Kata sandi VPN publik: mengapa tidak boleh sama dengan kata sandi email Anda

Profil di direktori VPN publik mencantumkan server, nama pengguna, dan kata sandi yang juga dimiliki ribuan orang lain, dan godaannya adalah mengetik sesuatu yang mudah diingat. Naluri itulah masalahnya: nilainya bukan rahasia pribadi, dan apa pun yang Anda gunakan ulang untuknya ikut menjadi publik. Perlakukan login yang diterbitkan sebagai kunci bersama untuk layanan publik, dan setiap akun yang mengidentifikasi Anda sebagai kategori yang sama sekali berbeda. Pemisahan ini mudah dipertahankan sampai hari ketika hal itu penting.

Apa sebenarnya kredensial itu

Login yang diterbitkan di direktori VPN publik adalah pengaturan akses antara operator dan siapa pun yang membaca halaman. Login itu bisa mengidentifikasi akun layanan bersama alih-alih seseorang, dan operator dapat mengamati koneksi di gateway.

Poin terakhir itu layak ditekankan: siapa pun yang mengakhiri terowongan melihat lalu lintas yang masuk dan keluar, dan memegang kata sandi yang membukanya. Menggunakan ulang nilai untuk akun email memberi tahu operator sesuatu tentang akun yang seharusnya tidak pernah bisa mereka tebak. Kata sandi bersama bukan rahasia dalam arti yang berarti, karena banyak orang memegangnya. Kategorinya berbeda: rahasia akses publik, kata sandi akun pribadi, sertifikat klien, dan kunci peer, masing-masing menjawab pertanyaan yang berbeda.

Penggunaan ulang adalah nilai yang diketahui, bukan nilai lemah

Panduan kekuatan kata sandi biasanya berfokus pada panjang dan keunikan, dan keunikan justru yang dihancurkan oleh penggunaan ulang. Kata sandi panjang yang dipakai di dua tempat menjadi nilai yang diketahui di keduanya begitu salah satunya bocor.

Credential stuffing bergantung pada tumpang tindih itu, dan direktori publik membuat separuh pertama pasangan itu gratis bagi siapa saja. Membuat nilai terpisah untuk setiap layanan menghapus daya ungkit itu tanpa menuntut sesuatu yang lebih mudah diingat. Panjang tidak pernah menggantikan nilai yang sudah tercetak di halaman publik.

Jika kata sandi sudah pernah digunakan ulang

Ubah akun yang tidak terkait melalui proses pemulihan terverifikasinya, lalu tinjau sesi aktif dan pengaturan pemulihannya, karena pengaturan ulang yang membiarkan sesi lama tetap hidup belum menyelesaikan tugas. Jangan kirim kata sandi ke dukungan VPN untuk menunjukkan kesalahannya. Di mana autentikasi multifaktor tersedia, aktifkan, karena autentikasi itu bertahan dari kata sandi yang bocor.

Putar kredensial VPN melalui proses apa pun yang didokumentasikan operator, dan perhatikan bahwa ini tindakan terpisah dari mengubah akun Anda sendiri. Simpan kedua perubahan dalam tiket yang sama agar tidak ada yang menganggap yang satu mencakup yang lain.

Jika kunci klien pribadi yang terekspos alih-alih kata sandi, pencabutan adalah obatnya. Mengubah kata sandi email tidak menghapus kunci yang disalin.

Periksa jenis kredensial sebelum memutar

Identifikasi apa yang sebenarnya diharapkan kolom itu sebelum membuat apa pun. Kode ruang portal, kunci peer, dan kata sandi tidak dapat dipertukarkan, dan memutar yang salah membiarkan paparan tetap ada.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Simpan nilai yang dihasilkan di pengelola kata sandi alih-alih catatan, agar entri yang berbeda tetap dapat digunakan. Lalu pastikan nilai baru berfungsi sebelum membuang yang lama, dan simpan kedua peristiwa dalam tiket yang sama.

Akhiri dengan membersihkan kredensial tersimpan di setiap instalasi bersama yang menggunakan login lama. Kredensial yang dihapus dari server tetap merupakan kebocoran jika perangkat terus menyambung ulang dengan salinan yang di-cache.