Javna VPN lozinka: zašto ne smije biti lozinka vaše e-pošte

Profili u javnim VPN direktorijima navode server, korisničko ime i lozinku koju imaju i hiljade drugih ljudi, a iskušenje je otipkati nešto pamtljivo. Taj instinkt je problem: vrijednost nije lična tajna, i sve za što je ponovo upotrijebite postaje javno. Tretirajte objavljenu prijavu kao zajednički ključ za javnu uslugu, a svaki račun koji vas identifikuje kao potpuno drugu kategoriju. Razdvajanje je lako održavati do dana kada postane važno.

Šta su akreditivi zapravo

Prijava objavljena u javnom VPN direktoriju je dogovor o pristupu između operatera i svakoga ko pročita stranicu. Može identifikovati zajednički servisni račun, a ne osobu, i operater može posmatrati vezu na mrežnom prolazu.

Posljednja tačka zaslužuje poseban naglasak: ko prekida tunel vidi saobraćaj koji u njega ulazi i iz njega izlazi, i drži lozinku koja ga je otvorila. Ponovna upotreba vrijednosti za mail račun govori operateru nešto o računu koji nikada nije trebao moći pogoditi. Zajednička lozinka nije tajna ni u jednom smislenom smislu, jer je mnogi ljudi drže. Kategorije su različite: javna tajna pristupa, lozinka privatnog računa, klijentski certifikat i ključ partnera, svaka odgovara na drugo pitanje.

Ponovna upotreba je poznata vrijednost, ne slaba

Smjernice za jačinu lozinke obično se fokusiraju na dužinu i jedinstvenost, a jedinstvenost je upravo ono što ponovna upotreba uništava. Duga lozinka korištena na dva mjesta poznata je vrijednost na oba mjesta nakon što bilo koje od njih procuri.

Credential stuffing zavisi od tog preklapanja, a javni direktoriji prvu polovinu para čine besplatnom za svakoga. Generisanje odvojene vrijednosti za svaku uslugu uklanja tu polugu bez zahtjeva za nečim pamtljivijim. Dužina nikada ne kompenzuje vrijednost koja je već odštampana na javnoj stranici.

Ako je lozinka već bila ponovo upotrijebljena

Promijenite nepovezani račun kroz njegov potvrđeni proces oporavka, zatim pregledajte njegove aktivne sesije i postavke oporavka, jer reset koji ostavi staru sesiju živom nije završio posao. Ne šaljite lozinku VPN podršci da biste pokazali grešku. Gdje je dostupna višefaktorska autentifikacija, uključite je, jer preživljava procurjelu lozinku.

Rotirajte VPN akreditiv kroz koji god proces operater dokumentuje, i imajte na umu da je to odvojena radnja od promjene vlastitog računa. Držite obje promjene u istom tiketu da niko ne pretpostavi da je jedna pokrila drugu.

Ako je izložen privatni klijentski ključ umjesto lozinke, opoziv je lijek. Promjena lozinke e-pošte ne uklanja kopirani ključ.

Provjerite tip akreditiva prije rotacije

Identifikujte šta polje zapravo očekuje prije nego što išta generišete. Kod sobe portala, ključ partnera i lozinka nisu zamjenjivi, a rotacija pogrešnog ostavlja izlaganje na mjestu.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Čuvajte generisane vrijednosti u menadžeru lozinki, a ne u bilješci, kako bi različiti unosi ostali upotrebljivi. Zatim potvrdite da nova vrijednost radi prije nego što odbacite staru, i držite oba događaja u istom tiketu.

Završite čišćenjem sačuvanih akreditiva na svakoj dijeljenoj instalaciji koja je koristila staru prijavu. Akreditiv uklonjen sa servera i dalje je curenje ako se uređaj nastavi ponovo povezivati sa keširanom kopijom.