Milyen gyorsan találhatja ki valaki az Ön VPN-jelszavát?

A késleltetés olyan kérdésre válaszol, amelyet senki nem tett fel. Három feltétel dönti el, mit jelent valójában egy találgatási becslés: hogy a találgatást élő szolgáltatás ellenőrzi-e vagy elfogott anyag ellen, melyik hitelesítési módszer hozta létre azt az anyagot, és milyen ellenőrzéseket kényszerít ki a szolgáltatás. Egy ping egyetlen oda-vissza utat mér egy útvonalon, és egyikre sem válaszol. Egy másodpercet elosztva ezzel a számmal olyan értéket kapunk, amely pontos, összefüggéstelen, és gyakran úgy ismétlik, mintha biztonsági tulajdonság volna.

A késleltetés a kapcsolódási munkához tartozik. A hitelesítés erőssége az ellenőrző és a protokoll tulajdonsága.

Egy oda-vissza út nem sebességkorlát

Az oda-vissza idő leírja, mennyi ideig tart egy kérés és annak válasza egy adott útvonalon. Még online próbáknál is az átbocsátás attól függ, hány kérést tart nyitva a kliens, mennyi időt tölt a szerver egy próbával, és milyen sebességkorlátokat alkalmaznak. Ezek függetlenek a pingtől. Az Ethernet-kapcsolat nem írja elő, hogy oda-vissza útonként csak egy próba létezhet, és egy gyors ping nem bizonyítja, hogy az ellenőrző ilyen sebességgel elfogadja a találgatásokat.

Ha a szolgáltatás öt hibát követően zárolja a fiókot, a gyakorlati sebesség zárolási ablakonként öt próba, a hálózattól függetlenül. Ez egy ellenőrzés, és ez az a szám, amelyet érdemes idézni.

Hol ellenőrzik valójában a találgatást

Online az igénylő minden jelöltet a valódi szolgáltatáshoz küld, amely megfigyelhet, késleltethet, zárolhat és riaszthat. Offline a megfelelő ellenőrzési anyaggal rendelkező támadó helyben ellenőrzi a jelölteket, a szolgáltatás részvétele nélkül. Ez a megkülönböztetés dönti el az aritmetika szinte minden részét. A NIST jelszó-irányelvei külön kezelik ezeket a fenyegetéseket: korlátozzák a sikertelen online próbák sebességét, és olyan tárolást írnak elő, amely a sózott hashelés és a költségtényező révén ellenáll az offline támadásnak. Mindkettő az ellenőrző és a tárolási réteg tulajdonsága, anélkül hogy függne attól, milyen gyorsan válaszol a felhasználó kapcsolata.

Az, hogy egy csomagrögzítés hasznos anyagot ad-e, a protokolltól és a hitelesítési módszertől függ. Egy rögzítés, egy tanúsítvány vagy egy titkosított alagút birtoklása önmagában semmire sem válaszol, és a kliens buildjének kora sem.

Miért félrevezető a törési idő aritmetikája

A lehetséges karakterláncok száma csak annyit ér, amennyit a feltevései. Az emberek által választott jelszavak nem egyenletesen oszlanak el abban a térben, amelyet egy képlet leír, és az újrahasznált hitelesítő adatok már szerepelhetnek egy listán. Az ellenőrzés költsége is számít: egy kikényszerített ellenőrzésekkel működő online szolgáltatás teljesen más, mint egy helyben tesztelt ellopott ellenőrző. Az a számítás, amely csendesen átlép ezek között az esetek között, nem támogathat egy évekre szóló törési állítást.

Tartsd a protokollhibákat a saját oszlopukban. A hosszabb jelszó nem javítja meg a gyenge hitelesítési konstrukciót, és egy elavult módszer nem bizonyítja, hogy minden jelszóalapú terv megosztja annak gyengeségeit. Ezek külön megállapítások, külön javításokkal.

Az ellenőrző bizonyítékát kérje, ne a késleltetést

Egy átjáró értékeléséhez azonosítsd a hitelesítési módszert, hogy ki tartja az ellenőrzőt, milyen próbaellenőrzések léteznek, és hogy a második tényező valóban független-e. Egy két jelszómezős párbeszéd nem hoz létre két tényezőt. A tárolt hitelesítő adatoknál állapítsd meg, milyen anyag létezik, ki olvashatja, és milyen védelmet alkalmaz valójában a megvalósítás. Egy feltételezett hash-sebesség nem bizonyíték egy azonosítatlan tárolórendszerről.

Vedd figyelembe a találgatáson kívüli kitettséget is. Egy ellopott profil, egy feltört végpont vagy egy adathalász folyamat más probléma, mint a jelszavakat felsoroló támadó, és a jelszó hossza semmit nem tesz az aktív munkamenetnek már megadott jogosultság ellen.

Jegyezd fel a módszert, az ellenőrzést és a tárolás védelmét. Ez a három válaszol arra a kérdésre, amelyet a ping soha nem mért.