Нийтэд нээлттэй VPN нууц үг: яагаад энэ таны имэйлийн нууц үг байх ёсгүй вэ

Нийтийн VPN лавлахууд дахь профайлууд мянга мянган бусад хүмүүст байдаг сервер, хэрэглэгчийн нэр, нууц үгийг жагсаадаг бөгөөд санахад хялбар зүйл бичих уруу таталт үүсдэг. Яг тэр зөн совин нь асуудал: утга нь хувийн нууц биш бөгөөд үүнийг дахин ашиглах бүхэн нийтийн болдог. Нийтэлсэн нэвтрэхийг нийтийн үйлчилгээний хамтын түлхүүр гэж үзэж, таныг таних бүртгэл бүрийг огт өөр ангилал гэж үзээрэй. Энэ ялгааг чухал болох өдөр хүртэл хадгалахад хялбар.

Нэвтрэх мэдээлэл үнэндээ юу вэ

Нийтийн VPN лавлахад нийтэлсэн нэвтрэх нь оператор ба хуудсыг уншсан хүн бүрийн хоорондын хандалтын тохиролцоо юм. Энэ нь хүнээс илүү хамтын үйлчилгээний бүртгэлийг таньж болох бөгөөд оператор гарц дээр холболтыг ажиглаж чадна.

Сүүлийн цэг онцгой анхаарал харьцуулна: туннелийг дуусгагч нь түүн рүү орох, түүнээс гарах урсгалыг харж, түүнийг нээсэн нууц үгийг хадгалдаг. Имэйл бүртгэлд утгыг дахин ашиглах нь операторт тэр хэзээ ч тааж чадах ёсгүй байсан бүртгэлийн талаар ямар нэг зүйл хэлдэг. Хамтын нууц үг нь ямар ч утга учиртай утгаар нууц биш, учир нь олон хүн үүнийг хадгалдаг. Ангиллууд ялгаатай: нийтийн хандалтын нууц, хувийн бүртгэлийн нууц үг, клиентийн гэрчилгээ, хос түлхүүр, тус бүр өөр асуултад хариулдаг.

Дахин ашиглах нь мэдэгдэх утга, сул биш

Нууц үгийн хүч чадлын зөвлөмж нь ихэвчлэн урт, өвөрмөц байдалд анхаардаг бөгөөд өвөрмөц байдлыг яг дахин ашиглах нь устгадаг. Хоёр газарт хэрэглэсэн урт нууц үг нь аль нэг нь алдагдмагц хоёуланд нь мэдэгдэх утга болно.

Credential stuffing нь тэр давхцалаас хамаардаг бөгөөд нийтийн лавлахууд хосын эхний хагасыг хэнд ч үнэгүй болгодог. Үйлчилгээ бүрт тусдаа утга үүсгэх нь санахад илүү хялбар зүйлийг шаардалгүйгээр тэр давуу талыг арилгадаг. Урт нь нийтийн хуудсанд аль хэдийн хэвлэгдсэн утгыг хэзээ ч нөхдөггүй.

Хэрэв нууц үгийг өмнө нь дахин ашигласан бол

Холбоогүй бүртгэлийг түүний баталгаажсан сэргээх үйл явцаар сольж, дараа нь идэвхтэй сесс, сэргээх тохиргоог нь хянаарай, учир нь хуучин сессийг амьд үлдээсэн дахин тохируулга ажлыг дуусгаагүй. Алдааг харуулахын тулд нууц үгийг VPN дэмжлэг рүү бүү илгээ. Олон хүчин зүйлийн баталгаажуулалт байгаа газарт үүнийг идэвхжүүл, учир нь энэ нь алдагдсан нууц үгийг даван туулдаг.

VPN итгэмжлэлийг операторын баримтжуулсан аль ч үйл явцаар эргүүлж, энэ нь өөрийн бүртгэлийг өөрчлөхөөс тусдаа үйлдэл гэдгийг анхаар. Хоёр өөрчлөлтийг нэг тасалбарт хадгалж, хэн ч нэг нь нөгөөг нь бүрхсэн гэж бодохгүй байг.

Хэрэв нууц үгийн оронд хувийн клиентийн түлхүүр ил болсон бол хүчингүй болгох нь эмчилгээ. Имэйлийн нууц үгийг солих нь хуулсан түлхүүрийг арилгахгүй.

Эргүүлэхийн өмнө итгэмжлэлийн төрлийг шалга

Ямар нэг зүйл үүсгэхийн өмнө талбар юу хүлээж байгааг тодорхойл. Порталын өрөөний код, хос түлхүүр, нууц үг нь солигддоггүй бөгөөд буруугийг эргүүлэх нь ил болсныг байранд нь үлдээдэг.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Үүсгэсэн утгуудыг тэмдэглэлийн оронд нууц үгийн менежерт хадгалж, тусдаа оруулгууд ашиглахуйц хэвээр байг. Дараа нь хуучныг хаяхын өмнө шинэ утга ажиллаж байгааг баталгаажуулж, хоёр үйл явдлыг нэг тасалбарт хадгал.

Хуучин нэвтрэхийг ашигласан аливаа хамтын суулгац дахь хадгалагдсан итгэмжлэлийг цэвэрлэж дуусга. Серверээс устгасан итгэмжлэл нь төхөөрөмж кэшлэсэн хуулбараар дахин холбогдсоор байвал алдагдал хэвээр.