Không có «giải mã» cho một bí mật VPN đã được mã hóa

Cụm từ giải mã khóa đã được mã hóa giả định một thao tác duy nhất không tồn tại. Một bí mật VPN được lưu có thể là các byte được mã hóa cơ sở, một khối đã mã hóa gắn với kho khóa, hoặc một bộ xác minh một chiều hoàn toàn không thể đảo ngược, và mỗi loại cần một phản hồi khác nhau. Mã hóa cơ sở theo thiết kế không thêm tính bảo mật, vì vậy giải mã nó có thể khôi phục một bí mật dùng được thay vì tiết lộ một bí mật được bảo vệ. Bắt đầu từ trường và từ sản phẩm đã ghi nó là cách nhận diện đáng tin cậy duy nhất.

Giữ giá trị tránh xa cả các bộ giải mã trên web và các bài đăng công khai trên diễn đàn, vì một bí mật đã được mã hóa vẫn là bí mật.

Mã hóa, mã hóa bảo mật và bộ xác minh là ba thứ khác nhau

RFC 4648 định nghĩa các mã hóa cơ sở là cách biểu diễn dữ liệu trong môi trường hạn chế, và phần bảo mật của nó nói rõ rằng chúng không cung cấp tính bảo mật tính toán nào. Điều đó có nghĩa là bất kỳ ai cũng có thể chuyển một trường Base64 trở lại thành byte, đó là rủi ro khôi phục chứ không phải rào cản mật mã. Mã hóa bảo mật thì khác: không có vật liệu khóa, các byte vẫn không rõ ràng. Bộ xác minh lại khác, vì nó được thiết kế để không thể đảo ngược. Đọc tên trường được ghi tài liệu thường cho biết bạn có trường hợp nào trong ba.

Gọi một chuỗi là Base64 không xác lập nó chứa gì. Nó có thể giải mã thành một khóa, một cấu trúc đã tuần tự hóa hoặc phần đệm ngẫu nhiên, và vẻ ngoài của văn bản không nói gì về việc đó.

Xác định trường trước khi chạm vào

Ghi lại sản phẩm xuất ra và phiên bản, định dạng hồ sơ và tên trường được ghi tài liệu. Sau đó tách các loại bí mật liên quan: khóa chia sẻ trước của nhóm không phải mật khẩu tài khoản cá nhân, không phải cụm mật khẩu của khóa riêng và không phải mã thông báo xác thực. Chúng có chủ sở hữu và quy trình thay thế khác nhau, và nhầm lẫn chúng sẽ thay đổi sai thông tin xác thực. Một hồ sơ vẫn kết nối cũng không phải là quyền trích xuất thông tin xác thực thuộc về người khác.

Thông tin hữu ích để cung cấp cho bộ phận hỗ trợ là sản phẩm, trường, lỗi và mục tiêu được cấp phép. Bản thân bí mật không nằm trong danh sách đó.

Khôi phục là một quy trình được cấp phép, không phải bộ giải mã

Nếu sản phẩm ghi tài liệu một bản xuất có thể đảo ngược cho việc khôi phục được cấp phép, hãy dùng quy trình nhập hoặc khôi phục của chính nó trong môi trường được bảo vệ. Giữ nguyên tệp gốc, và để vật liệu đã giải mã tránh xa nhật ký, lịch sử shell và phiếu sự vụ. Nếu giá trị được mã hóa hoặc gắn với kho lưu được bảo vệ, phương thức mở khóa được ghi tài liệu và quyền cần thiết đến từ chủ sở hữu, vì giải mã không cung cấp khóa lẫn ngữ cảnh truy cập của người dùng khác. Khi trường chứa bộ xác minh, hãy theo con đường thay thế được ghi tài liệu thay vì thử các bộ giải mã.

Khi chủ sở hữu không thể khôi phục hoặc phát hành lại giá trị một cách an toàn, câu trả lời là thông tin xác thực mới và cấu hình đồng cấp đã cập nhật. Đó là một dự án có chuyển đổi, không phải một lệnh.

Thay thế một bí mật chia sẻ là một thay đổi được phối hợp

Ghi đè một bí mật chia sẻ trong môi trường sản xuất chỉ ở một phía sẽ làm hỏng mọi máy khách đã được phê duyệt mà vẫn giữ giá trị trước đó. Hãy lập kế hoạch chuyển đổi, quyết định xem có cần thu hồi quyền truy cập nào không, và giữ sẵn một con đường khôi phục trước khi thay đổi một trong hai đầu. Thông báo khung thời gian cho những người sẽ nhận ra.

Nếu giá trị gốc đã bị lộ, xoay vòng là phản hồi đúng và việc giải mã nó không thêm gì. Một bí mật bị lộ đã bị xâm phạm dù có ai khôi phục được các byte hay không.

Ghi lại nơi giá trị mới tồn tại và ai sở hữu nó. Sự cố tiếp theo sẽ hỏi điều đó, không phải một bộ giải mã.