A kódolt VPN-titokhoz nincs „visszafejtés“

A kódolt kulcs visszafejtése fordulat egyetlen olyan műveletet feltételez, amely nem létezik. A tárolt VPN-titok lehet báziskódolt bájtok, kulcstárhoz kötött titkosított blob vagy egyirányú verifikátor, amelyet egyáltalán nem lehet visszafordítani, és mindegyik más választ kíván. A báziskódolás tervezésénél fogva nem ad hozzá bizalmasságot, ezért a dekódolása használható titkot állíthat vissza ahelyett, hogy védettet fedne fel. A mezőből és az azt író termékből kiindulni az egyetlen megbízható azonosítás.

Tartsa az értéket távol a webes dekóderektől és a nyilvános fórumbejegyzésektől, mert a kódolt titok is titok marad.

A kódolás, a titkosítás és a verifikátor három külön dolog

Az RFC 4648 a báziskódolásokat korlátozott környezetek adatábrázolásaiként határozza meg, és a biztonsági szakasza egyértelműen kimondja, hogy nem nyújtanak számítási bizalmasságot. Ez azt jelenti, hogy egy Base64 mezőt bárki visszaalakíthat bájtokká, ami helyreállítási kockázat, nem kriptográfiai akadály. A titkosítás más: kulcsanyag nélkül a bájtok átlátszatlanok maradnak. A verifikátor megint más, mert úgy tervezték, hogy ne lehessen visszafordítani. A dokumentált mezőnév elolvasása általában megmondja, melyik a három közül az öné.

Egy karakterláncot Base64-nek nevezni nem bizonyítja, mit tartalmaz. Dekódolódhat kulccsá, szerializált struktúrává vagy véletlenszerű kitöltéssé, és a szöveg megjelenése semmit nem mond arról, melyik.

A mezőt érintése előtt azonosítsa

Jegyezze fel az exportáló terméket és verziót, a profil formátumát és a dokumentált mezőnevet. Ezután válassza szét az érintett titokfajtákat: a csoportos előre megosztott kulcs nem egyéni fiókjelszó, nem privátkulcs-jelmondat és nem hitelesítési token. Ezeknek különböző tulajdonosaik és különböző cserélési eljárásaik vannak, és összekeverésük a rossz hitelesítő adatot változtatja meg. Egy még csatlakozó profil sem engedély arra, hogy másvalakihoz tartozó hitelesítő adatot kinyerjen.

A támogatásnak átadandó hasznos információ a termék, a mező, a hiba és az engedélyezett cél. Maga a titok nem része ennek a listának.

A helyreállítás engedélyezett eljárás, nem dekóder

Ha a termék visszafordítható exportot dokumentál engedélyezett helyreállításhoz, használja a saját import- vagy helyreállítási eljárását védett környezetben. Őrizze meg az eredeti fájlt, és tartsa a dekódolt anyagot naplókon, shell-előzményeken és jegyeken kívül. Ha az érték titkosított vagy védett tárolóhoz kötött, a dokumentált feloldási mód és a szükséges engedélyezés a tulajdonostól származik, mert a dekódolás sem kulcsot, sem egy másik felhasználó hozzáférési kontextusát nem adja. Ha a mező verifikátort tartalmaz, kövesse a dokumentált cserélési útvonalat ahelyett, hogy dekódereket próbálna ki.

Ha a tulajdonos nem tudja helyreállítani vagy biztonságosan újra kiadni az értéket, a válasz egy új hitelesítő adat és frissített társ-konfigurációk. Ez átállással járó projekt, nem parancs.

A megosztott titok cseréje összehangolt változás

Egy éles megosztott titok csak az egyik oldalon történő felülírása minden jóváhagyott klienst elront, amely még a korábbi értéket tartja. Tervezze meg az átállást, döntse el, kell-e visszavonni bármilyen hozzáférést, és tartson elérhető helyreállítási útvonalat, mielőtt bármelyik végpontot módosítja. Hirdesse ki az időablakot azoknak, akik észre fogják venni.

Ha az eredeti érték nyilvánosságra került, a rotáció a helyes válasz, és a dekódolása semmit nem tesz hozzá. A nyilvánosságra került titok kompromittált, akár sikerült valakinek visszaállítani a bájtokat, akár nem.

Jegyezze fel, hol él az új érték, és ki a tulajdonosa. A következő incidens ezt fogja kérni, nem egy dekódert.