Openbare VPN-wagwoord: waarom dit nie jou e-poswagwoord moet wees nie

Profiele in openbare VPN-gidse lys 'n bediener, 'n gebruikersnaam en 'n wagwoord wat duisende ander mense ook het, en die versoeking is om iets onthoubaars in te tik. Daardie instink is die probleem: die waarde is nie 'n persoonlike geheim nie, en enigiets waarvoor jy dit hergebruik, word ook openbaar. Behandel die gepubliseerde aanmelding as 'n gedeelde sleutel tot 'n openbare diens, en elke rekening wat jou identifiseer as 'n heeltemal ander kategorie. Die skeiding is maklik om te handhaaf tot die dag wanneer dit saak maak.

Wat die geloofsbrief werklik is

'n Aanmelding wat in 'n openbare VPN-gids gepubliseer is, is 'n toegangsreëling tussen die operateur en elkeen wat die bladsy lees. Dit kan 'n gedeelde diensrekening eerder as 'n persoon identifiseer, en die operateur kan die verbinding by die poort sien.

Daardie laaste punt verdien klem: wie ook al 'n tonnel beëindig, sien die verkeer wat dit in en uit gaan, en hou die wagwoord wat dit oopgemaak het. Om 'n waarde vir 'n e-posrekening te hergebruik, vertel die operateur iets omtrent 'n rekening wat hulle nooit sou kon raai nie. 'n Gedeelde wagwoord is nie in enige betekenisvolle sin 'n geheim nie, want baie mense hou dit. Die kategorieë is onderskeibaar: 'n openbare toegangsgeheim, 'n private rekeningwagwoord, 'n kliëntsertifikaat en 'n eweknie-sleutel beantwoord elkeen 'n ander vraag.

Hergebruik is 'n bekende waarde, nie 'n swak een nie

Riglyne vir wagwoordsterkte fokus gewoonlik op lengte en uniekheid, en uniekheid is juis wat hergebruik vernietig. 'n Lang wagwoord wat op twee plekke gebruik word, is in albei 'n bekende waarde sodra een van die plekke uitlek.

Geloofsbrief-stuffing hang van daardie oorvleueling af, en openbare gidse maak die eerste helfte van die paar gratis vir enigiemand. Om 'n aparte waarde per diens te genereer, verwyder die hefboom sonder om iets meer onthoubaars te vereis. Lengte vergoed nooit vir 'n waarde wat reeds op 'n openbare bladsy gedruk is nie.

As die wagwoord reeds hergebruik is

Verander die onverwante rekening deur sy geverifieerde herstelproses, en hersien dan sy aktiewe sessies en herstelinstellings, want 'n herstelling wat 'n ou sessie lewendig laat, het nie die werk klaar gemaak nie. Moenie die wagwoord aan VPN-ondersteuning stuur om die fout te demonstreer nie. Waar multifaktor-verifikasie beskikbaar is, aktiveer dit, want dit oorleef 'n uitgelekte wagwoord.

Roteer die VPN-geloofsbrief deur watter proses die operateur ook al dokumenteer, en let op dat dit 'n aparte aksie van die verandering van jou eie rekening is. Hou die twee veranderinge in dieselfde kaartjie sodat niemand aanneem een het die ander gedek nie.

As 'n private kliëntsleutel blootgestel is eerder as 'n wagwoord, is herroeping die oplossing. Om 'n e-poswagwoord te verander, verwyder nie 'n gekopieerde sleutel nie.

Kontroleer die geloofsbrieftipe voordat jy roteer

Identifiseer wat die veld werklik verwag voordat jy enigiets genereer. 'n Portaal-kamerkode, 'n eweknie-sleutel en 'n wagwoord is nie uitruilbaar nie, en om die verkeerde een te roteer, laat die blootstelling in plek.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Bewaar gegenereerde waardes in 'n wagwoordbestuurder eerder as in 'n nota, sodat afsonderlike inskrywings bruikbaar bly. Bevestig dan dat die nuwe waarde werk voordat jy die ou een weggooi, en hou albei gebeurtenisse in dieselfde kaartjie.

Maak klaar deur gestoorde geloofsbriewe op enige gedeelde installasie wat die ou aanmelding gebruik het, skoon te maak. 'n Geloofsbrief wat van die bediener verwyder is, is steeds 'n lek as 'n toestel aanhou herverbind met 'n gekasde kopie.