Password VPN maħżuna: min jista' jiddeċifraha u meta

Klijent VPN li juri password ċifrata fl-XML tiegħu kważi ma qallek xejn. It-test ċifrat iwieġeb biss li l-valur mhuwiex maħżun bħala test sempliċi f'dik ir-rappreżentazzjoni. Min jista' jiddeċifraha, b'liema muftieħ u f'liema kuntest tal-utent huma l-mistoqsijiet li jiddeċiedu jekk il-ħażna tgħinx. Wieġeb lilhom qabel ma ssejjaħ il-fajl sikur jew mhux sikur.

Stabbilixxi liema oġġett huwa maħżun

Ibda bil-mudell tal-ħażna dokumentat tal-prodott. Klijent jista' jaħżen password li tista' tiġi rkuprata, token jew referenza għal maħżen tal-kredenzjali, u kull waħda għandha espożizzjoni differenti. L-isem tal-element XML mhuwiex id-disinn, u lanqas sensiela li tidher bħal base64 mhija prova ta' ċifrar.

Staqsi lill-fornitur jew lill-amministratur liema komponent jaqra l-valur fil-waqt tal-konnessjoni.

Imbagħad identifika l-API tal-protezzjoni jekk hija dokumentata. F'Windows, CryptProtectData jipproteġi d-data b'muftieħ derivat mill-kredenzjali tal-login tal-utent li jiċċifra, u l-għażla tal-ambitu tal-magna tiegħu tbiddel min jista' jiddeċifra. Dan huwa eżempju konkret ta' għaliex l-ambitu huwa importanti. Mhuwiex prova li xi klijent VPN partikolari juża dik l-API.

Issepara kopja misruqa mill-użu waqt ir-runtime

Klijent li jerġa' jikkonnettja mingħajr ma jistaqsik għandu bżonn mod appoġġjat biex jirkupra l-kredenzjali. Il-protezzjoni ta' kopja ta' riżerva ma tneħħix dik il-kapaċità. Kwalunkwe programm li jaħdem fil-kuntest tal-utent it-tajjeb jista' juża l-istess triq, u għalhekk il-punt tat-tmiem innifsu jinsab ġewwa l-konfini tal-fiduċja. Il-permessi tal-fajl u l-privileġġi tal-proċess jiddejqu dak il-konfini; ma jneħħuhx.

Dan huwa d-distinzjoni li tablifors tweġibha ħażina dikjarazzjoni dwar fajl offline. Iċ-ċifrar waqt il-mistrieħ jista' jwaqqaf lil min jikkopja fajl wieħed mingħajr il-kont. Ma jwaqqafx kodiċi li jaħdem bħala l-kont.

Iż-żewġ dikjarazzjonijiet jistgħu jkunu veri fl-istess ħin, u t-tieni waħda hija dik li tgħodd waqt ir-rispons għall-inċidenti.

Aqra l-kontrolli tal-aċċess li fil-fatt japplikaw

Iċċekkja l-ACL tal-fajl u d-direttorju ta' fuqu, mhux biss il-mod tal-fajl. F'Windows, qabbel il-permessi effettivi tal-profil tal-utent ma' dawk tas-servizz jew tal-kompitu skedat tal-klijent. Sigriet protett għal utent wieħed mhuwiex awtomatikament protett minn amministratur, u lanqas mhuwa awtomatikament espost lilu.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Irreġistra liema identità tmexxi l-klijent, għax dik l-identità hija s-suġġett tad-deċifrar.

Għal flotta ġestita l-kontroll rilevanti jista' jkun il-ġestjoni tal-apparati minflok il-fajl. Staqsi jekk il-kredenzjali hijiex depożitata, jekk tistax tiġi revokata mill-bogħod, u x'inhi l-proċedura meta apparat jintilef.

Ippjana għall-espożizzjoni minflok tittestja d-deċifrar

Tħaddimx għodda ta' estrazzjoni mhux magħrufa fuq il-fajl biex tipprova punt. Tista' taħdem, tista' tagħmel ħsara lill-profil, u fi kwalunkwe każ tbiddel l-evidenza. Uża d-disinn dokumentat u valutazzjoni awtorizzata jekk il-verifika hija tassew meħtieġa.

Jekk l-espożizzjoni tiġi stabbilita, iddawwar il-kredenzjali għand is-sid tal-identità.

It-tħassir tad-daħla maħżuna mhuwiex revoka. Jista' jwaqqaf lil dak il-klijent milli jerġa' joffri l-valur, u ma jagħmel xejn dwar kopja diġà meħuda jew sessjoni diġà awtorizzata. Issostitwixxi l-kredenzjali, ittemm is-sessjonijiet li s-sid jista' jtemm, u rreġistra x'ġie mdawwar u meta.

Il-mistoqsijiet għal reviżjoni tal-fornitur

Staqsi liema sigriet huwa maħżun, liema komponent jużah, liema muftieħ tal-utent jew tal-magna jipproteġih, liema kontrolli tal-aċċess japplikaw għall-użu normali u għall-kopji ta' riżerva, u kif jiġu mmaniġġjati l-politika tal-ħażna u r-revoka mill-bogħod. Dawk il-ħames tweġibiet jiddeskrivu d-disinn; l-XML le.

Żomm it-tweġibiet mar-rekord tal-iskjerament sabiex ir-reviżur li jmiss ma jerġax jagħmel l-eżerċizzju.

Kredenzjali maħżuna hija skambju bejn konvenjenza u espożizzjoni. Agħmel l-iskambju b'mod deliberat, u ikteb min aċċettah.