Miksi jaettu VPN-poistumispiste laukaisee kirjautumisvaroituksia, joita et aiheuttanut
Kirjautumisblokki on yleensä riskipisteet, ei tuomio tunnelistasi. Jaetut poistumispisteet muuttavat sitä, keitä muita pisteisiin lasketaan ja mitä se heille maksaa.
Avaa tuttu sivusto VPN:n kautta ja saa ylimääräinen haaste, ja houkutteleva selitys on, että tunneli havaittiin. Jotain havaittiin, mutta se et ollut sinä. Sivusto pisteytti joukon signaaleja, joista yksi on lähdeosoite, ja tuo osoite on jaettu tuntemattomien kanssa, jotka ovat ehkä tuottaneet epäonnistuneita kirjautumisia minuutti aiemmin. Päätöksen lukeminen tuomioksi yhteydestäsi ymmärtää väärin, mitä pisteet varten ovat.
Mitä lähdeosoite voi ratkaista ja mitä ei
IP-osoite kuvaa reitin verkon läpi tiettynä hetkenä. Se ei tunnista henkilöä, laitetta tai edes yhtä tiliä, ja operaattoritason NAT:n tai vilkkaan VPN-altaan kanssa se voi edustaa tuhansia toisiinsa liittymättömiä istuntoja samanaikaisesti. Sivusto, joka kohtelee osoitetta identiteettinä, kohtelee sitä todellisuudessa maineena, mikä on tilastollinen väite eikä tosiasia.
Kaksi ihmistä voi jakaa poistumispisteen ja tuottaa vastakkaisia todisteita: toinen kirjautuu sisään toisella tekijällä, toinen kokeilee neljääkymmentä salasanaa. Osoite on sama, joten mikään pelkkään osoitteeseen perustuva sääntö ei voi erottaa heitä, ja mikä tahansa laukaistu vastaus koskee molempia.
Tämä ei ole argumentti osoitteiden sivuuttamiseksi. Se on argumentti muistaa, mitä signaali mittaa, koska suurin osa VPN-kirjautumisten ympärillä olevasta yllättävästä käytöksestä johtuu kontrollin soveltamisesta väärällä tarkkuustasolla, ei väärästä havainnosta.
Miksi poistumispisteen estäminen rankaisee tuntemattomia
Osoitetason esto on halpa toteuttaa ja kallis kohdistaa. Sen vaikutussäde on jokainen istunto tuon osoitteen takana, minkä vuoksi jaettujen osoitteiden ja NAT:n käytöksellä on oma historiansa operatiivisessa dokumentaatiossa: sama perustelu esiintyy IETF:n työssä jaetuista lähdeosoitteista ja osoiteperusteisen suodatuksen sivuvaikutuksista.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Harkitse kahta epäonnistumista, jotka esto luo. Legitiimi asiakas saman poistumispisteen takana saa palvelun evätyksi ja avaa tukilipun, joka maksaa enemmän kuin väärinkäyttö. Todellinen hyökkääjä siirtyy seuraavaan poistumispisteeseen tuhansien altaassa ja jatkaa, kulutettuaan vain uudelleenyhdistämisen.
Suhteellisuus on puuttuva askel. Toistuvat epäonnistuneet kirjautumiset, purske automatisoituja pyyntöjä ja todennettu käyttöoikeusrikkomus ovat kolme eri tapahtumaa, ja vain toinen on uskottavasti osoitteen muotoinen ongelma. Saman koko sivuston kattavan verkkokiellon soveltaminen kaikkiin kolmeen on se, miten turvakontrollista tulee tukijono.
Aseta päätös sinne, missä todisteet ovat
Tilitason kontrollit seuraavat tiliä osoitteiden yli, mikä vastaa sitä kokonaisuutta, josta todella välität. Nopeusrajoitus, odotusajat toistuvien epäonnistumisten jälkeen ja porrastettu todennus arkaluonteisille toimille vaikuttavat kaikki tiliin tai toimintoon, eivät verkkoreittiin. Se sopii paremmin siihen kokonaisuuteen, jota todella suojelet. Se myös poistaa hyökkääjän kannustimen etsiä tuore poistumisosoite.
NIST:n todennusohje kohtelee näitä riskiarvioinnin syötteinä ja luettelee osoitteen, geosijainnin ja pyynnön ajoituksen signaalien joukossa, mikä on täsmälleen se kehys, joka kannattaa lainata: signaali tiedottaa päätöstä, se ei korvaa todentajaa. Lue tuo luettelo syötteinä, älä luettelona kiellettävistä asioista. Todentaja tekee edelleen todistuksen, ja muut signaalit vain päättävät, kuinka paljon kitkaa sen ympärille asetetaan.
Kaksi suunnittelurajoitusta estävät tilitason lähestymistapaa muuttumasta omaksi katkoksekseen. Nopeusrajoitukset tarvitsevat turvallisen tarkistuspolun, jotta käyttäjä voi ilmoittaa väärästä luokituksesta paljastamatta tunnistetietoja, eikä porrastettuihin haasteisiin saa voida vastata salasanalla tai kertakäyttöisellä koodilla, joka on annettu vahvistamattomalle tukiyhteyshenkilölle.
Miltä reilu käytäntö näyttää ulkopuolelta
Kirjoita ylös, mitä päätöstä kukin kontrolli tukee, ja tarkista sitten, että kontrollin tarkkuustaso vastaa sitä. Osoitekontrollit vastaavat kysymyksiin verkosta tulevasta liikenteestä; tiliikontrollit vastaavat kysymyksiin tilistä; sovellustapahtumat vastaavat kysymyksiin todennuksen jälkeisestä käytöksestä. Käytäntö, joka nimeää kaikki kolme, on auditoitavissa, ja sellainen, joka nimeää vain VPN-liikenteen, ei ole.
Mittaa sitten tulosta sääntöjen määrän sijaan. Luvattomien yritysten pitäisi laskea, legitiimien käyttäjien pitäisi säilyttää tuettu polku, eikä tukiyhteydenottojen määrä tuhatta kirjautumista kohti saisi nousta. Esto, joka parantaa ensimmäistä lukua ja tuhoaa kaksi muuta, on siirtänyt ongelman, ei ratkaissut sitä.
VPN-yhteyksien hyväksyminen ja väärinkäytön valvonta ovat yhteensopivia tavoitteita. Toimiva versio kohtelee lähdeosoitetta yhtenä syötteenä muiden joukossa, soveltaa kapeinta todisteisiin sopivaa kontrollia ja jättää rehellisen polun henkilölle, joka luokiteltiin väärin. Epäonnistuva versio kohtelee osoitetta epäiltynä ja kutsuu sitä käytännöksi.