Offentlig VPN-adgangskode: hvorfor den ikke må være din e-mailadgangskode

Profiler i offentlige VPN-kataloger viser en server, et brugernavn og en adgangskode, som tusindvis af andre også har, og fristelsen er at skrive noget mindeværdigt. Den instinkt er problemet: værdien er ikke en personlig hemmelighed, og alt, hvad du genbruger den til, bliver også offentligt. Behandl det offentliggjorte login som en delt nøgle til en offentlig tjeneste, og enhver konto, der identificerer dig, som en helt anden kategori. Adskillelsen er nem at opretholde indtil den dag, hvor den betyder noget.

Hvad loginoplysningerne egentlig er

Et login, der offentliggøres i et offentligt VPN-katalog, er en adgangsaftale mellem operatøren og enhver, der læser siden. Det kan identificere en delt tjenestekonto i stedet for en person, og operatøren kan observere forbindelsen ved gatewayen.

Det sidste punkt fortjener vægt: den, der afslutter en tunnel, ser trafikken, der går ind og ud af den, og har den adgangskode, der åbnede den. Genbrug af en værdi til en mailkonto fortæller operatøren noget om en konto, de aldrig burde have kunnet gætte. En delt adgangskode er ikke en hemmelighed i nogen meningsfuld forstand, fordi mange mennesker har den. Kategorierne er forskellige: en offentlig adgangshemmelighed, en privat kontoadgangskode, et klientcertifikat og en peer-nøgle, hver især svarer de på et forskelligt spørgsmål.

Genbrug er en kendt værdi, ikke en svag

Vejledning om adgangskodestyrke fokuserer normalt på længde og unikhed, og unikhed er netop det, genbrug ødelægger. En lang adgangskode brugt to steder er en kendt værdi begge steder, når et af stederne lækker.

Credential stuffing afhænger af det overlap, og offentlige kataloger gør den første halvdel af parret gratis for enhver. Generering af en separat værdi per tjeneste fjerner den løftestang uden at kræve noget mere mindeværdigt. Længde opvejer aldrig en værdi, der allerede er trykt på en offentlig side.

Hvis adgangskoden allerede er genbrugt

Skift den urelaterede konto gennem dens verificerede gendannelsesproces, og gennemgå derefter dens aktive sessioner og gendannelsesindstillinger, fordi en nulstilling, der lader en gammel session leve, ikke har afsluttet arbejdet. Send ikke adgangskoden til VPN-support for at demonstrere fejlen. Hvor multifaktor-godkendelse er tilgængelig, skal du aktivere den, da den overlever en lækket adgangskode.

Rotér VPN-loginoplysningerne gennem den proces, operatøren dokumenterer, og bemærk, at dette er en separat handling fra at ændre din egen konto. Hold de to ændringer i samme sag, så ingen antager, at den ene dækkede den anden.

Hvis en privat klientnøgle er blevet eksponeret i stedet for en adgangskode, er tilbagekaldelse løsningen. Ændring af en e-mailadgangskode fjerner ikke en kopieret nøgle.

Kontroller legitimations typen, før du roterer

Identificer, hvad feltet faktisk forventer, før du genererer noget. En portalkode, en peer-nøgle og en adgangskode kan ikke udskiftes, og rotation af den forkerte efterlader eksponeringen på plads.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Gem genererede værdier i en adgangskodeadministrator i stedet for et notat, så forskellige poster forbliver brugbare. Bekræft derefter, at den nye værdi virker, før du kasserer den gamle, og hold begge begivenheder i samme sag.

Afslut med at rydde gemte loginoplysninger på enhver delt installation, der brugte det gamle login. En legitimationsoplysning fjernet fra serveren er stadig en lækage, hvis en enhed bliver ved med at genoprette forbindelsen med en cachelagret kopi.