तुमचा VPN पासवर्ड त्याच्या पडताळणीकर्त्याइतकाच खाजगी आहे

कोणत्याही VPN लॉगिनबद्दल चार प्रश्न विचारात घ्या: प्रवासादरम्यान पासवर्डचे संरक्षण काय करते, कोणता घटक तो प्राप्त करतो, तो घटक त्याचे काय करतो, आणि नंतर काय साठवले जाते। प्रत्येक उत्तर वेगळे नियंत्रण आहे, आणि एकावरचे ठोस उत्तर इतरांबद्दल काहीही सांगत नाही। चूक ही आहे की टनेल एन्क्रिप्शन चारही व्यापते असे समजणे। ते फक्त पहिल्यालाच व्यापते।

सत्र एन्क्रिप्टेड आहे का हे नाही, तर सत्र कोण संपवते हे विचारा।

नेमके कोणासाठी एन्क्रिप्टेड?

TLS क्लायंट आणि कनेक्शन संपवणाऱ्याच्या दरम्यान पासवर्डचे संरक्षण करते। जर तो शेवटचा बिंदू VPN गेटवे असेल, तर गेटवेचा प्रमाणीकरण कोड स्पष्ट मजकुरातील पासवर्ड पाहतो, त्याची पडताळणी करतो, आणि तो किंवा त्यातून मिळवलेले मूल्य पुढे पाठवतो। हे इच्छित रचना आहे, गळती नाही। मार्गावरील नेटवर्क निरीक्षकाला काही उपयुक्त शिकायला मिळत नाही, आणि पडताळणी करणाऱ्या घटकाला आवश्यक ते सर्व मिळते।

OpenVPN समुदाय हे स्पष्टपणे दस्तऐवजीकरण करतो: auth-user-pass-verify सादर केलेल्या ओळखपत्रांची पडताळणी स्क्रिप्ट किंवा प्लगइनला सुपूर्द करतो। हे घटकांमधील जाणीवपूर्वक हस्तांतरण आहे, आणि ते नामनिर्देशित पक्ष म्हणून विश्वास मॉडेलमध्ये येते।

पडताळणीकर्ता पासवर्ड पाहतो

एखादा घटक पडताळणीसाठी पासवर्ड प्राप्त केल्यावर, रहस्य आत राहते का हे त्या घटकाचे प्रवेश नियंत्रण, लॉगिंग आणि कोड गुणवत्ता ठरवतात। ओळखपत्र लॉगमध्ये लिहिणारी स्क्रिप्ट, किंवा ते कॅशे करणारे प्लगइन, प्रोटोकॉलने निर्माण केलेल्यापेक्षा खूप मोठे उघड होणे निर्माण करते। प्रवेश टनेलवर नाही, तर आर्किटेक्चर आणि भूमिकांवर अवलंबून असतो, म्हणून पडताळणीकर्ता नियंत्रित करणारा सेवा मालक मूल्यांकनात येतो।

वेगवेगळ्या पद्धती वेगवेगळी सामग्री उघड करतात। प्रमाणपत्राद्वारे प्रमाणीकरण खाजगी की न पाठवता सिद्ध करते, आणि फेडरेशन प्रवाह VPN ला मर्यादित दावा देऊन पासवर्ड ओळख प्रदात्याकडे ठेवू शकतो। त्या रचना वर्तुळ आकुंचित करतात; त्यांपैकी कोणतीही प्रत्येक विश्वासार्ह पक्ष काढून टाकत नाही।

साठवलेले हॅश वेगळ्या टप्प्याचे संरक्षण करतात

NIST चे मार्गदर्शन संरक्षित प्रवास आणि प्रतिरोधक पडताळणीकर्ता साठवण यांना वेगळे करते। सॉल्टिंग आणि खर्चिक हॅशिंग योजना साठवलेल्या पडताळणीकर्त्याच्या धोक्याला सामोरे जाते, म्हणजे डेटाबेस गळती झाल्यास नंतर घडणारी गोष्ट। तुलना करण्यासाठी इनपुट घ्यावेच लागणाऱ्या रनटाइम घटकासाठी ते काहीही करत नाहीत। मार्गदर्शन रनटाइम गोपनीयतेचे वचन देते असे वाचणे ही श्रेणीची चूक आहे।

म्हणून चांगले हॅश केलेले पासवर्ड साठवण आणि उघड पडताळणी स्क्रिप्ट एकाच उत्पादनात विरोधाभासाशिवाय एकत्र राहू शकतात।

वर्तुळ आकुंचित करणारी पद्धत निवडणे

गेटवेला कधीही पुन्हा वापरता येणारा पासवर्ड मिळू नये ही आवश्यकता असल्यास, ती खरोखर हमी देणारी पद्धत निवडा; डेटा सिफर बदलल्याने तो गुण तयार होत नाही। VPN सर्व्हरचे प्रमाणपत्र पडताळल्याने तुम्ही कोणत्या प्रतिपक्षापर्यंत पोहोचलात हे कळते; तो प्रतिपक्ष नंतर ओळखपत्रांशी कसा वागतो याबद्दल काहीही कळत नाही। सर्व्हर पडताळणी ठेवा, प्रत्येक सेवेसाठी वेगळी ओळखपत्रे वापरा, आणि संस्थेचा समर्थित ओळख प्रवाह अनुसरा।

पासवर्ड प्राप्त करणारा पक्ष, त्याची पडताळणी करणारा पक्ष आणि तो ज्या स्वरूपात ठेवला जातो ते नोंदवा। ती तीन उत्तरे कनेक्शन प्रोफाइलच्या बाजूला असतात, कारण ती कोणत्याही विशिष्ट टनेलपेक्षा जास्त काळ टिकतात।

उपयुक्त प्रश्न हा पासवर्ड एन्क्रिप्टेड आहे का हा नाही, तर तो कोणापासून लपवला जातो, कोणता घटक तो प्राप्त करतो आणि नंतर कोणते स्वरूप टिकते हा आहे।