Parolă VPN salvată: cine o poate decripta și când

Un client VPN care afișează o parolă criptată în XML-ul său nu ți-a spus aproape nimic. Textul cifrat răspunde doar că valoarea nu este stocată ca text simplu în acea reprezentare. Cine o poate decripta, cu ce cheie și în ce context de utilizator sunt întrebările care decid dacă stocarea ajută. Răspunde la ele înainte de a numi fișierul sigur sau nesigur.

Stabilește ce obiect este stocat

Începe cu modelul de stocare documentat al produsului. Un client poate păstra o parolă recuperabilă, un token sau o referință la un depozit de acreditări, iar fiecare are o expunere diferită. Numele elementului XML nu este proiectul, iar un șir care arată ca base64 nu este nici el dovadă de criptare.

Întreabă furnizorul sau administratorul ce componentă citește valoarea la conectare.

Apoi identifică API-ul de protecție, dacă este documentat. Pe Windows, CryptProtectData protejează datele cu o cheie derivată din acreditările de conectare ale utilizatorului care criptează, iar opțiunea la nivel de mașină schimbă cine poate decripta. Acesta este un exemplu concret al motivului pentru care domeniul de aplicare contează. Nu este dovada că un anumit client VPN folosește acel API.

Separă o copie furată de utilizarea la rulare

Un client care se reconectează fără să te întrebe are nevoie de o cale suportată de a recupera acreditarea. Protejarea unei copii de rezervă nu elimină această capacitate. Orice program care rulează în contextul de utilizator potrivit poate folosi aceeași cale, de aceea punctul final se află el însuși în interiorul graniței de încredere. Permisiunile fișierelor și privilegiile proceselor îngustează această graniță; nu o elimină.

Această distincție este ceea ce o afirmație despre un fișier offline greșește de obicei. Criptarea în repaus poate opri pe cineva care copiază un fișier fără cont. Nu oprește codul care rulează ca acel cont.

Ambele afirmații pot fi adevărate simultan, iar a doua este cea care contează în timpul răspunsului la incident.

Citește controalele de acces care se aplică efectiv

Verifică ACL-ul fișierului și al directorului de deasupra, nu doar modul fișierului. Pe Windows, compară permisiunile efective ale profilului de utilizator cu cele ale serviciului sau ale sarcinii programate a clientului. Un secret protejat pentru un utilizator nu este automat protejat față de un administrator și nici automat expus acestuia.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Notează ce identitate rulează clientul, pentru că acea identitate este subiectul decriptării.

Pentru o flotă administrată, controlul relevant poate fi managementul dispozitivelor în locul fișierului. Întreabă dacă acreditarea este păstrată în custodie, dacă poate fi revocată de la distanță și care este procesul când un dispozitiv se pierde.

Planifică expunerea în loc să testezi decriptarea

Nu rula un instrument de extragere necunoscut pe fișier pentru a demonstra un punct. Poate funcționa, poate deteriora profilul și, în orice caz, modifică proba. Folosește proiectul documentat și o evaluare autorizată dacă verificarea este cu adevărat necesară.

Dacă expunerea este stabilită, rotește acreditarea la proprietarul identității.

Ștergerea intrării salvate nu este revocare. Poate opri acel client să mai ofere valoarea și nu face nimic în privința unei copii deja luate sau a unei sesiuni deja autorizate. Înlocuiește acreditarea, încheie sesiunile pe care proprietarul le poate încheia și notează ce a fost rotit și când.

Întrebările pentru o revizuire a furnizorului

Întreabă ce secret este stocat, ce componentă îl folosește, ce cheie de utilizator sau de mașină îl protejează, ce controale de acces se aplică pentru utilizarea normală și pentru copiile de rezervă și cum sunt gestionate politica de salvare și invalidarea la distanță. Acele cinci răspunsuri descriu proiectul; XML-ul nu.

Păstrează răspunsurile împreună cu înregistrarea implementării, ca următorul revizor să nu repete exercițiul.

O acreditare salvată este un schimb între confort și expunere. Fă schimbul în mod deliberat și notează cine l-a acceptat.