Publiska VPN parole: kāpēc tai nevajadzētu būt jūsu e-pasta parolei

Publiskajos VPN katalogos profili uzskaita serveri, lietotājvārdu un paroli, kas ir arī tūkstošiem citu cilvēku, un kārdinājums ir ierakstīt kaut ko viegli atceramu. Tieši šis instinkts ir problēma: vērtība nav personisks noslēpums, un viss, kam to atkārtoti izmantojat, arī kļūst publisks. Uztveriet publicēto pieteikšanos kā koplietotu atslēgu publiskam pakalpojumam, bet katru jūs identificējošo kontu kā pilnīgi citu kategoriju. Šo nošķīrumu ir viegli uzturēt līdz dienai, kad tas kļūst svarīgs.

Kas patiesībā ir akreditācijas dati

Publiskā VPN katalogā publicēta pieteikšanās ir piekļuves vienošanās starp operatoru un ikvienu, kas izlasa lapu. Tā var identificēt koplietotu pakalpojuma kontu, nevis personu, un operators var novērot savienojumu pie vārtejas.

Pēdējais punkts ir pelnījis uzsvaru: tas, kurš pārtrauc tuneli, redz tajā ienākošo un no tā izejošo trafiku un tur paroli, kas to atvēra. Vērtības atkārtota izmantošana pasta kontam pastāsta operatoram kaut ko par kontu, kuru tam nekad nevajadzēja spēt uzminēt. Koplietota parole nav noslēpums nekādā jēgpilnā nozīmē, jo daudzi to tur. Kategorijas atšķiras: publisks piekļuves noslēpums, privāta konta parole, klienta sertifikāts un vienādranga atslēga, katra atbild uz citu jautājumu.

Atkārtota izmantošana ir zināma vērtība, nevis vāja

Paroles stipruma ieteikumi parasti koncentrējas uz garumu un unikalitāti, un unikalitāti tieši iznīcina atkārtota izmantošana. Gara parole, kas izmantota divās vietās, kļūst par zināmu vērtību abās, tiklīdz viena no tām noplūst.

Credential stuffing ir atkarīgs no šīs pārklāšanās, un publiskie katalogi padara pāra pirmo pusi pieejamu jebkuram bez maksas. Atsevišķas vērtības ģenerēšana katram pakalpojumam novērš šo sviru, neprasot neko vieglāk atceramu. Garums nekad nekompensē vērtību, kas jau iespiesta publiskā lapā.

Ja parole jau ir tikusi izmantota atkārtoti

Mainiet nesaistīto kontu tā verificētajā atkopšanas procesā, pēc tam pārskatiet tā aktīvās sesijas un atkopšanas iestatījumus, jo atiestatīšana, kas atstāj vecu sesiju dzīvu, nav pabeigusi darbu. Nesūtiet paroli VPN atbalstam, lai parādītu kļūdu. Kur ir pieejama daudzfaktoru autentifikācija, iespējojiet to, jo tā pārdzīvo noplūdušu paroli.

Rotējiet VPN akreditācijas datus ar jebkuru procesu, ko dokumentē operators, un ņemiet vērā, ka tā ir atsevišķa darbība no savu kontu maiņas. Turiet abas izmaiņas vienā biļetē, lai neviens nepieņemtu, ka viena aptvēra otru.

Ja atklāta privāta klienta atslēga, nevis parole, atsaukšana ir līdzeklis. E-pasta paroles maiņa neizņem nokopētu atslēgu.

Pirms rotēšanas pārbaudiet akreditācijas datu veidu

Nosakiet, ko lauks patiešām sagaida, pirms kaut ko ģenerējat. Portāla telpas kods, vienādranga atslēga un parole nav savstarpēji aizstājami, un nepareizā rotēšana atstāj atklāšanu savā vietā.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Glabājiet ģenerētās vērtības paroļu pārvaldniekā, nevis piezīmē, lai atsevišķi ieraksti paliktu lietojami. Pēc tam apstipriniet, ka jaunā vērtība darbojas, pirms izmetat veco, un turiet abus notikumus vienā biļetē.

Pabeidziet, iztīrot saglabātos akreditācijas datus jebkurā koplietotā instalācijā, kas izmantoja veco pieteikšanos. No servera noņemti akreditācijas dati joprojām ir noplūde, ja ierīce turpina atkārtoti savienoties ar kešatmiņā saglabātu kopiju.