Јавна VPN лозинка: зошто не треба да биде лозинката на вашата е-пошта

Јавните VPN именици наведуваат сервер, корисничко име и лозинка што ги имаат и илјадници други луѓе, а искушението е да внесете нешто што се памти. Токму тој инстинкт е проблемот: вредноста не е лична тајна, и сето она за што ќе ја употребите повторно станува јавно. Третирајте ја објавената најава како заеднички клуч за јавна услуга, а секоја сметка што ве идентификува како сосема друга категорија. Ова раздвојување е лесно да се одржува до денот кога ќе биде важно.

Што се всушност акредитивите

Најавата објавена во јавен VPN именик е договор за пристап меѓу операторот и секој што ја чита страницата. Таа може да идентификува заедничка услужна сметка наместо личност, и операторот може да го набљудува поврзувањето на портата.

Последната точка заслужува посебен акцент: кој ќе заврши тунел го гледа сообраќајот што влегува и излегува од него и ја држи лозинката што го отворила. Повторната употреба на вредност за поштенска сметка му кажува на операторот нешто за сметка што никогаш не требало да може да ја погоди. Заедничката лозинка не е тајна во ниту една значајна смисла, бидејќи многу луѓе ја имаат. Категориите се различни: јавна тајна за пристап, лозинка на приватна сметка, клиентски сертификат и клуч на партнер, секоја одговара на различно прашање.

Повторната употреба е позната вредност, не слаба

Упатствата за јачина на лозинката обично се фокусираат на должината и единственоста, а единственоста е токму она што повторната употреба го уништува. Долга лозинка употребена на две места е позната вредност и на двете штом едното истече.

Credential stuffing зависи од тоа преклопување, а јавните именици ја прават првата половина од парот бесплатна за секого. Генерирањето одделна вредност за секоја услуга ја отстранува таа предност без да бара нешто што полесно се памти. Должината никогаш не ја надоместува вредноста што е веќе отпечатена на јавна страница.

Ако лозинката веќе била повторно употребена

Сменете ја неповрзаната сметка преку нејзиниот потврден процес за обновување, потоа прегледајте ги нејзините активни сесии и поставки за обновување, бидејќи ресетирање што остава стара сесија жива не ја завршило работата. Не ја праќајте лозинката до VPN поддршката за да ја покажете грешката. Каде што е достапна повеќефакторска автентикација, овозможете ја, бидејќи таа преживува истечена лозинка.

Ротирајте ги VPN акредитивите преку кој било процес што операторот го документира, и забележете дека ова е одделна акција од менувањето на сопствената сметка. Држете ги двете промени во ист тикет за никој да не претпостави дека едната ја покрила другата.

Ако е изложен приватен клиентски клуч наместо лозинка, отповикувањето е лекот. Менувањето на лозинката за е-пошта не отстранува копиран клуч.

Проверете го типот на акредитивите пред ротирање

Утврдете што навистина очекува полето пред да генерирате нешто. Кодот на порталска соба, клучот на партнер и лозинката не се заменливи, а ротирањето на погрешниот го остава изложувањето на место.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Чувајте ги генерираните вредности во менаџер за лозинки наместо во белешка, за да останат различните записи употребливи. Потоа потврдете дека новата вредност работи пред да ја отфрлите старата, и држете ги двата настана во ист тикет.

Завршете со чистење на зачуваните акредитиви на секоја заедничка инсталација што ја користела старата најава. Акредитивот отстранет од серверот и понатаму е истекување ако уредот продолжува повторно да се поврзува со кеширана копија.