Cyfrinair VPN a gadwyd: pwy all ei ddatgryptio a phryd

Ni ddywedodd cleient VPN sy'n dangos cyfrinair wedi'i amgryptio yn ei XML fawr ddim wrthych. Nid yw'r cryptodestun yn ateb ond bod y gwerth heb ei storio fel testun plaen yn y gynrychiolaeth honno. Pwy all ei ddatgryptio, ag ba allwedd, ac o dan ba gyd-destun defnyddiwr, yw'r cwestiynau sy'n penderfynu a yw'r storfa o gymorth. Atebwch hwy cyn galw'r ffeil yn ddiogel neu'n anniogel.

Sefydlwch ba wrthrych a storir

Dechreuwch â model storio dogfennedig y cynnyrch. Gall cleient storio cyfrinair adferadwy, tocyn, neu gyfeiriad at storfa gymwysterau, ac mae gan bob un amlygiad gwahanol. Nid enw'r elfen XML yw'r dyluniad, ac nid yw llinyn sy'n edrych fel base64 yn brawf o amgryptio chwaith.

Gofynnwch i'r gwerthwr neu'r gweinyddwr pa gydran sy'n darllen y gwerth adeg cysylltu.

Yna nodwch yr API gwarchod os yw'n ddogfennedig. Ar Windows, mae CryptProtectData yn gwarchod data ag allwedd sy'n deillio o gymwysterau mewngofnodi'r defnyddiwr sy'n amgryptio, ac mae ei opsiwn ar raddfa peiriant yn newid pwy all ddatgryptio. Mae hynny'n enghraifft bendant o pam mae'r cwmpas yn bwysig. Nid yw'n brawf bod unrhyw gleient VPN penodol yn defnyddio'r API hwnnw.

Gwahanwch gopi wedi'i ddwyn oddi wrth ddefnydd amser rhedeg

Mae angen ffordd gefnogir ar gleient sy'n ailgysylltu heb ofyn i chi i adennill y cymhwyster. Nid yw gwarchod copi wrth gefn yn dileu'r gallu hwnnw. Gall unrhyw raglen sy'n rhedeg yng nghyd-destun cywir y defnyddiwr ddefnyddio'r un llwybr, a dyna pam mae'r pwynt terfynol ei hun y tu mewn i'r ffin ymddiriedaeth. Mae caniatadau ffeil a braint prosesau yn culhau'r ffin honno; nid ydynt yn ei dileu.

Y gwahaniaeth hwn yw'r hyn y mae honiad am ffeil all-lein fel arfer yn ei gamgymryd. Gall amgryptio wrth orffwys atal rhywun sy'n copïo un ffeil heb y cyfrif. Nid yw'n atal cod sy'n rhedeg fel y cyfrif.

Gall y ddau ddatganiad fod yn wir ar yr un pryd, a'r ail yw'r un sy'n bwysig wrth ymateb i ddigwyddiad.

Darllenwch y rheolyddion mynediad sy'n gymwys mewn gwirionedd

Gwiriwch ACL y ffeil a'r cyfeiriadur uwchlaw iddi, nid modd y ffeil yn unig. Ar Windows, cymharwch ganiatadau effeithiol y proffil defnyddiwr â rhai gwasanaeth neu dasg amserlennedig y cleient. Nid yw cyfrinach a warchodir ar gyfer un defnyddiwr yn cael ei gwarchod yn awtomatig rhag gweinyddwr, ac nid yw'n cael ei hamlygu'n awtomatig i un chwaith.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Cofnodwch pa hunaniaeth sy'n rhedeg y cleient, oherwydd y hunaniaeth honno yw pwnc y datgryptio.

Ar gyfer fflyd a reolir, gall y rheolydd perthnasol fod yn rheolaeth dyfeisiau yn hytrach na'r ffeil. Gofynnwch a yw'r cymhwyster yn cael ei gadw mewn ymddiriedaeth, a ellir ei ddirymu o bell, a beth yw'r broses pan gollir dyfais.

Cynlluniwch ar gyfer amlygiad yn lle profi datgryptio

Peidiwch â rhedeg offeryn echdynnu anghyfarwydd yn erbyn y ffeil i brofi pwynt. Gallai weithio, gallai niweidio'r proffil, ac naill ffordd neu'r llall mae'n newid y dystiolaeth. Defnyddiwch y dyluniad dogfennedig ac asesiad awdurdodedig os oes gwir angen gwirio.

Os profir amlygiad, cylchdroi'r cymhwyster gyda pherchennog yr hunaniaeth.

Nid yw dileu'r cofnod a gadwyd yn ddirymiad. Gall atal y cleient hwnnw rhag cynnig y gwerth eto, ac nid yw'n gwneud dim am gopi a gymerwyd yn barod nac am sesiwn a awdurdodwyd yn barod. Amnewidiwch y cymhwyster, terfynwch y sesiynau y gall y perchennog eu terfynu, a chofnodwch beth a gylchdroiwyd a phryd.

Y cwestiynau ar gyfer adolygiad gwerthwr

Gofynnwch ba gyfrinach a storir, pa gydran sy'n ei defnyddio, pa allwedd defnyddiwr neu beiriant sy'n ei gwarchod, pa reolyddion mynediad sy'n gymwys i ddefnydd arferol a chopïau wrth gefn, a sut y rheolir polisi cadw a dirymu o bell. Mae'r pum ateb hynny'n disgrifio'r dyluniad; nid yw'r XML.

Cadwch yr atebion gyda'r cofnod gweithredu fel nad yw'r adolygydd nesaf yn ailadrodd yr ymarfer.

Mae cymhwyster a gadwyd yn fasnach rhwng cyfleustra ac amlygiad. Gwnewch y fasnach yn fwriadol, ac ysgrifennwch pwy a'i derbyniodd.