Kodeeritud VPN-saladusel ei ole mingit „dekrüpteerimist“

Fraas dekrüpteeri kodeeritud võti eeldab ühtainust toimingut, mida ei ole olemas. Salvestatud VPN-saladus võib olla baaskodeeritud baidid, võtmehoidjaga seotud krüpteeritud blob või ühesuunaline verifikaator, mida ei saa üldse pöörata, ja igaüks neist nõuab erinevat vastust. Baaskodeerimine ei lisa oma olemuselt konfidentsiaalsust, seega võib selle dekodeerimine taastada kasutatava saladuse, mitte paljastada kaitstud saladust. Alustamine väljast ja seda kirjutanud tootest on ainus usaldusväärne tuvastus.

Hoidke väärtust eemal nii veebidekooderitest kui ka avalikest foorumipostitustest, sest kodeeritud saladus jääb saladuseks.

Kodeerimine, krüpteerimine ja verifikaator on kolm eri asja

RFC 4648 määratleb baaskodeerimised andmete esitustena piiratud keskkondades ja selle turvaosa ütleb selgesõnaliselt, et need ei anna mingit arvutuslikku konfidentsiaalsust. See tähendab, et Base64-välja võib igaüks tagasi baitideks muuta, mis on taastamise risk, mitte krüptograafiline tõke. Krüpteerimine on teistsugune: ilma võtmismaterjalita jäävad baidid läbipaistmatuks. Verifikaator on jälle teistsugune, sest see loodi nii, et seda ei saa pöörata. Dokumenteeritud väljanime lugemine ütleb tavaliselt, milline kolmest teil on.

Stringi nimetamine Base64-ks ei näita, mida see sisaldab. See võib dekodeeruda võtmeks, serialiseeritud struktuuriks või juhuslikuks täiteks, ja teksti välimus ei ütle selle kohta midagi.

Tehke väli kindlaks enne selle puudutamist

Kirjutage üles eksportiv toode ja versioon, profiili formaat ja dokumenteeritud väljanimi. Seejärel eraldage asjasse puutuvad saladuse liigid: grupipõhine eeljagatud võti ei ole üksikkonto parool, privaatvõtme paroolifraas ega autentimistoken. Neil on erinevad omanikud ja erinevad asendusprotseduurid, ja nende segunemine muudab vale volitust. Profiil, mis ikka ühendub, ei ole samuti luba välja võtta volitust, mis kuulub kellelegi teisele.

Kasulik teave, mida toele anda, on toode, väli, viga ja volitatud eesmärk. Saladus ise ei kuulu sellesse loendisse.

Taastamine on volitatud protseduur, mitte dekooder

Kui toode dokumenteerib pööratava ekspordi volitatud taastamiseks, kasutage selle enda impordi- või taastamisprotseduuri kaitstud keskkonnas. Hoidke algne fail alles ja hoidke dekodeeritud materjal logidest, kestaajaloost ja piletitest eemal. Kui väärtus on krüpteeritud või seotud kaitstud hoidlaga, tulevad dokumenteeritud avamismeetod ja nõutav volitus omanikult, sest dekodeerimine ei anna ei võtit ega teise kasutaja juurdepääsukonteksti. Kui väli sisaldab verifikaatorit, järgige dokumenteeritud asendusteekonda, selle asemel et proovida dekoodereid.

Kui omanik ei saa väärtust taastada ega turvaliselt uuesti väljastada, on vastus uus volitus ja uuendatud partnerkonfiguratsioonid. See on üleminekuga projekt, mitte käsk.

Jagatud saladuse asendamine on koordineeritud muudatus

Tootmisjagatud saladuse ülekirjutamine ainult ühel pool lõhub iga kinnitatud kliendi, kes hoiab veel eelmist väärtust. Planeerige üleminek, otsustage, kas mõni juurdepääs tuleb tühistada, ja hoidke taastamistee saadaval enne, kui muudate kumbagi otspunkti. Teatage aknast inimestele, kes seda märkavad.

Kui algne väärtus paljastus, on rotatsioon õige vastus ja selle dekodeerimine ei lisa midagi. Paljastatud saladus on kahjustatud, olenemata sellest, kas keegi baidid taastas.

Kirjutage üles, kus uus väärtus elab ja kellele see kuulub. Järgmine intsident küsib seda, mitte dekooderit.