За кодирану VPN тајну нема „дешифровања“

Израз дешифровати кодирани кључ претпоставља једну радњу која не постоји. Сачувана VPN тајна може бити основно кодирани низ бајтова, шифровани блоб везан за складиште кључева или једносмерни верификатор који се никако не може вратити, и сваки од њих тражи другачији одговор. Основно кодирање по замисли не додаје поверљивост, па се његовим декодирањем може добити употребљива тајна уместо откривања заштићене. Полазак од поља и од производа који га је уписао једина је поуздана идентификација.

Држите вредност изван веб декодера и јавних објава на форумима, јер кодирана тајна остаје тајна.

Кодирање, шифровање и верификатор су три различите ствари

RFC 4648 описује основна кодирања као приказе података у ограниченим окружењима, а његов одељак о безбедности јасно каже да она не дају рачунску поверљивост. Зато свако може претворити поље Base64 назад у бајтове, што је ризик за опоравак, а не криптографска препрека. Шифровање је другачије: без кључног материјала бајтови остају непрозирни. Верификатор је опет другачији, јер је намерно направљен тако да не може да се врати. Документовани назив поља обично открива који од та три случаја имате.

Назвати неки низ Base64 не доказује шта он садржи. Може се декодирати у кључ, у серијализовану структуру или у случајно попуњавање, а изглед текста не говори које је од наведеног.

Утврдите поље пре него што га додирнете

Запишите производ из којег је извезено, његову верзију, формат профила и документовани назив поља. Затим раздвојите врсте тајне: групни унапред дељени кључ није лозинка појединачног налога, ни запорка приватног кључа, ни аутентификацијски токен. Њихови су власници различити, као и поступци замене, па њиховим мешањем мењате погрешан приступни податак. Ни профил који се још повезује није дозвола да извучете приступни податак који припада некоме другом.

Подршци је корисно дати производ, поље, грешку и одобрени циљ. Сама тајна није део тог списка.

Опоравак је одобрен поступак, не декодер

Ако производ документује реверзибилан извоз за одобрени опоравак, користите његов сопствени поступак увоза или опоравка у заштићеном окружењу. Сачувајте изворну датотеку, а декодирани материјал држите даље од записа, историје љуске и тикета. Када је вредност шифрована или везана за заштићено складиште, документовани начин откључавања и потребно одобрење долазе од власника, јер декодирање не даје ни кључ ни контекст приступа неког другог корисника. Када поље садржи верификатор, следите документовану путању замене уместо испробавања декодера.

Када власник не може да опорави или безбедно поново изда вредност, решење је нови приступни податак и ажуриране конфигурације партнера. То је пројекат с преласком, а не наредба.

Замена заједничке тајне је усклађена промена

Преписивање производне заједничке тајне само на једној страни сломи сваког одобреног клијента који још има претходну вредност. Испланирајте прелазак, одлучите треба ли икакав приступ опозвати и обезбедите доступну путању опоравка пре промене било којег краја. Обавестите људе који ће то приметити о временском оквиру.

Ако је изворна вредност била изложена, ротација је исправан одговор и њено декодирање ништа не доприноси. Изложена тајна је компромитована без обзира на то да ли је неко вратио бајтове.

Запишите где нова вредност борави и коме припада. Следећи инцидент ће тражити то, а не декодер.