Koliko brzo neko može pogoditi vašu lozinku za VPN?

Latencija odgovara na pitanje koje niko nije postavio. Tri uslova odlučuju šta procjena pogađanja zapravo znači: da li se pogodak provjerava preko žive usluge ili prema snimljenom materijalu, koja metoda autentifikacije je proizvela taj materijal i koje kontrole usluga primjenjuje. Ping mjeri jedno putovanje tamo i nazad na jednom putu i ne odgovara ni na jedno od njih. Dijeljenje sekunde tim brojem daje vrijednost koja je precizna, nepovezana i često ponavljana kao da je svojstvo sigurnosti.

Latencija pripada poslu sa povezivošću. Snaga autentifikacije je svojstvo provjeravaoca i protokola.

Jedno putovanje nije ograničenje brzine

Vrijeme putovanja tamo i nazad opisuje koliko dugo traju jedan zahtjev i njegov odgovor na određenom putu. Čak i za online pokušaje, propusnost zavisi od toga koliko zahtjeva klijent drži otvorenim, koliko server troši po pokušaju i koja su ograničenja brzine na snazi. To je nezavisno od pinga. Ethernet veza ne nameće pravilo da na jedno putovanje može postojati samo jedan pokušaj, a brz ping ne dokazuje da će provjeravalac prihvatiti pogotke tom brzinom.

Ako usluga zaključa račun nakon pet neuspjeha, praktična brzina je pet pokušaja po prozoru zaključavanja, bez obzira na mrežu. To je kontrola, i to je broj koji vrijedi navesti.

Gdje se pogodak zapravo provjerava

Online, podnosilac šalje svakog kandidata stvarnoj uslugi, koja može posmatrati, odložiti, zaključati i upozoriti. Offline, napadač koji ima odgovarajući materijal za provjeru provjerava kandidate lokalno, bez učešća usluge. Ta razlika odlučuje gotovo sve u aritmetici. NIST-ove smjernice za lozinke tretiraju ove prijetnje odvojeno, tražeći ograničavanje brzine neuspjelih online pokušaja i skladištenje koje odolijeva offline napadu kroz posoljeno heširanje sa faktorom troška. Oboje su svojstva provjeravaoca i sloja skladištenja, bez zavisnosti od toga koliko brzo veza korisnika odgovara.

Da li snimanje paketa daje koristan materijal zavisi od protokola i metode autentifikacije. Posjedovanje snimka, certifikata ili šifrovanog tunela samo po sebi ne odgovara ni na šta, kao ni starost klijentske gradnje.

Zašto aritmetika vremena razbijanja obmanjuje

Broj mogućih nizova dobar je koliko i njegove pretpostavke. Lozinke koje biraju ljudi nisu ravnomjerno raspoređene po prostoru koji formula opisuje, a ponovo korišteni akreditivi možda su već na listi. Trošak provjere je takođe važan: online usluga sa primijenjenim kontrolama potpuno se razlikuje od ukradenog provjeravaoca testiranog lokalno. Izračun koji tiho prelazi između tih slučajeva ne može podržati tvrdnju o godinama do razbijanja.

Držite defekte protokola u zasebnoj koloni. Duža lozinka ne popravlja slabu konstrukciju autentifikacije, a jedna zastarjela metoda ne dokazuje da svaki dizajn zasnovan na lozinki dijeli njene slabosti. To su odvojeni nalazi sa odvojenim ispravkama.

Tražite dokaz provjeravaoca, ne latenciju

Za procjenu pristupnika utvrdite metodu autentifikacije, ko drži provjeravalac, koje kontrole pokušaja postoje i da li je drugi faktor zaista nezavisan. Dijalog sa dva polja za lozinku ne uspostavlja dva faktora. Za sačuvane akreditive utvrdite koji materijal postoji, ko ga može čitati i koju zaštitu implementacija zapravo primjenjuje. Hipotetički broj brzine heširanja nije dokaz o neidentifikovanom sistemu skladištenja.

Razmotrite i izloženost van pogađanja. Ukradeni profil, kompromitovana krajnja tačka ili tok pecanja predstavljaju drugačiji problem od napadača koji nabraja lozinke, a dužina lozinke ništa ne čini protiv ovlaštenja koja su već data aktivnoj sesiji.

Zabilježite metodu, kontrolu i zaštitu skladištenja. To troje odgovara na pitanje koje ping nikada nije mjerio.