Hoe snel kan iemand uw VPN-wachtwoord raden?

Latentie beantwoordt een vraag die niemand stelde. Drie voorwaarden bepalen wat een schatting van een gok echt betekent: of de gok wordt gecontroleerd door een levende dienst of tegen vastgelegd materiaal, welke authenticatiemethode dat materiaal opleverde, en welke controles de dienst afdwingt. Een ping meet één roundtrip op één pad en beantwoordt geen van alle. Een seconde door dat getal delen levert een cijfer op dat precies, onverwant en vaak herhaald is alsof het een beveiligingseigenschap was.

Latentie hoort bij verbindingswerk. Authenticatiesterkte is een eigenschap van de verificateur en het protocol.

Eén roundtrip is geen snelheidslimiet

Een roundtriptijd beschrijft hoe lang één verzoek en het antwoord daarop op een bepaald pad duren. Zelfs bij onlinepogingen hangt de doorvoer af van hoeveel verzoeken een client openhoudt, hoeveel tijd de server per poging besteedt en welke snelheidslimieten worden afgedwongen. Die zijn onafhankelijk van de ping. Een Ethernet-verbinding legt geen regel op dat er per roundtrip maar één poging kan bestaan, en een snelle ping bewijst niet dat een verificateur gokken in dat tempo accepteert.

Als de dienst een account na vijf fouten vergrendelt, is het praktische tempo vijf pogingen per vergrendelvenster, ongeacht het netwerk. Dat is een controle, en dat is het getal dat het vermelden waard is.

Waar de gok werkelijk wordt gecontroleerd

Online dient de claimant elk kandidaat in bij de echte dienst, die kan observeren, vertragen, vergrendelen en waarschuwen. Offline controleert een aanvaller met geschikt verificatiemateriaal kandidaten lokaal zonder enige betrokkenheid van de dienst. Dat onderscheid bepaalt bijna alles in de rekenkunde. De wachtwoordrichtlijnen van NIST behandelen deze dreigingen apart en vragen om snelheidsbeperking van mislukte onlinepogingen en om opslag die offline aanvallen weerstaat via gezout hashen met een kostenfactor. Beide zijn eigenschappen van de verificateur en de opslaglaag, zonder afhankelijkheid van hoe snel de verbinding van de gebruiker antwoordt.

Of een pakketopname bruikbaar materiaal oplevert, hangt af van het protocol en de authenticatiemethode. Het bezit van een opname, een certificaat of een versleutelde tunnel beantwoordt op zichzelf niets, en de leeftijd van de clientbuild ook niet.

Waarom rekenkunde met kraaktijd misleidt

Een aantal mogelijke strings is alleen zo goed als zijn aannames. Door mensen gekozen wachtwoorden zijn niet gelijkmatig verdeeld over de ruimte die een formule beschrijft, en hergebruikte inloggegevens staan misschien al op een lijst. De controlekosten tellen ook mee: een onlinedienst met afgedwongen controles verschilt volledig van een gestolen verificateur die lokaal wordt getest. Een berekening die stilletjes tussen die gevallen schuift, kan een bewering over jaren tot kraken niet ondersteunen.

Houd protocolfouten in hun eigen kolom. Een langer wachtwoord repareert geen zwakke authenticatieconstructie, en één verouderde methode bewijst niet dat elk op wachtwoorden gebaseerd ontwerp zijn zwaktes deelt. Dat zijn afzonderlijke bevindingen met afzonderlijke correcties.

Vraag om bewijs van de verificateur, niet om latentie

Identificeer voor een gatewaybeoordeling de authenticatiemethode, wie de verificateur heeft, welke pogingscontroles bestaan en of een tweede factor echt onafhankelijk is. Een dialoog met twee wachtwoordvelden stelt geen twee factoren vast. Stel voor opgeslagen inloggegevens vast welk materiaal bestaat, wie het kan lezen en welke bescherming de implementatie werkelijk toepast. Een hypothetisch hash-snelheidsgetal is geen bewijs over een niet-geïdentificeerd opslagsysteem.

Overweeg ook blootstelling buiten het gokken. Een gestolen profiel, een gecompromitteerd eindpunt of een phishingstroom vormen een ander probleem dan een aanvaller die wachtwoorden opsomt, en wachtwoordlengte doet niets tegen de bevoegdheid die al aan een actieve sessie is gegeven.

Noteer de methode, de controle en de opslagbescherming. Die drie beantwoorden de vraag die de ping nooit mat.