Pre zakódované VPN tajomstvo neexistuje „dešifrovanie“

Fráza dešifrovať zakódovaný kľúč predpokladá jedinú operáciu, ktorá neexistuje. Uložené VPN tajomstvo môže byť bajty v základovom kódovaní, šifrovaný blob zviazaný s úložiskom kľúčov alebo jednosmerný verifikátor, ktorý nemožno vôbec obrátiť, a každý z nich vyžaduje inú reakciu. Základové kódovanie zo svojej podstaty nepridáva dôvernosť, takže jeho dekódovaním sa môže obnoviť použiteľné tajomstvo namiesto odhalenia chráneného. Začať pri poli a pri produkte, ktorý ho zapísal, je jediná spoľahlivá identifikácia.

Držte hodnotu mimo webových dekodérov aj mimo verejných príspevkov na fórach, pretože zakódované tajomstvo zostáva tajomstvom.

Kódovanie, šifrovanie a verifikátor sú tri rôzne veci

RFC 4648 definuje základové kódovania ako reprezentácie údajov v obmedzených prostrediach a jeho bezpečnostná časť výslovne uvádza, že neposkytujú žiadnu výpočtovú dôvernosť. To znamená, že pole Base64 môže ktokoľvek previesť späť na bajty, čo je riziko obnovenia, nie kryptografická prekážka. Šifrovanie je iné: bez kľúčového materiálu zostávajú bajty nepriehľadné. Verifikátor je zase iný, pretože bol navrhnutý tak, aby sa obrátiť nedal. Prečítanie zdokumentovaného názvu poľa zvyčajne povie, ktorý z troch prípadov máte.

Nazvať reťazec Base64 nepreukazuje, čo obsahuje. Môže sa dekódovať na kľúč, na serializovanú štruktúru alebo na náhodné odsadenie, a vzhľad textu nič nehovorí o tom, ktorý to je.

Určte pole skôr, než sa ho dotknete

Zapíšte exportujúci produkt a verziu, formát profilu a zdokumentovaný názov poľa. Potom oddeľte druhy tajomstva, ktoré sú v hre: skupinový vopred zdieľaný kľúč nie je heslo individuálneho účtu, heslo súkromného kľúča ani autentifikačný token. Majú rôznych vlastníkov a rôzne postupy nahradenia, a ich zámena mení nesprávne prihlasovacie údaje. Profil, ktorý sa stále pripája, tiež nie je povolením vytiahnuť prihlasovacie údaje, ktoré patria niekomu inému.

Užitočná informácia pre podporu je produkt, pole, chyba a autorizovaný cieľ. Samotné tajomstvo do tohto zoznamu nepatrí.

Obnova je autorizovaný postup, nie dekodér

Ak produkt dokumentuje reverzibilný export pre autorizovanú obnovu, použite jeho vlastný postup importu alebo obnovy v chránenom prostredí. Zachovajte pôvodný súbor a držte dekódovaný materiál mimo protokolov, histórie shellu a tiketov. Ak je hodnota šifrovaná alebo viazaná na chránené úložisko, zdokumentovaný spôsob odomknutia a požadovaná autorizácia prichádzajú od vlastníka, pretože dekódovanie nedodá ani kľúč, ani kontext prístupu iného používateľa. Keď pole obsahuje verifikátor, postupujte podľa zdokumentovanej cesty nahradenia, namiesto skúšania dekodérov.

Keď vlastník nemôže hodnotu obnoviť alebo bezpečne znovu vydať, odpoveďou je nový prihlasovací údaj a aktualizované konfigurácie protiľahlých strán. To je projekt s prechodom, nie príkaz.

Nahradenie zdieľaného tajomstva je koordinovaná zmena

Prepísanie produkčného zdieľaného tajomstva len na jednej strane rozbije každého schváleného klienta, ktorý stále drží predchádzajúcu hodnotu. Naplánujte prechod, rozhodnite, či treba odvolať nejaký prístup, a udržujte cestu obnovy dostupnú pred zmenou ktoréhokoľvek konca. Oznámte okno ľuďom, ktorí si to všimnú.

Ak bola pôvodná hodnota odhalená, rotácia je správna odpoveď a jej dekódovanie nič nepridá. Odhalené tajomstvo je kompromitované bez ohľadu na to, či niekto bajty obnovil.

Zapíšte, kde nová hodnota žije a komu patrí. Ďalší incident sa bude pýtať na to, nie na dekodér.