公開VPNのパスワード：メールのパスワードと兼用してはいけない理由

公開VPNディレクトリのプロフィールには、何千人もの他の人も持っているサーバー、ユーザー名、パスワードが並んでおり、覚えやすいものを入力したくなります。その衝動こそが問題です：値は個人の秘密ではなく、それを流用した先もすべて公開されます。公開されたログインは公開サービスの共有キーとして扱い、あなたを識別するアカウントはまったく別のカテゴリとして扱ってください。この分離は、それが重要になる日まで維持するのは簡単です。

資格情報とは実際に何か

公開VPNディレクトリに公開されたログインは、運営者とページを読むすべての人の間のアクセス取り決めです。個人ではなく共有のサービスアカウントを識別する場合があり、運営者はゲートウェイで接続を観察できます。

最後の点は強調に値します：トンネルを終端する側は、そこに出入りするトラフィックを見ており、それを開いたパスワードを保持しています。メールアカウントに値を流用すると、運営者に推測できるはずのなかったアカウントのことを伝えてしまいます。共有パスワードは、多くの人が保持しているため、意味のある秘密ではありません。カテゴリは別です：公開アクセスの秘密、個人アカウントのパスワード、クライアント証明書、ピアキーは、それぞれ異なる問いに答えます。

流用は既知の値であり、弱い値ではない

パスワード強度の指針は通常、長さと一意性に焦点を当てますが、一意性こそが流用によって壊れるものです。二か所で使われる長いパスワードは、どちらかが漏れた時点で両方で既知の値になります。

クレデンシャルスタッフィングはこの重なりに依存しており、公開ディレクトリはペアの前半を誰にでも無料で提供します。サービスごとに別の値を生成すれば、より覚えやすいものを要求せずにその利点をなくせます。長さは、公開ページにすでに印刷されている値を決して補いません。

パスワードがすでに流用されている場合

無関係なアカウントは、古いセッションを生かしたままのリセットでは作業が終わらないため、その検証済みの復旧手続きを通じて変更し、その後、有効なセッションと復旧設定を確認してください。間違いを示すためにパスワードをVPNサポートへ送らないでください。多要素認証が利用できる場合は、漏えいしたパスワードを生き延びるので有効にしてください。

VPNの資格情報は、運営者が文書化している手順でローテーションし、これが自分のアカウントの変更とは別の操作であることに注意してください。二つの変更を同じチケットに残し、片方が他方を覆ったと誰も思い込まないようにしてください。

パスワードではなく秘密のクライアントキーが露出した場合は、失効が対処法です。メールのパスワードを変えても、コピーされたキーは消えません。

ローテーションの前に資格情報の種類を確認する

何かを生成する前に、そのフィールドが実際に何を期待しているかを特定してください。ポータルのルームコード、ピアキー、パスワードは互換ではなく、間違ったものをローテーションしても露出はそのまま残ります。

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

生成した値はメモではなくパスワードマネージャーに保存し、別々の項目を使い続けられるようにしてください。その後、古い値を捨てる前に新しい値が機能することを確認し、両方の出来事を同じチケットに残してください。

最後に、古いログインを使っていた共有インストールの保存済み資格情報を消去してください。サーバーから削除した資格情報でも、端末がキャッシュされたコピーで再接続し続けるなら漏えいのままです。