Jak rychle může někdo uhodnout vaše heslo k VPN?

Latence odpovídá na otázku, kterou nikdo nepoložil. Tři podmínky rozhodují o tom, co odhad hádání skutečně znamená: zda se hádání ověřuje živou službou, nebo proti zachycenému materiálu, která metoda autentizace tento materiál vytvořila a jaké kontroly služba vynucuje. Ping měří jeden obrat na jedné cestě a neodpovídá na nic z toho. Dělení vteřiny tímto číslem dává údaj, který je přesný, nesouvisející a často opakovaný, jako by šlo o bezpečnostní vlastnost.

Latence patří k práci na konektivitě. Síla autentizace je vlastnost ověřovatele a protokolu.

Jeden obrat není limit rychlosti

Doba obratu popisuje, jak dlouho trvá jeden požadavek a jeho odpověď na konkrétní cestě. Dokonce i u online pokusů závisí propustnost na tom, kolik požadavků klient drží otevřených, kolik času server věnuje jednomu pokusu a jaké limity rychlosti platí. To je na pingu nezávislé. Ethernetový spoj neukládá pravidlo, že na jeden obrat může existovat jen jeden pokus, a rychlý ping nedokazuje, že ověřovatel přijme hádání v takovém tempu.

Pokud služba uzamkne účet po pěti selháních, praktická rychlost je pět pokusů za každé zamykací okno, bez ohledu na síť. To je kontrola a to je číslo, které stojí za zmínku.

Kde se hádání skutečně ověřuje

Online předává žadatel každého kandidáta skutečné službě, která může pozorovat, zpozdit, uzamknout a upozornit. Offline útočník s vhodným ověřovacím materiálem kontroluje kandidáty lokálně, bez účasti služby. Tento rozdíl rozhoduje téměř o všem v aritmetice. Pokyny NIST k heslům řeší tyto hrozby odděleně a požadují omezení rychlosti neúspěšných online pokusů a úložiště, které odolává offline útoku díky solenému hašování s nákladovým faktorem. Obojí je vlastnost ověřovatele a úložné vrstvy, bez závislosti na tom, jak rychle odpovídá spoj uživatele.

Zda zachycení paketů poskytne užitečný materiál, závisí na protokolu a metodě autentizace. Vlastnit zachycení, certifikát nebo šifrovaný tunel samo o sobě neodpovídá na nic, a stejně tak stáří klientského sestavení.

Proč aritmetika doby prolomení klame

Počet možných řetězců je jen tak dobrý jako jeho předpoklady. Lidmi volená hesla nejsou rovnoměrně rozložena v prostoru, který vzorec popisuje, a znovu použité přihlašovací údaje už mohou být v seznamu. Náklady na ověření také hrají roli: online služba s vynucenými kontrolami se zcela liší od ukradeného ověřovatele testovaného lokálně. Výpočet, který tiše přechází mezi těmito případy, nemůže podpořit tvrzení o roky trvajícím prolomení.

Vady protokolu držte ve vlastním sloupci. Delší heslo neopraví slabou konstrukci autentizace a jedna zastaralá metoda nedokazuje, že každý návrh založený na heslu sdílí jeho slabiny. To jsou oddělená zjištění s oddělenými opravami.

Žádejte důkaz ověřovatele, ne latenci

Pro posouzení brány určete metodu autentizace, kdo drží ověřovatele, jaké kontroly pokusů existují a zda je druhý faktor skutečně nezávislý. Dialog se dvěma políčky pro heslo neustavuje dva faktory. U uložených přihlašovacích údajů zjistěte, jaký materiál existuje, kdo ho může číst a jakou ochranu implementace skutečně uplatňuje. Hypotetický údaj o rychlosti hašování není důkazem o neidentifikovaném úložném systému.

Zvažte také expozici mimo hádání. Ukradený profil, kompromitovaný koncový bod nebo phishingový tok představují jiný problém než útočník vypočítávající hesla, a délka hesla nic nezmění proti oprávnění už udělenému aktivní relaci.

Zaznamenejte metodu, kontrolu a ochranu úložiště. Tyto tři odpovídají na otázku, kterou ping nikdy neměřil.