Hvor raskt kan noen gjette VPN-passordet ditt?

Forsinkelse svarer på et spørsmål ingen stilte. Tre forhold avgjør hva et gjettestimat egentlig betyr: om gjetningen kontrolleres av en levende tjeneste eller mot fanget materiale, hvilken autentiseringsmetode som produserte materialet, og hvilke kontroller tjenesten håndhever. En ping måler én rundtur på én vei og svarer på ingen av dem. Å dele ett sekund på det tallet gir et tall som er presist, uten sammenheng og ofte gjentatt som om det var en sikkerhetsegenskap.

Forsinkelse hører til arbeid med tilkobling. Autentiseringsstyrke er en egenskap ved kontrolløren og protokollen.

Én rundtur er ikke en hastighetsgrense

En rundturstid beskriver hvor lang tid én forespørsel og svaret på den tar på en bestemt vei. Selv for nettbaserte forsøk avhenger gjennomstrømningen av hvor mange forespørsler en klient holder åpne, hvor lang tid serveren bruker per forsøk, og hvilke hastighetsgrenser som håndheves. Dette er uavhengig av ping. En Ethernet-forbindelse pålegger ikke en regel om at bare ett forsøk kan finnes per rundtur, og en rask ping beviser ikke at en kontrollør vil godta gjetninger i den hastigheten.

Hvis tjenesten låser en konto etter fem feil, er den praktiske hastigheten fem forsøk per låsevindu uansett nettverk. Det er en kontroll, og det er tallet som er verdt å sitere.

Hvor gjetningen faktisk kontrolleres

På nett sender den som hevder noe, hver kandidat til den ekte tjenesten, som kan observere, forsinke, låse og varsle. Frakoblet kontrollerer en angriper med egnet verifikasjonsmateriale kandidater lokalt uten tjenestens medvirkning. Den forskjellen avgjør nesten alt i aritmetikken. NISTs retningslinjer for passord behandler disse truslene hver for seg, og krever hastighetsbegrensning av mislykkede nettbaserte forsøk og lagring som tåler frakoblet angrep gjennom saltet hashing med en kostnadsfaktor. Begge er egenskaper ved kontrolløren og lagringslaget, uten avhengighet av hvor raskt brukerens linje svarer.

Om en pakkefangst gir nyttig materiale, avhenger av protokollen og autentiseringsmetoden. Å eie en fangst, et sertifikat eller en kryptert tunnel svarer ikke på noe alene, og alderen på klientbyggingen gjør det heller ikke.

Hvorfor aritmetikk for knekketid villeder

Et antall mulige strenger er bare så godt som forutsetningene. Menneskelig valgte passord er ikke jevnt fordelt over rommet en formel beskriver, og gjenbrukte påloggingsdetaljer kan allerede stå på en liste. Kontrollkostnaden betyr også noe: en netttjeneste med håndhevede kontroller er helt forskjellig fra en stjålet kontrollør som testes lokalt. En beregning som stille beveger seg mellom disse tilfellene, kan ikke støtte en påstand om år til knekking.

Hold protokollfeil i sin egen kolonne. Et lengre passord reparerer ikke en svak autentiseringskonstruksjon, og én utdatert metode beviser ikke at ethvert passordbasert design deler svakhetene. Dette er separate funn med separate rettelser.

Be om kontrollørens bevis, ikke forsinkelse

For en gateway-vurdering, identifiser autentiseringsmetoden, hvem som har kontrolløren, hvilke forsøkskontroller som finnes, og om en annen faktor virkelig er uavhengig. En dialog med to passordfelt etablerer ikke to faktorer. For lagrede påloggingsdetaljer, fastslå hvilket materiale som finnes, hvem som kan lese det, og hvilken beskyttelse implementasjonen faktisk bruker. Et hypotetisk tall for hashehastighet er ikke bevis om et uidentifisert lagringssystem.

Vurder også eksponering utenfor gjetning. En stjålet profil, et kompromittert endepunkt eller en phishing-flyt utgjør et annet problem enn en angriper som ramser opp passord, og passordlengde gjør ingenting med myndigheten som allerede er gitt til en aktiv økt.

Noter metoden, kontrollen og lagringsbeskyttelsen. De tre svarer på spørsmålet ping aldri målte.