Pro zakódované VPN tajemství neexistuje žádné „dešifrování“

Fráze dešifrovat zakódovaný klíč předpokládá jednu operaci, která neexistuje. Uložené VPN tajemství může být bajty v základovém kódování, šifrovaný blob svázaný s úložištěm klíčů nebo jednosměrný verifikátor, který nelze vůbec obrátit, a každý z nich vyžaduje jinou reakci. Základové kódování ze své podstaty nepřidává důvěrnost, takže jeho dekódování může obnovit použitelné tajemství, místo aby odhalilo chráněné. Začít u pole a u produktu, který ho zapsal, je jediná spolehlivá identifikace.

Držte hodnotu mimo webové dekodéry i mimo veřejné příspěvky na fórech, protože zakódované tajemství zůstává tajemstvím.

Kódování, šifrování a verifikátor jsou tři různé věci

RFC 4648 definuje základová kódování jako reprezentace dat v omezených prostředích a jeho bezpečnostní část výslovně uvádí, že neposkytují žádnou výpočetní důvěrnost. To znamená, že pole Base64 může kdokoli převést zpět na bajty, což je riziko obnovení, nikoli kryptografická překážka. Šifrování je jiné: bez klíčového materiálu zůstávají bajty neprůhledné. Verifikátor je zase jiný, protože byl navržen tak, aby se obrátit nedal. Přečtení zdokumentovaného názvu pole obvykle řekne, který ze tří případů máte.

Nazvat řetězec Base64 neprokazuje, co obsahuje. Může se dekódovat na klíč, na serializovanou strukturu nebo na náhodné odsazení, a vzhled textu nic neříká o tom, který to je.

Určete pole dřív, než se ho dotknete

Zapište exportující produkt a verzi, formát profilu a zdokumentovaný název pole. Pak oddělte druhy tajemství, které jsou ve hře: skupinový předem sdílený klíč není heslo individuálního účtu, heslo soukromého klíče ani autentizační token. Mají různé vlastníky a různé postupy nahrazení, a jejich záměna mění špatné přihlašovací údaje. Profil, který se stále připojuje, také není povolením vytáhnout přihlašovací údaje, které patří někomu jinému.

Užitečná informace pro podporu je produkt, pole, chyba a autorizovaný cíl. Tajemství samo do toho seznamu nepatří.

Obnova je autorizovaný postup, ne dekodér

Pokud produkt dokumentuje reverzibilní export pro autorizovanou obnovu, použijte jeho vlastní postup importu nebo obnovy v chráněném prostředí. Zachovejte původní soubor a držte dekódovaný materiál mimo protokoly, historii shellu a tikety. Pokud je hodnota šifrovaná nebo vázaná na chráněné úložiště, zdokumentovaný způsob odemčení a požadovaná autorizace přicházejí od vlastníka, protože dekódování nedodá ani klíč, ani kontext přístupu jiného uživatele. Když pole obsahuje verifikátor, postupujte podle zdokumentované cesty nahrazení, místo abyste zkoušeli dekodéry.

Když vlastník nemůže hodnotu obnovit nebo bezpečně znovu vydat, odpovědí je nový přihlašovací údaj a aktualizované konfigurace protějšků. To je projekt s přechodem, ne příkaz.

Nahrazení sdíleného tajemství je koordinovaná změna

Přepsání produkčního sdíleného tajemství jen na jedné straně rozbije každého schváleného klienta, který stále drží předchozí hodnotu. Naplánujte přechod, rozhodněte, zda je třeba odvolat nějaký přístup, a udržujte cestu obnovy dostupnou, než změníte kterýkoli konec. Oznamte okno lidem, kteří si toho všimnou.

Pokud byla původní hodnota odhalena, rotace je správná odpověď a její dekódování nic nepřidá. Odhalené tajemství je kompromitované bez ohledu na to, zda někdo bajty obnovil.

Zapište, kde nová hodnota žije a komu patří. Příští incident se zeptá na to, ne na dekodér.