Offentleg VPN-passord: kvifor det ikkje må vere e-postpassordet ditt

Profilar i offentlege VPN-katalogar viser ein server, eit brukarnamn og eit passord som tusenvis av andre òg har, og freistinga er å skrive noko minneverdig. Nettopp den instinkta er problemet: verdien er ikkje ein personleg hemmelegheit, og alt du brukar han på nytt til, vert òg offentleg. Handsame den publiserte innlogginga som ein delt nøkkel til ein offentleg teneste, og kvar konto som identifiserer deg, som ein heilt annan kategori. Skiljet er enkelt å halde ved lag heilt til dagen det betyr noko.

Kva legitimasjonen eigentleg er

Ei innlogging som vert publisert i ein offentleg VPN-katalog, er ei tilgangsavtale mellom operatøren og alle som les sida. Ho kan identifisere ein delt tenestekonto i staden for ein person, og operatøren kan observere sambandet ved gatewayen.

Det siste punktet fortener vekt: den som avsluttar ein tunnel, ser trafikken som går inn og ut av han, og held passordet som opna han. Gjenbruk av ein verdi til ein e-postkonto fortel operatøren noko om ein konto dei aldri skulle ha kunna gjette. Eit delt passord er ikkje ein hemmelegheit i noka meiningsfull forstand, fordi mange menneske har det. Kategoria er ulike: ei offentleg tilgangshemmelegheit, eit privat kontopassord, eit klientcertifikat og ein peer-nøkkel, kvar av dei svarar på eit anna spørsmål.

Gjenbruk er ein kjend verdi, ikkje ein svak

Rettleiing om passordstyrke fokuserer vanlegvis på lengd og unikskap, og unikskap er nettopp det gjenbruk øydelegg. Eit langt passord brukt to stader er ein kjend verdi begge stader når ein av stadene lekk.

Credential stuffing er avhengig av den overlappinga, og offentlege katalogar gjer den første helvta av paret gratis for alle. Å generere ein eigen verdi per teneste fjernar den spaken utan å krevje noko meir minneverdig. Lengd kompenserer aldri for ein verdi som alt er trykt på ei offentleg side.

Viss passordet alt er gjenbrukt

Endre den urelaterte kontoen gjennom den stadfesta gjenopprettingsprosessen hans, og gå deretter gjennom dei aktive øktene og gjenopprettingsinnstillingane, fordi ei tilbakestilling som lèt ein gammal økt leve, ikkje har fullført jobben. Ikkje send passordet til VPN-støtte for å demonstrere feilen. Der multifaktorautentisering er tilgjengeleg, aktiver han, sidan han overlever eit lekt passord.

Roter VPN-innloggingsinformasjonen gjennom den prosessen operatøren dokumenterer, og merk at dette er ei eiga handling frå å endre din eigen konto. Hald dei to endringane i same sak, slik at ingen antar at den eine dekte den andre.

Viss ein privat klientnøkkel vart eksponert i staden for eit passord, er tilbakekalling botemiddelet. Å endre eit e-postpassord fjernar ikkje ein kopiert nøkkel.

Kontroller legitimasjonstypen før du roterer

Identifiser kva feltet faktisk forventar før du genererer noko. Ein portalkode, ein peer-nøkkel og eit passord er ikkje utskiftbare, og rotasjon av feil type lèt eksponeringa stå.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Oppbevar genererte verdiar i ein passordhandsamar i staden for eit notat, slik at ulike oppføringar vert brukbare. Stadfest deretter at den nye verdien verkar før du forkastar den gamle, og hald båe hendingane i same sak.

Avslutt med å rydde lagra innloggingsinformasjon på kvar delt installasjon som brukte den gamle innlogginga. Ein legitimasjon fjerna frå serveren er framleis ein lekkasje viss eininga held fram med å kople til på nytt med ein bufra kopi.