Tidak ada ‘dekripsi’ untuk rahasia VPN yang terkodekan

Frasa mendekripsi kunci terkodekan mengasumsikan satu operasi yang tidak ada. Rahasia VPN yang tersimpan bisa berupa byte terkodekan basis, blob terenkripsi yang terikat ke keystore, atau verifikator satu arah yang sama sekali tidak dapat dibalik, dan masing-masing memerlukan respons berbeda. Pengodean basis tidak menambah kerahasiaan secara desain, sehingga mendekodenya bisa memulihkan rahasia yang dapat dipakai alih-alih menyingkap rahasia yang terlindungi. Mulai dari bidang dan dari produk yang menuliskannya adalah satu-satunya identifikasi yang andal.

Jauhkan nilainya dari dekoder web maupun dari kiriman forum publik, karena rahasia terkodekan tetap rahasia.

Pengodean, enkripsi, dan verifikator adalah tiga hal

RFC 4648 mendefinisikan pengodean basis sebagai representasi data di lingkungan terbatas, dan bagian keamanannya menyatakan dengan jelas bahwa pengodean itu tidak memberikan kerahasiaan komputasional. Artinya, bidang Base64 dapat dikembalikan ke byte oleh siapa pun, yang merupakan risiko pemulihan dan bukan penghalang kriptografis. Enkripsi berbeda: tanpa materi kunci, byte tetap tidak transparan. Verifikator berbeda lagi, karena ia dirancang agar tidak dapat dibalik. Membaca nama bidang yang terdokumentasi biasanya memberi tahu mana dari ketiganya yang Anda miliki.

Menyebut sebuah string sebagai Base64 tidak menetapkan apa isinya. String itu bisa terdekode menjadi kunci, struktur berseri, atau padding acak, dan tampilan teksnya tidak mengatakan apa pun tentang yang mana.

Kenali bidangnya sebelum menyentuhnya

Catat produk pengekspor dan versinya, format profil, dan nama bidang yang terdokumentasi. Lalu pisahkan jenis rahasia yang terlibat: kunci bersama sebelumnya milik grup bukanlah kata sandi akun perorangan, frasa sandi kunci privat, atau token autentikasi. Ketiganya punya pemilik dan prosedur penggantian yang berbeda, dan mencampurinya berarti mengubah kredensial yang salah. Profil yang masih tersambung juga bukan izin untuk mengekstrak kredensial milik orang lain.

Informasi yang berguna untuk diberikan ke dukungan adalah produk, bidang, galat, dan tujuan yang diizinkan. Rahasia itu sendiri bukan bagian dari daftar tersebut.

Pemulihan adalah prosedur yang diizinkan, bukan dekoder

Jika produk mendokumentasikan ekspor yang dapat dibalik untuk pemulihan yang diizinkan, gunakan prosedur impor atau pemulihannya sendiri di dalam lingkungan yang terlindungi. Pertahankan berkas aslinya, dan jauhkan materi yang terdekode dari log, riwayat shell, dan tiket. Jika nilainya terenkripsi atau terikat ke penyimpanan yang terlindungi, metode pembukaan yang terdokumentasi dan otorisasi yang diperlukan berasal dari pemiliknya, karena pendekodean tidak memberi kunci maupun konteks akses pengguna lain. Ketika bidang menyimpan verifikator, ikuti jalur penggantian yang terdokumentasi alih-alih mencoba dekoder.

Ketika pemilik tidak dapat memulihkan atau menerbitkan ulang nilai itu dengan aman, jawabannya adalah kredensial baru dan konfigurasi peer yang diperbarui. Itu proyek dengan peralihan, bukan perintah.

Mengganti rahasia bersama adalah perubahan terkoordinasi

Menimpa rahasia bersama produksi hanya di satu sisi merusak setiap klien yang disetujui yang masih memegang nilai sebelumnya. Rencanakan peralihannya, putuskan apakah ada akses yang harus dicabut, dan sediakan jalur pemulihan sebelum mengubah salah satu ujung. Umumkan jendela waktunya kepada orang-orang yang akan menyadarinya.

Jika nilai aslinya pernah terekspos, rotasi adalah respons yang tepat dan mendekodenya tidak menambah apa pun. Rahasia yang terekspos sudah terkompromi, entah ada yang memulihkan byte-nya atau tidak.

Catat di mana nilai baru berada dan siapa pemiliknya. Insiden berikutnya akan menanyakan itu, bukan dekoder.