Warum ein gemeinsam genutzter VPN-Ausgang Anmeldewarnungen auslöst, die Sie nicht verursacht haben
Eine Anmeldesperre ist meist ein Risikowert, kein Urteil über Ihren Tunnel. Gemeinsam genutzte Ausgänge ändern, wer sonst noch in diesen Wert eingeht und was es sie kostet.
Öffnen Sie eine vertraute Website über ein VPN und erhalten Sie eine zusätzliche Prüfung, liegt die naheliegende Erklärung darin, dass der Tunnel erkannt wurde. Etwas wurde erkannt, aber nicht Sie. Die Website hat eine Reihe von Signalen bewertet, eines davon ist die Quelladresse, und diese Adresse wird mit Fremden geteilt, die eine Minute zuvor möglicherweise fehlgeschlagene Anmeldungen erzeugt haben. Die Entscheidung als Urteil über Ihre Verbindung zu lesen, verkennt, wozu der Wert dient.
Was eine Quelladresse klären kann und was nicht
Eine IP-Adresse beschreibt einen Pfad durch das Netz zu einem bestimmten Zeitpunkt. Sie identifiziert weder eine Person noch ein Gerät oder auch nur ein einzelnes Konto, und bei Carrier-Grade-NAT oder einem stark genutzten VPN-Pool kann sie Tausende unabhängige Sitzungen gleichzeitig vertreten. Eine Website, die die Adresse als Identität behandelt, behandelt sie in Wahrheit als Reputation, also als statistische Aussage und nicht als Tatsache.
Zwei Personen können einen Ausgang teilen und gegenteilige Belege liefern: Die eine meldet sich erfolgreich mit einem zweiten Faktor an, die andere probiert vierzig Passwörter. Die Adresse ist identisch, daher kann keine Regel, die nur auf der Adresse beruht, sie unterscheiden, und welche Reaktion auch ausgelöst wird, sie gilt für beide.
Das ist kein Argument, Adressen zu ignorieren. Es ist ein Argument, sich zu merken, was das Signal misst, denn das meiste überraschende Verhalten rund um VPN-Anmeldungen entsteht dadurch, dass eine Kontrolle auf der falschen Granularität angewendet wird, und nicht durch eine falsche Beobachtung.
Warum das Sperren des Ausgangs Fremde bestraft
Eine Sperre auf Adressebene ist billig umzusetzen und teuer zu treffen. Ihr Wirkungsradius ist jede Sitzung hinter dieser Adresse, weshalb das Verhalten geteilter Adressen und von NAT seine eigene Geschichte in der Betriebsdokumentation hat: dieselbe Begründung erscheint in der IETF-Arbeit zu geteilten Quelladressen und den Nebenwirkungen adressbasierter Filterung.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Betrachten Sie die zwei Fehlschläge, die eine Sperre erzeugt. Ein legitimer Kunde hinter demselben Ausgang wird abgewiesen und eröffnet ein Support-Ticket, das mehr kostet als der Missbrauch. Ein tatsächlicher Angreifer wechselt zum nächsten Ausgang in einem Pool von Tausenden und macht weiter, ohne etwas anderes als eine Neuverbindung ausgegeben zu haben.
Verhältnismäßigkeit ist der fehlende Schritt. Wiederholte fehlgeschlagene Anmeldungen, eine Welle automatisierter Anfragen und eine authentifizierte Berechtigungsverletzung sind drei verschiedene Ereignisse, und nur das zweite ist plausibel ein adressförmiges Problem. Dieselbe websiteweite Netzwerksperre auf alle drei anzuwenden ist der Weg, auf dem eine Sicherheitskontrolle zu einer Support-Warteschlange wird.
Setzen Sie die Entscheidung dorthin, wo die Belege liegen
Kontrollen auf Kontoebene folgen dem Konto über Adressen hinweg, was der Entität entspricht, die Ihnen tatsächlich wichtig ist. Ratenbegrenzung, Wartezeiten nach wiederholten Fehlschlägen und gestufte Authentifizierung für sensible Aktionen wirken alle auf das Konto oder die Aktion und nicht auf den Netzwerkpfad. Das passt besser zu der Entität, die Sie tatsächlich schützen. Es nimmt dem Angreifer außerdem den Anreiz, nach einer frischen Ausgangsadresse zu suchen.
NISTs Leitfaden zur Authentifizierung behandelt diese als Eingaben einer Risikobewertung und nennt Adresse, Geolokation und Anfragezeitpunkt unter den Signalen, was genau der Rahmen ist, den man übernehmen sollte: Ein Signal informiert eine Entscheidung, es ersetzt keinen Authentifikator. Lesen Sie diese Liste als Eingaben, nicht als Menü der Dinge, die zu verbieten sind. Der Authentifikator erbringt weiterhin den Nachweis, und die anderen Signale bestimmen nur, wie viel Reibung darum gelegt wird.
Zwei Entwurfsbeschränkungen verhindern, dass der Ansatz auf Kontoebene zum eigenen Ausfall wird. Ratenbegrenzungen brauchen einen sicheren Prüfpfad, damit ein Nutzer eine Fehlklassifizierung melden kann, ohne Zugangsdaten zu veröffentlichen, und gestufte Prüfungen dürfen nicht mit einem Passwort oder einem Einmalcode beantwortet werden können, der einem unbestätigten Support-Kontakt gegeben wurde.
Wie eine faire Richtlinie von außen aussieht
Schreiben Sie auf, welche Entscheidung jede Kontrolle stützt, und prüfen Sie dann, ob die Granularität der Kontrolle dazu passt. Adresskontrollen beantworten Fragen zum Verkehr aus einem Netz; Kontokontrollen beantworten Fragen zu einem Konto; Anwendungsereignisse beantworten Fragen zum Verhalten nach der Authentifizierung. Eine Richtlinie, die alle drei nennt, ist prüfbar, und eine, die nur VPN-Verkehr nennt, ist es nicht.
Messen Sie dann das Ergebnis statt die Zahl der Regeln. Unautorisierte Versuche sollten sinken, legitime Nutzer sollten einen unterstützten Weg behalten, und die Zahl der Support-Kontakte pro tausend Anmeldungen sollte nicht steigen. Eine Sperre, die die erste Zahl verbessert und die anderen beiden ruiniert, hat das Problem verschoben, nicht gelöst.
VPN-Verbindungen anzunehmen und Missbrauchskontrollen durchzusetzen sind vereinbare Ziele. Die funktionierende Version behandelt die Quelladresse als eine Eingabe unter mehreren, wendet die engste Kontrolle an, die zu den Belegen passt, und lässt dem falsch eingestuften Menschen einen ehrlichen Weg. Die scheiternde Version behandelt eine Adresse als Verdächtigen und nennt das eine Richtlinie.