Fjalëkalimi VPN i ruajtur: kush mund ta deshifrojë dhe kur

Një klient VPN që shfaq një fjalëkalim të shifruar në XML-në e tij nuk ju ka thënë pothuajse asgjë. Teksti i shifruar përgjigjet vetëm se vlera nuk ruhet si tekst i thjeshtë në atë paraqitje. Kush mund ta deshifrojë, me çfarë çelësi dhe në çfarë konteksti përdoruesi janë pyetjet që vendosin nëse ruajtja ndihmon. Përgjigjuni atyre përpara se ta quani skedarin të sigurt ose të pasigurt.

Përcaktoni cili objekt ruhet

Filloni me modelin e dokumentuar të ruajtjes së produktit. Një klient mund të ruajë një fjalëkalim të rikuperueshëm, një token ose një referencë për një depo kredencialesh, dhe secili ka ekspozim të ndryshëm. Emri i elementit XML nuk është dizajni, dhe asnjë varg që duket si base64 nuk është provë e shifrimit.

Pyetni furnizuesin ose administratorin se cili komponent e lexon vlerën në momentin e lidhjes.

Më pas identifikoni API-n e mbrojtjes, nëse është dokumentuar. Në Windows, CryptProtectData mbron të dhënat me një çelës të nxjerrë nga kredencialet e hyrjes së përdoruesit që shifron, dhe opsioni në nivel makine ndryshon kush mund të deshifrojë. Ky është një shembull konkret i arsyes pse fusha ka rëndësi. Nuk është provë që ndonjë klient VPN i caktuar e përdor atë API.

Ndani një kopje të vjedhur nga përdorimi në kohë ekzekutimi

Një klient që rilidhet pa ju pyetur ka nevojë për një mënyrë të mbështetur për të rikuperuar kredencialin. Mbrojtja e një kopje rezervë nuk e heq atë aftësi. Çdo program që ekzekutohet në kontekstin e duhur të përdoruesit mund të përdorë të njëjtën rrugë, prandaj vetë pika fundore ndodhet brenda kufirit të besimit. Lejet e skedarëve dhe privilegjet e procesit e ngushtojnë atë kufi; nuk e heqin.

Ky dallim është ai që një pretendim për skedar offline zakonisht e gabon. Shifrimi në qetësi mund të ndalojë dikë që kopjon një skedar pa llogarinë. Nuk ndalon kodin që ekzekutohet si llogaria.

Të dyja pohimet mund të jenë të vërteta njëkohësisht, dhe i dyti është ai që ka rëndësi gjatë reagimit ndaj incidentit.

Lexoni kontrollet e aksesit që zbatohen në të vërtetë

Kontrolloni ACL-në e skedarit dhe të drejtorisë mbi të, jo vetëm modalitetin e skedarit. Në Windows, krahasoni lejet efektive të profilit të përdoruesit me ato të shërbimit ose të detyrës së planifikuar të klientit. Një sekret i mbrojtur për një përdorues nuk mbrohet automatikisht nga një administrator dhe as nuk i ekspozohet automatikisht atij.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Shënoni cili identitet ekzekuton klientin, sepse ai identitet është subjekti i deshifrimit.

Për një flotë të menaxhuar, kontrolli përkatës mund të jetë menaxhimi i pajisjeve në vend të skedarit. Pyetni nëse kredenciali mbahet në ruajtje të besuar, nëse mund të revokohet nga distanca dhe cili është procesi kur humbet një pajisje.

Planifikoni ekspozimin në vend që të testoni deshifrimin

Mos ekzekutoni një mjet të panjohur nxjerrjeje mbi skedarin për të provuar një pikë. Mund të funksionojë, mund të dëmtojë profilin dhe në çdo rast ndryshon provën. Përdorni dizajnin e dokumentuar dhe një vlerësim të autorizuar nëse verifikimi është vërtet i nevojshëm.

Nëse ekspozimi vërtetohet, ndryshoni kredencialin te pronari i identitetit.

Fshirja e zërit të ruajtur nuk është revokim. Mund ta ndalojë atë klient të ofrojë përsëri vlerën dhe nuk bën asgjë për një kopje të marrë tashmë ose një sesion të autorizuar tashmë. Zëvendësoni kredencialin, përfundoni sesionet që pronari mund t'i përfundojë dhe shënoni çfarë u ndryshua dhe kur.

Pyetjet për një rishikim të furnizuesit

Pyetni çfarë sekreti ruhet, cili komponent e përdor, cili çelës përdoruesi ose makine e mbron, cilat kontrolle aksesi zbatohen për përdorimin normal dhe kopjet rezervë, dhe si trajtohen politika e ruajtjes dhe pavlefshmëria nga distanca. Ato pesë përgjigje përshkruajnë dizajnin; XML-i jo.

Mbajini përgjigjet bashkë me regjistrin e vendosjes, që rishikuesi i ardhshëm të mos e përsëritë ushtrimin.

Një kredencial i ruajtur është një shkëmbim midis komoditetit dhe ekspozimit. Bëjeni shkëmbimin me qëllim dhe shënoni kush e pranoi.