Opgeslagen VPN-wachtwoord: wie kan het ontsleutelen en wanneer

Een VPN-client die een versleuteld wachtwoord in zijn XML toont, heeft je vrijwel niets verteld. De cijfertekst zegt alleen dat de waarde in die weergave niet als platte tekst is opgeslagen. Wie het kan ontsleutelen, met welke sleutel en onder welke gebruikerscontext zijn de vragen die bepalen of de opslag helpt. Beantwoord ze voordat je het bestand veilig of onveilig noemt.

Bepaal welk object wordt opgeslagen

Begin bij het gedocumenteerde opslagmodel van het product. Een client kan een herstelbaar wachtwoord, een token of een verwijzing naar een referentieopslag bewaren, en elk daarvan heeft een andere blootstelling. De naam van het XML-element is het ontwerp niet, en een tekenreeks die op base64 lijkt is ook geen bewijs van versleuteling.

Vraag de leverancier of beheerder welk onderdeel de waarde bij het verbinden leest.

Bepaal daarna de beschermings-API als die gedocumenteerd is. Op Windows beschermt CryptProtectData gegevens met een sleutel die is afgeleid van de aanmeldgegevens van de versleutelende gebruiker, en de optie op machineniveau verandert wie kan ontsleutelen. Dat is een concreet voorbeeld van waarom het bereik ertoe doet. Het is geen bewijs dat een bepaalde VPN-client die API gebruikt.

Onderscheid een gestolen kopie van gebruik tijdens runtime

Een client die opnieuw verbindt zonder jou te vragen heeft een ondersteunde manier nodig om de referentie te herstellen. Het beschermen van een reservekopie neemt die mogelijkheid niet weg. Elk programma dat in de juiste gebruikerscontext draait, kan hetzelfde pad gebruiken, en daarom ligt het eindpunt zelf binnen de vertrouwensgrens. Bestandsrechten en procesprivileges vernauwen die grens; ze heffen hem niet op.

Die tweedeling is wat een bewering over een offlinebestand meestal verkeerd doet. Versleuteling in rust kan iemand tegenhouden die een bestand kopieert zonder het account. Het stopt geen code die als het account draait.

Beide uitspraken kunnen tegelijk waar zijn, en de tweede is degene die telt tijdens incidentrespons.

Lees de toegangscontroles die werkelijk van toepassing zijn

Controleer de ACL van het bestand en van de map erboven, niet alleen de bestandsmodus. Vergelijk op Windows de effectieve rechten van het gebruikersprofiel met die van de service of geplande taak van de client. Een geheim dat voor een gebruiker is beschermd, is niet automatisch beschermd tegen een beheerder, en het is ook niet automatisch aan een beheerder blootgesteld.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Noteer welke identiteit de client uitvoert, want die identiteit is het onderwerp van de ontsleuteling.

Voor een beheerde vloot kan de relevante controle apparaatbeheer zijn in plaats van het bestand. Vraag of de referentie in bewaring wordt gegeven, of die op afstand kan worden ingetrokken, en wat het proces is wanneer een apparaat verloren gaat.

Plan voor blootstelling in plaats van ontsleuteling te testen

Voer geen onbekend extractiehulpmiddel uit op het bestand om een punt te bewijzen. Het kan werken, het kan het profiel beschadigen, en hoe dan ook verandert het bewijs. Gebruik het gedocumenteerde ontwerp en een geautoriseerde beoordeling als verificatie echt nodig is.

Als blootstelling is vastgesteld, roteer de referentie dan bij de eigenaar van de identiteit.

Het verwijderen van de opgeslagen vermelding is geen intrekking. Het kan die client ervan weerhouden de waarde opnieuw aan te bieden, en het doet niets aan een kopie die al is genomen of een sessie die al is geautoriseerd. Vervang de referentie, beeindig de sessies die de eigenaar kan beeindigen, en leg vast wat is geroteerd en wanneer.

De vragen voor een leveranciersbeoordeling

Vraag welk geheim wordt opgeslagen, welk onderdeel het gebruikt, welke gebruikers- of machinesleutel het beschermt, welke toegangscontroles gelden voor normaal gebruik en back-ups, en hoe het opslagbeleid en het ongeldig maken op afstand zijn geregeld. Die vijf antwoorden beschrijven het ontwerp; de XML doet dat niet.

Bewaar de antwoorden bij het implementatiedossier, zodat de volgende beoordelaar de oefening niet herhaalt.

Een opgeslagen referentie is een ruil tussen gemak en blootstelling. Maak die ruil bewust, en schrijf op wie hem heeft geaccepteerd.