Kata laluan VPN awam: mengapa ia tidak boleh menjadi kata laluan e-mel anda

Profil dalam direktori VPN awam menyenaraikan pelayan, nama pengguna dan kata laluan yang turut dimiliki ribuan orang lain, dan godaannya ialah menaip sesuatu yang mudah diingat. Naluri itulah masalahnya: nilai itu bukan rahsia peribadi, dan apa sahaja yang anda gunakan semula untuknya turut menjadi awam. Layan log masuk yang diterbitkan sebagai kunci kongsi kepada perkhidmatan awam, dan setiap akaun yang mengenal pasti anda sebagai kategori yang sama sekali berbeza. Pemisahan ini mudah dikekalkan sehingga hari ia penting.

Apakah sebenarnya kelayakan itu

Log masuk yang diterbitkan dalam direktori VPN awam ialah pengaturan akses antara pengendali dan sesiapa yang membaca halaman itu. Ia mungkin mengenal pasti akaun perkhidmatan kongsi dan bukannya seseorang, dan pengendali boleh memerhati sambungan di gerbang.

Perkara terakhir itu wajar diberi penekanan: sesiapa yang menamatkan terowong melihat trafik yang masuk dan keluar daripadanya, dan memegang kata laluan yang membukanya. Menggunakan semula nilai untuk akaun e-mel memberitahu pengendali sesuatu tentang akaun yang sepatutnya tidak pernah dapat mereka teka. Kata laluan kongsi bukan rahsia dalam apa-apa erti yang bermakna, kerana ramai orang memegangnya. Kategorinya berbeza: rahsia akses awam, kata laluan akaun peribadi, sijil klien dan kunci rakan, masing-masing menjawab soalan yang berbeza.

Penggunaan semula ialah nilai yang diketahui, bukan yang lemah

Panduan kekuatan kata laluan biasanya menumpukan pada panjang dan keunikan, dan keunikan itulah yang dimusnahkan oleh penggunaan semula. Kata laluan panjang yang digunakan di dua tempat menjadi nilai yang diketahui di kedua-duanya sebaik salah satu daripadanya bocor.

Credential stuffing bergantung pada pertindihan itu, dan direktori awam menjadikan separuh pertama pasangan itu percuma kepada sesiapa sahaja. Menjana nilai berasingan bagi setiap perkhidmatan menghapuskan daya tuas itu tanpa menuntut sesuatu yang lebih mudah diingat. Panjang tidak pernah menggantikan nilai yang sudah tercetak pada halaman awam.

Jika kata laluan sudah digunakan semula

Tukar akaun tidak berkaitan melalui proses pemulihannya yang disahkan, kemudian semak sesi aktif dan tetapan pemulihannya, kerana penetapan semula yang membiarkan sesi lama hidup belum menyelesaikan kerja itu. Jangan hantar kata laluan kepada sokongan VPN untuk menunjukkan kesilapan itu. Di mana pengesahan berbilang faktor tersedia, hidupkannya, kerana ia bertahan daripada kata laluan yang bocor.

Putar kelayakan VPN melalui apa-apa proses yang didokumenkan oleh pengendali, dan ambil perhatian bahawa ini tindakan berasingan daripada menukar akaun anda sendiri. Simpan kedua-dua perubahan dalam tiket yang sama supaya tiada siapa menganggap satu meliputi yang lain.

Jika kunci klien peribadi terdedah dan bukannya kata laluan, pembatalan ialah penawarnya. Menukar kata laluan e-mel tidak membuang kunci yang disalin.

Semak jenis kelayakan sebelum memutar

Kenal pasti apa yang sebenarnya dijangka oleh medan itu sebelum menjana apa-apa. Kod bilik portal, kunci rakan dan kata laluan tidak boleh ditukar ganti, dan memutar yang salah membiarkan pendedahan itu kekal.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Simpan nilai yang dijana dalam pengurus kata laluan dan bukannya nota, supaya entri berasingan kekal boleh digunakan. Kemudian sahkan bahawa nilai baharu berfungsi sebelum membuang yang lama, dan simpan kedua-dua peristiwa dalam tiket yang sama.

Akhiri dengan membersihkan kelayakan tersimpan pada mana-mana pemasangan kongsi yang menggunakan log masuk lama. Kelayakan yang dibuang daripada pelayan masih merupakan kebocoran jika peranti terus menyambung semula dengan salinan cache.