Öffentliches VPN-Passwort: Warum es nicht Ihr E-Mail-Passwort sein darf

Profile in öffentlichen VPN-Verzeichnissen nennen einen Server, einen Benutzernamen und ein Passwort, die auch Tausende andere Menschen haben, und die Versuchung ist, etwas Merkfähiges einzutippen. Genau dieser Instinkt ist das Problem: Der Wert ist kein persönliches Geheimnis, und alles, wofür Sie ihn wiederverwenden, wird ebenfalls öffentlich. Behandeln Sie das veröffentlichte Login als gemeinsam genutzten Schlüssel zu einem öffentlichen Dienst und jedes Konto, das Sie identifiziert, als eine völlig andere Kategorie. Die Trennung ist einfach aufrechtzuerhalten, bis zu dem Tag, an dem sie zählt.

Was die Zugangsdaten tatsächlich sind

Ein in einem öffentlichen VPN-Verzeichnis veröffentlichtes Login ist eine Zugangsvereinbarung zwischen dem Betreiber und jedem, der die Seite liest. Es kann ein gemeinsames Dienstkonto statt einer Person identifizieren, und der Betreiber kann die Verbindung am Gateway beobachten.

Der letzte Punkt verdient Betonung: Wer einen Tunnel beendet, sieht den Verkehr, der in ihn hinein- und aus ihm herausgeht, und hält das Passwort, das ihn geöffnet hat. Die Wiederverwendung eines Werts für ein Mailkonto verrät dem Betreiber etwas über ein Konto, das er niemals hätte erraten dürfen. Ein gemeinsam genutztes Passwort ist in keinem sinnvollen Sinne ein Geheimnis, weil viele Menschen es besitzen. Die Kategorien sind verschieden: ein öffentliches Zugangsgeheimnis, ein privates Kontopasswort, ein Client-Zertifikat und ein Peer-Schlüssel beantworten jeweils eine andere Frage.

Wiederverwendung ist ein bekannter Wert, kein schwacher

Ratschläge zur Passwortstärke konzentrieren sich meist auf Länge und Einzigartigkeit, und Einzigartigkeit ist genau das, was Wiederverwendung zerstört. Ein langes Passwort, das an zwei Stellen verwendet wird, ist an beiden Stellen ein bekannter Wert, sobald eine der beiden Stellen leckt.

Credential Stuffing hängt von dieser Überschneidung ab, und öffentliche Verzeichnisse machen die erste Hälfte des Paars für jeden kostenlos. Für jeden Dienst einen eigenen Wert zu erzeugen, nimmt diesen Hebel weg, ohne etwas Merkfähigeres zu verlangen. Länge gleicht niemals einen Wert aus, der bereits auf einer öffentlichen Seite abgedruckt ist.

Wenn das Passwort bereits wiederverwendet wurde

Ändern Sie das unabhängige Konto über dessen verifizierten Wiederherstellungsprozess und prüfen Sie dann seine aktiven Sitzungen und Wiederherstellungseinstellungen, denn eine Zurücksetzung, die eine alte Sitzung am Leben lässt, hat die Aufgabe nicht erledigt. Senden Sie das Passwort nicht an den VPN-Support, um den Fehler zu demonstrieren. Wo Mehrfaktor-Authentifizierung verfügbar ist, aktivieren Sie sie, denn sie übersteht ein geleaktes Passwort.

Rotieren Sie die VPN-Zugangsdaten über das Verfahren, das der Betreiber dokumentiert, und beachten Sie, dass dies eine separate Aktion vom Ändern Ihres eigenen Kontos ist. Halten Sie beide Änderungen im selben Ticket, damit niemand annimmt, die eine habe die andere abgedeckt.

Wurde ein privater Client-Schlüssel statt eines Passworts offengelegt, ist Widerruf das Mittel der Wahl. Das Ändern eines E-Mail-Passworts entfernt keinen kopierten Schlüssel.

Prüfen Sie den Typ der Zugangsdaten, bevor Sie rotieren

Ermitteln Sie, was das Feld tatsächlich erwartet, bevor Sie etwas erzeugen. Ein Portal-Raumcode, ein Peer-Schlüssel und ein Passwort sind nicht austauschbar, und die falsche zu rotieren lässt die Offenlegung bestehen.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Speichern Sie erzeugte Werte in einem Passwortmanager statt in einer Notiz, damit getrennte Einträge nutzbar bleiben. Bestätigen Sie dann, dass der neue Wert funktioniert, bevor Sie den alten verwerfen, und halten Sie beide Vorgänge im selben Ticket.

Schließen Sie ab, indem Sie gespeicherte Zugangsdaten auf jeder gemeinsamen Installation bereinigen, die das alte Login verwendet hat. Ein vom Server entfernter Zugang ist immer noch ein Leck, wenn ein Gerät sich weiterhin mit einer zwischengespeicherten Kopie verbindet.