VPN parolunuz yalnız onu yoxlayanın məxfiliyi qədər məxvidir

Hər hansı VPN girişi barədə dörd sualı nəzərdən keçirin: parolu ötürmə zamanı nə qoruyur, onu hansı komponent alır, həmin komponent onunla nə edir və sonradan nə saxlanılır. Hər cavab fərqli bir nəzarətdir və birinə verilən güclü cavab digərləri haqqında heç nə demir. Səhv tunel şifrələməsini dördünü də əhatə edirmiş kimi qəbul etməkdir. O, yalnız birincini əhatə edir, başqa heç nəyi yox.

Sessiyanın şifrələndiyini deyil, sessiyanı kimin sonlandırdığını soruşun.

Kimə şifrələnmiş, dəqiq desək?

TLS parolu müştəri ilə bağlantını sonlandıran arasında qoruyur. Əgər həmin son nöqtə VPN şlüzüdürsə, şlüzün autentifikasiya kodu açıq parolu görür, onu yoxlayır və ya özünü, ya da ondan törəmə dəyəri irəli ötürür. Bu, nəzərdə tutulmuş dizayndır, sızma deyil. Yolda olan şəbəkə müşahidəçisi faydalı heç nə öyrənmir, yoxlamanı aparan komponent isə lazım olan hər şeyi öyrənir.

OpenVPN icması bunu açıq şəkildə sənədləşdirir: auth-user-pass-verify təqdim edilmiş etimad məlumatlarını yoxlama skriptinə və ya plaginə ötürür. Bu, komponentlər arasında qəsdən edilən ötürmədir və adlı tərəf kimi etimad modelinə aiddir.

Yoxlayıcı parolu görür

Bir komponent parolu yoxlamaq üçün aldıqdan sonra sirrin içərdə qalıb-qalmamasını həmin komponentin giriş nəzarətləri, jurnallaşdırma və kod keyfiyyəti həll edir. Etimad məlumatını jurnala yazan skript və ya onu keşləyən plagin protokolun yaratdığından qat-qat böyük məruz qalma yaradır. Giriş tuneldən deyil, arxitekturadan və rollardan asılıdır; buna görə yoxlayıcıya nəzarət edən xidmət sahibi qiymətləndirməyə daxil edilməlidir.

Fərqli üsullar fərqli materialı açıq edir. Sertifikat autentifikasiyası şəxsi açarı göndərmədən sübut edir və federasiya axını parolu kimlik provayderində saxlayaraq VPN-ə məhdud iddia verə bilər. Bu dizaynlar dairəni daraldır; heç biri bütün etimad edilən tərəfləri aradan qaldırmır.

Saxlanılan heşlər fərqli mərhələni qoruyur

NIST tövsiyələri qorunan ötürməni davamlı yoxlayıcı saxlancından ayırır. Duzlama və məsrəfli heşləmə sxemi saxlanılan yoxlayıcı təhdidini həll edir; bu, verilənlər bazası sızarsa sonradan baş verən şeydir. Onlar müqayisə üçün girişi almalı olan işləmə vaxtı komponentinə heç nə etmir. Tövsiyələri işləmə vaxtı gizliliyi vəd edirmiş kimi oxumaq kateqoriya səhvidir.

Beləliklə, yaxşı heşlənmiş parol anbarı və açıq yoxlama skripti ziddiyyət olmadan bir məhsulda birgə mövcud ola bilər.

Dairəni daraldan üsul seçmək

Tələb şlüzün heç vaxt təkrar istifadə oluna bilən parol almamasıdırsa, bunu həqiqətən təmin edən üsul seçin; məlumat şifrini dəyişmək bu xassəni yaratmır. VPN serverinin sertifikatını yoxlamaq hansı tərəfə çatdığınızı deyir; həmin tərəfin sonradan etimad məlumatları ilə necə davrandığı barədə heç nə demir. Server yoxlamasını saxlayın, hər xidmət üçün ayrı etimad məlumatları istifadə edin və təşkilatın dəstəklədiyi kimlik axınına əməl edin.

Parolu alan tərəfi, onu yoxlayan tərəfi və hansı formada saxlanıldığını qeyd edin. Bu üç cavab bağlantı profilinin yanında yer alır, çünki hər hansı konkret tuneldən daha uzun yaşayırlar.

Faydalı sual parolun şifrələnib-şifrələnmədiyi deyil, kimdən gizlədildiyi, hansı komponentin onu aldığı və sonradan hansı formanın qaldığıdır.