Wêrom in dielde VPN-útgong oanmeldingswarskôgings útlokket dy't jo net feroarsake hawwe
In oanmeldingsblokkade is meastal in risikoscore, gjin oardiel oer jo tunnel. Dielde útgangen feroarje wa't ek yn dy score heart en wat it har kostet.
Iepenje in fertroud plak fia in VPN en krije in ekstra útdaging, en de ferliedlike ferklearring is dat de tunnel ûntdutsen is. Der is wat ûntdutsen, mar dat wiene jo net. It plak skoarde in set sinjalen, wêrfan ien it boarne-adres is, en dat adres wurdt dield mei frjemden dy't in minút earder mislearre oanmeldingen generearre hawwe kinne. It beslút as in oardiel oer jo ferbining lêze, misbegrypt wêr't de score foar is.
Wat in boarne-adres besljochtsje kin en wat net
In IP-adres beskreaut in paad troch it netwurk op in beskaat momint. It identifisearret gjin persoan, apparaat of sels ien akkount, en mei carrier-grade NAT of in drok VPN-swimbad kin it tûzenen ûnferbâne sesjes tagelyk fertsjintwurdigje. In plak dat it adres as identiteit behannelet, behannelet it eins as reputaasje, dat is in statistyske útspraak en gjin feit.
Twa minsken kinne in útgang diele en tsjinoerstelde bewiis leverje: de iene meldt him mei súkses oan mei in twadde faktor, de oare besiket fjirtich wachtwurden. It adres is identyk, dus gjin inkelde regel dy't allinne op it adres basearre is kin har ûnderskiede, en hokker reaksje it ek útlokket, jildt foar beide.
Dat is gjin argumint om adressen te negearjen. It is in argumint om te betinken wat it sinjaal mjit, want it measte ferrassende gedrach rûn VPN-oanmeldingen komt fan in kontrôle dy't op 'e ferkearde granulaarheid tapast wurdt, en net fan in ferkearde observaasje.
Wêrom it blokkearjen fan 'e útgang frjemden straft
In blokkade op adresnivo is goedkeap te ymplementearjen en djoer te rjochtsjen. De ynfloedsstraal is elke sesje efter dat adres, en dêrom hawwe dielde adressen en NAT-gedrach eigen skiednis yn operasjonele dokumintaasje: deselde redenaasje ferskynt yn it IETF-wurk oer dielde boarne-adressen en de byeffekten fan adresbasearre filterjen.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Tink oan 'e twa misstannen dy't in blokkade makket. In legitime klant efter deselde útgang wurdt tsjinst wegere en iepenet in stipekaart dy't mear kostet as it misbrûk. In echte oanfaller ferpleatst nei de folgjende útgang yn in swimbad fan tûzenen en giet troch, sûnder oars as in werferbining útjûn te hawwen.
Proporzjonaliteit is de ûntbrekkende stap. Werhelle mislearre oanmeldingen, in flaach automatisearre oanfragen en in autentisearre tastimmingsoertreding binne trije ferskillende eveneminten, en allinne it twadde is wierskynlik in adresfoarmich probleem. Deselde sidewide netwurkferbod op alle trije tapasse is hoe't in feilichheidskontrôle in stipestream wurdt.
Set it beslút dêr't it bewiis is
Kontrôles op akkountnivo folgje it akkount oer adressen, wat oerienkomt mei de entiteit dêr't jo echt om jouwe. Tafoegingsbeheining, wachtperioaden nei werhelle misstannen en stap-foar-stap ferifikaasje foar gefoelige aksjes wurkje allegear op it akkount of de aksje en net op it netwurkspaad. Dat past better by de entiteit dy't jo echt beskermje. It ferwideret ek de oantrún fan 'e oanfaller om nei in farsk útgangsadres te sykjen.
De NIST-rjochtlinen foar ferifikaasje behannelje dizze as ynfieren foar in risikobeoardieling en neame adres, geolokaasje en oanfraachtiid ûnder de sinjalen, wat krekt it ramt is om te lienen: in sinjaal ynformearret in beslút, it ferfangt gjin ferifiearder. Lês dy list as ynfieren, net as in menu fan dingen om te ferbieden. De ferifiearder docht noch altyd it bewiis, en de oare sinjalen beslisse allinne hoefolle wriuwing deromhinne pleatst wurdt.
Twa ûntwerppermingen foarkomme dat de akkountnivo-oanpak syn eigen steuring wurdt. Tafoegingsbeheiningen hawwe in feilich beoardielingspaad nedich sadat in brûker in ferkearde klassifikaasje melde kin sûnder oantekenings te publisearjen, en stap-foar-stap útdagings meie net beantwurde wurde kinne mei in wachtwurd of in ienmalige koade dy't oan in net-ferifisearre stipekontakt jûn is.
Hoe't in earlik belied fan bûten ôf liket
Skriuw op hokker beslút elke kontrôle stipet, en kontrolearje dan oft de granulaarheid fan 'e kontrôle oerienkomt. Adreskontrôles beantwurdzje fragen oer ferkear fan in netwurk; akkountkontrôles beantwurdzje fragen oer in akkount; applikaasje-eveneminten beantwurdzje fragen oer gedrach nei ferifikaasje. In belied dat alle trije neamt is auditberber, en ien dat allinne VPN-ferkear neamt net.
Mjit dan it resultaat ynstee fan it oantal regels. Net-autorisearre besykjen moatte daale, legitime brûkers moatte in stipe paad hâlde, en it oantal stipekontakten per tûzen oanmeldingen moat net stige. In blokkade dy't it earste getal ferbetteret wylst it de oare twa fernielt, hat it probleem ferplakke, net oplost.
VPN-ferbiningen akseptearje en misbrûkkontrôles hanthavenje binne ferienigbere doelen. De ferzje dy't wurket behannelet it boarne-adres as ien ynfier ûnder ferskate, past de smelste kontrôle ta dy't by it bewiis past, en lit in earlike rûte foar de persoan dy't ferkeard klassifisearre is. De ferzje dy't mislearret behannelet in adres as in fertochte en neamt dat in belied.