Зошто заеднички излез на VPN предизвикува предупредувања за најава што не сте ги предизвикале
Блокирањето на најава обично е резултат за ризик, не пресуда за вашиот тунел. Заедничките излези менуваат кој уште е вклучен во тој резултат и колку тоа ги чини.
Отворете познат сајт преку VPN и добијте дополнителен предизвик, и примамливото објаснување е дека тунелот е откриен. Нешто е откриено, но тоа не бевте вие. Сајтот оцени збир на сигнали, еден од нив е изворната адреса, и таа адреса се дели со странци кои можеби создавале неуспешни најави една минута претходно. Да се чита одлуката како пресуда за вашата врска значи погрешно да се разбере за што служи резултатот.
Што може и што не може да одреди изворната адреса
IP адресата опишува пат низ мрежата во одреден момент. Таа не идентификува личност, уред или дури ни една сметка, и со NAT на операторско ниво или зафатен VPN базен може истовремено да претставува илјадници неповрзани сесии. Сајт што ја третира адресата како идентитет, всушност ја третира како репутација, што е статистички исказ, а не факт.
Две лица можат да делат еден излез и да дадат спротивни докази: едниот успешно се најавува со втор фактор, другиот пробува четириесет лозинки. Адресата е иста, така што ниедно правило засновано само на адресата не може да ги разликува, и каков и да е предизвиканиот одговор, тој важи за двете.
Тоа не е аргумент за игнорирање на адресите. Тоа е аргумент да се запомни што мери сигналот, бидејќи најголемиот дел од изненадувачкото однесување околу најавите преку VPN доаѓа од примена на контрола на погрешно ниво на деталност, а не од погрешно набљудување.
Зошто блокирањето на излезот ги казнува странците
Блок на ниво на адреса е евтин за воведување и скап за насочување. Неговиот радиус на влијание е секоја сесија зад таа адреса, и затоа однесувањето на заедничките адреси и NAT има своја историја во оперативната документација: истото размислување се појавува во работата на IETF за заеднички изворни адреси и несаканите ефекти од филтрирање засновано на адреса.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Разгледајте ги двата неуспеси што ги создава блокот. На легитимен клиент зад истиот излез му се одбива услуга и тој отвора билет за поддршка што чини повеќе од самата злоупотреба. Вистински напаѓач преминува на следниот излез во базен од илјадници и продолжува, потрошувајќи само повторно поврзување.
Пропорционалноста е чекорот што недостига. Повторените неуспешни најави, бранот автоматизирани барања и автентифицираното кршење на дозвола се три различни настани, и само вториот е веројатно проблем во форма на адреса. Примена на истата мрежна забрана за целиот сајт на сите три е начинот на кој безбедносната контрола станува ред за поддршка.
Ставете ја одлуката таму каде што се доказите
Контролите на ниво на сметка ја следат сметката низ адресите, што одговара на ентитетот за кој навистина ви е грижа. Ограничувањето на брзината, периодите на чекање по повторени неуспеси и постепената автентикација за чувствителни дејства делуваат на сметката или дејството, а не на мрежниот пат. Тоа подобро одговара на ентитетот што навистина го штитите. Тоа исто така ја отстранува мотивацијата на напаѓачот да бара свежа излезна адреса.
Упатствата на NIST за автентикација ги третираат овие како влезови за проценка на ризик и ја наведуваат адресата, геолокацијата и времето на барањето меѓу сигналите, што е токму рамката што треба да се позајми: сигналот информира одлука, тој не заменува автентикатор. Читајте го тој список како влезови, а не како мени на работи што треба да се забранат. Автентикаторот и понатаму го дава доказот, а другите сигнали само одлучуваат колку триење да се стави околу него.
Две дизајнерски ограничувања спречуваат пристапот на ниво на сметка да стане сопствен прекин. Ограничувањата на брзината бараат безбеден пат за преглед за да може корисникот да пријави погрешна класификација без да објавува акредитиви, а постепените предизвици не смеат да бидат одговорени со лозинка или еднократен код даден на неверификуван контакт за поддршка.
Како изгледа правична политика однадвор
Запишете која одлука ја поддржува секоја контрола, потоа проверете дали нивото на деталност на контролата одговара. Адресните контроли одговараат на прашања за сообраќај од мрежа; контролите на сметка одговараат на прашања за сметка; настаните на апликацијата одговараат на прашања за однесување по автентикација. Политика што ги именува сите три е проверлива, а онаа што именува само VPN сообраќај не е.
Потоа мерете го резултатот, а не бројот на правила. Неовластените обиди треба да паднат, легитимните корисници треба да задржат поддржан пат, а бројот на контакти со поддршка на илјада најави не треба да расте. Блок што го подобрува првиот број, а ги уништува другите два, го преместил проблемот, а не го решил.
Прифаќањето VPN врски и спроведувањето контроли против злоупотреба се компатибилни цели. Верзијата што функционира ја третира изворната адреса како еден од неколку влезови, применува најтесна контрола што одговара на доказите и остава чесен пат за лицето што било погрешно класифицирано. Верзијата што не успева ја третира адресата како осомничен и го нарекува тоа политика.