סיסמת VPN ציבורית: למה היא לא צריכה להיות סיסמת האימייל שלכם

מדריכים ציבוריים של VPN מפרטים שרת, שם משתמש וסיסמה שגם אלפי אנשים אחרים מחזיקים, והפיתוי הוא להקליד משהו שקל לזכור. בדיוק הדחף הזה הוא הבעיה: הערך אינו סוד אישי, וכל דבר שתשתמשו בו שוב הופך גם הוא לציבורי. התייחסו לפרטי ההתחברות המפורסמים כמפתח משותף לשירות ציבורי, ולכל חשבון שמזהה אתכם כקטגוריה אחרת לגמרי. ההפרדה קלה לתחזוקה עד היום שבו היא חשובה.

מה הם בעצם פרטי הגישה

פרטי התחברות שמפורסמים במדריך VPN ציבורי הם הסדר גישה בין המפעיל לכל מי שקורא את העמוד. הם עשויים לזהות חשבון שירות משותף ולא אדם, והמפעיל יכול לצפות בחיבור בשער.

הנקודה האחרונה ראויה להדגשה: מי שמסיים מנהרה רואה את התעבורה שנכנסת ויוצאת ממנה, ומחזיק בסיסמה שפתחה אותה. שימוש חוזר בערך עבור חשבון דואר מספר למפעיל משהו על חשבון שהוא מעולם לא היה אמור לנחש. סיסמה משותפת אינה סוד בשום מובן משמעותי, כי אנשים רבים מחזיקים בה. הקטגוריות נפרדות: סוד גישה ציבורי, סיסמת חשבון פרטי, תעודת לקוח ומפתח עמית, כל אחד עונה על שאלה אחרת.

שימוש חוזר הוא ערך ידוע, לא ערך חלש

הנחיות לחוזק סיסמה מתמקדות בדרך כלל באורך ובייחודיות, והייחודיות היא בדיוק מה ששימוש חוזר הורס. סיסמה ארוכה שמשמשת בשני מקומות היא ערך ידוע בשניהם ברגע שאחד מהם דולף.

דחיסת אישורי גישה תלויה בחפיפה הזו, ומדריכים ציבוריים הופכים את החצי הראשון של הזוג לחינמי לכל אחד. יצירת ערך נפרד לכל שירות מסירה את המנוף הזה בלי לדרוש משהו שקל יותר לזכור. אורך אף פעם לא מפצה על ערך שכבר מודפס בעמוד ציבורי.

אם הסיסמה כבר שומשה מחדש

שנו את החשבון הלא קשור דרך תהליך השחזור המאומת שלו, ואז עברו על ההפעלות הפעילות והגדרות השחזור שלו, כי איפוס שמשאיר הפעלה ישנה בחיים לא סיים את העבודה. אל תשלחו את הסיסמה לתמיכת VPN כדי להדגים את הטעות. היכן שיש אימות רב-גורמי, הפעילו אותו, כי הוא שורד סיסמה שדלפה.

סובבו את אישור ה-VPN דרך כל תהליך שהמפעיל מתעד, וציינו שזו פעולה נפרדת משינוי החשבון שלכם. החזיקו את שני השינויים באותו כרטיס כדי שאיש לא יניח שאחד כיסה את השני.

אם נחשף מפתח לקוח פרטי ולא סיסמה, הביטול הוא התרופה. שינוי סיסמת דואר לא מסיר מפתח שהועתק.

בדקו את סוג אישור הגישה לפני הסיבוב

זהו מה השדה באמת מצפה לו לפני שתפיקו משהו. קוד חדר בפורטל, מפתח עמית וסיסמה אינם ניתנים להחלפה, וסיבוב של השגוי משאיר את החשיפה במקומה.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

אחסנו ערכים שהופקו במנהל סיסמאות ולא בהערה, כדי שערכים נפרדים יישארו שמישים. אחר כך ודאו שהערך החדש עובד לפני שאתם זורקים את הישן, והחזיקו את שני האירועים באותו כרטיס.

סיימו בניקוי אישורי גישה שמורים בכל התקנה משותפת שהשתמשה בפרטי ההתחברות הישנים. אישור גישה שהוסר מהשרת הוא עדיין דליפה אם מכשיר ממשיך להתחבר מחדש עם עותק שמור במטמון.