कोई आपका VPN पासवर्ड कितनी तेज़ी से अनुमान लगा सकता है?

लेटेंसी उस सवाल का जवाब देती है जो किसी ने नहीं पूछा। तीन शर्तें तय करती हैं कि अनुमान-आकलन का वास्तव में क्या अर्थ है: अनुमान किसी जीवित सेवा से जाँचा जाता है या कब्ज़े में लिए गए माल के मुकाबले, किस प्रमाणीकरण विधि ने वह माल बनाया, और सेवा कौन-से नियंत्रण लागू करती है। एक ping एक ही मार्ग पर एक राउंड ट्रिप मापता है और इनमें से किसी का जवाब नहीं देता। एक सेकंड को उस संख्या से भाग देना एक ऐसा आँकड़ा देता है जो सटीक, असंबंधित और अक्सर ऐसे दोहराया जाता है जैसे वह सुरक्षा-गुण हो।

लेटेंसी कनेक्टिविटी के काम की चीज़ है। प्रमाणीकरण की ताकत सत्यापनकर्ता और प्रोटोकॉल का गुण है।

एक राउंड ट्रिप दर-सीमा नहीं है

राउंड-ट्रिप समय बताता है कि किसी विशेष मार्ग पर एक अनुरोध और उसकी प्रतिक्रिया में कितना समय लगता है। ऑनलाइन प्रयासों में भी थ्रूपुट इस पर निर्भर करता है कि क्लाइंट कितने अनुरोध खुले रखता है, सर्वर प्रति प्रयास कितना समय देता है, और कौन-सी दर-सीमाएँ लागू हैं। ये ping से स्वतंत्र हैं। ईथरनेट लिंक यह नियम नहीं थोपता कि प्रति राउंड ट्रिप केवल एक प्रयास हो सकता है, और तेज़ ping यह साबित नहीं करता कि सत्यापनकर्ता उस दर पर अनुमान स्वीकार करेगा।

अगर सेवा पाँच विफलताओं के बाद खाता लॉक कर देती है, तो व्यावहारिक दर प्रति लॉकआउट विंडो पाँच प्रयास है, नेटवर्क चाहे जो हो। यह एक नियंत्रण है, और यही वह संख्या है जिसे उद्धृत करना चाहिए।

अनुमान वास्तव में कहाँ जाँचा जाता है

ऑनलाइन, दावेदार हर उम्मीदवार को वास्तविक सेवा को सौंपता है, जो देख सकती है, देरी कर सकती है, लॉक कर सकती है और चेतावनी दे सकती है। ऑफ़लाइन, उपयुक्त सत्यापन सामग्री रखने वाला हमलावर सेवा की किसी भागीदारी के बिना उम्मीदवारों को स्थानीय रूप से जाँचता है। यही अंतर अंकगणित में लगभग सब कुछ तय करता है। NIST की पासवर्ड मार्गदर्शिका इन ख़तरों को अलग-अलग देखती है, विफल ऑनलाइन प्रयासों की दर सीमित करने और ऐसे भंडारण की मांग करती है जो नमकीन हैशिंग और लागत-गुणक के ज़रिए ऑफ़लाइन हमले का सामना करे। दोनों सत्यापनकर्ता और भंडारण परत के गुण हैं, इस बात पर किसी निर्भरता के बिना कि उपयोगकर्ता का लिंक कितनी तेज़ी से जवाब देता है।

पैकेट कैप्चर उपयोगी सामग्री देता है या नहीं, यह प्रोटोकॉल और प्रमाणीकरण विधि पर निर्भर करता है। कैप्चर, प्रमाणपत्र या एन्क्रिप्टेड सुरंग रखना अपने आप में किसी बात का जवाब नहीं देता, और क्लाइंट बिल्ड की उम्र भी नहीं।

क्रैक-समय का अंकगणित क्यों भटकाता है

संभावित स्ट्रिंगों की गिनती उतनी ही अच्छी है जितनी उसकी मान्यताएँ। लोगों द्वारा चुने गए पासवर्ड उस जगह पर एकसमान रूप से वितरित नहीं होते जिसका वर्णन कोई सूत्र करता है, और फिर से इस्तेमाल किए गए क्रेडेंशियल पहले से किसी सूची में हो सकते हैं। जाँच की लागत भी मायने रखती है: लागू नियंत्रणों वाली ऑनलाइन सेवा स्थानीय रूप से परखे गए चुराए हुए सत्यापनकर्ता से पूरी तरह अलग है। जो गणना चुपचाप इन स्थितियों के बीच बदलती है, वह वर्षों-में-क्रैक के दावे को सहारा नहीं दे सकती।

प्रोटोकॉल दोषों को भी उनके अपने स्तंभ में रखें। लंबा पासवर्ड कमज़ोर प्रमाणीकरण संरचना को ठीक नहीं करता, और एक अप्रचलित विधि यह साबित नहीं करती कि पासवर्ड-आधारित हर डिज़ाइन उसकी कमज़ोरियाँ साझा करता है। ये अलग निष्कर्ष हैं, अलग सुधारों के साथ।

सत्यापनकर्ता का सबूत मांगें, लेटेंसी नहीं

गेटवे के आकलन के लिए, प्रमाणीकरण विधि, सत्यापनकर्ता किसके पास है, कौन-से प्रयास-नियंत्रण मौजूद हैं और क्या दूसरा कारक वास्तव में स्वतंत्र है, यह पहचानें। दो पासवर्ड बक्सों वाला संवाद दो कारक स्थापित नहीं करता। संग्रहीत क्रेडेंशियल के लिए, तय करें कि कौन-सी सामग्री मौजूद है, कौन उसे पढ़ सकता है और कार्यान्वयन वास्तव में कौन-सी सुरक्षा लागू करता है। हैश-दर का काल्पनिक आँकड़ा किसी अज्ञात भंडारण प्रणाली के बारे में सबूत नहीं है।

अनुमान से बाहर के जोखिम पर भी विचार करें। चुराई गई प्रोफ़ाइल, भेदी गई अंतिम बिंदु या फ़िशिंग प्रवाह पासवर्ड गिनने वाले हमलावर से अलग समस्या पैदा करते हैं, और पासवर्ड की लंबाई पहले से सक्रिय सत्र को दिए गए अधिकार के बारे में कुछ नहीं करती।

विधि, नियंत्रण और भंडारण सुरक्षा दर्ज करें। ये तीन उस सवाल का जवाब देते हैं जो ping ने कभी नहीं मापा।