כמה מהר מישהו יכול לנחש את סיסמת ה-VPN שלכם?

השהיה עונה על שאלה שאיש לא שאל. שלושה תנאים קובעים מה המשמעות האמיתית של הערכת ניחוש: האם הניחוש נבדק על ידי שירות פעיל או מול חומר שנלכד, איזו שיטת אימות יצרה את החומר הזה, ואילו בקרות השירות אוכף. פקודת ping מודדת הלוך ושוב אחד בנתיב אחד ואינה עונה על אף אחד מהם. חלוקת שנייה במספר הזה מפיקה נתון מדויק, לא קשור ולעיתים קרובות חוזר כאילו היה תכונת אבטחה.

ההשהיה שייכת לעבודת הקישוריות. עוצמת האימות היא תכונה של המאמת ושל הפרוטוקול.

הלוך ושוב אחד אינו מגבלת קצב

זמן הלוך ושוב מתאר כמה זמן לוקחים בקשה אחת והתגובה שלה בנתיב מסוים. גם בניסיונות מקוונים, התפוקה תלויה בכמה בקשות הלקוח מחזיק פתוחות, כמה זמן השרת משקיע בכל ניסיון ואילו מגבלות קצב נאכפות. אלה בלתי תלויים בפקודת ה-ping. קישור Ethernet אינו כופה כלל שרק ניסיון אחד יכול להתקיים בכל הלוך ושוב, ופקודת ping מהירה אינה מוכיחה שמאמת יקבל ניחושים בקצב הזה.

אם השירות נועל חשבון לאחר חמישה כשלים, הקצב המעשי הוא חמישה ניסיונות לכל חלון נעילה, ללא תלות ברשת. זו בקרה, וזה המספר שראוי לצטט.

היכן באמת נבדק הניחוש

מקוון, התובע מגיש כל מועמד לשירות האמיתי, שיכול לצפות, לעכב, לנעול ולהתריע. לא מקוון, תוקף שמחזיק חומר אימות מתאים בודק מועמדים באופן מקומי בלי מעורבות השירות. ההבחנה הזו קובעת כמעט הכול בחשבון. הנחיות הסיסמאות של NIST מתייחסות לאיומים האלה בנפרד, ודורשות הגבלת קצב של ניסיונות מקוונים כושלים ואחסון שעומד בפני תקיפה לא מקוונת באמצעות גיבוב מלוח עם מקדם עלות. שניהם תכונות של המאמת ושל שכבת האחסון, בלי תלות בכמה מהר הקישור של המשתמש עונה.

האם לכידת מנות מניבה חומר שימושי תלוי בפרוטוקול ובשיטת האימות. החזקה של לכידה, תעודה או מנהרה מוצפנת אינה עונה על דבר בעצמה, וגם לא גילו של בניית הלקוח.

מדוע חשבון זמן השבירה מטעה

ספירה של מחרוזות אפשריות טובה רק כמו ההנחות שלה. סיסמאות שנבחרו בידי בני אדם אינן מתפלגות באופן אחיד במרחב שמתווה נוסחה, ופרטי גישה שנעשה בהם שימוש חוזר עשויים כבר להימצא ברשימה. גם עלות הבדיקה חשובה: שירות מקוון עם בקרות נאכפות שונה לחלוטין ממאמת גנוב שנבדק באופן מקומי. חישוב שעובר בשקט בין המקרים האלה אינו יכול לתמוך בטענה של שנים עד שבירה.

השאר פגמי פרוטוקול בעמודה משלהם. סיסמה ארוכה יותר אינה מתקנת מבנה אימות חלש, ושיטה מיושנת אחת אינה מוכיחה שכל עיצוב מבוסס סיסמה חולק את החולשות שלה. אלה ממצאים נפרדים עם תיקונים נפרדים.

בקשו ראיות מהמאמת, לא השהיה

להערכת שער, זהו את שיטת האימות, מי מחזיק במאמת, אילו בקרות ניסיון קיימות והאם גורם שני באמת בלתי תלוי. דיאלוג עם שתי תיבות סיסמה אינו מבסס שני גורמים. לפרטי גישה מאוחסנים, קבעו איזה חומר קיים, מי יכול לקרוא אותו ואיזו הגנה היישום באמת מיישם. נתון היפותטי של קצב גיבוב אינו ראיה לגבי מערכת אחסון לא מזוהה.

שקלו גם חשיפה מחוץ לניחוש. פרופיל גנוב, נקודת קצה שנפרצה או זרימת פישינג מציגים בעיה שונה מזו של תוקף שמונה סיסמאות, ואורך הסיסמה אינו עושה דבר נגד הסמכות שכבר ניתנה לסשן פעיל.

תעדו את השיטה, הבקרה והגנת האחסון. שלושת אלה עונים על השאלה שפקודת ה-ping מעולם לא מדדה.