Kuinka nopeasti joku voisi arvata VPN-salasanasi?

Viive vastaa kysymykseen, jota kukaan ei kysynyt. Kolme ehtoa ratkaisee, mitä arvausarvio todella tarkoittaa: tarkistetaanko arvaus elävässä palvelussa vai siepatun materiaalin perusteella, mikä todentamismenetelmä tuotti tuon materiaalin ja mitä kontrolleja palvelu toteuttaa. Ping mittaa yhden edestakaisen matkan yhdellä polulla eikä vastaa yhteenkään niistä. Sekunnin jakaminen sillä luvulla tuottaa luvun, joka on tarkka, asiaankuulumaton ja usein toistettu ikään kuin se olisi turvaominaisuus.

Viive kuuluu yhteydenpitotyöhön. Todennuksen vahvuus on todentajan ja protokollan ominaisuus.

Yksi edestakainen matka ei ole nopeusraja

Edestakainen aika kuvaa, kuinka kauan yksi pyyntö ja sen vastaus kestävät tietyllä polulla. Jopa verkkoyrityksissä läpäisykyky riippuu siitä, kuinka monta pyyntöä asiakas pitää avoinna, kuinka kauan palvelin käyttää yhteen yritykseen ja mitkä nopeusrajat ovat voimassa. Ne ovat pingistä riippumattomia. Ethernet-yhteys ei aseta sääntöä, että yhdellä matkalla voi olla vain yksi yritys, eikä nopea ping todista, että todentaja hyväksyy arvaukset sellaisella nopeudella.

Jos palvelu lukitsee tilin viiden epäonnistumisen jälkeen, käytännön nopeus on viisi yritystä lukitusikkunaa kohden verkosta riippumatta. Se on kontrolli, ja se on luku, jonka mainitseminen kannattaa.

Missä arvaus todella tarkistetaan

Verkossa väittäjä lähettää jokaisen ehdokkaan oikealle palvelulle, joka voi havainnoida, viivyttää, lukita ja hälyttää. Verkon ulkopuolella sopivaa vahvistusmateriaalia hallussaan pitävä hyökkääjä tarkistaa ehdokkaat paikallisesti ilman palvelun osallistumista. Tämä ero ratkaisee aritmetiikassa lähes kaiken. NISTin salasanaohjeet käsittelevät nämä uhat erikseen ja vaativat epäonnistuneiden verkkoyritysten nopeuden rajoittamista ja tallennusta, joka kestää verkon ulkopuolisen hyökkäyksen suolattuun hashiin ja kustannustekijään perustuen. Molemmat ovat todentajan ja tallennuskerroksen ominaisuuksia, riippumatta siitä, kuinka nopeasti käyttäjän yhteys vastaa.

Se, antaako pakettikaappaus hyödyllistä materiaalia, riippuu protokollasta ja todentamismenetelmästä. Kaappauksen, varmenteen tai salatun tunnelin omistaminen ei itsessään vastaa mihinkään, eikä asiakasversion ikäkään.

Miksi murtamisaikojen aritmetiikka harhaanjohtaa

Mahdollisten merkkijonojen määrä on vain niin hyvä kuin sen oletukset. Ihmisten valitsemat salasanat eivät jakaudu tasaisesti siihen avaruuteen, jonka kaava kuvaa, ja uudelleen käytetyt tunnistetiedot voivat jo olla listalla. Myös tarkistuskustannus merkitsee: toteutetuilla kontrolleilla varustettu verkkopalvelu eroaa täysin paikallisesti testatusta varastetusta todentajasta. Laskelma, joka liikkuu hiljaa näiden tapausten välillä, ei voi tukea väitettä vuosista murtamiseen.

Pidä protokollavirheet omassa sarakkeessaan. Pidempi salasana ei korjaa heikkoa todentamisrakennetta, eikä yksi vanhentunut menetelmä todista, että jokainen salasanaan perustuva suunnittelu jakaa sen heikkoudet. Ne ovat erillisiä löydöksiä, joilla on erilliset korjaukset.

Pyydä todentajan näyttöä, älä viivettä

Yhdyskäytävän arvioinnissa tunnista todentamismenetelmä, kuka pitää todentajaa, mitkä yrityskontrollit ovat olemassa ja onko toinen tekijä todella riippumaton. Kahden salasanakentän valintaikkuna ei muodosta kahta tekijää. Tallennetuille tunnistetiedoille selvitä, mitä materiaalia on, kuka voi lukea sitä ja mitä suojausta toteutus todella soveltaa. Hypoteettinen hash-nopeusluku ei ole todiste tunnistamattomasta tallennusjärjestelmästä.

Harkitse myös altistumista arvaamisen ulkopuolella. Varastettu profiili, vaarantunut päätepiste tai phishing-virta muodostavat erilaisen ongelman kuin salasanoja luetteleva hyökkääjä, eikä salasanan pituus tee mitään jo aktiiviselle istunnolle annetulle valtuudelle.

Kirjaa menetelmä, kontrolli ja tallennussuoja. Nämä kolme vastaavat kysymykseen, jota ping ei koskaan mitannut.