ما مدى سرعة تخمين أحدهم كلمة مرور VPN الخاصة بك؟

زمن الاستجابة يجيب عن سؤال لم يسأله أحد. ثلاثة شروط تحدد ما يعنيه تقدير التخمين فعلاً: هل يُفحص التخمين عبر خدمة حية أم مقابل مادة ملتقطة، وأي طريقة مصادقة أنتجت تلك المادة، وما الضوابط التي تفرضها الخدمة. أمر ping يقيس رحلة ذهاب وعودة واحدة على مسار واحد ولا يجيب عن أي منها. وقسمة ثانية على ذلك الرقم تنتج قيمة دقيقة وغير ذات صلة، وكثيراً ما تُكرَّر كما لو كانت خاصية أمنية.

زمن الاستجابة ينتمي إلى عمل الاتصال. قوة المصادقة خاصية للمُتحقِّق وللبروتوكول.

رحلة ذهاب وعودة واحدة ليست حداً للمعدل

زمن الرحلة ذهاباً وعودة يصف المدة التي يستغرقها طلب واحد وردّه على مسار معيّن. وحتى في المحاولات عبر الإنترنت، تعتمد الإنتاجية على عدد الطلبات التي يبقيها العميل معلّقة، وعلى المدة التي يقضيها الخادم في كل محاولة، وعلى حدود المعدل المفروضة. وهذه مستقلة عن أمر ping. رابط Ethernet لا يفرض قاعدة بأن محاولة واحدة فقط يمكن أن توجد في كل رحلة، وأمر ping سريع لا يثبت أن المُتحقِّق سيقبل التخمينات بهذا المعدل.

إذا كان الخدمة تقفل الحساب بعد خمس فشلات، فالمعدل العملي هو خمس محاولات في كل نافذة إقفال، بصرف النظر عن الشبكة. هذا ضابط، وهو الرقم الجدير بالذكر.

أين يُفحص التخمين فعلاً

عبر الإنترنت، يقدّم المُطالب كل مرشح إلى الخدمة الحقيقية، التي تستطيع الملاحظة والتأخير والإقفال والتنبيه. وخارج الإنترنت، يفحص المهاجم الذي يحوز مادة تحقق مناسبة المرشحات محلياً دون أي تدخل من الخدمة. هذا التمييز يحدد كل شيء تقريباً في الحساب. تتعامل إرشادات NIST لكلمات المرور مع هذه التهديدات بشكل منفصل، فتدعو إلى تحديد معدل المحاولات الفاشلة عبر الإنترنت وإلى تخزين يقاوم الهجوم خارج الإنترنت عبر تجزئة مملَّحة بعامل كلفة. وكلاهما خاصيتان للمُتحقِّق ولطبقة التخزين، دون أي اعتماد على سرعة استجابة رابط المستخدم.

يعتمد ما إذا كان التقاط الحزم ينتج مادة مفيدة على البروتوكول وطريقة المصادقة. وحيازة التقاط أو شهادة أو نفق مشفّر لا تجيب عن شيء بحد ذاتها، ولا يفعل ذلك عمر إصدار العميل.

لماذا يضلّل حساب زمن الكسر

عدد السلاسل الممكنة لا يكون أفضل من افتراضاته. كلمات المرور التي يختارها البشر ليست موزعة توزيعاً منتظماً على الفضاء الذي تصفه صيغة، وقد تكون بيانات الاعتماد المعاد استخدامها موجودة أصلاً في قائمة. كلفة الفحص تهم أيضاً: خدمة عبر الإنترنت بضوابط مفروضة تختلف تماماً عن متحقّق مسروق يُختبر محلياً. الحساب الذي ينتقل بهدوء بين تلك الحالات لا يمكنه دعم ادعاء بسنوات حتى الكسر.

أبقِ عيوب البروتوكول في عمودها الخاص أيضاً. كلمة مرور أطول لا تصلح بناء مصادقة ضعيفاً، وطريقة واحدة متقادمة لا تثبت أن كل تصميم قائم على كلمة المرور يشترك في نقاط ضعفها. تلك نتائج منفصلة ولها إصلاحات منفصلة.

اطلب أدلة المُتحقِّق، لا زمن الاستجابة

في تقييم بوابة، حدّد طريقة المصادقة، ومن يحوز المُتحقِّق، وما ضوابط المحاولة الموجودة، وما إذا كان العامل الثاني مستقلاً فعلاً. حوار فيه مربعا كلمة مرور لا يثبت عاملين. وبالنسبة لبيانات الاعتماد المخزّنة، حدّد ما المادة الموجودة، ومن يستطيع قراءتها، وما الحماية التي يطبقها التنفيذ فعلاً. رقم افتراضي لمعدل التجزئة ليس دليلاً على نظام تخزين غير محدد الهوية.

انظر أيضاً في التعرض خارج التخمين. الملف المسروق أو الطرف المخترق أو مسار التصيّد يمثل مشكلة مختلفة عن مهاجم يعدّد كلمات المرور، وطول كلمة المرور لا يفعل شيئاً بشأن الصلاحية الممنوحة أصلاً لجلسة نشطة.

سجّل الطريقة والضابط وحماية التخزين. هذه الثلاثة تجيب عن السؤال الذي لم يكن ping يقيسه أبداً.