Δεν υπάρχει «αποκρυπτογράφηση» για ένα κωδικοποιημένο μυστικό VPN

Η φράση αποκρυπτογράφηση του κωδικοποιημένου κλειδιού προϋποθέτει μία μόνο πράξη που δεν υπάρχει. Ένα αποθηκευμένο μυστικό VPN μπορεί να είναι bytes κωδικοποιημένα με βάση, ένα κρυπτογραφημένο blob δεμένο με ένα keystore ή ένας μονόδρομος επαληθευτής που δεν μπορεί να αντιστραφεί καθόλου, και καθένα απαιτεί διαφορετική απάντηση. Η κωδικοποίηση βάσης δεν προσθέτει εμπιστευτικότητα εκ σχεδιασμού, οπότε η αποκωδικοποίησή της μπορεί να ανακτήσει ένα χρησιμοποιήσιμο μυστικό αντί να αποκαλύψει ένα προστατευμένο. Η εκκίνηση από το πεδίο και από το προϊόν που το έγραψε είναι η μόνη αξιόπιστη ταυτοποίηση.

Κρατήστε την τιμή έξω από αποκωδικοποιητές ιστού και από δημόσιες αναρτήσεις σε φόρουμ, γιατί ένα κωδικοποιημένο μυστικό παραμένει μυστικό.

Κωδικοποίηση, κρυπτογράφηση και επαληθευτής είναι τρία διαφορετικά πράγματα

Το RFC 4648 ορίζει τις κωδικοποιήσεις βάσης ως αναπαραστάσεις δεδομένων σε περιορισμένα περιβάλλοντα, και η ενότητα ασφαλείας του δηλώνει ρητά ότι δεν παρέχουν καμία υπολογιστική εμπιστευτικότητα. Αυτό σημαίνει ότι ένα πεδίο Base64 μπορεί να μετατραπεί πίσω σε bytes από οποιονδήποτε, που είναι κίνδυνος ανάκτησης και όχι κρυπτογραφικός φραγμός. Η κρυπτογράφηση είναι διαφορετική· χωρίς το υλικό κλειδιού, τα bytes μένουν αδιαφανή. Ο επαληθευτής είναι και πάλι διαφορετικός, γιατί σχεδιάστηκε να μην αντιστρέφεται. Η ανάγνωση του τεκμηριωμένου ονόματος πεδίου συνήθως λέει ποια από τις τρεις περιπτώσεις έχετε.

Το να ονομάσουμε μια συμβολοσειρά Base64 δεν αποδεικνύει τι περιέχει. Μπορεί να αποκωδικοποιηθεί σε κλειδί, σε σειριοποιημένη δομή ή σε τυχαία γέμιση, και η εμφάνιση του κειμένου δεν λέει τίποτα για το ποια.

Προσδιορίστε το πεδίο πριν το αγγίξετε

Καταγράψτε το προϊόν εξαγωγής και την έκδοση, τη μορφή προφίλ και το τεκμηριωμένο όνομα πεδίου. Έπειτα διαχωρίστε τα είδη μυστικού που εμπλέκονται: ένα προ-κοινόχρηστο κλειδί ομάδας δεν είναι κωδικός πρόσβασης μεμονωμένου λογαριασμού, ούτε φράση πρόσβασης ιδιωτικού κλειδιού, ούτε διακριτικό ταυτοποίησης. Έχουν διαφορετικούς ιδιοκτήτες και διαφορετικές διαδικασίες αντικατάστασης, και η σύγχυσή τους αλλάζει το λάθος διαπιστευτήριο. Ένα προφίλ που ακόμη συνδέεται δεν είναι επίσης άδεια να εξαγάγετε διαπιστευτήριο που ανήκει σε κάποιον άλλο.

Οι χρήσιμες πληροφορίες για την υποστήριξη είναι το προϊόν, το πεδίο, το σφάλμα και ο εξουσιοδοτημένος στόχος. Το ίδιο το μυστικό δεν είναι μέρος αυτής της λίστας.

Η ανάκτηση είναι μια εξουσιοδοτημένη διαδικασία, όχι αποκωδικοποιητής

Αν το προϊόν τεκμηριώνει αναστρέψιμη εξαγωγή για εξουσιοδοτημένη ανάκτηση, χρησιμοποιήστε τη δική του διαδικασία εισαγωγής ή ανάκτησης μέσα σε προστατευμένο περιβάλλον. Διατηρήστε το αρχικό αρχείο και κρατήστε το αποκωδικοποιημένο υλικό έξω από αρχεία καταγραφής, ιστορικό κελύφους και δελτία. Αν η τιμή είναι κρυπτογραφημένη ή δεμένη με προστατευμένη αποθήκη, η τεκμηριωμένη μέθοδος ξεκλειδώματος και η απαιτούμενη εξουσιοδότηση προέρχονται από τον ιδιοκτήτη, γιατί η αποκωδικοποίηση δεν παρέχει ούτε κλειδί ούτε το πλαίσιο πρόσβασης άλλου χρήστη. Όταν το πεδίο περιέχει επαληθευτή, ακολουθήστε την τεκμηριωμένη διαδρομή αντικατάστασης αντί να δοκιμάζετε αποκωδικοποιητές.

Όταν ο ιδιοκτήτης δεν μπορεί να ανακτήσει ή να επανεκδώσει με ασφάλεια την τιμή, η απάντηση είναι νέο διαπιστευτήριο και ενημερωμένες ρυθμίσεις ομοτίμων. Αυτό είναι ένα έργο με μετάβαση, όχι μια εντολή.

Η αντικατάσταση ενός κοινού μυστικού είναι συντονισμένη αλλαγή

Η αντικατάσταση ενός κοινού μυστικού παραγωγής μόνο στη μία πλευρά σπάει κάθε εγκεκριμένο πελάτη που κρατά ακόμη την προηγούμενη τιμή. Σχεδιάστε τη μετάβαση, αποφασίστε αν πρέπει να ανακληθεί κάποια πρόσβαση, και κρατήστε διαθέσιμη μια διαδρομή ανάκτησης πριν αλλάξετε οποιοδήποτε άκρο. Ανακοινώστε το παράθυρο στους ανθρώπους που θα το προσέξουν.

Αν η αρχική τιμή εκτέθηκε, η περιστροφή είναι η σωστή απάντηση και η αποκωδικοποίησή της δεν προσθέτει τίποτα. Ένα εκτεθειμένο μυστικό είναι παραβιασμένο είτε κάποιος ανέκτησε τα bytes είτε όχι.

Καταγράψτε πού ζει η νέα τιμή και ποιος την κατέχει. Το επόμενο περιστατικό θα ζητήσει αυτό, όχι έναν αποκωδικοποιητή.