Вашата VPN лозинка е приватна само колку што е приватен нејзиниот проверувач

Разгледајте четири прашања за секое најавување на VPN: што ја штити лозинката за време на преносот, која компонента ја добива, што прави таа компонента со неа и што се чува потоа. Секој одговор е различна контрола, а силен одговор на еден не кажува ништо за другите. Грешката е да се третира шифрирањето на тунелот како да ги покрива сите четири. Тоа го покрива првиот, и само првиот.

Прашајте кој ја завршува сесијата, а не дали сесијата е шифрирана.

Шифрирано за кого, точно?

TLS ја штити лозинката помеѓу клиентот и она што ја завршува врската. Ако таа крајна точка е VPN портата, кодот за автентикација на портата ја гледа лозинката во чист текст, ја валидира и ја пренесува понатаму неа или изведена вредност. Тоа е предвидениот дизајн, а не истекување. Мрежен набљудувач на патеката не учи ништо корисно, а компонентата што ја врши проверката учи сѐ што ѝ треба.

Заедницата на OpenVPN го документира ова експлицитно: auth-user-pass-verify ги предава поднесените акредитиви на скрипта или додаток за проверка. Тоа е намерно предавање помеѓу компоненти, и припаѓа на моделот на доверба како именувана страна.

Проверувачот ја гледа лозинката

Откако компонентата ќе добие лозинка за да ја провери, нејзините контроли за пристап, евидентирањето и квалитетот на кодот одлучуваат дали тајната останува затворена. Скриптата што ги запишува акредитивите во дневник, или додатокот што ги кешира, создава далеку поголема изложеност отколку протоколот. Пристапот зависи од архитектурата и улогите, а не од тунелот, затоа сопственикот на услугата што го контролира проверувачот припаѓа на проценката.

Различни методи откриваат различен материјал. Автентикацијата со сертификат докажува приватен клуч без да го испрати, а федерацискиот тек може да ја задржи лозинката кај давателот на идентитет и да издаде ограничено тврдење на VPN. Тие дизајни го стеснуваат кругот; ниту еден од нив не ја отстранува секоја доверлива страна.

Зачуваните хашеви штитат друга фаза

Упатствата на NIST го одделуваат заштитениот пренос од отпорното складирање на проверувачот. Солта и скапата шема за хаширање ја решаваат заканата од зачуван проверувач, што е она што се случува по фактот ако базата на податоци истече. Тие не прават ништо за компонентата во време на извршување што мора да го добие влезот за да го спореди. Да се читаат упатствата како да ветуваат тајност во време на извршување е грешка во категорија.

Затоа добро хаширано складиште на лозинки и откриена скрипта за проверка можат да постојат заедно во еден производ без противречност.

Избор на метод што го стеснува кругот

Ако барањето е портата никогаш да не добие лозинка што може повторно да се користи, изберете метод што тоа навистина го гарантира; промената на шифрата на податоци не го создава тоа својство. Проверката на сертификатот на VPN серверот ви кажува до кој партнер стигнавте; таа не кажува ништо за тоа како тој партнер потоа постапува со акредитивите. Задржете ја проверката на серверот, користете различни акредитиви за секоја услуга и следете го поддржаниот тек на идентитет на организацијата.

Запишете ја страната што ја добива лозинката, страната што ја валидира и формата во која се чува. Тие три одговори припаѓаат до профилот на врската, бидејќи го надживуваат секој конкретен тунел.

Корисното прашање не е дали лозинката е шифрирана, туку од кого е скриена, која компонента ја добива и каква форма останува потоа.