Gordetako VPN pasahitza: nork deszifra dezake eta noiz

Bere XML-an pasahitz zifratua erakusten duen VPN bezero batek ia ezer ez dizu esan. Testu zifratuak soilik erantzuten du balioa ez dela testu lau gisa gordetzen irudikapen horretan. Nork deszifra dezakeen, zein giltzarekin eta zein erabiltzaile-testuingurutan dira biltegiratzeak laguntzen duen erabakitzen duten galderak. Erantzun horiei fitxategia segurua edo ez-segurua deitu aurretik.

Zehaztu zein objektu gordetzen den

Hasi produktuaren biltegiratze-eredu dokumentatuarekin. Bezero batek berreskura daitekeen pasahitza, token bat edo kredentzialen biltegi baterako erreferentzia gorde dezake, eta bakoitzak esposizio desberdina du. XML elementuaren izena ez da diseinua, eta base64 itxurako katea ere ez da zifratzearen froga.

Galdetu hornitzaileari edo administratzaileari zein osagaik irakurtzen duen balioa konektatzean.

Ondoren identifikatu babes-APIa dokumentatuta badago. Windows-en, CryptProtectData datuak babesten ditu zifratzen duen erabiltzailearen saio-hasierako kredentzialetatik eratorritako giltza batekin, eta bere makinaren esparruko aukerak aldatzen du nork deszifra dezakeen. Hori esparruak zergatik duen garrantzia adibide zehatza da. Ez da froga VPN bezero jakin batek API hori erabiltzen duenik.

Bereizi lapurtutako kopia exekuzio-denborako erabileratik

Zuri galdetu gabe berriro konektatzen den bezero batek kredentziala berreskuratzeko modu onartua behar du. Babeskopia bat babesteak ez du gaitasun hori kentzen. Erabiltzaile-testuinguru egokian exekutatzen den edozein programak bide bera erabil dezake, eta horregatik dago amaiera-puntua bera konfiantza-mugaren barruan. Fitxategi-baimenek eta prozesu-pribilegioek muga hori estutzen dute; ez dute kentzen.

Hori da lineaz kanpoko fitxategi bati buruzko baieztapenak normalean oker ulertzen duen bereizketa. Atsedenean zifratzeak konturik gabe fitxategi bat kopiatzen duena geldi dezake. Ez du kontu gisa exekutatzen den kodea gelditzen.

Bi baieztapenak aldi berean egiazkoak izan daitezke, eta bigarrena da intzidentziei erantzutean garrantzitsua dena.

Irakurri benetan aplikatzen diren sarbide-kontrolak

Egiaztatu fitxategiaren ACLa eta gaineko direktorioa, ez soilik fitxategi-modua. Windows-en, alderatu erabiltzaile-profilaren baimen eraginkorrak bezeroaren zerbitzuaren edo programatutako zereginaren baimenekin. Erabiltzaile batentzat babestutako sekretu bat ez dago automatikoki administratzaile batetik babestuta, eta ez dago automatikoki hari agerian jarrita ere.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Erregistratu zein identitatek exekutatzen duen bezeroa, identitate hori baita deszifratzearen subjektua.

Flota kudeatu batean, dagokion kontrola gailuen kudeaketa izan daiteke, fitxategia baino gehiago. Galdetu ea kredentziala gordailuan dagoen, ea urrutitik baliogabetu daitekeen eta zein den prozesua gailu bat galtzean.

Planifikatu esposizioa, ez deszifratzea probatu

Ez exekutatu erauzketa-tresna ezezagun bat fitxategiaren aurka puntu bat frogatzeko. Baliteke funtzionatzea, baliteke profila kaltetzea, eta edozein kasutan frogak aldatzen ditu. Erabili diseinu dokumentatua eta baimendutako ebaluazioa egiaztatzea benetan beharrezkoa bada.

Esposizioa frogatzen bada, biratu kredentziala identitatearen jabearengan.

Gordetako sarrera ezabatzea ez da baliogabetzea. Bezero horri balioa berriro eskaintzea eragotz diezaioke, eta ez du ezer egiten jada hartutako kopia edo jada baimendutako saio bati buruz. Ordeztu kredentziala, amaitu jabeak amaitu ditzakeen saioak, eta erregistratu zer biratu zen eta noiz.

Hornitzailearen berrikuspenerako galderak

Galdetu zein sekretu gordetzen den, zein osagak erabiltzen duen, zein erabiltzaile- edo makina-giltzak babesten duen, zein sarbide-kontrol aplikatzen diren erabilera arrunterako eta babeskopietarako, eta nola kudeatzen diren gordetzeko politika eta urrutiko baliogabetzea. Bost erantzun horiek diseinua deskribatzen dute; XMLak ez.

Gorde erantzunak hedapen-erregistroarekin, hurrengo berrikusleak ariketa errepika ez dezan.

Gordetako kredentziala erosotasunaren eta esposizioaren arteko trukea da. Egin trukea nahita, eta idatzi nork onartu zuen.