შენახული VPN პაროლი: ვის შეუძლია მისი გაშიფვრა და როდის

VPN კლიენტი, რომელიც თავის XML-ში დაშიფრულ პაროლს აჩვენებს, თითქმის არაფერი გითხრათ. დაშიფრული ტექსტი მხოლოდ იმას პასუხობს, რომ მნიშვნელობა ამ წარმოდგენაში ღია ტექსტად არ ინახება. ვის შეუძლია მისი გაშიფვრა, რა გასაღებით და რომელ მომხმარებლის კონტექსტში — ეს არის კითხვები, რომლებიც წყვეტენ, ეხმარება თუ არა შენახვა. უპასუხეთ მათ, სანამ ფაილს უსაფრთხოს ან არაუსაფრთხოს უწოდებთ.

დაადგინეთ, რა ობიექტი ინახება

დაიწყეთ პროდუქტის დოკუმენტირებული შენახვის მოდელით. კლიენტმა შეიძლება შეინახოს აღდგენადი პაროლი, ტოკენი ან მითითება სერტიფიკატების საცავზე და თითოეულს განსხვავებული გამჟღავნება აქვს. XML ელემენტის სახელი დიზაინი არ არის და base64-ის მსგავსი სტრიქონიც დაშიფვრის მტკიცებულება არ არის.

ჰკითხეთ მომწოდებელს ან ადმინისტრატორს, რომელი კომპონენტი კითხულობს მნიშვნელობას დაკავშირების დროს.

შემდეგ დაადგინეთ დაცვის API, თუ ის დოკუმენტირებულია. Windows-ში CryptProtectData იცავს მონაცემებს გასაღებით, რომელიც გამომდინარეობს დამშიფვრელი მომხმარებლის შესვლის სერტიფიკატებიდან, და მისი მანქანური ფარგლების პარამეტრი ცვლის, ვის შეუძლია გაშიფვრა. ეს ფარგლის მნიშვნელობის კონკრეტული მაგალითია. ეს არ არის მტკიცებულება, რომ რომელიმე კონკრეტული VPN კლიენტი იყენებს ამ API-ს.

გამოყავით მოპარული ასლი გაშვების დროს გამოყენებისგან

კლიენტს, რომელიც ხელახლა უკავშირდება თქვენი კითხვის გარეშე, სჭირდება სერტიფიკატის აღდგენის მხარდაჭერილი გზა. სარეზერვო ასლის დაცვა ამ შესაძლებლობას არ აუქმებს. ნებისმიერ პროგრამას, რომელიც სწორ მომხმარებლის კონტექსტში მუშაობს, შეუძლია იგივე გზის გამოყენება, ამიტომ თვით საბოლოო წერტილი ნდობის საზღვრის შიგნითაა. ფაილის ნებართვები და პროცესის უფლებები ავიწროებენ ამ საზღვარს; არ აუქმებენ მას.

ეს არის ის განსხვავება, რომელსაც ოფლაინ ფაილის შესახებ მტკიცება ჩვეულებრივ არასწორად გაიგებს. მოსვენებულ მდგომარეობაში დაშიფვრა შეუძლია შეაჩეროს ის, ვინც ერთ ფაილს ანგარიშის გარეშე აკოპირებს. ის არ აჩერებს კოდს, რომელიც ანგარიშის სახელით მუშაობს.

ორივე მტკიცება ერთდროულად შეიძლება იყოს ჭეშმარიტი და ინციდენტზე რეაგირებისას მეორეა მნიშვნელოვანი.

წაიკითხეთ წვდომის კონტროლი, რომელიც რეალურად მოქმედებს

შეამოწმეთ ფაილის ACL და მის ზემოთ არსებული დირექტორია, არა მხოლოდ ფაილის რეჟიმი. Windows-ში შეადარეთ მომხმარებლის პროფილის ეფექტური ნებართვები კლიენტის სერვისის ან დაგეგმილი დავალების ნებართვებს. ერთი მომხმარებლისთვის დაცული საიდუმლო ავტომატურად არ არის დაცული ადმინისტრატორისგან და ავტომატურად არც მისთვის ღიაა.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

ჩაწერეთ, რომელი იდენტობა უშვებს კლიენტს, რადგან სწორედ ეს იდენტობაა გაშიფვრის სუბიექტი.

მართული პარკისთვის შესაბამისი კონტროლი შეიძლება იყოს მოწყობილობების მართვა და არა ფაილი. ჰკითხეთ, დეპონირებულია თუ არა სერტიფიკატი, შესაძლებელია თუ არა მისი დისტანციურად გაუქმება და რა პროცედურაა მოწყობილობის დაკარგვისას.

დაგეგმეთ გამჟღავნება და ნუ გამოსცდით გაშიფვრას

ნუ გაუშვებთ უცნობ ამოღების ხელსაწყოს ფაილზე რაიმეს დასამტკიცებლად. შეიძლება იმუშაოს, შეიძლება დააზიანოს პროფილი და ნებისმიერ შემთხვევაში ცვლის მტკიცებულებებს. გამოიყენეთ დოკუმენტირებული დიზაინი და უფლებამოსილი შეფასება, თუ შემოწმება ნამდვილად საჭიროა.

თუ გამჟღავნება დადგინდა, შეცვალეთ სერტიფიკატი იდენტობის მფლობელთან.

შენახული ჩანაწერის წაშლა გაუქმება არ არის. მან შეიძლება ხელი შეუშალოს ამ კლიენტს კვლავ შესთავაზოს მნიშვნელობა და არაფერს აკეთებს უკვე აღებულ ასლთან ან უკვე ავტორიზებულ სესიასთან. შეცვალეთ სერტიფიკატი, დაასრულეთ სესიები, რომელთა დასრულებაც მფლობელს შეუძლია, და ჩაწერეთ, რა შეიცვალა და როდის.

კითხვები მომწოდებლის განხილვისთვის

ჰკითხეთ, რა საიდუმლო ინახება, რომელი კომპონენტი იყენებს მას, რომელი მომხმარებლის ან მანქანის გასაღები იცავს, რომელი წვდომის კონტროლი ვრცელდება ჩვეულებრივ გამოყენებასა და სარეზერვო ასლებზე და როგორ მართავენ შენახვის პოლიტიკასა და დისტანციურ გაუქმებას. ეს ხუთი პასუხი აღწერს დიზაინს; XML — არა.

შეინახეთ პასუხები განლაგების ჩანაწერთან ერთად, რომ შემდეგმა მიმომხილველმა ვარჯიში არ გაიმეოროს.

შენახული სერტიფიკატი კომფორტსა და გამჟღავნებას შორის გაცვლაა. გააკეთეთ ეს გაცვლა განზრახ და ჩაწერეთ, ვინ მიიღო იგი.