Sačuvana VPN lozinka: ko je može dešifrirati i kada

VPN klijent koji prikazuje šifriranu lozinku u svom XML-u nije vam rekao gotovo ništa. Šifrirani tekst odgovara samo na to da vrijednost u tom prikazu nije pohranjena kao čisti tekst. Ko je može dešifrirati, kojim ključem i u kojem korisničkom kontekstu pitanja su koja odlučuju pomaže li pohrana. Odgovorite na njih prije nego datoteku nazovete sigurnom ili nesigurnom.

Utvrdite koji se objekt pohranjuje

Počnite s dokumentiranim modelom pohrane proizvoda. Klijent može čuvati lozinku koja se može vratiti, token ili uputu na spremište vjerodajnica, a svaki od njih ima drukčiju izloženost. Naziv XML elementa nije dizajn, a ni niz koji izgleda kao base64 nije dokaz šifriranja.

Pitajte dobavljača ili administratora koja komponenta čita vrijednost pri povezivanju.

Zatim utvrdite API zaštite ako je dokumentiran. Na Windowsima CryptProtectData štiti podatke ključem izvedenim iz podataka za prijavu korisnika koji šifrira, a mogućnost na razini računala mijenja tko može dešifrirati. To je konkretan primjer zašto je opseg važan. To nije dokaz da bilo koji VPN klijent rabi taj API.

Odvojite ukradenu kopiju od upotrebe tijekom rada

Klijent koji se ponovno povezuje bez pitanja treba podržan način vraćanja vjerodajnice. Zaštita sigurnosne kopije ne uklanja tu mogućnost. Svaki program koji radi u ispravnom korisničkom kontekstu može rabiti isti put, zato je sama krajnja točka unutar granice povjerenja. Dopuštenja datoteka i privilegije procesa sužavaju tu granicu; ne uklanjaju je.

Upravo tu razliku tvrdnja o izvanmrežnoj datoteci obično pogrešno shvaća. Šifriranje u mirovanju može zaustaviti nekoga tko kopira jednu datoteku bez računa. Ne zaustavlja kod koji radi kao taj račun.

Obje tvrdnje mogu biti istodobno istinite, a druga je ona koja je važna tijekom odgovora na incident.

Pročitajte kontrolne pristupa koji se doista primjenjuju

Provjerite ACL datoteke i mape iznad nje, ne samo način datoteke. Na Windowsima usporedite djelotvorna dopuštenja korisničkog profila s onima klijentske usluge ili zakazanog zadatka. Tajna zaštićena za jednog korisnika nije automatski zaštićena od administratora, a ni automatski mu izložena.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Zabilježite koji identitet pokreće klijenta, jer taj je identitet subjekt dešifriranja.

Za upravljanu flotu relevantna kontrola može biti upravljanje uređajima umjesto datoteke. Pitajte je li vjerodajnica pohranjena kod treće strane, može li se opozvati na daljinu i kakav je postupak kad se uređaj izgubi.

Planirajte izloženost umjesto testiranja dešifriranja

Ne pokrećite nepoznat alat za izdvajanje na datoteci da biste nešto dokazali. Može uspjeti, može oštetiti profil i u svakom slučaju mijenja dokaze. Rabite dokumentirani dizajn i ovlaštenu procjenu ako je provjera doista potrebna.

Ako je izloženost utvrđena, zamijenite vjerodajnicu kod vlasnika identiteta.

Brisanje pohranjena unosa nije opoziv. Može spriječiti taj klijent da ponovno ponudi vrijednost i ne čini ništa u vezi s kopijom koja je već uzeta ili sesijom koja je već ovlaštena. Zamijenite vjerodajnicu, prekinite sesije koje vlasnik može prekinuti i zabilježite što je zamijenjeno i kada.

Pitanja za pregled dobavljača

Pitajte koja se tajna pohranjuje, koja ju komponenta rabi, koji je korisnički ili strojni ključ štiti, koja kontrolna pristupa vrijede za uobičajenu upotrebu i sigurnosne kopije te kako se obrađuju politika spremanja i daljinsko poništavanje. Tih pet odgovora opisuje dizajn; XML ne.

Čuvajte odgovore uz zapis o uvođenju kako sljedeći pregledatelj ne bi ponavljao vježbu.

Pohranjena vjerodajnica trgovina je između praktičnosti i izloženosti. Obavite tu trgovinu namjerno i zapišite tko ju je prihvatio.