Mengapa Exit VPN Bersama Memicu Peringatan Login yang Tidak Anda Sebabkan
Blokir login biasanya adalah skor risiko, bukan putusan atas tunnel Anda. Exit bersama mengubah siapa lagi yang masuk dalam skor itu dan berapa biayanya bagi mereka.
Buka situs yang familiar melalui VPN dan dapatkan tantangan tambahan, dan penjelasan yang menggoda adalah bahwa tunnel terdeteksi. Sesuatu memang terdeteksi, tetapi bukan Anda. Situs menilai serangkaian sinyal, salah satunya alamat sumber, dan alamat itu dipakai bersama dengan orang asing yang mungkin menghasilkan login gagal satu menit sebelumnya. Membaca keputusan itu sebagai putusan atas koneksi Anda salah memahami untuk apa skor itu.
Apa yang bisa dan tidak bisa dipastikan oleh alamat sumber
Alamat IP menggambarkan jalur melalui jaringan pada suatu saat. Alamat itu tidak mengidentifikasi orang, perangkat, atau bahkan satu akun, dan dengan NAT tingkat operator atau kumpulan VPN yang sibuk, alamat itu bisa mewakili ribuan sesi tak terkait sekaligus. Situs yang memperlakukan alamat sebagai identitas sebenarnya memperlakukannya sebagai reputasi, yang merupakan pernyataan statistik, bukan fakta.
Dua orang dapat berbagi satu exit dan menghasilkan bukti yang berlawanan: yang satu berhasil masuk dengan faktor kedua, yang lain mencoba empat puluh kata sandi. Alamatnya identik, jadi aturan apa pun yang hanya berdasarkan alamat tidak dapat membedakan keduanya, dan respons apa pun yang dipicu berlaku untuk keduanya.
Itu bukan argumen untuk mengabaikan alamat. Itu argumen untuk mengingat apa yang diukur sinyal, karena sebagian besar perilaku mengejutkan seputar login VPN berasal dari kontrol yang diterapkan pada granularitas yang salah, bukan dari pengamatan yang salah.
Mengapa memblokir exit menghukum orang asing
Blokir pada tingkat alamat murah diterapkan dan mahal untuk dibidik. Radius dampaknya adalah setiap sesi di balik alamat itu, dan itulah sebabnya perilaku alamat bersama dan NAT memiliki sejarahnya sendiri dalam dokumentasi operasional: penalaran yang sama muncul dalam kerja IETF tentang alamat sumber bersama dan efek samping penyaringan berbasis alamat.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Pertimbangkan dua kegagalan yang diciptakan blokir. Pelanggan sah di balik exit yang sama ditolak layanannya dan membuka tiket dukungan yang biayanya lebih besar daripada penyalahgunaan itu sendiri. Penyerang sebenarnya pindah ke exit berikutnya dalam kumpulan berisi ribuan dan melanjutkan, tanpa mengeluarkan biaya selain menyambung ulang.
Proporsionalitas adalah langkah yang hilang. Login gagal berulang, lonjakan permintaan otomatis, dan pelanggaran izin yang terautentikasi adalah tiga peristiwa berbeda, dan hanya yang kedua yang tampak sebagai masalah berbentuk alamat. Menerapkan larangan jaringan seluruh situs yang sama pada ketiganya adalah bagaimana kontrol keamanan berubah menjadi antrean dukungan.
Letakkan keputusan di tempat buktinya berada
Kontrol pada tingkat akun mengikuti akun di seluruh alamat, yang cocok dengan entitas yang benar-benar Anda pedulikan. Pembatasan laju, masa tunggu setelah kegagalan berulang, dan autentikasi bertingkat untuk tindakan sensitif semuanya bekerja pada akun atau tindakan, bukan pada jalur jaringan. Itu lebih cocok dengan entitas yang benar-benar Anda lindungi. Itu juga menghilangkan insentif penyerang untuk mencari alamat exit baru.
Panduan autentikasi NIST memperlakukan hal-hal itu sebagai masukan untuk penilaian risiko dan mencantumkan alamat, geolokasi, dan waktu permintaan di antara sinyal, yang persis merupakan kerangka yang layak dipinjam: sinyal menginformasikan keputusan, bukan menggantikan autentikator. Bacalah daftar itu sebagai masukan, bukan sebagai menu hal-hal yang harus dilarang. Autentikator tetap melakukan pembuktian, dan sinyal lain hanya menentukan berapa banyak gesekan yang ditempatkan di sekitarnya.
Dua kendala desain mencegah pendekatan tingkat akun menjadi gangguan tersendiri. Batas laju memerlukan jalur peninjauan yang aman agar pengguna dapat melaporkan klasifikasi yang salah tanpa menerbitkan kredensial, dan tantangan bertingkat tidak boleh dapat dijawab dengan kata sandi atau kode sekali pakai yang diberikan kepada kontak dukungan yang belum terverifikasi.
Seperti apa kebijakan yang adil dari luar
Tuliskan keputusan mana yang didukung setiap kontrol, lalu periksa bahwa granularitas kontrol itu cocok. Kontrol alamat menjawab pertanyaan tentang lalu lintas dari jaringan; kontrol akun menjawab pertanyaan tentang akun; peristiwa aplikasi menjawab pertanyaan tentang perilaku setelah autentikasi. Kebijakan yang menyebut ketiganya dapat diaudit, dan yang hanya menyebut lalu lintas VPN tidak.
Lalu ukur hasilnya, bukan jumlah aturan. Upaya tidak sah seharusnya menurun, pengguna sah seharusnya mempertahankan jalur yang didukung, dan jumlah kontak dukungan per seribu login seharusnya tidak naik. Blokir yang memperbaiki angka pertama sambil merusak dua angka lainnya telah memindahkan masalah, bukan menyelesaikannya.
Menerima koneksi VPN dan menegakkan kontrol penyalahgunaan adalah tujuan yang saling cocok. Versi yang berhasil memperlakukan alamat sumber sebagai satu masukan di antara beberapa, menerapkan kontrol tersempit yang sesuai dengan bukti, dan menyisakan jalur jujur bagi orang yang salah diklasifikasikan. Versi yang gagal memperlakukan alamat sebagai tersangka dan menyebutnya kebijakan.