Prutsers. Niet de eerste keer trouwens dat Fortinet software een sleutel gebruikt die in alle installaties hetzelfde is (https://www.security.nl/posting/37180/Fortinet+SSL+DPI+ook+lek+%28net+als+Cyberoam%29%3F). Waarschijnlijk is het world readable opslaan van "versleutelde" authenticatiegegevens hier de grootste zonde. Ik schrijf "versleuteling" tussen aanhalingstekens, want versleuteling met de sleutel op hetzelfde systeem, ook al is deze uniek per installatie, is natuurlijk niks meer dan nauwelijks zinvolle obfuscatie - tenzij die unieke sleutel niet world-readable is opgeslagen. Maar ook in dat laatste geval geldt dat als een account gecompromitteerd raakt, je er vanuit moet gaan dat de VPN client credentials gestolen kunnen zijn. De beste "software-only" methode die ik ken is, net als bij PGP, om VPN credentials versleuteld met een wachtwoord op het systeem op te slaan. Dan kan een aanvaller, in het geval van een gecompromitteerd account, pas bij die credentials (en/of de VPN verbinding opzetten in ...