Nema ‘dešifriranja’ za kodiranu VPN tajnu

Sintagma dešifrirati kodirani ključ podrazumijeva jednu radnju koja ne postoji. Pohranjena VPN tajna može biti niz osnovno kodiranih bajtova, šifrirani blob vezan uz spremište ključeva ili jednosmjerni verifikator koji se nikako ne može vratiti, i svaki od njih traži drukčiji odgovor. Osnovno kodiranje svojim dizajnom ne dodaje povjerljivost, pa se njegovim dekodiranjem može dobiti upotrebljiva tajna umjesto otkrivanja zaštićene. Polazište od polja i od proizvoda koji ga je upisao jedina je pouzdana identifikacija.

Vrijednost držite izvan web dekodera i javnih objava na forumima, jer kodirana tajna ostaje tajna.

Kodiranje, šifriranje i verifikator tri su različita pojma

RFC 4648 opisuje osnovna kodiranja kao prikaze podataka u ograničenim okruženjima, a njegov sigurnosni odjeljak jasno kaže da ona ne daju računalnu povjerljivost. Zato svatko može pretvoriti polje Base64 natrag u bajtove, što je rizik za oporavak, a ne kriptografska zapreka. Šifriranje je drukčije: bez ključnog materijala bajtovi ostaju neprozirni. Verifikator je opet drukčiji jer je namjerno napravljen tako da se ne može vratiti. Dokumentirani naziv polja obično otkriva koji od tih tri slučaja imate.

Nazvati neki niz Base64 ne dokazuje što on sadrži. Može se dekodirati u ključ, u serijaliziranu strukturu ili u slučajno popunjavanje, a izgled teksta ne govori koje je od navedenog.

Utvrdite koje je polje prije nego ga dotaknete

Zapišite proizvod iz kojeg je izvezeno, njegovu verziju, format profila i dokumentirani naziv polja. Zatim razlučite vrste tajni: skupni unaprijed dijeljeni ključ nije lozinka pojedinog računa, ni zaporka privatnog ključa, ni autentifikacijski token. Njihovi su vlasnici različiti, kao i postupci zamjene, pa njihovim miješanjem mijenjate pogrešnu vjerodajnicu. Ni profil koji se još spaja nije dopuštenje da izvučete vjerodajnicu koja pripada nekome drugome.

Podršci je korisno dati proizvod, polje, grešku i odobreni cilj. Sama tajna nije dio tog popisa.

Oporavak je odobren postupak, ne dekoder

Ako proizvod dokumentira reverzibilan izvoz za odobreni oporavak, rabite njegov vlastiti postupak uvoza ili oporavka u zaštićenom okruženju. Sačuvajte izvornu datoteku, a dekodirani materijal držite podalje od zapisa, povijesti ljuske i tiketa. Kad je vrijednost šifrirana ili vezana uz zaštićeno spremište, dokumentirani način otključavanja i potrebno odobrenje dolaze od vlasnika, jer dekodiranje ne daje ni ključ ni kontekst pristupa nekog drugog korisnika. Kad polje sadrži verifikator, slijedite dokumentirani put zamjene umjesto isprobavanja dekodera.

Kad vlasnik ne može oporaviti ili sigurno ponovno izdati vrijednost, rješenje je nova vjerodajnica i ažurirane konfiguracije partnera. To je projekt s prelaskom, a ne naredba.

Zamjena zajedničke tajne usklađena je promjena

Prepisivanje proizvodne zajedničke tajne samo na jednoj strani slomi svakog odobrenog klijenta koji još ima prethodnu vrijednost. Isplanirajte prelazak, odlučite treba li ikakav pristup opozvati i osigurajte dostupan put oporavka prije promjene bilo kojeg kraja. Obavijestite ljude koji će to primijetiti o vremenskom okviru.

Ako je izvorna vrijednost bila izložena, rotacija je ispravan odgovor i njezino dekodiranje ništa ne pridonosi. Izložena je tajna kompromitirana bez obzira na to je li itko vratio bajtove.

Zapišite gdje nova vrijednost boravi i kome pripada. Sljedeći će incident tražiti to, a ne dekoder.