Julkinen VPN-salasana: miksi sen ei pidä olla sähköpostisi salasana

Julkisten VPN-hakemistojen profiilit luettelevat palvelimen, käyttäjätunnuksen ja salasanan, jotka tuhannet muutkin ihmiset omistavat, ja houkutus on kirjoittaa jotain muistettavaa. Juuri se vaisto on ongelma: arvo ei ole henkilökohtainen salaisuus, ja kaikki, mihin käytät sitä uudelleen, tulee myös julkiseksi. Kohtele julkaistua kirjautumista julkisen palvelun jaettuna avaimena ja jokaista sinut tunnistavaa tiliä täysin eri luokkana. Erottelua on helppo ylläpitää siihen päivään asti, jolloin sillä on merkitystä.

Mitä tunnistetiedot oikeastaan ovat

Julkisessa VPN-hakemistossa julkaistu kirjautuminen on käyttöjärjestely operaattorin ja kenen tahansa sivun lukevan välillä. Se voi tunnistaa jaetun palvelutilin henkilön sijaan, ja operaattori voi havainnoida yhteyttä yhdyskäytävässä.

Viimeinen kohta ansaitsee korostuksen: se, joka päättää tunnelin, näkee siihen tulevan ja siitä lähtevän liikenteen ja pitää hallussaan salasanaa, joka sen avasi. Arvon käyttäminen uudelleen sähköpostitilille kertoo operaattorille jotain tilistä, jota sen ei olisi koskaan pitänyt pystyä arvaamaan. Jaettu salasana ei ole salaisuus missään merkityksellisessä mielessä, koska monet ihmiset pitävät sitä hallussaan. Luokat ovat erillisiä: julkinen käyttösalaisuus, yksityisen tilin salasana, asiakasvarmenne ja vertaisavain, kukin vastaa eri kysymykseen.

Uudelleenkäyttö on tunnettu arvo, ei heikko

Salasanan vahvuusohjeet keskittyvät yleensä pituuteen ja ainutlaatuisuuteen, ja ainutlaatuisuus on juuri se, minkä uudelleenkäyttö tuhoaa. Kahdessa paikassa käytetty pitkä salasana on tunnettu arvo molemmissa, kun jompikumpi vuotaa.

Credential stuffing riippuu tästä päällekkäisyydestä, ja julkiset hakemistot tekevät parin ensimmäisestä puolikkaasta ilmaisen kenelle tahansa. Erillisen arvon luominen palvelua kohden poistaa tämän vivun vaatimatta mitään muistettavampaa. Pituus ei koskaan korvaa arvoa, joka on jo painettu julkiselle sivulle.

Jos salasanaa on jo käytetty uudelleen

Vaihda liittymätön tili sen vahvistetun palautusprosessin kautta ja tarkastele sitten sen aktiivisia istuntoja ja palautusasetuksia, koska nollaus, joka jättää vanhan istunnon eloon, ei ole saanut työtä valmiiksi. Älä lähetä salasanaa VPN-tukeen virheen osoittamiseksi. Missä monivaiheinen todennus on saatavilla, ota se käyttöön, koska se selviää vuotaneesta salasanasta.

Kierrätä VPN-tunnistetiedot millä tahansa prosessilla, jonka operaattori dokumentoi, ja huomioi, että tämä on erillinen toimi oman tilisi vaihtamisesta. Pidä molemmat muutokset samassa tiketissä, jotta kukaan ei oleta yhden kattaneen toisen.

Jos salasanan sijaan paljastui yksityinen asiakasavain, peruutus on lääke. Sähköpostin salasanan vaihtaminen ei poista kopioitua avainta.

Tarkista tunnistetietojen tyyppi ennen kierrätystä

Selvitä, mitä kenttä todella odottaa, ennen kuin luot mitään. Portaalin huonekoodi, vertaisavain ja salasana eivät ole vaihdettavissa, ja väärän kierrättäminen jättää paljastumisen paikoilleen.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Tallenna luodut arvot salasanahallintaan muistiinpanon sijaan, jotta erilliset merkinnät pysyvät käyttökelpoisina. Vahvista sitten, että uusi arvo toimii ennen vanhan hylkäämistä, ja pidä molemmat tapahtumat samassa tiketissä.

Lopeta puhdistamalla tallennetut tunnistetiedot jokaisesta jaetusta asennuksesta, joka käytti vanhaa kirjautumista. Palvelimelta poistettu tunnistetieto on edelleen vuoto, jos laite jatkaa uudelleenyhdistämistä välimuistiin tallennetulla kopiolla.