Il-password VPN tiegħek hija privata daqs kemm hu privat il-verifikatur tagħha

Ikkunsidra erba' mistoqsijiet dwar kwalunkwe login VPN: x'jipproteġi l-password waqt it-transitu, liema komponent jirċeviha, x'jagħmel dak il-komponent biha, u x'jinħażen wara. Kull tweġiba hija kontroll differenti, u tweġiba soda għal waħda ma tgħid xejn dwar l-oħrajn. L-iżball hu li tittratta l-encryption tal-mina bħallikieku tkopri l-erbgħa. Tkopri l-ewwel waħda, u biss l-ewwel waħda.

Staqsi min itemm is-sessjoni, mhux jekk is-sessjoni hijiex encrypted.

Encrypted għal min, eżattament?

TLS jipproteġi l-password bejn il-klijent u dak li jtemm il-konnessjoni. Jekk dak il-punt tat-tmiem hija l-gateway VPN, il-kodiċi tal-awtentikazzjoni tal-gateway jara l-password f'test ċar, jivvalidaha, u jgħaddiha jew jgħaddi valur derivat 'il quddiem. Dan hu d-disinn maħsub, mhux tnixxija. Osservatur tan-netwerk fit-triq ma jitgħallem xejn utli, u l-komponent li jagħmel il-verifika jitgħallem kollox li jeħtieġ.

Il-komunità ta' OpenVPN tiddokumenta dan b'mod espliċitu: auth-user-pass-verify tgħaddi l-kredenzjali sottomessi lil script jew plugin tal-verifika. Hija għotja intenzjonata bejn komponenti, u tappartjeni għall-mudell tal-fiduċja bħala parti msemmija.

Il-verifikatur jara l-password

Ladarba komponent jirċievi password biex jivverifikaha, il-kontrolli tal-aċċess tiegħu, ir-reġistrazzjoni u l-kwalità tal-kodiċi jiddeterminaw jekk is-sigriet jibqax magħluq. Script li jikteb il-kredenzjali f'log, jew plugin li jaħżinha fil-cache, joħloq espożizzjoni ferm akbar minn dik tal-protokoll. L-aċċess jiddependi mill-arkitettura u mir-rwoli, mhux mill-mina, u għalhekk is-sid tas-servizz li jikkontrolla l-verifikatur jappartjeni għall-valutazzjoni.

Metodi differenti jesponu materjal differenti. L-awtentikazzjoni b'ċertifikat tipprova ċavetta privata mingħajr ma tibgħatha, u fluss ta' federazzjoni jista' jżomm il-password għand il-fornitur tal-identità filwaqt li joħroġ asserzjoni limitata lill-VPN. Dawk id-disinji jnaqqsu ċ-ċirku; ħadd minnhom ma jelimina kull parti fiduċjarja.

Hashes maħżuna jipproteġu stad differenti

Il-gwida NIST tifred it-trasmissjoni protetta mill-ħażna reżistenti tal-verifikatur. Is-salt u skema ta' hashing bl-ispiża jindirizzaw it-theddida tal-verifikatur maħżun, jiġifieri dak li jiġri wara l-fatt jekk tidbiel database. Ma jagħmlu xejn għal komponent tal-ħin tal-eżekuzzjoni li jrid jirċievi l-input biex iqabblu. Li taqra l-gwida bħallikieku tipprometti s-segretezza fil-ħin tal-eżekuzzjoni huwa żball ta' kategorija.

Għalhekk maħżen tal-password hashed tajjeb u script tal-verifika espost jistgħu jikkoeżistu fi prodott wieħed mingħajr kontradizzjoni.

L-għażla ta' metodu li jnaqqas iċ-ċirku

Jekk ir-rekwiżit hu li l-gateway qatt ma tirċievi password li tista' terġa' tintuża, agħżel metodu li fil-fatt jiggarantiha; it-tibdil ta' cipher tad-data ma joħloqx dik il-proprjetà. Il-verifika taċ-ċertifikat tas-server VPN tgħidlek liema sieħeb wasalt; ma tgħid xejn dwar kif dak is-sieħeb imbagħad jimmaniġġja l-kredenzjali. Żomm il-verifika tas-server, uża kredenzjali distinti għal kull servizz, u ssegwi l-fluss tal-identità appoġġat mill-organizzazzjoni.

Irreġistra l-parti li tirċievi l-password, il-parti li tivvalidaha u l-forma li fiha tinżamm. Dawk it-tliet tweġibiet jappartjenu ħdejn il-profil tal-konnessjoni, għax jgħixu aktar minn kwalunkwe mina partikolari.

Il-mistoqsija utli mhijiex jekk il-password hijiex encrypted, imma minn min hija moħbija, liema komponent jirċeviha u liema forma tibqa' wara.