Публична парола за VPN: защо не трябва да е паролата на имейла ви

Профилите в публичните VPN каталози изброяват сървър, потребителско име и парола, които хиляди други хора също имат, а изкушението е да напишете нещо запомнящо се. Този инстинкт е проблемът: стойността не е лична тайна и всичко, за което я използвате повторно, също става публично. Третирайте публикуваните данни за вход като споделен ключ към публична услуга, а всеки профил, който ви идентифицира, като напълно различна категория. Разделението е лесно за поддържане до деня, в който има значение.

Какво всъщност представляват данните за вход

Данните за вход, публикувани в публичен VPN каталог, са договорка за достъп между оператора и всеки, който прочете страницата. Те може да идентифицират споделен служебен профил, а не човек, и операторът може да наблюдава връзката на шлюза.

Последната точка заслужава особен акцент: който прекратява тунел, вижда трафика, влизащ и излизащ от него, и държи паролата, която го е отворила. Повторното използване на стойност за имейл профил казва на оператора нещо за профил, който никога не е трябвало да може да отгатне. Споделената парола не е тайна в никакъв смислен смисъл, защото много хора я държат. Категориите са различни: публична тайна за достъп, парола на частен профил, клиентски сертификат и ключ на партньор, всяка отговаря на различен въпрос.

Повторното използване е известна стойност, не слаба

Насоките за сила на паролата обикновено се фокусират върху дължина и уникалност, а уникалността е точно това, което повторното използване унищожава. Дълга парола, използвана на две места, е известна стойност и на двете, след като едното изтече.

Подмяната на идентификационни данни зависи от това застъпване, а публичните каталози правят първата половина от двойката безплатна за всеки. Генерирането на отделна стойност за всяка услуга премахва този лост, без да изисква нещо по-запомнящо се. Дължината никога не компенсира стойност, която вече е отпечатана на публична страница.

Ако паролата вече е била използвана повторно

Променете несвързания профил чрез неговия потвърден процес за възстановяване, след което прегледайте активните му сесии и настройките за възстановяване, защото нулиране, което оставя стара сесия жива, не е свършило работата. Не изпращайте паролата до поддръжката на VPN, за да демонстрирате грешката. Където има многофакторно удостоверяване, включете го, тъй като то преживява изтекла парола.

Сменете данните за вход на VPN чрез какъвто и процес да документира операторът, и отбележете, че това е отделно действие от промяната на собствения ви профил. Дръжте двете промени в един и същ тикет, за да не предполага никой, че едната е покрила другата.

Ако е бил разкрит частен клиентски ключ, а не парола, лечението е отнемане. Смяната на имейл парола не премахва копиран ключ.

Проверете типа на данните за вход преди смяна

Определете какво всъщност очаква полето, преди да генерирате нещо. Кодът на стая в портала, ключът на партньор и паролата не са взаимозаменяеми и смяната на грешния оставя разкриването на място.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Съхранявайте генерираните стойности в мениджър на пароли, а не в бележка, за да останат отделните записи използваеми. След това потвърдете, че новата стойност работи, преди да изхвърлите старата, и дръжте двете събития в един и същ тикет.

Завършете, като изчистите запазените данни за вход на всяка споделена инсталация, използвала старите данни. Данни за вход, премахнати от сървъра, все още са изтичане, ако устройство продължава да се свързва отново с кеширано копие.