i pel producte que el va escriure és l’única identificació fiable.

Mantingueu el valor fora dels descodificadors web i de les publicacions públiques als fòrums, perquè un secret codificat continua sent un secret.

Codificació, xifrat i verificador són tres coses

L’RFC 4648 defineix les codificacions base com a representacions de dades en entorns restringits, i la seva secció de seguretat afirma clarament que no proporcionen cap confidencialitat computacional. Això vol dir que qualsevol pot tornar un camp Base64 a bytes, cosa que és un risc de recuperació i no una barrera criptogràfica. El xifrat és diferent: sense el material de clau, els bytes queden opacs. El verificador torna a ser diferent, perquè es va dissenyar per no ser invertit. Llegir el nom documentat del camp normalment diu quin dels tres teniu.

Anomenar una cadena Base64 no estableix què conté. Pot descodificar-se en una clau, en una estructura serialitzada o en farciment aleatoritzat, i l’aparença del text no diu res sobre quin és.

Identifiqueu el camp abans de tocar-lo

Anoteu el producte exportador i la versió, el format del perfil i el nom documentat del camp. Després separeu els tipus de secret implicats: una clau prèviament compartida de grup no és una contrasenya de compte individual, ni una frase de pas de clau privada, ni un testimoni d’autenticació. Tenen propietaris diferents i procediments de reemplaçament diferents, i confondre’ls canvia la credencial equivocada. Un perfil que encara es connecta tampoc no és permís per extreure una credencial que pertany a una altra persona.

La informació útil per al suport és el producte, el camp, l’error i l’objectiu autoritzat. El secret mateix no forma part d’aquesta llista.

La recuperació és un procediment autoritzat, no un descodificador

Si el producte documenta una exportació reversible per a una recuperació autoritzada, feu servir el seu propi procediment d’importació o recuperació dins d’un entorn protegit. Conserveu el fitxer original i manteniu el material descodificat fora dels registres, de l’historial de l’intèrpret i dels tiquets. Si el valor està xifrat o lligat a un magatzem protegit, el mètode de desbloqueig documentat i l’autorització necessària venen del propietari, perquè la descodificació no aporta ni una clau ni el context d’accés d’un altre usuari. Quan el camp conté un verificador, seguiu la ruta de reemplaçament documentada en lloc de provar descodificadors.

Quan el propietari no pot recuperar o reemetre el valor amb seguretat, la resposta és una credencial nova i configuracions d’igual actualitzades. Això és un projecte amb una transició, no una ordre.

Substituir un secret compartit és un canvi coordinat

Sobreescriure un secret compartit de producció només en un costat trenca tots els clients aprovats que encara tenen el valor anterior. Planifiqueu la transició, decidiu si cal revocar cap accés i manteniu una via de recuperació disponible abans de canviar qualsevol dels extrems. Anuncieu la finestra a les persones que ho notaran.

Si el valor original es va exposar, la rotació és la resposta correcta i descodificar-lo no afegeix res. Un secret exposat està compromès tant si algú ha recuperat els bytes com si no.

Anoteu on viu el valor nou i a qui pertany. El proper incident ho demanarà això, no un descodificador.