Offentlig VPN-passord: hvorfor det ikke må være e-postpassordet ditt

Profiler i offentlige VPN-kataloger viser en server, et brukernavn og et passord som tusenvis av andre også har, og fristelsen er å skrive noe minneverdig. Nettopp den instinkten er problemet: verdien er ikke en personlig hemmelighet, og alt du gjenbruker den til, blir også offentlig. Behandle den publiserte innloggingen som en delt nøkkel til en offentlig tjeneste, og hver konto som identifiserer deg, som en helt annen kategori. Adskillelsen er enkel å opprettholde helt til dagen den betyr noe.

Hva påloggingsinformasjonen egentlig er

En innlogging som publiseres i en offentlig VPN-katalog, er en tilgangsavtale mellom operatøren og alle som leser siden. Den kan identifisere en delt tjenestekonto i stedet for en person, og operatøren kan observere forbindelsen ved gatewayen.

Det siste punktet fortjener vekt: den som avslutter en tunnel, ser trafikken som går inn og ut av den, og har passordet som åpnet den. Gjenbruk av en verdi til en e-postkonto forteller operatøren noe om en konto de aldri skulle ha kunnet gjette. Et delt passord er ikke en hemmelighet i noen meningsfull forstand, fordi mange mennesker har det. Kategoriene er forskjellige: en offentlig tilgangshemmelighet, et privat kontopassord, et klientcertifikat og en peer-nøkkel, hver av dem svarer på et annet spørsmål.

Gjenbruk er en kjent verdi, ikke en svak

Veiledning om passordstyrke fokuserer vanligvis på lengde og unikhet, og unikhet er nettopp det gjenbruk ødelegger. Et langt passord brukt to steder er en kjent verdi begge steder når ett av stedene lekker.

Credential stuffing avhenger av den overlappingen, og offentlige kataloger gjør den første halvdelen av paret gratis for alle. Å generere en egen verdi per tjeneste fjerner den spaken uten å kreve noe mer minneverdig. Lengde kompenserer aldri for en verdi som allerede er trykt på en offentlig side.

Hvis passordet allerede er gjenbrukt

Endre den urelaterte kontoen gjennom dens bekreftede gjenopprettingsprosess, og gjennomgå deretter kontoens aktive økter og gjenopprettingsinnstillinger, fordi en tilbakestilling som lar en gammel økt leve, ikke har fullført jobben. Ikke send passordet til VPN-støtte for å demonstrere feilen. Der multifaktorautentisering er tilgjengelig, aktiver den, siden den overlever et lekket passord.

Roter VPN-påloggingsinformasjonen gjennom den prosessen operatøren dokumenterer, og merk at dette er en egen handling fra å endre din egen konto. Hold de to endringene i samme sak, slik at ingen antar at den ene dekket den andre.

Hvis en privat klientnøkkel ble eksponert i stedet for et passord, er tilbakekalling botemiddelet. Å endre et e-postpassord fjerner ikke en kopiert nøkkel.

Kontroller legitimasjonstypen før du roterer

Identifiser hva feltet faktisk forventer før du genererer noe. En portalkode, en peer-nøkkel og et passord er ikke utskiftbare, og rotasjon av feil type lar eksponeringen stå.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Oppbevar genererte verdier i en passordbehandler i stedet for et notat, slik at ulike oppføringer forblir brukbare. Bekreft deretter at den nye verdien virker før du forkaster den gamle, og hold begge hendelsene i samme sak.

Avslutt med å rydde lagrede påloggingsopplysninger på enhver delt installasjon som brukte den gamle innloggingen. En legitimasjon fjernet fra serveren er fortsatt en lekkasje hvis en enhet fortsetter å koble til på nytt med en bufret kopi.