Contrasenya VPN pública: per què no ha de ser la del vostre correu

Els perfils dels directoris VPN públics llisten un servidor, un nom d'usuari i una contrasenya que milers d'altres persones també tenen, i la temptació és escriure alguna cosa memorable. Aquest instint és el problema: el valor no és un secret personal, i qualsevol cosa per a la qual el reutilitzeu també es fa pública. Tracteu l'inici de sessió publicat com una clau compartida d'un servei públic, i cada compte que us identifica com una categoria completament diferent. La separació és fàcil de mantenir fins al dia que importa.

Què són realment les credencials

Un inici de sessió publicat en un directori VPN públic és un acord d'accés entre l'operador i qualsevol que llegeixi la pàgina. Pot identificar un compte de servei compartit en lloc d'una persona, i l'operador pot observar la connexió a la passarel·la.

Aquest darrer punt mereix èmfasi: qui acaba un túnel veu el trànsit que hi entra i en surt, i té la contrasenya que el va obrir. Reutilitzar un valor per a un compte de correu diu a l'operador alguna cosa sobre un compte que mai no hauria hagut de poder endevinar. Una contrasenya compartida no és un secret en cap sentit significatiu, perquè molta gent la té. Les categories són diferents: un secret d'accés públic, una contrasenya de compte privat, un certificat de client i una clau de parell, cadascun respon a una pregunta diferent.

La reutilització és un valor conegut, no un valor feble

Les indicacions sobre la força de les contrasenyes solen centrar-se en la longitud i la unicitat, i la unicitat és exactament el que la reutilització destrueix. Una contrasenya llarga usada en dos llocs és un valor conegut en tots dos un cop qualsevol dels dos es filtra.

El farciment de credencials depèn d'aquesta superposició, i els directoris públics fan que la primera meitat de la parella sigui gratuïta per a qualsevol. Generar un valor separat per servei elimina aquest palanquejament sense requerir res més memorable. La longitud mai no compensa un valor que ja està imprès en una pàgina pública.

Si la contrasenya ja s'ha reutilitzat

Canvieu el compte no relacionat mitjançant el seu procés de recuperació verificat, i després reviseu-ne les sessions actives i la configuració de recuperació, perquè un restabliment que deixa una sessió antiga viva no ha acabat la feina. No envieu la contrasenya al suport de VPN per demostrar l'error. On hi hagi autenticació multifactor, activeu-la, ja que sobreviu a una contrasenya filtrada.

Roteu la credencial de VPN mitjançant el procés que documenti l'operador, i tingueu en compte que és una acció separada de canviar el vostre propi compte. Manteniu els dos canvis al mateix tiquet perquè ningú no assumeixi que un va cobrir l'altre.

Si s'ha exposat una clau de client privada en lloc d'una contrasenya, la revocació és el remei. Canviar una contrasenya de correu no elimina una clau copiada.

Comproveu el tipus de credencial abans de rotar

Identifiqueu què espera realment el camp abans de generar res. Un codi de sala del portal, una clau de parell i una contrasenya no són intercanviables, i rotar la incorrecta deixa l'exposició al seu lloc.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Emmagatzemeu els valors generats en un gestor de contrasenyes en lloc d'una nota, perquè les entrades diferents segueixin sent utilitzables. Després confirmeu que el valor nou funciona abans de descartar el vell, i manteniu tots dos esdeveniments al mateix tiquet.

Acabeu netejant les credencials desades a qualsevol instal·lació compartida que utilitzés l'inici de sessió antic. Una credencial eliminada del servidor encara és una filtració si un dispositiu continua reconnectant-se amb una còpia en memòria cau.