VPN-lykilorðið þitt er aðeins jafn einka og sannprófandinn sem prófar það

Farðu í gegnum fjórar spurningar um hvers kyns VPN-innskráningu: hvað verndar lykilorðið í flutningi, hvaða hlutur fær það, hvað gerir sá hlutur við það, og hvað er geymt eftir á. Hvert svar er önnur stjórn, og sterkt svar við einu segir ekkert um hinar. Mistökin eru að líta á dulritun tunnilsins eins og hún nái yfir allar fjórar. Hún nær yfir fyrstu, og aðeins fyrstu.

Spurðu hver lýkur lotunni frekar en hvort lotan sé dulrituð.

Dulritað fyrir hvern, nákvæmlega?

TLS verndar lykilorðið milli biðlarans og þess sem lýkur tengingunni. Ef sá endapunktur er VPN-gáttin sér auðkenningarkóði gáttarinnar lykilorðið í hreinum texta, staðfestir það og sendir það eða afleitt gildi áfram. Það er fyrirhuguð hönnun, ekki leki. Netathugandi á leiðinni lærir ekkert gagnlegt, og hluturinn sem framkvæmir sannprófunina lærir allt sem hann þarf.

Samfélag OpenVPN skjalfestir þetta skýrt: auth-user-pass-verify afhendir framlögð auðkenni til sannprófunarskripts eða viðbótar. Það er viljandi afhending milli hluta, og hún tilheyrir traustmódelinu sem nafngreindur aðili.

Sannprófandinn sér lykilorðið

Þegar hlutur hefur fengið lykilorð til að sannprófa það, ráða aðgangsstýringar hans, skráning og gæði kóðans hvort leyndarmálið haldist lokað. Skript sem skrifar auðkennið í skrá, eða viðbót sem skyggir það, skapar miklu meiri vá en samskiptareglurnar gerðu. Aðgangur er háður arkitektúr og hlutverkum, ekki tunnilnum, þess vegna tilheyrir þjónustueigandi sem stýrir sannprófandanum matinu.

Ólíkar aðferðir afhjúpa ólíkt efni. Auðkenning með skírteini sannar einkalykil án þess að senda hann, og sambandsflæði getur haldið lykilorðinu hjá auðkennisveitunni og gefið VPN afmarkaða fullyrðingu. Þessar hannanir þrengja hringinn; engin þeirra fjarlægir hvern traustaðila.

Geymd hök vernda annað stig

Leiðbeiningar NIST aðgreina verndaða sendingu frá þolinni geymslu sannprófandans. Salt og kostnaðarsamt hakkerfi takast á við ógnina frá geymdum sannprófanda, sem er það sem gerist eftir á ef gagnagrunnur lekur. Þau gera ekkert fyrir keyrsluþátt sem verður að fá inntakið til að bera það saman. Að lesa leiðbeiningarnar eins og þær lofi leynd í keyrslu er flokkavillur.

Vel hakkað lykilorðageymsla og opin sannprófunarskript geta því verið til saman í einni vöru án mótsagnar.

Velja aðferð sem þrengir hringinn

Ef krafan er að gáttin fái aldrei endurnýtanlegt lykilorð, veldu aðferð sem tryggir það í raun; að skipta um gagnadulkóða skapar ekki þá eiginleika. Að sannprófa skírteini VPN-þjónsins segir þér hvaða jafningja þú náðir; það segir ekkert um hvernig sá jafningi meðhöndlar auðkenni eftir á. Haltu sannprófun þjónsins, notaðu aðskilin auðkenni fyrir hverja þjónustu og fylgdu studdu auðkennisflæði stofnunarinnar.

Skráðu aðilann sem fær lykilorðið, aðilann sem staðfestir það og formið sem það er varðveitt í. Þessi þrjú svör eiga heima við hlið tengingarsniðsins, því þau lifa lengur en hver tiltekin tunnil.

Gagnlega spurningin er ekki hvort lykilorðið sé dulritað, heldur fyrir hverjum það er falið, hvaða hlutur fær það og hvaða form lifir eftir á.