Veřejné heslo VPN: proč nesmí být heslem k vašemu e-mailu

Profily ve veřejných adresářích VPN uvádějí server, uživatelské jméno a heslo, které má i tisíce dalších lidí, a pokušení zní napsat něco zapamatovatelného. Právě ten instinkt je problém: hodnota není osobní tajemství a cokoli, k čemu ji znovu použijete, se také stane veřejným. Berte zveřejněné přihlášení jako sdílený klíč k veřejné službě a každý účet, který vás identifikuje, jako zcela jinou kategorii. Oddělení se snadno udržuje až do dne, kdy na něm záleží.

Co jsou přihlašovací údaje ve skutečnosti

Přihlášení zveřejněné ve veřejném adresáři VPN je dohoda o přístupu mezi provozovatelem a každým, kdo stránku přečte. Může identifikovat sdílený servisní účet místo osoby a provozovatel může připojení pozorovat na bráně.

Poslední bod si zaslouží zdůraznění: kdo ukončí tunel, vidí provoz, který do něj vstupuje a z něj vystupuje, a drží heslo, které ho otevřelo. Opětovné použití hodnoty pro poštovní účet prozradí provozovateli něco o účtu, který nikdy neměl být schopen uhodnout. Sdílené heslo není v žádném smysluplném smyslu tajemství, protože je drží mnoho lidí. Kategorie jsou odlišné: veřejné přístupové tajemství, heslo soukromého účtu, klientský certifikát a klíč protějšku, každá odpovídá na jinou otázku.

Opětovné použití je známá hodnota, ne slabá

Doporučení k síle hesel se obvykle zaměřují na délku a jedinečnost, a jedinečnost je přesně to, co opětovné použití ničí. Dlouhé heslo použité na dvou místech je známou hodnotou na obou, jakmile jedno z nich unikne.

Credential stuffing závisí na tomto překryvu a veřejné adresáře dělají první polovinu dvojice zdarma pro kohokoli. Generování samostatné hodnoty pro každou službu tuto páku odstraňuje, aniž by vyžadovalo něco zapamatovatelnějšího. Délka nikdy nevykompenzuje hodnotu, která je už vytištěná na veřejné stránce.

Pokud už bylo heslo znovu použito

Změňte nesouvisející účet přes jeho ověřený proces obnovy, poté zkontrolujte jeho aktivní relace a nastavení obnovy, protože reset, který ponechá starou relaci živou, práci nedokončil. Neposílejte heslo podpoře VPN, abyste chybu demonstrovali. Kde je dostupné vícefaktorové ověřování, zapněte je, protože přežije uniklé heslo.

Vyměňte přihlašovací údaj VPN procesem, který provozovatel dokumentuje, a všimněte si, že je to samostatná akce od změny vlastního účtu. Držte obě změny ve stejném tiketu, aby nikdo nepředpokládal, že jedna pokryla druhou.

Pokud byl místo hesla prozrazen soukromý klientský klíč, lékem je odvolání. Změna hesla k e-mailu neodstraní zkopírovaný klíč.

Před výměnou zkontrolujte typ přihlašovacího údaje

Určete, co pole skutečně očekává, než cokoli vygenerujete. Kód místnosti portálu, klíč protějšku a heslo nejsou zaměnitelné a výměna špatného ponechá prozrazení na místě.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Ukládejte vygenerované hodnoty do správce hesel, ne do poznámky, aby různé položky zůstaly použitelné. Poté potvrďte, že nová hodnota funguje, než starou zahodíte, a držte obě události ve stejném tiketu.

Dokončete vyčištěním uložených přihlašovacích údajů na každé sdílené instalaci, která staré přihlášení používala. Přihlašovací údaj odstraněný ze serveru je stále únik, pokud se zařízení nadále připojuje z mezipaměti.