Quanto in fretta qualcuno potrebbe indovinare la vostra password VPN?

La latenza risponde a una domanda che nessuno ha posto. Tre condizioni decidono che cosa significa davvero una stima di indovinello: se l’indovinello viene verificato da un servizio attivo o contro materiale catturato, quale metodo di autenticazione ha prodotto quel materiale e quali controlli il servizio impone. Un ping misura un solo andata e ritorno su un percorso e non risponde a nessuna di esse. Dividere un secondo per quel numero produce una cifra precisa, non correlata e spesso ripetuta come se fosse una proprietà di sicurezza.

La latenza appartiene al lavoro di connettività. La forza dell’autenticazione è una proprietà del verificatore e del protocollo.

Un andata e ritorno non è un limite di velocità

Un tempo di andata e ritorno descrive quanto impiegano una richiesta e la sua risposta su un percorso dato. Anche nei tentativi in linea, la velocità effettiva dipende da quante richieste un client tiene aperte, da quanto tempo il server spende per ogni tentativo e da quali limiti di velocità sono applicati. Questi elementi sono indipendenti dal ping. Un collegamento Ethernet non impone la regola che esista un solo tentativo per andata e ritorno, e un ping veloce non dimostra che un verificatore accetterà indovinelli a quel ritmo.

Se il servizio blocca un account dopo cinque errori, il ritmo pratico è di cinque tentativi per finestra di blocco, indipendentemente dalla rete. Questo è un controllo, ed è la cifra che vale la pena citare.

Dove l’indovinello viene davvero verificato

In linea, il richiedente invia ogni candidato al servizio reale, che può osservare, ritardare, bloccare e avvisare. Fuori linea, un attaccante che possiede materiale di verifica adeguato controlla i candidati localmente, senza alcun coinvolgimento del servizio. Questa distinzione decide quasi tutto nell’aritmetica. Le linee guida di NIST sulle password trattano queste minacce separatamente, chiedendo di limitare il ritmo dei tentativi in linea falliti e un archivio che resista a un attacco fuori linea grazie all’hashing con sale e a un fattore di costo. Entrambe sono proprietà del verificatore e del livello di archiviazione, senza dipendenza dalla rapidità con cui risponde il collegamento dell’utente.

Che una cattura di pacchetti fornisca materiale utile dipende dal protocollo e dal metodo di autenticazione. Possedere una cattura, un certificato o un tunnel cifrato non risponde nulla da solo, e nemmeno l’età della build del client.

Perché l’aritmetica del tempo di crack inganna

Un conteggio di stringhe possibili vale solo quanto le sue ipotesi. Le password scelte da persone non sono distribuite uniformemente nello spazio che una formula descrive, e le credenziali riutilizzate possono già essere in un elenco. Anche il costo di verifica conta: un servizio in linea con controlli imposti è del tutto diverso da un verificatore rubato provato localmente. Un calcolo che si sposta in silenzio tra questi casi non può sostenere un’affermazione di anni prima del crack.

Tieni i difetti di protocollo nella loro colonna. Una password più lunga non ripara una costruzione di autenticazione debole, e un metodo obsoleto non dimostra che ogni progettazione basata su password ne condivida le debolezze. Sono constatazioni separate con correzioni separate.

Chiedete prove al verificatore, non latenza

Per una valutazione del gateway, identificate il metodo di autenticazione, chi detiene il verificatore, quali controlli dei tentativi esistono e se un secondo fattore è davvero indipendente. Una finestra con due campi password non stabilisce due fattori. Per le credenziali archiviate, stabilite quale materiale esiste, chi può leggerlo e quale protezione l’implementazione applica davvero. Una cifra ipotetica di velocità di hash non è una prova su un sistema di archiviazione non identificato.

Considerate anche l’esposizione fuori dall’indovinello. Un profilo rubato, un endpoint compromesso o un flusso di phishing presentano un problema diverso da quello di un attaccante che enumera password, e la lunghezza della password non fa nulla contro l’autorità già concessa a una sessione attiva.

Annotate il metodo, il controllo e la protezione dell’archivio. Quei tre rispondono alla domanda che il ping non ha mai misurato.