Perché un’uscita VPN condivisa provoca avvisi di accesso che non hai causato
Un blocco dell’accesso è di solito un punteggio di rischio, non un verdetto sul tuo tunnel. Le uscite condivise cambiano chi altro entra in quel punteggio e quanto costa loro.
Apri un sito familiare tramite una VPN e ricevi una verifica aggiuntiva, e la spiegazione allettante è che il tunnel è stato rilevato. Qualcosa è stato rilevato, ma non eri tu. Il sito ha valutato una serie di segnali, uno dei quali è l’indirizzo di origine, e quell’indirizzo è condiviso con estranei che potrebbero aver generato accessi falliti un minuto prima. Leggere la decisione come un verdetto sulla tua connessione fraintende a cosa serve il punteggio.
Cosa può e cosa non può risolvere un indirizzo di origine
Un indirizzo IP descrive un percorso attraverso la rete in un dato momento. Non identifica una persona, un dispositivo o nemmeno un singolo account, e con NAT di operatore o un pool VPN molto trafficato può rappresentare migliaia di sessioni non correlate contemporaneamente. Un sito che tratta l’indirizzo come un’identità in realtà lo tratta come una reputazione, che è un’affermazione statistica e non un fatto.
Due persone possono condividere un’uscita e produrre prove opposte: una accede con successo con un secondo fattore, l’altra prova quaranta password. L’indirizzo è identico, quindi nessuna regola basata solo sull’indirizzo può distinguerle, e qualunque risposta venga attivata vale per entrambe.
Non è un argomento per ignorare gli indirizzi. È un argomento per ricordare cosa misura il segnale, perché la maggior parte dei comportamenti sorprendenti intorno agli accessi VPN deriva da un controllo applicato alla granularità sbagliata, non da un’osservazione errata.
Perché bloccare l’uscita punisce estranei
Un blocco a livello di indirizzo è economico da implementare e costoso da mirare. Il suo raggio d’azione è ogni sessione dietro quell’indirizzo, ed è per questo che il comportamento degli indirizzi condivisi e del NAT ha una propria storia nella documentazione operativa: lo stesso ragionamento compare nel lavoro IETF sugli indirizzi di origine condivisi e sugli effetti collaterali del filtraggio basato sull’indirizzo.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Considera i due fallimenti che un blocco crea. Un cliente legittimo dietro la stessa uscita si vede negare il servizio e apre un ticket di assistenza che costa più dell’abuso. Un attaccante reale passa all’uscita successiva in un pool di migliaia e continua, senza aver speso altro che una riconnessione.
La proporzionalità è il passaggio mancante. Accessi falliti ripetuti, un’ondata di richieste automatizzate e una violazione di autorizzazione autenticata sono tre eventi diversi, e solo il secondo è plausibilmente un problema a forma di indirizzo. Applicare la stessa interdizione di rete a livello di sito a tutti e tre è il modo in cui un controllo di sicurezza diventa una coda di assistenza.
Metti la decisione dove vivono le prove
I controlli a livello di account seguono l’account attraverso gli indirizzi, il che corrisponde all’entità che ti interessa davvero. La limitazione della velocità, i periodi di attesa dopo fallimenti ripetuti e l’autenticazione a più passaggi per azioni sensibili operano tutti sull’account o sull’azione, non sul percorso di rete. Questo si adatta meglio all’entità che stai realmente proteggendo. Rimuove anche l’incentivo dell’attaccante a cercare un nuovo indirizzo di uscita.
Le linee guida NIST sull’autenticazione trattano questi elementi come input di una valutazione del rischio ed elencano indirizzo, geolocalizzazione e momento della richiesta tra i segnali, che è esattamente il quadro da prendere in prestito: un segnale informa una decisione, non sostituisce un autenticatore. Leggi quell’elenco come input, non come un menu di cose da vietare. L’autenticatore continua a fare la prova, e gli altri segnali decidono solo quanta attrito mettere intorno.
Due vincoli di progettazione impediscono all’approccio a livello di account di diventare un’interruzione a sé stante. I limiti di velocità hanno bisogno di un percorso di revisione sicuro affinché un utente possa segnalare una classificazione errata senza pubblicare credenziali, e le verifiche progressive non devono poter essere risolte con una password o un codice monouso consegnato a un contatto di assistenza non verificato.
Che aspetto ha dall’esterno una politica equa
Annota quale decisione sostiene ogni controllo, poi verifica che la granularità del controllo corrisponda. I controlli sugli indirizzi rispondono a domande sul traffico da una rete; i controlli sugli account rispondono a domande su un account; gli eventi applicativi rispondono a domande sul comportamento dopo l’autenticazione. Una politica che nomina tutti e tre è verificabile, e una che nomina solo il traffico VPN non lo è.
Poi misura il risultato anziché il numero di regole. I tentativi non autorizzati dovrebbero calare, gli utenti legittimi dovrebbero mantenere un percorso supportato, e il numero di contatti di assistenza per mille accessi non dovrebbe aumentare. Un blocco che migliora il primo numero mentre rovina gli altri due ha spostato il problema, non lo ha risolto.
Accettare connessioni VPN e applicare controlli sugli abusi sono obiettivi compatibili. La versione che funziona tratta l’indirizzo di origine come uno input tra diversi, applica il controllo più stretto adatto alle prove e lascia una via onesta alla persona classificata male. La versione che fallisce tratta un indirizzo come sospetto e la chiama politica.