Δημόσιος κωδικός VPN: γιατί δεν πρέπει να είναι του email σας

Τα προφίλ σε δημόσιους καταλόγους VPN αναφέρουν διακομιστή, όνομα χρήστη και κωδικό που έχουν και χιλιάδες άλλοι άνθρωποι, και ο πειρασμός είναι να πληκτρολογήσετε κάτι εύκολο στη μνήμη. Αυτό το ένστικτο είναι το πρόβλημα: η τιμή δεν είναι προσωπικό μυστικό, και ό,τι την επαναχρησιμοποιήσετε γίνεται επίσης δημόσιο. Αντιμετωπίστε τη δημοσιευμένη σύνδεση ως κοινόχρηστο κλειδί για μια δημόσια υπηρεσία, και κάθε λογαριασμό που σας ταυτοποιεί ως εντελώς διαφορετική κατηγορία. Ο διαχωρισμός είναι εύκολο να διατηρηθεί μέχρι την ημέρα που μετράει.

Τι είναι στην πραγματικότητα τα διαπιστευτήρια

Μια σύνδεση που δημοσιεύεται σε δημόσιο κατάλογο VPN είναι μια συμφωνία πρόσβασης μεταξύ του διαχειριστή και οποιουδήποτε διαβάζει τη σελίδα. Μπορεί να ταυτοποιεί κοινόχρηστο λογαριασμό υπηρεσίας αντί για πρόσωπο, και ο διαχειριστής μπορεί να παρατηρεί τη σύνδεση στην πύλη.

Το τελευταίο σημείο αξίζει έμφαση: όποιος τερματίζει μια σήραγγα βλέπει την κίνηση που μπαίνει και βγαίνει από αυτήν και κρατά τον κωδικό που την άνοιξε. Η επαναχρησιμοποίηση μιας τιμής για λογαριασμό email λέει στον διαχειριστή κάτι για έναν λογαριασμό που δεν θα έπρεπε ποτέ να μπορεί να μαντέψει. Ένας κοινόχρηστος κωδικός δεν είναι μυστικό με καμία ουσιαστική έννοια, επειδή πολλοί άνθρωποι τον κατέχουν. Οι κατηγορίες είναι διακριτές: ένα δημόσιο μυστικό πρόσβασης, ένας κωδικός ιδιωτικού λογαριασμού, ένα πιστοποιητικό πελάτη και ένα κλειδί ομοτίμου απαντούν το καθένα σε διαφορετικό ερώτημα.

Η επαναχρησιμοποίηση είναι γνωστή τιμή, όχι αδύναμη

Οι οδηγίες για την ισχύ των κωδικών επικεντρώνονται συνήθως στο μήκος και τη μοναδικότητα, και η μοναδικότητα είναι ακριβώς αυτό που καταστρέφει η επαναχρησιμοποίηση. Ένας μακρύς κωδικός που χρησιμοποιείται σε δύο σημεία είναι γνωστή τιμή και στα δύο μόλις διαρρεύσει το ένα.

Το credential stuffing εξαρτάται από αυτή την επικάλυψη, και οι δημόσιοι κατάλογοι κάνουν το πρώτο μισό του ζεύγους δωρεάν για οποιονδήποτε. Η δημιουργία ξεχωριστής τιμής ανά υπηρεσία αφαιρεί αυτό το πλεονέκτημα χωρίς να απαιτεί κάτι πιο εύκολο στη μνήμη. Το μήκος δεν αναπληρώνει ποτέ μια τιμή που είναι ήδη τυπωμένη σε δημόσια σελίδα.

Αν ο κωδικός έχει ήδη επαναχρησιμοποιηθεί

Αλλάξτε τον άσχετο λογαριασμό μέσω της επαληθευμένης διαδικασίας ανάκτησής του και μετά ελέγξτε τις ενεργές συνεδρίες και τις ρυθμίσεις ανάκτησής του, γιατί μια επαναφορά που αφήνει μια παλιά συνεδρία ζωντανή δεν έχει τελειώσει τη δουλειά. Μην στέλνετε τον κωδικό στην υποστήριξη VPN για να δείξετε το λάθος. Όπου υπάρχει έλεγχος ταυτότητας πολλαπλών παραγόντων, ενεργοποιήστε τον, αφού επιβιώνει από διαρροή κωδικού.

Περιστρέψτε τα διαπιστευτήρια VPN με όποια διαδικασία τεκμηριώνει ο διαχειριστής και σημειώστε ότι αυτή είναι ξεχωριστή ενέργεια από την αλλαγή του δικού σας λογαριασμού. Κρατήστε τις δύο αλλαγές στο ίδιο δελτίο ώστε κανείς να μην υποθέσει ότι η μία κάλυψε την άλλη.

Αν εκτέθηκε ιδιωτικό κλειδί πελάτη αντί για κωδικό, η ανάκληση είναι το φάρμακο. Η αλλαγή κωδικού email δεν αφαιρεί ένα αντιγραμμένο κλειδί.

Ελέγξτε τον τύπο των διαπιστευτηρίων πριν από την περιστροφή

Προσδιορίστε τι περιμένει πραγματικά το πεδίο πριν δημιουργήσετε οτιδήποτε. Ένας κωδικός αίθουσας πύλης, ένα κλειδί ομοτίμου και ένας κωδικός δεν είναι εναλλάξιμα, και η περιστροφή του λάθος αφήνει την έκθεση στη θέση της.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Αποθηκεύστε τις παραγόμενες τιμές σε διαχειριστή κωδικών αντί σε σημείωμα, ώστε οι ξεχωριστές καταχωρίσεις να παραμένουν χρησιμοποιήσιμες. Στη συνέχεια επιβεβαιώστε ότι η νέα τιμή λειτουργεί πριν πετάξετε την παλιά, και κρατήστε και τα δύο γεγονότα στο ίδιο δελτίο.

Ολοκληρώστε καθαρίζοντας αποθηκευμένα διαπιστευτήρια σε οποιαδήποτε κοινόχρηστη εγκατάσταση που χρησιμοποιούσε την παλιά σύνδεση. Ένα διαπιστευτήριο που αφαιρέθηκε από τον διακομιστή είναι ακόμη διαρροή αν μια συσκευή συνεχίζει να επανασυνδέεται με αντιγραμμένο αντίγραφο.