Seberapa cepat seseorang bisa menebak kata sandi VPN Anda?

Latensi menjawab pertanyaan yang tidak pernah diajukan siapa pun. Tiga kondisi menentukan apa arti sebenarnya sebuah perkiraan tebakan: apakah tebakan diperiksa oleh layanan hidup atau terhadap materi yang tertangkap, metode autentikasi mana yang menghasilkan materi itu, dan kontrol apa yang diberlakukan layanan. Ping mengukur satu perjalanan pulang-pergi pada satu jalur dan tidak menjawab satu pun dari ketiganya. Membagi satu detik dengan angka itu menghasilkan angka yang tepat, tidak berkaitan, dan sering diulang seolah-olah merupakan sifat keamanan.

Latensi termasuk dalam pekerjaan konektivitas. Kekuatan autentikasi adalah sifat dari pemverifikasi dan protokol.

Satu perjalanan pulang-pergi bukan batas laju

Waktu pulang-pergi menggambarkan berapa lama satu permintaan dan responsnya pada jalur tertentu. Bahkan pada upaya daring, throughput bergantung pada berapa banyak permintaan yang ditahan klien, berapa lama server menghabiskan waktu per upaya, dan batas laju apa yang diberlakukan. Itu tidak bergantung pada ping. Tautan Ethernet tidak memberlakukan aturan bahwa hanya satu upaya boleh ada per perjalanan, dan ping cepat tidak membuktikan pemverifikasi akan menerima tebakan pada laju itu.

Jika layanan mengunci akun setelah lima kegagalan, laju praktisnya adalah lima upaya per jendela penguncian, terlepas dari jaringan. Itu sebuah kontrol, dan itulah angka yang layak dikutip.

Di mana tebakan sebenarnya diperiksa

Secara daring, pihak yang mengklaim mengirimkan setiap kandidat ke layanan nyata, yang dapat mengamati, menunda, mengunci, dan memperingatkan. Secara luring, penyerang yang memiliki materi verifikasi yang sesuai memeriksa kandidat secara lokal tanpa keterlibatan layanan. Perbedaan itu menentukan hampir semua hal dalam aritmetika. Panduan kata sandi NIST memperlakukan ancaman ini secara terpisah, menyerukan pembatasan laju upaya daring yang gagal dan penyimpanan yang tahan terhadap serangan luring melalui hashing bergaram dengan faktor biaya. Keduanya sifat dari pemverifikasi dan lapisan penyimpanan, tanpa ketergantungan pada seberapa cepat tautan pengguna menjawab.

Apakah tangkapan paket menghasilkan materi yang berguna bergantung pada protokol dan metode autentikasi. Memiliki tangkapan, sertifikat, atau terowongan terenkripsi tidak menjawab apa pun dengan sendirinya, dan usia build klien juga tidak.

Mengapa aritmetika waktu pembongkaran menyesatkan

Hitungan string yang mungkin hanya sebaik asumsinya. Kata sandi yang dipilih manusia tidak terdistribusi merata pada ruang yang dijelaskan sebuah rumus, dan kredensial yang dipakai ulang mungkin sudah ada dalam daftar. Biaya pemeriksaan juga penting: layanan daring dengan kontrol yang diberlakukan sangat berbeda dari pemverifikasi curian yang diuji secara lokal. Perhitungan yang diam-diam berpindah di antara kasus itu tidak dapat mendukung klaim bertahun-tahun hingga terbongkar.

Simpan cacat protokol di kolomnya sendiri. Kata sandi yang lebih panjang tidak memperbaiki konstruksi autentikasi yang lemah, dan satu metode usang tidak membuktikan bahwa setiap rancangan berbasis kata sandi berbagi kelemahannya. Itu temuan terpisah dengan perbaikan terpisah.

Mintalah bukti pemverifikasi, bukan latensi

Untuk penilaian gerbang, identifikasi metode autentikasi, siapa yang memegang pemverifikasi, kontrol upaya apa yang ada, dan apakah faktor kedua benar-benar independen. Dialog dengan dua kotak kata sandi tidak menetapkan dua faktor. Untuk kredensial yang tersimpan, tetapkan materi apa yang ada, siapa yang dapat membacanya, dan perlindungan apa yang benar-benar diterapkan implementasi. Angka laju hashing hipotetis bukan bukti tentang sistem penyimpanan yang tidak teridentifikasi.

Pertimbangkan juga paparan di luar tebakan. Profil yang dicuri, endpoint yang disusupi, atau alur phishing menghadirkan masalah yang berbeda dari penyerang yang menghitung kata sandi, dan panjang kata sandi tidak berpengaruh pada wewenang yang sudah diberikan kepada sesi aktif.

Catat metode, kontrol, dan perlindungan penyimpanan. Ketiganya menjawab pertanyaan yang tidak pernah diukur ping.