Mentett VPN-jelszó: ki tudja visszafejteni, és mikor

Egy VPN-ügyfél, amely titkosított jelszót jelenít meg az XML-jében, szinte semmit sem mondott önnek. A rejtjelezett szöveg csak azt válaszolja, hogy az érték abban az ábrázolásban nem egyszerű szövegként tárolódik. Ki tudja visszafejteni, milyen kulccsal és milyen felhasználói környezetben, ezek a kérdések döntik el, hogy a tárolás segít-e. Válaszoljon rájuk, mielőtt a fájlt biztonságosnak vagy nem biztonságosnak nevezi.

Határozza meg, milyen objektumot tárolnak

Kezdje a termék dokumentált tárolási modelljével. Az ügyfél tárolhat visszaállítható jelszót, tokent vagy egy hitelesítőadat-tárra mutató hivatkozást, és mindegyik más kitettséget jelent. Az XML-elem neve nem a tervezés, és a base64-re hasonlító karakterlánc sem bizonyíték a titkosításra.

Kérdezze meg a szállítót vagy a rendszergazdát, melyik összetevő olvassa az értéket a csatlakozáskor.

Ezután azonosítsa a védelmi API-t, ha dokumentált. Windows alatt a CryptProtectData a titkosító felhasználó bejelentkezési hitelesítő adataiból származtatott kulccsal védi az adatokat, és a gép szintű beállítás megváltoztatja, ki tudja visszafejteni. Ez konkrét példa arra, miért számít a hatókör. Ez nem bizonyítja, hogy bármely konkrét VPN-ügyfél használja ezt az API-t.

Válassza külön az ellopott másolatot a futásidejű használattól

Annak az ügyfélnek, amely kérdezés nélkül újracsatlakozik, támogatott módra van szüksége a hitelesítő adat visszaállításához. A biztonsági másolat védelme nem szünteti meg ezt a képességet. Bármely program, amely a megfelelő felhasználói környezetben fut, ugyanazt az útvonalat használhatja, ezért maga a végpont a bizalmi határon belül van. A fájljogosultságok és a folyamatok jogosultságai szűkítik ezt a határt; nem szüntetik meg.

Ez az a különbség, amelyet az offline fájlra vonatkozó állítás általában elhibáz. A nyugalmi titkosítás megakadályozhatja azt, aki a fiók nélkül másol egy fájlt. Nem állítja meg a fiókként futó kódot.

Mindkét állítás igaz lehet egyszerre, és az incidenskezelés során a második számít.

Olvassa el a ténylegesen érvényes hozzáférés-vezérlést

Ellenőrizze a fájl ACL-jét és a fölötte lévő könyvtárat, ne csak a fájl módját. Windows alatt hasonlítsa össze a felhasználói profil tényleges jogosultságait az ügyfél szolgáltatásának vagy ütemezett feladatának jogosultságaival. Az egy felhasználó számára védett titok nem védett automatikusan a rendszergazdától, és nem is lesz automatikusan számára láthatóvá.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Jegyezze fel, melyik identitás futtatja az ügyfelet, mert ez az identitás a visszafejtés alanya.

Egy felügyelt flotta esetében a releváns vezérlés az eszközkezelés lehet a fájl helyett. Kérdezze meg, hogy a hitelesítő adat letétbe van-e helyezve, távolról visszavonható-e, és mi az eljárás az eszköz elvesztésekor.

A kitettségre tervezzen, ne a visszafejtést tesztelje

Ne futtasson ismeretlen kinyerő eszközt a fájlon egy állítás bizonyítására. Működhet, károsíthatja a profilt, és mindenképpen megváltoztatja a bizonyítékokat. Használja a dokumentált tervezést és engedélyezett értékelést, ha az ellenőrzés valóban szükséges.

Ha a kitettség bizonyított, forgassa a hitelesítő adatot az identitás tulajdonosánál.

A mentett bejegyzés törlése nem visszavonás. Ez megakadályozhatja, hogy az az ügyfél újra felajánlja az értéket, és semmit sem tesz a már készült másolattal vagy a már engedélyezett munkamenettel. Cserélje le a hitelesítő adatot, zárja le a munkameneteket, amelyeket a tulajdonos lezárhat, és jegyezze fel, mi és mikor forgott.

A szállítói felülvizsgálat kérdései

Kérdezze meg, milyen titkot tárolnak, melyik összetevő használja, melyik felhasználói vagy gépi kulcs védi, milyen hozzáférés-vezérlés érvényes a normál használatra és a biztonsági másolatokra, és hogyan kezelik a mentési szabályzatot és a távoli érvénytelenítést. Ez az öt válasz írja le a tervezést; az XML nem.

Tartsa a válaszokat az üzembe helyezési nyilvántartás mellett, hogy a következő ellenőrző ne ismételje meg a gyakorlatot.

A mentett hitelesítő adat kényelem és kitettség közötti csere. Hozza meg a cserét szándékosan, és írja le, ki fogadta el.