Zergatik VPN irteera partekatu batek zuk eragin ez dituzun saio-hasierako abisuak pizten dituen
Saio-hasierako blokeoa arrisku-puntuazioa izan ohi da, ez zure tunelari buruzko epaia. Irteera partekatuek aldatzen dute nor gehiago sartzen den puntuazio horretan eta zenbat kostatzen zaien.
Ireki webgune ezagun bat VPN baten bidez eta jaso desafio gehigarri bat, eta azalpen tentagarria tunela detektatu zela da. Zerbait detektatu zen, baina ez zinen zu. Guneak hainbat seinale puntuatu zituen, horietako bat iturburu-helbidea da, eta helbide hori ezezagunekin partekatzen da, agian minutu bat lehenago saio-hasiera hutsak sortzen ari zirenak. Erabakia zure konexioari buruzko epai gisa irakurtzea puntuazioak zertarako balio duen oker ulertzea da.
Zer argi dezakeen iturburu-helbide batek eta zer ez
IP helbide batek sarea zeharkatzen duen bidea deskribatzen du une jakin batean. Ez du pertsona, gailu edo kontu bakar bat ere identifikatzen, eta operadore mailako NAT edo VPN pool lanpetu batekin aldi berean milaka saio erlazionatugabeen aurrean egon daiteke. Helbidea identitate gisa tratatzen duen guneak, egiatan, ospe gisa tratatzen du, eta hori baieztapen estatistikoa da, ez gertaera bat.
Bi pertsonek irteera bat parteka dezakete eta froga kontrajarriak eman: batek bigarren faktore batekin ongi hasten du saioa, besteak berrogei pasahitz probatzen ditu. Helbidea bera da, beraz helbidean soilik oinarritutako edozein arauk ezin ditu bereizi, eta eragiten duen erantzunak biengan du eragina.
Hori ez da helbideak baztertzeko argudioa. Seinaleak zer neurtzen duen gogoratzeko argudioa da, VPN bidezko saio-hasieren inguruko ustekabeko jokabide gehiena granularitate okerrean aplikatutako kontrol batetik datorrelako, behaketa oker batetik baino.
Zergatik zigortzen dituen irteera blokeatzeak ezezagunak
Helbide mailako blokeo bat merkea da ezartzen eta garestia helburuz jotzen. Bere eragin-erradioa helbide horren atzeko saio guztiak dira, eta horregatik dute helbide partekatuek eta NATek beren historia dokumentazio operatiboan: arrazoiketa bera agertzen da IETFren lanetan iturburu-helbide partekatuei eta helbidean oinarritutako iragazketaren alboko ondorioei buruz.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Kontuan hartu blokeo batek sortzen dituen bi porrotak. Irteera beraren atzeko bezero legitimo bati ukatzen zaio zerbitzua eta abusuak baino gehiago kostatzen duen laguntza-txartel bat irekitzen du. Benetako erasotzaileak milaka biltzen dituen pool bateko hurrengo irteerara pasatzen da eta jarraitzen du, berriz konektatzea baino ezer gastatu gabe.
Proportzionaltasuna da falta den urratsa. Errepikatutako saio-hasiera hutsek, eskaera automatizatuen bolada batek eta autentifikatutako baimen-urraketak hiru gertaera desberdin dira, eta bigarrena soilik da itxuraz helbide-formako arazoa. Webgune osoan sare-debeku bera hirurei aplikatzea da segurtasun-kontrol bat laguntza-ilera bihurtzen den modua.
Jarri erabakia frogak dauden tokian
Kontu mailako kontrolak kontuari jarraitzen diote helbideen bidez, eta hori benetan axola zaizun entitatearekin bat dator. Abiadura-muga, huts errepikatuen ondorengo itxaronaldiak eta ekintza sentikorretarako autentifikazio mailakatuak kontuan edo ekintzan eragiten dute, ez sare-bidean. Hori hobeto egokitzen da benetan babesten duzun entitatera. Erasotzaileari irteera-helbide berri baten bila aritzeko pizgarria ere kentzen dio.
NISTen autentifikazio-gida arrisku-ebaluazio baterako sarrera gisa tratatzen ditu horiek eta helbidea, geokokapena eta eskaeraren denbora zerrendatzen ditu seinaleen artean, eta horixe da maileguan hartzeko esparrua: seinale batek erabaki bat informatzea du helburu, ez autentifikatzaile bat ordezkatzea. Irakurri zerrenda hori sarrera gisa, debekatzeko gauzen menu gisa ez. Autentifikatzaileak egiten du oraindik froga, eta beste seinaleek soilik erabakitzen dute zenbat marruskadura jarri haren inguruan.
Diseinu-murriztapen bik kontu mailako ikuspegia bere etena bihurtzea eragozten dute. Abiadura-mugek berrikuspen-bide seguru bat behar dute erabiltzaileak klasifikazio okerra salatu ahal izateko kredentzialak argitaratu gabe, eta mailakako desafioei ezin zaie pasahitz edo egiaztatu gabeko laguntza-kontaktu bati emandako erabilera bakarreko kode batekin erantzun.
Nola ikusten den kanpotik politika justu bat
Idatzi zein erabaki babesten duen kontrol bakoitzak, eta egiaztatu gero kontrolaren granularitateak bat egiten duela. Helbide-kontrolek sare batetik datorren trafikoari buruzko galderei erantzuten diete; kontu-kontrolek kontu bati buruzko galderei; aplikazio-gertaerek autentifikazio osteko jokabideari buruzko galderei. Hirurak izendatzen dituen politika ikuska daiteke, eta VPN trafikoa soilik izendatzen duena ez.
Ondoren neurtu emaitza, ez arau kopurua. Baimendu gabeko saiakerek jaitsi beharko lukete, erabiltzaile legitimoek bide onartu bat mantendu beharko lukete, eta mila saio-hasierako laguntza-kontaktuen kopurua ez litzateke igo behar. Lehenengo zenbakia hobetzen duen eta beste biak suntsitzen dituen blokeo batek arazoa lekuz aldatu du, ez du konpondu.
VPN konexioak onartzea eta abusu-kontrolak betearaztea helburu bateragarriak dira. Funtzionatzen duen bertsioak iturburu-helbidea hainbat sarreren artean bat bezala tratatzen du, frogen araberako kontrol estuena aplikatzen du, eta gaizki sailkatutako pertsonarentzat bide zintzoa uzten du. Porrot egiten duen bertsioak helbide bat susmagarri gisa tratatzen du eta horri politika deitzen dio.