誰かがあなたのVPNパスワードを推測できる速さはどれくらいか？

レイテンシーは誰も尋ねなかった問いに答えます。推測の見積もりが実際に何を意味するかは、その推測が稼働中のサービスで検証されるのか、それとも傍受した資料と照合されるのか、その資料を生成したのはどの認証方式か、そしてサービスがどの統制を強制しているのか、という三つの条件で決まります。pingは一つの経路上の一往復を測るだけで、そのどれにも答えません。一秒をその数値で割れば、正確でありながら無関係な数値が出て、まるでセキュリティ特性であるかのように繰り返されます。

レイテンシーは接続性の作業に属します。認証の強さは、検証者とプロトコルの特性です。

一往復はレート制限ではない

往復時間は、ある経路上で一回の要求とその応答にどれだけかかるかを示します。オンラインの試行でも、スループットはクライアントが同時に開いておく要求数、サーバーが試行一回に費やす時間、どのレート制限が適用されるかで決まります。これらはpingとは無関係です。イーサネットのリンクが一往復につき試行は一つだけという規則を課すことはなく、速いpingは検証者がその速さで推測を受け入れる証拠になりません。

五回失敗したらアカウントをロックするサービスなら、実効レートはネットワークに関係なくロックアウト窓あたり五回の試行です。それは統制であり、引用する価値のある数値です。

推測が実際に検証される場所

オンラインでは、主張者が各候補を実在のサービスに送り、サービスは観察・遅延・ロック・警告ができます。オフラインでは、適切な検証資料を持つ攻撃者がサービスの関与なしに候補をローカルで検証します。この区別が算術のほとんどすべてを決めます。NISTのパスワード指針はこれらの脅威を別個に扱い、失敗したオンライン試行のレート制限と、ソルト付きハッシュとコスト係数によってオフライン攻撃に耐える保存を求めています。どちらも検証者と保存層の特性であり、利用者の回線がどれだけ速く応答するかには依存しません。

パケットキャプチャが有用な資料になるかは、プロトコルと認証方式によります。キャプチャ、証明書、暗号化トンネルを持っていること自体は何も答えず、クライアントビルドの古さも同じです。

クラック時間の算術が誤解を招く理由

可能な文字列の数は、その前提の確かさ以上にはなりません。人が選ぶパスワードは数式が描く空間に一様には分布せず、使い回された資格情報はすでに一覧にあるかもしれません。検証コストも重要で、統制が強制されたオンラインサービスは、ローカルで試される盗まれた検証者とはまったく違います。そうした場合の間を黙って行き来する計算は、クラックまで何年という主張を支えられません。

プロトコルの欠陥も独自の列に置いてください。長いパスワードは弱い認証構造を修復しませんし、一つの時代遅れの方式が、パスワードに基づくあらゆる設計が同じ弱点を共有する証拠にもなりません。それらは別個の発見であり、別個の修正を伴います。

レイテンシーではなく検証者の証拠を求めよう

ゲートウェイの評価では、認証方式、検証者を誰が保持するか、どの試行統制があるか、第二要素が本当に独立しているかを特定します。パスワード欄が二つあるダイアログは、二要素を確立しません。保存された資格情報については、どんな資料があり、誰が読めて、実装が実際にどの保護を適用しているかを確定します。仮定のハッシュレートは、正体不明の保存システムについての証拠にはなりません。

推測の外側の露出も検討してください。盗まれたプロファイル、侵害された端点、フィッシングの流れは、パスワードを列挙する攻撃者とは別の問題を突きつけ、パスワードの長さは、すでに有効なセッションに与えられた権限には何の効果もありません。

方式、統制、保存の保護を記録してください。その三つが、pingが一度も測っていなかった問いに答えます。