«رمزگشایی» برای یک راز VPN کدگذاری‌شده وجود ندارد
کدگذاری پایه هیچ محرمانگی‌ای اضافه نمی‌کند و بازبین را به‌کلی نمی‌توان بازگرداند. پیش از دست بردن به یک رمزگشا یا جانشین، فیلد را شناسایی کنید.
عبارت رمزگشایی کلید کدگذاری‌شده یک عملیات واحد را فرض می‌کند که وجود ندارد. راز VPN ذخیره‌شده می‌تواند بایت‌های کدگذاری‌شده با پایه، یک بلاب رمزنگاری‌شدهٔ وابسته به مخزن کلید، یا یک بازبین یک‌طرفه باشد که به‌کلی بازگرداندنی نیست، و هرکدام پاسخ متفاوتی می‌خواهند. کدگذاری پایه به‌حکم طراحی هیچ محرمانگی‌ای اضافه نمی‌کند، پس رمزگشایی آن می‌تواند رازی قابل استفاده را بازیابی کند نه رازی محافظت‌شده را آشکار سازد. شروع از فیلد و از محصولی که آن را نوشته، تنها شناسایی قابل اعتماد است.
مقدار را هم از رمزگشاهای وب و هم از پست‌های انجمن عمومی دور نگه دارید، چون راز کدگذاری‌شده هنوز راز است.
کدگذاری، رمزنگاری و بازبین سه چیز جداگانه‌اند
RFC 4648 کدگذاری‌های پایه را به‌عنوان نمایش داده‌ها در محیط‌های محدود تعریف می‌کند و بخش امنیتی آن صریحاً می‌گوید که آنها هیچ محرمانگی محاسباتی ارائه نمی‌دهند. این یعنی هر کسی می‌تواند یک فیلد Base64 را به بایت برگرداند، که یک ریسک بازیابی است نه یک سد رمزنگاری. رمزنگاری متفاوت است: بدون مادهٔ کلید، بایت‌ها مات می‌مانند. بازبین هم دوباره متفاوت است، چون طوری طراحی شده که بازگرداندنی نباشد. خواندن نام مستند فیلد معمولاً می‌گوید کدام یک از این سه را دارید.
نامیدن یک رشته به Base64 مشخص نمی‌کند که چه در خود دارد. ممکن است به یک کلید، به یک ساختار سریال‌شده یا به پدینگ تصادفی رمزگشایی شود، و ظاهر متن هیچ چیزی دربارهٔ اینکه کدام است نمی‌گوید.
پیش از دست زدن، فیلد را شناسایی کنید
محصول صادرکننده و نسخه، قالب پروفایل و نام مستند فیلد را ثبت کنید. سپس انواع راز دخیل را از هم جدا کنید: کلید از پیش مشترک گروهی، رمز عبور حساب فردی نیست، نه عبارت عبور کلید خصوصی و نه توکن احراز هویت. اینها صاحبان متفاوت و رویه‌های جانشینی متفاوت دارند، و اشتباه گرفتنشان اعتبارنامهٔ اشتباه را تغییر می‌دهد. پروفایلی که هنوز وصل می‌شود هم اجازهٔ استخراج اعتبارنامه‌ای که به کس دیگری تعلق دارد نیست.
اطلاعات مفیدی که به پشتیبانی می‌دهید محصول، فیلد، خطا و هدف مجاز است. خودِ راز بخشی از آن فهرست نیست.
بازیابی یک رویهٔ مجاز است، نه یک رمزگشا
اگر محصول یک صادرات برگشت‌پذیر برای بازیابی مجاز مستند می‌کند، از رویهٔ واردسازی یا بازیابی خودش در محیطی محافظت‌شده استفاده کنید. فایل اصلی را حفظ کنید، و مادهٔ رمزگشایی‌شده را از لاگ‌ها، تاریخچهٔ پوسته و تیکت‌ها دور نگه دارید. اگر مقدار رمزنگاری‌شده یا به یک مخزن محافظت‌شده وابسته است، روش بازکردن مستند و مجوز لازم از صاحب آن می‌آید، چون رمزگشایی نه کلیدی فراهم می‌کند و نه بافت دسترسی کاربر دیگر را. وقتی فیلد بازبین دارد، مسیر جانشینی مستند را دنبال کنید نه اینکه رمزگشاها را امتحان کنید.
وقتی صاحب نمی‌تواند مقدار را بازیابی یا به‌صورت ایمن دوباره صادر کند، پاسخ یک اعتبارنامهٔ جدید و پیکربندی‌های به‌روزشدهٔ همتا است. آن یک پروژه با گذار است، نه یک فرمان.
جانشین‌کردن یک راز مشترک یک تغییر هماهنگ‌شده است
بازنویسی یک راز مشترک تولیدی فقط در یک سمت، هر کلاینت تأییدشده‌ای را که هنوز مقدار قبلی را دارد می‌شکند. گذار را برنامه‌ریزی کنید، تصمیم بگیرید آیا دسترسی‌ای باید لغو شود، و پیش از تغییر هر یک از دو سر، یک مسیر بازیابی در دسترس نگه دارید. پنجرهٔ زمانی را به کسانی که متوجه می‌شوند اعلام کنید.
اگر مقدار اصلی افشا شده است، چرخش پاسخ درست است و رمزگشایی آن چیزی اضافه نمی‌کند. راز افشاشده سازش‌خورده است، چه کسی بایت‌ها را بازیابی کرده باشد چه نه.
ثبت کنید مقدار جدید کجا زندگی می‌کند و مالک آن کیست. رخداد بعدی آن را می‌خواهد، نه یک رمزگشا.