كلمة مرور VPN لديك لا تكون خاصة إلا بقدر خصوصية المدقق

تأمّل أربعة أسئلة حول أي تسجيل دخول إلى VPN: ما الذي يحمي كلمة المرور أثناء النقل، وأي مكوّن يتلقاها، وماذا يفعل ذلك المكوّن بها، وما الذي يُخزَّن بعد ذلك. كل جواب ضابط مختلف، والجواب القوي عن أحدها لا يقول شيئًا عن غيره. الخطأ أن تتعامل مع تشفير النفق كأنه يغطي الأسئلة الأربعة. إنه يغطي الأول فقط، ولا شيء غيره.

اسأل من ينهي الجلسة، لا عمّا إذا كانت الجلسة مشفرة.

مشفّر لمن، بالتحديد؟

يحمي TLS كلمة المرور بين العميل ومن ينهي الاتصال. إذا كانت تلك النهاية هي بوابة VPN، فإن شفرة المصادقة في البوابة ترى كلمة المرور الصريحة، وتتحقق منها، وتمرّرها أو تمرّر قيمة مشتقة منها إلى الأمام. هذا هو التصميم المقصود، وليس تسريبًا. المراقب الشبكي على المسار لا يتعلم شيئًا مفيدًا، والمكوّن الذي يجري التحقق يتعلم كل ما يحتاجه.

يوثّق مجتمع OpenVPN ذلك صراحةً: يسلّم auth-user-pass-verify بيانات الاعتماد المقدَّمة إلى سكربت أو إضافة تحقق. إنه تسليم متعمَّد بين مكوّنات، وهو ينتمي إلى نموذج الثقة كطرف مسمّى.

المدقق يرى كلمة المرور

بمجرد أن يتلقى مكوّن كلمة مرور للتحقق منها، تحدد ضوابط الوصول والسجلات وجودة الشفرة في ذلك المكوّن ما إذا كان السر يبقى محصورًا. السكربت الذي يكتب بيانات الاعتماد في سجل، أو الإضافة التي تخزّنها مؤقتًا، يخلق تعرضًا أكبر بكثير مما فعله البروتوكول. يعتمد الوصول على الهندسة والأدوار لا على النفق، ولهذا ينتمي مالك الخدمة الذي يتحكم في المدقق إلى التقييم.

الطرق المختلفة تكشف مواد مختلفة. مصادقة الشهادة تثبت مفتاحًا خاصًا دون إرساله، ويمكن لتدفق اتحادي أن يبقي كلمة المرور عند مزود الهوية مع إصدار تأكيد محدود النطاق إلى VPN. تلك التصاميم تضيّق الدائرة؛ ولا واحد منها يزيل كل طرف موثوق.

التجزئات المخزّنة تحمي مرحلة مختلفة

تفصل إرشادات NIST بين النقل المحمي والتخزين المقاوم للمدقق. التمليح ومخطط تجزئة مكلف يعالجان تهديد المدقق المخزّن، وهو ما يحدث بعد الواقعة إذا تسربت قاعدة بيانات. لا يفعلان شيئًا حيال مكوّن وقت التشغيل الذي يجب أن يتلقى الإدخال لمقارنته. قراءة الإرشادات كأنها تعد بسرية وقت التشغيل خطأ في التصنيف.

لذلك يمكن أن يتعايش مخزن كلمات مرور مجزّأ جيدًا وسكربت تحقق مكشوف في منتج واحد دون تناقض.

اختيار طريقة تضيّق الدائرة

إذا كان الشرط ألا تتلقى البوابة أبدًا كلمة مرور قابلة لإعادة الاستخدام، فاختر طريقة تضمن ذلك فعليًا؛ تغيير شفرة البيانات لا يخلق تلك الخاصية. التحقق من شهادة خادم VPN يخبرك بأي نظير وصلت إليه؛ ولا يقول شيئًا عن كيفية تعامل ذلك النظير مع بيانات الاعتماد بعد ذلك. أبقِ التحقق من الخادم، واستخدم بيانات اعتماد مميزة لكل خدمة، واتبع تدفق الهوية المدعوم في المؤسسة.

سجّل الطرف الذي يتلقى كلمة المرور، والطرف الذي يتحقق منها، والشكل الذي يُحتفظ به فيه. تلك الأجوبة الثلاثة تنتمي بجانب ملف الاتصال، لأنها تعيش أطول من أي نفق بعينه.

السؤال المفيد ليس هل كلمة المرور مشفرة، بل عمّن تُخفى، وأي مكوّن يتلقاها، وأي شكل يبقى بعد ذلك.