Proč sdílený výchozí bod VPN spouští přihlašovací varování, která jste nezpůsobili
Blokace přihlášení je obvykle rizikové skóre, ne verdikt o vašem tunelu. Sdílené výstupy mění, kdo další se do tohoto skóre započítává a co je to stojí.
Otevřete známý web přes VPN a dostanete dodatečnou výzvu, a lákavé vysvětlení je, že tunel byl odhalen. Něco odhaleno bylo, ale ne vy. Web ohodnotil sadu signálů, jedním z nich je zdrojová adresa, a tato adresa je sdílena s cizími lidmi, kteří mohli před minutou generovat neúspěšná přihlášení. Číst rozhodnutí jako verdikt o vašem připojení znamená nepochopit, k čemu skóre slouží.
Co zdrojová adresa může a nemůže rozhodnout
IP adresa popisuje cestu sítí v určitém okamžiku. Neidentifikuje osobu, zařízení ani jediný účet a u carrier-grade NAT nebo vytíženého fondu VPN může stát před tisíci nesouvisejících relací současně. Web, který s adresou zachází jako s identitou, s ní ve skutečnosti zachází jako s reputací, což je statistické tvrzení, nikoli fakt.
Dva lidé mohou sdílet jeden výstup a produkovat protichůdné důkazy: jeden se přihlásí úspěšně s druhým faktorem, druhý zkouší čtyřicet hesel. Adresa je totožná, takže žádné pravidlo navázané jen na adresu je nemůže rozlišit a jakákoli reakce, kterou vyvolá, platí pro oba.
To není argument pro ignorování adres. Je to argument pro zapamatování, co signál měří, protože většina překvapivého chování kolem přihlášení přes VPN pochází z uplatnění kontroly ve špatné granularitě, nikoli ze špatného pozorování.
Proč blokování výstupu trestá cizí lidi
Blokování na úrovni adresy je levné na zavedení a drahé na zacílení. Jeho dopadový rádius je každá relace za touto adresou, a proto má chování sdílených adres a NAT svou vlastní historii v provozní dokumentaci: stejná úvaha se objevuje v práci IETF o sdílených zdrojových adresách a vedlejších účincích filtrování podle adresy.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Zvažte dvě selhání, která blok vytváří. Legitimnímu zákazníkovi za stejným výstupem je odepřena služba a podá podporový tiket, který stojí víc než samotné zneužití. Skutečný útočník se přesune k dalšímu výstupu ve fondu tisíců a pokračuje, aniž by utratil cokoli kromě opětovného připojení.
Proporcionalita je chybějící krok. Opakovaná neúspěšná přihlášení, nápor automatizovaných požadavků a ověřené porušení oprávnění jsou tři různé události a jen druhá je pravděpodobně problémem tvaru adresy. Uplatnění stejného síťového zákazu na celém webu na všechny tři je způsob, jak se bezpečnostní kontrola stane podporovou frontou.
Umístěte rozhodnutí tam, kde jsou důkazy
Kontroly na úrovni účtu sledují účet napříč adresami, což odpovídá entitě, na které vám skutečně záleží. Omezování rychlosti, čekací doby po opakovaných selháních a stupňované ověřování u citlivých akcí působí na účet nebo akci, nikoli na síťovou cestu. To lépe odpovídá entitě, kterou skutečně chráníte. Odstraňuje to také pobídku útočníka hledat čerstvou výstupní adresu.
Pokyny NIST k ověřování považují tyto věci za vstupy do hodnocení rizika a uvádějí adresu, geolokaci a časování požadavku mezi signály, což je přesně ten rámec, který je třeba si vypůjčit: signál informuje rozhodnutí, nenahrazuje autentizátor. Čtěte tento seznam jako vstupy, ne jako menu věcí k zakázání. Autentizátor stále provádí důkaz a ostatní signály jen rozhodují, kolik tření kolem něj umístit.
Dvě konstrukční omezení brání tomu, aby se přístup na úrovni účtu stal vlastním výpadkem. Limity rychlosti potřebují bezpečnou cestu k přezkumu, aby uživatel mohl nahlásit chybnou klasifikaci, aniž by zveřejnil přihlašovací údaje, a stupňované výzvy nesmějí být zodpověditelné heslem ani jednorázovým kódem předaným neověřenému podporovému kontaktu.
Jak vypadá spravedlivá politika zvenčí
Zapište, které rozhodnutí každá kontrola podporuje, a pak ověřte, že granularita kontroly odpovídá. Adresové kontroly odpovídají na otázky o provozu ze sítě; kontroly účtů odpovídají na otázky o účtu; události aplikace odpovídají na otázky o chování po ověření. Politika, která jmenuje všechny tři, je auditovatelná, a ta, která jmenuje jen provoz VPN, není.
Pak měřte výsledek, ne počet pravidel. Neoprávněné pokusy by měly klesat, legitimní uživatelé by si měli zachovat podporovanou cestu a počet podporových kontaktů na tisíc přihlášení by neměl růst. Blok, který zlepší první číslo a zničí zbylá dvě, problém přesunul, ne vyřešil.
Přijímat připojení VPN a prosazovat kontroly zneužití jsou slučitelné cíle. Verze, která funguje, považuje zdrojovou adresu za jeden vstup mezi několika, uplatňuje nejužší kontrolu, která odpovídá důkazům, a nechává poctivou cestu pro člověka, který byl chybně klasifikován. Verze, která selhává, považuje adresu za podezřelého a nazývá to politikou.