Mengapa Keluar VPN Dikongsi Mencetuskan Amaran Log Masuk yang Tidak Anda Sebabkan
Sekatan log masuk biasanya skor risiko, bukan keputusan tentang terowong anda. Keluar dikongsi mengubah siapa lagi yang termasuk dalam skor itu dan berapa kosnya kepada mereka.
Buka laman yang biasa melalui VPN dan dapatkan cabaran tambahan, dan penjelasan yang menggoda ialah terowong telah dikesan. Sesuatu telah dikesan, tetapi ia bukan anda. Laman itu menilai satu set isyarat, salah satunya alamat sumber, dan alamat itu dikongsi dengan orang asing yang mungkin menghasilkan log masuk gagal seminit sebelumnya. Membaca keputusan itu sebagai keputusan tentang sambungan anda salah memahami untuk apa skor itu.
Apa yang alamat sumber boleh dan tidak boleh tentukan
Alamat IP menerangkan laluan melalui rangkaian pada satu masa tertentu. Ia tidak mengenal pasti seseorang, peranti atau bahkan satu akaun, dan dengan NAT peringkat pembawa atau kumpulan VPN yang sibuk ia boleh mewakili beribu-ribu sesi tidak berkaitan serentak. Laman yang menganggap alamat sebagai identiti sebenarnya menganggapnya sebagai reputasi, iaitu pernyataan statistik, bukan fakta.
Dua orang boleh berkongsi satu keluar dan menghasilkan bukti bertentangan: seorang log masuk dengan jayanya menggunakan faktor kedua, yang lain mencuba empat puluh kata laluan. Alamatnya sama, jadi sebarang peraturan yang bergantung pada alamat sahaja tidak dapat membezakan mereka, dan apa jua tindak balas yang dicetuskan terpakai kepada kedua-duanya.
Itu bukan hujah untuk mengabaikan alamat. Itu hujah untuk mengingati apa yang diukur oleh isyarat, kerana kebanyakan tingkah laku mengejutkan sekitar log masuk VPN datang daripada kawalan yang digunakan pada butiran yang salah, bukan daripada pemerhatian yang salah.
Mengapa menyekat keluar menghukum orang asing
Sekatan pada peringkat alamat murah dilaksanakan dan mahal disasarkan. Jejari kesannya ialah setiap sesi di belakang alamat itu, dan sebab itulah tingkah laku alamat dikongsi dan NAT mempunyai sejarahnya sendiri dalam dokumentasi operasi: penaakulan yang sama muncul dalam kerja IETF tentang alamat sumber dikongsi dan kesan sampingan penapisan berasaskan alamat.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Pertimbangkan dua kegagalan yang dicipta oleh sekatan. Pelanggan sah di belakang keluar yang sama ditolak perkhidmatan dan membuka tiket sokongan yang lebih mahal daripada penyalahgunaan itu sendiri. Penyerang sebenar berpindah ke keluar seterusnya dalam kumpulan beribu-ribu dan meneruskan, tanpa membelanjakan apa-apa selain menyambung semula.
Perkadaran ialah langkah yang hilang. Log masuk gagal berulang, lonjakan permintaan automatik dan pelanggaran kebenaran yang disahkan ialah tiga peristiwa berbeza, dan hanya yang kedua mungkin masalah berbentuk alamat. Menggunakan larangan rangkaian seluruh laman yang sama pada ketiga-tiganya ialah cara kawalan keselamatan menjadi barisan sokongan.
Letakkan keputusan di tempat bukti berada
Kawalan pada peringkat akaun mengikut akaun merentas alamat, yang sepadan dengan entiti yang benar-benar anda pedulikan. Penghad had laju, tempoh menunggu selepas kegagalan berulang dan pengesahan berperingkat untuk tindakan sensitif semuanya beroperasi pada akaun atau tindakan, bukan pada laluan rangkaian. Itu lebih sepadan dengan entiti yang benar-benar anda lindungi. Ia juga menghapuskan insentif penyerang untuk mencari alamat keluar baharu.
Panduan pengesahan NIST menganggap perkara ini sebagai input kepada penilaian risiko dan menyenaraikan alamat, geolokasi dan masa permintaan antara isyarat, iaitu tepat kerangka yang patut dipinjam: isyarat memaklumkan keputusan, ia tidak menggantikan pengesah. Baca senarai itu sebagai input, bukan sebagai menu perkara yang perlu diharamkan. Pengesah masih melakukan pembuktian, dan isyarat lain hanya menentukan berapa banyak geseran diletakkan di sekelilingnya.
Dua kekangan reka bentuk menghalang pendekatan peringkat akaun daripada menjadi gangguan tersendiri. Had laju memerlukan laluan semakan yang selamat supaya pengguna boleh melaporkan klasifikasi yang salah tanpa menerbitkan kelayakan, dan cabaran berperingkat tidak boleh dijawab dengan kata laluan atau kod sekali guna yang diberikan kepada kenalan sokongan yang tidak disahkan.
Bagaimana dasar yang adil kelihatan dari luar
Tuliskan keputusan mana yang disokong oleh setiap kawalan, kemudian semak bahawa butiran kawalan itu sepadan. Kawalan alamat menjawab soalan tentang trafik dari rangkaian; kawalan akaun menjawab soalan tentang akaun; peristiwa aplikasi menjawab soalan tentang tingkah laku selepas pengesahan. Dasar yang menamakan ketiga-tiganya boleh diaudit, dan yang hanya menamakan trafik VPN tidak.
Kemudian ukur hasilnya, bukan bilangan peraturan. Cubaan tidak sah sepatutnya menurun, pengguna sah sepatutnya mengekalkan laluan yang disokong, dan bilangan hubungan sokongan bagi setiap seribu log masuk tidak sepatutnya meningkat. Sekatan yang memperbaiki angka pertama sambil merosakkan dua yang lain telah memindahkan masalah, bukan menyelesaikannya.
Menerima sambungan VPN dan menguatkuasakan kawalan penyalahgunaan ialah matlamat yang serasi. Versi yang berkesan menganggap alamat sumber sebagai satu input antara beberapa, menggunakan kawalan tersempit yang sesuai dengan bukti, dan meninggalkan laluan jujur untuk orang yang salah diklasifikasikan. Versi yang gagal menganggap alamat sebagai suspek dan memanggilnya dasar.