Avalik VPN-parool: miks see ei tohi olla sinu e-posti parool

Avalike VPN-kataloogide profiilid loetlevad serveri, kasutajanime ja parooli, mis on ka tuhandetel teistel inimestel, ja kiusatus on kirjutada midagi meeldejäävat. Just see instinkt on probleem: väärtus ei ole isiklik saladus ja kõik, mille jaoks seda uuesti kasutate, muutub samuti avalikuks. Käsitlege avaldatud sisselogimist avaliku teenuse jagatud võtmena ja iga kontot, mis teid identifitseerib, täiesti teise kategooriana. Eraldust on lihtne hoida kuni päevani, mil see loeb.

Mis on mandaadid tegelikult

Avalikus VPN-kataloogis avaldatud sisselogimine on juurdepääsukokkulepe operaatori ja iga lugeja vahel. See võib identifitseerida jagatud teenusekontot, mitte inimest, ja operaator saab ühendust lüüs jälgida.

Viimane punkt väärib rõhutamist: see, kes tunnelit lõpetab, näeb sinna sisenevat ja sealt väljuvat liiklust ning hoiab parooli, mis selle avas. Väärtuse uuesti kasutamine meilikonto jaoks ütleb operaatorile midagi konto kohta, mida tal ei oleks kunagi tohtinud õnnestuda ära arvata. Jagatud parool ei ole üheski mõttekas tähenduses saladus, sest paljud inimesed hoiavad seda. Kategooriad on erinevad: avalik juurdepääsus saladus, privaatse konto parool, kliendisertifikaat ja võrdse võti, igaüks vastab erinevale küsimusele.

Korduskasutus on teadaolev väärtus, mitte nõrk

Parooli tugevuse juhised keskenduvad tavaliselt pikkusele ja unikaalsusele ning unikaalsus on täpselt see, mida korduskasutus hävitab. Kahes kohas kasutatud pikk parool on mõlemas teadaolev väärtus, kui kumbki koht lekib.

Credential stuffing sõltub sellest kattumisest ja avalikud kataloogid teevad paari esimese poole igaühele tasuta. Iga teenuse jaoks eraldi väärtuse genereerimine eemaldab selle hoova ilma, et oleks vaja midagi meeldejäävamat. Pikkus ei kompenseeri kunagi väärtust, mis on juba avalikule lehele trükitud.

Kui parooli on juba korduvalt kasutatud

Muutke mitteseotud kontot selle kinnitatud taastamisprotsessi kaudu, seejärel vaadake üle selle aktiivsed seansid ja taasteseaded, sest lähtestamine, mis jätab vana seansi elama, ei ole tööd lõpetanud. Ärge saatke parooli VPN-toele vea demonstreerimiseks. Kui mitmefaktoriline autentimine on saadaval, lubage see, sest see elab üle lekkinud parooli.

Pöörake VPN-i mandaat läbi selle protsessi, mille operaator dokumenteerib, ja pange tähele, et see on eraldi toiming oma konto muutmisest. Hoidke mõlemad muudatused samas piletis, et keegi ei eeldaks, et üks kattis teise.

Kui paljastati privaatne kliendivõti, mitte parool, on ravim tühistamine. Meiliparooli muutmine ei eemalda kopeeritud võtit.

Kontrollige mandaadi tüüpi enne pööramist

Tehke kindlaks, mida väli tegelikult ootab, enne kui midagi genereerite. Portaali ruumikood, võrdse võti ja parool ei ole vahetatavad ning vale pööramine jätab paljastumise paigale.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Hoidke genereeritud väärtusi paroolihalduris, mitte märkmes, et eraldi kirjed jääksid kasutatavaks. Seejärel kinnitage, et uus väärtus töötab, enne kui vana kõrvale heidate, ja hoidke mõlemad sündmused samas piletis.

Lõpetage vana sisselogimist kasutanud jagatud paigaldiste salvestatud mandaatide puhastamisega. Serverist eemaldatud mandaat on endiselt leke, kui seade jätkab vahemällu salvestatud koopiaga uuesti ühendumist.