Kāpēc kopīga VPN izeja izraisa pieteikšanās brīdinājumus, kurus jūs neizraisījāt
Pieteikšanās bloķēšana parasti ir riska vērtējums, nevis spriedums par jūsu tuneli. Kopīgas izejas maina, kas vēl tiek iekļauts šajā vērtējumā un cik tas viņiem izmaksā.
Atveriet pazīstamu vietni caur VPN un saņemiet papildu pārbaudi, un vilinošais skaidrojums ir tāds, ka tunelis tika atklāts. Kaut kas tika atklāts, bet tas nebijāt jūs. Vietne novērtēja signālu kopumu, viens no tiem ir avota adrese, un šī adrese tiek kopīgota ar svešiniekiem, kuri, iespējams, minūti iepriekš radīja neveiksmīgas pieteikšanās. Šo lēmumu lasīt kā spriedumu par jūsu savienojumu nozīmē nepareizi saprast, kam vērtējums ir domāts.
Ko avota adrese var un ko nevar noteikt
IP adrese apraksta ceļu caur tīklu noteiktā brīdī. Tā neidentificē ne personu, ne ierīci, ne pat vienu kontu, un ar operatora līmeņa NAT vai noslogotu VPN pūlu tā vienlaikus var pārstāvēt tūkstošiem nesaistītu sesiju. Vietne, kas adresi uzskata par identitāti, patiesībā to uzskata par reputāciju, kas ir statistisks apgalvojums, nevis fakts.
Divi cilvēki var dalīties ar vienu izeju un sniegt pretējus pierādījumus: viens veiksmīgi pieteicas ar otru faktoru, otrs izmēģina četrdesmit paroles. Adrese ir identiska, tāpēc neviens noteikums, kas balstīts tikai uz adresi, nevar tos atšķirt, un jebkura izraisītā reakcija attiecas uz abiem.
Tas nav arguments adreses ignorēšanai. Tas ir arguments atcerēties, ko signāls mēra, jo lielākā daļa pārsteidzošās uzvedības ap VPN pieteikšanos rodas no kontroles piemērošanas nepareizā detalizācijas līmenī, nevis no nepareiza novērojuma.
Kāpēc izejas bloķēšana soda svešiniekus
Bloks adreses līmenī ir lēti ieviest un dārgi mērķēt. Tā ietekmes rādiuss ir katra sesija aiz šīs adreses, un tāpēc kopīgām adresēm un NAT uzvedībai ir sava vēsture operatīvajā dokumentācijā: tā pati loģika parādās IETF darbā par kopīgām avota adresēm un uz adresi balstītas filtrēšanas blakusefektiem.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Apsveriet divas neveiksmes, ko rada bloks. Likumīgam klientam aiz tās pašas izejas tiek atteikts pakalpojums, un viņš atver atbalsta biļeti, kas izmaksā vairāk nekā pati ļaunprātīgā izmantošana. Īsts uzbrucējs pāriet uz nākamo izeju tūkstošu pūlā un turpina, iztērējis neko citu kā atkārtotu savienojumu.
Samērīgums ir trūkstošais solis. Atkārtotas neveiksmīgas pieteikšanās, automatizētu pieprasījumu vilnis un autentificēts atļauju pārkāpums ir trīs dažādi notikumi, un tikai otrais, iespējams, ir adreses formas problēma. Piemērot to pašu visas vietnes tīkla aizliegumu visiem trim ir veids, kā drošības kontrole kļūst par atbalsta rindu.
Novietojiet lēmumu tur, kur ir pierādījumi
Kontroles konta līmenī seko kontam pāri adresēm, kas atbilst vienībai, par kuru jūs patiešām uztraucaties. Ātruma ierobežošana, gaidīšanas periodi pēc atkārtotām neveiksmēm un pakāpeniska autentifikācija jutīgām darbībām darbojas uz kontu vai darbību, nevis uz tīkla ceļu. Tas labāk atbilst vienībai, kuru jūs patiešām aizsargājat. Tas arī noņem uzbrucēja stimulu meklēt svaigu izejas adresi.
NIST autentifikācijas vadlīnijas tos uzskata par riska novērtējuma ievadiem un starp signāliem uzskaita adresi, ģeolokāciju un pieprasījuma laiku, kas ir tieši tas ietvars, ko ir vērts aizņemties: signāls informē lēmumu, tas neaizstāj autentifikatoru. Lasiet šo sarakstu kā ievades, nevis kā ēdienkarti ar lietām, kas jāaizliedz. Autentifikators joprojām veic pierādīšanu, un pārējie signāli tikai nosaka, cik daudz berzes ap to likt.
Divi dizaina ierobežojumi neļauj konta līmeņa pieejai kļūt par pašas dīkstāvi. Ātruma ierobežojumiem nepieciešams drošs pārskatīšanas ceļš, lai lietotājs varētu ziņot par nepareizu klasifikāciju, nepubliskojot akreditācijas datus, un pakāpeniskajiem izaicinājumiem nedrīkst būt iespējams atbildēt ar paroli vai vienreizēju kodu, kas nodots neapstiprinātam atbalsta kontaktam.
Kā godīga politika izskatās no malas
Pierakstiet, kuru lēmumu atbalsta katra kontrole, pēc tam pārbaudiet, vai kontroles detalizācija atbilst. Adreses kontroles atbild uz jautājumiem par trafiku no tīkla; konta kontroles atbild uz jautājumiem par kontu; lietojumprogrammas notikumi atbild uz jautājumiem par uzvedību pēc autentifikācijas. Politika, kas nosauc visas trīs, ir auditējama, un tā, kas nosauc tikai VPN trafiku, nav.
Pēc tam mēriet rezultātu, nevis noteikumu skaitu. Neatļautiem mēģinājumiem vajadzētu samazināties, likumīgiem lietotājiem vajadzētu saglabāt atbalstītu ceļu, un atbalsta kontaktu skaitam uz tūkstoti pieteikšanos nevajadzētu pieaugt. Bloks, kas uzlabo pirmo skaitli, bet sabojā pārējos divus, ir pārvietojis problēmu, nevis to atrisinājis.
Pieņemt VPN savienojumus un ieviest ļaunprātīgas izmantošanas kontroles ir savienojami mērķi. Versija, kas darbojas, avota adresi uzskata par vienu no vairākiem ievadiem, piemēro šaurāko kontroli, kas atbilst pierādījumiem, un atstāj godīgu ceļu nepareizi klasificētajai personai. Versija, kas cieš neveiksmi, adresi uzskata par aizdomās turamo un nosauc to par politiku.