सार्वजनिक VPN पासवर्ड: यह आपके ईमेल का पासवर्ड क्यों नहीं होना चाहिए

सार्वजनिक VPN निर्देशिकाओं में प्रोफ़ाइल एक सर्वर, एक उपयोगकर्ता नाम और एक पासवर्ड सूचीबद्ध करती हैं जो हज़ारों अन्य लोगों के पास भी है, और लालच याद रखने योग्य कुछ टाइप करने का होता है। यही प्रवृत्ति समस्या है: यह मान व्यक्तिगत रहस्य नहीं है, और जिस भी काम के लिए आप इसे दोबारा उपयोग करते हैं वह भी सार्वजनिक हो जाता है। प्रकाशित लॉगिन को किसी सार्वजनिक सेवा की साझा चाबी मानें, और आपकी पहचान बनाने वाले हर खाते को पूरी तरह अलग श्रेणी मानें। यह अलगाव बनाए रखना आसान है, उस दिन तक जब यह मायने रखता है।

क्रेडेंशियल वास्तव में क्या है

किसी सार्वजनिक VPN निर्देशिका में प्रकाशित लॉगिन ऑपरेटर और पृष्ठ पढ़ने वाले किसी भी व्यक्ति के बीच पहुँच की व्यवस्था है। यह व्यक्ति के बजाय किसी साझा सेवा खाते की पहचान कर सकता है, और ऑपरेटर गेटवे पर कनेक्शन देख सकता है।

अंतिम बिंदु विशेष ज़ोर का हकदार है: जो भी सुरंग समाप्त करता है वह उसमें आने-जाने वाले ट्रैफ़िक को देखता है, और उसे खोलने वाला पासवर्ड रखता है। किसी मेल खाते के लिए मान का दोबारा उपयोग ऑपरेटर को ऐसे खाते के बारे में कुछ बता देता है जिसका अनुमान उसे कभी नहीं लगाना चाहिए था। साझा पासवर्ड किसी भी अर्थपूर्ण अर्थ में रहस्य नहीं है, क्योंकि बहुत से लोग इसे रखते हैं। श्रेणियाँ अलग हैं: सार्वजनिक पहुँच रहस्य, निजी खाते का पासवर्ड, क्लाइंट प्रमाणपत्र और पीयर कुंजी, हर एक अलग प्रश्न का उत्तर देती है।

दोबारा उपयोग ज्ञात मान है, कमज़ोर नहीं

पासवर्ड मज़बूती के दिशानिर्देश आमतौर पर लंबाई और विशिष्टता पर ध्यान देते हैं, और विशिष्टता वही है जिसे दोबारा उपयोग नष्ट कर देता है। दो जगहों पर उपयोग किया गया लंबा पासवर्ड, दोनों में से किसी एक के लीक होते ही दोनों जगह ज्ञात मान बन जाता है।

क्रेडेंशियल स्टफिंग उसी अतिव्यापन पर निर्भर है, और सार्वजनिक निर्देशिकाएँ जोड़ी का पहला आधा हिस्सा किसी के लिए भी मुफ़्त बना देती हैं। प्रत्येक सेवा के लिए अलग मान उत्पन्न करना अधिक याद रखने योग्य कुछ माँगे बिना ही वह लाभ हटा देता है। लंबाई कभी भी ऐसे मान की भरपाई नहीं करती जो पहले से किसी सार्वजनिक पृष्ठ पर छपा हो।

अगर पासवर्ड पहले ही दोबारा उपयोग हो चुका है

असंबंधित खाते को उसकी सत्यापित पुनर्प्राप्ति प्रक्रिया से बदलें, फिर उसके सक्रिय सत्रों और पुनर्प्राप्ति सेटिंग्स की समीक्षा करें, क्योंकि पुराने सत्र को जीवित छोड़ने वाला रीसेट काम पूरा नहीं करता। गलती दिखाने के लिए पासवर्ड VPN सहायता को न भेजें। जहाँ बहु-कारक प्रमाणीकरण उपलब्ध हो, उसे सक्षम करें, क्योंकि वह लीक हुए पासवर्ड के बाद भी टिकता है।

ऑपरेटर जो भी प्रक्रिया दस्तावेज़ करे उसके माध्यम से VPN क्रेडेंशियल घुमाएँ, और ध्यान दें कि यह अपने स्वयं के खाते को बदलने से अलग क्रिया है। दोनों बदलावों को एक ही टिकट में रखें ताकि कोई यह न माने कि एक ने दूसरे को कवर किया।

अगर पासवर्ड के बजाय निजी क्लाइंट कुंजी उजागर हुई है, तो रद्दीकरण ही उपाय है। ईमेल पासवर्ड बदलने से कॉपी की गई कुंजी नहीं हटती।

घुमाने से पहले क्रेडेंशियल का प्रकार जाँचें

कुछ भी उत्पन्न करने से पहले पहचानें कि फ़ील्ड वास्तव में क्या अपेक्षा रखता है। पोर्टल रूम कोड, पीयर कुंजी और पासवर्ड परस्पर विनिमेय नहीं हैं, और गलत को घुमाने से उजागर होना अपनी जगह रह जाता है।

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

उत्पन्न मानों को नोट के बजाय पासवर्ड प्रबंधक में संग्रहीत करें, ताकि अलग प्रविष्टियाँ उपयोगी रहें। फिर पुराना फेंकने से पहले पुष्टि करें कि नया मान काम करता है, और दोनों घटनाओं को एक ही टिकट में रखें।

पुराने लॉगिन का उपयोग करने वाली किसी भी साझा स्थापना पर सहेजे गए क्रेडेंशियल साफ़ करके समाप्त करें। सर्वर से हटाया गया क्रेडेंशियल भी लीक है, अगर कोई उपकरण कैश की गई प्रति के साथ फिर से जुड़ता रहता है।