Viešas VPN slaptažodis: kodėl jis neturi būti jūsų elektroninio pašto slaptažodis

Viešuose VPN kataloguose esantys profiliai išvardija serverį, vartotojo vardą ir slaptažodį, kuriuos turi ir tūkstančiai kitų žmonių, o pagunda yra įvesti ką nors įsimintino. Būtent šis instinktas ir yra problema: reikšmė nėra asmeninė paslaptis, ir viskas, kam ją naudosite pakartotinai, taip pat tampa vieša. Traktuokite paskelbtą prisijungimą kaip bendrą raktą į viešą paslaugą, o kiekvieną jus identifikuojančią paskyrą kaip visiškai kitą kategoriją. Šį atskyrimą lengva išlaikyti iki dienos, kai jis tampa svarbus.

Kas iš tikrųjų yra kredencialai

Viešame VPN kataloge paskelbtas prisijungimas yra prieigos susitarimas tarp operatoriaus ir kiekvieno, kas perskaito puslapį. Jis gali identifikuoti bendrą paslaugos paskyrą, o ne asmenį, ir operatorius gali stebėti ryšį ties šliuzu.

Paskutinis punktas vertas ypatingo pabrėžimo: kas užbaigia tunelį, mato į jį įeinančius ir iš jo išeinančius srautus, ir laiko slaptažodį, kuris jį atidarė. Pakartotinis reikšmės naudojimas pašto paskyrai pasako operatoriui kai ką apie paskyrą, kurios jis niekada neturėjo galėti atspėti. Bendras slaptažodis nėra paslaptis jokia prasminga prasme, nes daug žmonių jį turi. Kategorijos skiriasi: vieša prieigos paslaptis, privačios paskyros slaptažodis, kliento sertifikatas ir bendraamžio raktas, kiekviena atsako į skirtingą klausimą.

Pakartotinis naudojimas yra žinoma reikšmė, o ne silpna

Slaptažodžio stiprumo patarimai paprastai sutelkia dėmesį į ilgį ir unikalumą, o unikalumą kaip tik sunaikina pakartotinis naudojimas. Ilgas slaptažodis, naudojamas dviejose vietose, tampa žinoma reikšme abiejose, kai tik viena jų nuteka.

Credential stuffing priklauso nuo šio sutapimo, o vieši katalogai pirmąją poros pusę padaro nemokamą bet kam. Atskiros reikšmės kūrimas kiekvienai paslaugai pašalina šią svirtį nereikalaudamas nieko įsimintinesnio. Ilgis niekada nekompensuoja reikšmės, kuri jau atspausdinta viešame puslapyje.

Jei slaptažodis jau buvo naudojamas pakartotinai

Pakeiskite nesusijusią paskyrą per jos patvirtintą atkūrimo procesą, tada peržiūrėkite jos aktyvias sesijas ir atkūrimo nustatymus, nes atstatymas, paliekantis seną sesiją gyvą, darbo nebaigė. Nesiųskite slaptažodžio VPN pagalbai, kad parodytumėte klaidą. Kur galimas daugiafaktoris autentifikavimas, įjunkite jį, nes jis išgyvena nutekėjusį slaptažodį.

Rotuokite VPN kredencialus bet kokiu procesu, kurį dokumentuoja operatorius, ir atkreipkite dėmesį, kad tai atskiras veiksmas nuo savo paskyros keitimo. Laikykite abu pakeitimus tame pačiame biliete, kad niekas nepamanytų, jog vienas apėmė kitą.

Jei atskleistas privatus kliento raktas, o ne slaptažodis, atšaukimas yra gydymas. Elektroninio pašto slaptažodžio keitimas nepašalina nukopijuoto rakto.

Prieš rotuodami patikrinkite kredencialų tipą

Nustatykite, ko laukas iš tikrųjų tikisi, prieš ką nors generuodami. Portalo kambario kodas, bendraamžio raktas ir slaptažodis nėra keičiami, o neteisingo rotavimas palieka atskleidimą vietoje.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Saugokite sugeneruotas reikšmes slaptažodžių tvarkyklėje, o ne užraše, kad atskiri įrašai liktų naudingi. Tada patvirtinkite, kad nauja reikšmė veikia, prieš išmesdami senąją, ir laikykite abu įvykius tame pačiame biliete.

Baikite išvalydami išsaugotus kredencialus bet kurioje bendroje instaliacijoje, kuri naudojo seną prisijungimą. Iš serverio pašalintas kredencialas vis dar yra nutekėjimas, jei įrenginys toliau jungiasi iš naujo su podėlyje laikoma kopija.