Nu există „decriptare“ pentru un secret VPN codificat

Formula a decripta cheia codificată presupune o singură operație care nu există. Un secret VPN stocat poate fi octeți codificați în bază, un blob criptat legat de un keystore sau un verificator unidirecțional care nu poate fi inversat deloc, și fiecare cere un răspuns diferit. Codificarea bază nu adaugă confidențialitate prin concepție, așa că decodificarea ei poate recupera un secret utilizabil în loc să dezvăluie unul protejat. A începe de la câmp și de la produsul care l-a scris este singura identificare fiabilă.

Țineți valoarea departe de decodoarele web și de postările publice pe forumuri, fiindcă un secret codificat rămâne un secret.

Codificare, criptare și un verificator sunt trei lucruri diferite

RFC 4648 definește codificările bază ca reprezentări ale datelor în medii restrânse, iar secțiunea sa de securitate spune clar că nu oferă nicio confidențialitate computațională. Asta înseamnă că oricine poate transforma un câmp Base64 înapoi în octeți, ceea ce este un risc de recuperare, nu o barieră criptografică. Criptarea este diferită: fără materialul cheii, octeții rămân opaci. Un verificator este din nou diferit, pentru că a fost proiectat să nu poată fi inversat. Citirea numelui documentat al câmpului spune de obicei care dintre cele trei îl aveți.

A numi un șir Base64 nu stabilește ce conține. Se poate decodifica într-o cheie, într-o structură serializată sau într-o umplutură aleatorie, iar aspectul textului nu spune nimic despre care.

Identificați câmpul înainte de a-l atinge

Notați produsul exportator și versiunea, formatul profilului și numele documentat al câmpului. Apoi separați tipurile de secret implicate: o cheie prepartajată de grup nu este o parolă de cont individual, nici o frază de acces a unei chei private, nici un token de autentificare. Au proprietari diferiți și proceduri de înlocuire diferite, iar confundarea lor schimbă acreditarea greșită. Un profil care încă se conectează nu este nici permisiunea de a extrage o acreditare care aparține altcuiva.

Informația utilă pentru asistență este produsul, câmpul, eroarea și obiectivul autorizat. Secretul în sine nu face parte din acea listă.

Recuperarea este o procedură autorizată, nu un decodor

Dacă produsul documentează un export reversibil pentru recuperare autorizată, folosiți procedura proprie de import sau de recuperare într-un mediu protejat. Păstrați fișierul original și țineți materialul decodificat în afara jurnalelor, a istoricului shell-ului și a tichetelor. Dacă valoarea este criptată sau legată de un depozit protejat, metoda de deblocare documentată și autorizarea necesară vin de la proprietar, pentru că decodarea nu oferă nici o cheie, nici contextul de acces al altui utilizator. Când câmpul conține un verificator, urmați ruta documentată de înlocuire în loc să încercați decodoare.

Când proprietarul nu poate recupera sau reemite în siguranță valoarea, răspunsul este o acreditare nouă și configurații de peer actualizate. Acesta este un proiect cu o tranziție, nu o comandă.

Înlocuirea unui secret partajat este o schimbare coordonată

Suprascrierea unui secret partajat de producție doar pe o parte rupe fiecare client aprobat care mai deține valoarea anterioară. Planificați tranziția, decideți dacă vreun acces trebuie revocat și păstrați o cale de recuperare disponibilă înainte de a schimba oricare dintre capete. Anunțați fereastra celor care o vor observa.

Dacă valoarea originală a fost expusă, rotația este răspunsul corect, iar decodificarea ei nu adaugă nimic. Un secret expus este compromis indiferent dacă cineva a recuperat octeții.

Notați unde se află noua valoare și cui îi aparține. Următorul incident va cere asta, nu un decodor.