누군가 당신의 VPN 암호를 얼마나 빨리 추측할 수 있을까요?

지연 시간은 아무도 묻지 않은 질문에 답합니다. 추측 추정치가 실제로 무엇을 의미하는지는 세 가지 조건, 즉 추측이 살아 있는 서비스에서 검사되는지 아니면 수집된 자료와 대조되는지, 그 자료를 어떤 인증 방식이 만들었는지, 서비스가 어떤 통제를 강제하는지에 따라 결정됩니다. ping은 한 경로에서 한 번의 왕복을 측정할 뿐 그중 어느 것에도 답하지 않습니다. 일 초를 그 숫자로 나누면 정밀하지만 무관한 수치가 나오고, 그것은 마치 보안 속성인 것처럼 자주 반복됩니다.

지연 시간은 연결성 작업에 속합니다. 인증의 강도는 검증자와 프로토콜의 속성입니다.

한 번의 왕복은 속도 제한이 아닙니다

왕복 시간은 특정 경로에서 하나의 요청과 그 응답에 얼마나 걸리는지를 설명합니다. 온라인 시도에서도 처리량은 클라이언트가 몇 개의 요청을 열어 두는지, 서버가 시도마다 얼마나 시간을 쓰는지, 어떤 속도 제한이 적용되는지에 달려 있습니다. 이들은 ping과 무관합니다. 이더넷 링크는 왕복마다 시도가 하나만 있을 수 있다는 규칙을 강제하지 않으며, 빠른 ping이 검증자가 그 속도로 추측을 받아들인다는 것을 증명하지도 않습니다.

서비스가 다섯 번 실패 후 계정을 잠그면 실질 속도는 네트워크와 무관하게 잠금 창마다 다섯 번의 시도입니다. 그것은 통제이며, 인용할 가치가 있는 숫자입니다.

추측이 실제로 검사되는 곳

온라인에서는 주장자가 각 후보를 실제 서비스에 제출하고, 서비스는 관찰하고 지연시키고 잠그고 경고할 수 있습니다. 오프라인에서는 적절한 검증 자료를 가진 공격자가 서비스의 개입 없이 후보를 로컬에서 검사합니다. 그 구분이 산술의 거의 모든 것을 결정합니다. NIST의 암호 지침은 이러한 위협을 별도로 다루며, 실패한 온라인 시도의 속도 제한과 소금을 친 해싱 및 비용 계수를 통해 오프라인 공격에 견디는 저장을 요구합니다. 둘 다 검증자와 저장 계층의 속성이며, 사용자의 링크가 얼마나 빨리 응답하는지에 의존하지 않습니다.

패킷 캡처가 유용한 자료를 주는지는 프로토콜과 인증 방식에 달려 있습니다. 캡처, 인증서 또는 암호화된 터널을 보유하는 것 자체는 아무것도 답하지 못하며, 클라이언트 빌드의 나이도 마찬가지입니다.

왜 크래킹 시간 산술은 오도하는가

가능한 문자열의 수는 그 가정만큼만 좋습니다. 사람이 고른 암호는 공식이 설명하는 공간에 균등하게 분포하지 않으며, 재사용된 자격 증명은 이미 목록에 있을 수 있습니다. 검사 비용도 중요하며, 통제가 강제되는 온라인 서비스는 로컬에서 시험되는 도난당한 검증자와 전혀 다릅니다. 그 사례들 사이를 조용히 오가는 계산은 크래킹까지 몇 년이라는 주장을 뒷받침할 수 없습니다.

프로토콜 결함도 별도 열에 두십시오. 더 긴 암호가 약한 인증 구조를 고치지는 않으며, 한 가지 진부한 방식이 암호 기반 설계 모두가 그 약점을 공유한다는 것을 증명하지도 않습니다. 그것들은 별개의 발견이며 별개의 수정을 가집니다.

지연 시간이 아니라 검증자의 증거를 요구하십시오

게이트웨이 평가에서는 인증 방식, 검증자를 누가 보유하는지, 어떤 시도 통제가 있는지, 두 번째 요소가 정말 독립적인지를 식별하십시오. 암호 입력란이 두 개인 대화상자가 두 요소를 확립하지는 않습니다. 저장된 자격 증명의 경우 어떤 자료가 있고 누가 읽을 수 있으며 구현이 실제로 어떤 보호를 적용하는지 확인하십시오. 가상의 해시 속도 수치는 신원이 확인되지 않은 저장 시스템에 대한 증거가 아닙니다.

추측 외의 노출도 고려하십시오. 도난당한 프로필, 침해된 엔드포인트 또는 피싱 흐름은 암호를 열거하는 공격자와 다른 문제를 제기하며, 암호 길이는 이미 활성 세션에 부여된 권한에 아무것도 하지 않습니다.

방식, 통제, 저장 보호를 기록하십시오. 그 세 가지가 ping이 결코 측정하지 않은 질문에 답합니다.