İctimai VPN parolu: niyə e-poçt parolunuz olmamalıdır

İctimai VPN kataloqlarındakı profillər minlərlə başqa insanın da sahib olduğu serveri, istifadəçi adını və parolu sadalayır və insan yadda qalan bir şey yazmağa meyllənir. Bu instinkt problemin özüdür: dəyər şəxsi sirr deyil və onu təkrar istifadə etdiyiniz hər şey də ictimai olur. Dərc edilən girişi ictimai xidmətə açılmış ortaq açar kimi qəbul edin, sizi tanıdan hər hesabı isə tamamilə başqa kateqoriya kimi. Bu ayrımı saxlamaq asandır, mühüm olduğu günə qədər.

Giriş məlumatı əslində nədir

İctimai VPN kataloqunda dərc edilən giriş operatorla səhifəni oxuyan hər kəs arasında giriş razılaşmasıdır. O, şəxsdən çox ortaq xidmət hesabını tanıda bilər və operator bağlantını şlüz nöqtəsində müşahidə edə bilər.

Sonuncu məqam xüsusi vurğuya layiqdir: tuneli sonlandıran hər kəs ona daxil olan və ondan çıxan trafiki görür və onu açan parolu saxlayır. Dəyəri poçt hesabı üçün təkrar istifadə etmək operatora heç vaxt təxmin edə bilməməli olduğu hesab haqqında bir şey deyir. Ortaq parol heç bir mənalı anlamda sirr deyil, çünki çox adam onu saxlayır. Kateqoriyalar fərqlidir: ictimai giriş sirri, şəxsi hesab parolu, müştəri sertifikatı və peer açarı, hər biri başqa suala cavab verir.

Təkrar istifadə zəif deyil, məlum dəyərdir

Parol gücü tövsiyələri adətən uzunluq və unikallığa fokuslanır və unikallıq məhz təkrar istifadənin məhv etdiyi şeydir. İki yerdə istifadə edilən uzun parol, yerlərdən biri sızdıqdan sonra hər ikisində məlum dəyər olur.

Credential stuffing məhz bu üst-üstə düşmədən asılıdır və ictimai kataloqlar cütün ilk yarısını hər kəs üçün pulsuz edir. Hər xidmət üçün ayrı dəyər yaratmaq, daha yadda qalan bir şey tələb etmədən bu rıçağı aradan qaldırır. Uzunluq artıq ictimai səhifədə çap olunmuş dəyəri heç vaxt kompensasiya etmir.

Parol artıq təkrar istifadə olunubsa

Əlaqəsiz hesabı onun təsdiqlənmiş bərpa prosesi ilə dəyişin, sonra aktiv sessiyalarını və bərpa parametrlərini nəzərdən keçirin, çünki köhnə sessiyanı canlı saxlayan sıfırlama işi bitirməmişdir. Səhvi nümayiş etdirmək üçün parolu VPN dəstəyinə göndərməyin. Çoxfaktorlu autentifikasiya mövcud olduqda onu aktivləşdirin, çünki o, sızmış parolu da aşır.

VPN giriş məlumatlarını operatorun sənədləşdirdiyi hər hansı proseslə dəyişdirin və bunun öz hesabınızı dəyişməkdən ayrı bir hərəkət olduğunu qeyd edin. İki dəyişikliyi eyni biletdə saxlayın ki, heç kim birinin digərini əhatə etdiyini güman etməsin.

Parol yerinə şəxsi müştəri açarı ifşa olunubsa, ləğv həlldir. E-poçt parolunu dəyişmək kopyalanmış açarı aradan qaldırmır.

Dəyişdirməzdən əvvəl giriş növünü yoxlayın

Nə isə yaratmazdan əvvəl sahənin həqiqətən nə gözlədiyini müəyyən edin. Portal otaq kodu, peer açarı və parol bir-birini əvəz etmir və səhv olanı dəyişmək ifşanı yerində saxlayır.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Yaradılmış dəyərləri qeyd yerinə parol menecerində saxlayın ki, ayrı-ayrı qeydlər istifadə edilə qalsın. Sonra köhnəni atmaqdan əvvəl yeni dəyərin işlədiyini təsdiqləyin və hər iki hadisəni eyni biletdə saxlayın.

Köhnə girişi istifadə etmiş hər hansı ortaq quraşdırmada saxlanmış giriş məlumatlarını təmizləyərək bitirin. Serverdən silinmiş giriş məlumatı, cihaz keşlənmiş nüsxə ilə yenidən qoşulmağa davam edirsə, hələ də sızma sayılır.