Għaliex ħruġ VPN maqsum iqajjem twissijiet tal-login li int ma kkawżajtx
Blokk tal-login normalment hija punteġġ tar-riskju, mhux verdett fuq it-tunnel tiegħek. Ħruġ maqsum ibiddel min ieħor jidħol f'dak il-punteġġ u kemm jiswielhom.
Iftaħ sit familjari permezz ta' VPN u tikseb sfida żejda, u l-ispjegazzjoni li tħajjar hija li t-tunnel ġie skopert. Xi ħaġa ġiet skoperta, imma ma kontx int. Is-sit ta punteġġ għal sett ta' sinjali, wieħed minnhom huwa l-indirizz tas-sors, u dak l-indirizz huwa maqsum ma' barranin li jaf kienu qed jiġġeneraw login fallut minuta qabel. Li taqra d-deċiżjoni bħala verdett fuq il-konnessjoni tiegħek hija fehim ħażin ta' għaliex is-servizz tal-punteġġ.
X'jista' u x'ma jistax jiddeċiedi indirizz tas-sors
Indirizz IP jiddeskrivi triq permezz tan-netwerk f'mument partikolari. Ma jidentifikax persuna, apparat jew saħansitra kont wieħed, u b'NAT tal-livell tal-operatur jew pool VPN mgħobbi jista' jkun quddiem eluf ta' sessjonijiet mhux relatati fl-istess ħin. Sit li jittratta l-indirizz bħala identità fil-fatt jittrattah bħala reputazzjoni, li hija dikjarazzjoni statistika u mhux fatt.
Żewġ persuni jistgħu jaqsmu ħruġ wieħed u jipproduċu provi opposti: wieħed jidħol b'suċċess b'tieni fattur, l-ieħor jipprova erbgħin password. L-indirizz huwa identiku, għalhekk ebda regola msejsa fuq l-indirizz biss ma tista' tiddistingwihom, u tkun xi tkun ir-reazzjoni li tqajjem, tapplika għat-tnejn.
Dan mhuwiex argument biex jinjoraw l-indirizzi. Dan huwa argument biex niftakru x'qed ikejjel is-sinjal, għax il-biċċa l-kbira tal-imġiba sorprendenti madwar il-login tal-VPN tiġi minn kontroll applikat fil-granularità ħażina, mhux minn osservazzjoni ħażina.
Għaliex l-iblukkar tal-ħruġ jikkastiga barranin
Blokk fil-livell tal-indirizz huwa rħis biex jiġi implimentat u għali biex jiġi mmirat. Ir-raġġ ta' impatt tiegħu huwa kull sessjoni wara dak l-indirizz, u għalhekk l-imġiba tal-indirizzi maqsuma u tan-NAT għandha l-istorja tagħha fid-dokumentazzjoni operattiva: l-istess raġunament jidher fix-xogħol tal-IETF dwar indirizzi tas-sors maqsuma u l-effetti kollaterali tal-filtrazzjoni bbażata fuq l-indirizz.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Ikkunsidra ż-żewġ fallimenti li joħloq blokk. Klijent leġittimu wara l-istess ħruġ jiġi rrifjutat is-servizz u jiftaħ ticket ta' appoġġ li jiswa aktar mill-abbuż. Attakkant reali jimxi għall-ħruġ li jmiss f'pool ta' eluf u jkompli, wara li nefaq xejn ħlief qabda mill-ġdid.
Il-proporzjonalità hija l-pass nieqes. Login fallut ripetut, mewġa ta' talbiet awtomatizzati u ksur ta' permess awtentikat huma tliet avvenimenti differenti, u t-tieni biss x'aktarx problema fil-forma ta' indirizz. L-applikazzjoni tal-istess projbizzjoni tan-netwerk għas-sit kollu fuq it-tlieta hija kif kontroll tas-sigurtà jsir ringiela ta' appoġġ.
Poġġi d-deċiżjoni fejn hemm il-provi
Kontrolli fil-livell tal-kont isegwu l-kont madwar l-indirizzi, li jaqbel mal-entità li tassew tinteressa lilek. Il-limitazzjoni tar-rata, il-perjodi ta' stennija wara fallimenti ripetuti u l-awtentikazzjoni gradwali għal azzjonijiet sensittivi kollha jaħdmu fuq il-kont jew l-azzjoni, mhux fuq it-triq tan-netwerk. Dan jaqbel aħjar mal-entità li tassew qed tipproteġi. Dan ukoll ineħħi l-inċentiv tal-attakkant li jfittex indirizz tal-ħruġ ġdid.
Il-linji gwida tal-NIST dwar l-awtentikazzjoni jittrattaw dawn bħala inputs għal valutazzjoni tar-riskju u jelenkaw l-indirizz, il-ġeolokazzjoni u l-ħin tat-talba fost is-sinjali, li huwa eżattament il-qafas li wieħed jissellef: sinjal jinforma deċiżjoni, ma jissostitwix awtentikatur. Aqra dik il-lista bħala inputs, mhux bħala menu ta' affarijiet li għandhom jiġu pprojbiti. L-awtentikatur xorta jagħmel il-prova, u s-sinjali l-oħra biss jiddeċiedu kemm frizzjoni għandha titqiegħed madwaru.
Żewġ restrizzjonijiet tad-disinn iżommu lill-approċċ fil-livell tal-kont milli jsir interruzzjoni tiegħu stess. Il-limiti tar-rata jeħtieġu triq ta' reviżjoni sigura biex l-utent ikun jista' jirrapporta klassifikazzjoni ħażina mingħajr ma jippubblika kredenzjali, u sfidi gradwali ma jistgħux jiġu mwieġba b'password jew kodiċi ta' darba mogħti lil kuntatt ta' appoġġ mhux verifikat.
Kif tidher politika ġusta minn barra
Ikteb liema deċiżjoni tappoġġa kull kontroll, imbagħad iċċekkja li l-granularità tal-kontroll taqbel. Il-kontrolli tal-indirizz iwieġbu mistoqsijiet dwar traffiku minn netwerk; il-kontrolli tal-kont iwieġbu mistoqsijiet dwar kont; l-avvenimenti tal-applikazzjoni jwieġbu mistoqsijiet dwar imġiba wara l-awtentikazzjoni. Politika li ssemmi t-tlieta hija awditabbli, u waħda li ssemmi biss traffiku VPN mhijiex.
Imbagħad kejjel ir-riżultat minflok l-għadd ta' regoli. It-tentattivi mhux awtorizzati għandhom jonqsu, l-utenti leġittimi għandhom iżommu triq appoġġata, u l-għadd ta' kuntatti ta' appoġġ għal kull elf login m'għandux jiżdied. Blokk li jtejjeb l-ewwel numru waqt li jħassar it-tnejn l-oħra ċaqlaq il-problema, ma solviehiex.
L-aċċettazzjoni tal-konnessjonijiet VPN u l-infurzar tal-kontrolli tal-abbuż huma għanijiet kompatibbli. Il-verżjoni li taħdem tittratta l-indirizz tas-sors bħala input wieħed fost diversi, tapplika l-iktar kontroll dejjaq li jaqbel mal-provi, u tħalli triq onesta għall-persuna li ġiet ikklassifikata ħażin. Il-verżjoni li tfalli tittratta indirizz bħala suspettat u ssejħilha politika.