Публічны пароль VPN: чаму ён не павінен быць паролем вашай пошты

Профілі ў публічных каталогах VPN пералічваюць сервер, імя карыстальніка і пароль, якія маюць таксама тысячы іншых людзей, і спакуса ў тым, каб надрукаваць нешта запамінальнае. Гэты інстынкт і ёсць праблемай: значэнне не з'яўляецца асабістай тайнай, і ўсё, дзе вы яго паўторна выкарыстаеце, таксама становіцца публічным. Стаўцеся да апублікаваных уліковых даных як да агульнага ключа да публічнай паслугі, а да кожнага рахунку, які вас ідэнтыфікуе, як да цалкам іншай катэгорыі. Гэтае раздзяленне проста падтрымліваць да таго дня, калі яно стане важным.

Што такое ўліковыя даныя насамрэч

Уліковыя даныя, апублікаваныя ў публічным каталогу VPN, гэта дамоўленасць аб доступе паміж аператарам і любым, хто чытае старонку. Яны могуць ідэнтыфікаваць агульны службовы рахунак, а не чалавека, і аператар можа назіраць за злучэннем на шлюзе.

Апошні пункт варты асаблівага націску: той, хто завяршае тунель, бачыць трафік, які ўваходзіць і выходзіць з яго, і трымае пароль, які яго адкрыў. Паўторнае выкарыстанне значэння для паштовага рахунку паведамляе аператару нешта пра рахунак, які ён ніколі не павінен быў бы адгадаць. Агульны пароль не з'яўляецца тайнай у любым значным сэнсе, бо шмат людзей яго трымаюць. Катэгорыі розныя: публічная тайна доступу, пароль прыватнага рахунку, кліенцкі сертыфікат і ключ вузла, кожная адказвае на сваё пытанне.

Паўторнае выкарыстанне робіць значэнне вядомым, а не слабым

Рэкамендацыі па надзейнасці пароляў звычайна засяроджваюцца на даўжыні і ўнікальнасці, а ўнікальнасць менавіта тое, што знішчае паўторнае выкарыстанне. Доўгі пароль, які выкарыстоўваецца ў двух месцах, становіцца вядомым значэннем у абодвух, як толькі адно з іх уцячэ.

Падстаноўка ўліковых даных залежыць ад гэтага супадзення, і публічныя каталогі робяць першую палову пары бясплатнай для ўсіх. Генерацыя асобнага значэння для кожнай паслугі пазбаўляе ад гэтага рычага, не патрабуючы нічога больш запамінальнага. Даўжыня ніколі не кампенсуе значэнне, якое ўжо надрукавана на публічнай старонцы.

Калі пароль ужо выкарыстоўваўся паўторна

Змяніце незвязаны рахунак праз яго пацверджаны працэс аднаўлення, затым праглядзіце яго актыўныя сеансы і налады аднаўлення, бо скід, які пакідае стары сеанс жывым, не завяршыў працу. Не адпраўляйце пароль у падтрымку VPN, каб прадэманстраваць памылку. Там, дзе даступная шматфактарная аўтэнтыфікацыя, уключыце яе, бо яна перажывае ўцечку пароля.

Змяняйце ўліковыя даныя VPN праз любы працэс, які дакументуе аператар, і памятайце, што гэта асобнае дзеянне ад змены ўласнага рахунку. Трымайце дзве змены ў адной заяўцы, каб ніхто не думаў, што адна пакрыла другую.

Калі быў выкрыты прыватны кліенцкі ключ, а не пароль, лекі ў адкліканні. Змена пароля пошты не выдаляе скапіяваны ключ.

Праверце тып уліковых даных перад зменай

Вызначце, што насамрэч чакае поле, перш чым нешта генерыраваць. Код пакоя партала, ключ вузла і пароль не ўзаемазаменныя, і змена не таго пакідае выкрыццё на месцы.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Захоўвайце згенераваныя значэнні ў мэнэджары пароляў, а не ў нататцы, каб асобныя запісы заставаліся прыдатнымі. Затым пераканайцеся, што новае значэнне працуе, перш чым адкінуць старое, і трымайце абодва падзеі ў адной заяўцы.

Завяршыце ачысткай захаваных уліковых даных на любой агульнай усталёўцы, якая выкарыстоўвала старыя ўліковыя даныя. Уліковыя даныя, выдаленыя з сервера, усё яшчэ ўцечка, калі прылада працягвае перападымаць злучэнне з кэшаванай копіяй.