Shranjeno geslo VPN: kdo ga lahko dešifrira in kdaj

Odjemalec VPN, ki v svojem XML prikazuje šifrirano geslo, vam ni povedal skoraj ničesar. Šifrirano besedilo odgovarja le, da vrednost v tej predstavitvi ni shranjena kot golo besedilo. Kdo jo lahko dešifrira, s katerim ključem in v katerem uporabniškem kontekstu, so vprašanja, ki odločajo, ali shranjevanje pomaga. Odgovorite nanje, preden datoteko označite za var glede ali nevarne.

Ugotovite, kateri predmet je shranjen

Začnite z dokumentiranim modelom shranjevanja izdelka. Odjemalec lahko hrani obnovljivo geslo, žeton ali sklic na shrambo poverilnic, vsaka od teh možnosti pa ima drugačno izpostavljenost. Ime elementa XML ni zasnova in tudi niz, ki je podoben base64, ni dokaz šifriranja.

Vprašajte ponudnika ali skrbnika, katera komponenta bere vrednost ob povezavi.

Nato določite varnostni API, če je dokumentiran. V sistemu Windows CryptProtectData varuje podatke s ključem, izpeljanim iz prijavnih poverilnic uporabnika, ki šifrira, možnost na ravni računalnika pa spremeni, kdo lahko dešifrira. To je konkreten primer, zakaj je obseg pomemben. Ni dokaz, da kateri koli odjemalec VPN uporablja ta API.

Ločite ukradeno kopijo od uporabe med izvajanjem

Odjemalec, ki se znova poveže, ne da bi vas vprašal, potrebuje podprt način za obnovitev poverilnice. Varovanje varnostne kopije te možnosti ne odpravi. Vsak program, ki se izvaja v pravem uporabniškem kontekstu, lahko uporabi isto pot, zato je sama končna točka znotraj meje zaupanja. Dovoljenja datotek in privilegiji procesov to mejo zožujejo; ne odpravijo je.

Prav to razlikovanje trditev o nedosegljivi datoteki običajno zgreši. Šifriranje v mirovanju lahko ustavi nekoga, ki kopira eno datoteko brez računa. Ne ustavi kode, ki teče kot ta račun.

Obe trditvi lahko veljata hkrati, med odzivom na incident pa je pomembna druga.

Preberite nadzore dostopa, ki resnično veljajo

Preverite ACL datoteke in nadrejene mape, ne le načina datoteke. V sistemu Windows primerjajte dejanske pravice uporabniškega profila s pravicami storitve ali načrtovane opravila odjemalca. Skrivnost, varovana za enega uporabnika, ni samodejno varovana pred skrbnikom in mu tudi ni samodejno izpostavljena.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Zapišite, katera identiteta poganja odjemalca, saj je ta identiteta subjekt dešifriranja.

Za upravljano floto je lahko ustrezni nadzor upravljanje naprav namesto datoteke. Vprašajte, ali je poverilnica v hrambi, ali jo je mogoče preklicati na daljavo in kakšen je postopek ob izgubi naprave.

Načrtujte izpostavljenost, namesto da bi preizkušali dešifriranje

Ne poganjajte neznanega orodja za izluščitev na datoteki, da bi nekaj dokazali. Lahko deluje, lahko poškoduje profil in v vsakem primeru spremeni dokaze. Uporabite dokumentirano zasnovo in pooblaščeno oceno, če je preverjanje resnično potrebno.

Če je izpostavljenost ugotovljena, zamenjajte poverilnico pri lastniku identitete.

Brisanje shranjenega vnosa ni preklic. Odjemalcu lahko prepreči, da bi vrednost znova ponudil, in ne stori ničesar glede že odvzete kopije ali že pooblaščene seje. Zamenjajte poverilnico, končajte seje, ki jih lastnik lahko konča, in zapišite, kaj je bilo zamenjano in kdaj.

Vprašanja za pregled ponudnika

Vprašajte, katera skrivnost je shranjena, katera komponenta jo uporablja, kateri uporabniški ali strojni ključ jo varuje, kateri nadzori dostopa veljajo za običajno uporabo in varnostne kopije ter kako se obravnavata politika shranjevanja in oddaljena razveljavitev. Teh pet odgovorov opisuje zasnovo; XML je ne.

Odgovore hranite z zapisom o uvedbi, da naslednji pregledovalec ne bo ponavljal te vaje.

Shranjena poverilnica je menjava med udobjem in izpostavljenostjo. To menjavo opravite namerno in zapišite, kdo jo je sprejel.