Password VPN pubblica: perché non deve essere quella della tua email

I profili nelle directory VPN pubbliche elencano un server, un nome utente e una password che hanno anche migliaia di altre persone, e la tentazione è digitare qualcosa di memorabile. È proprio quell'istinto il problema: il valore non è un segreto personale, e qualsiasi cosa per cui lo riutilizzi diventa pubblica anch'essa. Tratta l'accesso pubblicato come una chiave condivisa di un servizio pubblico, e ogni account che ti identifica come una categoria del tutto diversa. La separazione è facile da mantenere fino al giorno in cui conta.

Che cosa sono davvero le credenziali

Un accesso pubblicato in una directory VPN pubblica è un accordo di accesso tra l'operatore e chiunque legga la pagina. Può identificare un account di servizio condiviso invece di una persona, e l'operatore può osservare la connessione al gateway.

Quest'ultimo punto merita enfasi: chi termina un tunnel vede il traffico che vi entra ed esce, e detiene la password che lo ha aperto. Riutilizzare un valore per un account di posta dice all'operatore qualcosa su un account che non avrebbe mai dovuto poter indovinare. Una password condivisa non è un segreto in alcun senso significativo, perché molte persone la possiedono. Le categorie sono distinte: un segreto di accesso pubblico, una password di account privato, un certificato client e una chiave peer, ognuno risponde a una domanda diversa.

Il riutilizzo è un valore noto, non uno debole

Le linee guida sulla robustezza delle password di solito si concentrano su lunghezza e unicità, e l'unicità è esattamente ciò che il riutilizzo distrugge. Una password lunga usata in due posti è un valore noto in entrambi non appena uno dei due trapela.

Il credential stuffing dipende da questa sovrapposizione, e le directory pubbliche rendono la prima metà della coppia gratuita per chiunque. Generare un valore separato per ogni servizio rimuove questa leva senza richiedere nulla di più memorabile. La lunghezza non compensa mai un valore già stampato su una pagina pubblica.

Se la password è già stata riutilizzata

Cambia l'account non correlato tramite il suo processo di recupero verificato, poi esamina le sue sessioni attive e le impostazioni di recupero, perché un ripristino che lascia viva una vecchia sessione non ha finito il lavoro. Non inviare la password al supporto VPN per dimostrare l'errore. Dove è disponibile l'autenticazione a più fattori, attivala, perché sopravvive a una password trapelata.

Ruota la credenziale VPN tramite qualunque procedura l'operatore documenti, e nota che si tratta di un'azione separata dal cambio del tuo account. Tieni le due modifiche nello stesso ticket, così nessuno presume che una abbia coperto l'altra.

Se è stata esposta una chiave client privata invece di una password, la revoca è il rimedio. Cambiare una password di posta non rimuove una chiave copiata.

Controlla il tipo di credenziale prima di ruotare

Identifica cosa si aspetta davvero il campo prima di generare qualsiasi cosa. Un codice di sala del portale, una chiave peer e una password non sono intercambiabili, e ruotare quella sbagliata lascia l'esposizione al suo posto.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Conserva i valori generati in un gestore di password invece che in una nota, così le voci distinte restano utilizzabili. Poi conferma che il nuovo valore funziona prima di scartare il vecchio, e tieni entrambi gli eventi nello stesso ticket.

Termina pulendo le credenziali salvate su qualsiasi installazione condivisa che usava il vecchio accesso. Una credenziale rimossa dal server è ancora una fuga se un dispositivo continua a riconnettersi con una copia in cache.