¿Qué tan rápido podría alguien adivinar su contraseña de VPN?

La latencia responde a una pregunta que nadie hizo. Tres condiciones deciden qué significa realmente una estimación de adivinación: si la conjetura se comprueba en un servicio activo o contra material capturado, qué método de autenticación produjo ese material y qué controles impone el servicio. Un ping mide un único viaje de ida y vuelta en una ruta y no responde a ninguna de ellas. Dividir un segundo entre ese número produce una cifra precisa, no relacionada y a menudo repetida como si fuera una propiedad de seguridad.

La latencia pertenece al trabajo de conectividad. La fortaleza de la autenticación es una propiedad del verificador y del protocolo.

Un viaje de ida y vuelta no es un límite de tasa

Un tiempo de ida y vuelta describe cuánto tardan una petición y su respuesta en una ruta concreta. Incluso en intentos en línea, el rendimiento depende de cuántas peticiones mantiene abiertas un cliente, cuánto tiempo dedica el servidor a cada intento y qué límites de tasa se aplican. Eso es independiente del ping. Un enlace Ethernet no impone la regla de que solo pueda existir un intento por viaje, y un ping rápido no demuestra que un verificador aceptará conjeturas a ese ritmo.

Si el servicio bloquea una cuenta tras cinco fallos, la tasa práctica es de cinco intentos por ventana de bloqueo, con independencia de la red. Eso es un control, y es la cifra que merece citarse.

Dónde se comprueba realmente la conjetura

En línea, el solicitante envía cada candidato al servicio real, que puede observar, retrasar, bloquear y alertar. Fuera de línea, un atacante que posee material de verificación adecuado comprueba los candidatos localmente sin intervención del servicio. Esa distinción decide casi todo en la aritmética. Las guías de contraseñas de NIST tratan estas amenazas por separado, pidiendo limitar la tasa de los intentos en línea fallidos y un almacenamiento que resista un ataque fuera de línea mediante hashing con sal y un factor de coste. Ambas son propiedades del verificador y de la capa de almacenamiento, sin dependencia de la rapidez con que responde el enlace del usuario.

Que una captura de paquetes proporcione material útil depende del protocolo y del método de autenticación. Poseer una captura, un certificado o un túnel cifrado no responde nada por sí solo, y la antigüedad de la compilación del cliente tampoco.

Por qué la aritmética del tiempo de descifrado engaña

Un recuento de cadenas posibles es tan bueno como sus suposiciones. Las contraseñas elegidas por personas no se distribuyen uniformemente por el espacio que describe una fórmula, y las credenciales reutilizadas pueden estar ya en una lista. El coste de comprobación también importa: un servicio en línea con controles impuestos difiere por completo de un verificador robado probado localmente. Un cálculo que se mueve en silencio entre esos casos no puede sostener una afirmación de años hasta el descifrado.

Mantén los defectos de protocolo en su propia columna. Una contraseña más larga no repara una construcción de autenticación débil, y un método obsoleto no demuestra que todo diseño basado en contraseña comparta sus debilidades. Son hallazgos separados con correcciones separadas.

Pida pruebas del verificador, no latencia

Para evaluar una pasarela, identifique el método de autenticación, quién posee el verificador, qué controles de intento existen y si un segundo factor es realmente independiente. Un diálogo con dos casillas de contraseña no establece dos factores. Para credenciales almacenadas, establezca qué material existe, quién puede leerlo y qué protección aplica realmente la implementación. Una cifra hipotética de velocidad de hash no es prueba sobre un sistema de almacenamiento no identificado.

Considere también la exposición fuera de la adivinación. Un perfil robado, un punto final comprometido o un flujo de phishing plantean un problema distinto del de un atacante que enumera contraseñas, y la longitud de la contraseña no hace nada contra la autoridad ya concedida a una sesión activa.

Anote el método, el control y la protección del almacenamiento. Esos tres responden a la pregunta que el ping nunca midió.