Naka-save na Password ng VPN: Sino ang Makakadecrypt at Kailan

Ang isang VPN client na nagpapakita ng naka-encrypt na password sa XML nito ay halos wala pang sinabi sa iyo. Ang ciphertext ay sumasagot lamang na ang halaga ay hindi naka-store bilang plain text sa representasyong iyon. Sino ang makakadecrypt, sa anong key at sa anong konteksto ng user ang mga tanong na nagpapasya kung nakakatulong ang imbakan. Sagutin ang mga iyon bago mo tawaging ligtas o hindi ligtas ang file.

Alamin kung anong bagay ang naka-store

Magsimula sa dokumentadong modelo ng imbakan ng produkto. Maaaring mag-store ang client ng mare-recover na password, token, o reperensiya sa isang credential store, at bawat isa ay may ibang exposure. Ang pangalan ng elementong XML ay hindi ang disenyo, at ang string na mukhang base64 ay hindi rin patunay ng encryption.

Itanong sa vendor o administrator kung aling bahagi ang nagbabasa ng halaga kapag kumokonekta.

Pagkatapos ay tukuyin ang protection API kung dokumentado ito. Sa Windows, pinoprotektahan ng CryptProtectData ang data gamit ang key na hinango sa logon credential ng user na nag-encrypt, at binabago ng opsiyon sa antas ng machine kung sino ang makakadecrypt. Iyon ay konkretong halimbawa kung bakit mahalaga ang saklaw. Hindi ito patunay na ginagamit ng anumang partikular na VPN client ang API na iyon.

Ihiwalay ang ninakaw na kopya sa paggamit sa runtime

Ang client na muling kumokonekta nang hindi ka tinatanong ay nangangailangan ng suportadong paraan upang mabawi ang credential. Ang pagprotekta sa backup na kopya ay hindi nag-aalis ng kakayahang iyon. Anumang programang tumatakbo sa tamang konteksto ng user ay maaaring gumamit ng parehong landas, kaya ang endpoint mismo ay nasa loob ng trust boundary. Ang mga pahintulot sa file at pribilehiyo ng proseso ay nagpapakitid sa hangganang iyon; hindi nila ito inaalis.

Ang pagkakaibang ito ang karaniwang nagkakamali ng isang claim tungkol sa offline file. Ang encryption at rest ay makakapigil sa kumokopya ng isang file nang walang account. Hindi nito pinipigilan ang code na tumatakbo bilang account.

Puwedeng totoo ang dalawang pahayag nang sabay, at ang pangalawa ang mahalaga sa panahon ng pagtugon sa insidente.

Basahin ang mga kontrol sa access na aktwal na naaangkop

Suriin ang ACL ng file at ng direktoryo sa itaas nito, hindi lamang ang file mode. Sa Windows, ihambing ang epektibong pahintulot ng user profile sa mga pahintulot ng serbisyo o naka-iskedyul na gawain ng client. Ang isang lihim na protektado para sa isang user ay hindi awtomatikong protektado mula sa isang administrator, at hindi rin awtomatikong nakalantad dito.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

Itala kung anong pagkakakilanlan ang nagpapatakbo ng client, dahil ang pagkakakilanlang iyon ang paksa ng decryption.

Para sa pinamamahalaang fleet, ang kaugnay na kontrol ay maaaring pamamahala ng device kaysa sa file. Itanong kung ang credential ay nasa escrow, kung maaari itong bawiin nang malayuan, at ano ang proseso kapag nawala ang isang device.

Magplano para sa exposure sa halip na subukan ang decryption

Huwag magpatakbo ng hindi pamilyar na tool sa pagkuha laban sa file upang patunayan ang isang punto. Maaaring gumana ito, maaaring makasira ng profile, at alinman sa dalawa ay nagbabago ng ebidensiya. Gamitin ang dokumentadong disenyo at isang awtorisadong pagtatasa kung talagang kailangan ang pagpapatunay.

Kung napatunayan ang exposure, paikutin ang credential sa may-ari ng pagkakakilanlan.

Ang pagtanggal ng naka-save na entry ay hindi pagbawi. Maaari nitong pigilan ang client na iyon na muling ialok ang halaga, at wala itong ginagawa sa kopyang nakuha na o sesyong awtorisado na. Palitan ang credential, wakasan ang mga sesyong maaaring wakasan ng may-ari, at itala kung ano ang pinaikot at kailan.

Ang mga tanong para sa pagsusuri ng vendor

Itanong kung anong lihim ang naka-store, aling bahagi ang gumagamit nito, aling user o machine key ang nagpoprotekta nito, aling mga kontrol sa access ang naaangkop para sa normal na paggamit at mga backup, at paano hinahawakan ang patakaran sa pag-save at remote invalidation. Ang limang sagot na iyon ay naglalarawan ng disenyo; ang XML ay hindi.

Itago ang mga sagot kasama ng talaan ng deployment upang hindi ulitin ng susunod na tagasuri ang pagsasanay.

Ang naka-save na credential ay isang palitan sa pagitan ng kaginhawahan at exposure. Gawin ang palitang iyon nang sadya, at isulat kung sino ang tumanggap nito.