Opinbert VPN-lykilorð: hvers vegna það má ekki vera lykilorðið þitt fyrir tölvupóst

Prófílar í opinberum VPN-skrám telja upp þjón, notandanafn og lykilorð sem þúsundir annarra hafa líka, og freistingin er að slá inn eitthvað eftirminnilegt. Einmitt sú eðlishvöt er vandamálið: gildið er ekki persónuleg leyndarmál, og allt sem þú notar það aftur fyrir verður líka opinbert. Meðhöndlaðu birtu innskráninguna sem sameiginlegan lykil að opinberri þjónustu, og hvern reikning sem auðkennir þig sem algerlega annan flokk. Aðskilnaðurinn er auðveldur í viðhaldi þar til dagurinn kemur sem hann skiptir máli.

Hvað eru auðkennin í raun

Innskráning sem birt er í opinberri VPN-skrá er aðgangssamkomulag milli rekstraraðilans og hvers sem les síðuna. Hún getur auðkennt sameiginlegan þjónustureikning frekar en einstakling, og rekstraraðilinn getur fylgst með tengingunni við gáttina.

Síðasti punkturinn á skilið áherslu: sá sem lýkur göngum sér umferðina sem fer inn og út, og heldur lykilorðinu sem opnaði þau. Endurnotkun gildis fyrir póstreikning segir rekstraraðilanum eitthvað um reikning sem hann hefði aldrei átt að geta giskað á. Sameiginlegt lykilorð er ekki leyndarmál í neinum merkingarbærum skilningi, því margir halda því. Flokkarnir eru aðskildir: opinbert aðgangsleyndarmál, lykilorð einkareiknings, biðlara-skírteini og jafningjalykill, hver svarar annarri spurningu.

Endurnotkun er þekkt gildi, ekki veikt

Leiðbeiningar um styrk lykilorða einblína venjulega á lengd og einstakleika, og einstakleika er einmitt það sem endurnotkun eyðileggur. Langt lykilorð sem notað er á tveimur stöðum er þekkt gildi á báðum þegar annað hvort lekur.

Credential stuffing byggir á þessari skörun, og opinberar skrár gera fyrri helming parsins ókeypis fyrir hvern sem er. Að búa til sérstakt gildi fyrir hverja þjónustu fjarlægir þennan vogarað án þess að krefjast einhvers eftirminnilegra. Lengd bætir aldrei upp fyrir gildi sem þegar er prentað á opinberri síðu.

Ef lykilorðið hefur þegar verið endurnotað

Breyttu ótengda reikningnum í gegnum staðfesta endurheimtarferli hans, farðu síðan yfir virkar lotur og endurheimtarstillingar hans, því endurstilling sem lætur gamla lotu lifa hefur ekki lokið verkinu. Ekki senda lykilorðið til VPN-stoðþjónustu til að sýna mistökin. Þar sem fjölþátta auðkenning er í boði skaltu virkja hana, því hún lifir af lekið lykilorð.

Snúðu VPN-auðkennunum í gegnum hvaða ferli sem rekstraraðilinn skjalfestir, og athugaðu að þetta er aðgerð aðskilin frá því að breyta þínum eigin reikningi. Haltu báðum breytingunum í sama miða svo enginn geri ráð fyrir að önnur hafi náð yfir hina.

Ef einkabiðlarlykill var afhjúpaður frekar en lykilorð, er afturköllun lækningin. Að breyta tölvupóstslykilorði fjarlægir ekki afritaðan lykil.

Athugaðu tegund auðkennis áður en þú snýr

Greindu hvað reiturinn á í raun að búast við áður en þú býrð til eitthvað. Herbergiskóði gáttar, jafningjalykill og lykilorð eru ekki skiptanleg, og að snúa því ranga lætur afhjúpunina standa.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Geymdu mynduð gildi í lykilorðastjóra frekar en minnismiða, svo aðskildar færslur haldist nothæfar. Staðfestu síðan að nýja gildið virki áður en þú hendir því gamla, og haltu báðum atburðunum í sama miða.

Ljúktu með því að hreinsa vistuð auðkenni á hverri sameiginlegri uppsetningu sem notaði gömlu innskráninguna. Auðkenni sem fjarlægt er af þjóninum er enn leki ef tæki heldur áfram að tengjast aftur með skyndiminnisafriti.