Zure VPN pasahitza bere egiaztatzailea bezain pribatua da
Tunelaren zifratzeak trantsitu-tartea bakarrik estaltzen du. Pasahitza egiaztatzen duen osagaiak hura jaso egiten du oraindik, eta gordetako hash batek geroagoko etapa bat erabat babesten du.
Aztertu lau galdera edozein VPN saio-hasieratan: zerk babesten du pasahitza transmisioan, zein osagaik jasotzen du, zer egiten du osagai horrek harekin, eta zer gordetzen da geroago. Erantzun bakoitza kontrol desberdin bat da, eta bati emandako erantzun sendoak ez du ezer esaten besteekin. Akatsa tunelaren zifratzea lauak estaltzen balitu bezala tratatzea da. Lehena estaltzen du, eta lehena bakarrik.
Galdetu nork amaitzen duen saioa, ez saioa zifratuta dagoen.
Zifratuta norentzat, zehazki?
TLS-k pasahitza babesten du bezeroaren eta konexioa amaitzen duenaren artean. Amaiera-puntu hori VPN atebidea bada, atebidearen autentifikazio-kodeak pasahitza testu hutsean ikusten du, balioztatzen du, eta aurrera bidaltzen du bai hura bai eratorritako balio bat. Hori da aurreikusitako diseinua, ez ihes bat. Bideko sare-behatzaileak ez du ezer erabilgarririk ikasten, eta egiaztapena egiten duen osagaiak behar duen guztia ikasten du.
OpenVPN komunitateak espresuki dokumentatzen du: auth-user-pass-verify aurkeztutako kredentzialak egiaztapen-script edo plugin bati ematen dizkio. Osagaien arteko nahitako eskualdaketa da, eta konfiantza-ereduan izendatutako alderdi gisa dagokio.
Egiaztatzaileak pasahitza ikusten du
Osagai batek pasahitza egiaztatzeko jasotzen duenean, haren sarbide-kontrolak, erregistroak eta kode-kalitateak erabakitzen dute sekretua itxita mantentzen den. Kredentziala erregistro batean idazten duen script batek, edo cachean gordetzen duen plugin batek, protokoloak sortu zuenaz askoz esposizio handiagoa sortzen du. Sarbidea arkitekturaren eta rolen mende dago, ez tunelaren, horregatik egiaztatzailea kontrolatzen duen zerbitzu-jabea ebaluazioan sartzen da.
Metodo desberdinek material desberdina erakusten dute. Ziurtagiri bidezko autentifikazioak gako pribatu bat frogatzen du bidali gabe, eta federazio-fluxu batek pasahitza identitate-hornitzailean utz dezake VPNari adierazpen mugatu bat igorriz. Diseinu horiek zirkulua estutzen dute; horietako batek ere ez ditu konfiantzazko alderdi guztiak ezabatzen.
Gordetako hashek beste etapa bat babesten dute
NIST-en gidaritzak transmisio babestua egiaztatzailearen biltegiratze erresistenteagandik bereizten du. Gatza eta kostua duen hash-eskema batek gordetako egiaztatzailearen mehatxua lantzen dute, hau da, datu-base bat filtratzen bada geroago gertatzen dena. Ez dute ezer egiten konparatzeko sarrera jaso behar duen exekuzio-denborako osagai bati dagokionez. Gidaritza exekuzio-denboreko sekretutasuna agintzen balu bezala irakurtzea kategoria-errore bat da.
Beraz, ondo hasheatutako pasahitz-biltegi bat eta egiaztapen-script agerian bat elkarrekin egon daitezke produktu batean kontraesanik gabe.
Zirkulua estutzen duen metodo bat aukeratzea
Baldintza atebideak inoiz berrerabil daitekeen pasahitzik jasotzen ez badu, aukeratu hori benetan bermatzen duen metodo bat; datu-zifratze bat aldatzeak ez du propietate hori sortzen. VPN zerbitzariaren ziurtagiria egiaztatzeak zein pare-rekin egin duzun topo esaten dizu; ez du ezer esaten pare horrek geroago kredentzialekin nola jokatzen duen. Mantendu zerbitzariaren egiaztapena, erabili kredentzial desberdinak zerbitzu bakoitzeko, eta jarraitu erakundeak onartzen duen identitate-fluxua.
Erregistratu pasahitza jasotzen duen alderdia, hura balioztatzen duen alderdia eta gordetzen den forma. Hiru erantzun horiek konexio-profilaren ondoan dagozkio, edozein tunel zehatz baino gehiago irauten dutelako.
Galdera erabilgarria ez da pasahitza zifratuta dagoen, baizik eta norengandik ezkutatzen den, zein osagaik jasotzen duen eta zer forma irauten duen geroago.