რატომ იწვევს საერთო VPN გასასვლელი შესვლის გაფრთხილებებს, რომლებიც თქვენ არ გამოგიწვევიათ
შესვლის ბლოკი ჩვეულებრივ რისკის ქულაა და არა განაჩენი თქვენი გვირაბის შესახებ. საერთო გასასვლელები ცვლის, ვინ კიდევ შედის ამ ქულაში და რა უჯდებათ მათ ეს.
გახსენით ნაცნობი საიტი VPN-ის მეშვეობით და მიიღეთ დამატებითი გამოწვევა, და მაცდური ახსნა ისაა, რომ გვირაბი ამოცნობილია. რაღაც ამოცნობილია, მაგრამ ეს თქვენ არ იყავით. საიტმა შეაფასა სიგნალების ერთობლიობა, რომელთაგან ერთი წყაროს მისამართია, და ეს მისამართი გაზიარებულია უცნობებთან, რომლებმაც შეიძლება ერთი წუთით ადრე წარუმატებელი შესვლები შექმნეს. გადაწყვეტილების თქვენს კავშირზე განაჩენად წაკითხვა იმის არასწორი გაგებაა, რისთვისაა ქულა.
რა შეუძლია და რა არ შეუძლია გადაწყვიტოს წყაროს მისამართმა
IP მისამართი აღწერს ქსელში გავლილ გზას დროის გარკვეულ მომენტში. ის არ იდენტიფიცირებს ადამიანს, მოწყობილობას ან თუნდაც ერთ ანგარიშს, და ოპერატორული დონის NAT-ის ან დატვირთული VPN აუზის შემთხვევაში მას შეუძლია ერთდროულად ათასობით დაუკავშირებელი სესია წარმოადგინოს. საიტი, რომელიც მისამართს იდენტობად განიხილავს, სინამდვილეში რეპუტაციად განიხილავს, რაც სტატისტიკური მტკიცებაა და არა ფაქტი.
ორ ადამიანს შეუძლია გაიზიაროს ერთი გასასვლელი და საპირისპირო მტკიცებულება წარმოადგინოს: ერთი წარმატებით შედის მეორე ფაქტორით, მეორე ორმოცი პაროლს ცდის. მისამართი იდენტურია, ამიტომ მხოლოდ მისამართზე დაფუძნებული ნებისმიერი წესი ვერ განასხვავებს მათ, და რომელი რეაქციაც არ უნდა გამოიწვიოს, ორივეზე ვრცელდება.
ეს არ არის არგუმენტი მისამართების უგულებელყოფის სასარგებლოდ. ეს არის არგუმენტი იმის გასახსენებლად, თუ რას ზომავს სიგნალი, რადგან VPN შესვლების გარშემო გასაკვირი ქცევის უმეტესი ნაწილი კონტროლის არასწორ დეტალურობაზე გამოყენებიდან მოდის და არა არასწორი დაკვირვებიდან.
რატომ სჯის გასასვლელის დაბლოკვა უცხო ადამიანებს
მისამართის დონის ბლოკი იაფია დანერგვაში და ძვირია დამიზნებაში. მისი ზემოქმედების რადიუსი ამ მისამართის უკან მდგომი ყოველი სესიაა, და ამიტომ საერთო მისამართებისა და NAT-ის ქცევას ოპერაციულ დოკუმენტაციაში საკუთარი ისტორია აქვს: იგივე მსჯელობა ჩნდება IETF-ის ნაშრომში საერთო წყაროს მისამართებსა და მისამართზე დაფუძნებული ფილტრაციის გვერდით ეფექტებზე.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
გაითვალისწინეთ ორი მარცხი, რომელსაც ბლოკი ქმნის. იმავე გასასვლელის უკან მდგომ ლეგიტიმურ მომხმარებელს სერვისზე უარი ეთქმევა და ხსნის მხარდაჭერის ბილეთს, რომელიც თავად ბოროტად გამოყენებაზე ძვირია. ნამდვილი თავდამსხვა გადადის ათასობით აუზში შემდეგ გასასვლელზე და აგრძელებს, მხოლოდ ხელახალი დაკავშირების გარდა არაფრის დახარჯვით.
პროპორციულობაა გამოტოვებული ნაბიჯი. განმეორებითი წარუმატებელი შესვლები, ავტომატიზებული მოთხოვნების აფეთქება და ავტორიზებული უფლების დარღვევა სამი განსხვავებული მოვლენაა, და მხოლოდ მეორეა სავარაუდოდ მისამართის ფორმის პრობლემა. იგივე საიტისმასშტაბიანი ქსელური აკრძალვის სამივეზე გამოყენება არის ის, რითაც უსაფრთხოების კონტროლი მხარდაჭერის რიგად იქცევა.
მოათავსეთ გადაწყვეტილება იქ, სადაც მტკიცებულებაა
ანგარიშის დონის კონტროლი ანგარიშს მისამართებზე გადაადგილებისას მიჰყვება, რაც შეესაბამება იმ ერთეულს, რომელიც ნამდვილად გაღელვებთ. სიჩქარის შეზღუდვა, ლოდინის პერიოდები განმეორებითი მარცხების შემდეგ და მგრძნობიარე მოქმედებების ეტაპობრივი ავთენტიფიკაცია ყველა ანგარიშზე ან მოქმედებაზე მოქმედებს და არა ქსელურ გზაზე. ეს უკეთ შეესაბამება იმ ერთეულს, რომელსაც ნამდვილად იცავთ. ის ასევე ართმევს თავდამსხვას სტიმულს, ეძებოს ახალი გასასვლელის მისამართი.
NIST-ის ავთენტიფიკაციის სახელმძღვანელო ამათ რისკის შეფასების შეტანილ მონაცემებად განიხილავს და სიგნალებს შორის ჩამოთვლის მისამართს, გეომდებარეობას და მოთხოვნის დროს, რაც ზუსტად ის ჩარჩოა, რომლის სესხებაც ღირს: სიგნალი გადაწყვეტილებას ამცნობს, ის ავთენტიფიკატორს არ ცვლის. წაიკითხეთ ეს სია შეტანილ მონაცემებად და არა აკრძალვადი ნივთების მენიუდ. ავთენტიფიკატორი კვლავ ახორციელებს მტკიცებას, და სხვა სიგნალები მხოლოდ განსაზღვრავენ, რამდენი ხახუნი უნდა დაიდოს მის გარშემო.
ორი დიზაინის შეზღუდვა ხელს უშლის ანგარიშის დონის მიდგომას გახდეს საკუთარი შეფერხება. სიჩქარის შეზღუდვებს სჭირდება უსაფრთხო გადახედვის გზა, რათა მომხმარებელმა შეძლოს არასწორი კლასიფიკაციის შეტყობინება სერთიფიკატების გამოქვეყნების გარეშე, და ეტაპობრივ გამოწვევებზე პასუხი არ უნდა იყოს პაროლი ან ერთჯერადი კოდი, რომელიც გადაეცა დაუდასტურებელ მხარდაჭერის კონტაქტს.
როგორ გამოიყურება სამართლიანი პოლიტიკა გარედან
ჩამოწერეთ, რომელ გადაწყვეტილებას უჭერს მხარს თითოეული კონტროლი, შემდეგ შეამოწმეთ, რომ კონტროლის დეტალურობა შეესაბამება. მისამართის კონტროლები პასუხობენ კითხვებს ქსელიდან მომავალი ტრაფიკის შესახებ; ანგარიშის კონტროლები პასუხობენ კითხვებს ანგარიშის შესახებ; აპლიკაციის მოვლენები პასუხობენ კითხვებს ავთენტიფიკაციის შემდეგ ქცევის შესახებ. პოლიტიკა, რომელიც სამივეს ასახელებს, აუდიტირებადია, და ის, რომელიც მხოლოდ VPN ტრაფიკს ასახელებს, ასეთი არ არის.
შემდეგ გაზომეთ შედეგი და არა წესების რაოდენობა. არაავტორიზებული მცდელობები უნდა შემცირდეს, ლეგიტიმურ მომხმარებლებს უნდა შეუნარჩუნდეთ მხარდაჭერილი გზა, და მხარდაჭერის კონტაქტების რაოდენობა ათას შესვლაზე არ უნდა გაიზარდოს. ბლოკი, რომელიც აუმჯობესებს პირველ რიცხვს და ანგრევს დანარჩენ ორს, პრობლემა გადააადგილა და არ გადაჭრა.
VPN კავშირების მიღება და ბოროტად გამოყენების კონტროლის აღსრულება თავსებადი მიზნებია. მომუშავე ვერსია წყაროს მისამართს რამდენიმე შეტანილ მონაცემთაგან ერთად განიხილავს, ავრცელებს მტკიცებულებებთან შესაბამის ყველაზე ვიწრო კონტროლს და ტოვებს პატიოსან გზას არასწორად კლასიფიცირებული ადამიანისთვის. წარუმატებელი ვერსია მისამართს ეჭვმიტანილად განიხილავს და ამას პოლიტიკას უწოდებს.