Miks jagatud VPN-väljapääs tekitab sisselogimishoiatusi, mida te ei põhjustanud
Sisselogimise blokeering on tavaliselt riskiskoor, mitte hinnang teie tunnelile. Jagatud väljapääsud muudavad, kes veel sellesse skoori kuulub ja mida see neile maksab.
Avage VPN-i kaudu tuttav sait ja saate lisakontrolli, ning ahvatlev seletus on, et tunnel tuvastati. Midagi tuvastati, aga see ei olnud teie. Sait hindas signaalide kogumit, millest üks on lähteaadress, ja seda aadressi jagatakse võõrastega, kes võisid minut varem luua ebaõnnestunud sisselogimisi. Otsuse lugemine hinnanguna teie ühenduse kohta tähendab skoori eesmärgi vääritimõistmist.
Mida lähteaadress suudab ja ei suuda otsustada
IP-aadress kirjeldab teekonda läbi võrgu teatud hetkel. See ei tuvasta inimest, seadet ega isegi üksikut kontot, ja operaatoritasandi NAT-i või hõivatud VPN-i basseini korral võib see esindada tuhandeid mitteseotud sessioone korraga. Sait, mis kohtleb aadressi identiteedina, kohtleb seda tegelikult mainena, mis on statistiline väide, mitte fakt.
Kaks inimest võivad jagada üht väljapääsu ja anda vastandlikke tõendeid: üks logib edukalt sisse teise teguriga, teine proovib nelikümmend parooli. Aadress on identne, seega ei suuda ükski ainult aadressil põhinev reegel neid eristada, ja milline tahes reaktsioon see käivitab, kehtib mõlema kohta.
See ei ole argument aadresside eiramiseks. See on argument meeles pidada, mida signaal mõõdab, sest suurem osa üllatavast käitumisest VPN-i sisselogimiste ümber tuleb kontrolli rakendamisest vale detailsusega, mitte valest tähelepanekust.
Miks väljapääsu blokeerimine karistab võõraid
Aadressitasandi blokeering on odav juurutada ja kallis sihtida. Selle mõjuraadius on iga sessioon selle aadressi taga, mistõttu jagatud aadresside ja NAT-i käitumisel on oma ajalugu operatiivdokumentatsioonis: sama mõttekäik esineb IETF-i töös jagatud lähteaadresside ja aadressipõhise filtreerimise kõrvalmõjude kohta.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Mõelge kahele tõrkele, mille blokeering tekitab. Legitiimsel kliendil sama väljapääsu taga keeldutakse teenusest ja ta esitab tugipileti, mis maksab rohkem kui kuritarvitus ise. Tegelik ründaja liigub tuhandete basseinis järgmisele väljapääsule ja jätkab, olles kulutanud vaid uuesti ühendamise.
Proportsionaalsus on puuduv samm. Korduvad ebaõnnestunud sisselogimised, automatiseeritud päringute purse ja autenditud õiguste rikkumine on kolm erinevat sündmust ning ainult teine on tõenäoliselt aadressikujuline probleem. Sama saidiülest võrgukeeldu kõigile kolmele rakendada on see, kuidas turvakontrollist saab tugijärjekord.
Pange otsus sinna, kus on tõendid
Kontotasandi kontrollid järgivad kontot üle aadresside, mis vastab üksusele, millest te tegelikult hoolite. Kiirusepiirang, ooteajad korduvate tõrgete järel ja astmeline autentimine tundlike toimingute jaoks mõjutavad kõik kontot või toimingut, mitte võrguteed. See sobib paremini üksusega, mida te tegelikult kaitsete. See kõrvaldab ka ründaja motivatsiooni otsida värsket väljapääsuaadressi.
NIST-i autentimisjuhised käsitlevad neid riskihindamise sisenditena ja loetlevad aadressi, geolokatsiooni ja päringu ajastuse signaalide hulgas, mis on täpselt see raamistik, mida tasub laenata: signaal teavitab otsust, see ei asenda autentijat. Lugege seda loendit sisenditena, mitte keelatavate asjade menüüna. Autentija teeb endiselt tõestuse ja teised signaalid otsustavad vaid, kui palju hõõrdumist selle ümber panna.
Kaks disainipiirangut hoiavad kontotasandi lähenemise muutumast iseenda katkestuseks. Kiirusepiirangud vajavad turvalist ülevaatusvõimalust, et kasutaja saaks teatada valest klassifikatsioonist ilma volitusi avaldamata, ja astmelistele väljakutsetele ei tohi vastata parooli ega ühekordse koodiga, mis on antud kinnitamata tugikontaktile.
Kuidas näeb aus poliitika väljastpoolt välja
Kirjutage üles, millist otsust iga kontroll toetab, ja kontrollige seejärel, kas kontrolli detailsus vastab. Aadressikontrollid vastavad küsimustele võrgust tuleva liikluse kohta; kontokontrollid vastavad küsimustele konto kohta; rakenduse sündmused vastavad küsimustele käitumise kohta pärast autentimist. Poliitika, mis nimetab kõiki kolme, on auditeeritav, ja see, mis nimetab ainult VPN-i liiklust, ei ole.
Seejärel mõõtke tulemust, mitte reeglite arvu. Volitamata katsed peaksid vähenema, legitiimsed kasutajad peaksid säilitama toetatud tee ja tugikontaktide arv tuhande sisselogimise kohta ei peaks kasvama. Blokeering, mis parandab esimest numbrit, rikkudes ülejäänud kaks, on probleemi nihutanud, mitte lahendanud.
VPN-ühenduste vastuvõtmine ja kuritarvituste kontrollide jõustamine on ühilduvad eesmärgid. Toimiv versioon käsitleb lähteaadressi ühe sisendina mitme hulgas, rakendab tõenditele vastavat kitsaimat kontrolli ja jätab ausa tee valesti klassifitseeritud inimesele. Ebaõnnestuv versioon käsitleb aadressi kahtlusalusena ja nimetab seda poliitikaks.