کسی چقدر سریع می‌تواند گذرواژهٔ VPN شما را حدس بزند؟
یک رفت‌وبرگشت اتصال را می‌سنجد، نه اینکه گذرواژه‌ها با چه سرعتی آزمایش می‌شوند. بپرسید کدام تأییدکننده حدس را بررسی می‌کند و چه کنترل‌هایی پیرامون آن وجود دارد.
تأخیر به پرسشی پاسخ می‌دهد که هیچ‌کس نپرسیده است. سه شرط تعیین می‌کند که یک برآورد حدس واقعاً چه معنایی دارد: اینکه حدس با یک سرویس فعال بررسی می‌شود یا در برابر مواد ضبط‌شده، کدام روش احراز هویت آن مواد را تولید کرده، و سرویس چه کنترل‌هایی را اعمال می‌کند. یک ping یک رفت‌وبرگشت روی یک مسیر را اندازه می‌گیرد و به هیچ‌یک از این‌ها پاسخ نمی‌دهد. تقسیم یک ثانیه بر آن عدد، رقمی به دست می‌دهد که دقیق، بی‌ارتباط و اغلب طوری تکرار می‌شود که گویی یک ویژگی امنیتی است.
تأخیر به کار اتصال مربوط است. قدرت احراز هویت ویژگیِ تأییدکننده و پروتکل است.
یک رفت‌وبرگشت محدودیت نرخ نیست
زمان رفت‌وبرگشت توصیف می‌کند که یک درخواست و پاسخش روی یک مسیر مشخص چقدر طول می‌کشند. حتی در تلاش‌های آنلاین، توان‌عبور به این بستگی دارد که یک کارخواه چند درخواست را باز نگه می‌دارد، سرور برای هر تلاش چقدر وقت می‌گذارد و چه محدودیت‌های نرخی اعمال می‌شود. این‌ها به ping وابسته نیستند. یک پیوند Ethernet قاعده‌ای وضع نمی‌کند که در هر رفت‌وبرگشت فقط یک تلاش بتواند وجود داشته باشد، و ping سریع ثابت نمی‌کند که تأییدکننده حدس‌ها را با آن نرخ خواهد پذیرفت.
اگر سرویس حساب را پس از پنج شکست قفل کند، نرخ عملی پنج تلاش در هر پنجرهٔ قفل است، فارغ از شبکه. این یک کنترل است، و این همان عددی است که ارزش نقل کردن دارد.
حدس در واقع کجا بررسی می‌شود
آنلاین، مدعی هر نامزد را به سرویس واقعی می‌فرستد، که می‌تواند مشاهده کند، تأخیر بیندازد، قفل کند و هشدار دهد. آفلاین، مهاجمی که مواد تأیید مناسب دارد، نامزدها را به‌صورت محلی و بدون دخالت سرویس بررسی می‌کند. این تمایز تقریباً همه‌چیز را در حساب‌وکتاب تعیین می‌کند. راهنمای گذرواژهٔ NIST این تهدیدها را جداگانه می‌بیند و خواستار محدودسازی نرخ تلاش‌های ناموفق آنلاین و ذخیره‌سازی‌ای است که در برابر حملهٔ آفلاین با درهم‌سازی نمک‌دار و ضریب هزینه مقاومت می‌کند. هر دو ویژگی‌های تأییدکننده و لایهٔ ذخیره‌سازی‌اند، بدون هیچ وابستگی به اینکه پیوند کاربر چقدر سریع پاسخ می‌دهد.
اینکه یک ضبط بسته مواد مفیدی به دست می‌دهد به پروتکل و روش احراز هویت بستگی دارد. داشتن یک ضبط، یک گواهی یا یک تونل رمزشده به‌خودی‌خود به هیچ چیز پاسخ نمی‌دهد، و سن ساخت کارخواه هم پاسخ نمی‌دهد.
چرا حساب‌وکتاب زمان شکستن گمراه‌کننده است
تعداد رشته‌های ممکن تنها به اندازهٔ فرض‌هایش خوب است. گذرواژه‌هایی که انسان‌ها انتخاب می‌کنند در فضایی که یک فرمول توصیف می‌کند یکنواخت توزیع نشده‌اند، و اعتبارنامه‌های بازاستفاده‌شده ممکن است از قبل در فهرستی باشند. هزینهٔ بررسی هم مهم است: یک سرویس آنلاین با کنترل‌های اعمال‌شده کاملاً با یک تأییدکنندهٔ دزدیده‌شده که محلی آزمایش می‌شود تفاوت دارد. حسابی که بی‌صدا میان این حالت‌ها جابه‌جا می‌شود نمی‌تواند ادعای سال‌ها تا شکستن را پشتیبانی کند.
نقص‌های پروتکل را هم در ستون خودشان نگه دارید. گذرواژهٔ طولانی‌تر یک ساختار احراز هویت ضعیف را تعمیر نمی‌کند، و یک روش منسوخ ثابت نمی‌کند که هر طرحی بر پایهٔ گذرواژه ضعف‌هایش را شریک است. این‌ها یافته‌های جدایند با اصلاح‌های جدا.
شواهد تأییدکننده را بخواهید، نه تأخیر
برای ارزیابی دروازه، روش احراز هویت، اینکه تأییدکننده نزد کیست، چه کنترل‌های تلاشی وجود دارد و اینکه عامل دوم واقعاً مستقل است یا نه را مشخص کنید. گفت‌وگویی با دو کادر گذرواژه دو عامل را برقرار نمی‌کند. برای اعتبارنامه‌های ذخیره‌شده، مشخص کنید چه موادی وجود دارد، چه کسی می‌تواند آن را بخواند و پیاده‌سازی در عمل چه محافظتی اعمال می‌کند. یک رقم فرضی از نرخ درهم‌سازی شاهدی دربارهٔ یک سامانهٔ ذخیره‌سازی ناشناخته نیست.
مواجهه بیرون از حدس را هم در نظر بگیرید. پروفایل دزدیده‌شده، نقطهٔ پایانی به‌خطرافتاده یا جریان فیشینگ مسئله‌ای متفاوت از مهاجمی که گذرواژه‌ها را می‌شمارد پیش می‌کشند، و طول گذرواژه هیچ کاری دربارهٔ اختیاری که از پیش به یک نشست فعال داده شده انجام نمی‌دهد.
روش، کنترل و محافظت ذخیره‌سازی را ثبت کنید. این سه به پرسشی پاسخ می‌دهند که ping هرگز اندازه نمی‌گرفت.