Saglabātā VPN parole: kas to var atšifrēt un kad

VPN klients, kas savā XML rāda šifrētu paroli, jums gandrīz neko nav pateicis. Šifrētais teksts atbild tikai, ka vērtība šajā attēlojumā netiek glabāta kā vienkāršs teksts. Kas to var atšifrēt, ar kādu atslēgu un kādā lietotāja kontekstā, ir jautājumi, kas nosaka, vai glabāšana palīdz. Atbildiet uz tiem, pirms saucat failu par drošu vai nedrošu.

Nosakiet, kurš objekts tiek glabāts

Sāciet ar produkta dokumentēto glabāšanas modeli. Klients var glabāt atjaunojamu paroli, marķieri vai atsauci uz akreditācijas datu krātuvi, un katram ir atšķirīga pakļautība. XML elementa nosaukums nav dizains, un arī base64 līdzīga virkne nav šifrēšanas pierādījums.

Pajautājiet piegādātājam vai administratoram, kura komponente nolasa vērtību savienojuma laikā.

Pēc tam nosakiet aizsardzības API, ja tas ir dokumentēts. Windows vidē CryptProtectData aizsargā datus ar atslēgu, kas atvasināta no šifrējošā lietotāja pieteikšanās akreditācijas datiem, un tā mašīnas mēroga opcija maina, kas var atšifrēt. Šis ir konkrēts piemērs, kāpēc mērogs ir svarīgs. Tas nav pierādījums, ka kāds konkrēts VPN klients izmanto šo API.

Atdaliet nozagtu kopiju no lietojuma izpildlaikā

Klientam, kas atkārtoti savienojas, nejautājot jums, ir vajadzīgs atbalstīts veids, kā atgūt akreditācijas datus. Dublējuma kopijas aizsardzība šo iespēju neizslēdz. Jebkura programma, kas darbojas pareizajā lietotāja kontekstā, var izmantot to pašu ceļu, tāpēc galapunkts pats atrodas uzticības robežas iekšpusē. Failu atļaujas un procesu privilēģijas sašaurina šo robežu; tās to neizslēdz.

Tieši šo atšķirību par bezsaistes failu izteiktais apgalvojums parasti saprot nepareizi. Šifrēšana miera stāvoklī var apturēt to, kurš kopē vienu failu bez konta. Tā neaptur kodu, kas darbojas kā konts.

Abi apgalvojumi var būt patiesi vienlaikus, un incidenta reaģēšanā svarīgs ir otrais.

Izlasiet piekļuves kontroli, kas patiešām tiek piemērota

Pārbaudiet faila ACL un virs tā esošo direktoriju, ne tikai faila režīmu. Windows vidē salīdziniet lietotāja profila faktiskās atļaujas ar klienta pakalpojuma vai plānotā uzdevuma atļaujām. Vienam lietotājam aizsargāts noslēpums nav automātiski aizsargāts no administratora, un tas nav arī automātiski viņam atklāts.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Pierakstiet, kura identitāte palaiž klientu, jo šī identitāte ir atšifrēšanas subjekts.

Pārvaldītā parkā attiecīgā kontrole var būt ierīču pārvaldība, nevis fails. Pajautājiet, vai akreditācijas dati tiek deponēti, vai tos var atsaukt attālināti un kāda ir procedūra, ja ierīce tiek pazaudēta.

Plānojiet pakļautību, nevis pārbaudiet atšifrēšanu

Neizpildiet nezināmu ekstrakcijas rīku pret failu, lai kaut ko pierādītu. Tas var nostrādāt, tas var sabojāt profilu, un jebkurā gadījumā tas maina pierādījumus. Izmantojiet dokumentēto dizainu un pilnvarotu novērtējumu, ja pārbaude patiešām ir nepieciešama.

Ja pakļautība ir konstatēta, nomainiet akreditācijas datus pie identitātes īpašnieka.

Saglabātā ieraksta dzēšana nav atsaukšana. Tā var liegt šim klientam vēlreiz piedāvāt vērtību, un tā neko nedara ar jau paņemtu kopiju vai jau autorizētu sesiju. Nomainiet akreditācijas datus, pārtrauciet sesijas, ko īpašnieks var pārtraukt, un pierakstiet, kas un kad tika nomainīts.

Jautājumi piegādātāja pārskatam

Pajautājiet, kāds noslēpums tiek glabāts, kura komponente to izmanto, kura lietotāja vai mašīnas atslēga to aizsargā, kāda piekļuves kontrole attiecas uz parasto lietojumu un dublējumiem, un kā tiek apstrādāta glabāšanas politika un attālināta anulēšana. Šīs piecas atbildes raksturo dizainu; XML ne.

Glabājiet atbildes kopā ar izvietošanas ierakstu, lai nākamais pārskatītājs neatkārtotu vingrinājumu.

Saglabāti akreditācijas dati ir maiņa starp ērtumu un pakļautību. Veiciet šo maiņu apzināti un pierakstiet, kas to pieņēma.