Hvor hurtigt kan nogen gætte din VPN-adgangskode?

Latenstid svarer på et spørgsmål, som ingen stillede. Tre forhold afgør, hvad et gætteestimat egentlig betyder: om gættet kontrolleres af en levende tjeneste eller mod opsnappet materiale, hvilken godkendelsesmetode der frembragte materialet, og hvilke kontroller tjenesten håndhæver. Et ping måler én rundtur på én vej og besvarer ingen af dem. At dele et sekund med det tal giver et tal, der er præcist, uden forbindelse og ofte gentaget, som om det var en sikkerhedsegenskab.

Latenstid hører til arbejde med forbindelse. Godkendelsesstyrke er en egenskab ved kontrolløren og protokollen.

Én rundtur er ikke en hastighedsgrænse

En rundturstid beskriver, hvor længe én anmodning og dens svar tager på en bestemt vej. Selv for online-forsøg afhænger gennemstrømningen af, hvor mange anmodninger en klient holder åbne, hvor lang tid serveren bruger pr. forsøg, og hvilke hastighedsgrænser der håndhæves. Det er uafhængigt af pinget. Et Ethernet-link pålægger ikke en regel om, at der kun kan være ét forsøg pr. rundtur, og et hurtigt ping beviser ikke, at en kontrollør accepterer gæt i den hastighed.

Hvis tjenesten låser en konto efter fem fejl, er den praktiske hastighed fem forsøg pr. låsevindue uanset netværket. Det er en kontrol, og det er det tal, der er værd at henvise til.

Hvor gættet faktisk kontrolleres

Online indsender den påstående hver kandidat til den rigtige tjeneste, som kan observere, forsinke, låse og advare. Offline kontrollerer en angriber med passende verifikationsmateriale kandidater lokalt uden tjenestens medvirken. Den forskel afgør næsten alt i aritmetikken. NISTs retningslinjer for adgangskoder behandler disse trusler hver for sig og kræver hastighedsbegrænsning af mislykkede online-forsøg og lagring, der modstår offline-angreb via saltet hashing med en omkostningsfaktor. Begge er egenskaber ved kontrolløren og lagringslaget, uden afhængighed af, hvor hurtigt brugerens link svarer.

Om en pakkeopsnapning giver brugbart materiale, afhænger af protokollen og godkendelsesmetoden. At eje en opsnapning, et certifikat eller en krypteret tunnel svarer ikke på noget i sig selv, og alderen på klientbuildet gør heller ikke.

Hvorfor aritmetik for knækningstid vildleder

Et antal mulige strenge er kun så godt som sine antagelser. Menneskeligt valgte adgangskoder er ikke jævnt fordelt over det rum, en formel beskriver, og genbrugte legitimationsoplysninger er måske allerede på en liste. Kontrolleringsomkostningen betyder også noget: en onlinetjeneste med håndhævede kontroller er helt anderledes end en stjålet kontrollør, der testes lokalt. En beregning, der stille bevæger sig mellem de tilfælde, kan ikke understøtte en påstand om år til knækning.

Hold protokolfejl i deres egen kolonne. En længere adgangskode reparerer ikke en svag godkendelseskonstruktion, og én forældet metode beviser ikke, at ethvert adgangskodebaseret design deler dens svagheder. Det er separate fund med separate rettelser.

Bed om kontrollørens bevis, ikke om latenstid

For en gateway-vurdering skal du identificere godkendelsesmetoden, hvem der har kontrolløren, hvilke forsøgskontroller der findes, og om en anden faktor virkelig er uafhængig. En dialog med to adgangskodefelter etablerer ikke to faktorer. For lagrede legitimationsoplysninger skal du fastslå, hvilket materiale der findes, hvem der kan læse det, og hvilken beskyttelse implementeringen faktisk anvender. Et hypotetisk hash-hastighedstal er ikke bevis for et uidentificeret lagringssystem.

Overvej også eksponering uden for gætteri. En stjålet profil, et kompromitteret endepunkt eller et phishing-forløb udgør et andet problem end en angriber, der opregner adgangskoder, og adgangskodelængde gør intet ved den bemyndigelse, der allerede er givet til en aktiv session.

Notér metoden, kontrollen og lagringsbeskyttelsen. De tre besvarer det spørgsmål, pinget aldrig målte.