אין „פענוח“ לסוד VPN מקודד

הביטוי לפענח את המפתח המקודד מניח פעולה אחת שאינה קיימת. סוד VPN מאוחסן יכול להיות בייטים מקודדים בבסיס, בלוב מוצפן הקשור למאגר מפתחות, או מאמת חד-כיווני שאי אפשר להפוך כלל, וכל אחד מהם דורש תגובה אחרת. קידוד בסיס אינו מוסיף סודיות מלכתחילה, ולכן פענוח שלו עשוי לשחזר סוד שמיש במקום לחשוף סוד מוגן. התחלה מהשדה ומהמוצר שכתב אותו היא הזיהוי האמין היחיד.

הרחיקו את הערך גם ממפענחים ברשת וגם מהודעות פומביות בפורומים, כי סוד מקודד נשאר סוד.

קידוד, הצפנה ומאמת הם שלושה דברים

RFC 4648 מגדיר קידודי בסיס כייצוגים של נתונים בסביבות מוגבלות, ופרק האבטחה שלו קובע בבירור שהם אינם מספקים סודיות חישובית. פירוש הדבר שכל אחד יכול להחזיר שדה Base64 לבייטים, וזהו סיכון שחזור ולא מחסום קריפטוגרפי. הצפנה שונה: בלי חומר המפתח הבייטים נשארים אטומים. מאמת שונה שוב, משום שהוא תוכנן כך שלא ניתן יהיה להפוך אותו. קריאת שם השדה המתועד בדרך כלל אומרת איזה משלושת המקרים יש לכם.

לקרוא למחרוזת Base64 אינו קובע מה יש בה. היא עשויה להתפענח למפתח, למבנה מסודר או לריפוד אקראי, ומראה הטקסט אינו אומר דבר על כך.

זהו את השדה לפני שנוגעים בו

רשמו את המוצר המייצא ואת הגרסה, את תבנית הפרופיל ואת שם השדה המתועד. אחר כך הפרידו בין סוגי הסוד המעורבים: מפתח משותף מראש לקבוצה אינו סיסמת חשבון אישי, אינו ביטוי סיסמה למפתח פרטי ואינו אסימון אימות. להם בעלים שונים ונהלי החלפה שונים, וערבובם משנה את פרטי ההזדהות הלא נכונים. פרופיל שעדיין מתחבר גם אינו הרשאה לחלץ פרטי הזדהות השייכים למישהו אחר.

המידע השימושי לתמיכה הוא המוצר, השדה, השגיאה והיעד המורשה. הסוד עצמו אינו חלק מהרשימה הזו.

שחזור הוא הליך מורשה, לא מפענח

אם המוצר מתעד ייצוא הפיך לצורך שחזור מורשה, השתמשו בהליך הייבוא או השחזור שלו בתוך סביבה מוגנת. שמרו על הקובץ המקורי, והרחיקו חומר מפוענח מיומנים, מהיסטוריית המעטפת ומכרטיסים. אם הערך מוצפן או קשור למאגר מוגן, שיטת הפתיחה המתועדת וההרשאה הנדרשת באות מהבעלים, כי פענוח אינו מספק מפתח ולא את הקשר הגישה של משתמש אחר. כשהשדה מכיל מאמת, פעלו לפי מסלול ההחלפה המתועד במקום לנסות מפענחים.

כשהבעלים אינו יכול לשחזר או להוציא מחדש את הערך בבטחה, התשובה היא פרטי הזדהות חדשים ותצורות עמיתים מעודכנות. זהו פרויקט עם מעבר, לא פקודה.

החלפת סוד משותף היא שינוי מתואם

דריסת סוד משותף בייצור בצד אחד בלבד שוברת כל לקוח מאושר שעדיין מחזיק בערך הקודם. תכננו את המעבר, החליטו אם יש לבטל גישה כלשהי, והשאירו מסלול שחזור זמין לפני שתשנו כל קצה. הודיעו על חלון הזמן לאנשים שישימו לב.

אם הערך המקורי נחשף, סיבוב הוא התגובה הנכונה ופענוחו אינו מוסיף דבר. סוד שנחשף נפגע בין אם מישהו שחזר את הבייטים ובין אם לאו.

רשמו היכן הערך החדש נמצא ומי הבעלים שלו. התקרית הבאה תשאל על זה, לא על מפענח.