Hvers vegna sameiginleg VPN-útgangur veldur innskráningarviðvörunum sem þú ollið ekki
Innskráningablokkun er venjulega áhættustig, ekki dómur um göngin þín. Sameiginlegir útgangar breyta því hverjir fleiri eru teknir með í því stigi og hvað það kostar þá.
Opnaðu kunnuglega síðu í gegnum VPN og fáðu aukna áskorun, og freistandi skýringin er sú að göngin hafi verið greind. Eitthvað var greint, en það varst ekki þú. Síðan gaf stig fyrir sett af merkjum, eitt þeirra er upprunavistfangið, og það vistfang er deilt með ókunnugum sem gætu hafa búið til misheppnaðar innskráningar mínútu fyrr. Að lesa ákvörðunina sem dóm um tenginguna þína er að misskilja til hvers stigið er.
Hvað upprunavistfang getur og getur ekki ráðið
IP-vistfang lýsir leið í gegnum netið á tiltekinni stund. Það auðkennir ekki einstakling, tæki eða jafnvel eitt reikningsnúmer, og með NAT á stigi símafélags eða annasömum VPN-þyrpingu getur það staðið fyrir þúsundir ótengdra lota samtímis. Síða sem meðhöndlar vistfangið sem auðkenni meðhöndlar það í raun sem orðspor, sem er tölfræðileg fullyrðing en ekki staðreynd.
Tveir einstaklingar geta deilt útgangi og framleitt gagnstæðar sannanir: annar skráir sig inn með öðrum þætti, hinn prófar fjörutíu lykilorð. Vistfangið er það sama, svo engin regla sem byggir eingöngu á vistfanginu getur greint þá, og hvaða viðbrögð sem það vekur gilda um báða.
Þetta er ekki rök gegn því að hunsa vistföng. Þetta eru rök fyrir því að muna hvað merkið mælir, því mest af óvæntri hegðun í kringum VPN-innskráningar kemur frá stýringu sem beitt er á röngu stigi smáatriða, ekki frá rangri athugun.
Hvers vegna að loka útganginum refsar ókunnugum
Blokkun á vistfangastigi er ódýr í innleiðingu og dýr að miða. Áhrifasvið hennar er hver lota bak við það vistfang, og þess vegna á hegðun sameiginlegra vistfanga og NAT sína eigin sögu í rekstrarskjölum: sama röksemd kemur fram í vinnu IETF um sameiginleg upprunavistföng og aukaverkanir vistfangamiðaðrar síunar.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Hugleiddu þau tvö mistök sem blokkun skapar. Lögmætur viðskiptavinur bak við sama útgang er neitað um þjónustu og opnar stuðningsmiða sem kostar meira en misnotkunin. Raunverulegur árásarmaður flytur sig á næsta útgang í þyrpingu þúsunda og heldur áfram, eftir að hafa eytt lithu nema endurtengingu.
Hófstilltur er skrefið sem vantar. Endurteknar misheppnaðar innskráningar, sprengja af sjálfvirkum beiðnum og auðkennd heimildarbrot eru þrír mismunandi atburðir, og aðeins sá annar er líklega vandamál í laginu vistfang. Að beita sömu netbönnun fyrir alla síðuna á alla þrjá er hvernig öryggisstýring verður að stuðningsröð.
Settu ákvörðunina þar sem sannanirnar eru
Stýringar á reikningsstigi fylgja reikningnum yfir vistföng, sem passar við eininguna sem þér þykir raunverulega vænt um. Hraðatakmörkun, biðtímar eftir endurtekin mistök og þrepaskipt auðkenning fyrir viðkvæmar aðgerðir virka allar á reikninginn eða aðgerðina frekar en á netleiðina. Það passar betur við eininguna sem þú ert í raun að vernda. Það fjarlægir líka hvata árásarmannsins til að leita að nýju útgönguvistfangi.
Leiðbeiningar NIST um auðkenningu meðhöndla þetta sem inndata í áhættumat og telja upp vistfang, staðsetningu og tíma beiðnar meðal merkjanna, sem er einmitt ramminn sem vert er að lána: merki upplýsir ákvörðun, það kemur ekki í stað auðkenningartækis. Lestu þann lista sem inndata, ekki sem matseðil yfir hluti sem banna á. Auðkenningartækið sannar enn, og hin merkin ákveða aðeins hversu mikil núningur er settur í kringum það.
Tvær hönnunartakmarkanir koma í veg fyrir að nálgunin á reikningsstigi verði sín eigin truflun. Hraðatakmörkun þarf örugga endurskoðunarleið svo notandi geti tilkynnt ranga flokkun án þess að birta skírteini, og þrepaskiptar áskoranir mega ekki vera svaraðar með lykilorði eða einnota kóða sem gefinn var óstaðfestum stuðningsaðila.
Hvernig sanngjörn stefna lítur út að utan
Skrifaðu niður hvaða ákvörðun hver stýring styður, og athugaðu svo að smáatriðastig stýringarinnar passi. Vistfangastýringar svara spurningum um umferð frá neti; reikningsstýringar svara spurningum um reikning; forritaatburðir svara spurningum um hegðun eftir auðkenningu. Stefna sem nefnir alla þrjá er endurskoðanleg, og sú sem nefnir aðeins VPN-umferð er það ekki.
Mældu svo niðurstöðuna frekar en fjölda reglna. Óheimilar tilraunir ættu að fækka, lögmætir notendur ættu að halda studdri leið, og fjöldi stuðningssamskipta á hver þúsund innskráningar ætti ekki að hækka. Blokkun sem bætir fyrstu töluna en eyðileggur hinar tvær hefur fært vandamálið, ekki leyst það.
Að taka við VPN-tengingum og framfylgja misnotkunarstýringum eru samrýmanleg markmið. Útgáfan sem virkar meðhöndlar upprunavistfangið sem eitt inndata meðal fleiri, beitir þrengstu stýringunni sem passar við sannanirnar og skilur eftir heiðarlega leið fyrir þann sem var rangt flokkaður. Útgáfan sem mistekst meðhöndlar vistfang sem grunaðan og kallar það stefnu.