რამდენად სწრაფად შეიძლება ვინმემ თქვენი VPN პაროლი გამოიცნოს?

ლატენტობა პასუხობს კითხვას, რომელიც არავინ დასვა. გამოცნობის შეფასებაში სამი საკითხი მთავარია: გამოცნობის ადგილი, აუთენტიფიკაციის მეთოდი და სერვისის წესები. ping ზომავს ერთ გასვლა-დაბრუნებას ერთ მარშრუტზე და არც ერთ მათგანს არ პასუხობს. სეკუნდის ამ რიცხვზე გაყოფა იძლევა ციფრს, რომელიც ზუსტია, უკავშირო და ხშირად იმეორებენ, თითქოს უსაფრთხოების თვისება იყოს.

ლატენტობა კავშირის მუშაობას ეკუთვნის. აუთენტიფიკაციის ძალა ვერიფიკატორისა და პროტოკოლის თვისებაა.

ერთი გასვლა-დაბრუნება არ აჩერებს მრავალ ცდას

გასვლა-დაბრუნების დრო აჩვენებს, რამდენ დროს იღებს ერთი მოთხოვნა და მისი პასუხი ერთ მარშრუტზე. ონლაინ ცდებშიც კი გამტარობას განსაზღვრავს ის, რამდენ მოთხოვნას იკავებს კლიენტი, რამდენ დროს ხარჯავს სერვერი ერთ ცდაზე და რა წესებია. ეს ping-თან არ უკავშირდება. Ethernet კავშირში არ არის წესი, რომ ერთ გასვლა-დაბრუნებაზე მხოლოდ ერთი ცდა იყოს, და სწრაფი ping არ ნიშნავს, რომ ვერიფიკატორი გამოცნობებს ასეთი სიჩქარით მიიღებს.

თუ სერვისი ანგარიშს ხუთი შეცდომის შემდეგ ბლოკავს, პრაქტიკული სიხშირე ხუთი ცდაა ერთ ფანჯარაზე, მიუხედავად ინტერნეტისა. ეს კონტროლია, და ის რიცხვია.

გამოცნობის ადგილი

ონლაინ რეჟიმში კანდიდატებს რეალური სერვისი იღებს. ოფლაინ რეჟიმში შემტევი კანდიდატებს თავად ამოწმებს. ეს სხვაობა არითმეტიკაში თითქმის ყველაფერს გადაწყვეტს. NIST-ის პაროლების სახელმძღვანელო ამ საფრთხეებს ცალ-ცალკე განიხილავს და ითხოვს წარუმატებელი ონლაინ ცდების სიხშირის შეზღუდვას და მარილიანი ჰეშირებით ოფლაინ შეტევის მიმართ მდგრადი შენახვას. ორივე ვერიფიკატორისა და შენახვის ფენის თვისებაა, მომხმარებლის კავშირის სისწრაფეზე დამოკიდებულების გარეშე.

პაკეტების დაჭერა სასარგებლო მასალას იძლევა თუ არა, დამოკიდებულია პროტოკოლზე და აუთენტიფიკაციის მეთოდზე. დაჭერის, სერტიფიკატის ან დაშიფრული გვირაბის ფლობა თავისთავად არაფერს პასუხობს, არც კლიენტის აწყობის ასაკი.

რატომ ატყუებს გატეხვის დროის არითმეტიკა

შესაძლო სტრიქონების რაოდენობა მხოლოდ იმდენად კარგია, რამდენადაც მისი ვარაუდები. ადამიანების მიერ არჩეული პაროლები თანაბრად არ ნაწილდება იმ სივრცეში, რომელსაც ფორმულა აღწერს, და ხელახლა გამოყენებული მონაცემები შესაძლოა უკვე სიაში იყოს. შემოწმების ღირებულებაც მნიშვნელოვანია: გამოყენებული კონტროლების მქონე ონლაინ სერვისი სრულიად განსხვავდება ლოკალურად შემოწმებული მოპარული ვერიფიკატორისაგან. გაანგარიშება, რომელიც ჩუმად გადადის ამ შემთხვევებს შორის, ვერ შეძლებს წლების განმავლობაში გატეხვის მტკიცებას.

პროტოკოლის ნაკლოვანებები საკუთარ სვეტში შეინახე. გრძელი პაროლი სუსტ აუთენტიფიკაციის კონსტრუქციას არ ასწორებს, და ერთი მოძველებული მეთოდი არ ამტკიცებს, რომ პაროლზე დაფუძნებული ყველა დიზაინი მის სისუსტეებს იზიარებს. ეს ცალკეული აღმოჩენებია, ცალკეული შესწორებებით.

მოითხოვე ვერიფიკატორის მტკიცებულება, და არა ლატენტობა

შლუზის შეფასებისთვის განსაზღვრე აუთენტიფიკაციის მეთოდი, ვისთანაა ვერიფიკატორი, რა ცდის კონტროლები არსებობს და ნამდვილად დამოუკიდებელია თუ არა მეორე ფაქტორი. ორი პაროლის ველის მქონე დიალოგი ორ ფაქტორს არ ქმნის. შენახული მონაცემებისთვის დაადგინე, რა მასალა არსებობს, ვის შეუძლია მისი წაკითხვა და რა დაცვას იყენებს რეალურად იმპლემენტაცია. ჰეშირების სიჩქარის ჰიპოთეტური რიცხვი არ არის მტკიცებულება ამოუცნობი შენახვის სისტემის შესახებ.

განიხილე ასევე გამოცნობის მიღმა არსებული ზემოქმედება. მოპარული პროფილი, დაზიანებული ბოლო წერტილი ან ფიშინგის ნაკადი პაროლების ჩამომთვლელი შემტევისგან განსხვავებულ პრობლემას ქმნის, და პაროლის სიგრძე არაფერს აკეთებს უკვე აქტიური სესიისთვის მინიჭებული უფლებამოსილების მიმართ.

ჩაწერე მეთოდი, კონტროლი და შენახვის დაცვა. ეს სამი პასუხობს კითხვას, რომელიც ping-მა არასოდეს გაზომა.