Kodėl bendras VPN išėjimas sukelia prisijungimo įspėjimus, kurių nesukėlėte
Prisijungimo blokas paprastai yra rizikos balas, o ne nuosprendis jūsų tuneliui. Bendri išėjimai keičia, kas dar patenka į tą balą ir kiek jiems tai kainuoja.
Atidarykite pažįstamą svetainę per VPN ir gaukite papildomą patikrinimą, o viliojantis paaiškinimas yra tas, kad tunelis buvo aptiktas. Kažkas buvo aptikta, bet tai buvote ne jūs. Svetainė įvertino signalų rinkinį, vienas jų yra šaltinio adresas, ir tas adresas bendrinamas su nepažįstamaisiais, kurie galėjo prieš minutę kurti nepavykusius prisijungimus. Skaityti sprendimą kaip nuosprendį jūsų ryšiui reiškia neteisingai suprasti, kam skirtas balas.
Ką šaltinio adresas gali ir ko negali nuspręsti
IP adresas apibūdina kelią per tinklą tam tikru momentu. Jis nenustato nei asmens, nei įrenginio, nei net vienos paskyros, o su operatoriaus lygio NAT ar užimtu VPN telkiniu jis gali vienu metu atstovauti tūkstančius nesusijusių sesijų. Svetainė, kuri adresą traktuoja kaip tapatybę, iš tikrųjų traktuoja jį kaip reputaciją, o tai yra statistinis teiginys, ne faktas.
Du žmonės gali dalytis vienu išėjimu ir pateikti priešingus įrodymus: vienas sėkmingai prisijungia su antruoju veiksniu, kitas bando keturiasdešimt slaptažodžių. Adresas yra identiškas, todėl jokia taisyklė, pagrįsta vien adresu, negali jų atskirti, ir kokia bebūtų sukeliama reakcija, ji taikoma abiem.
Tai ne argumentas ignoruoti adresus. Tai argumentas prisiminti, ką signalas matuoja, nes didžioji dalis netikėto elgesio aplink VPN prisijungimus kyla iš kontrolės, taikomos netinkamu detalumo lygmeniu, o ne iš klaidingo stebėjimo.
Kodėl išėjimo blokavimas baudžia nepažįstamuosius
Blokas adreso lygmeniu yra pigus įgyvendinti ir brangus nutaikyti. Jo poveikio spindulys yra kiekviena sesija už to adreso, todėl bendri adresai ir NAT elgsena turi savo istoriją operacinėje dokumentacijoje: ta pati logika pasirodo IETF darbe apie bendrus šaltinio adresus ir adresu pagrįsto filtravimo šalutinius poveikius.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Apsvarstykite du nesėkmes, kurias sukuria blokas. Teisėtam klientui už to paties išėjimo atsisakoma paslaugos, ir jis atidaro palaikymo bilietą, kuris kainuoja daugiau nei pats piktnaudžiavimas. Tikras užpuolikas persikelia į kitą išėjimą tūkstančių telkinyje ir tęsia, išleidęs tik prisijungimą iš naujo.
Proporcingumas yra trūkstamas žingsnis. Pakartotinai nepavykę prisijungimai, automatizuotų užklausų banga ir autentifikuotas teisių pažeidimas yra trys skirtingi įvykiai, ir tik antrasis yra tikėtina adreso formos problema. Taikyti tą patį visos svetainės tinklo draudimą visiems trims yra būdas, kuriuo saugumo kontrolė tampa palaikymo eile.
Padėkite sprendimą ten, kur yra įrodymai
Paskyros lygmens kontrolės seka paskyrą per adresus, o tai atitinka subjektą, kuris jums iš tikrųjų rūpi. Spartos ribojimas, laukimo laikotarpiai po pakartotinių nesėkmių ir laipsniškas autentifikavimas jautriems veiksmams veikia paskyrą arba veiksmą, o ne tinklo kelią. Tai geriau atitinka subjektą, kurį iš tikrųjų saugote. Tai taip pat pašalina užpuoliko paskatą ieškoti naujo išėjimo adreso.
NIST autentifikavimo gairės šiuos dalykus traktuoja kaip rizikos vertinimo įvestis ir tarp signalų nurodo adresą, geolokaciją ir užklausos laiką, o tai yra būtent ta sistema, kurią verta pasiskolinti: signalas informuoja sprendimą, jis nepakeičia autentifikatoriaus. Skaitykite tą sąrašą kaip įvestis, o ne kaip meniu dalykų, kuriuos reikia uždrausti. Autentifikatorius vis dar atlieka įrodymą, o kiti signalai tik nusprendžia, kiek trinties dėti aplink jį.
Du projektavimo apribojimai neleidžia paskyros lygmens požiūriui tapti savo paties sutrikimu. Spartos apribojimams reikia saugaus peržiūros kelio, kad naudotojas galėtų pranešti apie klaidingą klasifikaciją neviešindamas prisijungimo duomenų, o laipsniški iššūkiai neturi būti atsakomi slaptažodžiu ar vienkartiniu kodu, duotu nepatvirtintam palaikymo kontaktui.
Kaip sąžininga politika atrodo iš išorės
Užrašykite, kokį sprendimą palaiko kiekviena kontrolė, tada patikrinkite, ar kontrolės detalumas atitinka. Adreso kontrolės atsako į klausimus apie srautą iš tinklo; paskyros kontrolės atsako į klausimus apie paskyrą; programos įvykiai atsako į klausimus apie elgesį po autentifikavimo. Politika, kuri įvardija visus tris, yra audituojama, o ta, kuri įvardija tik VPN srautą, ne.
Tada matuokite rezultatą, o ne taisyklių skaičių. Neleistini bandymai turėtų mažėti, teisėti naudotojai turėtų išlaikyti palaikomą kelią, o palaikymo kontaktų skaičius tūkstančiui prisijungimų neturėtų didėti. Blokas, kuris pagerina pirmą skaičių ir sugadina kitus du, perkėlė problemą, o ne ją išsprendė.
Priimti VPN ryšius ir vykdyti piktnaudžiavimo kontrolę yra suderinami tikslai. Veikianti versija šaltinio adresą traktuoja kaip vieną iš kelių įvesčių, taiko siauriausią kontrolę, atitinkančią įrodymus, ir palieka sąžiningą kelią neteisingai klasifikuotam asmeniui. Nepavykstanti versija adresą traktuoja kaip įtariamąjį ir vadina tai politika.