Wie schnell kann jemand Ihr VPN-Passwort erraten?

Latenz beantwortet eine Frage, die niemand gestellt hat. Drei Bedingungen entscheiden, was eine Schätzrechnung tatsächlich bedeutet: ob der Rateversuch von einem laufenden Dienst oder gegen mitgeschnittenes Material geprüft wird, welche Authentifizierungsmethode dieses Material erzeugt hat und welche Kontrollen der Dienst durchsetzt. Ein Ping misst einen Roundtrip auf einem Pfad und beantwortet keine davon. Eine Sekunde durch diese Zahl zu teilen ergibt einen Wert, der präzise, unbezogen und oft wiederholt wird, als wäre er eine Sicherheitseigenschaft.

Latenz gehört zur Konnektivitätsarbeit. Authentifizierungsstärke ist eine Eigenschaft des Prüfers und des Protokolls.

Ein Roundtrip ist kein Ratenlimit

Eine Roundtrip-Zeit beschreibt, wie lange eine Anfrage und ihre Antwort auf einem bestimmten Pfad dauern. Selbst bei Online-Versuchen hängt der Durchsatz davon ab, wie viele Anfragen ein Client offen hält, wie lange der Server pro Versuch braucht und welche Ratenlimits gelten. Das ist unabhängig vom Ping. Eine Ethernet-Verbindung schreibt nicht vor, dass pro Roundtrip nur ein Versuch möglich ist, und ein schneller Ping beweist nicht, dass ein Prüfer Rateversuche in dieser Rate annimmt.

Sperrt der Dienst ein Konto nach fünf Fehlschlägen, liegt die praktische Rate bei fünf Versuchen pro Sperrfenster, unabhängig vom Netz. Das ist eine Kontrolle, und das ist die Zahl, die es zu nennen gilt.

Wo der Rateversuch tatsächlich geprüft wird

Online reicht der Anspruchsteller jeden Kandidaten an den echten Dienst, der beobachten, verzögern, sperren und alarmieren kann. Offline prüft ein Angreifer mit geeignetem Verifikationsmaterial Kandidaten lokal, ohne Beteiligung des Dienstes. Diese Unterscheidung entscheidet fast alles in der Arithmetik. Die Passwortrichtlinien von NIST behandeln diese Bedrohungen getrennt und fordern eine Ratenbegrenzung fehlgeschlagener Online-Versuche sowie eine Speicherung, die Offline-Angriffen durch gesalzenes Hashing mit Kostenfaktor widersteht. Beides sind Eigenschaften des Prüfers und der Speicherschicht, ohne Abhängigkeit davon, wie schnell die Verbindung des Nutzers antwortet.

Ob ein Paketmitschnitt brauchbares Material liefert, hängt vom Protokoll und der Authentifizierungsmethode ab. Der Besitz eines Mitschnitts, eines Zertifikats oder eines verschlüsselten Tunnels beantwortet für sich genommen nichts, und das Alter des Client-Builds auch nicht.

Warum Knackzeit-Arithmetik in die Irre führt

Eine Zahl möglicher Zeichenketten ist nur so gut wie ihre Annahmen. Von Menschen gewählte Passwörter sind nicht gleichmäßig über den Raum verteilt, den eine Formel beschreibt, und wiederverwendete Zugangsdaten stehen vielleicht schon auf einer Liste. Auch die Prüfkosten zählen: ein Onlinedienst mit durchgesetzten Kontrollen unterscheidet sich völlig von einem gestohlenen Prüfer, der lokal getestet wird. Eine Rechnung, die still zwischen diesen Fällen wechselt, kann eine Aussage über Jahre bis zum Knacken nicht stützen.

Halten Sie Protokolldefekte ebenfalls in einer eigenen Spalte. Ein längeres Passwort repariert keine schwache Authentifizierungskonstruktion, und eine veraltete Methode beweist nicht, dass jedes passwortbasierte Design ihre Schwächen teilt. Das sind getrennte Befunde mit getrennten Korrekturen.

Fragen Sie nach Prüferbelegen, nicht nach Latenz

Für eine Gateway-Bewertung identifizieren Sie die Authentifizierungsmethode, wer den Prüfer hält, welche Versuchskontrollen existieren und ob ein zweiter Faktor wirklich unabhängig ist. Ein Dialog mit zwei Passwortfeldern begründet keine zwei Faktoren. Für gespeicherte Zugangsdaten stellen Sie fest, welches Material existiert, wer es lesen kann und welchen Schutz die Implementierung tatsächlich anwendet. Eine hypothetische Hash-Rate ist kein Beleg für ein nicht identifiziertes Speichersystem.

Betrachten Sie auch die Exposition außerhalb des Ratens. Ein gestohlenes Profil, ein kompromittierter Endpunkt oder ein Phishing-Ablauf stellen ein anderes Problem dar als ein Angreifer, der Passwörter aufzählt, und Passwortlänge ändert nichts an der Befugnis, die einer aktiven Sitzung bereits erteilt wurde.

Halten Sie Methode, Kontrolle und Speicherschutz fest. Diese drei beantworten die Frage, die der Ping nie gemessen hat.