공유 VPN 출구가 당신이 일으키지 않은 로그인 경고를 촉발하는 이유
로그인 차단은 보통 위험 점수이지 당신의 터널에 대한 판결이 아닙니다. 공유 출구는 그 점수에 또 누가 포함되는지, 그리고 그것이 그들에게 무엇을 치르게 하는지를 바꿉니다.
VPN으로 익숙한 사이트를 열었는데 추가 확인이 나오면, 솔깃한 설명은 터널이 탐지되었다는 것입니다. 무언가가 탐지되었지만 그것은 당신이 아니었습니다. 사이트는 여러 신호를 점수화했고 그중 하나가 출발지 주소인데, 그 주소는 일 분 전에 로그인 실패를 만들어 냈을지 모르는 낯선 사람들과 공유됩니다. 이 결정을 당신의 연결에 대한 판결로 읽는 것은 점수가 무엇을 위한 것인지 오해하는 것입니다.
출발지 주소가 정할 수 있는 것과 없는 것
IP 주소는 특정 시점에 네트워크를 지나는 경로를 설명합니다. 그것은 사람도, 기기도, 심지어 하나의 계정도 식별하지 않으며, 통신사급 NAT나 붐비는 VPN 풀에서는 동시에 수천 개의 무관한 세션을 대표할 수 있습니다. 주소를 신원으로 취급하는 사이트는 실제로는 그것을 평판으로 취급하는 것이며, 이는 통계적 진술이지 사실이 아닙니다.
두 사람이 같은 출구를 공유하면서 정반대의 증거를 만들 수 있습니다. 한 사람은 두 번째 요소로 성공적으로 로그인하고, 다른 사람은 마흔 개의 비밀번호를 시도합니다. 주소는 동일하므로 주소만에 기반한 어떤 규칙도 둘을 구별할 수 없고, 어떤 반응이 촉발되든 둘 모두에 적용됩니다.
이것은 주소를 무시하자는 주장이 아닙니다. 신호가 무엇을 측정하는지 기억하자는 주장입니다. VPN 로그인을 둘러싼 놀라운 동작의 대부분은 잘못된 관찰이 아니라 잘못된 세분성으로 통제를 적용하는 데서 나옵니다.
출구를 차단하는 것이 낯선 사람을 벌하는 이유
주소 수준 차단은 구현하기 싸고 겨냥하기 비쌉니다. 그 영향 범위는 그 주소 뒤의 모든 세션이며, 그래서 공유 주소와 NAT 동작에는 운영 문서에 고유한 역사가 있습니다. 같은 논리가 공유 출발지 주소와 주소 기반 필터링의 부작용에 관한 IETF 작업에도 나타납니다.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
차단이 만드는 두 가지 실패를 생각해 보십시오. 같은 출구 뒤의 정당한 고객은 서비스를 거부당하고 남용보다 더 큰 비용이 드는 지원 티켓을 엽니다. 실제 공격자는 수천 개의 풀에서 다음 출구로 옮겨 가고, 재접속 외에는 아무것도 쓰지 않은 채 계속합니다.
비례성이 빠진 단계입니다. 반복된 로그인 실패, 자동화된 요청의 폭주, 인증된 권한 위반은 세 가지 다른 사건이며, 주소 모양의 문제일 법한 것은 두 번째뿐입니다. 같은 사이트 전체 네트워크 금지를 셋 모두에 적용하는 것이 보안 통제가 지원 대기열이 되는 방식입니다.
증거가 있는 곳에 결정을 두십시오
계정 수준 통제는 주소를 넘어 계정을 따라가며, 이는 당신이 실제로 신경 쓰는 실체와 일치합니다. 속도 제한, 반복 실패 후 대기 기간, 민감한 작업에 대한 단계별 인증은 모두 네트워크 경로가 아니라 계정이나 작업에 작용합니다. 이는 당신이 실제로 보호하는 실체와 더 잘 맞습니다. 또한 공격자가 새 출구 주소를 찾을 유인을 없앱니다.
NIST의 인증 지침은 이것들을 위험 평가의 입력으로 취급하고 신호 가운데 주소, 지리적 위치, 요청 시점을 나열하는데, 이것이 바로 빌려야 할 틀입니다. 신호는 결정에 정보를 줄 뿐 인증기를 대체하지 않습니다. 그 목록은 금지할 것들의 메뉴가 아니라 입력으로 읽어야 합니다. 증명은 여전히 인증기가 수행하고, 다른 신호들은 그 주변에 얼마나 마찰을 둘지만 정합니다.
두 가지 설계 제약이 계정 수준 접근이 그 자체의 장애가 되는 것을 막습니다. 속도 제한에는 안전한 검토 경로가 필요해 사용자가 자격 증명을 공개하지 않고 잘못된 분류를 신고할 수 있어야 하고, 단계별 확인은 검증되지 않은 지원 창구에 넘긴 비밀번호나 일회용 코드로 답할 수 있어서는 안 됩니다.
공정한 정책은 밖에서 어떻게 보이는가
각 통제가 어떤 결정을 뒷받침하는지 적고, 그 통제의 세분성이 맞는지 확인하십시오. 주소 통제는 네트워크에서 오는 트래픽에 관한 질문에 답하고, 계정 통제는 계정에 관한 질문에 답하며, 애플리케이션 이벤트는 인증 후 행동에 관한 질문에 답합니다. 셋 모두를 명시한 정책은 감사 가능하고, VPN 트래픽만 명시한 정책은 그렇지 않습니다.
그다음에는 규칙 수가 아니라 결과를 측정하십시오. 무단 시도는 줄어야 하고, 정당한 사용자는 지원되는 경로를 유지해야 하며, 천 번의 로그인당 지원 문의 수는 늘지 않아야 합니다. 첫 번째 숫자를 개선하면서 나머지 둘을 망가뜨리는 차단은 문제를 해결한 것이 아니라 옮긴 것입니다.
VPN 연결을 받아들이고 남용 통제를 시행하는 것은 양립 가능한 목표입니다. 작동하는 버전은 출발지 주소를 여러 입력 중 하나로 취급하고, 증거에 맞는 가장 좁은 통제를 적용하며, 잘못 분류된 사람에게 정직한 경로를 남깁니다. 실패하는 버전은 주소를 용의자로 취급하고 그것을 정책이라고 부릅니다.