Kata laluan VPN tersimpan: siapa yang boleh menyahsulitnya dan bila

Klien VPN yang memaparkan kata laluan tersulit dalam XML-nya hampir tidak memberitahu anda apa-apa. Teks sifer hanya menjawab bahawa nilai itu tidak disimpan sebagai teks biasa dalam perwakilan tersebut. Siapa yang boleh menyahsulitnya, dengan kunci apa dan dalam konteks pengguna mana, ialah soalan yang menentukan sama ada storan itu membantu. Jawablah sebelum anda menyebut fail itu selamat atau tidak selamat.

Tentukan objek apa yang disimpan

Mulakan dengan model storan produk yang didokumenkan. Klien mungkin menyimpan kata laluan yang boleh dipulihkan, token atau rujukan kepada stor kelayakan, dan setiap satu mempunyai pendedahan berbeza. Nama elemen XML bukanlah reka bentuk, dan rentetan yang kelihatan seperti base64 juga bukan bukti penyulitan.

Tanya vendor atau pentadbir komponen mana yang membaca nilai itu semasa menyambung.

Kemudian kenal pasti API perlindungan jika ia didokumenkan. Dalam Windows, CryptProtectData melindungi data dengan kunci yang diterbitkan daripada kelayakan log masuk pengguna yang menyulitkan, dan pilihan skop mesinnya mengubah siapa yang boleh menyahsulit. Itu contoh konkrit mengapa skop itu penting. Ia bukan bukti bahawa mana-mana klien VPN tertentu menggunakan API itu.

Asingkan salinan yang dicuri daripada penggunaan semasa runtime

Klien yang menyambung semula tanpa bertanya kepada anda memerlukan cara yang disokong untuk memulihkan kelayakan. Melindungi salinan sandaran tidak menghapuskan keupayaan itu. Mana-mana program yang berjalan dalam konteks pengguna yang betul mungkin menggunakan laluan yang sama, sebab itu titik akhir itu sendiri berada di dalam sempadan kepercayaan. Kebenaran fail dan keistimewaan proses menyempitkan sempadan itu; ia tidak menghapuskannya.

Itulah perbezaan yang biasanya disalahertikan oleh dakwaan tentang fail luar talian. Penyulitan semasa rehat boleh menghalang seseorang yang menyalin satu fail tanpa akaun. Ia tidak menghalang kod yang berjalan sebagai akaun itu.

Kedua-dua kenyataan boleh benar pada masa yang sama, dan yang kedua ialah yang penting semasa tindak balas insiden.

Baca kawalan akses yang benar-benar terpakai

Periksa ACL fail dan direktori di atasnya, bukan hanya mod fail. Dalam Windows, bandingkan kebenaran berkesan profil pengguna dengan kebenaran perkhidmatan atau tugas berjadual klien. Rahsia yang dilindungi untuk seorang pengguna tidak terlindung secara automatik daripada pentadbir, dan ia juga tidak terdedah secara automatik kepadanya.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Catat identiti mana yang menjalankan klien, kerana identiti itulah subjek penyahsulitan.

Bagi armada terurus, kawalan yang berkaitan mungkin pengurusan peranti dan bukan fail. Tanya sama ada kelayakan itu didepositkan, sama ada ia boleh dibatalkan dari jauh, dan apakah prosesnya apabila peranti hilang.

Rancang untuk pendedahan dan bukannya menguji penyahsulitan

Jangan jalankan alat pengekstrakan yang tidak dikenali terhadap fail itu untuk membuktikan sesuatu perkara. Ia mungkin berkesan, ia mungkin merosakkan profil, dan dalam apa jua keadaan ia mengubah bukti. Gunakan reka bentuk yang didokumenkan dan penilaian yang dibenarkan jika pengesahan benar-benar diperlukan.

Jika pendedahan terbukti, putarkan kelayakan di pemilik identiti.

Memadamkan entri tersimpan bukanlah pembatalan. Ia boleh menghalang klien itu daripada menawarkan nilai itu semula, dan ia tidak berbuat apa-apa terhadap salinan yang sudah diambil atau sesi yang sudah dibenarkan. Gantikan kelayakan, tamatkan sesi yang boleh ditamatkan oleh pemilik, dan catat apa yang diputarkan dan bila.

Soalan untuk semakan vendor

Tanya rahsia apa yang disimpan, komponen mana yang menggunakannya, kunci pengguna atau mesin mana yang melindunginya, kawalan akses apa yang terpakai untuk penggunaan biasa dan sandaran, serta bagaimana dasar penyimpanan dan pembatalan jauh dikendalikan. Kelima-lima jawapan itu menerangkan reka bentuk; XML tidak.

Simpan jawapan bersama rekod penggunaan agar penyemak seterusnya tidak mengulangi latihan itu.

Kelayakan tersimpan ialah pertukaran antara kemudahan dan pendedahan. Lakukan pertukaran itu secara sedar, dan catat siapa yang menerimanya.