Kimsə VPN parolunuzu nə qədər sürətlə təxmin edə bilər?

Gecikmə heç kimin vermədiyi suala cavab verir. Üç şərt təxmin qiymətləndirməsinin əslində nə demək olduğunu müəyyən edir: təxminin canlı xidmətlə, yoxsa tutulmuş materialla yoxlanıldığı, həmin materialı hansı autentifikasiya metodunun yaratdığı və xidmətin hansı nəzarətləri tətbiq etdiyi. Bir ping bir yolda bir gediş-dönüşü ölçür və bunların heç birinə cavab vermir. Bir saniyəni həmin rəqəmə bölmək dəqiq, əlaqəsiz və tez-tez təhlükəsizlik xassəsi imiş kimi təkrarlanan bir göstərici verir.

Gecikmə əlaqə işinə aiddir. Autentifikasiya gücü yoxlayıcının və protokolun xassəsidir.

Bir gediş-dönüş limit deyil

Gediş-dönüş vaxtı bir sorğunun və cavabının konkret yolda nə qədər çəkdiyini təsvir edir. Hətta onlayn cəhdlərdə belə, ötürmə qabiliyyəti müştərinin neçə sorğunu gözləmədə saxladığından, serverin hər cəhdə nə qədər vaxt sərf etdiyindən və hansı sürət limitlərinin tətbiq olunduğundan asılıdır. Bunlar pingdən asılı deyil. Ethernet əlaqəsi bir gediş-dönüşdə yalnız bir cəhdin ola biləcəyi qaydasını qoymur və sürətli ping yoxlayıcının təxminləri bu sürətlə qəbul edəcəyini sübut etmir.

Xidmət beş uğursuzluqdan sonra hesabı kilidləyirsə, praktiki sürət şəbəkədən asılı olmayaraq hər kilid pəncərəsində beş cəhddir. Bu bir nəzarətdir və sitat gətirməyə dəyər rəqəm budur.

Təxmin əslində harada yoxlanılır

Onlayn rejimdə iddiaçı hər namizədi real xidmətə təqdim edir, o da müşahidə edə, gecikdirə, kilidləyə və xəbərdarlıq edə bilər. Oflayn rejimdə uyğun yoxlama materialına sahib olan hücumçu namizədləri xidmətin iştirakı olmadan lokal olaraq yoxlayır. Bu fərq arifmetika ilə bağlı demək olar ki, hər şeyi müəyyən edir. NIST-in parol təlimatları bu təhdidləri ayrıca nəzərdən keçirir və uğursuz onlayn cəhdlərin sürətinin məhdudlaşdırılmasını, həmçinin məsrəf əmsalı ilə duzlu heşləmə yolu ilə oflayn hücuma davamlı saxlama tələb edir. Hər ikisi yoxlayıcının və saxlama qatının xassəsidir və istifadəçinin əlaqəsinin nə qədər sürətli cavab verdiyindən asılı deyil.

Paket tutmasının faydalı material verib-vermədiyi protokoldan və autentifikasiya metodundan asılıdır. Bir tutma, sertifikat və ya şifrələnmiş tunelə sahib olmaq tək başına heç nəyə cavab vermir, müştəri buraxılışının yaşı da vermir.

Niyə sındırma vaxtı arifmetikası yanıldır

Mümkün sətirlərin sayı yalnız öz fərziyyələri qədər yaxşıdır. İnsanların seçdiyi parollar formulun təsvir etdiyi fəzada bərabər paylanmır və təkrar istifadə olunan etimadnamələr artıq bir siyahıda ola bilər. Yoxlama məsrəfi də vacibdir: tətbiq olunan nəzarətləri olan onlayn xidmət lokal yoxlanılan oğurlanmış yoxlayıcıdan tamamilə fərqlənir. Sakitcə həmin hallar arasında keçən hesablama illərlə sındırma iddiasını dəstəkləyə bilməz.

Protokol qüsurlarını da öz sütununda saxla. Daha uzun parol zəif autentifikasiya quruluşunu düzəltmir və bir köhnəlmiş metod hər parol əsaslı dizaynın onun zəifliklərini paylaşdığını sübut etmir. Bunlar ayrı tapıntılar və ayrı düzəlişlərdir.

Gecikmə deyil, yoxlayıcı sübutu istə

Şlüz qiymətləndirməsi üçün autentifikasiya metodunu, yoxlayıcının kimdə olduğunu, hansı cəhd nəzarətlərinin mövcud olduğunu və ikinci amilin həqiqətən müstəqil olub-olmadığını müəyyən et. İki parol qutusu olan dialoq iki amil yaratmır. Saxlanılan etimadnamələr üçün hansı materialın mövcud olduğunu, onu kimin oxuya biləcəyini və tətbiqin həqiqətən hansı qorunmanı verdiyini müəyyən et. Hipotetik heş sürəti rəqəmi naməlum saxlama sistemi haqqında sübut deyil.

Təxmindən kənar məruz qalmanı da nəzərə al. Oğurlanmış profil, ələ keçirilmiş son nöqtə və ya fişinq axını parolları sadalayan hücumçudan fərqli bir problem yaradır və parol uzunluğu artıq aktiv sessiyaya verilmiş səlahiyyətə heç nə etmir.

Metodu, nəzarəti və saxlama qorunmasını qeyd et. Bu üçü pingin heç vaxt ölçmədiyi suala cavab verir.