Αποθηκευμένος κωδικός VPN: ποιος μπορεί να τον αποκρυπτογραφήσει και πότε

Ένας πελάτης VPN που εμφανίζει κρυπτογραφημένο κωδικό στο XML του δεν σας έχει πει σχεδόν τίποτα. Το κρυπτοκείμενο απαντά μόνο ότι η τιμή δεν αποθηκεύεται ως απλό κείμενο σε αυτή την αναπαράσταση. Ποιος μπορεί να το αποκρυπτογραφήσει, με ποιο κλειδί και σε ποιο πλαίσιο χρήστη, είναι τα ερωτήματα που καθορίζουν αν η αποθήκευση βοηθά. Απαντήστε σε αυτά πριν χαρακτηρίσετε το αρχείο ασφαλές ή μη ασφαλές.

Προσδιορίστε ποιο αντικείμενο αποθηκεύεται

Ξεκινήστε από το τεκμηριωμένο μοντέλο αποθήκευσης του προϊόντος. Ένας πελάτης μπορεί να αποθηκεύει ανακτήσιμο κωδικό, διακριτικό ή αναφορά σε χώρο διαπιστευτηρίων, και καθένα έχει διαφορετική έκθεση. Το όνομα στοιχείου XML δεν είναι ο σχεδιασμός, και μια συμβολοσειρά που μοιάζει με base64 δεν αποτελεί απόδειξη κρυπτογράφησης.

Ρωτήστε τον προμηθευτή ή τον διαχειριστή ποιο τμήμα διαβάζει την τιμή κατά τη σύνδεση.

Έπειτα προσδιορίστε το API προστασίας αν τεκμηριώνεται. Στα Windows, το CryptProtectData προστατεύει δεδομένα με κλειδί που παράγεται από τα διαπιστευτήρια σύνδεσης του χρήστη που κρυπτογραφεί, και η επιλογή εμβέλειας μηχανής αλλάζει ποιος μπορεί να αποκρυπτογραφήσει. Αυτό είναι ένα συγκεκριμένο παράδειγμα γιατί η εμβέλεια έχει σημασία. Δεν αποτελεί απόδειξη ότι κάποιος συγκεκριμένος πελάτης VPN χρησιμοποιεί αυτό το API.

Διαχωρίστε ένα κλεμμένο αντίγραφο από τη χρήση κατά την εκτέλεση

Ένας πελάτης που επανασυνδέεται χωρίς να ρωτήσει χρειάζεται υποστηριζόμενο τρόπο ανάκτησης του διαπιστευτηρίου. Η προστασία ενός αντιγράφου ασφαλείας δεν αφαιρεί αυτή τη δυνατότητα. Οποιοδήποτε πρόγραμμα εκτελείται στο σωστό πλαίσιο χρήστη μπορεί να χρησιμοποιήσει την ίδια διαδρομή, γι' αυτό το τελικό σημείο βρίσκεται μέσα στα όρια εμπιστοσύνης. Τα δικαιώματα αρχείων και τα προνόμια διεργασιών περιορίζουν αυτά τα όρια· δεν τα αφαιρούν.

Αυτή είναι η διάκριση που συνήθως αποτυγχάνει ο ισχυρισμός περί αρχείου εκτός σύνδεσης. Η κρυπτογράφηση σε ηρεμία μπορεί να σταματήσει κάποιον που αντιγράφει ένα αρχείο χωρίς τον λογαριασμό. Δεν σταματά κώδικα που εκτελείται ως ο λογαριασμός.

Και οι δύο δηλώσεις μπορούν να ισχύουν ταυτόχρονα, και η δεύτερη είναι αυτή που μετρά κατά την απόκριση σε περιστατικά.

Διαβάστε τους ελέγχους πρόσβασης που ισχύουν πραγματικά

Ελέγξτε το ACL του αρχείου και τον κατάλογο από πάνω, όχι μόνο τη λειτουργία του αρχείου. Στα Windows, συγκρίνετε τα πραγματικά δικαιώματα του προφίλ χρήστη με εκείνα της υπηρεσίας ή της προγραμματισμένης εργασίας του πελάτη. Ένα μυστικό που προστατεύεται για έναν χρήστη δεν προστατεύεται αυτόματα από διαχειριστή, ούτε εκτίθεται αυτόματα σε αυτόν.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Καταγράψτε ποια ταυτότητα εκτελεί τον πελάτη, γιατί αυτή η ταυτότητα είναι το υποκείμενο της αποκρυπτογράφησης.

Για ένα διαχειριζόμενο στόλο, ο σχετικός έλεγχος μπορεί να είναι η διαχείριση συσκευών και όχι το αρχείο. Ρωτήστε αν το διαπιστευτήριο κατατίθεται, αν μπορεί να ανακληθεί απομακρυσμένα και ποια είναι η διαδικασία όταν χαθεί μια συσκευή.

Σχεδιάστε για έκθεση αντί να δοκιμάζετε την αποκρυπτογράφηση

Μην εκτελέσετε άγνωστο εργαλείο εξαγωγής στο αρχείο για να αποδείξετε ένα σημείο. Μπορεί να λειτουργήσει, μπορεί να καταστρέψει το προφίλ, και σε κάθε περίπτωση αλλάζει τα στοιχεία. Χρησιμοποιήστε τον τεκμηριωμένο σχεδιασμό και μια εξουσιοδοτημένη αξιολόγηση αν η επαλήθευση είναι πραγματικά απαραίτητη.

Αν αποδειχθεί έκθεση, περιστρέψτε το διαπιστευτήριο στον κάτοχο της ταυτότητας.

Η διαγραφή της αποθηκευμένης καταχώρισης δεν είναι ανάκληση. Μπορεί να εμποδίσει αυτόν τον πελάτη να προσφέρει ξανά την τιμή, και δεν κάνει τίποτα για αντίγραφο που έχει ήδη ληφθεί ή συνεδρία που έχει ήδη εξουσιοδοτηθεί. Αντικαταστήστε το διαπιστευτήριο, τερματίστε τις συνεδρίες που μπορεί να τερματίσει ο κάτοχος και καταγράψτε τι περιστράφηκε και πότε.

Τα ερωτήματα για έλεγχο προμηθευτή

Ρωτήστε ποιο μυστικό αποθηκεύεται, ποιο τμήμα το χρησιμοποιεί, ποιο κλειδί χρήστη ή μηχανής το προστατεύει, ποιοι έλεγχοι πρόσβασης ισχύουν για κανονική χρήση και αντίγραφα ασφαλείας, και πώς χειρίζονται η πολιτική αποθήκευσης και η απομακρυσμένη ακύρωση. Αυτές οι πέντε απαντήσεις περιγράφουν τον σχεδιασμό· το XML όχι.

Κρατήστε τις απαντήσεις με το αρχείο ανάπτυξης ώστε ο επόμενος ελεγκτής να μην επαναλάβει την άσκηση.

Ένα αποθηκευμένο διαπιστευτήριο είναι ανταλλαγή μεταξύ ευκολίας και έκθεσης. Κάντε την ανταλλαγή συνειδητά και καταγράψτε ποιος την αποδέχτηκε.