Kayıtlı VPN parolası: kim onu çözebilir ve ne zaman

XML'inde şifrelenmiş bir parola gösteren bir VPN istemcisi size neredeyse hiçbir şey söylememiştir. Şifreli metin yalnızca değerin o gösterimde düz metin olarak saklanmadığını yanıtlar. Kimin çözebileceği, hangi anahtarla ve hangi kullanıcı bağlamında olduğu, depolamanın yardımcı olup olmadığına karar veren sorulardır. Dosyayı güvenli veya güvensiz olarak adlandırmadan önce bunları yanıtlayın.

Hangi nesnenin saklandığını belirleyin

Ürünün belgelenmiş depolama modeliyle başlayın. Bir istemci kurtarılabilir bir parola, bir jeton veya bir kimlik bilgisi deposuna referans saklayabilir ve her birinin maruziyeti farklıdır. XML öğesinin adı tasarım değildir ve base64 gibi görünen bir dize de şifreleme kanıtı değildir.

Satıcıya veya yöneticiye bağlantı sırasında değeri hangi bileşenin okuduğunu sorun.

Ardından belgelenmişse koruma API'sini belirleyin. Windows'ta CryptProtectData verileri, şifreleyen kullanıcının oturum açma kimlik bilgilerinden türetilen bir anahtarla korur ve makine düzeyindeki seçenek kimin çözebileceğini değiştirir. Kapsamın neden önemli olduğunun somut bir örneği budur. Belirli bir VPN istemcisinin bu API'yi kullandığının kanıtı değildir.

Çalınan bir kopyayı çalışma zamanı kullanımından ayırın

Size sormadan yeniden bağlanan bir istemcinin kimlik bilgisini kurtarmak için desteklenen bir yola ihtiyacı vardır. Yedek bir kopyayı korumak bu yeteneği ortadan kaldırmaz. Doğru kullanıcı bağlamında çalışan herhangi bir program aynı yolu kullanabilir, bu yüzden uç nokta da güven sınırının içindedir. Dosya izinleri ve süreç ayrıcalıkları bu sınırı daraltır; onu ortadan kaldırmaz.

Çevrimdışı dosya iddiasının genellikle yanlış anladığı ayrım budur. Bekleme durumundaki şifreleme, hesap olmadan tek bir dosyayı kopyalayan birini durdurabilir. Hesap olarak çalışan kodu durdurmaz.

İki ifade aynı anda doğru olabilir ve olay müdahalesi sırasında önemli olan ikincisidir.

Gerçekten geçerli olan erişim denetimlerini okuyun

Dosyanın ACL'sini ve üstündeki dizini denetleyin, yalnızca dosya kipini değil. Windows'ta kullanıcı profilinin etkin izinlerini istemcinin hizmetinin veya zamanlanmış görevinin izinleriyle karşılaştırın. Bir kullanıcı için korunan bir sır, bir yöneticiden otomatik olarak korunmaz ve ona otomatik olarak da açık değildir.

icacls "%APPDATA%\Vendor\Client\profiles.xml"
whoami /priv

İstemciyi hangi kimliğin çalıştırdığını kaydedin, çünkü şifre çözmenin öznesi o kimliktir.

Yönetilen bir filo için ilgili denetim dosya yerine cihaz yönetimi olabilir. Kimlik bilgisinin emanette tutulup tutulmadığını, uzaktan iptal edilip edilemeyeceğini ve bir cihaz kaybolduğunda sürecin ne olduğunu sorun.

Şifre çözmeyi test etmek yerine maruziyet için plan yapın

Bir noktayı kanıtlamak için dosyaya karşı tanımadığınız bir çıkarma aracı çalıştırmayın. İşe yarayabilir, profili bozabilir ve her hâlükârda kanıtı değiştirir. Doğrulama gerçekten gerekiyorsa belgelenmiş tasarımı ve yetkili bir değerlendirmeyi kullanın.

Maruziyet kanıtlanırsa kimlik bilgisini kimliğin sahibinde döndürün.

Kayıtlı girdiyi silmek iptal değildir. O istemcinin değeri yeniden sunmasını durdurabilir ve önceden alınmış bir kopya veya önceden yetkilendirilmiş bir oturum için hiçbir şey yapmaz. Kimlik bilgisini değiştirin, sahibin sonlandırabileceği oturumları sonlandırın ve neyin ne zaman döndürüldüğünü kaydedin.

Satıcı incelemesi için sorular

Hangi sırrın saklandığını, onu hangi bileşenin kullandığını, hangi kullanıcı veya makine anahtarının onu koruduğunu, normal kullanım ve yedekler için hangi erişim denetimlerinin geçerli olduğunu ve kaydetme ilkesi ile uzaktan geçersiz kılmanın nasıl ele alındığını sorun. Bu beş yanıt tasarımı tanımlar; XML tanımlamaz.

Yanıtları kurulum kaydıyla birlikte saklayın ki bir sonraki gözden geçiren alıştırmayı tekrarlamasın.

Kayıtlı bir kimlik bilgisi kolaylık ile maruziyet arasında bir takastır. Bu takası bilerek yapın ve kimin kabul ettiğini yazın.