Як хутка нехта можа падабраць ваш пароль VPN?

Затрымка адказвае на пытанне, якога ніхто не задаваў. Тры ўмовы вызначаюць, што насамрэч азначае ацэнка перабору: ці правяраецца здагадка праз дзейную паслугу або супраць перахопленага матэрыялу, які метад аўтэнтыфікацыі стварыў гэты матэрыял і якія кантролі паслуга ўводзіць. Праграма ping вымярае адзін круг туды і назад на адным шляху і не адказвае ні на адно з гэтага. Падзел секунды на гэты лік дае велічыню дакладную, непатрэбную і часта паўтараную так, нібыта гэта ўласцівасць бяспекі.

Затрымка адносіцца да працы са злучэннем. Моц аўтэнтыфікацыі — уласцівасць правяральніка і пратаколу.

Адзін круг — не абмежаванне хуткасці

Час круга туды і назад апісвае, колькі займае адзін запыт і яго адказ на пэўным шляху. Нават для анлайн-спроб прапускная здольнасць залежыць ад таго, колькі запытаў кліент трымае незавершанымі, колькі часу сервер марнуе на адну спробу і якія абмежаванні хуткасці дзейнічаюць. Гэта не залежыць ад ping. Злучэнне Ethernet не ўводзіць правіла, што на адзін круг можа прыпадаць толькі адна спроба, а хуткі ping не даказвае, што правяральнік прыме здагадкі з такой хуткасцю.

Калі паслуга блакуе ўліковы запіс пасля пяці няўдач, практычная хуткасць — пяць спроб на кожнае акно блакавання, незалежна ад сеткі. Гэта кантроль, і менавіта гэтую лічбу варта прыводзіць.

Дзе здагадка насамрэч правяраецца

У анлайне заяўнік падае кожнага кандыдата рэальнай паслузе, якая можа назіраць, затрымліваць, блакаваць і папярэджваць. У афлайне нападнік, які валодае прыдатным матэрыялам для праверкі, правярае кандыдатаў лакальна без удзелу паслугі. Гэтае размежаванне вызначае амаль усё ў арыфметыцы. Кіраўніцтва NIST па паролях разглядае гэтыя пагрозы асобна, патрабуючы абмежавання хуткасці няўдалых анлайн-спроб і захоўвання, якое супрацьстаіць афлайн-нападу праз салёнае хэшаванне з каэфіцыентам кошту. Абодва — уласцівасці правяральніка і пласта захоўвання, без залежнасці ад таго, наколькі хутка адказвае злучэнне карыстальніка.

Ці дае перахоп пакетаў карысны матэрыял, залежыць ад пратаколу і метаду аўтэнтыфікацыі. Валоданне перахопам, сертыфікатам або шыфраваным тунелем само па сабе ні на што не адказвае, як і ўзрост зборкі кліента.

Чаму арыфметыка часу ўзлому падманвае

Колькасць магчымых радкоў не лепшая за свае здагадкі. Паролі, выбраныя людзьмі, размеркаваны нераўнамерна па прасторы, якую апісвае формула, а паўторна выкарыстаныя ўліковыя даныя могуць ужо быць у спісе. Кошт праверкі таксама мае значэнне: анлайн-паслуга з уведзенымі кантролямі цалкам адрозніваецца ад украдзенага правяральніка, які тэстуюць лакальна. Разлік, які ціха перамяшчаецца паміж гэтымі выпадкамі, не можа падмацаваць сцвярджэнне пра гады да ўзлому.

Трымайце дэфекты пратаколу ў асобнай калоне. Даўжэйшы пароль не выпраўляе слабую канструкцыю аўтэнтыфікацыі, і адзін састарэлы метад не даказвае, што ўсе праекты на аснове пароля падзяляюць яго слабасці. Гэта асобныя высновы з асобнымі выпраўленнямі.

Патрабуйце доказы правяральніка, а не затрымку

Для ацэнкі шлюза вызначце метад аўтэнтыфікацыі, у каго правяральнік, якія кантролі спроб існуюць і ці сапраўды незалежны другі фактар. Дыялог з двума палямі пароля не ўсталёўвае два фактары. Для захаваных уліковых даных вызначце, які матэрыял існуе, хто можа яго чытаць і якую ахову рэалізацыя фактычна ўжывае. Гіпатэтычная лічба хуткасці хэшавання не ёсць доказам пра неідэнтыфікаваную сістэму захоўвання.

Разгледзьце таксама ўздзеянне па-за пераборам. Украдзены профіль, кампраметаваная канчатковая кропка або ланцуг фішынгу ўяўляюць іншую праблему, чым нападнік, які пералічвае паролі, і даўжыня пароля нічога не дае супраць паўнамоцтваў, ужо дадзеных актыўнай сесіі.

Запішыце метад, кантроль і ахову захоўвання. Гэтыя тры адказваюць на пытанне, якое ping ніколі не вымяраў.