Kial komuna VPN-elirejo kaŭzas ensalutajn avertojn, kiujn vi ne kaŭzis
Ensaluta blokado kutime estas risktakso, ne verdikto pri via tunelo. Komunaj elirejoj ŝanĝas, kiuj aliaj estas inkluzivitaj en tiu takso kaj kion ĝi kostas al ili.
Malfermu konatan retejon per VPN kaj ricevu plian defion, kaj la alloga klarigo estas, ke la tunelo estis detectita. Io estis detectita, sed ĝi ne estis vi. La retejo taksis aron da signaloj, unu el kiuj estas la fontadreso, kaj tiu adreso estas dividata kun fremduloj, kiuj eble generis malsukcesajn ensalutojn unu minuton pli frue. Legi la decidon kiel verdikton pri via konekto misinterpretas, por kio la takso celas.
Kion fontadreso povas kaj ne povas decidi
IP-adreso priskribas vojon tra la reto en difinita momento. Ĝi identigas nek personon, nek aparaton, nek eĉ unu konton, kaj kun operatornivela NAT aŭ okupata VPN-ujo ĝi povas antaŭstari milojn da nerilataj sesioj samtempe. Retejo, kiu traktas la adreson kiel identecon, fakte traktas ĝin kiel reputacion, kio estas statistika aserto, ne fakto.
Du homoj povas dividi elirejon kaj produkti kontraŭajn pruvojn: unu ensalutas sukcese per dua faktoro, la alia provas kvardek pasvortojn. La adreso estas identa, do ajna regulo bazita nur sur la adreso ne povas ilin distingi, kaj kia ajn respondo ĝi kaŭzas, aplikiĝas al ambaŭ.
Tio ne estas argumento por ignori adresojn. Ĝi estas argumento por memori, kion la signalo mezuras, ĉar la plej granda parto de la surpriza konduto ĉirkaŭ VPN-ensalutoj venas de kontrolo aplikata je la malĝusta granuleco, ne de malĝusta observado.
Kial blokado de la elirejo punas fremdulojn
Blokado je adresa nivelo estas malmultekosta apliki kaj multekosta celi. Ĝia impakta radiuso estas ĉiu sesio malantaŭ tiu adreso, kaj tial la konduto de komunaj adresoj kaj NAT havas sian propran historion en operacia dokumentaro: la sama rezonado aperas en la IETF-laboro pri komunaj fontadresoj kaj la kromefikoj de adres-bazita filtrado.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Konsideru la du malsukcesojn, kiujn blokado kreas. Legitima kliento malantaŭ la sama elirejo estas rifuzata kaj malfermas subtenan bileton, kiu kostas pli ol la misuzo. Reala atakanto transiras al la sekva elirejo en ujo de miloj kaj daŭrigas, elspezinte nenion krom rekonekto.
Proporcieco estas la mankanta paŝo. Ripetaj malsukcesaj ensalutoj, eksplodo de aŭtomataj petoj kaj aŭtentikigita permesa malobservo estas tri malsamaj eventoj, kaj nur la dua estas verŝajne adres-forma problemo. Apliki la saman retejampleksan retmalpermeson al ĉiuj tri estas kiel sekureca kontrolo fariĝas subtena atendovico.
Metu la decidon tie, kie troviĝas la pruvoj
Kontroloj je konto-nivelo sekvas la konton trans adresoj, kio kongruas kun la ento, pri kiu vi vere zorgas. Rapidlimigo, atendperiodoj post ripetaj malsukcesoj kaj ŝtupa aŭtentikigo por sentemaj agoj ĉiuj funkcias sur la konto aŭ la ago, ne sur la reta vojo. Tio pli bone kongruas kun la ento, kiun vi vere protektas. Ĝi ankaŭ forigas la instigon de la atakanto serĉi freŝan elirejan adreson.
La aŭtentikiga gvidilo de NIST traktas tiujn kiel enigaĵojn al risktakso kaj listigas adreson, geolokigon kaj petan tempon inter la signaloj, kio estas ĝuste la kadro inda je pruntado: signalo informas decidon, ĝi ne anstataŭas aŭtentikigilon. Legu tiun liston kiel enigaĵojn, ne kiel menuon de aferoj malpermesotaj. La aŭtentikigilo ankoraŭ faras la pruvon, kaj la aliaj signaloj nur decidas, kiom da frotado meti ĉirkaŭ ĝi.
Du dezajnaj limigoj malhelpas, ke la konto-nivela aliro fariĝu propra paneo. Rapidlimigoj bezonas sekuran revizian vojon, por ke uzanto povu raporti malĝustan klasifikon sen publikigi akreditaĵojn, kaj ŝtupaj defioj ne rajtas esti respondeblaj per pasvorto aŭ unu-uza kodo donita al nekonfirmita subtena kontakto.
Kiel justa politiko aspektas de ekstere
Notu, kiun decidon ĉiu kontrolo subtenas, poste kontrolu, ke la granuleco de la kontrolo kongruas. Adresaj kontroloj respondas demandojn pri trafiko el reto; kontaj kontroloj respondas demandojn pri konto; aplikaĵaj eventoj respondas demandojn pri konduto post aŭtentikigo. Politiko, kiu nomas ĉiujn tri, estas aŭdebla, kaj unu, kiu nomas nur VPN-trafikon, ne estas.
Poste mezuru la rezulton anstataŭ la nombron de reguloj. Neaŭtorizitaj provoj devus malpliiĝi, legitimaj uzantoj devus reteni subtenatan vojon, kaj la nombro de subtenaj kontaktoj po mil ensalutoj ne devus altiĝi. Blokado, kiu plibonigas la unuan nombron dum ruiniĝas la aliajn du, movis la problemon, ne solvis ĝin.
Akcepti VPN-konektojn kaj plenumi misuzkontrolojn estas kongruaj celoj. La versio, kiu funkcias, traktas la fontadreson kiel unu enigaĵon inter pluraj, aplikas la plej mallarĝan kontrolon kongruan kun la pruvoj, kaj lasas honestan vojon por la persono, kiu estis misklasifikita. La versio, kiu malsukcesas, traktas adreson kiel suspektaton kaj nomas tion politiko.