Колко бързо може някой да отгатне паролата ви за VPN?

Закъснението отговаря на въпрос, който никой не е задавал. Три условия решават какво всъщност означава една оценка за отгатване: дали отгатването се проверява от жива услуга или срещу прихванат материал, кой метод за удостоверяване е създал този материал и какви контроли налага услугата. ping измерва едно двупосочно пътуване по един път и не отговаря на нито едно от тях. Разделянето на секунда на това число дава стойност, която е точна, несвързана и често повтаряна, сякаш е свойство за сигурност.

Закъснението принадлежи към работата по свързаност. Силата на удостоверяването е свойство на проверяващия и на протокола.

Едно двупосочно пътуване не е ограничение на скоростта

Времето за двупосочно пътуване описва колко време отнемат една заявка и нейният отговор по определен път. Дори при онлайн опити пропускателната способност зависи от това колко заявки клиентът държи отворени, колко време сървърът отделя за всеки опит и какви ограничения на скоростта се налагат. Тези неща не зависят от ping. Ethernet връзката не налага правило, че на едно двупосочно пътуване може да има само един опит, а бърз ping не доказва, че проверяващият ще приема отгатвания с такава скорост.

Ако услугата блокира акаунт след пет неуспеха, практическата скорост е пет опита на всеки прозорец на блокиране, независимо от мрежата. Това е контрол и това е числото, което си струва да се цитира.

Къде всъщност се проверява отгатването

Онлайн заявителят подава всеки кандидат към реалната услуга, която може да наблюдава, забавя, блокира и сигнализира. Офлайн нападател, който разполага с подходящ материал за проверка, проверява кандидатите локално без участие на услугата. Това разграничение решава почти всичко в аритметиката. Насоките на NIST за пароли разглеждат тези заплахи поотделно, като изискват ограничаване на скоростта на неуспешните онлайн опити и съхранение, което издържа на офлайн атака чрез осолено хеширане с коефициент на разходите. И двете са свойства на проверяващия и на слоя за съхранение, без зависимост от това колко бързо отговаря връзката на потребителя.

Дали прихващането на пакети дава полезен материал зависи от протокола и метода за удостоверяване. Притежаването на прихващане, сертификат или криптиран тунел само по себе си не отговаря на нищо, нито възрастта на клиентската компилация.

Защо аритметиката на времето за разбиване подвежда

Броят на възможните низове е само толкова добър, колкото са допусканията му. Паролите, избрани от хора, не са равномерно разпределени в пространството, което описва формула, а преизползваните идентификационни данни може вече да са в списък. Цената на проверката също има значение: онлайн услуга с наложени контроли се различава напълно от откраднат проверяващ, тестван локално. Изчисление, което тихо преминава между тези случаи, не може да подкрепи твърдение за години до разбиване.

Дръжте дефектите на протокола в отделна колона. По-дълга парола не поправя слаба конструкция за удостоверяване и един остарял метод не доказва, че всеки дизайн, базиран на парола, споделя слабостите му. Това са отделни находки с отделни поправки.

Искайте доказателства от проверяващия, не закъснение

За оценка на шлюз определете метода за удостоверяване, кой държи проверяващия, какви контроли за опити съществуват и дали вторият фактор е наистина независим. Диалог с две полета за парола не установява два фактора. За съхранени идентификационни данни установете какъв материал съществува, кой може да го чете и каква защита прилага реализацията. Хипотетична цифра за скорост на хеширане не е доказателство за неидентифицирана система за съхранение.

Обмислете и излагането извън отгатването. Откраднат профил, компрометирана крайна точка или фишинг поток представляват различен проблем от нападател, който изброява пароли, а дължината на паролата не прави нищо срещу правомощия, вече дадени на активна сесия.

Запишете метода, контрола и защитата на съхранението. Тези три отговарят на въпроса, който ping никога не е измервал.