Amb quina rapidesa es pot endevinar la vostra contrasenya de VPN?

La latència respon una pregunta que ningú no ha fet. Tres condicions decideixen què significa realment una estimació d’endevinació: si l’endevinació es comprova mitjançant un servei viu o contra material capturat, quin mètode d’autenticació va produir aquest material i quins controls aplica el servei. Un ping mesura un sol viatge d’anada i tornada en un camí i no respon cap d’aquestes qüestions. Dividir un segon per aquest nombre produeix una xifra precisa, no relacionada i sovint repetida com si fos una propietat de seguretat.

La latència pertany a la feina de connectivitat. La força de l’autenticació és una propietat del verificador i del protocol.

Un viatge d’anada i tornada no és un límit de ritme

El temps d’anada i tornada descriu quant triguen una petició i la seva resposta en un camí concret. Fins i tot en intents en línia, el rendiment depèn de quantes peticions manté obertes el client, quant temps dedica el servidor a cada intent i quins límits de ritme s’apliquen. Aquestes coses són independents del ping. Un enllaç Ethernet no imposa la norma que només hi pugui haver un intent per viatge, i un ping ràpid no demostra que un verificador accepti endevinacions a aquest ritme.

Si el servei bloqueja un compte després de cinc fallades, el ritme pràctic és de cinc intents per finestra de bloqueig, sigui quina sigui la xarxa. Això és un control, i és la xifra que val la pena citar.

On es comprova realment l’endevinació

En línia, el sol·licitant envia cada candidat al servei real, que pot observar, retardar, bloquejar i alertar. Fora de línia, un atacant que posseeix material de verificació adequat comprova els candidats localment sense cap intervenció del servei. Aquesta distinció decideix gairebé tot en l’aritmètica. Les guies de contrasenyes de NIST tracten aquestes amenaces per separat, i demanen limitar el ritme dels intents en línia fallits i un emmagatzematge que resisteixi un atac fora de línia mitjançant hashing amb sal i un factor de cost. Totes dues són propietats del verificador i de la capa d’emmagatzematge, sense cap dependència de la rapidesa amb què respon l’enllaç de l’usuari.

Si una captura de paquets proporciona material útil depèn del protocol i del mètode d’autenticació. Posseir una captura, un certificat o un túnel xifrat no respon res per si sol, i l’edat de la compilació del client tampoc.

Per què l’aritmètica del temps de trencament enganya

Un recompte de cadenes possibles només és tan bo com les seves suposicions. Les contrasenyes triades per persones no es distribueixen uniformement per l’espai que descriu una fórmula, i les credencials reutilitzades poden ser ja en una llista. El cost de comprovació també compta: un servei en línia amb controls aplicats és completament diferent d’un verificador robat provat localment. Un càlcul que es mou en silenci entre aquests casos no pot sostenir una afirmació d’anys per trencar.

Manteniu els defectes de protocol a la seva pròpia columna. Una contrasenya més llarga no repara una construcció d’autenticació feble, i un mètode obsolet no demostra que tot disseny basat en contrasenya comparteixi les seves febleses. Són troballes separades amb correccions separades.

Demaneu proves del verificador, no latència

Per avaluar una passarel·la, identifiqueu el mètode d’autenticació, qui té el verificador, quins controls d’intent existeixen i si el segon factor és realment independent. Un diàleg amb dues caixes de contrasenya no estableix dos factors. Per a credencials emmagatzemades, establiu quin material existeix, qui el pot llegir i quina protecció aplica realment la implementació. Una xifra hipotètica de velocitat de hash no és prova sobre un sistema d’emmagatzematge no identificat.

Considereu també l’exposició fora de l’endevinació. Un perfil robat, un punt final compromès o un flux de pesca presenten un problema diferent del d’un atacant que enumera contrasenyes, i la llargada de la contrasenya no fa res contra l’autoritat ja concedida a una sessió activa.

Anoteu el mètode, el control i la protecció d’emmagatzematge. Aquests tres responen la pregunta que el ping mai no mesurava.