Salvestatud VPN-parool: kes saab selle dekrüpteerida ja millal

VPN-klient, mis näitab oma XML-is krüpteeritud parooli, ei ole teile peaaegu midagi öelnud. Šifreeritud tekst vastab vaid sellele, et väärtust ei salvestata selles esituses lihttekstina. Kes saab selle dekrüpteerida, millise võtmega ja millises kasutajakontekstis, on küsimused, mis otsustavad, kas salvestus aitab. Vastake neile enne, kui nimetate faili turvaliseks või ebaturvaliseks.

Tehke kindlaks, milline objekt salvestatakse

Alustage toote dokumenteeritud salvestusmudelist. Klient võib salvestada taastatava parooli, loa või viite mandaatide hoidlale ning igal neist on erinev avatus. XML-elemendi nimi ei ole disain ja base64 moodi string ei ole samuti krüpteerimise tõestus.

Küsige tarnijalt või administraatorilt, milline komponent loeb väärtust ühenduse loomise hetkel.

Seejärel tuvastage kaitse-API, kui see on dokumenteeritud. Windowsis kaitseb CryptProtectData andmeid võtmega, mis on tuletatud krüpteeriva kasutaja sisselogimismandaatidest, ja selle masinaulatuse valik muudab, kes saab dekrüpteerida. See on konkreetne näide, miks ulatus on oluline. See ei ole tõestus, et mõni konkreetne VPN-klient seda API-t kasutab.

Eraldage varastatud koopia tööaegsest kasutusest

Klient, mis ühendub uuesti ilma teilt küsimata, vajab mandaadi taastamiseks toetatud viisi. Varukoopia kaitsmine ei kõrvalda seda võimalust. Iga programm, mis töötab õiges kasutajakontekstis, võib kasutada sama teed, mistõttu asub lõpp-punkt ise usalduspiiri sees. Failiõigused ja protsessiõigused kitsendavad seda piiri; need ei kõrvalda seda.

See on erinevus, milles võrguühenduseta faili puudutav väide tavaliselt eksib. Krüpteerimine puhkeolekus võib peatada selle, kes kopeerib ühe faili ilma kontota. See ei peata koodi, mis töötab konto nimel.

Mõlemad väited võivad olla korraga tõesed ja teine on see, mis loeb intsidendi käsitlemisel.

Lugege juurdepääsukontrolle, mis tegelikult kehtivad

Kontrollige faili ACL-i ja selle kohal olevat kataloogi, mitte ainult failirežiimi. Windowsis võrrelge kasutajaprofiili tegelikke õigusi kliendi teenuse või ajastatud ülesande õigustega. Ühe kasutaja jaoks kaitstud saladus ei ole automaatselt kaitstud administraatori eest ega ole talle ka automaatselt avatud.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Registreerige, milline identiteet klienti käitab, sest see identiteet on dekrüpteerimise subjekt.

Hallatava parkla puhul võib asjakohane kontroll olla seadmehaldus, mitte fail. Küsige, kas mandaat hoitakse deposiidis, kas seda saab kaugelt tühistada ja milline on protsess seadme kaotsimineku korral.

Planeerige avatust, mitte ei testi dekrüpteerimist

Ärge käivitage faili vastu tundmatut ekstraktimistööriista, et punkti tõestada. See võib töötada, see võib profiili kahjustada ja igal juhul muudab see tõendeid. Kasutage dokumenteeritud disaini ja volitatud hindamist, kui kontrollimine on tõesti vajalik.

Kui avatus on tuvastatud, vahetage mandaat identiteedi omaniku juures.

Salvestatud kirje kustutamine ei ole tühistamine. See võib takistada sellel kliendil väärtust uuesti pakkumast ning ei tee midagi juba võetud koopia ega juba volitatud sessiooni suhtes. Asendage mandaat, lõpetage sessioonid, mille omanik saab lõpetada, ja registreerige, mida ja millal vahetati.

Küsimused tarnija ülevaatuseks

Küsige, milline saladus salvestatakse, milline komponent seda kasutab, milline kasutaja- või masinvõti seda kaitseb, millised juurdepääsukontrollid kehtivad tavakasutuse ja varukoopiate jaoks ning kuidas käsitletakse salvestuspoliitikat ja kaugtühistamist. Need viis vastust kirjeldavad disaini; XML mitte.

Hoidke vastuseid juurutuskirje juures, et järgmine ülevaataja harjutust ei kordaks.

Salvestatud mandaat on vahetus mugavuse ja avatuse vahel. Tehke see vahetus teadlikult ja kirjutage üles, kes selle vastu võttis.