گذرواژه VPN شما تنها به اندازهٔ بازبین آن خصوصی است
رمزنگاری تونل فقط بخش انتقال را پوشش می‌دهد. مؤلفه‌ای که گذرواژه را بازبینی می‌کند همچنان آن را دریافت می‌کند، و هش ذخیره‌شده مرحله‌ای دیگر را کاملاً محافظت می‌کند.
چهار پرسش را دربارهٔ هر ورود به VPN مرور کنید: چه چیزی گذرواژه را در حین انتقال محافظت می‌کند، کدام مؤلفه آن را دریافت می‌کند، آن مؤلفه با آن چه می‌کند، و چه چیزی پس از آن ذخیره می‌شود. هر پاسخ کنترل متفاوتی است، و پاسخ محکم به یکی هیچ چیزی دربارهٔ بقیه نمی‌گوید. اشتباه این است که رمزنگاری تونل را طوری در نظر بگیریم که گویی هر چهار مورد را پوشش می‌دهد. فقط مورد اول را پوشش می‌دهد، و تنها مورد اول را.
بپرسید چه کسی نشست را پایان می‌دهد، نه اینکه آیا نشست رمزنگاری شده است.
رمزنگاری‌شده برای چه کسی، دقیقاً؟
TLS گذرواژه را میان کارخواه و آنچه اتصال را پایان می‌دهد محافظت می‌کند. اگر آن نقطهٔ پایانی دروازهٔ VPN باشد، کد احراز هویت دروازه گذرواژه را به‌صورت متن روشن می‌بیند، آن را اعتبارسنجی می‌کند و خود آن یا مقداری مشتق‌شده را جلوتر می‌فرستد. این طراحیِ مقصود است، نه نشت. ناظر شبکه در مسیر چیز سودمندی نمی‌آموزد، و مؤلفه‌ای که بازبینی را انجام می‌دهد هر آنچه لازم دارد می‌آموزد.
جامعهٔ OpenVPN این را صریح مستند می‌کند: auth-user-pass-verify اعتبارنامه‌های ارائه‌شده را به اسکریپت یا افزونهٔ بازبینی تحویل می‌دهد. این انتقالی عمدی میان مؤلفه‌هاست و به‌عنوان طرفی نام‌برده به مدل اعتماد تعلق دارد.
بازبین گذرواژه را می‌بیند
وقتی مؤلفه‌ای گذرواژه‌ای را برای بازبینی دریافت می‌کند، کنترل‌های دسترسی، ثبت رویداد و کیفیت کد همان مؤلفه تعیین می‌کند که آیا راز درون می‌ماند. اسکریپتی که اعتبارنامه را در گزارش می‌نویسد، یا افزونه‌ای که آن را در حافظهٔ نهان نگه می‌دارد، بسیار بیشتر از پروتکل افشا ایجاد می‌کند. دسترسی به معماری و نقش‌ها بستگی دارد نه به تونل، از این رو مالک سرویسی که بازبین را کنترل می‌کند به ارزیابی تعلق دارد.
روش‌های مختلف مواد مختلفی را آشکار می‌کنند. احراز هویت با گواهی، کلید خصوصی را بدون ارسال آن اثبات می‌کند، و جریان فدراسیون می‌تواند گذرواژه را نزد ارائه‌دهندهٔ هویت نگه دارد و در همان حال ادعایی محدود به VPN صادر کند. این طراحی‌ها دایره را تنگ می‌کنند؛ هیچ‌یک همهٔ طرف‌های مورد اعتماد را حذف نمی‌کند.
هش‌های ذخیره‌شده از مرحله‌ای دیگر محافظت می‌کنند
رهنمود NIST انتقال محافظت‌شده را از ذخیره‌سازی مقاوم بازبین جدا می‌کند. نمک‌زدن و طرح هش پرهزینه تهدید بازبین ذخیره‌شده را پوشش می‌دهد، یعنی آنچه پس از واقعه رخ می‌دهد اگر پایگاه داده نشت کند. آن‌ها هیچ کاری برای مؤلفهٔ زمان اجرایی که باید ورودی را برای مقایسه دریافت کند نمی‌کنند. خواندن رهنمود به‌گونه‌ای که گویی محرمانگی زمان اجرا را وعده می‌دهد خطای مقوله‌ای است.
از این رو یک مخزن گذرواژهٔ خوب هش‌شده و یک اسکریپت بازبینی افشاشده می‌توانند بدون تناقض در یک محصول هم‌زیستی کنند.
انتخاب روشی که دایره را تنگ می‌کند
اگر الزام این است که دروازه هرگز گذرواژهٔ قابل استفادهٔ مجدد دریافت نکند، روشی را انتخاب کنید که واقعاً این را تضمین کند؛ تغییر رمز داده این ویژگی را ایجاد نمی‌کند. بازبینی گواهی کارساز VPN به شما می‌گوید به کدام همتا رسیده‌اید؛ هیچ چیزی دربارهٔ اینکه آن همتا پس از آن با اعتبارنامه‌ها چگونه رفتار می‌کند نمی‌گوید. بازبینی کارساز را نگه دارید، برای هر سرویس اعتبارنامهٔ جداگانه به کار ببرید، و جریان هویتی مورد پشتیبانی سازمان را دنبال کنید.
طرفی را که گذرواژه را دریافت می‌کند، طرفی را که آن را اعتبارسنجی می‌کند و شکلی را که در آن نگه داشته می‌شود ثبت کنید. این سه پاسخ کنار نمایهٔ اتصال جای دارند، زیرا از هر تونل مشخصی عمر بیشتری دارند.
پرسش سودمند این نیست که آیا گذرواژه رمزنگاری شده است، بلکه این است که از چه کسی پنهان می‌شود، کدام مؤلفه آن را دریافت می‌کند و چه شکلی پس از آن باقی می‌ماند.