Bewarre VPN-wachtwurd: wa kin it ûntsiferje en wannear

In VPN-kliïnt dy't in fersifere wachtwurd yn syn XML toant, hat jo hast neat ferteld. It siferskrift antwurdet allinnich dat de wearde net as platte tekst yn dy foarstelling bewarre wurdt. Wa kin it ûntsiferje, mei hokker kaai, en ûnder hokker brûkerskontekst binne de fragen dy't beslute oft de opslach helpt. Beäntwurdzje se foar't jo it bestân feilich of ûnfeilich neame.

Bepaal hokker objekt bewarre wurdt

Begjin mei it dokumintearre opslachmodel fan it produkt. In kliïnt kin in weromhellber wachtwurd, in token of in ferwizing nei in bewarplak foar lynbewizen opslaan, en elk hat in oare bleatstelling. De XML-elemintnamme is net it ûntwerp, en in tekenrige dy't op base64 liket is ek gjin bewiis fan fersifering.

Freegje de leveransier of behearder hokker komponint de wearde by ferbiningstyd lêst.

Bepaal dan de beskermings-API as dy dokumintearre is. Under Windows beskermet CryptProtectData gegevens mei in kaai dy't ôflaat is fan 'e oanmeldgegevens fan 'e fersiferjende brûker, en syn masinebrede opsje feroaret wa't ûntsiferje kin. Dat is in konkreet foarbyld fan wêrom't it berik fan belang is. It is gjin bewiis dat in beskate VPN-kliïnt dy API brûkt.

Skied in stellen kopy fan gebrûk by runtime

In kliïnt dy't op 'e nij ferbynt sûnder jo te freegjen, hat in stipe manier nedich om it lynbewiis werom te heljen. It beskermjen fan in reservekopy nimt dy mooglikheid net wei. Elk programma dat yn 'e goede brûkerskontekst draait, kin itselde paad brûke, en dêrom leit it einpunt sels binnen de fertrouwensgrins. Bestânsrjochten en prosesprivileezjes fernauje dy grins; se helje him net wei.

Dat is it ûnderskied dat in bewearing oer in offlinebestân meastentiids ferkeard begrypt. Fersifering by rêst kin immen stopje dy't ien bestân sûnder it akkount kopiearret. It stoppet gjin koade dy't as it akkount draait.

Beide bewearings kinne tagelyk wier wêze, en de twadde is dejinge dy't by ynsidintbestriding fan belang is.

Lês de tagongskontrôles dy't wier jilde

Kontrolearje de ACL fan it bestân en de map derboppe, net allinnich de bestânsmodus. Under Windows fergelykje de effektive rjochten fan it brûkersprofyl mei dy fan 'e tsjinst of plande taak fan 'e kliïnt. In geheim dat foar ien brûker beskerme is, is net fansels beskerme tsjin in behearder, en it is der ek net fansels oan bleatsteld.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Skriuw op hokker identiteit de kliïnt draait, want dy identiteit is it ûntsiferingsûnderwerp.

Foar in behearder float kin de relevante kontrôle apparaatbehear wêze ynstee fan it bestân. Freegje oft it lynbewiis yn bewarhing jûn is, oft it op ôfstân yntrokken wurde kin, en wat it proses is as in apparaat ferlern giet.

Plan foar bleatstelling ynstee fan ûntsifering te testen

Rin gjin ûnbekend útlûkark laitsje op it bestân om in punt te bewizen. It kin wurkje, it kin it profyl skansearje, en yn alle gefallen feroaret it it bewiis. Brûk it dokumintearre ûntwerp en in autorisearre beoardieling as ferifikaasje echt nedich is.

As bleatstelling fêststeld is, rotearje it lynbewiis by de eigner fan 'e identiteit.

It fuortheljen fan 'e bewarre yngong is gjin yntrekking. It kin dy kliïnt tsjinhâlde om 'e wearde wer oan te bieden, en it docht neat oan in kopy dy't al nommen is of in sesje dy't al autorisearre is. Ferfang it lynbewiis, beëinigje de sesjes dy't de eigner beëinigje kin, en skriuw op wat rotearre is en wannear.

De fragen foar in leveransiersbefoardieling

Freegje hokker geheim bewarre wurdt, hokker komponint it brûkt, hokker brûker- of masinekaai it beskermet, hokker tagongskontrôles jilde foar normaal gebrûk en reservekopys, en hoe't it bewarjenbelied en op-ôfstân-ûnjildiging behannele wurde. Dy fiif antwurden beskriuwe it ûntwerp; de XML net.

Hâld de antwurden by de útrôljingsregistraasje sadat de folgjende beoardieler de oefening net werhellet.

In bewarre lynbewiis is in ruil tusken gemak en bleatstelling. Meitsje de ruil bewust, en skriuw op wa't him akseptearre hat.